Immer mehr Unternehmen betreiben ihre Datenbanken in der Cloud. Doch gerade bei sensiblen Daten kommt es auf die richtige Absicherung an. Sie m\u00fcssen auch auf externen Servern und in Rechenzentren zuverl\u00e4ssig gesch\u00fctzt sein. Redgate, f\u00fchrender Anbieter von Database-DevOps-L\u00f6sungen f\u00fcr umfassende Datenbankkontrolle, empfiehlt daf\u00fcr ein mehrschichtiges Sicherheitsmodell.<\/p>\n
Cloudbasierte Datenbankdienste bieten viele Vorteile. Unternehmen ben\u00f6tigen keine eigene umfangreiche Serverumgebung und auch kein eigenes Rechenzentrum. Doch wie bei allen Cloud-Diensten ist besondere Vorsicht geboten, denn auch wenn Hyperscaler die grunds\u00e4tzlichen Sicherheitsvorkehrungen ihrer IT-Infrastruktur gro\u00dfschreiben, vernachl\u00e4ssigen Unternehmen oft ihren Eigenanteil an holistischer Datenbanksicherheit. Redgate empfiehlt deshalb ein dreistufiges Modell. Es umfasst eine sichere Architektur, operative Security-Funktionen und Compliance.<\/p>\n
Eine gut durchdachte Sicherheitsarchitektur f\u00fcr cloudbasierte Datenbanken setzt vor allem auf Isolation, Segmentierung und klar geregelte Zugriffsrechte. Unternehmen sollten dabei die Control Plane und die Data Plane strikt voneinander trennen. So kann nicht automatisch jeder mit Verwaltungsrechten auch auf die gespeicherten Daten zugreifen. Auch der Netzwerkzugriff muss klar geregelt sein. Unternehmen sollten \u00f6ffentliche Endpoints deaktivieren und den Zugriff nur \u00fcber Private Link und VNET-Isolation erm\u00f6glichen. Erg\u00e4nzend sch\u00fctzen Network Security Groups die Netzwerkverbindungen. Bei der Daten\u00fcbertragung kommt es ebenfalls auf eine sichere Verbindung an. Daf\u00fcr empfiehlt sich mindestens TLS (Transport Layer Security) 1.2, noch besser 1.3. Bei der Anmeldung von Usern und Anwendungen sollte man auf das Zero-Trust-Prinzip setzen. Daf\u00fcr eignen sich beispielsweise Microsoft Entra ID und Managed Identities. Besonders weitreichende Zugriffsrechte sollten Unternehmen zudem nur zeitlich begrenzt vergeben.<\/p>\n
Auf dieser Grundlage lassen sich weitere Sicherheitsfunktionen der Plattform nutzen. In Microsoft Azure kann beispielsweise der Defender for SQL ungew\u00f6hnliche Aktivit\u00e4ten erkennen, etwa SQL-Injection-Angriffe oder auff\u00e4llige Datenexporte. Viele Plattformen bieten au\u00dferdem automatische Schwachstellenanalysen an. Diese \u00fcberpr\u00fcfen die Einstellungen der Datenbank und gleichen sie mit festgelegten Sicherheitsstandards ab. Zus\u00e4tzlichen Schutz bieten sogenannte Ledger-Tabellen. Durch eine kryptografische Verkettung l\u00e4sst sich damit nachweisen, ob Daten nachtr\u00e4glich ver\u00e4ndert wurden. Mit Always Encrypted k\u00f6nnen Unternehmen sensible Spalten in SQL Server oder Azure SQL Database bereits direkt auf dem Client verschl\u00fcsseln. Die ben\u00f6tigten Schl\u00fcssel verwalten sie in einem Key Vault. Eine weitere M\u00f6glichkeit ist dynamisches Data Masking. Die Funktion macht bestimmte Werte f\u00fcr User ohne UNMASK-Berechtigung unkenntlich.<\/p>\n
Im zweiten Security Layer geht es darum, die Sicherheitsgrundlagen in der Praxis umzusetzen. Ein wichtiger Baustein ist dabei die Zugriffskontrolle nach dem Least-Privilege-Prinzip. Das bedeutet: User sollten nur die Rechte erhalten, die sie wirklich ben\u00f6tigen. Daf\u00fcr eignen sich rollenbasierte Modelle (RBAC), eine klare Separation of Duties und regelm\u00e4\u00dfige \u00dcberpr\u00fcfungen der vergebenen Rechte. Auch die Verschl\u00fcsselung spielt eine wichtige Rolle. Neben TLS f\u00fcr die Daten\u00fcbertragung und Transparent Data Encryption sowie Spaltenverschl\u00fcsselung f\u00fcr gespeicherte Daten braucht es ein sicheres Key-Management. Dazu geh\u00f6ren die Speicherung in Hardware Security Modules (HSM) und die regelm\u00e4\u00dfige Erneuerung von Keys und Zertifikaten.<\/p>\n
Ein kontinuierliches Monitoring beh\u00e4lt die Datenbank im Blick. Es erfasst Anmeldungen, \u00c4nderungen an Berechtigungen und Schemas sowie auff\u00e4llige Queries. AI-gest\u00fctzte Anomalieerkennung hilft zus\u00e4tzlich, Angriffe und kompromittierte Accounts fr\u00fchzeitig zu erkennen. Wichtig sind auch manipulationssichere Audit-Protokolle. Einheitliche Timestamps machen es m\u00f6glich, Incidents sp\u00e4ter genau nachzuvollziehen. Weitere Ma\u00dfnahmen sind sichere Standardeinstellungen, deaktivierte unn\u00f6tige Funktionen, gesch\u00fctzte Admin-Interfaces und regelm\u00e4\u00dfige Konfigurationspr\u00fcfungen. Im Ernstfall k\u00f6nnen automatische Reaktionen die Sicherheit zus\u00e4tzlich erh\u00f6hen. Sie sperren beispielsweise betroffene Accounts, isolieren Datenbank-Instanzen oder erstellen forensische Snapshots. Auch die Weiterleitung von Vorf\u00e4llen an das Security Operations Center (SOC) l\u00e4sst sich automatisieren.<\/p>\n
Gerade in regulierten Branchen m\u00fcssen Unternehmen diese Ma\u00dfnahmen dokumentieren. Dazu geh\u00f6ren beispielsweise Protokolle zu Rechtepr\u00fcfungen, Konfigurationsberichte und Nachweise zum Log- und Key-Management. Das Database-Team sollte diese Unterlagen deshalb regelm\u00e4\u00dfig erstellen und aufbewahren.<\/p>\n
Cloud-Compliance umfasst mehr als nur einzelne Zertifizierungen. Entscheidend ist das Zusammenspiel aus technischen Sicherheitsma\u00dfnahmen, klaren Workflows und gesetzlichen Policies. Cloud-Anbieter schaffen daf\u00fcr eine Grundlage, indem sie Standards wie ISO 27001, SOC 2 und PCI DSS sowie europ\u00e4ische und nationale Vorgaben wie die DSGVO ber\u00fccksichtigen. Unternehmen k\u00f6nnen diese Nachweise f\u00fcr ihre eigenen Audits nutzen. Das schafft Transparenz und Vertrauen.<\/p>\n
Auch die Datenbanken selbst bieten verschiedene M\u00f6glichkeiten, um Compliance-Anforderungen einzuhalten. \u00dcber die Wahl der Cloud-Region und der Replikationsziele bestimmen Unternehmen, wo ihre Daten gespeichert werden und welche L\u00e4nder sie nicht verlassen d\u00fcrfen. F\u00fcr die Verwaltung und regelm\u00e4\u00dfige Erneuerung der Verschl\u00fcsselungs-Keys stehen ein Key Vault oder ein Hardware Security Module (HSM) zur Verf\u00fcgung. Auch die Zugriffe darauf werden protokolliert. Audit-Logs lassen sich au\u00dferdem in Storage, Log Analytics oder eine SIEM-Plattform (Security Information and Event Management) \u00fcbertragen und dort sicher aufbewahren. \u00dcber einstellbare Backup-Aufbewahrungszeiten k\u00f6nnen Unternehmen zus\u00e4tzlich vorgeschriebene Speicher- und L\u00f6schfristen einhalten.<\/p>\n
\u201eCloud-Sicherheit ist kein Schalter, den man einfach umlegt, sondern funktioniert nur als Zusammenspiel mehrerer Security Layer\u201c, warnt Oliver Stein, Gesch\u00e4ftsf\u00fchrer DACH bei Redgate. \u201eDer Hyperscaler liefert beim Betrieb von Datenbanken in der Cloud das Sicherheitsfundament. Doch f\u00fcr Architektur, Zugriffe und Compliance bleibt das Unternehmen selbst verantwortlich. Wer das versteht und seine Sicherheitsstrategie entsprechend umsetzt, verwandelt seine Cloud-Implementierung vom Risikofaktor in einen Sicherheitsgewinn.\u201c<\/p>\n