SaaS Security Posture Management (SSPM) Gefährliche Bequemlichkeit auf Kosten der Sicherheit

Anbieter zum Thema

NTT DATA Deutschland SE

Fsas Technologies GmbH

FAST LTA GmbH

SEPPmail - Deutschland GmbH

Die Auslagerung von Anwendungen ist in der modernen Geschäftswelt längst zum Standard geworden. Doch während Unternehmen immer häufiger auf Software-as-a-Service (SaaS) setzen, wird ein entscheidender Aspekt oft vernachlässigt: die Cybersecurity. Das kann zu gefährlichen Sicherheitslücken führen, die Unternehmen teuer zu stehen kommen.

SaaS-Lösungen erfreuen sich großer Beliebtheit, immerhin ermöglichen sie es Unternehmen, Anwendungen und Dienste flexibel zu nutzen, ohne die Notwendigkeit einer eigenen Infrastruktur. Doch gerade hier entstehen oft erhebliche Sicherheitsrisiken. SaaS-Services werden in der Regel von externen Anbietern bereitgestellt, die die Anwendungen hosten, verwalten und aktualisieren. Diese Updates und automatischen Änderungen können jedoch ohne Wissen und Kontrolle der internen IT-Abteilung erfolgen. Besonders kritisch wird es, wenn diese Änderungen Sicherheitslücken öffnen oder den Datenschutz gefährden.

Ein Beispiel: Ein Unternehmen führt einen neuen SaaS-Service ein, um die interne Kommunikation zu verbessern. Zu Beginn wird die Sicherheitskonfiguration geprüft und freigegeben. Doch schon mit dem nächsten Update können neue Funktionen aktiviert werden, die standardmäßig weniger sicher sind oder sensible Daten ohne Zustimmung der Nutzer in die Cloud übertragen. Ohne kontinuierliche Überwachung kann so eine einzige Änderung zum Risiko werden.

Das Problem: Sicherheit wird bei der Auslagerung vernachlässigt

Ein wesentliches Problem bei der Auslagerung von IT-Dienstleistungen ist, dass der Prozess häufig ausschließlich von geschäftlichen Anforderungen getrieben wird. Unternehmen konzentrieren sich in erster Linie auf Funktionalität und Kosteneffizienz, während Cybersicherheitsanforderungen oft nur am Rande berücksichtigt werden. Die Folge: Sicherheitsüberprüfungen und Datenschutzanalysen werden lediglich als Momentaufnahmen durchgeführt, die jedoch schnell überholt sind. Mit jedem Update eines SaaS-Services kann sich die Sicherheitslage ändern, ohne dass dies sofort bemerkt wird.

Noch problematischer wird es, wenn ausgelagerte Dienste nicht in zentrale Sicherheits- und Identitätsmanagementsysteme eingebunden sind. Viele Unternehmen verzichten darauf, solche Dienste in ihr Identity and Access Management (IAM) zu integrieren oder einen Identity Provider (IDP) für Single Sign-On (SSO), Multi-Faktor-Authentifizierung (MFA) oder streng reglementierten Zugriff zu nutzen. Ohne diese Verknüpfungen entsteht jedoch eine Lücke in der Sicherheitsarchitektur, durch die Schwachstellen leichter ausgenutzt werden können. Was dabei gerne vergessen wird: Bei der Nutzung von Cloud-Diensten gilt das Shared Responsibility Model, das festlegt, welche Sicherheitsverantwortung beim Cloud-Anbieter und welche beim Unternehmen selbst liegt. Viele Nutzer sind sich oft nicht bewusst, dass sie für bestimmte Sicherheitsaspekte wie Datenverschlüsselung oder Zugangskontrollen selbst verantwortlich bleiben.

Neuer Ansatz: SaaS Security Posture Management

Um diesen Risiken etwas entgegenzusetzen, benötigen Unternehmen neue, strukturierte Prozesse, die Cybersicherheit von Anfang an in das Outsourcing integrieren. Dafür bietet sich ein effektives SaaS Security Posture Management (SSPM) in Form von zwischengeschalteten Sicherheitstools an. SSPM ermöglicht es Unternehmen, SaaS-Anwendungen kontinuierlich zu überwachen und potenzielle Risiken frühzeitig zu erkennen. Dabei geht es nicht nur um initiale Sicherheitsbewertungen, sondern auch um die Kontrolle der Anwendungskonfiguration und aller Updates.

SSPM-Tools bieten automatisierte Überwachungsfunktionen, die Änderungen in den SaaS-Diensten erkennen und Auffälligkeiten sofort an ein SIEM (Security Information and Event Management)-System weiterleiten. Dieses SIEM analysiert die Daten und identifiziert potenzielle Bedrohungen, die von Sicherheitsteams im Security Operations Center (SOC) weiter bearbeitet werden. So können Unternehmen schnell auf Veränderungen reagieren und Sicherheitsmaßnahmen einleiten, bevor kritische Schwachstellen ausgenutzt werden.

Weiterer Baustein: Identitätsmanagement und Zugriffskontrolle

Neben der Überwachung der SaaS-Dienste spielt auch das Identitätsmanagement eine entscheidende Rolle. In vielen Unternehmen verfügen externe Services über weitreichende Administrationsrechte, die bei unsachgemäßer Handhabung ein erhebliches Risiko darstellen. Daher ist es unerlässlich, die Rechtevergabe und den Zugriff auf diese Dienste streng zu kontrollieren. Hier kommt das Privileged Access Management (PAM) ins Spiel, das sicherstellt, dass nur autorisierte Benutzer mit den richtigen Berechtigungen auf sensible Bereiche der IT-Infrastruktur zugreifen können.

Durch die Integration der SaaS-Services in das eigene IAM- und PAM-System können Unternehmen gewährleisten, dass der Zugriff auf die Dienste stets nach den gleichen strengen Richtlinien erfolgt wie auf die unternehmenseigenen IT-Ressourcen. Funktionen wie Single Sign-On und Multi-Faktor-Authentifizierung bieten zusätzlichen Schutz und verhindern, dass unbefugte Dritte Zugriff auf kritische Daten erhalten.

Umfangreicher Anforderungskatalog: Was muss die SSPM-Lösung können?

Bei der Auswahl eines Anbieters für SaaS Security Posture Management sollten Unternehmen eine Reihe von Aspekten berücksichtigen, um sicherzustellen, dass die Lösung sowohl den Sicherheitsanforderungen als auch den geschäftlichen Bedürfnissen gerecht wird. Zunächst sollte der SSPM-Anbieter ein breites Spektrum an SaaS-Services unterstützen. Da Unternehmen häufig mehrere Anwendungen nutzen, reicht es nicht aus, wenn das Tool nur die großen Plattformen wie Microsoft 365, Google Workspace oder Salesforce abdeckt. Auch spezialisierte SaaS-Lösungen, die branchenspezifisch eingesetzt werden, müssen integriert sein. Das SSPM-System sollte zudem eine kontinuierliche und vor allem automatisierte Überwachung bieten. Dazu gehört, dass unerwartete Zugriffsversuche, verdächtige Konfigurationsänderungen oder der Missbrauch von Administratorrechten in Echtzeit erkannt werden. Eine automatisierte Lösung hilft, potenzielle Probleme schneller zu identifizieren und Risiken zu minimieren. Durch die Bereitstellung eines Risikoprofils können Unternehmen zudem priorisieren, welche Bedrohungen sofort adressiert werden müssen.

In diesem Zusammenhang sollte eine nahtlose Integration mit bestehenden Sicherheitsinfrastrukturen wie Security Information and Event Management (SIEM) und Security Orchestration, Automation and Response (SOAR) selbstverständlich sein. So können Bedrohungen, die in SaaS-Services erkannt werden, sofort in das Gesamtbild der IT-Sicherheitslage integriert und in automatisierte Reaktionen einbezogen werden. Die Möglichkeit, Daten aus dem SSPM an SIEM-Tools zu übergeben und automatisierte Playbooks in SOAR-Systemen auszuführen, erhöht die Effizienz und Reaktionsfähigkeit. SSPM sollte darüber hinaus dabei helfen, die Einhaltung von Sicherheitsstandards und gesetzlichen Vorschriften wie DSGVO, Health Insurance Portability and Accountability Act (HIPAA) und ISO 27001 zu gewährleisten. Ein wichtiges Feature ist die Möglichkeit, Audit-Berichte zu generieren, die dokumentieren, wie SaaS-Services konfiguriert und überwacht wurden, und ob diese den internen und externen Compliance-Vorgaben entsprechen.

Das Betriebsmodell: Reicht die interne Expertise?

Ein anderer Punkt ist die Frage des Betriebsmodells. Theoretisch können Unternehmen ein SSPM selbst implementieren, stoßen aber wegen der technischen Komplexität und dem Ressourcenbedarf an ihre Grenzen, da es an Fachkräften mit entsprechender Expertise mangelt. Vor diesem Hintergrund kann ein Managed Service Provider (MSP) eine attraktive Option sein. Unternehmen können auf das Know-how und die Erfahrung von IT-Sicherheitsspezialisten zurückgreifen, die bereits mit komplexen SaaS-Umgebungen vertraut sind. Statt selbst die Lernkurve durchlaufen zu müssen, profitiert der Kunde von bewährten Best Practices. Ein MSP kann zudem ein kontinuierliches Monitoring und Incident Response rund um die Uhr anbieten, sodass Sicherheitsprobleme schneller erkannt und behoben werden können, bevor sie größeren Schaden anrichten. Viele MSP bieten auch spezielle Dienstleistungen an, um Unternehmen bei Compliance-Vorgaben zu unterstützen. Dabei übernehmen sie sogar die Verantwortung für regelmäßige Audits und Reportings, um sicherzustellen, dass alle SaaS-Anwendungen den geltenden Vorschriften entsprechen.

Letztlich gilt: Vertrauen ist gut, aber vor allem beim Thema IT-Sicherheit ist Kontrolle besser. Unternehmen, die sich auf SaaS-Services verlassen, müssen sicherstellen, dass ihre Sicherheitsstrategien mit der Flexibilität und Geschwindigkeit dieses Modells Schritt halten. Nur so können sie ihre Geschäftsprozesse sicher und effizient gestalten.

Über den Autor: Patrice Volkmer ist Vice President Application Security & Identity, Access and Key Management bei NTT DATA DACH.

(ID:50357629)