Field Notes / Cloud
Cloud Security Audit Checkliste für Schweizer Unternehmen
Die Prüfpunkte, mit denen Sie Fehlkonfigurationen in Azure, AWS und Microsoft 365 finden, bevor ein Angreifer sie findet. Mit CIS-Benchmarks, den fünf häufigsten Lücken und den Schweizer Compliance-Vorgaben.
01 Warum die Cloud Sie zuerst trifft
Die Annahme, der Cloud-Anbieter kümmere sich um die Sicherheit, ist der teuerste Irrtum in der Schweizer IT. Das Shared-Responsibility-Modell teilt die Verantwortung klar auf: Der Anbieter schützt Rechenzentrum und Plattform, Sie schützen die Konfiguration, die Zugriffe und die Daten. Wer diese Grenze übersieht, lässt genau die Tür offen, durch die Angreifer heute am häufigsten kommen.
Über 78 Prozent der Schweizer Unternehmen nutzen mindestens einen Cloud-Dienst, viele fahren Multi-Cloud mit Azure, AWS und Microsoft 365. Mit jeder Migration steigt die Angriffsfläche. Laut dem Verizon DBIR 2025 sind Webanwendungen und Cloud-Dienste inzwischen der häufigste Vektor für Datenpannen, noch vor Phishing und kompromittierten Endgeräten. In 68 Prozent der Fälle war menschliches Versagen die Ursache, meist eine Fehlkonfiguration oder ein zu weit gefasster Zugriff Verizon DBIR 2025 .
Die Rechnung dahinter ist eindeutig. Eine cloud-basierte Datenpanne kostet laut IBM im Schnitt USD 4,88 Millionen, rund 13 Prozent mehr als ein Vorfall in einer On-Premises-Umgebung, und bleibt im Schnitt 258 Tage unentdeckt IBM 2025 . In diesen 258 Tagen liest jemand mit. Für Schweizer Betriebe liegt der Schaden wegen höherer Lohn- und Regulierungskosten noch darüber.
02 CIS-Benchmarks als Prüfrahmen
Damit ein Audit nicht zur Meinungssache wird, brauchen Sie einen Massstab. Wir prüfen gegen die CIS-Benchmarks des Center for Internet Security. Das sind konsensbasierte Konfigurationsrichtlinien, die eine globale Community aus Sicherheitsexperten pflegt und regelmässig aktualisiert. Sie gelten als internationaler De-facto-Standard für die Härtung von Cloud-Umgebungen und geben Ihnen ein Scoring, das automatisiert und manuell überprüfbar ist CIS 2025 .
Für Schweizer Unternehmen sind drei Benchmarks relevant. Sie decken die Plattformen ab, die hier am häufigsten laufen.
| Benchmark | Umfang | Abgedeckte Dienste |
|---|---|---|
| CIS Microsoft Azure Foundations v3.0 | 170+ Prüfpunkte | Azure-Abonnements, Entra ID, Netzwerk, Storage |
| CIS Amazon Web Services Foundations v4.0 | 60+ Prüfpunkte | AWS-Konten, IAM, CloudTrail, S3, VPC |
| CIS Microsoft 365 Foundations v4.0 | 120+ Prüfpunkte | Exchange Online, SharePoint, Teams, Entra ID |
03 Die Checkliste: Azure, AWS, M365
Diese Tabelle fasst die wichtigsten Prüfpunkte zusammen, aufgeteilt nach Plattform. Ein Häkchen bedeutet, dass die Kontrolle für diese Plattform gilt. Arbeiten Sie die Liste ab, und Sie schliessen die Lücken, die in unseren Assessments am häufigsten auftauchen. Ein vollständiges Audit umfasst je nach Plattform 150 bis 300 einzelne Kontrollpunkte, dies sind die tragenden.
| Prüfpunkt | Azure | AWS | M365 |
|---|---|---|---|
| Identität und Zugriff | |||
| MFA für alle Administratoren erzwungen | ✓ | ✓ | ✓ |
| MFA für alle Benutzer aktiviert | ✓ | ✓ | ✓ |
| Conditional Access Policies konfiguriert | ✓ | – | ✓ |
| Root-/Global-Admin-Konto gesichert und selten genutzt | ✓ | ✓ | ✓ |
| Privileged Identity Management (PIM), Just-in-Time-Zugriff | ✓ | ✓ | ✓ |
| Inaktive und verwaiste Konten entfernt | ✓ | ✓ | ✓ |
| Service-Principals und IAM-Rollen nach Least Privilege | ✓ | ✓ | – |
| Netzwerk und Infrastruktur | |||
| Netzwerksegmentierung (VNet/VPC) implementiert | ✓ | ✓ | – |
| Security Groups restriktiv konfiguriert | ✓ | ✓ | – |
| Keine öffentlichen Management-Ports (RDP/SSH) | ✓ | ✓ | – |
| Web Application Firewall für öffentliche Anwendungen | ✓ | ✓ | – |
| DDoS-Schutz aktiviert | ✓ | ✓ | – |
| Datensicherheit | |||
| Verschlüsselung at Rest mit kundenverwalteten Schlüsseln | ✓ | ✓ | ✓ |
| Verschlüsselung in Transit (TLS 1.2+) erzwungen | ✓ | ✓ | ✓ |
| Storage-Konten und S3-Buckets nicht öffentlich | ✓ | ✓ | – |
| Data Loss Prevention Policies aktiv | ✓ | ✓ | ✓ |
| Sensitivity Labels konfiguriert | ✓ | – | ✓ |
| Logging und Monitoring | |||
| Audit Logging aktiviert und zentralisiert | ✓ | ✓ | ✓ |
| CloudTrail, Activity Log, Unified Audit Log aktiviert | ✓ | ✓ | ✓ |
| Alerting für sicherheitsrelevante Ereignisse | ✓ | ✓ | ✓ |
| Log-Aufbewahrung mindestens 90 Tage | ✓ | ✓ | ✓ |
| Defender for Cloud, Security Hub, Secure Score aktiviert | ✓ | ✓ | ✓ |
| E-Mail und Collaboration | |||
| SPF, DKIM und DMARC korrekt konfiguriert | – | – | ✓ |
| Anti-Phishing-Policies in Defender for Office 365 | – | – | ✓ |
| Safe Attachments und Safe Links aktiviert | – | – | ✓ |
| Externe Freigaben in SharePoint und OneDrive begrenzt | – | – | ✓ |
| Teams-Gastzugriff kontrolliert und eingeschränkt | – | – | ✓ |
04 Die fünf teuersten Lücken
Aus mehr als hundert Cloud Security Audits für Schweizer Unternehmen kennen wir die Lücken, die in fast jeder Umgebung auftauchen. Diese fünf finden wir am häufigsten, und jede einzelne reicht als Einstiegspunkt.
1. Überprivilegierte Identitäten
Zu viele Konten mit Global-Admin- oder Root-Rechten. Microsoft empfiehlt maximal zwei bis vier Global Admins pro Tenant. Wir sehen regelmässig 15 und mehr. Jedes dieser Konten ist ein potenzieller Einstiegspunkt. Die Antwort heisst Privileged Identity Management mit zeitlich begrenztem, just-in-time gewährtem Zugriff.
2. Öffentlich erreichbarer Storage
Offene S3-Buckets und Azure Blob Storage ohne Zugriffsschutz gehören nach wie vor zu den häufigsten Ursachen für Datenlecks. AWS hat die Standardeinstellungen verschärft, doch bei älteren Konten oder manuell geänderten Konfigurationen bleibt das Risiko. Prüfen Sie: Block Public Access muss auf Konto- und Bucket-Ebene aktiv sein.
3. Lückenhaftes Logging
Ohne vollständige Audit-Logs ist keine Vorfallsanalyse möglich. Oft ist AWS CloudTrail nur für Management Events aktiv, nicht für Data Events. In Azure fehlt die Weiterleitung der Activity Logs an ein zentrales SIEM. Und in Microsoft 365 ist das Unified Audit Log häufig standardmässig deaktiviert.
4. Schwache E-Mail-Authentifizierung
Viele M365-Tenants haben keinen oder einen fehlerhaften DMARC-Record. Ohne DMARC mit reject-Policy versenden Angreifer E-Mails im Namen Ihres Unternehmens. Das ist der ideale Ausgangspunkt für Phishing und Business Email Compromise.
5. Fehlende Netzwerksegmentierung
Flache Cloud-Architekturen erlauben Angreifern nach dem ersten Zugriff die laterale Bewegung durch die ganze Umgebung. Virtuelle Netzwerke, Subnetze und Network Security Groups gehören nach dem Least-Privilege-Prinzip konfiguriert, sonst wird aus einem einzelnen Fehler ein Vollzugriff.
05 Compliance, Prozess und Fahrplan
Neben der Technik entscheidet die Regulierung, wie tief Ihr Audit gehen muss. Schweizer Unternehmen tragen drei Ebenen von Anforderungen, und jede verlangt einen anderen Nachweis.
| Regelwerk | Gilt für | Was es verlangt |
|---|---|---|
| nDSG (seit 1.9.2023) | Alle Betriebe mit Personendaten | Angemessene technische und organisatorische Massnahmen, sichere Auslandübermittlung |
| FINMA-Rundschreiben 2023/1 | Beaufsichtigte Finanzinstitute | Meldung von Cloud-Auslagerungen, Ausstiegsstrategie, Prüfrechte, Datenstandort |
| Branchenrecht (EPDG, ISG) | Gesundheit, kritische Infrastruktur | Zusätzliche Vorgaben zu Datenhaltung und Schutz kritischer Systeme |
Die Nutzung der Schweizer Cloud-Regionen von Azure (Switzerland North und West) und AWS (Zürich, eu-central-2) erleichtert die nDSG-Konformität, ersetzt aber weder die Datenschutz-Folgenabschätzung noch das technische Audit. Das BACS empfiehlt Schweizer Unternehmen ausdrücklich die regelmässige Prüfung der Cloud-Konfiguration anhand internationaler Standards wie der CIS-Benchmarks, mit besonderem Gewicht auf MFA, Logging und minimaler Rechtevergabe BACS 2024 .
Ein Audit ist kein einmaliges Projekt, sondern der Startpunkt. Cloud-Umgebungen ändern sich schnell: neue Dienste, neue Berechtigungen, angepasste Konfigurationen. Innerhalb weniger Wochen entstehen neue Lücken. Genau hier setzt RTP Robin an. Das Dashboard wiederholt den geprüften Angriff, sobald sich Ihre Cloud-Konfiguration verändert, und ein Mensch validiert jeden Befund, bevor er Sie erreicht. So kauft ein Audit ein Jahr laufender Nachprüfung statt einer Momentaufnahme.
- Scoping: alle Tenants, Abonnements und Konten erfassen und den Prüfrahmen festlegen (CIS Level 1 oder 2).
- Automatisierter Scan: Secure Score, Security Hub und CSPM-Werkzeuge liefern die erste Bestandsaufnahme.
- Manuelle Prüfung: Architektur, Zugriffe, Netzwerkdesign und Compliance durch zertifizierte Operatoren.
- Risikobewertung: jeden Befund nach Schweregrad einstufen und nach Aufwand und Wirkung priorisieren.
- Umsetzen und quartalsweise nachprüfen: kritische Kontrollen laufend validieren, nach jeder grösseren Änderung neu testen.
Wie sicher ist Ihre Cloud-Umgebung wirklich? Ein kostenloses Erst-Audit von Red Team Partners liefert Ihnen die offenen Lücken in Azure, AWS und M365, den wahrscheinlichsten Weg hinein und eine priorisierte Fix-Liste, geschrieben für Ihre Technik und Ihren Vorstand. Enterprise-grade. Nicht enterprise-priced.
References
Sources
- IBM Security. Cost of a Data Breach Report 2025. IBM Corporation, 2025. ibm.com
- Thales. 2025 Cloud Security Study. Thales Group, 2025. cpl.thalesgroup.com
- Verizon. 2025 Data Breach Investigations Report (DBIR). Verizon Business, 2025. verizon.com
- Center for Internet Security. CIS Benchmarks für Azure, AWS und Microsoft 365. CIS, 2025. cisecurity.org
- Bundesamt für Cybersicherheit (BACS). Empfehlungen zur Cloud-Sicherheit. BACS, 2024. ncsc.admin.ch
- FINMA. Rundschreiben 2023/1 Operationelle Risiken und Resilienz. FINMA, 2023. finma.ch