Einbrüche in Cloud-Umgebungen folgen einem anderen Muster als klassische Angriffe auf das Firmennetz. Im Mittelpunkt stehen gestohlene Zugangsdaten und missbrauchte Schnittstellen statt Schadsoftware auf einem Endgerät — und die Spuren verteilen sich über die Protokolle mehrerer Dienste.
Cloud Detection and Response (CDR) macht solche Angriffe sichtbar, während sie laufen, und stellt die Mittel bereit, sie rasch einzudämmen. Der Ansatz erweitert damit die Cloud-Sicherheit über reine Prävention hinaus.
Was ist Cloud Detection and Response (CDR)?
CDR steht für Verfahren und Werkzeuge, die Bedrohungen in Cloud-Umgebungen aufspüren, bewerten und eine gezielte Reaktion erlauben. Zwei Fragen stehen im Zentrum: Auf welchen Wegen könnte sich ein Angreifer durch die Umgebung bewegen — und ist er gerade unterwegs? Dazu verknüpft CDR Signale aus der Steuerungsebene der Cloud, aus Identitätsdiensten, aus dem Netzwerk und von den Workloads selbst. Im Unterschied zu reiner Prävention kalkuliert der Ansatz ein, dass einzelne Schutzmaßnahmen versagen können. Entscheidend ist dann, wie früh ein laufender Angriff auffällt und wie schnell sich sein Pfad unterbrechen lässt. Organisatorisch schließt CDR zudem die Lücke zwischen Cloud-Betrieb und Sicherheitsteam: Beide arbeiten auf derselben Datenbasis mit abgestimmten Abläufen, statt sich erst im Ernstfall zusammenzufinden.
So funktioniert es
CDR arbeitet als fortlaufender Kreislauf:
- Telemetrie zusammenführen: Ausgewertet wird, was Cloud-Plattformen ohnehin erzeugen: Audit-Protokolle der Steuerungsebene, Flow-Logs des Netzwerks, Ereignisse des Identitätsdienstes und Signale der Workloads. Je vollständiger diese Grundlage, desto kleiner die blinden Flecken.
- Normalverhalten erlernen: Aus dem Alltagsbetrieb der Umgebung entstehen Baselines. Ungewöhnliche API-Aufrufe oder untypische Datenabflüsse heben sich dann klar vom gewohnten Bild ab.
- Angriffspfade korrelieren: Einzelereignisse werden zu Ketten verknüpft — erst die kompromittierte Identität, dann die Rechteausweitung, schließlich der Zugriff auf Datenbestände. Spezialisierte Werkzeuge visualisieren solche Pfade auf Basis realer Datenflüsse.
- Nach Auswirkung priorisieren: Längst nicht jede Auffälligkeit ist ein Vorfall. CDR bewertet Funde danach, ob ein gangbarer Pfad zu kritischen Daten besteht. Das dämpft die Alarmflut und lenkt die Aufmerksamkeit auf reale Risiken.
- Reagieren und eindämmen: Im Ernstfall zählen Minuten: Sitzungen beenden, Schlüssel sperren, Segmente schließen, betroffene Workloads isolieren. Je besser diese Schritte vorbereitet und automatisiert sind, desto kürzer bleibt das Zeitfenster des Angreifers.
- Nachbereiten: Erkenntnisse aus jedem Vorfall fließen in Härtung und Richtlinien zurück, damit derselbe Pfad kein zweites Mal funktioniert.
Warum es wichtig ist
- Angriffe laufen automatisiert: Kompromittierte Cloud-Zugänge werden maschinell ausgenutzt, oft schon kurz nach dem Diebstahl. Nachträgliche Erkennung kommt regelmäßig zu spät.
- Identitäten sind das Einfallstor: Gestohlene Schlüssel und überprivilegierte Rollen treten an die Stelle des klassischen Perimeter-Durchbruchs. Firewalls am Netzwerkrand bekommen davon wenig mit.
- Ressourcen sind kurzlebig: Instanzen existieren mitunter nur Minuten. Wird die Protokollierung erst nach einem Vorfall aktiviert, fehlen verwertbare Spuren.
- Verantwortung ist geteilt: Der Cloud-Anbieter sichert die Plattform ab. Missbrauch innerhalb des eigenen Kontos zu erkennen, bleibt Aufgabe des Kunden.
- Meldepflichten laufen sonst leer: Vorgaben wie NIS-2 verlangen, Vorfälle binnen kurzer Fristen einzuordnen und zu melden. Ohne Erkennungsfähigkeit ist keine dieser Fristen zu halten.
Typische Szenarien
Ein Dauerbrenner ist der API-Schlüssel, der versehentlich in einem Code-Repository landet und kurz darauf für Ressourcenmissbrauch herhält, etwa für Kryptomining auf Rechnung des Kontoinhabers. Ähnlich häufig: Eine Fehlkonfiguration öffnet einen Speicherdienst, und sensible Daten fließen über völlig legitime Kanäle ab. In hybriden Umgebungen fällt ein Angreifer auf, der sich von einem kompromittierten Server im Rechenzentrum in Richtung Cloud-Datenbank vorarbeitet. In Multicloud-Setups schafft CDR eine gemeinsame Sicht über Plattformgrenzen hinweg, wo sonst jede Plattform einzeln mit Bordmitteln überwacht werden müsste. Hinzu kommt der Blick nach innen: Auch der Fehlgebrauch legitimer Zugänge — etwa ein Dienstkonto, das plötzlich Daten in ungewohntem Umfang liest — zeigt sich in Verhaltensabweichungen. Allen Fällen gemeinsam: Die entscheidenden Hinweise stecken in Datenflüssen und Protokollen, die bereits existieren und nur zusammengeführt werden müssen.
Abgrenzung zu EDR
Endpoint Detection and Response (EDR) beobachtet einzelne Systeme von innen — über einen Agenten, der Prozesse und Dateiaktivitäten auf Servern und Endgeräten verfolgt. CDR setzt eine Ebene darüber an: bei der Steuerungsebene der Cloud, bei Identitäten und bei den Datenflüssen zwischen Diensten. Nötig ist das aus zwei Gründen: Viele Cloud-Ressourcen bieten keinem Agenten Platz, von verwalteten Datenbanken bis zu Serverless-Funktionen. Und Cloud-Angriffe kommen oft ganz ohne Schadsoftware aus, allein über missbrauchte Berechtigungen. Beide Ansätze ergänzen einander: EDR blickt tief in den einzelnen Workload hinein, CDR erkennt die Bewegung zwischen Workloads, Diensten und Konten.
Erkennung und Eindämmung verzahnen
Erkennung entfaltet ihren Wert erst zusammen mit einem Hebel zur Reaktion. Mikrosegmentierung liefert beides: Die ohnehin erfassten Datenflüsse dienen als Telemetriebasis, und ein erkannter Angriffspfad lässt sich per Richtlinie unmittelbar schließen, ohne Systeme abzuschalten. In der Praxis begleiten spezialisierte Managed-Service-Provider den Aufbau von Erkennungs- und Reaktionsprozessen — von der Auswahl der Telemetriequellen bis zum eingespielten Reaktionsablauf, etwa im Rahmen von Professional Services. Den Einstieg bildet meist eine Analyse der tatsächlichen Datenströme.
Häufige Fragen
Macht CDR ein SIEM überflüssig?
Nein, beide ergänzen sich. Ein SIEM sammelt und archiviert Ereignisse aus der gesamten IT und deckt auch Compliance-Anforderungen ab. CDR steuert die cloudspezifische Tiefe bei: Verständnis für Steuerungsebene, Identitäten und kurzlebige Ressourcen samt vorbereiteter Reaktionsschritte. Oft speist CDR seine priorisierten Erkenntnisse in das vorhandene SIEM ein, statt es zu ersetzen.
Welche Datenquellen sind für CDR unverzichtbar?
Den Kern bilden die Audit-Protokolle der Cloud-Steuerungsebene und die Ereignisse des Identitätsdienstes — dort zeigen sich Kontenmissbrauch und Rechteausweitung zuerst. Flow-Logs des Netzwerks machen zusätzlich sichtbar, welche Systeme tatsächlich miteinander kommunizieren. Signale der Workloads runden das Bild ab, sind aber eher verzichtbar als die beiden erstgenannten Quellen.
Deckt CDR mehrere Cloud-Plattformen gleichzeitig ab?
Ja — gerade dort spielt der Ansatz seine Stärke aus. Die Bordmittel einzelner Plattformen enden an der eigenen Kontogrenze, während sich Angreifer um solche Grenzen nicht kümmern. CDR führt Telemetrie aus AWS, Azure und Google Cloud in einer gemeinsamen Sicht zusammen und bewertet Angriffspfade über Plattform- und Rechenzentrumsgrenzen hinweg.
Welche Rolle spielt Mikrosegmentierung für CDR?
Segmentierung liefert Sichtbarkeit und Reaktionshebel zugleich. Die Datenflüsse, die eine Segmentierungslösung ohnehin erfasst, zeigen Angriffsbewegungen zwischen Workloads nahezu in Echtzeit. Im Ernstfall schließt eine Richtlinienänderung den erkannten Pfad sofort, ohne Systeme stillzulegen. Erkennung und Eindämmung greifen so ineinander, statt getrennte Werkzeuge zu bleiben.
Ist CDR auch für mittelständische Unternehmen sinnvoll?
Ja — sobald geschäftskritische Prozesse in der Cloud laufen. Gerade kleinere IT-Teams profitieren von priorisierten Funden statt roher Alarmflut, weil Kapazität für manuelle Loganalyse fehlt. Entscheidend ist ein pragmatischer Zuschnitt: wenige, dafür vollständig angebundene Telemetriequellen und eingeübte Reaktionsschritte statt eines Großprojekts mit langer Anlaufzeit.