Microsoft 365 Datensicherheit & warum private Cloud-Tools ein Risiko sind

Vielleicht kennen Sie das ja auch: Das Team sitzt an einer dringenden Aufgabe. Feedback von diversen Kollegen wird benötigt und der Kunde möchte noch heute eine Datei sehen. Also landet das Dokument kurzerhand in einem privaten Cloud-Speicher wie Dropbox oder wird per Messenger geteilt, damit jeder schnell und einfach darauf zugreifen kann.

Aus Sicht der Mitarbeitenden ist das eine nachvollziehbare pragmatische Entscheidung. Sie wollen ihren Job gut machen, schneller ans Ziel kommen und keine Zeit verlieren. Wenn die dafür vom Unternehmen angebotenen Werkzeuge als zu umständlich wahrgenommen werden, weichen sie auf andere Lösungen aus. Deshalb sind private Cloud-Tools im Arbeitsalltag so verführerisch: Sie sind schnell eingerichtet und oft auch schon vorhanden, sie erfüllen ihren Zweck und sind leicht zu bedienen. Dass sie gleichzeitig ein großes Risiko darstellen, ist vielen Mitarbeitern gar nicht bewusst.

Das Problem: Sobald geschäftliche Inhalte in privat genutzten, nicht firmenweit freigegebenen Cloud-Diensten landen, verliert Ihr Unternehmen die Kontrolle über sensible Daten. Security-Experten sprechen hier von „Schatten-IT“ – das sind Geräte, Tools oder Dienste, die ohne Kenntnis und Kontrolle des Unternehmens genutzt werden, aber trotzdem Teil der „Angriffsfläche“ sind, also Cyberkriminellen möglicherweise Einfallstore bieten, das Unternehmensnetzwerk anzugreifen, Daten zu stehlen oder anderweitig Schaden anzurichten.

In diesem Beitrag erklären wir, warum der unkontrollierte Einsatz von Cloud-Tools die Sicherheit sensibler Unternehmensdaten oder sogar des gesamten Netzwerks gefährdet – und warum hier für Unternehmen die bessere Wahl ist.

Sensible Daten gefährdet: Was beim unregulierten Einsatz von Cloud-Tools schiefläuft

Das zentrale Problem bei privat genutzten Cloud-Tools ist fehlende Steuerung. Wer sein Netzwerk wirksam schützen will, muss wissen, was überhaupt dazu gehört und welche Einfallstore er verteidigen muss. Dazu gehören nicht nur Server und PCs, sondern auch etwa Smartphones, die beruflich genutzt werden – und vor allem die sogenannten „Identitäten“. Die repräsentieren in der IT Benutzer, Geräte oder Anwendungen, die jeweils Zugriff auf bestimmte Systeme, Daten und Funktionen haben müssen, damit sie ihre Aufgaben erfüllen können. Identitäten und ihre Berechtigungen werden über Konten gesteuert (das Ganze nennt sich Identitäts- und Zugriffsmanagement oder englisch Identity and Access Management, abgekürzt IAM). IAM gibt es in jedem Unternehmen, auch kleinen ohne eigene IT-Abteilung – dort kümmert sich ein Admin um Konten und ihre Rechte.

Nutzen nun Mitarbeitende ihre privaten Tools oder abonnieren mal eben einen neuen Cloud-Dienst, haben IAM- und Security-Verantwortliche im Unternehmen kaum eine Chance, das mitzubekommen. Sensible Daten liegen auf Speichersystemen außerhalb ihrer Kontrolle; weder können sie Zugriffe darauf steuern oder nachvollziehen, noch können sie die Dokumente wieder löschen oder archivieren, wenn sie nicht mehr benötigt werden. Zudem laufen private Cloud-Tools in der Regel auch über private Konten. Dann greifen zentrale Unternehmensrichtlinien für die Kontosicherheit nicht mehr: Es gibt keine verbindliche Multi-Faktor-Authentifizierung (MFA), keine konsistente Rechtevergabe, keine Überwachung auf Sicherheitsprobleme und keine Sperrung bei Mitarbeiterwechsel.

Selbst wenn ein fremder Dienst technisch solide abgesichert ist, bleibt er also aus Unternehmenssicht ein Risiko, solange die darauf liegenden Daten und Freigaben sowie die dafür genutzten Konten und ihre Zugriffsrechte nicht zentral verwaltet werden können. Wie auch etwa das BSI immer wieder betont: So etwas wie eine sichere Cloud gibt es nicht – es gibt nur die sichere Nutzung von Cloud-Diensten. Die erfordert aber Planung, Steuerung und Kontrolle – und das wird erheblich erschwert, wenn private Cloud-Tools im Spiel sind.

Datensicherheit, Datenschutz und Compliance: Die Risiken im Detail

Beim unregulierten Einsatz privater Cloud-Tools gibt es gleich mehrere Risiken. Das wahrscheinlich wichtigste: Sensible, möglicherweise geschäftskritische Unternehmensdaten sind gefährdet. Wenn Dokumente auf privaten Umwegen verteilt werden, entstehen Kopien außerhalb der offiziellen, geschützten Arbeitsumgebung. Ein Link auf einen Cloudspeicher ist schnell erstellt, weitergeleitet oder falsch adressiert. Wer ihn erhält, kann meist ohne Weiteres Inhalte öffnen, herunterladen oder erneut teilen. Später lässt sich oft nur schwer rekonstruieren, wer wann Zugriff hatte.

Dateien liegen dann nicht mehr nur dort, wo sie hingehören, sondern zusätzlich auf fremden Plattformen, als Anhänge in privaten E-Mail-Konten und womöglich auch auf privaten Geräten, die nie sicher ins Netzwerk eingebunden wurden. Dass niemand mehr mit letzter Sicherheit sagen kann, wo die aktuelle Version liegt, ist da noch das kleinste Problem. Es weiß auch niemand so genau, wer alles darauf zugreifen kann oder vielleicht schon zugegriffen hat. Und geht das private Smartphone mit unternehmenseigenen Daten darauf verloren, wird aus einer pragmatischen Abkürzung plötzlich ein handfestes Sicherheitsproblem.

Vor allem bei geschäftskritischen Informationen, Vertragsunterlagen oder internen Dokumenten kann das Ihrem Unternehmen erheblich schaden. Sind personenbezogene Daten betroffen, kommen auch noch Datenschutzrisiken hinzu: Die DSGVO fordert ausdrücklich, dass der Zugriff auf solche Informationen bedarfsgerecht und nachvollziehbar reglementiert ist, und droht bei fehlender Compliance mit hohen Strafen.

Hinzu kommt: Sobald private Accounts im Spiel sind, fehlt die enge Kopplung an das Identitäts- und Access-Management im Unternehmen. Verlässt jemand das Unternehmen, werden weder Dateien aus den privaten Bereichen gelöscht noch Zugriffsrechte entzogen. Regeln für starke Passwörter oder Multi-Faktor-Authentifizierung sind ebenfalls nicht verlässlich durchsetzbar – und das ist heikel: Immer wieder gibt es Presseberichte, nach denen Millionen oder gar Milliarden von Passwörtern gestohlen und im Darknet veröffentlicht werden, wo sich Hacker frei bedienen können. Zudem neigen Menschen dazu, ihre Passwörter mehrfach zu verwenden – ohne MFA sind daher auch in Unternehmen viele Benutzerkonten akut gefährdet.

Und last but not least wird auch Compliance durch private Cloud-Tools schwieriger. Viele Unternehmen müssen je nach Branche und Datenart nachweisen können, wie Informationen geschützt, aufbewahrt und genutzt werden – bei Schatten-IT ist das kaum zu leisten.

Warum Microsoft 365 für Zusammenarbeit die bessere Wahl ist

Microsoft 365 ist für Unternehmen schon deshalb sinnvoll, weil Teams dort in einer gemeinsamen Arbeitsumgebung mit Chat, Dateiablage, Meetings und Office-Anwendungen arbeiten und kommunizieren können: E-Mails laufen über Exchange Online, Dateien über OneDrive und SharePoint, Kommunikation über Teams. Dadurch bleiben geschäftliche Inhalte konsequent in den Grenzen der Unternehmensplattform, statt sich über private Tools und Einzelkonten zu verteilen – auch bei mobiler Arbeit, Homeoffice oder Außendienst.

Der große Vorteil für die Datensicherheit: Diese Zusammenarbeit findet speziell auf einer auf Sicherheit ausgelegten Plattform statt, die sich zentral administrieren und absichern lässt. In Microsoft Teams geteilte Dateien liegen nicht irgendwo verstreut, sondern in SharePoint. Dadurch landen alle Inhalte stets in einer verwalteten Umgebung, die sich einheitlich mit Richtlinien, Rechten, Aufbewahrung und Prüfmechanismen steuern lässt. Aus einer sich selbst organisierenden Zusammenarbeit wird ein kontrollierbarer Prozess.

Sie möchten durchgängige Datensicherheit? Testen Sie Microsoft 365 bei Host Europe.

So gewährleistet Microsoft 365 Datensicherheit in der Praxis

Wer darf worauf zugreifen? Wie sollen Dateien geteilt werden? Wie lange wird ein Inhalt aufbewahrt? Und wer hat eigentlich wann was gemacht? All das lässt sich in Microsoft 365 zentral steuern und nachvollziehen.

Ein zentraler Sicherheitsbaustein ist dabei die kostenlos enthaltene Verwaltung von Benutzerkonten über Microsoft Entra ID Free. Bis zu 300 Nutzerinnen und Nutzer arbeiten mit geschäftlichen Konten statt privater Log-ins. Datenzugriffe bleiben damit an die Organisation gebunden. Sie lassen sich nicht nur zentral steuern und nachvollziehen – die standardmäßig aktivierte Multi-Faktor-Authentifizierung sorgt auch dafür, dass ein (möglicherweise gestohlenes oder erratenes) Passwort allein für den Zugriff nicht ausreicht. Auch auf technischer Ebene bringt Microsoft 365 wichtige Schutzmechanismen mit, insbesondere Verschlüsselung auf Plattformebene: Daten werden sowohl bei der Übertragung als auch während der Speicherung sicher verschlüsselt (per TLS, IPSec und AES). Cloud-Postfächer in M365 werden vor Malware, Spam und Spoofing/Phishing geschützt.

Ein weiterer Pluspunkt ist die zentrale Datenablage innerhalb der Microsoft-365-Dienste. Alle persönlichen Dokumente sowie in Chats hochgeladene Dateien werden in OneDrive abgelegt, alle im Team bearbeiteten und geteilten Dateien in SharePoint. Das reduziert das Risiko, dass Dokumente in privaten Ordnern, E-Mail-Anhängen, kostenlosen Fremdtools oder schwer nachvollziehbaren Freigaben verloren gehen. Mit den Audit-Funktionen lassen sich bestimmte Aktivitäten protokollieren und so Vorgänge später nachvollziehen, etwa wenn es um Freigaben, Änderungen oder sicherheitsrelevante Ereignisse geht. Zudem enthält M365 mit Basic Mobility and Security einige Funktionen von Microsoft Intune für grundlegendes Mobilgerätemanagment (Mobile Device Management, MDM), um auf Mobilgeräten den Zugriff auf Unternehmensdaten abzusichern.

Fortgeschrittene Funktionen wie Conditional Access, Endpoint-Management und -Security oder erweitertes MDM und Mobile Application Management lassen sich über Add-ons nachrüsten.

Fazit: Produktivität braucht Leitplanken

Mitarbeitende greifen meist nicht deshalb zu privaten Cloud-Tools, weil ihnen Sicherheit egal ist. Sie tun es, weil sie schnell helfen, Aufgaben erledigen und Zusammenarbeit einfacher machen wollen – und weil sie die damit verbundenen Risiken nicht kennen.

In solchen Fällen braucht es eine Umgebung, die Effizienz nicht ausbremst, sondern in sichere Bahnen lenkt. Denn es kann für Unternehmen teuer werden, wenn sensible Daten in unkontrollierten Umgebungen landen.

Microsoft 365 bietet eine deutlich bessere Grundlage für Datensicherheit und Compliance. Zentrale Datenablage, verwaltete Benutzerkonten mit MFA, Verschlüsselung, integrierte Schutzfunktionen für E-Mails oder Verwaltungsfunktionen für mobile Geräte sorgen dafür, dass produktive, flexible Zusammenarbeit nicht zum Sicherheitsrisiko wird.

Testen Sie jetzt modernes, sicheres Arbeiten in der Cloud – mit Microsoft 365 bei Host Europe!

Über
Letzte Artikel

Wolf-Dieter Fiege

Wolf-Dieter Fiege ist Head of Content Marketing Germany und Chefredakteur des Blogs der Host Europe GmbH, einem der führenden Anbieter von Webhosting- und Serverprodukten sowie Domains in Europa.

Letzte Artikel von Wolf-Dieter Fiege (Alle anzeigen)