DSPM für die Datensicherheit in Multi-Cloud-Umgebungen: Einheitlicher Überblick über AWS, Azure und GCP

Warum Multi-Cloud die Situation im Bereich der Datensicherheit verändert

Cloud-Teams arbeiten selten in einem einzigen Ökosystem. AWS wird häufig aufgrund seines breiten Leistungsspektrums und seiner ausgereiften Speicherkontrollen genutzt. Azure ist in Microsoft-orientierten Unternehmen weit verbreitet. GCP wird häufig für Analytik, Data Engineering und maschinelles Lernen eingesetzt. Jede Cloud bietet Flexibilität, verfügt jedoch auch über ein eigenes Sicherheitsmodell.

AWS strukturiert den Datenzugriff anhand mehrerer sich überschneidender Kontrollebenen, darunter S3-Bucket-Richtlinien, IAM-Richtlinien, Zugriffskontrolllisten, Zugriffspunkte und Dienststeuerungsrichtlinien. Das Datenperimeter-Modell von AWS erfordert, dass Unternehmen vertrauenswürdige Identitäten, vertrauenswürdige Ressourcen und erwartete Netzwerkpfade definieren. Azure integriert Speichersicherheit durch rollenbasierte Zugriffskontrolle, Speicherkontoeinstellungen, die Verhinderung anonymer Zugriffe sowie Konfigurationen privater Endpunkte. Die Zero-Trust-Leitlinien von Microsoft für Azure-Speicher legen den Schwerpunkt auf den Schutz von Daten in allen drei Zuständen – im Ruhezustand, während der Übertragung und bei der Nutzung –, wobei die Prinzipien des Zugriffs mit geringsten Berechtigungen sowie eine kontinuierliche Überprüfung angewendet werden. Google Cloud setzt Speichersicherheit durch Cloud IAM, Organisationsrichtlinien, einheitliche Zugriffskontrollen auf Bucket-Ebene und Einschränkungen zur Verhinderung des öffentlichen Zugriffs um. Google Cloud hat zudem den Schritt zu strengeren, standardmäßig sicheren Organisationsrichtlinien vollzogen, einschließlich Kontrollen, die den öffentlichen Zugriff auf Speicher-Buckets automatisch verhindern und konsistente Berechtigungsmodelle durchsetzen.

Dieselbe Datenschutzanforderung – nämlich den öffentlichen Zugriff auf sensible Dateien zu verhindern – erfordert je nach Plattform unterschiedliche Umsetzungsansätze. Aus diesem Grund ist ein manueller Überprüfungsprozess, der für jede Cloud einzeln durchgeführt wird, bei großem Umfang nicht mehr durchführbar.

Was DSPM bietet

DSPM bietet Sicherheitsteams eine datenzentrierte Ebene, die vier Fragen im gesamten Cloud-Umfeld beantwortet:

Wo befinden sich die Daten? Um welche Art von Daten handelt es sich? Wie werden sie bereitgestellt? Wer hat Zugriff darauf?

Effektive DSPM-Lösungen bieten eine lückenlose Bestandserfassung in Bezug auf diese vier entscheidenden Dimensionen des Risikos bei Cloud-Daten: Standort, Sensibilität, Kontext der Gefährdung und Zugriffswege.

Moderne DSPM-Plattformen können sensible Informationen in Objektspeichern, verwalteten Datenbanken, Data-Lake-Repositorien, Backup-Systemen, Snapshots virtueller Maschinen und KI-Trainingsdatensätzen identifizieren. Fortschrittliche Klassifizierungsmodule erkennen personenbezogene Daten (PII), Finanzdaten, geistiges Eigentum, Anmeldedaten, API-Schlüssel und regulierte Datentypen und fügen dabei geschäftlichen Kontext hinzu. Der Kontext der Offenlegung umfasst den öffentlichen Internetzugang, anonyme Zugriffsberechtigungen, zu weit gefasste IAM-Rollen, veraltete ACLs, die kontenübergreifende Freigabe sowie Dienstprinzipale mit übermäßigen Berechtigungen. Die Zuordnung von Zugriffspfaden identifiziert menschliche Benutzer, Dienstkonten, Anwendungen und föderierte Identitäten, die über direkte Berechtigungen, Rollenvererbung oder Pfade zur Privilegienerweiterung auf sensible Daten zugreifen können.

MITRE ATT&CK dokumentiert Cloud-relevante Techniken, die den Missbrauch von Berechtigungen und erweiterte Zugriffsrechte beinhalten, und unterstreicht damit, warum DSPM sowohl den Zugriffskontext als auch den Speicherort der Daten bewerten muss.

Warum kontinuierliche Transparenz wichtig ist

Einmalige Bestandsaufnahmen reichen nicht mehr aus. In Multi-Cloud-Umgebungen ändern sich Speicherkonfigurationen, Freigabeeinstellungen und Identitätsbeziehungen ständig. Ein Datensatz, der am Montag noch privat ist, kann am Dienstag aufgrund einer Fehlkonfiguration, einer Änderung der Zugriffsrichtlinien zugunsten größerer Freigaben oder eines neuen Integrationspfads öffentlich werden.

Eine kontinuierliche Erfassung ist einer punktuellen Bewertung überlegen, da sie Sicherheitsrisiken bereits bei ihrem Entstehen erfasst. Die Priorisierung von Risiken reduziert zudem den operativen Aufwand, indem sie den Teams hilft, sich auf die wichtigsten Sicherheitsrisiken zu konzentrieren. Anstatt lange Listen mit Befunden gleicher Schwere zu erstellen, setzt DSPM die Sensibilität der Daten in Beziehung zur Schwere des Sicherheitsrisikos, sodass die Teams die Probleme mit den größten Auswirkungen zuerst beheben können.

Dies ist sowohl aus betrieblicher als auch aus technischer Sicht von Bedeutung. Der „Data Breach Investigations Report 2026“ von Verizon ergab, dass die Ausnutzung von Sicherheitslücken zum häufigsten Einstiegspunkt für Datenverletzungen geworden ist und 31 % aller Vorfälle ausmacht. Wenn Angreifer zunehmend nach Schwachstellen in ungeschützten Systemen und Fehlkonfigurationen suchen, wird der Einblick in Datenrisiken zu einer praktischen Abwehrmaßnahme und nicht nur zu einer Berichtsfunktion.

Der „IBM-Bericht zu den Kosten von Datenschutzverletzungen 2025“ ergab weltweit durchschnittliche Kosten von 4,44 Millionen US-Dollar pro Datenschutzverletzung, was die wirtschaftlichen Argumente für eine bessere Datentransparenz und strengere Kontrollen in verteilten Umgebungen untermauert.

Wie DSPM die Einhaltung von Vorschriften und die Unternehmensführung unterstützt

DSPM kann die Einhaltung von Vorschriften und die Unternehmensführung stärken, indem es einen kontinuierlichen Überblick über den Umgang mit regulierten Daten auf verschiedenen Cloud-Plattformen bietet. Es kann Berichte erstellen, aus denen hervorgeht, wo sich regulierte Daten befinden, wer darauf zugreifen darf und inwieweit die Zugriffskontrollen den Compliance-Anforderungen entsprechen.

Dies ersetzt zwar kein umfassendes Compliance-Programm, verringert jedoch den manuellen Aufwand für Bestandsaufnahme, Klassifizierung und die Sammlung von Belegen. Das Ergebnis ist ein aktuellerer Überblick über Datenrisiken und eine praxisnähere Methode zur Unterstützung von Audits und internen Governance-Prüfungen.

DSPM kann dabei helfen, erfasste Daten den einschlägigen regulatorischen und internen Richtlinienanforderungen zuzuordnen. Der Kernnutzen liegt nicht in der Kennzeichnung an sich, sondern in der Kombination aus Erfassung, Klassifizierung und Zugriffsanalyse, die Governance-Entscheidungen zuverlässiger macht.

Aufbauend auf nativen Cloud-Steuerelementen

DSPM funktioniert am besten, wenn es die nativen Steuerelemente interpretieren kann, die jeder Cloud-Anbieter bereits bereitstellt.

AWS legt den Schwerpunkt auf Kontrollen des Datenperimeters und identitätsbasierte Zugriffsgrenzen. Sein Speicher-Governance-Modell stützt sich auf eine mehrschichtige Durchsetzung von Richtlinien, wobei „S3 Block Public Access“ als grundlegende Basis zur Verhinderung versehentlicher Offenlegung dient. Die Speicherrichtlinien von Azure orientieren sich eng an den Zero-Trust-Prinzipien, insbesondere in Bezug auf das Prinzip der geringsten Berechtigungen, private Konnektivität und die Verhinderung anonymer Zugriffe. Google Cloud setzt zunehmend auf standardmäßig sichere Organisationsrichtlinien, einheitlichen Zugriff auf Bucket-Ebene und die Verhinderung öffentlichen Zugriffs, um häufige Muster der Offenlegung einzudämmen, bevor sie sich ausbreiten.

Ein leistungsfähiges DSPM-Programm sollte diese systemeigenen Sicherheitsgrenzen verstehen und anschließend bewerten, ob die tatsächlichen Konfigurationen mit dem angestrebten Sicherheitsstatus übereinstimmen.

DSPM im übergeordneten Sicherheitskontext

DSPM ist nicht als eigenständiges System konzipiert.

CNAPP konzentriert sich auf die Sicherheit von Workloads, das Schwachstellenmanagement, Fehlkonfigurationen der Infrastruktur und den Schutz während der Laufzeit. DSPM konzentriert sich auf den Speicherort von Daten, deren Sensibilität und Zugriffsmuster. SSE schützt Daten während der Übertragung durch SWG-, CASB- und ZTNA-Funktionen, während DSPM den Schwerpunkt auf ruhende Daten und den Kontext der Offenlegung in Cloud-Infrastrukturdiensten legt. DLP zeichnet sich durch die Überwachung von Datenbewegungen und die Verhinderung unbefugter Weitergabe aus, während DSPM Bestandsaufnahmen und Risikokontext bereitstellt. CASB konzentriert sich auf SaaS-Governance, die Analyse des Nutzerverhaltens und die Inline-Durchsetzung von Richtlinien, während DSPM die Transparenz auf Cloud-Infrastrukturdienste ausweitet.

Da diese Tools unterschiedliche Probleme lösen, entfalten sie ihre volle Wirksamkeit am besten, wenn sie integriert werden. Die SSE-Plattform Skyhigh Security vereint SWG-, CASB-, ZTNA-, DLP-, RBI- und Datensicherheitsfunktionen, sodass Unternehmen einheitliche Richtlinien anwenden, Erkenntnisse über verschiedene Sicherheitsbereiche hinweg miteinander verknüpfen und Workflows zur Fehlerbehebung optimieren können. Skyhigh wurde im Gartner Magic Quadrant 2025 Magic Quadrant Security Service Edge als „Niche Player“ ausgezeichnet Security Service Edge erzielte im Anwendungsfall „Datensicherheit“ der Gartner Critical Capabilities 2025 Critical Capabilities SSE die höchste Punktzahl. Die Ergebnisse des DSPM sollten sich über APIs, SIEM-Konnektoren und Ticketingsysteme integrieren lassen und eine Richtlinien-Synchronisierung mit SSE-Plattformen ermöglichen.

Worauf Sie bei einem DSPM-Studiengang achten sollten

Eine praxisorientierte Multi-Cloud-DSPM-Strategie sollte die Abdeckung nativer Dienste, die Identitätsintegration, den Netzwerkkontext sowie die Unterstützung für cloud-natives Logging über AWS, Azure und GCP hinweg umfassen. Zudem sollte sie sich über mehrere Cloud-Konten, Abonnements und Projekte hinweg skalieren lassen und dabei akzeptable Leistungs- und Kostenmerkmale gewährleisten.

Ein Multi-Cloud-DSPM sollte die native Integration mit Diensten wie Amazon S3, RDS und Redshift, Azure Blob Storage, SQL Database und Synapse sowie Google Cloud Storage, Cloud SQL und BigQuery unterstützen. Die Lösung sollte darüber hinaus auch cloudspezifische Datenspeicher und Analysedienste berücksichtigen, die über den Kernbereich von Objektspeichern und Datenbanken hinausgehen.

Eine fortschrittliche Datenklassifizierung sollte Mustererkennung, maschinelles Lernen, Kontextbewertung und die Integration von Geschäftsmetadaten kombinieren. Eine plattformübergreifende Zugriffsanalyse sollte Identitäts- und Berechtigungsbeziehungen zwischen verschiedenen Cloud-IAM-Systemen abbilden, um Zugriffspfade und Möglichkeiten zur Ausweitung von Berechtigungen zu identifizieren.

Automatisierte Korrekturmaßnahmen können Teams dabei unterstützen, risikoreiche Schwachstellen – wie beispielsweise öffentlichen Zugriff oder zu großzügige Zugriffskontrollen – zu beheben und gleichzeitig Prüfpfade zu bewahren. Die besten Ergebnisse lassen sich in der Regel erzielen, wenn Anleitungen zur Fehlerbehebung mit Überprüfungsabläufen und der Durchsetzung von Richtlinien kombiniert werden, und nicht dadurch, dass eine vollständige Automatisierung angestrebt wird, bevor die Umgebung ausreichend verstanden wurde.

Ein praxisorientierter Ansatz für die Einführung

Die Umsetzung sollte mit der Bestandsaufnahme beginnen und anschließend auf die Behebung der Mängel ausgeweitet werden. Diese Abfolge sorgt dafür, dass das Projekt überschaubar bleibt, und hilft den Teams, frühzeitig einen Mehrwert zu erzielen.

In der Anfangsphase sollte der Schwerpunkt auf der Bestandsaufnahme sensibler Daten, der Ermittlung der größten Risiken und der Erfassung der Zugriffspfade in den verschiedenen Cloud-Umgebungen liegen. Sobald das Team einen klaren Überblick über die Cloud-Datenlandschaft gewonnen hat, kann es mit der Anpassung der Richtlinien, der Integration von Arbeitsabläufen und der Planung von Abhilfemaßnahmen fortfahren.

Unternehmen beginnen häufig mit der Erfassung und Priorisierung von Risiken, bevor sie zu Abhilfemaßnahmen und einer kontinuierlichen Überwachung übergehen.