Mobile-Menu

Cloud-Incident-Untersuchung dauert 3-5 Tage länger Cloud-Vorfälle: 90 Prozent erleiden Schaden vor Eindämmug

Ein Gastbeitrag von Dr. Beverly McCann 4 min Lesedauer

Anbieter zum Thema

Darktrace Limited
Darktrace Deutschland

Cloud-Incident-Untersuchungen dauern laut Darktrace-Umfrage durch­schnitt­lich drei bis fünf Tage länger als On-Premises-Vorfälle. 90 Prozent der befragten Sicherheitsverantwortlichen berichten, dass sie bereits Schaden erlitten, bevor sie mit der Eindämmung beginnen konnten. Volatile Daten gehen oft verloren, bevor sie erfasst werden – automatisierte Forensik kann diese Lücke schließen.

Die Zahl der Sicherheitsvorfälle in der Cloud nimmt weiter zu. Gleichzeitig fehlt es vielen Teams an Zeit, Kontext und Ressourcen für fundierte Untersuchungen.(Bild: © Jack - stock.adobe.com)
Die Zahl der Sicherheitsvorfälle in der Cloud nimmt weiter zu. Gleichzeitig fehlt es vielen Teams an Zeit, Kontext und Ressourcen für fundierte Untersuchungen.
(Bild: © Jack - stock.adobe.com)

Cloud-Systeme bilden heute den digitalen Unterbau nahezu jeder Branche – von der Energieversorgung über staatliche Verwaltung bis hin zu Industrie und Gesundheitswesen. Ihre Flexibilität, Skalierbarkeit und schnelle Bereitstellung machen sie unverzichtbar für moderne IT-Strategien. Doch es ist genau diese Dynamik, die neue Risiken mit sich bringt.

Cloud-Infrastrukturen geraten unter Druck

Der aktuelle Lagebericht des Bundesamts für Sicherheit in der Informationstechnik (BSI) belegt: Die Zahl der entdeckten Schwachstellen nimmt weiter drastisch zu – über 43.000 neue Schwachstellen wurden im Jahr 2024 registriert, was rund 119 pro Tag entspricht und einen Anstieg um fast ein Viertel gegenüber dem Vorjahr bedeutet. Besonders beunruhigend ist die steigende Zahl an kritischen Lücken, die laut BSI mittlerweile fast die Hälfte aller Fälle ausmachen.

Für Cloud-Umgebungen hat das besondere Konsequenzen. Dort, wo Ressourcen häufig nur temporär bestehen, fehlt es oft an Sichtbarkeit und kontextbezogenen Informationen. Container, serverlose Workloads oder automatisch skalierende Dienste lassen sich mit herkömmlichen Methoden nur schwer oder gar nicht forensisch analysieren – besonders dann, wenn zwischen dem Vorfall und der Entdeckung mehrere Stunden oder Tage vergehen.

Warum Geschwindigkeit und Kontext zusammengehören

In einer von Darktrace beauftragten Umfrage unter 300 Sicherheitsverantwortlichen in den USA und Großbritannien gaben 65 Prozent an, dass die Untersuchung von Cloud-Vorfällen im Schnitt drei bis fünf Tage länger dauert als bei vergleichbaren Vorfällen in On-Premises-Umgebungen. Gleichzeitig berichteten rund 90 Prozent der Befragten, dass sie bereits Schaden erlitten, bevor sie überhaupt mit der Eindämmung beginnen konnten.

Diese Zahlen sprechen eine deutliche Sprache: Die Lücke zwischen Erkennung und Reaktion ist in der Cloud größer als in jeder anderen Umgebung und das nicht, weil die Technologien fehlen, sondern weil die Prozesse nicht mithalten können. Beweisdaten aus der Cloud gehen oft verloren, bevor sie überhaupt erfasst wurden. Log-Dateien sind fragmentiert, klassische Agenten nicht einsetzbar, und die Verantwortlichkeiten innerhalb der Organisation oft unklar.

Viele Incident-Response-Teams arbeiten noch immer mit Tools, die auf manuelle Schnitte, Exporte und Korrelationsarbeit angewiesen sind. Heute kompromittieren Angreifer innerhalb von Stunden Systeme, exfiltrieren Daten und lassen sie wieder verschwinden.

Ein neuer Ansatz für ein altes Problem

Die entscheidende Frage lautet also: Wie lässt sich eine forensische Untersuchung in der Cloud so gestalten, dass sie der Geschwindigkeit, Komplexität und Flüchtigkeit dieser Systeme gerecht wird?

Statt auf traditionelle Agenten oder nachgelagerte Analyseprozesse zu setzen, wird bei der forensischen Datenerhebung automatisch und unmittelbar nach dem Auslösen eines Alarms gestartet – entweder durch die Plattform selbst oder durch bestehende SIEM-, XDR- oder Cloud-native Tools.

Gesammelt werden Host-Daten wie Speicherinhalte, Log-Dateien, Prozessinformationen und Systemzustände – auch von schnelllebigen Assets, die nur für kurze Zeit aktiv sind. Die Daten werden über standardisierte Cloud-APIs erfasst, wodurch sich die Lösung ohne aufwendige Konfiguration in bestehende Umgebungen integrieren lässt – unabhängig davon, ob es sich um AWS, Azure, GCP oder hybride Strukturen handelt.

Warum Automatisierung nicht gleich Standardisierung ist

Entscheidend ist dabei sowohl die Geschwindigkeit, als auch die Qualität der Informationen. Automatisierte Forensik bedeutet nicht, möglichst viele Daten schnell zu sammeln – vielmehr die relevanten Spuren im richtigen Moment zu sichern.

Dazu gehören insbesondere volatile Daten, die in klassischen Analysemodellen oft verloren gehen: z.B. in RAM gespeicherte Sitzungstoken, temporäre Log-Einträge oder Shell-Historien aus kurzlebigen Containerinstanzen. Diese Informationen sind essenziell, um z. B. Laterale Bewegung, Privilegienerweiterung oder das Ausführen von Living-off-the-Land-Techniken zu rekonstruieren. Es sind also Angriffsformen, die bewusst auf Unauffälligkeit und Legitimität setzen.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Mit einem konsolidierten Ablaufdiagramm – einer sogenannten forensischen Timeline – lassen sich solche Muster erkennen und auch beweisfähig dokumentieren. Das hilft bei der aktiven Reaktion und bei der Aufarbeitung und Kommunikation gegenüber Aufsichtsbehörden, Partnern oder internen Stakeholdern.

Kritische Infrastrukturen besonders betroffen

Besonders deutlich wird der Bedarf an automatisierter Forensik in KRITIS-Umgebungen. Der BSI-Bericht beschreibt Cloud-Infrastrukturen inzwischen als „eine zentrale potenzielle Schwachstelle im Betrieb kritischer Systeme“, hauptsächlich, wenn es um Transparenz, Segmentierung und Prozessverantwortung geht.

Die Komplexität steigt, sowohl technisch als auch regulatorisch. Betreiber kritischer Infrastrukturen sehen sich mit verschärften Anforderungen konfrontiert – etwa im Rahmen des IT-Sicherheitsgesetzes oder der NIS-2-Richtlinie. Gleichzeitig müssen Ausfälle vermieden, Systeme hochverfügbar gehalten und Sicherheitsvorfälle transparent und schnell analysiert werden.

Automatisierte Forensik ist dabei eine methodische Antwort auf diese Mehrfachbelastung. Sie ermöglicht schnelle Eingriffsmöglichkeiten, sichert kritische Daten, liefert belastbare Entscheidungsgrundlagen und macht es möglich, nach einem Angriff nicht einfach nur zu reagieren, nämlich auch strukturelle Schwachstellen präzise zu erkennen und künftig zu vermeiden.

Schlussfolgerung: Resilienz beginnt mit Einsicht

Die Verteidigung digitaler Infrastrukturen darf sich nicht länger nur auf Prävention und Abschottung konzentrieren. Heute werden Angriffe immer schneller und komplexer, demnach müssen Organisationen in der Lage sein, ganzheitlich zu verstehen, was genau vor sich geht. Eine moderne Forensikstrategie, die auf Automatisierung, Integration und Echtzeit-Reaktion basiert, ist eine betriebliche Notwendigkeit. Sie schafft Transparenz in kritischen Momenten, reduziert die Abhängigkeit von Spezialwissen und hilft dabei, auch unter Zeitdruck die richtigen Entscheidungen zu treffen.

Über die Autorin: Dr. Beverly McCann arbeitet seit über 5 Jahren bei Darktrace, aktuell in der Zentrale in Cambridge. Zuvor leitete sie als Director of Analysis für EMEA die Analystenteams.

(ID:50781154)

Weiterführende Inhalte