Google Cloud-Sicherheit: 8 Schlüsselkomponenten und wichtige Best Practices

Was ist Google Cloud-Sicherheit?

Die Gewährleistung der Sicherheit in Google Cloud umfasst eine Reihe von Verfahren, Maßnahmen und Produkten zum Schutz von Daten, Anwendungen und Infrastruktur. Dazu gehören Identitäts- und Zugriffsverwaltung, Netzwerksicherheit sowie der Schutz von Daten während der Übertragung und im Ruhezustand.

Der Schwerpunkt der Google Cloud-Sicherheit liegt darauf, sicherzustellen, dass alle Ebenen der Cloud-Umgebung vor Bedrohungen geschützt sind, und Benutzern dabei zu helfen, Anwendungen bereitzustellen und kritische Daten auf sichere Weise zu speichern.

Zu den wichtigsten Komponenten der Google Cloud-Sicherheit gehören die Implementierung von Verschlüsselung, Erkennungsmechanismen sowie eine Reihe von Richtlinien und Kontrollen zum Schutz des Betriebs. Google bietet Sicherheitsdienste an, die in die Infrastruktur integriert sind.

Mit Compliance-Zertifizierungen und Audit-Programmen möchte Google seinen Kunden Sicherheit und Datenschutz gewährleisten. Sicherheitsmaßnahmen sollten kontinuierlich weiterentwickelt werden, um neuen Bedrohungen zu begegnen und Unternehmensdaten und -anwendungen vor unbefugtem Zugriff oder potenziellen Sicherheitsverletzungen zu schützen.

Dies ist Teil einer umfangreichen Reihe von Leitfäden zum Thema Cloud-Sicherheit.

Das Shared-Responsibility-Modell in Google Cloud verstehen

Wie alle öffentlichen Cloud-Anbieter folgt Google Cloud dem Modell der geteilten Verantwortung, das die Sicherheitsaufgaben zwischen der Cloud und ihren Nutzern aufteilt. In diesem Modell verwaltet und kontrolliert Google alle Komponenten von der physischen Infrastruktur bis hin zur Virtualisierungsebene. Die zugrunde liegende Infrastruktur, einschließlich Hardware, Software, Netzwerk und Einrichtungen, liegt in der Verantwortung von Google.

Die Benutzer sind für die Sicherung der Daten in diesen Clouds, die Verwaltung der Anwendungssicherheit, das Identitäts- und Zugriffsmanagement sowie die Konfiguration der Netzwerkkontrollen verantwortlich. Dieses Modell erfordert, dass die Benutzer ihre Verantwortlichkeiten verstehen, um Sicherheitsrisiken effektiv zu managen.

Für Nutzer ist es entscheidend, bewährte Sicherheitspraktiken für die von ihnen kontrollierten Bereiche zu implementieren, beispielsweise starke Authentifizierungsverfahren und Datenverschlüsselung. Google bietet zwar hoffentlich die sichere Grundlage, die Verantwortung für die ordnungsgemäße Nutzung dieser Tools und Prozesse liegt jedoch beim Kunden.

Schlüsselkomponenten der Google Cloud-Sicherheit

1. Infrastruktursicherheit

Die Infrastruktursicherheit von Google Cloud basiert angeblich auf einer mehrstufigen Verteidigungsstrategie, die die Integration mehrerer Sicherheitsebenen zum Schutz von Hardware, Software und Betrieb umfasst. Google entwickelt seine Hardware-Infrastruktur mit einer gehärteten Linux-Version und Chips wie dem Titan-Chip, um eine Hardware-Root of Trust zu etablieren. Dieses Design soll Risiken wie das „Vendor-in-the-Middle“-Problem minimieren.

Die Plattform soll eine sichere Bereitstellung von Diensten, die Sicherheit der Geräte und den Schutz von Benutzeridentitäten und Internetkommunikation gewährleisten. Diese Maßnahmen werden in verschiedenen Phasen des Informationsverarbeitungszyklus angewendet.

2. Netzwerksicherheit

Wie bei anderen Cloud-Anbietern liegt die Netzwerksicherheit in der gemeinsamen Verantwortung von Google und seinen Kunden. Von Google wird erwartet, sicheren und verschlüsselten Datenverkehr im öffentlichen Internet zu gewährleisten und Netzwerkangriffe abzuwehren. Kunden sind für die Definition von Anwendungsperimetern, die Verwaltung der Netzwerksegmentierung und die Implementierung zusätzlicher Schutzmaßnahmen wie DoS-Abwehr verantwortlich.

Die Virtual Private Cloud (VPC) von Google Cloud ermöglicht private Konnektivität über Regionen hinweg, ohne den Datenverkehr dem öffentlichen Internet auszusetzen. Shared VPC ermöglicht mehreren Projekten innerhalb einer Organisation die sichere gemeinsame Nutzung eines einzigen VPC-Netzwerks. Zusätzliche Funktionen wie VPC-Flow-Logs, global verteilte Firewalls und VPC Service Controls erhöhen die Perimetersicherheit und ermöglichen Netzwerküberwachung und Zugriffsverwaltung.

3. Anwendungssicherheit

Die Sicherung von Anwendungen in Google Cloud erfordert eine Kombination aus integrierten Tools und kundenorientierten Vorgehensweisen. Kunden sind für die Implementierung von Authentifizierungs- und Autorisierungsmechanismen, die Blockierung bösartigen Datenverkehrs und die Sicherung von APIs verantwortlich.

Google Cloud bietet Lösungen zum Schutz von Web-Apps und APIs (WAAP), um häufige Bedrohungen potenziell zu entschärfen. Dazu gehören Cloud Armor, das Webanfragen nach geografischen oder Layer-7-Parametern filtert, reCAPTCHA Enterprise zum Schutz vor Bots und Apigee API Gateway, das APIs hoffentlich vor Bedrohungen wie DDoS-Angriffen schützt.

Cloud IDS (Intrusion Detection System) bietet einen verwalteten, Cloud-nativen Dienst zur Erkennung von Bedrohungen wie Malware und Spyware. Darüber hinaus schützt Cloud Load Balancing vor DDoS-Angriffen auf Layer 3 und Layer 4 und soll so die Anwendungsverfügbarkeit sicherstellen.

4. Sicherheit der Software-Lieferkette

Google Cloud zielt darauf ab, die Integrität von Software-Lieferketten durch Lebenszyklussicherheit zu schützen. Der Binärautorisierungsdienst soll die Authentizität von Softwarekomponenten während der Bereitstellung überprüfen und sicherstellen, dass sie den Unternehmensrichtlinien entsprechen. Google integriert außerdem Maßnahmen wie Schwachstellen-Scans über Artifact Registry und Abhängigkeitsanalysen mithilfe von Open Source Insights.

Die Plattform unterstützt die Einführung des Supply Chain Levels for Software Artifacts (SLSA)-Frameworks, das schrittweise Sicherheitsreifegrade bietet. Sie bietet Services, die Kunden beim Aufbau von Vertrauensketten durch Attestierungen für Build-Tools, Tests und Prozesse unterstützen.

5. Datensicherheit

Google Cloud bietet Datensicherheit durch Verschlüsselung im Ruhezustand und während der Übertragung. Confidential Computing ermöglicht die Verschlüsselung während der Datennutzung. Kunden können eigene Verschlüsselungsschlüssel (CSEK) verwenden oder den Key Management Service (KMS), das Hardware Security Module (HSM) oder einen externen Schlüsselmanager (EKM) von Google nutzen.

Google Cloud unterstützt Unternehmen außerdem dabei, sensible Daten mithilfe von Tools wie Cloud DLP (Data Loss Prevention) zu identifizieren und zu schützen. Dieser Dienst erkennt, klassifiziert und wendet Schutzmaßnahmen an, um unbefugten Zugriff oder Datenexfiltration zu verhindern.

6. Identitäts- und Zugriffsverwaltung

Google Cloud nutzt Cloud Identity als Identitätsanbieter (IdP) für die Benutzerauthentifizierung und unterstützt Funktionen wie die zweistufige Verifizierung und die Integration mit Drittanbieter-IdPs wie Okta und Azure AD. Für die Autorisierung bietet Cloud IAM (Identity and Access Management) eine detailliertere Zugriffskontrolle, sodass Unternehmen ressourcenübergreifend festlegen können, wer was wo tun darf.

Google Cloud unterstützt mit BeyondCorp Enterprise außerdem einen Zero-Trust-Ansatz. Ziel ist es, dass kein Benutzer oder Gerät auf Ressourcen zugreifen kann, ohne bestimmte Bedingungen zu erfüllen. IAM-Richtlinien und -Rollen ermöglichen potenziell eine zentrale Verwaltung der Zugriffskontrollen.

7. Endpunktsicherheit

Die Endpunktsicherheit in Google Cloud stellt sicher, dass Geräte, die auf Ressourcen zugreifen, geschützt sind und den Unternehmensrichtlinien entsprechen. Tools wie Endpoint Verification ermöglichen Administratoren die Durchsetzung gerätebasierter Zugriffskontrollen, um sicherzustellen, dass nur sichere Geräte eine Verbindung zu Cloud-Ressourcen herstellen können.

Dienste zur Bedrohungserkennung, darunter Web Risk API und Safe Browsing, blockieren schädliche URLs und warnen Benutzer vor Phishing- oder Malware-Risiken. Regelmäßiges Patch-Management, Festplattenverschlüsselung und Secure Boot zielen darauf ab, Schwachstellen weiter zu minimieren. Die Integration mit MDM-Lösungen (Mobile Device Management) kann dazu beitragen, Compliance-Richtlinien durchzusetzen, riskante Gerätefunktionen einzuschränken und kompromittierte Endpunkte aus der Ferne zu löschen.

Google Cloud setzt mit BeyondCorp Enterprise außerdem auf ein Zero-Trust-Sicherheitsmodell. Geräte und Nutzer müssen Sicherheitsbedingungen erfüllen, bevor sie auf Ressourcen zugreifen können. Administratoren können die Endpunktaktivität mit Tools wie Security Command Center und Cloud Logging überwachen, um verdächtiges Verhalten zu erkennen und darauf zu reagieren.

8. Sicherheitsüberwachung und -betrieb

Die Sicherheitsüberwachung und die operativen Funktionen in Google Cloud ermöglichen die kontinuierliche Erkennung und Behebung von Bedrohungen. Das Security Command Center fungiert als zentrale Überwachungslösung, um Fehlkonfigurationen zu identifizieren, Bedrohungen zu erkennen und die Einhaltung von Vorschriften sicherzustellen. Cloud Logging bietet Audit-Protokolle zur Nachverfolgung administrativer Aktivitäten und des Ressourcenzugriffs und hilft Unternehmen, Fragen wie „Wer hat was, wo und wann getan?“ zu beantworten.

Zu den weiteren Tools gehören Access Transparency, das die von Google-Mitarbeitern an Kundeninhalten vorgenommenen Aktionen protokolliert, und Siemplify SOAR, das die Reaktion auf Sicherheitsvorfälle durch Playbook-Automatisierung, Bedrohungsanalyse und Fallmanagement vereinfachen soll.

Verwandte Inhalte: Lesen Sie unseren Leitfaden zurSicherheitsanalyse

7 Best Practices für die Google Cloud-Sicherheit

Bei der Arbeit mit Google Cloud ist es wichtig, die folgenden Vorgehensweisen zu berücksichtigen, um die Sicherheit zu gewährleisten.

1. Führen Sie regelmäßige Schulungs- und Sensibilisierungsprogramme durch

Cybersicherheit entwickelt sich ständig weiter. Angreifer entwickeln immer neue Methoden, um Systeme auszunutzen. Unternehmen sollten regelmäßig Schulungen für Mitarbeiter, Administratoren und technische Teams durchführen, um über die neuesten Angriffsmethoden, Phishing-Techniken und Social-Engineering-Taktiken informiert zu bleiben.

Das Security Best Practices Center von Google Cloud bietet ein zentrales Repository mit Tools, Dokumentationen und Ressourcen, die Unternehmen zur Schulung ihrer Teams nutzen können. Darüber hinaus sollten Unternehmen diese Schulungen an ihre spezifischen Sicherheitsanforderungen und Anwendungsfälle anpassen. Beispielsweise benötigen Entwickler möglicherweise Schulungen zu sicheren Programmierpraktiken, während sich Administratoren auf das Erkennen und Beheben von Fehlkonfigurationen konzentrieren können.

2. Nutzen Sie Google Cloud Security Blueprints

Sicherheitspläne bieten einen strukturierten Ansatz zur Implementierung von Sicherheit in Google Cloud-Umgebungen. Diese Pläne bieten verbindliche Anleitungen für die Konfiguration grundlegender Sicherheitskontrollen und stellen sicher, dass Unternehmen von Anfang an Best Practices befolgen.

Der Google Cloud Security Foundations Blueprint enthält beispielsweise Schritt-für-Schritt-Anleitungen zum Sichern von Bereitstellungspipelines, zur Verwaltung von Identitäts- und Zugriffskontrollen sowie zur Implementierung der Verschlüsselung ruhender und übertragener Daten. Blueprints sind möglicherweise hilfreich für Unternehmen, die gerade erst mit Google Cloud beginnen.

3. Betonen Sie Organisationsdesign und Ressourcenisolierung

Eine durchdachte Organisationsstruktur in Google Cloud ist für die Aufrechterhaltung der Sicherheit und der betrieblichen Effizienz unerlässlich. Das Prinzip der Ressourcenisolierung stellt sicher, dass Teams, Projekte und Ressourcen getrennt sind, um unbefugten Zugriff zu verhindern und das Risiko versehentlicher Änderungen an kritischen Systemen zu reduzieren.

Die Ressourcenhierarchie von Google Cloud soll Isolation und Kontrolle fördern. Durch die Organisation von Ressourcen in Ordnern, Projekten und Abrechnungskonten können Unternehmen spezifische IAM-Richtlinien für jede Ebene implementieren. So kann beispielsweise der Zugriff auf sensible Produktionsressourcen auf bestimmte Nutzer oder Teams beschränkt werden, während gleichzeitig ein breiterer Zugriff auf Entwicklungsumgebungen gewährt wird.

Durch die Ressourcenisolierung können Unternehmen Sicherheitskontrollen effektiver anwenden. Beispielsweise stellt die Netzwerksegmentierung mithilfe von Virtual Private Clouds (VPCs) und Subnetzen sicher, dass ein Sicherheitsverstoß in einem Netzwerk keine Auswirkungen auf andere Netzwerke hat. Isolierte Ressourcen erleichtern zudem Compliance-Audits, indem sie klare Grenzen für sensible Daten und Systeme schaffen.

4. Automatisieren Sie Sicherheits-Workflows

Durch Automatisierung wird das Risiko menschlicher Fehler verringert und die einheitliche Durchsetzung von Sicherheitsrichtlinien in allen Google Cloud-Umgebungen gewährleistet. Tools wie Cloud Functions, Cloud Run und Cloud Build können zur Automatisierung von Aufgaben wie Richtliniendurchsetzung, Schwachstellenscans und Bedrohungserkennung verwendet werden.

Unternehmen können beispielsweise automatisierte Workflows einrichten, um Fehlkonfigurationen zu erkennen und ohne manuelle Eingriffe zu beheben. Wird eine Firewall-Regel versehentlich geändert, um öffentlichen Zugriff zu ermöglichen, kann eine automatisierte Funktion die Änderung erkennen und die Konfiguration auf eine sichere Konfiguration zurücksetzen.

Automatisierung kann auch die Compliance-Bemühungen potenziell vereinfachen. Beispielsweise können Unternehmen mithilfe von Infrastructure-as-Code-Tools (IaC) Sicherheitsrichtlinien kodifizieren und sicherstellen, dass diese in allen Bereitstellungen einheitlich angewendet werden.

5. Erstellen Sie einen soliden Backup- und Disaster-Recovery-Plan

Eine Backup- und Disaster-Recovery-Strategie soll die Geschäftskontinuität bei Datenverlust, Systemausfällen oder Cyberangriffen sicherstellen. Der Cloud Storage von Google Cloud bietet eine skalierbare Lösung für die Datensicherung. Durch die Aktivierung der Versionierung können Unternehmen mehrere Kopien ihrer Daten speichern und so vor versehentlichem Löschen oder Ransomware-Angriffen schützen.

Unternehmen sollten außerdem für kritische Anwendungen eine Multi-Region-Bereitstellung implementieren, um Verfügbarkeit und Ausfallsicherheit zu verbessern. Beispielsweise können Datenbanken über mehrere Regionen hinweg repliziert werden, um sicherzustellen, dass die Dienste auch bei einem Ausfall in einer Region betriebsbereit bleiben. Regelmäßige Tests von Backup- und Wiederherstellungsprozessen sind ebenso wichtig.

6. Begrenzen Sie die externe Exposition

Die Begrenzung der externen Exposition verringert die Angriffsfläche und erschwert Angreifern die Ausnutzung von Schwachstellen. Unternehmen können die VPC von Google Cloud nutzen, um Ressourcen zu isolieren und den Zugriff auf sensible Systeme zu kontrollieren. Firewall-Regeln sollten so konfiguriert werden, dass nur der notwendige Datenverkehr zugelassen wird.

Beispielsweise können Unternehmen den SSH-Zugriff auf virtuelle Maschinen einschränken, indem sie nur Verbindungen von bestimmten IP-Adressen zulassen. Ebenso können Dienste wie Google Cloud Armor dazu beitragen, Anwendungen vor DDoS-Angriffen und anderen webbasierten Bedrohungen zu schützen. Standardmäßig sollten Unternehmen den gesamten eingehenden Datenverkehr ablehnen und nur vertrauenswürdige Quellen explizit zulassen.

7. Befolgen Sie das Prinzip der geringsten Privilegien

Das Prinzip der geringsten Privilegien (PoLP) stellt sicher, dass Benutzer, Anwendungen und Dienste nur über die für ihre Aufgaben erforderlichen Mindestberechtigungen verfügen. Dadurch wird das Risiko eines versehentlichen oder böswilligen Missbrauchs reduziert. Anstatt einem Benutzer beispielsweise die Rolle „Editor“ für ein Projekt zuzuweisen, sollten Unternehmen spezifische Rollen wie „Storage Object Viewer“ oder „Compute Instance Admin“ zuweisen. Dieser granulare Ansatz minimiert die Auswirkungen kompromittierter Konten oder Dienste.

Unternehmen sollten ihre IAM-Richtlinien regelmäßig überprüfen, um übermäßige Berechtigungen oder veraltete Rollen zu identifizieren. Tools wie der IAM Recommender von Google Cloud können Berechtigungen automatisch analysieren und restriktivere Richtlinien vorschlagen. Die Aktivierung der Multi-Faktor-Authentifizierung (MFA) bietet zusätzlichen Schutz für sensible Konten.

Verwandte Inhalte: Lesen Sie unseren Leitfaden zurKI-Cybersicherheit

Exabeam: Unterstützung der Google Cloud-Sicherheit

Exabeam ermöglicht Google Cloud-Kunden die Stärkung ihrer Sicherheitslage durch die nahtlose Integration mit Google Cloud Security-Lösungen. Mit vorgefertigten APIs und nativen Konnektoren vereinfacht Exabeam die Datenaufnahme aus Google Chronicle, Google Security Operations und anderen Cloud-nativen Sicherheitstools und gewährleistet so eine schnelle Erkennung und Reaktion auf Bedrohungen.

Durch die Nutzung von Verhaltensanalysen und automatisierten Bedrohungsuntersuchungen verbessert Exabeam die Transparenz in Google Cloud-Umgebungen, reduziert die Alarmmüdigkeit und hilft Sicherheitsteams, echte Bedrohungen schneller zu erkennen. Ob hybride oder vollständig Cloud-basierte Bereitstellungen – die KI-gesteuerte Sicherheitsbetriebsplattform von Exabeam liefert kontextbezogene Einblicke, beschleunigt Untersuchungen und optimiert Compliance-Bemühungen. So können Unternehmen ihre Google Cloud-Investitionen maximieren und gleichzeitig eine proaktive Sicherheitsstrategie verfolgen.

Exabeam ist ein führender Anbieter von Sicherheitsinformations- und Ereignisverwaltungslösungen (SIEM), die UEBA, SIEM, SOAR und TDIR kombinieren, um Sicherheitsabläufe zu beschleunigen. Seine Security Operations-Plattformen ermöglichen es Sicherheitsteams, Bedrohungen schnell zu erkennen, zu untersuchen und darauf zu reagieren und gleichzeitig die betriebliche Effizienz zu steigern.

Hauptmerkmale:

• Skalierbare Protokollerfassung und -verwaltung: Die offene Plattform beschleunigt das Onboarding von Protokollen um 70 %, sodass keine fortgeschrittenen technischen Kenntnisse mehr erforderlich sind, und gewährleistet gleichzeitig eine nahtlose Protokollaggregation in hybriden Umgebungen.
• Verhaltensanalyse: Verwendet erweiterte Analysen, um normales und abnormales Verhalten zu vergleichen und Insider-Bedrohungen, laterale Bewegungen und komplexe Angriffe zu erkennen, die von signaturbasierten Systemen übersehen werden. Kunden berichten, dass Exabeam 90 % der Angriffe erkennt und darauf reagiert, bevor andere Anbieter sie abfangen können.
• Automatisierte Reaktion auf Bedrohungen: Vereinfacht Sicherheitsvorgänge durch Automatisierung der Vorfallzeitpläne, Reduzierung des manuellen Aufwands um 30 % und Beschleunigung der Untersuchungszeiten um 80 %.
• Kontextbezogene Vorfalluntersuchung: Da Exabeam die Zeitleistenerstellung automatisiert und den Zeitaufwand für Routineaufgaben reduziert, verkürzt sich die Zeit für die Erkennung und Reaktion auf Bedrohungen um über 50 %. Vorgefertigte Korrelationsregeln, Modelle zur Anomalieerkennung und Anbieterintegrationen reduzieren die Anzahl der Warnmeldungen um 60 % und minimieren Fehlalarme.
• SaaS- und Cloud-native Optionen: Flexible Bereitstellungsoptionen bieten Skalierbarkeit für Cloud-First- und Hybridumgebungen und gewährleisten eine schnelle Wertschöpfung für Kunden. Für Unternehmen, die ihr SIEM nicht in die Cloud migrieren können oder wollen, bietet Exabeam ein marktführendes, voll funktionsfähiges und selbst gehostetes SIEM.
• Netzwerktransparenz mit NetMon: Bietet tiefe Einblicke über Firewalls und IDS/IPS hinaus, erkennt Bedrohungen wie Datendiebstahl und Botnet-Aktivitäten und erleichtert die Untersuchung durch flexible Suchfunktionen. Deep Packet Analytics (DPA) basiert außerdem auf der NetMon Deep Packet Inspection (DPI)-Engine, um wichtige Indikatoren für Kompromittierungen (IOCs) zu interpretieren.

Exabeam-Kunden betonen immer wieder, wie die KI-gestützten Tools für Echtzeittransparenz, Automatisierung und Produktivität die Sicherheitskompetenz steigern und überforderte Analysten in proaktive Verteidiger verwandeln. Gleichzeitig werden Kosten gesenkt und branchenführender Support gewährleistet. Weitere Informationen finden Sie unter Exabeam.

Weitere Leitfäden zu wichtigen Themen der Cloud-Sicherheit finden Sie hier.

Gemeinsam mit unseren Content-Partnern haben wir ausführliche Leitfäden zu verschiedenen anderen Themen verfasst, die Ihnen bei der Erkundung der Welt der Cloud-Sicherheit ebenfalls nützlich sein können.

Unveränderliche Backups

Verfasst von N2W

• [Leitfaden] Unveränderliche Backups: Funktionsweise und beste Strategien
• [Leitfaden] AWS durch Unveränderlichkeit vor Ransomware schützen (2 Wege)
• [Checkliste] AWS Backup & DR
• [Product] N2WS | Cloud Backup and Restore

Cloud-Asset-Inventar

Erstellt von CloudQuery

• [Leitfaden] Was ist ein Cloud-Asset-Inventar?
• [Leitfaden] Cloud Asset Management (CAM): 7 Schlüsselkomponenten und 5 Best Practices
• [Leitfaden] Die beste Cloud-Asset-Management-Software – Die 7 besten Lösungen im Jahr 2026

Cloud-Governance

Erstellt von CloudQuery

• [Leitfaden] AWS Cloud Governance – 6 Tools + 5 wichtige Best Practices
• [Leitfaden] 4 Schritte zur Gestaltung Ihres Cloud-Governance-Frameworks im Jahr 2026
• [Leitfaden] Cloud-Governance-Tools – Hauptmerkmale und 8 Tools, die Sie 2026 kennen sollten