Die Nutzung von Cloud-Technologien und -Produkten – ob als Infrastructure-as-a-Service (IaaS), Platform-as-a-Service (PaaS) oder Software-as-a-Service (SaaS) – ist über die letzten Jahre flächendeckend in der Unternehmenswelt angekommen1. Dabei dominieren vor allem die großen Anbieter Microsoft, Amazon und Google den Markt2. Während Amazon insbesondere im Bereich IaaS und PaaS führend ist, hat sich Microsoft mit seiner M365-Lösung im SaaS-Segment etabliert3. Produkte wie Word, Excel oder Outlook sind längst fester Bestandteil des Arbeitsalltags und aus modernen Büros kaum noch wegzudenken. Das Microsoft zunehmend seine Produkte von der On-Premise-Variante (auf eigener Hardware) in seine Cloud (M365) verlagert, veranlasst auch Unternehmen immer häufiger dazu in die Microsoft Cloud zu migrieren. Keine triviale Aufgabe, denn obwohl Cloud-Lösungen diverse Sicherheitsaspekte in den Zuständigkeitsbereich des Betreibers der Cloud-Infrastruktur verlagern (z. B. Patching des Betriebssystems bei PaaS/SaaS), so bringen sie auch neue, herausfordernde Aufgaben für die Nutzerinnen und Nutzer mit sich. Denn genauso vielfältig wie der Produkt-Dschungel von Microsoft ist, so vielseitig sind auch die Angriffs- und Verbreitungsmethoden, die sich durch die Cloud-Nutzung eröffnen.

Shared Responsibility Model

Phishing ist dabei nach wie vor einer der beliebtesten und zugleich effektivsten Einstiegswege für Angreifer. Eine einzige unachtsam geöffnete E-Mail oder ein falsch eingeschätzter Link genügen, um den ersten Schritt in ein Unternehmensnetzwerk zu ermöglichen. Selbst moderne Schutzmechanismen wie Multi-Faktor-Authentifizierung stellen keine absolute Sicherheit dar. Mit entsprechendem Know-how können auch diese Hürden umgangen werden. In einem früheren Beitrag haben wir bereits gezeigt, wie Angreifer dabei konkret vorgehen.

Gelingt der Einstieg, beginnt die nächste Phase: die systematische Ausnutzung der erlangten Zugänge. Dies kann das unauffällige Auslesen sensibler Daten umfassen, die gezielte Ausweitung von Berechtigungen oder das Starten neuer Phishing-Kampagnen über bereits kompromittierte Konten – je nach Zielsetzung der Angreifer4. Spätestens wenn solches Verhalten auffällig wird, sehen sich Unternehmen mit drängenden Fragen konfrontiert:

  • Was genau ist geschehen? 
  • Welche Systeme oder Datenbestände sind betroffen? 
  • Wie lässt sich das Ausmaß des Vorfalls zuverlässig eingrenzen?

Doch was tun, um diese Fragen zu beantworten und den Vorfall in der M365-Cloud zu behandeln?  

Dabei spielen mehrere Aspekte eine Rolle, die für die Vorfallbehandlung (Incident Handling) und forensische Untersuchung zu berücksichtigen sind. Für eine effektive Behandlung des Vorfalls ist es zunächst entscheidend, die konkreten Rahmenparameter zu kennen. Neben der Erfassung der genauen Symptomatik und den allgemeinen Rahmenbedingungen im Kontext des Notfallmanagements (wie bspw. der Einhaltung von Meldepflichten), sind insbesondere im Public-Cloud-Umfeld die technischen Gegebenheiten zu ermitteln. Zu diesen gehören unter anderem:

  • Für welche Cloud-Produkte hat mein Unternehmen Lizenzen gekauft und welche Lizenzen habe ich gerade aktiv zugewiesen?
  • Welche Produkte werden aktuell aktiv genutzt?
  • Habe ich eine Anbindung von meinen On-Premise-Systemen zu meiner Cloud-Umgebung, sprich Hybrid-Stellungen?
  • Habe ich verschiedene Cloud-Umgebungen verknüpft – Thema Multi-Cloud?
  • Wie ist meine Cloud aktuell konfiguriert? Habe ich noch Standardeinstellungen oder bereits Absicherungsmaßnahmen (Hardening) umgesetzt? Setze ich spezielle Sicherheitsprodukte und -features ein?
  • Welche Rechte hat der mutmaßlich kompromittierte Account?

Dies ist keine vollständige Liste – je nach Antwort ergeben sich häufig weitere, spezifischere Fragestellungen. Dennoch lassen sich anhand der Antworten erste Einschätzungen zu Angriffsmöglichkeiten sowie eine ungefähre Größenordnung der Ausbreitung ableiten. Gleichzeitig können auf Basis der Antworten weitere Schritte für die Vorfallbehandlung, etwa Sofortmaßnahmen und die Identifikation relevanter Daten für eine IT-forensische Untersuchung, abgestimmt werden.

Für forensische Untersuchungen kompromittierter M365-Accounts sind insbesondere die Purview-Logs sowie Logs aus dem Entra ID, wie Sign-In und Audit Logs, von zentraler Bedeutung. Die Verfügbarkeit und Detailtiefe dieser sowie weiterer Protokoll- und Informationsquellen hängt jedoch teilweise von der jeweiligen Lizenzierung ab. Besonders die Purview Audit Logs liefern wertvolle Informationen über die Aktivitäten und Datenzugriffe der Angreifer. Richtig ausgewertet ermöglichen sie es, das Vorgehen der Angreifer nachzuvollziehen und Antworten auf die initialen Fragestellungen zu finden. Microsoft dokumentiert die in den Purview-Logs erfassten Operationen und eine knappe Beschreibung zu deren Bedeutung auf ihrer Webseite. Ergänzend können die aufgezeichneten Ereignisse aus den Entra-ID-Protokollen herangezogen und mit den Purview-Daten korreliert werden. Diese Logs sind auch dann relevant, wenn kein M365, sondern beispielsweise Azure-Dienste (Microsofts PaaS-Lösung) genutzt werden. Im Kontext von Phishing-Vorfällen können zudem die Message Trace Logs aus Exchange Online hilfreiche Hinweise liefern.  

Doch genau zu wissen, was im Ernstfall benötigt wird – und was insbesondere im Cloud-Umfeld zu beachten ist – kann zur echten Herausforderung werden. Neben den allgemeinen Aspekten, die im Rahmen des Notfallmanagements zu berücksichtigen sind, kommt im Cloud-Kontext häufig eine zusätzliche technische Komplexität durch zahlreiche Abhängigkeiten und die Vielfalt der Cloud-Produkte hinzu. In einer solchen Situation kann es daher sinnvoll sein, sich kompetente Unterstützung zu holen. Unsere Expertinnen und Experten stehen Ihnen dabei rund um die Uhr über unsere Notfallhotline zur Seite – sowohl bei der Bewältigung von Sicherheitsvorfällen im Cloud-Umfeld als auch bei anderen IT-Sicherheitsereignissen.

Wer solchen Sicherheitsvorfällen am besten gleich vorbeugen möchte, sollte frühzeitig auf Prävention und Absicherung setzen. Unser Technical Consulting Team unterstützt Sie dabei, Ihre Cloud-Systeme und -Infrastrukturen gezielt abzusichern und dafür zu sorgen, dass mögliche Risiken und sicherheitsrelevante Aspekte rechtzeitig erkannt und berücksichtigt werden.



1 Quelle: Statista, „Nutzung von Cloud Computing in Unternehmen in Deutschland in den Jahren 2011 bis 2024“, URL: https://de.statista.com/statistik/daten/studie/177484/umfrage/einsatz-von-cloud-computing-in-deutschen-unternehmen-2011/ 

2 Quelle: Statista, „Marktanteile der führenden Unternehmen am Umsatz im Bereich Cloud Computing weltweit im 2. Quartal 2025“, URL: https://de.statista.com/statistik/daten/studie/150979/umfrage/marktanteile-der-fuehrenden-unternehmen-im-bereich-cloud-computing/ 

3 Quelle: Statista, „Software-as-a-Service - Weltweit“, URL: https://de.statista.com/outlook/tmo/public-cloud/software-as-a-service/weltweit 

4 Quelle: Microsoft, „Detecting and mitigating a multi-stage AiTM phishing and BEC campaign“, URL: https://www.microsoft.com/en-us/security/blog/2023/06/08/detecting-and-mitigating-a-multi-stage-aitm-phishing-and-bec-campaign/


Dieser Artikel wurde verfasst von