Zehn Wochen, zehn Quick Wins, ein Sommer. Wer unseren Sommer-Sprint mitgegangen ist, hat seine Cloud-Sicherheit Schritt für Schritt vorangebracht — ohne Großprojekt, ohne großes Budget. Zeit, Bilanz zu ziehen.
Was Sie in diesem Sommer erreicht haben
Schauen wir zurück auf die Strecke:
- Cloud-Inventar — Sie wissen jetzt, welche Dienste im Einsatz sind, auch jenseits der offiziellen Beschaffung.
- MFA überall — die häufigste Eintrittstür für Angreifer ist geschlossen.
- Privilegierte Konten — Administratorrechte sind auf das Nötige reduziert und vom Alltag getrennt.
- C5-Testate — Sie prüfen die Sicherheit Ihrer Anbieter, statt sie zu glauben.
- Geteilte Verantwortung — eine Matrix zeigt schwarz auf weiß, wer was absichert.
- Backup & Wiederherstellung — Ihre Cloud-Daten sind eigenständig gesichert und der Notfall ist geprobt.
- Freigaben aufgeräumt — stille Datenlecks durch offene Links und Alt-Gäste sind geschlossen.
- Logging & Monitoring — Sie bemerken Ungewöhnliches, statt im Dunkeln zu tappen.
- Verwaiste Konten — Geisterzugänge sind weg, ein Offboarding-Prozess verhindert neue.
- Notfallplan — für den Ernstfall steht fest, wer was tut und wen man anruft.
Jeder einzelne Schritt war für sich genommen klein. In Summe haben Sie die Angriffsfläche Ihrer Cloud-Nutzung spürbar verkleinert — und eine Dokumentation aufgebaut, die es vorher nicht gab.
Die Einordnung: Sie sind C5:2026 nähergekommen
Der BSI-Katalog C5:2026 richtet sich formal an Anbieter, beschreibt aber für jedes Kriterium auch die Kundenverantwortung. Genau diese haben Sie diesen Sommer bearbeitet: Identitäts- und Zugriffsmanagement (Wochen 2, 3, 9), Daten- und Freigabemanagement (Wochen 1, 7), Lieferantensicherheit (Wochen 4, 5), Notfallvorsorge und Datensicherung (Wochen 6, 10) sowie Protokollierung (Woche 8).
Sie sind nicht „C5-zertifiziert” — das können nur Anbieter sein. Aber Sie erfüllen Ihren Teil der geteilten Verantwortung erheblich besser. Und genau das ist es, worauf es für Cloud-Nutzer ankommt.
Aus dem Sprint wird Routine
Der größte Fehler wäre, das Erreichte jetzt liegen zu lassen. Cloud-Umgebungen verändern sich täglich: Neue Dienste kommen hinzu, Mitarbeiter wechseln, Freigaben wachsen nach. Damit Ihre Arbeit nicht verfällt, verankern Sie ein paar wiederkehrende Termine:
- Quartalsweise: Freigaben durchsehen (Woche 7), verwaiste Konten prüfen (Woche 9), Cloud-Inventar aktualisieren (Woche 1).
- Halbjährlich: Backup-Wiederherstellung testen (Woche 6), Notfallplan und Kontaktdaten aktualisieren (Woche 10).
- Jährlich: C5-Testate der Anbieter neu einholen und Verantwortungsmatrix überarbeiten (Wochen 4, 5).
Wer ein ISMS nach ISO 27001 betreibt oder anstrebt, hat mit den Ergebnissen dieses Sprints bereits einen großen Teil der Belege und Maßnahmen beisammen — die Dokumentation aus zehn Wochen ist genau das, wonach ein Audit fragt.
Fazit
Cloud-Sicherheit ist kein einmaliges Projekt und kein Hexenwerk — sie ist die Summe vieler kleiner, konsequenter Schritte. Dieser Sommer hat gezeigt, wie weit man mit einer Stunde pro Woche kommt. Machen Sie aus dem Sprint einen Dauerlauf, und Sie gehören zu den Unternehmen, die im Ernstfall vorbereitet sind, statt überrascht zu werden.
Danke fürs Mitmachen — und bis zur nächsten Etappe.
Sie möchten das Erreichte in ein dauerhaftes Sicherheitsmanagement überführen — bis hin zur ISO-27001-Zertifizierung? Kontaktieren Sie uns für eine unverbindliche Standortbestimmung.