On-Premise oder Cloud: Beide Umgebungen erfordern gezielte Penetrationstests

Hartnäckig hält sich die Annahme, Cloud-Infrastrukturen seien per se sicherer als klassische On-Premise-Umgebungen. Tatsächlich gilt: Sowohl lokale als auch cloudbasierte Infrastrukturen müssen gezielt und regelmässig auf Sicherheitslücken geprüft werden, allerdings mit unterschiedlichen Schwerpunkten.

Architektur als Ausgangspunkt der Sicherheitsprüfung

Ein fundiertes Verständnis der Systemarchitektur ist die Grundlage jeder wirksamen Sicherheitsstrategie.

On-Premise-Umgebungen bieten volle Kontrolle über Hardware, Software und Konfigurationen. Das ermöglicht passgenaue Sicherheitsmassnahmen und erleichtert die Einhaltung regulatorischer Vorgaben – insbesondere bei sensiblen Daten. Gleichzeitig bleibt die Verantwortung vollständig beim Unternehmen: Wartung, Patching und physische Sicherheit müssen konsequent umgesetzt werden.

Cloud-Umgebungen punkten durch Skalierbarkeit und flexible Zugänglichkeit. Diese Vorteile erhöhen jedoch auch die Komplexität. Fehlkonfigurationen, unzureichende Zugriffskontrollen oder ungeschützte Schnittstellen zählen zu den häufigsten Risiken. Cloud-native Sicherheitsmechanismen und regelmässige Prüfungen öffentlich erreichbarer Ressourcen sind daher unverzichtbar.

Unterschiedliche Umgebungen, unterschiedliche Testansätze

Auch bei Penetrationstests unterscheiden sich die Anforderungen deutlich. In On-Premise-Umgebungen stehen neben klassischen Netzwerk- und Protokollschwachstellen insbesondere physische Risiken und Insider-Bedrohungen im Fokus. Regelmässige Updates, der Rückbau veralteter Systeme sowie Awareness-Trainings für Mitarbeitende sind zentrale Schutzfaktoren.

In der Cloud gilt das Modell der geteilten Verantwortung: Während der Cloud-Service-Provider die Infrastruktur absichert, liegt die Konfiguration von Zugriffen, Identitäten und Workloads beim Kunden. Penetrationstests müssen daher gezielt cloudnative Risiken wie Fehlkonfigurationen, mangelhafte Rechtevergabe oder Mandantenisolation adressieren und stets im Rahmen der Vorgaben des jeweiligen Providers erfolgen.

Gemeinsame Angriffsflächen nicht unterschätzen

Unabhängig von der Architektur bleiben bestimmte Bedrohungen allgegenwärtig: Phishing und Social Engineering, Malware und Ransomware sowie unzureichendes Patch-Management zählen weiterhin zu den häufigsten Einfallstoren. Kontinuierliche Schwachstellenscans, saubere Netzwerk- und Portkonfigurationen sowie geschulte Mitarbeitende sind in beiden Welten entscheidend.

Die passende Penetrationstest-Strategie wählen

Eine einheitliche Testmethodik wird modernen IT-Landschaften nicht gerecht. Während On-Premise-Tests klassische Angriffsvektoren auf Netzwerk- und Systemebene abdecken sollten, erfordern Cloud-Umgebungen cloudnative Angriffssimulationen, die reales Angreiferverhalten abbilden.

Gerade in hybriden Infrastrukturen ist es entscheidend, Angriffspfade über beide Welten hinweg zu erkennen. Automatisierte Angriffssimulationen ermöglichen eine kontinuierliche Sicherheitsvalidierung und helfen, Risiken frühzeitig zu identifizieren , bevor sie von Angreifenden ausgenutzt werden.

GENESIS Swiss Team unterstützt Unternehmen dabei, ihre On-Premise-, Cloud- und hybriden Umgebungen realistisch zu prüfen und Risiken frühzeitig zu erkennen, unter anderem mit kontinuierlichen, automatisierten Angriffssimulationen mit Pentera. So wird Sicherheit messbar, vergleichbar und nachhaltig verbessert.