# 15. Cloud und moderne Bereitstellungsmodelle # 15.1 Cloud und moderne Bereitstellungsmodelle Cloud beschreibt die Bereitstellung von IT-Ressourcen über ein Netzwerk. Statt alle Systeme selbst lokal zu betreiben, können Unternehmen Rechenleistung, Speicher, Datenbanken, Anwendungen oder Plattformen bei einem Anbieter nutzen. Typische Cloud-Ressourcen: - virtuelle Server - Speicherplatz - Datenbanken - Container - Anwendungen - Entwicklungsplattformen - Backup-Dienste - Identitätsdienste - Netzwerkdienste - Sicherheitsdienste Merksatz: Cloud bedeutet: IT-Ressourcen werden als Dienst bereitgestellt. --- **Warum ist Cloud wichtig?** Cloud-Dienste sind in modernen IT-Umgebungen sehr verbreitet. Gründe: - schnelle Bereitstellung - flexible Skalierung - weniger eigene Hardware - weltweite Erreichbarkeit - nutzungsabhängige Kosten - viele fertige Dienste - hohe Automatisierbarkeit - gute Integration mit modernen Anwendungen Aber: Cloud bedeutet nicht automatisch weniger Verantwortung. Merksatz: Cloud vereinfacht Bereitstellung, ersetzt aber kein Sicherheits- und Betriebskonzept. --- **Cloud einfach erklärt** Klassisch: Unternehmen kauft Server. Server steht im eigenen Gebäude. IT installiert Betriebssystem. IT betreibt Anwendung. IT kümmert sich um Hardware, Strom, Kühlung, Backup und Ausfallsicherheit. Cloud: Anbieter stellt Ressourcen bereit. Unternehmen nutzt diese Ressourcen über Netzwerk oder Portal. Abrechnung erfolgt häufig nach Nutzung. Verantwortung wird je nach Modell zwischen Anbieter und Kunde geteilt. Merksatz: Cloud verlagert Teile der IT-Bereitstellung zu einem Anbieter. --- **On-Premises** On-Premises bedeutet: IT wird lokal im eigenen Unternehmen oder eigenen Rechenzentrum betrieben. Beispiele: eigener Serverraum eigenes Rechenzentrum eigene Hardware eigene Storage-Systeme eigene Netzwerkgeräte eigene Virtualisierung Vorteile: hohe Kontrolle direkte Verwaltung Daten bleiben im eigenen Betrieb individuelle Anpassung möglich Nachteile: Hardwarekosten Wartungsaufwand Skalierung langsamer eigene Verantwortung für Ausfallsicherheit Merksatz: On-Premises = lokal selbst betrieben. --- **Cloud** Cloud bedeutet: IT-Ressourcen werden über ein Netzwerk als Dienst genutzt. Beispiele: virtueller Server beim Cloud-Anbieter Cloud-Speicher gehostete Datenbank E-Mail aus der Cloud Backup in der Cloud Cloud-Identitätsdienst Containerplattform Merksatz: Cloud = IT-Ressourcen als Dienst. --- **Hybrid Cloud** Hybrid Cloud kombiniert lokale IT und Cloud. Beispiel: interne Server im eigenen Rechenzentrum plus Cloud-Dienste für Backup, Webanwendungen oder Skalierung Typische Einsatzfälle: schrittweise Migration sensible Systeme lokal skalierbare Dienste in Cloud Backup in Cloud Cloud-Anbindung per VPN Merksatz: Hybrid Cloud kombiniert On-Premises und Cloud. --- **Multi Cloud** Multi Cloud bedeutet: Ein Unternehmen nutzt mehrere Cloud-Anbieter. Beispiel: Anbieter A für virtuelle Server Anbieter B für E-Mail Anbieter C für Backup Anbieter D für KI-Dienste Vorteile: weniger Abhängigkeit von einem Anbieter passende Dienste pro Anbieter Ausfallsicherheit durch Verteilung Nachteile: höhere Komplexität unterschiedliche Portale unterschiedliche Sicherheitsmodelle schwierigeres Monitoring mehr Know-how nötig Merksatz: Multi Cloud = mehrere Cloud-Anbieter gleichzeitig. --- **Public Cloud** Public Cloud bedeutet: Cloud-Ressourcen werden von einem Anbieter für viele Kunden bereitgestellt. Beispiele: virtuelle Server Datenbanken Speicher Webdienste Cloud-Anwendungen Wichtig: Kunden teilen sich die Anbieterplattform, sind aber logisch voneinander getrennt. Merksatz: Public Cloud = gemeinsam genutzte Anbieterplattform mit logischer Trennung. --- **Private Cloud** Private Cloud bedeutet: Cloud-ähnliche Bereitstellung nur für eine Organisation. Sie kann laufen: im eigenen Rechenzentrum bei einem Dienstleister in einer dedizierten Umgebung Typische Merkmale: Selbstbedienung Automatisierung Virtualisierung Ressourcenpools interne Abrechnung oder Zuordnung zentrale Verwaltung Merksatz: Private Cloud = Cloud-Prinzipien für eine Organisation. --- **Community Cloud** Community Cloud bedeutet: Eine Cloud wird von mehreren Organisationen mit ähnlichen Anforderungen genutzt. Beispiele: Behörden Forschungseinrichtungen Gesundheitswesen Bildungseinrichtungen Ziel: gemeinsame Anforderungen gemeinsame Sicherheitsvorgaben gemeinsame Compliance Merksatz: Community Cloud wird von einer bestimmten Gemeinschaft genutzt. --- **Cloud-Bereitstellungsmodelle** | Modell | Kurze Erklärung | |---|---| | On-Premises | lokal selbst betrieben | | Public Cloud | Cloud beim öffentlichen Anbieter | | Private Cloud | Cloud für eine Organisation | | Hybrid Cloud | Mischung aus lokal und Cloud | | Multi Cloud | Nutzung mehrerer Cloud-Anbieter | | Community Cloud | Cloud für bestimmte Organisationengruppe | Merksatz: Bereitstellungsmodell beschreibt, wo und für wen Cloud-Ressourcen betrieben werden. --- **Cloud-Service-Modelle** Die wichtigsten Service-Modelle sind: - IaaS - PaaS - SaaS Diese Modelle beschreiben, wie viel Verantwortung der Anbieter übernimmt und wie viel der Kunde selbst verwaltet. Merksatz: Service-Modell beschreibt, welche Schichten als Dienst bereitgestellt werden. --- **IaaS** IaaS steht für: Infrastructure as a Service Dabei stellt der Anbieter grundlegende Infrastruktur bereit. Beispiele: virtuelle Maschinen virtuelle Netzwerke Block Storage Load Balancer Firewalls IP-Adressen Der Kunde verwaltet meist: Betriebssystem Updates im Betriebssystem Anwendungen Daten Benutzer Konfigurationen Merksatz: IaaS = virtuelle Infrastruktur statt eigener Hardware. --- **PaaS** PaaS steht für: Platform as a Service Dabei stellt der Anbieter eine Plattform bereit, auf der Anwendungen betrieben werden können. Beispiele: verwaltete Datenbank App-Plattform Web-App-Plattform Containerplattform Laufzeitumgebung Entwicklungsplattform Der Kunde verwaltet meist: Anwendung Daten Konfiguration Zugriff Der Anbieter verwaltet mehr vom Betriebssystem, Runtime und Infrastruktur. Merksatz: PaaS = Plattform für Anwendungen, ohne alles darunter selbst zu betreiben. --- **SaaS** SaaS steht für: Software as a Service Dabei nutzt der Kunde eine fertige Anwendung. Beispiele: E-Mail-Dienst Online-Office CRM-System Ticketsystem Cloud-Speicher Videokonferenzdienst Projektmanagement-Tool Der Anbieter betreibt: Anwendung Plattform Infrastruktur Updates Verfügbarkeit Der Kunde kümmert sich vor allem um: Benutzer Berechtigungen Daten Einstellungen Sicherheitsrichtlinien Merksatz: SaaS = fertige Software aus der Cloud. --- **IaaS, PaaS und SaaS vergleichen** | Modell | Anbieter stellt bereit | Kunde verwaltet vor allem | |---|---|---| | IaaS | virtuelle Infrastruktur | Betriebssystem, Anwendung, Daten | | PaaS | Plattform und Laufzeitumgebung | Anwendung, Daten, Konfiguration | | SaaS | fertige Anwendung | Benutzer, Daten, Einstellungen | Merksatz: IaaS gibt viel Kontrolle. SaaS nimmt viel Betrieb ab. PaaS liegt dazwischen. --- **Verantwortung bei Cloud** In der Cloud wird Verantwortung geteilt. Der Anbieter ist nicht für alles verantwortlich. Der Kunde bleibt verantwortlich für viele Dinge, zum Beispiel: - Benutzerkonten - Berechtigungen - Daten - sichere Konfiguration - Passwörter und MFA - Netzfreigaben - Zugriffskonzepte - Compliance - Backup-Strategie je nach Dienst Merksatz: Cloud bedeutet geteilte Verantwortung. --- **Shared Responsibility Model** Shared Responsibility Model bedeutet: Anbieter und Kunde teilen sich Sicherheits- und Betriebsverantwortung. Je nach Service-Modell verändert sich die Aufteilung. Bei IaaS hat der Kunde mehr Verantwortung. Bei SaaS übernimmt der Anbieter mehr Betrieb, aber der Kunde bleibt für Benutzer, Daten und Berechtigungen verantwortlich. Merksatz: Je fertiger der Dienst, desto mehr Betrieb übernimmt der Anbieter, aber Kundendaten und Zugriffe bleiben Kundenthema. --- **Beispiel Shared Responsibility bei IaaS** Bei einer virtuellen Maschine in der Cloud: Anbieter verantwortet typischerweise: physische Hardware Rechenzentrum Strom Kühlung Virtualisierungsplattform Grundinfrastruktur Kunde verantwortet typischerweise: Betriebssystem Patches Firewall-Regeln Benutzerkonten Anwendung Daten Backup Sicherheitskonfiguration Merksatz: Cloud-VM ist nicht automatisch sicher gepatcht. --- **Beispiel Shared Responsibility bei SaaS** Bei einer SaaS-Anwendung: Anbieter verantwortet typischerweise: Betrieb der Anwendung Infrastruktur Plattform Updates technische Verfügbarkeit Kunde verantwortet typischerweise: Benutzerverwaltung Rollen MFA Datenklassifizierung Freigaben Aufbewahrung Konfiguration Schulung Merksatz: SaaS nimmt Betrieb ab, aber nicht die Verantwortung für Zugriffe und Daten. --- **Virtualisierung in der Cloud** Cloud basiert häufig auf Virtualisierung. Virtualisierung bedeutet: physische Hardware wird in mehrere virtuelle Ressourcen aufgeteilt. Beispiele: virtuelle Maschinen virtuelle Netzwerke virtuelle Festplatten virtuelle Firewalls virtuelle Load Balancer Merksatz: Virtualisierung ist eine technische Grundlage vieler Cloud-Dienste. --- **Container in der Cloud** Container sind eine moderne Form der Anwendungsbereitstellung. Container enthalten: Anwendung Abhängigkeiten Laufzeitumgebung Sie teilen sich aber den Kernel des Hosts. Cloud-Dienste können Container bereitstellen, orchestrieren und skalieren. Merksatz: Container verpacken Anwendungen portabel und leichtgewichtig. --- **Orchestrierung** Orchestrierung bedeutet: automatisierte Verwaltung mehrerer Container oder Dienste. Aufgaben: Container starten Container stoppen Container verteilen Skalierung Updates Health Checks Netzwerke Secrets Rollbacks Merksatz: Orchestrierung verwaltet viele Container automatisch. --- **Kubernetes** Kubernetes ist eine verbreitete Plattform zur Container-Orchestrierung. Es verwaltet: Pods Services Deployments Skalierung Rollouts Netzwerke Konfigurationen Secrets Für Prüfungen reicht oft: Kubernetes orchestriert Container. Merksatz: Kubernetes verwaltet Container-Anwendungen in Clustern. --- **Serverless** Serverless bedeutet nicht, dass keine Server existieren. Es bedeutet: Der Kunde verwaltet keine einzelnen Server. Der Anbieter betreibt die Infrastruktur. Der Kunde stellt Funktionen oder Code bereit. Beispiele: Funktionen bei Ereignissen ausführen automatische Skalierung Abrechnung nach Ausführung oder Nutzung Merksatz: Serverless heißt: keine Serververwaltung durch den Kunden. --- **Function as a Service** Function as a Service wird abgekürzt: FaaS Dabei wird eine Funktion ausgeführt, wenn ein Ereignis eintritt. Beispiele: Datei wird hochgeladen. Funktion verarbeitet Datei. API-Aufruf startet Funktion. Zeitplan löst Funktion aus. Merksatz: FaaS führt einzelne Funktionen ereignisgesteuert aus. --- **Cloud Storage** Cloud Storage ist Speicherplatz aus der Cloud. Arten: Objektspeicher Blockspeicher Dateispeicher Typische Nutzung: Backups Dateien Archivierung Medien Logs Daten für Anwendungen statische Webseiten Merksatz: Cloud Storage stellt Speicher als Dienst bereit. --- **Objektspeicher** Objektspeicher speichert Daten als Objekte. Ein Objekt besteht typischerweise aus: Dateiinhalt Metadaten eindeutiger Name oder Schlüssel Typische Nutzung: Backups Bilder Videos Dokumente Archivdaten Logs Merksatz: Objektspeicher ist gut für große Mengen unstrukturierter Daten. --- **Blockspeicher** Blockspeicher stellt Speicherblöcke bereit, ähnlich wie eine Festplatte für einen Server. Typische Nutzung: virtuelle Maschinen Datenbanken Betriebssystemplatten Anwendungen mit Dateisystem Merksatz: Blockspeicher verhält sich eher wie eine virtuelle Festplatte. --- **Dateispeicher** Dateispeicher stellt Dateifreigaben bereit. Typische Nutzung: gemeinsame Dateisysteme Anwendungen mit gemeinsamen Dateien klassische Freigaben Benutzerdateien Merksatz: Dateispeicher arbeitet mit Ordnern und Dateien. --- **Cloud-Netzwerke** Cloud-Umgebungen haben eigene Netzwerkstrukturen. Typische Bestandteile: virtuelle Netzwerke Subnetze Routingtabellen Security Groups Network Security Groups Firewalls Load Balancer öffentliche IP-Adressen private IP-Adressen NAT-Gateways VPN-Gateways Merksatz: Cloud-Netzwerke müssen genauso geplant werden wie lokale Netzwerke. --- **Virtuelles Netzwerk** Ein virtuelles Netzwerk ist ein logisch getrenntes Netz in der Cloud. Es enthält: Subnetze virtuelle Maschinen Dienste Routing Sicherheitsregeln Je nach Anbieter heißt es unterschiedlich, zum Beispiel VPC oder VNet. Merksatz: Virtuelles Netzwerk ist das Cloud-Gegenstück zum eigenen Netzsegment. --- **Subnetze in der Cloud** Cloud-Netze werden in Subnetze aufgeteilt. Beispiele: Web-Subnetz App-Subnetz Datenbank-Subnetz Management-Subnetz Public Subnet Private Subnet Merksatz: Subnetze trennen Cloud-Ressourcen logisch. --- **Public Subnet** Ein Public Subnet enthält Ressourcen, die direkt oder indirekt mit dem Internet verbunden sein können. Beispiele: Load Balancer Bastion Host öffentlich erreichbarer Webserver Wichtig: Nicht jede Ressource sollte öffentlich erreichbar sein. Merksatz: Public Subnet nur für wirklich öffentliche Komponenten nutzen. --- **Private Subnet** Ein Private Subnet enthält interne Ressourcen. Beispiele: Datenbankserver interne Anwendung Backend interne APIs Verarbeitungssysteme Diese Ressourcen sind normalerweise nicht direkt aus dem Internet erreichbar. Merksatz: Private Subnet schützt interne Cloud-Ressourcen vor direktem Internetzugriff. --- **Security Group** Eine Security Group ist eine virtuelle Firewall-Regelgruppe für Cloud-Ressourcen. Sie steuert häufig: eingehenden Verkehr ausgehenden Verkehr Ports Protokolle Quellen Ziele Merksatz: Security Group ist eine Firewall-Regelgruppe in der Cloud. --- **Network Security Group** Network Security Group wird oft abgekürzt: NSG Sie steuert Netzwerkverkehr auf Subnetz- oder Ressourceneebene, je nach Cloud-Plattform. Merksatz: NSG regelt Netzwerkzugriffe in Cloud-Netzen. --- **Cloud-Firewall** Eine Cloud-Firewall schützt Cloud-Netze oder Cloud-Dienste. Sie kann filtern nach: IP-Adresse Port Protokoll Richtung Anwendung Bedrohungssignatur Zone Merksatz: Auch in der Cloud braucht man Firewall-Regeln. --- **Load Balancer** Ein Load Balancer verteilt Anfragen auf mehrere Ziele. Ziele können sein: virtuelle Maschinen Container Anwendungen Backends Vorteile: höhere Verfügbarkeit Lastverteilung Wartung einzelner Systeme möglich Skalierung Merksatz: Load Balancer verteilt Last auf mehrere Systeme. --- **Auto Scaling** Auto Scaling bedeutet: Ressourcen werden automatisch erhöht oder reduziert. Beispiel: Bei hoher Last werden mehr Instanzen gestartet. Bei geringer Last werden Instanzen beendet. Vorteile: bessere Anpassung an Last Kostenkontrolle höhere Verfügbarkeit Merksatz: Auto Scaling passt Ressourcen automatisch an Bedarf an. --- **Cloud und Hochverfügbarkeit** Cloud kann Hochverfügbarkeit unterstützen. Möglichkeiten: mehrere Verfügbarkeitszonen mehrere Regionen Load Balancer Auto Scaling replizierte Daten Backup Monitoring automatische Wiederherstellung Aber: Hochverfügbarkeit muss geplant und konfiguriert werden. Merksatz: Cloud ist nicht automatisch hochverfügbar. --- **Verfügbarkeitszone** Eine Verfügbarkeitszone ist ein getrenntes Rechenzentrumssegment innerhalb einer Region. Ziel: Ausfall einer Zone soll nicht automatisch alle Dienste betreffen. Beispiele: Zone A Zone B Zone C Merksatz: Verfügbarkeitszonen helfen, Ausfälle innerhalb einer Region abzufangen. --- **Region** Eine Region ist ein geografischer Standort eines Cloud-Anbieters. Beispiele: Deutschland Europa USA Asien Regionen sind wichtig für: Latenz Datenschutz Ausfallsicherheit Kosten Compliance Datenstandort Merksatz: Region bestimmt, wo Cloud-Ressourcen geografisch betrieben werden. --- **Datenstandort** Datenstandort bedeutet: In welchem Land oder welcher Region Daten gespeichert und verarbeitet werden. Wichtig wegen: Datenschutz rechtlichen Anforderungen Compliance Latenz Kundenanforderungen Unternehmensrichtlinien Merksatz: Datenstandort ist bei Cloud-Diensten sicherheits- und rechtsrelevant. --- **Cloud-Kosten** Cloud-Kosten entstehen häufig durch: Rechenleistung Speicher Datenübertragung Datenbanknutzung Lizenzen Load Balancer Backups Logs Monitoring öffentliche IP-Adressen Support Wichtig: Cloud ist flexibel, aber nicht automatisch günstiger. Merksatz: Cloud-Kosten müssen überwacht und geplant werden. --- **OPEX und CAPEX** CAPEX bedeutet: Investitionsausgaben Beispiel: Server kaufen Storage kaufen Netzwerkhardware kaufen OPEX bedeutet: Betriebsausgaben Beispiel: monatliche Cloud-Nutzung Mietmodell nutzungsabhängige Abrechnung Cloud verschiebt Kosten häufig von CAPEX zu OPEX. Merksatz: Cloud macht aus Kaufkosten häufig laufende Nutzungskosten. --- **Pay as you go** Pay as you go bedeutet: Man bezahlt nach Nutzung. Beispiele: pro Stunde pro GB pro Anfrage pro Benutzer pro Ausführung pro übertragenem Datenvolumen Vorteil: flexible Abrechnung Risiko: unerwartete Kosten bei Fehlkonfiguration oder hoher Nutzung Merksatz: Pay as you go ist flexibel, braucht aber Kostenkontrolle. --- **Cloud-Sicherheit** Cloud-Sicherheit umfasst: Identitätsmanagement MFA Rollen und Rechte Netzwerksicherheit Verschlüsselung Logging Monitoring Backup Patchmanagement sichere Konfiguration Datenklassifizierung Compliance Merksatz: Cloud-Sicherheit ist mehr als Anbieter auswählen. --- **Identity and Access Management** Identity and Access Management wird oft abgekürzt: IAM IAM regelt: Benutzer Gruppen Rollen Berechtigungen Servicekonten API-Schlüssel MFA Zugriff auf Ressourcen Merksatz: IAM entscheidet, wer was in der Cloud darf. --- **Cloud-Rollen** Cloud-Zugriffe sollten über Rollen gesteuert werden. Beispiele: Leser Administrator Netzwerkadministrator Sicherheitsadministrator Datenbankadministrator Entwickler Abrechnungszugriff Merksatz: Rollen helfen, Cloud-Rechte nach Aufgabe zu vergeben. --- **Least Privilege in der Cloud** Auch in der Cloud gilt: so wenig Rechte wie möglich, so viele wie nötig. Nicht gut: alle Benutzer sind Administratoren API-Schlüssel mit Vollzugriff öffentliche Speichercontainer Datenbank öffentlich erreichbar Managementport offen im Internet Merksatz: Least Privilege ist in der Cloud besonders wichtig. --- **Cloud-Fehlkonfigurationen** Viele Cloud-Sicherheitsvorfälle entstehen durch Fehlkonfigurationen. Beispiele: Speicher öffentlich lesbar Datenbank öffentlich erreichbar zu breite Security Group Adminrechte für zu viele Benutzer fehlende MFA offene Managementports unverschlüsselte Daten keine Logs keine Kostenlimits Merksatz: Cloud-Fehler entstehen häufig durch falsche Konfiguration, nicht durch defekte Technik. --- **Cloud-Logging** Cloud-Logs zeigen: Anmeldungen API-Aufrufe Änderungen an Ressourcen Netzwerkzugriffe Firewall-Entscheidungen Fehlermeldungen Sicherheitsereignisse Abrechnungsereignisse Wichtig: Logs aktivieren Logs schützen Logs zentral auswerten Aufbewahrung regeln Merksatz: Cloud-Logs zeigen, wer was wann geändert hat. --- **Cloud-Monitoring** Cloud-Monitoring überwacht: Verfügbarkeit CPU RAM Speicher Datenbanklast Netzwerkverkehr Fehlerquoten Antwortzeiten Kosten Zertifikate Sicherheitsereignisse Merksatz: Cloud-Monitoring ist für Betrieb, Sicherheit und Kostenkontrolle wichtig. --- **Backup in der Cloud** Cloud-Dienste brauchen Backup-Konzepte. Wichtig: Was wird gesichert? Wie oft? Wie lange? Wo wird gespeichert? Wer darf wiederherstellen? Wurde Wiederherstellung getestet? Ist Backup vor Löschung oder Ransomware geschützt? Merksatz: Cloud ersetzt nicht automatisch Backup. --- **Cloud und Datenschutz** Bei Cloud-Diensten müssen Datenschutzanforderungen beachtet werden. Wichtige Fragen: Welche Daten werden verarbeitet? Wo werden Daten gespeichert? Wer hat Zugriff? Gibt es Auftragsverarbeitung? Sind Daten verschlüsselt? Gibt es Löschkonzepte? Werden Logs personenbezogen? Welche Anbieterbedingungen gelten? Merksatz: Cloud-Nutzung braucht Datenschutzprüfung. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was bedeutet Cloud Computing? - Was ist der Unterschied zwischen On-Premises und Cloud? - Was ist Public Cloud? - Was ist Private Cloud? - Was ist Hybrid Cloud? - Was ist Multi Cloud? - Was bedeutet IaaS? - Was bedeutet PaaS? - Was bedeutet SaaS? - Was ist das Shared Responsibility Model? - Wer ist bei einer Cloud-VM für Betriebssystemupdates verantwortlich? - Was ist Serverless? - Was ist Auto Scaling? - Was ist ein Load Balancer? - Warum ist IAM in der Cloud wichtig? - Warum ist Cloud nicht automatisch sicher? - Warum ist Cloud nicht automatisch günstiger? - Warum braucht Cloud Backup und Monitoring? --- **Typische Prüfungsfallen** Cloud bedeutet nicht automatisch Internetseite. Cloud bedeutet nicht automatisch weniger Verantwortung. On-Premises ist lokal selbst betrieben. Public Cloud ist Anbieterplattform für viele Kunden. Private Cloud ist Cloud-Prinzip für eine Organisation. Hybrid Cloud kombiniert lokal und Cloud. Multi Cloud nutzt mehrere Anbieter. IaaS ist virtuelle Infrastruktur. PaaS ist Plattform für Anwendungen. SaaS ist fertige Software. Shared Responsibility bedeutet geteilte Verantwortung. Cloud-VM muss der Kunde oft selbst patchen. SaaS-Benutzerrechte bleiben Kundenthema. Serverless heißt nicht serverfrei. Cloud ist nicht automatisch hochverfügbar. Cloud ist nicht automatisch günstiger. Pay as you go braucht Kostenkontrolle. IAM ist zentral für Cloud-Sicherheit. Öffentliche Speicherfreigaben sind gefährlich. Cloud braucht Backup, Logs und Monitoring. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Cloud | IT-Ressourcen als Dienst | | On-Premises | lokal selbst betrieben | | Public Cloud | öffentliche Anbieterplattform | | Private Cloud | Cloud für eine Organisation | | Hybrid Cloud | Mischung aus lokal und Cloud | | Multi Cloud | mehrere Cloud-Anbieter | | Community Cloud | Cloud für bestimmte Gruppe | | IaaS | Infrastructure as a Service | | PaaS | Platform as a Service | | SaaS | Software as a Service | | Shared Responsibility | geteilte Verantwortung | | Virtualisierung | Aufteilen physischer Ressourcen | | Container | portable Anwendungseinheit | | Orchestrierung | automatische Verwaltung vieler Dienste | | Kubernetes | Container-Orchestrierung | | Serverless | keine Serververwaltung durch Kunden | | FaaS | Function as a Service | | Cloud Storage | Speicher aus der Cloud | | Objektspeicher | Speicher für Objekte mit Metadaten | | Blockspeicher | virtuelle Festplatte | | Dateispeicher | Dateifreigabe als Dienst | | VPC / VNet | virtuelles Cloud-Netz | | Public Subnet | öffentlich angebundenes Subnetz | | Private Subnet | internes Cloud-Subnetz | | Security Group | virtuelle Firewall-Regelgruppe | | Load Balancer | verteilt Anfragen | | Auto Scaling | automatische Skalierung | | Region | geografischer Cloud-Standort | | Verfügbarkeitszone | getrennte Zone innerhalb Region | | IAM | Identitäts- und Rechteverwaltung | | CAPEX | Investitionsausgaben | | OPEX | Betriebsausgaben | --- **IHK-sichere Kurzformulierung** Cloud Computing bedeutet, dass IT-Ressourcen wie Rechenleistung, Speicher, Datenbanken, Plattformen oder Anwendungen über ein Netzwerk als Dienst bereitgestellt werden. Bei On-Premises betreibt ein Unternehmen seine IT lokal selbst, während Public Cloud von einem Anbieter für viele Kunden bereitgestellt wird. Private Cloud nutzt Cloud-Prinzipien für eine Organisation, Hybrid Cloud kombiniert lokale IT und Cloud, und Multi Cloud nutzt mehrere Anbieter. Die wichtigsten Service-Modelle sind IaaS, PaaS und SaaS. Beim Shared Responsibility Model teilen sich Anbieter und Kunde die Verantwortung. Der Anbieter betreibt je nach Modell Teile der Infrastruktur, der Kunde bleibt aber für Benutzer, Daten, Berechtigungen, sichere Konfiguration, Backup, Monitoring und Compliance verantwortlich. --- **Merksätze** Cloud = IT-Ressourcen als Dienst. On-Premises = lokal selbst betrieben. Public Cloud = Anbieterplattform für viele Kunden. Private Cloud = Cloud für eine Organisation. Hybrid Cloud = lokal plus Cloud. Multi Cloud = mehrere Anbieter. IaaS = virtuelle Infrastruktur. PaaS = Plattform für Anwendungen. SaaS = fertige Software. Shared Responsibility = geteilte Verantwortung. Je fertiger der Dienst, desto mehr Betrieb übernimmt der Anbieter. Kundendaten und Zugriffe bleiben Kundenthema. Cloud-VM ist nicht automatisch gepatcht. SaaS braucht Benutzer- und Rechteverwaltung. Virtualisierung ist Grundlage vieler Cloud-Dienste. Container verpacken Anwendungen. Kubernetes orchestriert Container. Serverless heißt nicht serverfrei. FaaS führt Funktionen ereignisgesteuert aus. Cloud Storage kann Objekt, Block oder Datei sein. Cloud-Netze müssen geplant werden. Security Groups sind virtuelle Firewall-Regeln. Load Balancer verteilt Last. Auto Scaling passt Ressourcen automatisch an. Cloud ist nicht automatisch hochverfügbar. Region bestimmt Datenstandort. Cloud ist nicht automatisch günstiger. Pay as you go braucht Kostenkontrolle. IAM ist zentral für Cloud-Sicherheit. Least Privilege gilt auch in der Cloud. Cloud-Fehlkonfigurationen sind häufige Risiken. Cloud braucht Logs, Monitoring, Backup und Datenschutzprüfung. # 15.2 IaaS, PaaS und SaaS im Detail IaaS, PaaS und SaaS sind die wichtigsten Cloud-Service-Modelle. Sie beschreiben, welche Teile der IT vom Anbieter bereitgestellt werden und welche Teile der Kunde selbst verwaltet. Die drei Begriffe stehen für: IaaS: Infrastructure as a Service PaaS: Platform as a Service SaaS: Software as a Service Merksatz: IaaS, PaaS und SaaS unterscheiden sich vor allem durch die Verantwortungsverteilung. --- **Warum sind Service-Modelle wichtig?** In Prüfungen und in der Praxis muss man erkennen können: Was betreibt der Anbieter? Was betreibt der Kunde? Wer ist für Updates verantwortlich? Wer kümmert sich um Benutzer? Wer sichert Daten? Wer konfiguriert die Anwendung? Wer schützt Zugänge? Das ist wichtig, weil Cloud nicht bedeutet, dass der Anbieter automatisch alles übernimmt. Merksatz: Cloud-Nutzung heißt nicht: keine eigene Verantwortung mehr. --- **Grundidee der drei Modelle** Vereinfacht: IaaS: Der Anbieter liefert die technische Infrastruktur. PaaS: Der Anbieter liefert zusätzlich die Plattform für Anwendungen. SaaS: Der Anbieter liefert die fertige Anwendung. Je weiter man von IaaS zu SaaS geht, desto mehr übernimmt der Anbieter. Merksatz: IaaS = viel Kontrolle. SaaS = viel fertiger Dienst. PaaS = dazwischen. --- **Vergleich in Kurzform** | Modell | Kunde bekommt | Kunde verwaltet vor allem | |---|---|---| | IaaS | virtuelle Infrastruktur | Betriebssystem, Anwendung, Daten | | PaaS | Plattform für Anwendungen | Anwendung, Daten, Konfiguration | | SaaS | fertige Anwendung | Benutzer, Rechte, Daten, Einstellungen | Merksatz: Je fertiger der Dienst, desto weniger technische Basis verwaltet der Kunde selbst. --- **IaaS im Detail** IaaS bedeutet: Infrastructure as a Service Der Anbieter stellt grundlegende Infrastruktur bereit. Dazu gehören zum Beispiel: - virtuelle Maschinen - virtuelle Netzwerke - virtuelle Festplatten - Firewalls - Load Balancer - öffentliche IP-Adressen - private IP-Adressen - Snapshots - Storage - Routingtabellen Der Kunde baut darauf seine Systeme auf. Merksatz: IaaS ist wie ein gemieteter virtueller Serverraum. --- **Typische IaaS-Beispiele** Typische IaaS-Ressourcen: virtuelle Server virtuelle Router virtuelle Firewalls virtuelle Netzwerke Block Storage Object Storage Load Balancer VPN-Gateway Backup-Speicher Typische Nutzung: eigene Anwendungen betreiben eigene Server migrieren Testumgebungen aufbauen Entwicklungsumgebungen bereitstellen Disaster Recovery vorbereiten Merksatz: IaaS eignet sich, wenn man viel Kontrolle über Server und Netzwerk braucht. --- **Was übernimmt der Anbieter bei IaaS?** Der Anbieter übernimmt typischerweise: Rechenzentrum physische Server Stromversorgung Kühlung physische Netzwerkanbindung Hardwarewartung Virtualisierungsplattform Grundverfügbarkeit der Infrastruktur Der Kunde muss sich nicht selbst um physische Hardware kümmern. Merksatz: Bei IaaS übernimmt der Anbieter vor allem die physische und virtuelle Basis. --- **Was übernimmt der Kunde bei IaaS?** Der Kunde übernimmt typischerweise: Betriebssysteminstallation Betriebssystemupdates Benutzerkonten Firewall-Konfiguration Anwendungsinstallation Anwendungskonfiguration Daten Backups Monitoring Sicherheitskonfiguration Patches innerhalb der VM Merksatz: Eine Cloud-VM muss der Kunde meistens selbst administrieren. --- **IaaS-Vorteile** Vorteile: hohe Kontrolle flexible Servergrößen schnelle Bereitstellung keine eigene Hardwarebeschaffung gut für Migration vorhandener Server gut für individuelle Anwendungen skalierbare Infrastruktur netzwerktechnisch flexibel Merksatz: IaaS bietet viel Flexibilität und Kontrolle. --- **IaaS-Nachteile** Nachteile: Kunde muss viel selbst verwalten Betriebssystempflege bleibt notwendig Sicherheitskonfiguration bleibt Kundenthema Fehlkonfigurationen möglich Kosten können steigen Monitoring und Backup müssen geplant werden Know-how für Betrieb nötig Merksatz: IaaS nimmt Hardware ab, aber nicht den Serverbetrieb. --- **IaaS-Prüfungsbeispiel** Aufgabe: Ein Unternehmen betreibt eine virtuelle Linux-VM in der Cloud. Darauf läuft eine eigene Webanwendung. Frage: Wer ist für Betriebssystemupdates verantwortlich? Antwort: In der Regel der Kunde. Warum? Der Anbieter stellt die Infrastruktur. Der Kunde betreibt Betriebssystem und Anwendung. Merksatz: Cloud-VM heißt nicht: Anbieter patcht automatisch das Betriebssystem. --- **PaaS im Detail** PaaS bedeutet: Platform as a Service Der Anbieter stellt eine Plattform bereit, auf der Anwendungen betrieben werden können. Der Kunde muss sich nicht direkt um die darunterliegende Infrastruktur kümmern. Typische Bestandteile: Laufzeitumgebung Web-App-Plattform verwaltete Datenbank Middleware Build- und Deployment-Funktionen Skalierungsfunktionen Monitoring-Grundfunktionen Merksatz: PaaS ist eine fertige Plattform für eigene Anwendungen. --- **Typische PaaS-Beispiele** Typische PaaS-Angebote: verwaltete Datenbank Web-App-Service App-Plattform Containerplattform als Dienst Entwicklungsplattform API-Plattform Message Queue als Dienst Cache-Dienst Laufzeitumgebung für Code Typische Nutzung: eigene Anwendung bereitstellen, ohne Serverbetrieb im Detail zu übernehmen. Merksatz: PaaS ist gut, wenn man Anwendung betreiben will, aber weniger Serververwaltung möchte. --- **Was übernimmt der Anbieter bei PaaS?** Der Anbieter übernimmt typischerweise: physische Infrastruktur Virtualisierung Betriebssystembasis Laufzeitumgebung Plattformupdates Skalierungsmechanismen Teile des Monitorings Hochverfügbarkeitsfunktionen je nach Dienst Merksatz: Bei PaaS übernimmt der Anbieter mehr als bei IaaS. --- **Was übernimmt der Kunde bei PaaS?** Der Kunde übernimmt typischerweise: Anwendungscode Anwendungskonfiguration Daten Benutzer und Rollen Zugriffsschlüssel API-Konfiguration sichere Einstellungen fachliche Backups je nach Dienst Berechtigungen Datenschutz und Compliance Merksatz: Bei PaaS bleibt die Anwendung Kundenthema. --- **PaaS-Vorteile** Vorteile: weniger Serveradministration schnellere Entwicklung einfachere Skalierung integrierte Plattformfunktionen weniger Betriebssystempflege oft automatische Updates der Plattform gut für moderne Anwendungen häufig gute Integration in DevOps-Prozesse Merksatz: PaaS entlastet vom Betrieb der technischen Basis. --- **PaaS-Nachteile** Nachteile: weniger Kontrolle über darunterliegende Systeme Abhängigkeit von Plattformfunktionen mögliche Anbieterbindung Einschränkungen bei Spezialkonfigurationen Kostenmodell muss verstanden werden Fehlkonfigurationen weiterhin möglich Merksatz: PaaS nimmt Arbeit ab, kann aber stärker an den Anbieter binden. --- **PaaS-Prüfungsbeispiel** Aufgabe: Ein Unternehmen nutzt eine verwaltete Datenbank in der Cloud. Frage: Muss das Unternehmen den Datenbankserver selbst installieren? Antwort: Nein. Aber das Unternehmen bleibt verantwortlich für: Daten Benutzerrechte Zugriffskonfiguration Backup-Einstellungen je nach Dienst sichere Konfiguration Merksatz: Verwaltete Datenbank bedeutet nicht: keine Datenverantwortung. --- **SaaS im Detail** SaaS bedeutet: Software as a Service Der Kunde nutzt eine fertige Anwendung, die vom Anbieter betrieben wird. Typische Beispiele: E-Mail Online-Office CRM Ticketsystem Videokonferenzdienst Projektmanagement Cloud-Speicher Buchhaltungssystem Lernplattform Merksatz: SaaS ist fertige Software aus der Cloud. --- **Was übernimmt der Anbieter bei SaaS?** Der Anbieter übernimmt typischerweise: Anwendung Plattform Infrastruktur Updates Wartung Grundverfügbarkeit technische Skalierung technische Sicherheitsmaßnahmen Betrieb der Datenbank Betrieb der Server Merksatz: Bei SaaS übernimmt der Anbieter den größten Teil des technischen Betriebs. --- **Was übernimmt der Kunde bei SaaS?** Der Kunde übernimmt typischerweise: Benutzerkonten Rollen Berechtigungen MFA-Einstellungen Datenklassifizierung Freigaben Aufbewahrungsrichtlinien Löschkonzepte Schulung der Benutzer sichere Konfiguration Vertrags- und Datenschutzprüfung Merksatz: SaaS nimmt Betrieb ab, aber nicht Benutzer-, Rechte- und Datenverantwortung. --- **SaaS-Vorteile** Vorteile: schnell nutzbar keine eigene Serverinstallation automatische Updates durch Anbieter ortsunabhängiger Zugriff einfache Skalierung nach Benutzern oft geringe Einstiegshürde gute Zusammenarbeit weniger technischer Betrieb Merksatz: SaaS ist schnell einsatzbereit und reduziert Betriebsaufwand. --- **SaaS-Nachteile** Nachteile: weniger technische Kontrolle Abhängigkeit vom Anbieter Datenstandort prüfen Datenschutz prüfen Lizenzkosten beachten Internetabhängigkeit eingeschränkte Anpassbarkeit falsche Freigaben können Daten offenlegen Merksatz: SaaS ist bequem, braucht aber sorgfältige Rechte- und Datenschutzkontrolle. --- **SaaS-Prüfungsbeispiel** Aufgabe: Ein Unternehmen nutzt einen Cloud-E-Mail-Dienst. Frage: Wer ist für Benutzerrechte, MFA und Postfachfreigaben verantwortlich? Antwort: Der Kunde. Der Anbieter betreibt den Dienst, aber der Kunde verwaltet Zugriffe und Einstellungen. Merksatz: SaaS-Anbieter betreibt die Software, der Kunde verwaltet Nutzung und Zugriff. --- **Verantwortungsschichten** Man kann IT grob in Schichten betrachten: Daten Anwendung Laufzeitumgebung Middleware Betriebssystem Virtualisierung Server Speicher Netzwerk Rechenzentrum Je nach Service-Modell verschiebt sich Verantwortung. Merksatz: Service-Modelle verschieben Verantwortung zwischen Anbieter und Kunde. --- **Verantwortung grob vergleichen** | Schicht | IaaS | PaaS | SaaS | |---|---|---|---| | Daten | Kunde | Kunde | Kunde | | Benutzer und Rechte | Kunde | Kunde | Kunde | | Anwendung | Kunde | Kunde | Anbieter | | Laufzeitumgebung | Kunde | Anbieter | Anbieter | | Betriebssystem | Kunde | Anbieter | Anbieter | | Virtualisierung | Anbieter | Anbieter | Anbieter | | Physische Server | Anbieter | Anbieter | Anbieter | | Rechenzentrum | Anbieter | Anbieter | Anbieter | Merksatz: Daten, Benutzer und Rechte bleiben fast immer Kundenthema. --- **Shared Responsibility Model** Das Shared Responsibility Model beschreibt, wie sich Anbieter und Kunde Verantwortung teilen. Wichtig: Es gibt keine pauschale Antwort für alle Dienste. Die genaue Verantwortung hängt ab von: Service-Modell Anbieter Vertrag Dienstkonfiguration Sicherheitsoptionen Unternehmensrichtlinien Merksatz: Shared Responsibility immer konkret für den genutzten Dienst prüfen. --- **Typischer Denkfehler** Falsch: Das ist Cloud, also kümmert sich der Anbieter um Sicherheit. Richtig: Der Anbieter kümmert sich je nach Modell um Teile der Sicherheit. Der Kunde bleibt für sichere Nutzung, Konfiguration, Daten, Identitäten und Berechtigungen verantwortlich. Merksatz: Cloud-Sicherheit ist gemeinsame Verantwortung. --- **Beispiel: Unsichere IaaS-Konfiguration** Ein Unternehmen betreibt eine VM in der Cloud. Fehler: SSH offen für das gesamte Internet schwaches Passwort keine Updates keine Host-Firewall keine Backups keine Logs Obwohl die Cloud-Infrastruktur sicher betrieben wird, ist die VM unsicher konfiguriert. Merksatz: IaaS-Fehlkonfigurationen liegen oft beim Kunden. --- **Beispiel: Unsichere PaaS-Konfiguration** Ein Unternehmen nutzt eine verwaltete Datenbank. Fehler: Datenbank öffentlich erreichbar zu breite IP-Freigabe schwache Zugangsdaten keine Verschlüsselung erzwungen keine Backups aktiviert Adminzugang für zu viele Benutzer Merksatz: PaaS muss sicher konfiguriert werden. --- **Beispiel: Unsichere SaaS-Konfiguration** Ein Unternehmen nutzt Cloud-Speicher. Fehler: Ordner öffentlich freigegeben Gastzugriff zu breit erlaubt MFA nicht aktiviert alte Benutzerkonten aktiv externe Freigaben nicht geprüft keine Aufbewahrungsrichtlinien Merksatz: SaaS-Fehler entstehen oft durch falsche Freigaben und Rechte. --- **Lift and Shift** Lift and Shift bedeutet: bestehende Server oder Anwendungen werden möglichst unverändert in die Cloud verschoben. Beispiel: lokaler Windows-Server wird als Cloud-VM betrieben. Vorteil: schnelle Migration Nachteil: Cloud-Vorteile wie PaaS, Skalierung und Automatisierung werden oft nur teilweise genutzt. Merksatz: Lift and Shift verschiebt Systeme, modernisiert sie aber nicht automatisch. --- **Cloud-native** Cloud-native bedeutet: Anwendungen werden speziell für Cloud-Umgebungen entwickelt oder angepasst. Typische Merkmale: Skalierbarkeit Automatisierung Container Microservices API-orientierte Architektur Monitoring schnelle Bereitstellung Resilienz Merksatz: Cloud-native nutzt Cloud-Prinzipien bewusst aus. --- **Managed Service** Ein Managed Service ist ein Dienst, bei dem der Anbieter Betrieb und Wartung teilweise übernimmt. Beispiele: verwaltete Datenbank verwalteter Kubernetes-Cluster verwalteter Cache verwaltete Firewall verwaltetes Backup Merksatz: Managed Service reduziert Betriebsaufwand, aber nicht automatisch Kundenverantwortung. --- **Self-Managed** Self-Managed bedeutet: Der Kunde betreibt und verwaltet einen Dienst selbst. Beispiel: Datenbank selbst auf einer Cloud-VM installieren. Der Kunde ist dann verantwortlich für: Installation Updates Backup Sicherheit Monitoring Skalierung Wiederherstellung Merksatz: Self-Managed gibt Kontrolle, aber auch Betriebsverantwortung. --- **Managed und Self-Managed vergleichen** | Merkmal | Managed Service | Self-Managed | |---|---|---| | Betrieb | Anbieter übernimmt mehr | Kunde übernimmt mehr | | Kontrolle | etwas geringer | höher | | Wartung | geringer für Kunden | höher | | Flexibilität | abhängig vom Dienst | oft höher | | Verantwortung | geteilt | stärker beim Kunden | | Beispiel | Cloud-Datenbank | Datenbank auf eigener VM | Merksatz: Managed spart Betrieb. Self-Managed gibt Kontrolle. --- **As-a-Service-Prinzip** As a Service bedeutet: Eine IT-Funktion wird als Dienst bereitgestellt. Neben IaaS, PaaS und SaaS gibt es weitere Begriffe. Beispiele: Backup as a Service Database as a Service Desktop as a Service Security as a Service Function as a Service Network as a Service Merksatz: As a Service bedeutet: Nutzung als Dienst statt vollständig eigener Betrieb. --- **DaaS** DaaS kann je nach Kontext bedeuten: Desktop as a Service oder: Database as a Service In Prüfungen muss man auf den Kontext achten. Desktop as a Service: virtuelle Desktops aus der Cloud Database as a Service: verwaltete Datenbank als Cloud-Dienst Merksatz: DaaS immer im Kontext lesen. --- **FaaS** FaaS steht für: Function as a Service Dabei werden einzelne Funktionen ausgeführt, wenn ein Ereignis eintritt. Beispiel: Datei wird hochgeladen. Funktion startet automatisch. Datei wird verarbeitet. FaaS gehört oft zum Serverless-Bereich. Merksatz: FaaS führt Code ereignisgesteuert aus. --- **BaaS** BaaS kann bedeuten: Backup as a Service oder: Backend as a Service Backup as a Service: Backups werden als Cloud-Dienst bereitgestellt. Backend as a Service: Backend-Funktionen für Anwendungen werden bereitgestellt, zum Beispiel Authentifizierung, Datenbank oder Push-Benachrichtigungen. Merksatz: BaaS ebenfalls immer im Kontext verstehen. --- **XaaS** XaaS steht für: Anything as a Service oder: Everything as a Service Es ist ein Sammelbegriff für viele Dienste, die als Cloud-Service bereitgestellt werden. Merksatz: XaaS ist ein Oberbegriff für Dienste aus der Cloud. --- **Typische Einordnung von Beispielen** | Beispiel | Service-Modell | |---|---| | virtuelle Maschine | IaaS | | virtueller Datenträger | IaaS | | virtuelles Netzwerk | IaaS | | verwaltete Datenbank | PaaS | | Web-App-Plattform | PaaS | | Containerplattform als Dienst | PaaS | | fertiges E-Mail-System | SaaS | | Online-Office | SaaS | | CRM aus der Cloud | SaaS | | Ticketsystem aus der Cloud | SaaS | | einzelne Funktion bei Ereignis | FaaS / Serverless | Merksatz: Frage immer: Nutze ich Infrastruktur, Plattform oder fertige Software? --- **Entscheidungshilfe** | Ziel | passendes Modell | |---|---| | maximale Kontrolle über Server | IaaS | | eigene Anwendung ohne Serverbetrieb | PaaS | | fertige Anwendung schnell nutzen | SaaS | | Ereignisgesteuerte kleine Funktionen | FaaS | | klassische Servermigration | IaaS / Lift and Shift | | moderne skalierbare Anwendung | PaaS / Container / Serverless | Merksatz: Das Modell richtet sich nach Kontrolle, Aufwand und Anwendungszweck. --- **Kostenunterschiede** IaaS, PaaS und SaaS haben unterschiedliche Kostenmodelle. IaaS: VM-Laufzeit Speicher Netzwerkverkehr Backups PaaS: Dienstgröße Nutzung Datenbankleistung Anfragen Speicher SaaS: Benutzerlizenzen Funktionspakete Speicher Zusatzmodule Merksatz: Cloud-Kosten entstehen je nach Service-Modell unterschiedlich. --- **Sicherheitsunterschiede** IaaS: Kunde muss Server stark selbst absichern. PaaS: Kunde muss Anwendung, Daten und Zugriff absichern. SaaS: Kunde muss Benutzer, Rollen, Freigaben und Daten absichern. Merksatz: Sicherheit verlagert sich, verschwindet aber nicht. --- **Betriebsunterschiede** IaaS: viel Betrieb beim Kunden PaaS: mittlerer Betrieb beim Kunden SaaS: wenig technischer Betrieb beim Kunden Aber: Fachliche Administration bleibt bei allen Modellen wichtig. Merksatz: Weniger technischer Betrieb heißt nicht keine Administration. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was bedeutet IaaS? - Was bedeutet PaaS? - Was bedeutet SaaS? - Worin unterscheiden sich IaaS, PaaS und SaaS? - Wer ist bei IaaS für Betriebssystemupdates verantwortlich? - Wer verwaltet bei SaaS Benutzer und Rechte? - Was bedeutet Shared Responsibility? - Warum ist eine Cloud-VM nicht automatisch sicher? - Was ist ein Managed Service? - Was ist Self-Managed? - Was bedeutet Lift and Shift? - Was bedeutet Cloud-native? - Was ist FaaS? - Warum ist Hashing oder Verschlüsselung allein kein Ersatz für Rechteverwaltung? - Warum bleibt der Kunde auch bei SaaS für Daten verantwortlich? --- **Typische Prüfungsfallen** IaaS ist nicht fertige Software. SaaS ist nicht eigener Server. PaaS liegt zwischen IaaS und SaaS. Cloud-VMs muss der Kunde oft selbst patchen. Verwaltete Datenbank heißt nicht: Daten sind automatisch korrekt geschützt. SaaS heißt nicht: alle Benutzerrechte sind automatisch sicher. Shared Responsibility gilt immer konkret je Dienst. Daten bleiben Kundenthema. Benutzer und Rechte bleiben Kundenthema. Backup muss geprüft werden. Cloud ist nicht automatisch sicher. Cloud ist nicht automatisch günstiger. Managed Service reduziert Betrieb, aber nicht Verantwortung. Lift and Shift modernisiert nicht automatisch. Serverless heißt nicht, dass keine Server existieren. FaaS führt Funktionen ereignisgesteuert aus. DaaS und BaaS im Kontext lesen. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | IaaS | Infrastructure as a Service | | PaaS | Platform as a Service | | SaaS | Software as a Service | | Shared Responsibility | geteilte Verantwortung zwischen Anbieter und Kunde | | Cloud-VM | virtuelle Maschine in der Cloud | | Managed Service | Anbieter übernimmt Teile des Betriebs | | Self-Managed | Kunde betreibt Dienst selbst | | Lift and Shift | bestehendes System in Cloud verschieben | | Cloud-native | speziell für Cloud-Prinzipien entwickelt | | FaaS | Function as a Service | | DaaS | je nach Kontext Desktop oder Database as a Service | | BaaS | je nach Kontext Backup oder Backend as a Service | | XaaS | Sammelbegriff für Dienste als Service | | Plattform | Umgebung zum Ausführen von Anwendungen | | Runtime | Laufzeitumgebung für Anwendungscode | | Middleware | Software zwischen Betriebssystem und Anwendung | | Service-Modell | beschreibt Verantwortungsverteilung | | Anbieter | Cloud-Provider oder Dienstleister | | Kunde | nutzende Organisation | | Rechteverwaltung | Steuerung von Zugriffen | | Konfiguration | technische und fachliche Einstellung eines Dienstes | --- **IHK-sichere Kurzformulierung** IaaS, PaaS und SaaS sind Cloud-Service-Modelle, die beschreiben, welche IT-Schichten vom Anbieter bereitgestellt werden und welche der Kunde selbst verwaltet. Bei IaaS stellt der Anbieter virtuelle Infrastruktur wie Server, Speicher und Netzwerke bereit, während der Kunde Betriebssystem, Anwendungen, Daten und Sicherheit innerhalb der Systeme verwaltet. Bei PaaS stellt der Anbieter zusätzlich Plattform und Laufzeitumgebung bereit, sodass der Kunde sich stärker auf Anwendung und Daten konzentriert. Bei SaaS nutzt der Kunde eine fertige Anwendung, bleibt aber für Benutzer, Rollen, Berechtigungen, Daten, Freigaben und sichere Konfiguration verantwortlich. Das Shared Responsibility Model beschreibt diese geteilte Verantwortung. --- **Merksätze** IaaS = Infrastructure as a Service. PaaS = Platform as a Service. SaaS = Software as a Service. IaaS liefert virtuelle Infrastruktur. PaaS liefert Plattform für Anwendungen. SaaS liefert fertige Software. IaaS gibt viel Kontrolle. SaaS nimmt viel Betrieb ab. PaaS liegt dazwischen. Cloud-VM muss Kunde meist selbst patchen. PaaS-Anwendung bleibt Kundenthema. SaaS-Rechte bleiben Kundenthema. Daten bleiben fast immer Kundenthema. Benutzer und Rollen bleiben fast immer Kundenthema. Shared Responsibility konkret prüfen. Cloud-Sicherheit ist gemeinsame Verantwortung. Managed Service reduziert Betriebsaufwand. Self-Managed erhöht Verantwortung. Lift and Shift verschiebt, modernisiert aber nicht automatisch. Cloud-native nutzt Cloud-Prinzipien. Serverless heißt keine Serververwaltung durch Kunden. FaaS führt Funktionen bei Ereignissen aus. XaaS ist Sammelbegriff. Frage immer: Infrastruktur, Plattform oder fertige Anwendung? Weniger technischer Betrieb heißt nicht: keine Administration. Cloud ist nicht automatisch sicher. Cloud ist nicht automatisch günstiger. # 15.3 Public Cloud, Private Cloud, Hybrid Cloud und Multi Cloud Cloud kann unterschiedlich bereitgestellt werden. Die wichtigsten Cloud-Bereitstellungsmodelle sind: - Public Cloud - Private Cloud - Hybrid Cloud - Multi Cloud - Community Cloud Diese Modelle beschreiben, wo die Cloud betrieben wird, wer sie nutzt und wie stark sie vom Unternehmen selbst kontrolliert wird. Merksatz: Service-Modelle beschreiben, was bereitgestellt wird. Bereitstellungsmodelle beschreiben, wo und für wen es bereitgestellt wird. --- **Warum Bereitstellungsmodelle wichtig sind** Nicht jede Cloud ist gleich aufgebaut. Ein Unternehmen muss entscheiden: Sollen Dienste beim öffentlichen Anbieter laufen? Sollen sensible Systeme intern bleiben? Sollen lokale Systeme mit Cloud verbunden werden? Sollen mehrere Anbieter genutzt werden? Gibt es Datenschutz- oder Compliance-Anforderungen? Wie wichtig sind Kontrolle, Kosten, Skalierung und Verfügbarkeit? Merksatz: Das passende Cloud-Modell hängt von Technik, Sicherheit, Kosten und Anforderungen ab. --- **Public Cloud** Public Cloud bedeutet: Ein Cloud-Anbieter stellt Ressourcen für viele Kunden bereit. Die Kunden nutzen dieselbe Anbieterplattform, sind aber logisch voneinander getrennt. Typische Ressourcen: virtuelle Maschinen Speicher Datenbanken Webdienste Containerdienste KI-Dienste Identitätsdienste Monitoring Backup SaaS-Anwendungen Merksatz: Public Cloud ist Cloud beim öffentlichen Anbieter für viele Kunden. --- **Public Cloud einfach erklärt** Beispiel: Ein Unternehmen mietet virtuelle Server bei einem Cloud-Anbieter. Die Server laufen nicht im eigenen Serverraum, sondern im Rechenzentrum des Anbieters. Das Unternehmen verwaltet seine Ressourcen über: Webportal API Kommandozeile Automatisierung Infrastructure as Code Merksatz: Public Cloud wird über Anbieterplattformen bereitgestellt und verwaltet. --- **Typische Public-Cloud-Eigenschaften** Typische Eigenschaften: schnelle Bereitstellung hohe Skalierbarkeit nutzungsabhängige Abrechnung große Auswahl an Diensten weltweite Regionen standardisierte Plattform Self-Service API-Steuerung viele Automatisierungsmöglichkeiten Merksatz: Public Cloud ist schnell, flexibel und dienstorientiert. --- **Public Cloud: Vorteile** Vorteile: keine eigene Hardwarebeschaffung schnelle Bereitstellung flexible Skalierung viele fertige Dienste weltweite Verfügbarkeit nutzungsabhängige Kosten moderne Sicherheitsfunktionen Automatisierung gut möglich geeignet für wechselnde Last Merksatz: Public Cloud bietet Flexibilität und schnelle Bereitstellung. --- **Public Cloud: Nachteile** Nachteile: Abhängigkeit vom Anbieter laufende Kosten können unübersichtlich werden Datenschutz und Datenstandort prüfen Internetabhängigkeit weniger Kontrolle über physische Infrastruktur Fehlkonfigurationen möglich Anbieteränderungen können Auswirkungen haben Know-how für sichere Nutzung nötig Merksatz: Public Cloud braucht Kostenkontrolle, Sicherheitskonzept und klare Verantwortlichkeiten. --- **Public Cloud und Mandantentrennung** In der Public Cloud nutzen viele Kunden dieselbe Plattform. Damit Kunden getrennt bleiben, gibt es Mandantentrennung. Mandantentrennung bedeutet: Ressourcen eines Kunden sind logisch von anderen Kunden getrennt. Beispiele: eigene Benutzerverwaltung eigene virtuelle Netzwerke eigene Speicherbereiche eigene Zugriffsrechte eigene Abrechnung Merksatz: Public Cloud ist gemeinsam genutzt, aber logisch getrennt. --- **Private Cloud** Private Cloud bedeutet: Cloud-Prinzipien werden für eine einzelne Organisation bereitgestellt. Sie kann betrieben werden: im eigenen Rechenzentrum bei einem Dienstleister in einer dedizierten Umgebung Wichtig: Die Plattform wird nicht allgemein von vielen unabhängigen Kunden geteilt, sondern ist für eine Organisation bestimmt. Merksatz: Private Cloud ist Cloud für eine Organisation. --- **Private Cloud einfach erklärt** Beispiel: Ein Unternehmen betreibt im eigenen Rechenzentrum eine virtualisierte Plattform. Fachbereiche können dort selbst Ressourcen anfordern: virtuelle Maschinen Speicher Netzwerke Datenbanken Testumgebungen Die Bereitstellung erfolgt automatisiert und zentral verwaltet. Merksatz: Private Cloud nutzt Cloud-Prinzipien, aber in kontrollierter Umgebung. --- **Typische Private-Cloud-Eigenschaften** Typische Eigenschaften: mehr Kontrolle dedizierte Umgebung interne Sicherheitsvorgaben eigene Netzstruktur eigene Compliance-Vorgaben Automatisierung Self-Service Ressourcenpools interne Verrechnung möglich Merksatz: Private Cloud verbindet Cloud-Funktionen mit stärkerer Kontrolle. --- **Private Cloud: Vorteile** Vorteile: hohe Kontrolle über Umgebung besser an interne Vorgaben anpassbar Daten können im eigenen Betrieb bleiben eigene Sicherheitsarchitektur möglich geeignet für sensible Systeme Integration in bestehende Infrastruktur weniger Abhängigkeit von Public-Cloud-Anbieter Merksatz: Private Cloud ist interessant, wenn Kontrolle und Anpassung wichtig sind. --- **Private Cloud: Nachteile** Nachteile: eigene Hardware oder Dienstleister nötig höhere Betriebsverantwortung Skalierung begrenzter als Public Cloud Investitionskosten möglich eigenes Fachwissen nötig Wartung bleibt stärker beim Unternehmen Verfügbarkeit muss selbst geplant werden Merksatz: Private Cloud gibt Kontrolle, aber auch mehr Betriebsaufwand. --- **Private Cloud ist nicht automatisch Cloud** Nur weil Server virtualisiert sind, ist es noch nicht automatisch eine Private Cloud. Cloud-typische Merkmale sind zum Beispiel: Self-Service Automatisierung Ressourcenpooling schnelle Bereitstellung messbare Nutzung standardisierte Dienste zentrale Verwaltung Merksatz: Virtualisierung allein ist noch keine vollständige Private Cloud. --- **Public Cloud und Private Cloud vergleichen** | Merkmal | Public Cloud | Private Cloud | |---|---|---| | Betreiber | öffentlicher Anbieter | Unternehmen oder Dienstleister | | Nutzerkreis | viele Kunden | eine Organisation | | Kontrolle | geringer über physische Basis | höher | | Skalierung | sehr hoch | abhängig von eigener Kapazität | | Kostenmodell | oft nutzungsabhängig | oft Investition plus Betrieb | | Anpassbarkeit | begrenzt durch Anbieter | höher | | Datenstandort | Anbieterregion wählen | stärker selbst bestimmbar | Merksatz: Public Cloud ist flexibler skalierbar. Private Cloud ist stärker kontrollierbar. --- **Hybrid Cloud** Hybrid Cloud bedeutet: Lokale IT oder Private Cloud wird mit Public Cloud kombiniert. Beispiele: internes Rechenzentrum plus Public-Cloud-Dienste Oder: Private Cloud plus Public Cloud Merksatz: Hybrid Cloud kombiniert lokale oder private IT mit Public Cloud. --- **Hybrid Cloud einfach erklärt** Beispiel: Kundendatenbank läuft lokal. Webfrontend läuft in der Public Cloud. Backup wird zusätzlich in der Cloud gespeichert. Verbindung erfolgt über VPN oder dedizierte Leitung. So nutzt das Unternehmen lokale Kontrolle und Cloud-Flexibilität gleichzeitig. Merksatz: Hybrid Cloud verbindet zwei Welten. --- **Typische Hybrid-Cloud-Szenarien** Typische Szenarien: lokales Active Directory mit Cloud-Diensten verbinden lokale Server mit Cloud-Backup sichern Cloud-Webanwendung greift auf lokale Datenbank zu lokale Anwendung nutzt Cloud-Speicher Cloud als Ausweichstandort schrittweise Migration in die Cloud Lastspitzen in Cloud auslagern sensible Daten lokal, skalierbare Dienste in Cloud Merksatz: Hybrid Cloud wird oft für schrittweise Migration und flexible Erweiterung genutzt. --- **Hybrid Cloud: Vorteile** Vorteile: Kombination aus Kontrolle und Skalierung schrittweise Migration möglich sensible Systeme können lokal bleiben Cloud-Dienste ergänzen lokale IT Backup und Notfallkonzepte möglich flexible Lastverteilung bestehende Investitionen weiter nutzbar Merksatz: Hybrid Cloud ermöglicht Übergang und Kombination. --- **Hybrid Cloud: Nachteile** Nachteile: höhere Komplexität Netzwerkanbindung muss stabil sein VPN oder Direktverbindung nötig Identitätsmanagement muss zusammenpassen Monitoring über mehrere Umgebungen nötig Sicherheitsregeln müssen abgestimmt werden Datenflüsse müssen dokumentiert werden Fehlersuche wird komplexer Merksatz: Hybrid Cloud ist flexibel, aber technisch anspruchsvoller. --- **Hybrid Cloud und Netzwerk** Hybrid Cloud braucht eine sichere Verbindung zwischen Umgebungen. Möglichkeiten: Site-to-Site-VPN dedizierte Leitung Cloud-VPN SD-WAN private Verbindung zum Anbieter Wichtig: Routing DNS Firewall-Regeln Latenz Bandbreite Verschlüsselung Redundanz Merksatz: Hybrid Cloud steht und fällt mit sauberer Netzwerkanbindung. --- **Hybrid Cloud und Identitäten** Benutzer sollen oft sowohl lokale als auch Cloud-Dienste nutzen. Dafür braucht man ein Identitätskonzept. Beispiele: lokale Benutzerverwaltung Cloud-Verzeichnisdienst Synchronisierung Single Sign-On MFA Rollen Conditional Access Merksatz: Hybrid Cloud braucht einheitliche Identitäten und Zugriffskonzepte. --- **Hybrid Cloud und Datenflüsse** Bei Hybrid Cloud muss klar sein: Welche Daten liegen lokal? Welche Daten liegen in der Cloud? Welche Daten werden übertragen? Wer darf zugreifen? Wo werden Backups gespeichert? Welche Systeme kommunizieren miteinander? Welche Schnittstellen gibt es? Merksatz: Hybrid Cloud braucht dokumentierte Datenflüsse. --- **Multi Cloud** Multi Cloud bedeutet: Ein Unternehmen nutzt mehrere Cloud-Anbieter gleichzeitig. Beispiel: Anbieter A für virtuelle Server Anbieter B für E-Mail und Office Anbieter C für Backup Anbieter D für KI- oder Datenanalyse Merksatz: Multi Cloud bedeutet mehrere Cloud-Anbieter parallel. --- **Multi Cloud ist nicht dasselbe wie Hybrid Cloud** Hybrid Cloud: Kombination aus lokaler IT und Cloud Multi Cloud: Nutzung mehrerer Cloud-Anbieter Beispiel: Nur Anbieter A und Anbieter B, ohne lokale Systeme: Multi Cloud, aber nicht zwingend Hybrid Cloud. Merksatz: Hybrid beschreibt lokal plus Cloud. Multi Cloud beschreibt mehrere Anbieter. --- **Multi Cloud: Vorteile** Vorteile: weniger Abhängigkeit von einem Anbieter passende Dienste je Anbieter nutzbar bessere Verhandlungsposition möglich Ausweichmöglichkeiten regulatorische oder regionale Anforderungen leichter erfüllbar Spezialdienste verschiedener Anbieter nutzbar Merksatz: Multi Cloud kann Anbieterabhängigkeit verringern. --- **Multi Cloud: Nachteile** Nachteile: höhere Komplexität unterschiedliche Bedienkonzepte unterschiedliche Sicherheitsmodelle mehrere IAM-Systeme schwierigeres Monitoring höhere Anforderungen an Know-how Kostenkontrolle komplizierter Datenübertragung zwischen Anbietern kann teuer sein Merksatz: Multi Cloud reduziert Abhängigkeit, erhöht aber Komplexität. --- **Multi Cloud und Vendor Lock-in** Vendor Lock-in bedeutet: Ein Unternehmen wird stark abhängig von einem Anbieter. Ursachen: proprietäre Dienste spezielle APIs spezielle Datenformate komplexe Migration hohe Ausstiegskosten Mitarbeitende kennen nur eine Plattform Multi Cloud kann Vendor Lock-in verringern, aber nicht automatisch verhindern. Merksatz: Vendor Lock-in bedeutet starke Anbieterabhängigkeit. --- **Multi Cloud und Portabilität** Portabilität bedeutet: Anwendungen oder Daten können leichter zwischen Umgebungen verschoben werden. Möglichkeiten: Container offene Standards standardisierte APIs Infrastructure as Code portable Datenformate automatisierte Deployments Aber: vollständig einfache Portabilität ist selten. Merksatz: Portabilität muss geplant werden. --- **Community Cloud** Community Cloud bedeutet: Eine Cloud wird von mehreren Organisationen mit ähnlichen Anforderungen genutzt. Beispiele: Behörden Forschung Bildung Gesundheitswesen bestimmte Branchen Verbände Gemeinsam sind oft: Sicherheitsanforderungen Datenschutzvorgaben Compliance-Regeln fachliche Anforderungen Merksatz: Community Cloud ist Cloud für eine bestimmte Gemeinschaft. --- **Community Cloud: Vorteile** Vorteile: gemeinsame Anforderungen können besser berücksichtigt werden branchenspezifische Vorgaben möglich Kosten können geteilt werden gemeinsame Standards spezielle Sicherheits- und Compliance-Anforderungen Merksatz: Community Cloud bündelt ähnliche Anforderungen mehrerer Organisationen. --- **Community Cloud: Nachteile** Nachteile: weniger flexibel als Public Cloud begrenzter Nutzerkreis Abstimmung zwischen Organisationen nötig Governance komplexer Angebot möglicherweise kleiner Verantwortlichkeiten müssen klar geregelt sein Merksatz: Community Cloud braucht klare gemeinsame Regeln. --- **Cloud-Modelle im Vergleich** | Modell | Kerngedanke | |---|---| | Public Cloud | Anbieterplattform für viele Kunden | | Private Cloud | Cloud für eine Organisation | | Hybrid Cloud | lokale/private IT plus Public Cloud | | Multi Cloud | mehrere Cloud-Anbieter | | Community Cloud | Cloud für Organisationen mit gemeinsamen Anforderungen | Merksatz: Jedes Modell löst andere Anforderungen. --- **Typische Entscheidungskriterien** Wichtige Kriterien: Datenschutz Datenstandort Kosten Skalierbarkeit Kontrolle Verfügbarkeit Compliance Latenz vorhandene Systeme Know-how Sicherheitsanforderungen Anbieterabhängigkeit Integrationsaufwand Merksatz: Cloud-Modell nach Anforderungen auswählen, nicht nach Modewort. --- **Datenstandort** Datenstandort bedeutet: Wo werden Daten gespeichert und verarbeitet? Wichtig für: Datenschutz rechtliche Anforderungen Kundenanforderungen Latenz Compliance Vertragsbedingungen Beispiel: Daten müssen innerhalb der EU gespeichert werden. Merksatz: Datenstandort ist bei Cloud-Auswahl entscheidend. --- **Compliance** Compliance bedeutet: Einhaltung von Regeln, Gesetzen, Standards und internen Vorgaben. Bei Cloud relevant: Datenschutz Informationssicherheit Branchenvorgaben Auditierbarkeit Aufbewahrungsfristen Löschkonzepte Zugriffsnachweise Vertragsanforderungen Merksatz: Cloud muss zu rechtlichen und organisatorischen Vorgaben passen. --- **Cloud und Latenz** Latenz ist die Verzögerung bei der Datenübertragung. Sie ist wichtig bei: Echtzeitanwendungen Datenbankzugriffen Remote Desktop VoIP Produktionssystemen verteilten Anwendungen Ein weit entfernter Cloud-Standort kann höhere Latenz verursachen. Merksatz: Cloud-Region beeinflusst Latenz. --- **Cloud und Bandbreite** Cloud-Dienste brauchen passende Bandbreite. Relevant bei: Backups Dateiübertragung Videodaten Datenbankreplikation Migration Synchronisation Hybrid-Cloud-Anbindung Merksatz: Cloud-Nutzung kann viel Netzwerkverkehr erzeugen. --- **Cloud und Datenübertragungskosten** Bei Cloud können Datenübertragungen Kosten verursachen. Besonders wichtig: ausgehender Datenverkehr aus der Cloud Daten zwischen Regionen Daten zwischen Anbietern große Backups Replikation Downloads durch Benutzer Merksatz: Cloud-Traffic kann Kosten verursachen. --- **Cloud und Verfügbarkeit** Cloud-Anbieter stellen viele Möglichkeiten für Verfügbarkeit bereit. Aber: Der Kunde muss sie nutzen und konfigurieren. Beispiele: mehrere Zonen mehrere Regionen Load Balancer Replikation Backup Auto Scaling Monitoring Merksatz: Cloud bietet Möglichkeiten für Hochverfügbarkeit, aber nicht automatisch fertige Hochverfügbarkeit. --- **Cloud und Ausfallsicherheit** Ausfallsicherheit bedeutet: Ein Dienst bleibt trotz Störung nutzbar oder kann schnell wiederhergestellt werden. Wichtige Konzepte: Redundanz Backup Wiederherstellung Notfallplan mehrere Zonen mehrere Regionen regelmäßige Tests Merksatz: Ausfallsicherheit muss geplant, umgesetzt und getestet werden. --- **Cloud und Verantwortung** Auch beim Bereitstellungsmodell gilt: Verantwortung verschwindet nicht. Der Kunde muss prüfen: Wer betreibt was? Wer sichert was? Wer patcht was? Wer darf zugreifen? Wer überwacht? Wer reagiert bei Störung? Wer ist Ansprechpartner? Was steht im Vertrag? Merksatz: Cloud-Verantwortung muss klar geregelt sein. --- **Cloud und Verträge** Cloud-Nutzung braucht klare vertragliche Regelungen. Wichtige Punkte: Leistungsumfang Verfügbarkeit Supportzeiten Datenschutz Datenstandort Auftragsverarbeitung Kündigung Datenexport Wiederherstellung Sicherheitsmaßnahmen Haftung Merksatz: Cloud ist auch ein organisatorisches und vertragliches Thema. --- **Service Level Agreement** Service Level Agreement wird abgekürzt: SLA Ein SLA beschreibt zugesicherte Serviceleistungen. Beispiele: Verfügbarkeit Reaktionszeit Wiederherstellungszeit Supportzeit Leistungswerte Wichtig: SLA genau lesen. Hohe Prozentwerte bedeuten trotzdem mögliche Ausfallzeit. Merksatz: SLA beschreibt zugesicherte Servicequalität. --- **SLA und Verfügbarkeit** Verfügbarkeit wird oft in Prozent angegeben. Beispiele: | Verfügbarkeit | grobe Bedeutung | |---:|---| | 99 % | deutlich mehr mögliche Ausfallzeit als 99,9 % | | 99,9 % | höher verfügbar | | 99,99 % | sehr hohe Verfügbarkeit | | 99,999 % | extrem hohe Verfügbarkeit | Wichtig: Je höher die Verfügbarkeit, desto aufwendiger und teurer ist sie meist. Merksatz: Mehr Neunen bedeuten weniger erlaubte Ausfallzeit, aber meist mehr Aufwand. --- **Cloud und Exit-Strategie** Eine Exit-Strategie beschreibt, wie man einen Cloud-Dienst wieder verlassen kann. Fragen: Wie exportiere ich Daten? In welchem Format bekomme ich Daten zurück? Wie lange dauert Migration? Welche Kosten entstehen? Welche Abhängigkeiten gibt es? Wie werden Daten beim Anbieter gelöscht? Gibt es Alternativen? Merksatz: Cloud-Einstieg braucht auch Cloud-Ausstiegsplan. --- **Cloud und Datenportabilität** Datenportabilität bedeutet: Daten können in ein anderes System oder zu einem anderen Anbieter übertragen werden. Wichtig: offene Formate Exportfunktionen dokumentierte Schnittstellen keine unnötigen proprietären Abhängigkeiten regelmäßige Exporttests Merksatz: Daten sollten nicht in einem Dienst gefangen sein. --- **Cloud und Schatten-IT** Schatten-IT bedeutet: Fachbereiche nutzen IT-Dienste ohne Wissen oder Freigabe der IT-Abteilung. Beispiele: private Cloud-Speicher nicht freigegebene SaaS-Tools eigene KI-Dienste externe Projektplattformen private Messenger Risiken: Datenschutzprobleme Datenabfluss fehlende Backups keine Rechtekontrolle keine Löschung bei Austritt keine Vertragsprüfung Merksatz: Schatten-IT entsteht oft, wenn offizielle Lösungen fehlen oder zu unpraktisch sind. --- **Cloud Governance** Cloud Governance beschreibt Regeln und Steuerung für Cloud-Nutzung. Dazu gehören: wer darf Cloud-Ressourcen erstellen? welche Dienste sind erlaubt? welche Regionen sind erlaubt? welche Sicherheitsstandards gelten? wie werden Kosten überwacht? wie werden Daten klassifiziert? wie werden Zugriffe geprüft? wie werden Änderungen dokumentiert? Merksatz: Cloud Governance sorgt für kontrollierte Cloud-Nutzung. --- **Tagging** Tagging bedeutet: Cloud-Ressourcen werden mit Schlagworten oder Metadaten markiert. Beispiele: Projekt Kostenstelle Verantwortlicher Umgebung Kritikalität Ablaufdatum Datenschutzklasse Vorteile: Kosten zuordnen Ressourcen finden Verantwortliche erkennen Aufräumen erleichtern Automatisierung ermöglichen Merksatz: Tags machen Cloud-Ressourcen verwaltbar. --- **Cloud-Kostenkontrolle** Kostenkontrolle ist wichtig, weil Cloud-Ressourcen schnell erstellt werden können. Maßnahmen: Budgets Alarme Tags Kostenstellen Rechtebegrenzung Abschalten ungenutzter Ressourcen passende Größen wählen Reservierungen prüfen Datenverkehr beobachten Merksatz: Cloud-Flexibilität braucht Kostenkontrolle. --- **Typische Cloud-Fehlentscheidungen** Häufige Fehler: Cloud-Modell ohne Anforderungen auswählen Datenschutz nicht prüfen Kosten nicht überwachen keine Exit-Strategie planen kein Backup-Konzept erstellen keine Rollen definieren Ressourcen öffentlich freigeben Multi Cloud ohne Know-how einführen Hybrid Cloud ohne Netzplanung starten SLA falsch verstehen Merksatz: Cloud muss geplant werden, nicht nur gebucht. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist Public Cloud? - Was ist Private Cloud? - Was ist Hybrid Cloud? - Was ist Multi Cloud? - Was ist Community Cloud? - Was ist der Unterschied zwischen Hybrid Cloud und Multi Cloud? - Welche Vorteile hat Public Cloud? - Welche Vorteile hat Private Cloud? - Warum ist Hybrid Cloud komplexer? - Was bedeutet Vendor Lock-in? - Was bedeutet Datenstandort? - Was ist ein SLA? - Warum braucht Cloud eine Exit-Strategie? - Was ist Cloud Governance? - Warum ist Tagging sinnvoll? - Warum ist Cloud-Kostenkontrolle wichtig? --- **Typische Prüfungsfallen** Public Cloud ist nicht automatisch unsicher. Private Cloud ist nicht automatisch günstiger. Hybrid Cloud ist nicht einfach nur irgendeine Cloud. Multi Cloud ist nicht dasselbe wie Hybrid Cloud. Community Cloud ist für bestimmte Organisationengruppen. Virtualisierung allein ist noch keine Private Cloud. Cloud ist nicht automatisch hochverfügbar. Cloud ist nicht automatisch günstiger. Datenstandort prüfen. SLA genau lesen. Hohe Verfügbarkeit muss konfiguriert werden. Multi Cloud erhöht Komplexität. Hybrid Cloud braucht gute Netzplanung. Vendor Lock-in früh beachten. Exit-Strategie vor dem Wechsel planen. Schatten-IT ist ein Sicherheitsrisiko. Governance verhindert unkontrollierte Cloud-Nutzung. Tagging hilft bei Kosten und Verwaltung. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Public Cloud | Cloud-Plattform für viele Kunden | | Private Cloud | Cloud für eine Organisation | | Hybrid Cloud | lokale/private IT plus Public Cloud | | Multi Cloud | mehrere Cloud-Anbieter | | Community Cloud | Cloud für Organisationen mit gemeinsamen Anforderungen | | Mandantentrennung | logische Trennung verschiedener Kunden | | Vendor Lock-in | starke Anbieterabhängigkeit | | Portabilität | Übertragbarkeit von Daten oder Anwendungen | | Datenstandort | Ort der Speicherung und Verarbeitung | | Compliance | Einhaltung von Regeln und Vorgaben | | SLA | Service Level Agreement | | Exit-Strategie | Plan zum Verlassen eines Dienstes | | Datenportabilität | Daten in anderes System übertragen können | | Schatten-IT | nicht offiziell freigegebene IT-Nutzung | | Cloud Governance | Regeln für Cloud-Nutzung | | Tagging | Metadaten für Ressourcen | | Kostenkontrolle | Überwachung und Steuerung von Cloud-Kosten | | Verfügbarkeit | Dienst ist nutzbar | | Ausfallsicherheit | Dienst bleibt trotz Störung verfügbar oder wird wiederhergestellt | --- **IHK-sichere Kurzformulierung** Public Cloud bezeichnet Cloud-Dienste eines öffentlichen Anbieters, die von vielen Kunden genutzt werden, wobei die Kunden logisch voneinander getrennt sind. Private Cloud stellt Cloud-Funktionen für eine einzelne Organisation bereit und bietet mehr Kontrolle, aber auch mehr Betriebsverantwortung. Hybrid Cloud kombiniert lokale oder private IT mit Public Cloud, während Multi Cloud die Nutzung mehrerer Cloud-Anbieter beschreibt. Community Cloud wird von Organisationen mit gemeinsamen Anforderungen genutzt. Bei der Auswahl eines Cloud-Modells müssen Datenschutz, Datenstandort, Compliance, Kosten, Skalierbarkeit, Kontrolle, Verfügbarkeit, Latenz, Anbieterabhängigkeit und Exit-Strategie berücksichtigt werden. --- **Merksätze** Bereitstellungsmodell beschreibt, wo und für wen Cloud läuft. Public Cloud = Anbieterplattform für viele Kunden. Private Cloud = Cloud für eine Organisation. Hybrid Cloud = lokal oder privat plus Public Cloud. Multi Cloud = mehrere Anbieter. Community Cloud = gemeinsame Anforderungen. Public Cloud ist flexibel. Private Cloud gibt mehr Kontrolle. Hybrid Cloud kombiniert Welten. Multi Cloud reduziert Anbieterabhängigkeit, erhöht aber Komplexität. Hybrid ist nicht automatisch Multi Cloud. Multi Cloud ist nicht automatisch Hybrid. Virtualisierung allein ist keine Private Cloud. Mandantentrennung trennt Kunden logisch. Vendor Lock-in früh beachten. Portabilität planen. Datenstandort prüfen. Compliance beachten. Cloud-Region beeinflusst Latenz. Cloud-Traffic kann Kosten verursachen. Cloud ist nicht automatisch hochverfügbar. Hochverfügbarkeit muss geplant werden. SLA genau lesen. Exit-Strategie vor Nutzung bedenken. Datenportabilität ist wichtig. Schatten-IT vermeiden. Cloud Governance schafft Regeln. Tagging hilft bei Verwaltung und Kosten. Cloud-Kosten aktiv überwachen. Cloud muss geplant werden, nicht nur gebucht. # 15.4 Cloud-Netzwerke, VPC, Subnetze und Security Groups Cloud-Dienste brauchen genau wie lokale Systeme ein Netzwerk. In der Cloud werden Netzwerke aber nicht mit physischen Switches und Routern aufgebaut, sondern überwiegend virtuell. Typische Bestandteile eines Cloud-Netzwerks: - virtuelles Netzwerk - Subnetze - Routingtabellen - Security Groups - Network Security Groups - virtuelle Firewalls - Load Balancer - öffentliche IP-Adressen - private IP-Adressen - NAT-Gateways - VPN-Gateways - DNS - Peering Merksatz: Cloud-Netzwerke sind virtuell, müssen aber genauso sauber geplant werden wie lokale Netzwerke. --- **Warum Cloud-Netzwerke wichtig sind** Viele Cloud-Fehler entstehen nicht durch die Anwendung, sondern durch Netzwerk- oder Sicherheitskonfiguration. Beispiele: virtuelle Maschine nicht erreichbar Datenbank öffentlich erreichbar Webserver hat falsche Security Group Subnetz hat keine passende Route Cloud-Dienst kann Backend nicht erreichen VPN zur Cloud funktioniert nicht DNS zeigt auf falsches Ziel Load Balancer erreicht keine Instanz Merksatz: Cloud-Probleme sind oft Netzwerk-, Routing- oder Firewall-Probleme. --- **Virtuelles Netzwerk** Ein virtuelles Netzwerk ist ein logisch getrenntes Netzwerk in der Cloud. Je nach Anbieter heißt es zum Beispiel: VPC VNet Virtual Network Virtual Private Cloud Es enthält Cloud-Ressourcen wie: virtuelle Maschinen Subnetze Datenbanken Load Balancer Container VPN-Gateways NAT-Gateways Merksatz: Virtuelles Netzwerk = eigenes logisch getrenntes Cloud-Netz. --- **VPC** VPC steht für: Virtual Private Cloud Eine VPC ist ein virtuelles, logisch isoliertes Netzwerk innerhalb einer Public Cloud. In einer VPC legt man fest: IP-Adressbereich Subnetze Routing Sicherheitsregeln Gateways Verbindungen zu anderen Netzen Merksatz: VPC ist ein privater Netzwerkbereich innerhalb der Cloud. --- **VNet** VNet steht für: Virtual Network Der Begriff wird in manchen Cloud-Plattformen für virtuelle Netzwerke verwendet. Die Grundidee ist ähnlich wie bei VPC: eigener IP-Bereich Subnetze Routing Sicherheitsregeln Cloud-Ressourcen Verbindungen zu anderen Netzen Merksatz: VNet und VPC beschreiben ähnliche Cloud-Netzwerk-Konzepte. --- **IP-Adressbereich im Cloud-Netz** Beim Anlegen eines Cloud-Netzes wird ein IP-Adressbereich festgelegt. Beispiel: 10.20.0.0/16 Daraus können mehrere Subnetze gebildet werden. Beispiele: 10.20.1.0/24 Web-Subnetz 10.20.2.0/24 App-Subnetz 10.20.3.0/24 Datenbank-Subnetz Wichtig: Der Adressbereich darf sich nicht ungewollt mit lokalen Netzen überschneiden. Merksatz: Cloud-IP-Planung muss zu lokaler Netzplanung passen. --- **Subnetze in der Cloud** Subnetze teilen ein virtuelles Netzwerk in kleinere Bereiche auf. Typische Subnetze: Web-Subnetz App-Subnetz Datenbank-Subnetz Management-Subnetz Public Subnet Private Subnet Gateway-Subnetz Vorteile: bessere Struktur gezielte Sicherheitsregeln getrennte Routingtabellen Trennung von öffentlichen und internen Ressourcen Merksatz: Subnetze strukturieren Cloud-Netze. --- **Public Subnet** Ein Public Subnet ist ein Subnetz, das direkt oder indirekt Zugang zum Internet haben kann. Typische Ressourcen: Load Balancer öffentlich erreichbarer Webserver Bastion Host NAT-Gateway Reverse Proxy Wichtig: Nicht jede Ressource in der Cloud gehört in ein Public Subnet. Merksatz: Public Subnet nur für Komponenten, die wirklich öffentlich erreichbar sein müssen. --- **Private Subnet** Ein Private Subnet enthält interne Ressourcen, die nicht direkt aus dem Internet erreichbar sein sollen. Typische Ressourcen: Datenbanken interne Backends interne APIs Anwendungssysteme Verarbeitungssysteme Container-Worker interne Dienste Merksatz: Private Subnet schützt interne Cloud-Ressourcen vor direktem Internetzugriff. --- **Public und Private Subnet vergleichen** | Merkmal | Public Subnet | Private Subnet | |---|---|---| | Internetzugriff eingehend | möglich | normalerweise nicht direkt | | typische Systeme | Load Balancer, Bastion Host | Datenbank, Backend | | Schutzbedarf | hoch | sehr hoch | | Routing | oft zum Internet Gateway | oft über NAT oder interne Routen | | Ziel | öffentliche Erreichbarkeit | interne Verarbeitung | Merksatz: Öffentlich erreichbare Systeme nach außen, interne Systeme nach innen trennen. --- **Internet Gateway** Ein Internet Gateway verbindet ein Cloud-Netz mit dem Internet. Es ermöglicht: eingehende Verbindungen aus dem Internet ausgehende Verbindungen ins Internet Ob eine Ressource wirklich erreichbar ist, hängt zusätzlich ab von: öffentlicher IP-Adresse Routingtabelle Security Group Firewall-Regeln Dienststatus Merksatz: Internet Gateway allein macht eine Ressource nicht automatisch erreichbar. --- **NAT-Gateway** Ein NAT-Gateway erlaubt internen Ressourcen, Verbindungen ins Internet aufzubauen, ohne selbst direkt aus dem Internet erreichbar zu sein. Beispiel: Datenbankserver im Private Subnet lädt Updates herunter aber: Internet kann nicht direkt zur Datenbank verbinden Merksatz: NAT-Gateway erlaubt ausgehenden Internetzugriff für private Ressourcen. --- **Internet Gateway und NAT-Gateway vergleichen** | Merkmal | Internet Gateway | NAT-Gateway | |---|---|---| | Zweck | Verbindung Cloud-Netz ↔ Internet | ausgehender Zugriff aus privaten Netzen | | eingehend aus Internet | möglich, wenn erlaubt | normalerweise nicht | | typischer Einsatz | Public Subnet | Private Subnet | | Schutzwirkung | keine alleinige Schutzmaßnahme | versteckt private Ressourcen vor direktem Zugriff | Merksatz: Internet Gateway verbindet öffentlich. NAT-Gateway ermöglicht ausgehend. --- **Routingtabellen in der Cloud** Routingtabellen legen fest, wohin Pakete gesendet werden. Typische Ziele: lokales Cloud-Netz Internet Gateway NAT-Gateway VPN-Gateway Peering-Verbindung Firewall-Appliance andere Subnetze lokales Unternehmensnetz Merksatz: Routingtabellen bestimmen Wege im Cloud-Netz. --- **Lokale Route** Jedes Cloud-Netz hat normalerweise eine lokale Route. Diese erlaubt Kommunikation innerhalb des virtuellen Netzwerks. Beispiel: 10.20.0.0/16 local Damit können Subnetze innerhalb des Cloud-Netzes grundsätzlich miteinander kommunizieren, sofern Sicherheitsregeln es erlauben. Merksatz: Lokale Route erlaubt Kommunikation innerhalb des Cloud-Netzes. --- **Route ins Internet** Für Internetzugriff braucht ein Public Subnet typischerweise eine Route wie: 0.0.0.0/0 über Internet Gateway Für Private Subnets kann die Standardroute über ein NAT-Gateway gehen: 0.0.0.0/0 über NAT-Gateway Merksatz: Standardroute entscheidet, wohin unbekannte Ziele gehen. --- **Route zum Firmennetz** Bei Hybrid Cloud braucht die Cloud eine Route zum lokalen Unternehmensnetz. Beispiel: lokales Firmennetz: 192.168.10.0/24 Route in Cloud: 192.168.10.0/24 über VPN-Gateway Gleichzeitig braucht das Firmennetz eine Rückroute zum Cloud-Netz. Merksatz: Hybrid Cloud braucht Hin- und Rückroute. --- **Rückroute in Cloud-Szenarien** Viele Fehler entstehen, weil nur der Hinweg geplant wurde. Beispiel: Cloud-Server erreicht lokales System nicht. Oder: lokaler Client erreicht Cloud-Server, aber Antwort kommt nicht zurück. Mögliche Ursache: Rückroute fehlt Firewall blockiert Rückverkehr NAT verändert Adressen asymmetrisches Routing Merksatz: Auch in der Cloud gilt: Ohne Rückweg keine funktionierende Verbindung. --- **Security Group** Eine Security Group ist eine virtuelle Firewall-Regelgruppe für Cloud-Ressourcen. Sie steuert meist: eingehenden Verkehr ausgehenden Verkehr Protokolle Ports Quellen Ziele Security Groups werden oft direkt einer Ressource zugeordnet, zum Beispiel einer virtuellen Maschine. Merksatz: Security Group = Firewall-Regeln direkt an der Cloud-Ressource. --- **Inbound und Outbound** Inbound bedeutet: eingehender Verkehr zur Ressource Outbound bedeutet: ausgehender Verkehr von der Ressource Beispiel Webserver: Inbound: TCP 443 von Internet erlaubt Outbound: Verbindung zur Datenbank oder zu Updateservern erlaubt Merksatz: Inbound und Outbound getrennt prüfen. --- **Stateful Security Group** Viele Security Groups arbeiten stateful. Stateful bedeutet: Wenn eine Verbindung erlaubt wurde, ist der Rückverkehr automatisch erlaubt. Beispiel: Client verbindet zu Webserver TCP 443. Antwortpakete des Webservers zurück zum Client werden automatisch zugeordnet. Merksatz: Stateful-Regeln merken sich Verbindungen. --- **Network ACL** Eine Network ACL ist eine Zugriffsliste auf Netzwerk- oder Subnetzebene. Je nach Cloud-Plattform kann sie: eingehende Regeln prüfen ausgehende Regeln prüfen stateless arbeiten Regelreihenfolge beachten Stateless bedeutet: Rückverkehr muss separat erlaubt werden. Merksatz: Network ACLs wirken oft näher am Subnetz und können stateless sein. --- **Security Group und Network ACL vergleichen** | Merkmal | Security Group | Network ACL | |---|---|---| | Ebene | Ressource oder Instanz | Subnetz oder Netzwerkebene | | Zustand | oft stateful | oft stateless | | Rückverkehr | häufig automatisch erlaubt | häufig separat nötig | | Einsatz | feine Ressourcenregeln | zusätzliche Netzgrenze | | Fehlerquelle | falsche Quelle oder Port | fehlender Rückverkehr oder Regelreihenfolge | Merksatz: Security Group und Network ACL können beide blockieren. --- **Network Security Group** Network Security Group wird oft abgekürzt: NSG Eine NSG ist eine Regelgruppe, die Netzwerkverkehr auf Subnetz- oder Ressourceneebene steuern kann. Typische Angaben: Quelle Ziel Port Protokoll Richtung Priorität Aktion Beschreibung Merksatz: NSG ist eine Cloud-Regelgruppe für Netzwerkzugriffe. --- **Regelreihenfolge und Priorität** Manche Cloud-Regelwerke arbeiten mit Prioritäten. Dabei gilt: Regel mit höherer Priorität oder niedrigerer Nummer wird zuerst geprüft Je nach Plattform ist die genaue Logik unterschiedlich. Wichtig: spezifische Regeln vor allgemeinen Regeln Deny-Regeln beachten Standardregeln verstehen Merksatz: Regelreihenfolge kann entscheiden, ob Verkehr erlaubt oder blockiert wird. --- **Quelle und Ziel in Cloud-Regeln** In Cloud-Regeln können Quellen und Ziele sein: IP-Adressen Subnetze Security Groups Tags Service Accounts Load Balancer Cloud-Dienste Internet Beispiel: Webserver-Security-Group darf zur Datenbank-Security-Group auf TCP 5432. Das ist oft besser als: gesamtes Netz darf zur Datenbank. Merksatz: Cloud-Regeln möglichst gezielt formulieren. --- **Öffentliche IP-Adresse** Eine öffentliche IP-Adresse macht eine Ressource grundsätzlich aus dem Internet adressierbar. Aber erreichbar ist sie nur, wenn zusätzlich passen: Routing Security Group Firewall Dienst Betriebssystem-Firewall DNS Load Balancer Zertifikat Merksatz: Öffentliche IP allein reicht nicht für funktionierenden Zugriff. --- **Private IP-Adresse** Private IP-Adressen werden innerhalb des Cloud-Netzes genutzt. Typisch für: interne Kommunikation Datenbanken Backends interne APIs Server-zu-Server-Kommunikation Hybrid-Cloud-Verbindungen Merksatz: Private IPs sind für interne Kommunikation im Cloud-Netz. --- **Öffentliche und private IP vergleichen** | Merkmal | öffentliche IP | private IP | |---|---|---| | Erreichbarkeit | aus Internet möglich | nur intern oder über Verbindung | | Einsatz | Webzugriff, Load Balancer | Backend, Datenbank, interne Dienste | | Risiko | höher | geringer, aber nicht risikofrei | | Schutz | Firewall, Security Group, TLS | Segmentierung, Regeln, IAM | Merksatz: Öffentlich nur, wenn es wirklich nötig ist. --- **Load Balancer in der Cloud** Ein Load Balancer verteilt Anfragen auf mehrere Ziele. Ziele können sein: virtuelle Maschinen Container App-Instanzen Backends Servergruppen Aufgaben: Lastverteilung Health Checks Hochverfügbarkeit TLS-Terminierung Weiterleitung Skalierung unterstützen Merksatz: Load Balancer verteilt Anfragen und erhöht Verfügbarkeit. --- **Health Check** Ein Health Check prüft, ob ein Backend gesund ist. Beispiele: TCP-Port erreichbar? HTTP-Status 200? bestimmter Pfad antwortet? Anwendung meldet gesund? Antwortzeit akzeptabel? Wenn ein Backend ungesund ist, leitet der Load Balancer keinen Verkehr mehr dorthin. Merksatz: Health Check entscheidet, ob ein Backend Verkehr bekommt. --- **Typische Load-Balancer-Fehler** Häufige Fehler: Backend-Port falsch Health Check falscher Pfad Security Group blockiert Load Balancer Backend-Dienst läuft nicht TLS-Zertifikat falsch falscher Host-Header falsches Protokoll Backend in falschem Subnetz keine gesunden Ziele Merksatz: 502 oder 503 in der Cloud hängt oft mit Load Balancer oder Backend zusammen. --- **Cloud-DNS** Cloud-DNS verwaltet Namen für Cloud-Ressourcen. Typische Aufgaben: öffentliche DNS-Zonen private DNS-Zonen interne Namen Load-Balancer-Namen Service Discovery Hybrid-DNS Weiterleitung zu lokalen DNS-Servern Merksatz: Cloud-DNS verbindet Namen mit Cloud-Ressourcen. --- **Private DNS-Zone** Eine Private DNS-Zone ist nur innerhalb bestimmter Netzwerke sichtbar. Beispiel: app.internal.cloud Nur Systeme im Cloud-Netz oder verbundenen Netzen können diesen Namen auflösen. Merksatz: Private DNS ist für interne Cloud-Namen. --- **Public DNS-Zone** Eine Public DNS-Zone ist öffentlich abfragbar. Beispiel: www.firma.de Sie wird für öffentlich erreichbare Dienste genutzt. Wichtig: Öffentlicher DNS-Eintrag bedeutet nicht, dass Zugriff auch erlaubt ist. Merksatz: Public DNS ist sichtbar, Zugriff hängt trotzdem von Routing und Regeln ab. --- **Cloud Peering** Peering verbindet zwei virtuelle Netzwerke miteinander. Beispiel: VPC A ↔ VPC B Oder: VNet A ↔ VNet B Ziel: private Kommunikation zwischen Cloud-Netzen Wichtig: Routen Security Groups DNS Überschneidung von IP-Netzen Berechtigungen Merksatz: Peering verbindet Cloud-Netze privat miteinander. --- **Peering ist kein Transit automatisch** Ein häufiger Denkfehler: Wenn Netz A mit B verbunden ist und B mit C verbunden ist, kann A automatisch C erreichen. Das stimmt nicht immer. Viele Peering-Verbindungen sind nicht automatisch transitiv. Merksatz: Peering bedeutet nicht automatisch Durchleitung zu dritten Netzen. --- **Transit Gateway oder Hub-and-Spoke** In größeren Cloud-Netzen nutzt man oft zentrale Netzwerkarchitekturen. Beispiel: Hub-Netz mit Firewall, VPN, Internetzugang und zentralen Diensten Spoke-Netze für Anwendungen, Abteilungen oder Umgebungen Vorteil: zentrale Kontrolle einheitliches Routing bessere Segmentierung übersichtliche Sicherheitsregeln Merksatz: Hub-and-Spoke ordnet viele Cloud-Netze zentral. --- **Cloud-VPN** Cloud-VPN verbindet Cloud-Netze mit anderen Netzen. Beispiele: Cloud ↔ lokales Rechenzentrum Cloud ↔ Niederlassung Cloud ↔ andere Cloud Wichtig: passende IP-Netze Routing auf beiden Seiten Firewall-Regeln Verschlüsselung Monitoring Redundanz Merksatz: Cloud-VPN braucht Planung auf Cloud-Seite und lokaler Seite. --- **Direktverbindung zur Cloud** Neben VPN kann es direkte private Verbindungen zu Cloud-Anbietern geben. Eigenschaften: private Verbindung meist stabilere Leistung geringere Latenz möglich höhere Bandbreite möglich kein normaler Internetweg oft teurer und aufwendiger Merksatz: Direktverbindung kann für kritische Hybrid-Cloud-Szenarien sinnvoll sein. --- **Bastion Host in der Cloud** Ein Bastion Host ist ein besonders geschützter Sprungserver. Zweck: Adminzugriffe auf private Cloud-Ressourcen ermöglichen, ohne diese direkt ins Internet zu stellen. Beispiel: Admin → Bastion Host → private VM Wichtig: MFA Logging beschränkte Quellen regelmäßige Updates keine Dauerzugänge starke Härtung Merksatz: Bastion Host reduziert direkte öffentliche Adminzugriffe. --- **Managementports nicht öffentlich öffnen** Kritische Managementports sollten nicht offen im Internet liegen. Beispiele: SSH TCP 22 RDP TCP 3389 Datenbankports Admin-Weboberflächen Kubernetes-API Storage-Adminzugänge Besser: VPN Bastion Host Zero-Trust-Zugang private Subnetze eingeschränkte Quell-IP MFA Merksatz: Managementzugänge gehören nicht breit ins Internet. --- **Cloud-Firewall** Eine Cloud-Firewall kann zentrale Filterung übernehmen. Sie schützt zum Beispiel: Internetzugang Verbindungen zwischen Subnetzen Verbindung zu lokalen Netzen Cloud-zu-Cloud-Verkehr DMZ-ähnliche Bereiche Funktionen können sein: Paketfilter Stateful Inspection Anwendungskontrolle IDS/IPS URL-Filter Logging Merksatz: Cloud-Firewall ergänzt Security Groups und Netzsegmentierung. --- **Cloud-Netzsegmentierung** Auch in der Cloud sollte man Systeme trennen. Beispiele: Web-Schicht App-Schicht Datenbank-Schicht Management-Schicht Entwicklungsumgebung Testumgebung Produktionsumgebung DMZ-ähnliche Zone Merksatz: Cloud braucht Segmentierung wie lokale Netze. --- **Drei-Schichten-Architektur in der Cloud** Ein typisches Muster: Web-Schicht: öffentlich erreichbar über Load Balancer App-Schicht: nur intern vom Webserver erreichbar Datenbank-Schicht: nur von App-Servern erreichbar Vorteil: bessere Sicherheit klare Kommunikationswege weniger Angriffsfläche Merksatz: Datenbanken gehören normalerweise nicht direkt ins Internet. --- **Umgebungen trennen** Cloud-Ressourcen sollten nach Umgebung getrennt werden. Typische Umgebungen: Entwicklung Test Staging Produktion Warum? Testfehler sollen Produktion nicht stören. Rechte können getrennt werden. Kosten können getrennt werden. Änderungen werden kontrollierter. Sicherheitsregeln sind klarer. Merksatz: Entwicklung, Test und Produktion sauber trennen. --- **Cloud-Netzwerk und IAM** Netzwerkregeln allein reichen nicht. Auch Identitäten und Rechte sind wichtig. Beispiel: Benutzer darf Security Group ändern. Benutzer darf öffentliche IP vergeben. Benutzer darf Route zum Internet setzen. Benutzer darf Firewall-Regel öffnen. Diese Rechte können sicherheitskritisch sein. Merksatz: Wer Cloud-Netzwerke ändern darf, kann Sicherheit stark beeinflussen. --- **Cloud-Netzwerk-Fehlkonfigurationen** Häufige Fehler: Datenbank öffentlich erreichbar SSH offen für das ganze Internet RDP offen für das ganze Internet Security Group zu breit falsche Route ins Internet Private Subnet versehentlich öffentlich fehlende Rückroute falscher Load-Balancer-Health-Check keine Logs veraltete Bastion Hosts Peering ohne Sicherheitsprüfung Merksatz: Viele Cloud-Sicherheitsprobleme sind Netzwerk-Fehlkonfigurationen. --- **Cloud-Netzwerk-Logging** Wichtige Logquellen: Flow Logs Firewall-Logs Load-Balancer-Logs DNS-Logs VPN-Logs IAM-Logs Routing-Änderungen Security-Group-Änderungen WAF-Logs Merksatz: Netzwerklogs zeigen, welcher Verkehr erlaubt oder blockiert wurde. --- **Flow Logs** Flow Logs zeigen Netzwerkverbindungen auf Ebene von Metadaten. Sie enthalten typischerweise: Quelle Ziel Port Protokoll Aktion Zeit Datenmenge Interface oder Ressource Sie zeigen normalerweise nicht den vollständigen Paketinhalt. Merksatz: Flow Logs zeigen Verbindungsdaten, aber keinen kompletten Paketmitschnitt. --- **Cloud-Netzwerk-Monitoring** Überwacht werden sollten: VPN-Tunnelstatus Load Balancer Backend-Gesundheit Paketverlust Latenz Bandbreite Firewall-Drops DNS-Fehler öffentliche IPs ungewöhnlicher Datenverkehr Kosten durch Traffic Merksatz: Cloud-Netzwerk-Monitoring schützt Betrieb und Kosten. --- **Cloud-Netzwerk-Fehlersuche** Sinnvolle Reihenfolge: 1. Quelle und Ziel bestimmen. 2. IP-Adressen prüfen. 3. DNS prüfen. 4. Subnetz prüfen. 5. Routingtabelle prüfen. 6. Security Group prüfen. 7. Network ACL oder NSG prüfen. 8. Load Balancer prüfen. 9. Zielsystem und Dienst prüfen. 10. Host-Firewall prüfen. 11. Logs prüfen. 12. Rückweg prüfen. Merksatz: Auch in der Cloud gilt: DNS, Route, Firewall, Dienst und Rückweg prüfen. --- **Fehlerbild: Cloud-VM nicht per SSH erreichbar** Mögliche Ursachen: keine öffentliche IP DNS zeigt falsch Routing zum Internet fehlt Security Group blockiert TCP 22 Network ACL blockiert SSH-Dienst läuft nicht Host-Firewall blockiert falscher Benutzer oder Schlüssel Bastion Host nötig Quell-IP nicht erlaubt Merksatz: SSH-Fehler in Cloud mit IP, Route, Security Group, Dienst Schlüssel und Bastion prüfen. --- **Fehlerbild: Webdienst in Cloud nicht erreichbar** Mögliche Ursachen: DNS falsch Load Balancer falsch Zertifikat falsch Security Group blockiert TCP 443 Backend ungesund Health Check falsch Anwendung läuft nicht falscher Port private Ressource ohne öffentliche Freigabe WAF blockiert Merksatz: Webfehler in Cloud mit DNS, Load Balancer, Security Group, TLS und Backend prüfen. --- **Fehlerbild: Cloud-Datenbank öffentlich erreichbar** Das ist meistens ein Sicherheitsproblem. Mögliche Ursachen: Datenbank in Public Subnet öffentliche IP vergeben Security Group zu breit Firewall-Regel erlaubt 0.0.0.0/0 Authentifizierung schwach kein Private Endpoint falsches Routing Besser: Private Subnet Zugriff nur von App-Schicht Security Group gezielt keine öffentliche IP Verschlüsselung starke Authentifizierung Merksatz: Datenbanken gehören normalerweise nicht öffentlich ins Internet. --- **Fehlerbild: Cloud und On-Premises erreichen sich nicht** Mögliche Ursachen: VPN-Tunnel down Route in Cloud fehlt Route lokal fehlt Firewall blockiert Security Group blockiert IP-Netze überschneiden sich DNS falsch NAT falsch Rückroute fehlt Cloud-Gateway falsch konfiguriert Merksatz: Hybrid-Verbindungen brauchen Regeln und Routen auf beiden Seiten. --- **Checkliste: Cloud-Netzwerk sicher planen** IP-Adressbereich eindeutig wählen. Subnetze sauber trennen. Public und Private Subnets unterscheiden. Datenbanken nicht öffentlich bereitstellen. Managementzugänge nicht breit öffnen. Security Groups eng setzen. Rückwege planen. Hybrid-Routen dokumentieren. DNS-Konzept erstellen. Logging aktivieren. Monitoring einrichten. Änderungen dokumentieren. Rechte zur Netzwerkänderung begrenzen. Merksatz: Cloud-Netzwerk zuerst planen, dann Ressourcen bereitstellen. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist ein virtuelles Netzwerk in der Cloud? - Was bedeutet VPC? - Was ist ein Subnetz in der Cloud? - Was ist der Unterschied zwischen Public Subnet und Private Subnet? - Was ist ein Internet Gateway? - Was ist ein NAT-Gateway? - Wofür nutzt man Routingtabellen in der Cloud? - Was ist eine Security Group? - Was ist eine Network ACL? - Was ist eine NSG? - Was ist der Unterschied zwischen öffentlicher und privater IP? - Wofür nutzt man einen Load Balancer? - Was ist ein Health Check? - Was ist Cloud Peering? - Warum ist Peering nicht automatisch transitiv? - Warum sollte eine Datenbank nicht öffentlich erreichbar sein? - Wie geht man bei Cloud-Netzwerk-Fehlersuche vor? --- **Typische Prüfungsfallen** Cloud-Netzwerke sind virtuell, aber echte Netzplanung bleibt nötig. VPC und VNet beschreiben virtuelle Cloud-Netze. Public Subnet ist nicht für alle Systeme geeignet. Private Subnet schützt vor direkter öffentlicher Erreichbarkeit. Internet Gateway allein reicht nicht für Zugriff. NAT-Gateway erlaubt typischerweise ausgehende Verbindungen. Routingtabellen bestimmen Wege. Rückroute nicht vergessen. Security Groups wirken wie virtuelle Firewalls. Network ACLs können zusätzlich blockieren. Stateful und stateless unterscheiden. Öffentliche IP bedeutet höheres Risiko. Datenbanken nicht öffentlich freigeben. Load Balancer braucht gesunde Backends. Health Check muss zum Dienst passen. Peering ist nicht automatisch transitiv. Cloud-Firewall ersetzt nicht saubere Segmentierung. Managementports nicht breit ins Internet öffnen. Cloud-Netzwerkänderungen sind sicherheitskritisch. Flow Logs zeigen Metadaten, nicht vollständige Pakete. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | virtuelles Netzwerk | logisch getrenntes Cloud-Netz | | VPC | Virtual Private Cloud | | VNet | Virtual Network | | Subnetz | Teilbereich eines Cloud-Netzes | | Public Subnet | öffentlich angebundenes Subnetz | | Private Subnet | internes Subnetz ohne direkte öffentliche Erreichbarkeit | | Internet Gateway | Verbindung eines Cloud-Netzes zum Internet | | NAT-Gateway | ausgehender Internetzugriff für private Ressourcen | | Routingtabelle | Wege zu Zielnetzen | | lokale Route | Route innerhalb des Cloud-Netzes | | Security Group | virtuelle Firewall-Regelgruppe | | Network ACL | Zugriffsliste auf Netzwerk- oder Subnetzebene | | NSG | Network Security Group | | Stateful | Rückverkehr wird automatisch zugeordnet | | Stateless | Rückverkehr muss separat erlaubt werden | | öffentliche IP | aus dem Internet adressierbare IP | | private IP | interne Adresse im Cloud-Netz | | Load Balancer | verteilt Anfragen auf Ziele | | Health Check | Prüfung der Backend-Gesundheit | | Cloud-DNS | Namensauflösung für Cloud-Ressourcen | | Private DNS-Zone | interne DNS-Zone | | Public DNS-Zone | öffentlich sichtbare DNS-Zone | | Peering | Verbindung zwischen Cloud-Netzen | | Hub-and-Spoke | zentrale Netzwerkarchitektur | | Cloud-VPN | VPN-Verbindung zu Cloud-Netz | | Bastion Host | gehärteter Sprungserver | | Flow Logs | Metadaten zu Netzwerkverbindungen | --- **IHK-sichere Kurzformulierung** Cloud-Netzwerke bestehen aus virtuellen Netzwerken wie VPC oder VNet, Subnetzen, Routingtabellen, Security Groups, Network ACLs, Gateways, Load Balancern und DNS. Public Subnets sind für öffentlich erreichbare Komponenten wie Load Balancer oder Bastion Hosts gedacht, während Private Subnets interne Ressourcen wie Datenbanken oder Backends schützen. Ein Internet Gateway verbindet ein Cloud-Netz mit dem Internet, während ein NAT-Gateway privaten Ressourcen ausgehenden Internetzugriff ermöglicht. Security Groups und NSGs wirken als virtuelle Firewall-Regeln. Bei Cloud-Netzwerk-Fehlern müssen DNS, IP-Adressen, Routing, Security Groups, Network ACLs, Load Balancer, Zielsysteme, Host-Firewalls und Rückwege geprüft werden. --- **Merksätze** Cloud-Netzwerke sind virtuell, aber echte Netzplanung bleibt nötig. VPC = Virtual Private Cloud. VNet = Virtual Network. Virtuelles Netzwerk ist logisch getrennt. IP-Bereiche sauber planen. Cloud-Netze dürfen sich nicht ungewollt überschneiden. Subnetze strukturieren Cloud-Ressourcen. Public Subnet für öffentliche Komponenten. Private Subnet für interne Komponenten. Datenbank nicht öffentlich erreichbar machen. Internet Gateway verbindet zum Internet. NAT-Gateway ermöglicht ausgehenden Zugriff. Routingtabellen bestimmen Wege. Standardroute entscheidet bei unbekannten Zielen. Hybrid Cloud braucht Hin- und Rückrouten. Security Group ist virtuelle Firewall. Inbound und Outbound getrennt prüfen. Stateful merkt sich Verbindungen. Stateless braucht separate Rückregeln. Network ACL kann zusätzlich blockieren. NSG steuert Netzwerkzugriffe. Öffentliche IP nur wenn nötig. Private IP für interne Kommunikation. Load Balancer verteilt Anfragen. Health Check prüft Backend-Gesundheit. Cloud-DNS kann öffentlich oder privat sein. Peering verbindet Cloud-Netze. Peering ist nicht automatisch transitiv. Hub-and-Spoke schafft zentrale Kontrolle. Cloud-VPN braucht Routen beidseitig. Bastion Host schützt Adminzugriffe. Managementports nicht breit öffnen. Segmentierung gilt auch in der Cloud. IAM beeinflusst Netzwerksicherheit. Flow Logs zeigen Verbindungsmetadaten. Cloud-Fehlersuche: DNS, Route, Security Group, Dienst, Rückweg. # 15.5 Cloud-Sicherheit, IAM und Shared Responsibility Cloud-Sicherheit bedeutet nicht nur, dass der Cloud-Anbieter sichere Rechenzentren betreibt. Cloud-Sicherheit umfasst auch: - Identitäten - Benutzerkonten - Rollen - Berechtigungen - MFA - Netzwerksicherheit - Verschlüsselung - Logging - Monitoring - Backup - sichere Konfiguration - Datenschutz - Compliance Merksatz: Cloud-Sicherheit ist gemeinsame Verantwortung von Anbieter und Kunde. --- **Warum Cloud-Sicherheit wichtig ist** Cloud-Ressourcen sind oft schnell erstellt und über Netzwerke erreichbar. Dadurch entstehen typische Risiken: zu breite Berechtigungen öffentliche Speicherfreigaben offene Managementports fehlende MFA falsch konfigurierte Security Groups öffentliche Datenbanken ungeschützte API-Schlüssel fehlende Logs keine Kostenkontrolle falscher Datenstandort Merksatz: In der Cloud entstehen viele Risiken durch Fehlkonfiguration. --- **Shared Responsibility Model** Shared Responsibility Model bedeutet: Anbieter und Kunde teilen sich die Verantwortung. Der Anbieter ist je nach Dienst verantwortlich für: Rechenzentrum physische Sicherheit Hardware Grundinfrastruktur Plattformbetrieb Verfügbarkeit der angebotenen Dienste Der Kunde bleibt je nach Dienst verantwortlich für: Benutzer Rollen Daten Berechtigungen sichere Konfiguration Netzwerkfreigaben Anwendungssicherheit Backup-Konzept Compliance Merksatz: Cloud bedeutet geteilte Verantwortung, nicht abgegebene Verantwortung. --- **Verantwortung hängt vom Service-Modell ab** Die Verantwortung ist bei IaaS, PaaS und SaaS unterschiedlich verteilt. | Bereich | IaaS | PaaS | SaaS | |---|---|---|---| | physisches Rechenzentrum | Anbieter | Anbieter | Anbieter | | Hardware | Anbieter | Anbieter | Anbieter | | Virtualisierung | Anbieter | Anbieter | Anbieter | | Betriebssystem | Kunde | Anbieter | Anbieter | | Anwendung | Kunde | Kunde | Anbieter | | Daten | Kunde | Kunde | Kunde | | Benutzer und Rechte | Kunde | Kunde | Kunde | | sichere Konfiguration | Kunde | Kunde | Kunde | Merksatz: Daten, Benutzer und Rechte bleiben fast immer Kundenthema. --- **Cloud-Irrtum: Anbieter macht alles sicher** Falsch: Der Anbieter betreibt die Cloud, also ist automatisch alles sicher. Richtig: Der Anbieter schützt die Plattform. Der Kunde muss seine Nutzung sicher konfigurieren. Beispiel: Wenn ein Kunde einen Speicher öffentlich freigibt, ist das meist ein Konfigurationsfehler des Kunden. Merksatz: Sichere Plattform plus falsche Konfiguration bleibt unsicher. --- **IAM** IAM steht für: Identity and Access Management IAM regelt, wer auf welche Cloud-Ressourcen zugreifen darf. IAM umfasst: Benutzer Gruppen Rollen Berechtigungen Richtlinien Servicekonten API-Schlüssel MFA Zugriffsprotokolle Merksatz: IAM entscheidet, wer was in der Cloud darf. --- **Identität** Eine Identität ist ein Konto oder Objekt, das Zugriff erhalten kann. Beispiele: Benutzerkonto Administrator Entwickler Servicekonto Anwendung virtuelle Maschine Containerdienst Automatisierungsskript Merksatz: Nicht nur Menschen, auch Dienste können Identitäten haben. --- **Benutzer** Ein Benutzer ist eine menschliche Identität. Beispiele: Administrator Entwickler Supportmitarbeiter Fachbereich externer Dienstleister Benutzer sollten: eindeutig zugeordnet sein keine Sammelkonten nutzen MFA verwenden nur notwendige Rechte erhalten bei Austritt deaktiviert werden Merksatz: Jeder Benutzer braucht ein eigenes Konto. --- **Gruppen** Gruppen fassen Benutzer zusammen. Beispiel: Cloud-Admins Entwickler Leser Sicherheitsprüfer Datenbankadministratoren Netzwerkadministratoren Vorteil: Rechte werden nicht einzeln pro Benutzer vergeben, sondern über Gruppen verwaltet. Merksatz: Gruppen vereinfachen Rechteverwaltung. --- **Rollen** Eine Rolle beschreibt, welche Aufgaben und Berechtigungen eine Identität hat. Beispiele: Leser Administrator Netzwerkadministrator Sicherheitsadministrator Datenbankadministrator Abrechnungsadministrator Backup-Operator Merksatz: Rollen ordnen Rechte nach Aufgabe. --- **Berechtigungen** Berechtigungen legen fest, was erlaubt ist. Beispiele: virtuelle Maschine starten virtuelle Maschine löschen Speicher lesen Speicher schreiben Firewall-Regel ändern Benutzer anlegen Logs anzeigen Backup wiederherstellen Merksatz: Berechtigungen sind konkrete Erlaubnisse. --- **Richtlinien** Richtlinien beschreiben, welche Berechtigungen gelten. Sie können festlegen: wer etwas darf was erlaubt ist auf welche Ressource es gilt unter welchen Bedingungen es gilt was verboten ist Merksatz: Richtlinien verbinden Identitäten, Aktionen und Ressourcen. --- **Least Privilege** Least Privilege bedeutet: nur so viele Rechte wie nötig, so wenige wie möglich. In der Cloud ist das besonders wichtig, weil viele Aktionen große Auswirkungen haben können. Beispiele für riskante Rechte: alle Ressourcen löschen Firewall-Regeln ändern Speicher öffentlich freigeben Benutzerrechte vergeben API-Schlüssel erstellen Backups löschen Merksatz: Cloud-Rechte immer minimal vergeben. --- **Need to Know** Need to Know bedeutet: Zugriff nur auf Daten oder Systeme, die für die Aufgabe benötigt werden. Beispiel: Entwickler braucht Zugriff auf Testsysteme, aber nicht automatisch auf Produktionsdaten. Abrechnung braucht Kostenübersicht, aber keine Server-Adminrechte. Merksatz: Rechte nach Aufgabe, nicht nach Bequemlichkeit vergeben. --- **Administratorrechte** Administratorrechte sind besonders kritisch. Risiken: versehentliches Löschen falsche Firewall-Regeln öffentliche Freigaben Zugriff auf sensible Daten Rechteausweitung Änderung von Logs Manipulation von Backups Merksatz: Administratorrechte nur gezielt und kontrolliert vergeben. --- **Privileged Access Management** Privileged Access Management wird oft abgekürzt: PAM PAM bedeutet: besonders privilegierte Zugriffe werden kontrolliert, begrenzt überwacht und dokumentiert. Beispiele: zeitlich begrenzte Adminrechte Genehmigungsprozess MFA Session Logging Notfallkonto regelmäßige Rechteprüfung Merksatz: PAM schützt besonders mächtige Zugriffe. --- **Just-in-Time-Zugriff** Just-in-Time-Zugriff bedeutet: Rechte werden nur für einen begrenzten Zeitraum vergeben. Beispiel: Admin braucht für 2 Stunden erhöhte Rechte, um eine Wartung durchzuführen. Nach Ablauf werden die Rechte automatisch entzogen. Merksatz: Just-in-Time reduziert dauerhafte Adminrechte. --- **Sammelkonten vermeiden** Sammelkonten sind gemeinsame Konten, die mehrere Personen nutzen. Problem: keine eindeutige Zuordnung schlechte Nachvollziehbarkeit Passwortweitergabe schwieriges Offboarding Sicherheitsvorfälle schwer aufklärbar Merksatz: Cloud-Zugriffe müssen personengebunden nachvollziehbar sein. --- **Servicekonto** Ein Servicekonto ist eine Identität für einen Dienst oder eine Anwendung. Beispiele: Backup-Dienst Automatisierung CI/CD-Pipeline Monitoring Anwendung, die auf Speicher zugreift Skript, das Ressourcen erstellt Servicekonten sollten ebenfalls nur minimale Rechte erhalten. Merksatz: Servicekonten sind Maschinenidentitäten und brauchen genauso Rechtebegrenzung. --- **API-Schlüssel** API-Schlüssel erlauben Programmen oder Skripten Zugriff auf Cloud-Dienste. Risiken: Schlüssel wird versehentlich veröffentlicht Schlüssel liegt im Quellcode Schlüssel hat zu viele Rechte Schlüssel wird nie rotiert Schlüssel wird nach Projektende nicht gelöscht Merksatz: API-Schlüssel wie Passwörter behandeln. --- **Secrets** Secrets sind geheime Informationen. Beispiele: Passwörter API-Schlüssel private Schlüssel Tokens Datenbankzugangsdaten Zertifikate Secrets sollten nicht liegen in: Quellcode öffentlichen Repositories Klartextdateien Chatnachrichten ungeschützten Wikiseiten unverschlüsselten Backups Merksatz: Secrets gehören in geschützte Secret-Verwaltung. --- **Secret Management** Secret Management bedeutet: geheime Informationen sicher speichern, verteilen rotieren und widerrufen. Wichtig: Zugriff begrenzen Nutzung protokollieren Rotation ermöglichen keine Klartextspeicherung Notfallzugriff regeln alte Secrets entfernen Merksatz: Secret Management verhindert unkontrollierten Umgang mit Zugangsdaten. --- **MFA in der Cloud** MFA steht für: Multi-Faktor-Authentifizierung MFA sollte besonders gelten für: Administratoren externe Benutzer Zugriff auf sensible Daten Zugriff auf Abrechnung Zugriff auf IAM Zugriff auf Produktion Zugriff von unbekannten Geräten Merksatz: Cloud-Adminzugänge ohne MFA sind ein hohes Risiko. --- **Conditional Access** Conditional Access bedeutet: Zugriff wird von Bedingungen abhängig gemacht. Bedingungen können sein: Benutzerrolle Gerätetyp Gerätezustand Standort Risiko des Logins Anwendung MFA erfüllt Uhrzeit Netzwerk Beispiel: Adminzugriff nur mit MFA und verwaltetem Gerät. Merksatz: Conditional Access prüft Kontext vor Zugriff. --- **Zero Trust in der Cloud** Zero Trust bedeutet: keinem Zugriff automatisch vertrauen. Auch innerhalb der Cloud wird geprüft: Wer greift zu? Von welchem Gerät? Auf welche Ressource? Mit welchem Risiko? Mit welcher Rolle? Ist MFA erfüllt? Ist Zugriff ungewöhnlich? Merksatz: Zero Trust prüft jeden Zugriff kontextbezogen. --- **Rollenbasierte Zugriffskontrolle** Rollenbasierte Zugriffskontrolle wird oft abgekürzt: RBAC RBAC bedeutet: Rechte werden über Rollen vergeben. Beispiel: Rolle Leser: darf Ressourcen ansehen Rolle Netzwerkadministrator: darf Netzwerke verwalten Rolle Besitzer: darf fast alles verwalten Merksatz: RBAC macht Rechteverwaltung strukturierter. --- **Attributbasierte Zugriffskontrolle** Attributbasierte Zugriffskontrolle wird oft abgekürzt: ABAC ABAC entscheidet anhand von Attributen. Beispiele für Attribute: Abteilung Projekt Umgebung Datenklasse Standort Gerätestatus Tag Uhrzeit Merksatz: ABAC nutzt Eigenschaften für Zugriffsentscheidungen. --- **RBAC und ABAC vergleichen** | Merkmal | RBAC | ABAC | |---|---|---| | Grundlage | Rollen | Attribute | | Beispiel | Admin, Leser, Entwickler | Projekt, Tag, Standort, Datenklasse | | Vorteil | übersichtlich | sehr flexibel | | Nachteil | Rollen können zu grob werden | komplexer zu planen | | Einsatz | klassische Rechtevergabe | feinere Kontextregeln | Merksatz: RBAC arbeitet mit Rollen. ABAC arbeitet mit Eigenschaften. --- **Mandant und Tenant** Ein Tenant ist ein logisch getrennter Bereich in einer Cloud- oder SaaS-Plattform. Er enthält typischerweise: Benutzer Gruppen Rollen Richtlinien Anwendungen Einstellungen Ressourcen Abrechnung Merksatz: Tenant = eigener Verwaltungsbereich in einer Cloud-Plattform. --- **Mandantentrennung** Mandantentrennung bedeutet: Daten und Ressourcen verschiedener Kunden oder Organisationseinheiten werden logisch getrennt. Wichtig bei: Public Cloud SaaS Hosting Multi-Tenant-Anwendungen Dienstleisterplattformen Merksatz: Mandantentrennung verhindert Vermischung fremder Kundenbereiche. --- **Single Sign-On** Single Sign-On wird abgekürzt: SSO SSO bedeutet: Benutzer melden sich einmal an und können mehrere Dienste nutzen. Vorteile: weniger Passwörter zentrale Anmeldung bessere Kontrolle einfacheres Offboarding MFA zentral möglich Merksatz: SSO vereinfacht Anmeldung und zentrale Zugriffskontrolle. --- **Identity Provider** Identity Provider wird oft abgekürzt: IdP Ein Identity Provider stellt Identitäten und Anmeldungen bereit. Er prüft zum Beispiel: Benutzername Passwort MFA Richtlinien Gruppen Rollen Merksatz: IdP ist die zentrale Stelle für Anmeldung. --- **Föderation** Föderation bedeutet: Eine Organisation vertraut der Anmeldung einer anderen Identitätsquelle. Beispiel: Benutzer meldet sich mit Unternehmensidentität bei einem Cloud-Dienst an. Der Cloud-Dienst muss das Passwort nicht selbst verwalten, sondern vertraut dem Identity Provider. Merksatz: Föderation verbindet Identitätswelten. --- **SAML** SAML steht für: Security Assertion Markup Language SAML wird häufig für Single Sign-On genutzt. Grundidee: Identity Provider bestätigt dem Dienst, dass der Benutzer erfolgreich angemeldet ist. Merksatz: SAML ermöglicht SSO zwischen Identitätsanbieter und Dienst. --- **OAuth 2.0** OAuth 2.0 ist ein Autorisierungsstandard. Er wird genutzt, damit Anwendungen Zugriff auf Ressourcen erhalten können, ohne direkt das Benutzerpasswort zu kennen. Beispiel: Eine Anwendung darf auf Kalenderdaten zugreifen, nachdem der Benutzer zugestimmt hat. Merksatz: OAuth 2.0 regelt delegierte Autorisierung. --- **OpenID Connect** OpenID Connect baut auf OAuth 2.0 auf und ergänzt Authentifizierung. Es wird häufig für moderne Logins genutzt. Merksatz: OpenID Connect ergänzt OAuth 2.0 um Identitätsinformationen. --- **Authentifizierung und Autorisierung in der Cloud** Authentifizierung: Wer bist du? Autorisierung: Was darfst du? Beispiele: Benutzer meldet sich erfolgreich an. Das ist Authentifizierung. Benutzer darf eine VM löschen. Das ist Autorisierung. Merksatz: Anmeldung und Berechtigung immer unterscheiden. --- **Cloud-Netzwerksicherheit** Cloud-Netzwerksicherheit umfasst: VPC oder VNet Subnetze Security Groups NSGs Firewalls private Endpunkte VPN Peering Routing DNS WAF DDoS-Schutz Merksatz: Cloud-Sicherheit besteht aus IAM und Netzwerkschutz. --- **Private Endpoint** Ein Private Endpoint macht einen Cloud-Dienst über eine private IP im eigenen Cloud-Netz erreichbar. Vorteil: Zugriff muss nicht über das öffentliche Internet erfolgen. Beispiel: Anwendung greift auf Cloud-Datenbank über private Adresse zu. Merksatz: Private Endpoint hält Cloud-Dienste intern erreichbar. --- **Public Endpoint** Ein Public Endpoint ist öffentlich über das Internet erreichbar. Beispiele: öffentliche API Webanwendung öffentliches SaaS-Portal Storage-URL mit öffentlichem Zugriff Wichtig: Public Endpoints brauchen starke Zugriffskontrolle, TLS, Logging und Schutzregeln. Merksatz: Public Endpoint nur bewusst und abgesichert nutzen. --- **WAF** WAF steht für: Web Application Firewall Eine WAF schützt Webanwendungen vor typischen Angriffen. Beispiele: SQL Injection Cross-Site Scripting bösartige Requests ungewöhnliche Muster bekannte Angriffssignaturen Merksatz: WAF schützt Webanwendungen auf Anwendungsebene. --- **DDoS-Schutz** DDoS steht für: Distributed Denial of Service Dabei versuchen viele Systeme, einen Dienst durch massenhafte Anfragen zu überlasten. Cloud-Anbieter bieten oft Schutzfunktionen gegen DDoS-Angriffe. Merksatz: DDoS-Schutz soll Dienste trotz Massenangriffen verfügbar halten. --- **Verschlüsselung in der Cloud** Verschlüsselung ist wichtig für: Daten bei Übertragung Daten im Ruhezustand Backups Datenbanken Speicher Logs Schlüsselverwaltung Merksatz: Verschlüsselung schützt Daten, ersetzt aber keine Rechteverwaltung. --- **Verschlüsselung während der Übertragung** Daten während der Übertragung sollten verschlüsselt werden. Typische Technik: TLS Beispiele: HTTPS API-Aufrufe Datenbankverbindungen Verwaltungsschnittstellen SaaS-Zugriffe Merksatz: Daten unterwegs mit TLS schützen. --- **Verschlüsselung im Ruhezustand** Daten im Ruhezustand sind gespeicherte Daten. Beispiele: Datenbankdaten Dateien im Storage Backups Snapshots Logs virtuelle Festplatten Diese Daten sollten verschlüsselt gespeichert werden. Merksatz: Gespeicherte Daten ebenfalls verschlüsseln. --- **Schlüsselverwaltung** Verschlüsselung braucht Schlüssel. Wichtige Fragen: Wer erstellt Schlüssel? Wer verwaltet Schlüssel? Wer darf Schlüssel nutzen? Werden Schlüssel rotiert? Wo werden Schlüssel gespeichert? Was passiert bei Schlüsselverlust? Wer kann Daten entschlüsseln? Merksatz: Verschlüsselung ist nur so sicher wie die Schlüsselverwaltung. --- **KMS** KMS steht für: Key Management Service Ein KMS verwaltet kryptografische Schlüssel. Aufgaben: Schlüssel erzeugen Schlüssel speichern Schlüssel rotieren Zugriff auf Schlüssel steuern Nutzung protokollieren Schlüssel deaktivieren oder löschen Merksatz: KMS verwaltet Schlüssel für Cloud-Verschlüsselung. --- **Kundenverwaltete Schlüssel** Bei kundenverwalteten Schlüsseln kontrolliert der Kunde stärker, welche Schlüssel für Verschlüsselung genutzt werden. Vorteile: mehr Kontrolle eigene Richtlinien Schlüsselrotation steuerbar Zugriff besser begrenzbar Risiko: Schlüsselverlust kann Daten unbrauchbar machen. Merksatz: Mehr Schlüsselhoheit bedeutet auch mehr Verantwortung. --- **Cloud-Logging** Cloud-Logging ist sicherheitskritisch. Wichtige Logarten: Anmeldungen API-Aufrufe Rechteänderungen Netzwerkzugriffe Firewall-Entscheidungen Datenzugriffe Adminaktionen Fehlermeldungen Sicherheitsereignisse Kostenereignisse Merksatz: Cloud-Logs zeigen, wer was wann getan hat. --- **Audit-Logs** Audit-Logs dokumentieren administrative und sicherheitsrelevante Aktionen. Beispiele: Benutzer erstellt Rolle geändert Firewall geöffnet VM gelöscht Speicher öffentlich gemacht API-Schlüssel erstellt MFA deaktiviert Backup gelöscht Merksatz: Audit-Logs sind wichtig für Nachvollziehbarkeit. --- **Cloud-Monitoring** Cloud-Monitoring überwacht Betrieb und Sicherheit. Wichtige Werte: Verfügbarkeit CPU RAM Speicher Datenbanklast Netzwerkverkehr Loginfehler ungewöhnliche Zugriffe Kosten Zertifikatsablauf Backupstatus Merksatz: Monitoring erkennt technische und sicherheitsrelevante Probleme. --- **SIEM** SIEM steht für: Security Information and Event Management Ein SIEM sammelt und analysiert Sicherheitslogs aus verschiedenen Quellen. Ziel: Angriffe erkennen Auffälligkeiten korrelieren Alarmierungen erzeugen Sicherheitsvorfälle untersuchen Nachweise bereitstellen Merksatz: SIEM hilft, Sicherheitsereignisse zentral auszuwerten. --- **Cloud-Backup** Auch Cloud-Dienste brauchen Backup. Wichtige Fragen: Welche Daten werden gesichert? Wie oft? Wie lange? Wo werden Backups gespeichert? Wer darf wiederherstellen? Sind Backups verschlüsselt? Sind Backups vor Löschung geschützt? Wurde Wiederherstellung getestet? Merksatz: Cloud ist kein Ersatz für Backup. --- **Ransomware-Schutz in der Cloud** Auch Cloud-Daten können durch Ransomware betroffen sein. Risiken: synchronisierte verschlüsselte Dateien gelöschte Backups kompromittierte Adminzugänge manipulierte Datenbanken missbrauchte API-Schlüssel Schutz: MFA getrennte Adminrollen unveränderliche Backups Versionierung Least Privilege Monitoring schnelles Offboarding Merksatz: Ransomware-Schutz braucht Backup, Rechtebegrenzung und Monitoring. --- **Immutable Backup** Immutable bedeutet: unveränderlich Ein Immutable Backup kann für einen festgelegten Zeitraum nicht verändert oder gelöscht werden. Vorteil: Schutz vor versehentlicher Löschung Schutz vor Ransomware bessere Wiederherstellungschancen Merksatz: Unveränderliche Backups schützen vor Manipulation und Löschung. --- **Datenschutz in der Cloud** Cloud-Datenschutz fragt: Welche Daten werden verarbeitet? Wo werden Daten gespeichert? Wer hat Zugriff? Gibt es Auftragsverarbeitung? Sind Daten verschlüsselt? Gibt es Löschkonzepte? Wie werden Betroffenenrechte erfüllt? Werden Logs personenbezogen? Welche Unterauftragnehmer gibt es? Merksatz: Cloud-Dienste brauchen Datenschutzprüfung. --- **Datenklassifizierung** Datenklassifizierung bedeutet: Daten werden nach Schutzbedarf eingeteilt. Beispiele: öffentlich intern vertraulich streng vertraulich personenbezogen geschäftskritisch Je höher der Schutzbedarf, desto strenger müssen Zugriff, Verschlüsselung, Logging und Speicherort geregelt sein. Merksatz: Schutzmaßnahmen richten sich nach Datenklasse. --- **Compliance in der Cloud** Compliance bedeutet: Einhaltung von Regeln, Gesetzen, Standards und internen Vorgaben. Cloud-relevant: Datenschutz Informationssicherheit Aufbewahrung Löschung Auditierbarkeit Zugriffskontrolle Datenstandort Vertragsprüfung Branchenvorgaben Merksatz: Cloud muss zu rechtlichen und organisatorischen Vorgaben passen. --- **Cloud-Sicherheitsrichtlinie** Eine Cloud-Sicherheitsrichtlinie sollte festlegen: erlaubte Dienste erlaubte Regionen Rollenmodell MFA-Pflicht Logging-Pflicht Verschlüsselung Backup-Vorgaben Tagging Kostenkontrolle Freigabeprozesse Umgang mit externen Benutzern Lösch- und Aufbewahrungsregeln Merksatz: Cloud-Sicherheit braucht klare Regeln. --- **Cloud-Governance** Cloud Governance bedeutet: Steuerung und Kontrolle der Cloud-Nutzung. Ziele: Sicherheit Kostenkontrolle Compliance Standardisierung klare Verantwortlichkeiten Vermeidung von Schatten-IT Nachvollziehbarkeit Ordnung in Ressourcen Merksatz: Governance sorgt dafür, dass Cloud kontrolliert genutzt wird. --- **Typische Cloud-Sicherheitsfehler** Häufige Fehler: MFA nicht aktiviert Adminrechte zu breit öffentliche Speicherfreigaben Datenbank öffentlich erreichbar Security Group erlaubt 0.0.0.0/0 auf Adminport API-Schlüssel im Quellcode Servicekonto mit Vollzugriff Logs deaktiviert Backups nicht getestet alte Benutzerkonten aktiv keine Kostenalarme kein Offboarding falsche Region keine Verschlüsselung keine Rechteprüfung Merksatz: Cloud-Sicherheitsfehler sind oft Konfigurationsfehler. --- **Checkliste: Cloud-IAM sicher gestalten** MFA für Admins erzwingen. Keine Sammelkonten nutzen. Benutzer eindeutig zuordnen. Gruppen und Rollen verwenden. Least Privilege umsetzen. Adminrechte zeitlich begrenzen. Servicekonten minimal berechtigen. API-Schlüssel schützen. Secrets nicht im Quellcode speichern. Regelmäßige Rechteprüfung durchführen. Offboarding konsequent umsetzen. Audit-Logs aktivieren. Merksatz: IAM ist die wichtigste Sicherheitsbasis in der Cloud. --- **Checkliste: Cloud-Ressourcen sicher konfigurieren** Öffentliche Erreichbarkeit prüfen. Managementports nicht öffentlich öffnen. Datenbanken privat bereitstellen. Security Groups eng setzen. Verschlüsselung aktivieren. Backups einrichten. Logs aktivieren. Monitoring einrichten. Tags setzen. Kostenalarme setzen. Region bewusst auswählen. Änderungen dokumentieren. Merksatz: Cloud-Ressourcen sicher konfigurieren, bevor sie produktiv genutzt werden. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was bedeutet Shared Responsibility Model? - Was ist IAM? - Warum ist IAM in der Cloud wichtig? - Was ist der Unterschied zwischen Authentifizierung und Autorisierung? - Was bedeutet Least Privilege? - Was ist RBAC? - Was ist ABAC? - Was ist ein Tenant? - Was ist Mandantentrennung? - Warum sollte MFA für Cloud-Admins Pflicht sein? - Warum sind API-Schlüssel kritisch? - Was ist Secret Management? - Was ist ein Private Endpoint? - Was ist eine WAF? - Was ist ein KMS? - Warum ersetzt Verschlüsselung keine Rechteverwaltung? - Warum braucht Cloud Logging und Monitoring? - Warum ist Cloud kein Ersatz für Backup? - Was ist ein Immutable Backup? - Warum ist Datenklassifizierung wichtig? --- **Typische Prüfungsfallen** Cloud-Sicherheit ist gemeinsame Verantwortung. Anbieter ist nicht automatisch für Kundendatenrechte verantwortlich. Daten, Benutzer und Rechte bleiben fast immer Kundenthema. IAM ist zentral für Cloud-Sicherheit. Authentifizierung ist nicht Autorisierung. MFA für Admins ist besonders wichtig. Adminrechte nicht dauerhaft und breit vergeben. Servicekonten sind ebenfalls Identitäten. API-Schlüssel wie Passwörter behandeln. Secrets nicht im Quellcode speichern. RBAC arbeitet mit Rollen. ABAC arbeitet mit Attributen. Tenant ist ein Verwaltungsbereich. Mandantentrennung schützt Kundenbereiche. SSO vereinfacht zentrale Anmeldung. OAuth 2.0 ist Autorisierung. OpenID Connect ergänzt Authentifizierung. Private Endpoint vermeidet öffentlichen Zugriff. Public Endpoint braucht besonderen Schutz. WAF schützt Webanwendungen. Verschlüsselung ersetzt keine Zugriffsrechte. KMS verwaltet Schlüssel. Cloud-Logs müssen aktiv sein. Backup muss auch in der Cloud geplant werden. Immutable Backup schützt vor Löschung und Manipulation. Datenschutz und Compliance müssen geprüft werden. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Shared Responsibility | geteilte Verantwortung zwischen Anbieter und Kunde | | IAM | Identity and Access Management | | Identität | Konto oder Dienst mit Zugriff | | Benutzer | menschliche Identität | | Gruppe | Zusammenfassung von Benutzern | | Rolle | Aufgabenbezogene Rechte | | Berechtigung | konkrete Erlaubnis | | Richtlinie | Regel für Zugriff | | Least Privilege | minimale notwendige Rechte | | Need to Know | Zugriff nur bei Bedarf | | PAM | Kontrolle privilegierter Zugriffe | | Just-in-Time | zeitlich begrenzte Rechte | | Servicekonto | Identität für Dienst oder Anwendung | | API-Schlüssel | Zugriffsschlüssel für Programme | | Secret | geheime Information | | Secret Management | Verwaltung geheimer Informationen | | MFA | Multi-Faktor-Authentifizierung | | Conditional Access | Zugriff abhängig von Bedingungen | | Zero Trust | kein automatisches Vertrauen | | RBAC | rollenbasierte Zugriffskontrolle | | ABAC | attributbasierte Zugriffskontrolle | | Tenant | logisch getrennter Verwaltungsbereich | | Mandantentrennung | Trennung verschiedener Kundenbereiche | | SSO | Single Sign-On | | IdP | Identity Provider | | Föderation | Vertrauen zwischen Identitätsquellen | | SAML | SSO-Standard | | OAuth 2.0 | delegierte Autorisierung | | OpenID Connect | Authentifizierung auf Basis von OAuth 2.0 | | Private Endpoint | privater Zugriff auf Cloud-Dienst | | Public Endpoint | öffentlicher Zugriffspunkt | | WAF | Web Application Firewall | | DDoS | Überlastungsangriff | | KMS | Key Management Service | | Audit-Log | Nachweis sicherheitsrelevanter Aktionen | | SIEM | zentrale Sicherheitslog-Auswertung | | Immutable Backup | unveränderliches Backup | | Datenklassifizierung | Einteilung nach Schutzbedarf | | Compliance | Einhaltung von Vorgaben | | Cloud Governance | Steuerung der Cloud-Nutzung | --- **IHK-sichere Kurzformulierung** Cloud-Sicherheit basiert auf dem Shared Responsibility Model. Der Anbieter schützt je nach Service-Modell die Plattform, Infrastruktur und den Dienstbetrieb, während der Kunde für Benutzer, Rollen, Berechtigungen, Daten, sichere Konfiguration, Zugriffsschutz, Backup, Logging, Monitoring und Compliance verantwortlich bleibt. IAM, also Identity and Access Management, ist ein zentraler Bestandteil der Cloud-Sicherheit, da es regelt, wer welche Ressourcen nutzen oder verändern darf. Wichtige Prinzipien sind MFA, Least Privilege, rollenbasierte Rechtevergabe, sichere Servicekonten, Schutz von API-Schlüsseln, Secret Management, Logging, Verschlüsselung und regelmäßige Rechteprüfung. Cloud-Sicherheit entsteht durch Technik, Prozesse und klare Verantwortlichkeiten. --- **Merksätze** Cloud-Sicherheit ist gemeinsame Verantwortung. Anbieter schützt Plattform, Kunde schützt Nutzung und Daten. Daten, Benutzer und Rechte bleiben fast immer Kundenthema. IAM entscheidet, wer was darf. Nicht nur Menschen haben Identitäten. Servicekonten brauchen minimale Rechte. API-Schlüssel wie Passwörter behandeln. Secrets nicht im Quellcode speichern. MFA für Admins erzwingen. Authentifizierung = Wer bist du? Autorisierung = Was darfst du? Least Privilege gilt immer. Adminrechte zeitlich und fachlich begrenzen. Sammelkonten vermeiden. RBAC nutzt Rollen. ABAC nutzt Attribute. Tenant ist ein Cloud-Verwaltungsbereich. SSO vereinfacht zentrale Anmeldung. IdP prüft Identitäten. OAuth 2.0 ist Autorisierung. OpenID Connect ergänzt Authentifizierung. Private Endpoint hält Zugriff intern. Public Endpoint besonders schützen. WAF schützt Webanwendungen. DDoS-Schutz schützt Verfügbarkeit. Verschlüsselung ersetzt keine Rechte. KMS verwaltet Schlüssel. Audit-Logs zeigen Adminaktionen. SIEM wertet Sicherheitsereignisse zentral aus. Cloud ist kein Ersatz für Backup. Immutable Backup schützt vor Manipulation. Datenklassifizierung bestimmt Schutzbedarf. Cloud Governance schafft Regeln. Fehlkonfiguration ist eines der größten Cloud-Risiken. # 15.6 Cloud-Speicher, Backup und Datenmanagement Cloud-Speicher ist Speicherplatz, der als Dienst über ein Netzwerk bereitgestellt wird. Er wird genutzt für: - Dateien - Backups - Datenbanken - Archive - Logs - Medien - virtuelle Festplatten - Anwendungsdaten - Dokumente - Wiederherstellung nach Ausfällen Merksatz: Cloud-Speicher ist Speicher als Dienst, aber kein automatisches Backup-Konzept. --- **Warum Cloud-Speicher wichtig ist** Daten sind für Unternehmen oft wichtiger als die Systeme selbst. Ein Server kann neu installiert werden. Aber verlorene Daten können kritisch sein. Cloud-Speicher hilft bei: zentraler Speicherung Skalierung weltweiter Verfügbarkeit Backup Archivierung Zusammenarbeit Datenanalyse Notfallwiederherstellung Merksatz: Cloud-Speicher muss nach Datenart, Zugriff, Schutzbedarf und Kosten geplant werden. --- **Arten von Cloud-Speicher** Die wichtigsten Speicherarten sind: - Objektspeicher - Blockspeicher - Dateispeicher - Archivspeicher - Datenbankspeicher - Backup-Speicher Merksatz: Nicht jeder Cloud-Speicher ist für denselben Zweck geeignet. --- **Objektspeicher** Objektspeicher speichert Daten als Objekte. Ein Objekt besteht typischerweise aus: Dateiinhalt Metadaten eindeutigem Namen oder Schlüssel Typische Nutzung: Backups Bilder Videos Dokumente Logs Archivdaten statische Webseiten große unstrukturierte Datenmengen Merksatz: Objektspeicher eignet sich gut für viele unstrukturierte Dateien. --- **Objektspeicher einfach erklärt** Bei Objektspeicher denkt man nicht zuerst an Ordner und Laufwerke, sondern an Objekte in einem Speicherbereich. Beispiel: Objekt: rechnung-2026-07.pdf Metadaten: Dateityp, Erstellungsdatum, Besitzer, Speicherklasse, Verschlüsselung Schlüssel: kunden/2026/rechnung-2026-07.pdf Merksatz: Objektspeicher arbeitet mit Objekten, Schlüsseln und Metadaten. --- **Bucket** Ein Bucket ist ein Speicherbehälter im Objektspeicher. Darin liegen Objekte. Beispiele: backup-produktiv dokumente-intern logs-archiv bilder-webseite Wichtig: Bucket-Berechtigungen sind sicherheitskritisch. Merksatz: Bucket = Speicherbehälter für Objekte. --- **Bucket-Berechtigungen** Ein häufiger Cloud-Fehler: Bucket ist öffentlich lesbar. Mögliche Folgen: vertrauliche Daten werden öffentlich personenbezogene Daten werden offengelegt Backups können heruntergeladen werden interne Dokumente sind sichtbar Angreifer finden Zugangsdaten oder Logs Merksatz: Öffentliche Buckets sind ein großes Sicherheitsrisiko. --- **Objektspeicher: Vorteile** Vorteile: sehr skalierbar gut für große Datenmengen Metadaten möglich oft hohe Haltbarkeit verschiedene Speicherklassen gut für Backup und Archiv Zugriff über APIs Versionierung möglich Merksatz: Objektspeicher ist stark bei Skalierung und unstrukturierten Daten. --- **Objektspeicher: Nachteile** Nachteile: nicht wie eine klassische Festplatte nicht ideal für jede Anwendung Latenz kann höher sein Zugriff meist über API Rechte müssen sauber gesetzt werden Kosten für Zugriff und Datenübertragung beachten Merksatz: Objektspeicher ist kein direkter Ersatz für jedes Dateisystem. --- **Blockspeicher** Blockspeicher stellt Speicherblöcke bereit, ähnlich wie eine Festplatte. Typische Nutzung: virtuelle Maschinen Betriebssystemplatten Datenbankserver Anwendungen mit Dateisystem leistungsabhängige Workloads Beispiele: virtuelle Systemplatte virtuelle Datenplatte Datenbankvolume Merksatz: Blockspeicher verhält sich wie eine virtuelle Festplatte. --- **Blockspeicher: Vorteile** Vorteile: gut für Betriebssysteme gut für Datenbanken geringe Latenz möglich Dateisystem frei wählbar an virtuelle Maschinen anbindbar Leistung oft wählbar Merksatz: Blockspeicher eignet sich für VMs und leistungsabhängige Anwendungen. --- **Blockspeicher: Nachteile** Nachteile: meist an einzelne Instanzen gebunden Verwaltung von Dateisystem bleibt nötig falsche Größe oder Leistung kann Kosten erzeugen Backup muss geplant werden nicht ideal für einfache Dateifreigaben zwischen vielen Systemen Merksatz: Blockspeicher braucht Administration wie eine Festplatte. --- **Dateispeicher** Dateispeicher stellt Speicher als Dateifreigabe bereit. Typische Nutzung: gemeinsame Dateien klassische Ordnerstrukturen Benutzerdateien Anwendungen mit gemeinsamem Dateisystem zentrale Ablagen Typische Protokolle: SMB NFS Merksatz: Dateispeicher arbeitet mit Ordnern, Dateien und Freigaben. --- **Dateispeicher: Vorteile** Vorteile: bekannte Ordnerstruktur gemeinsame Nutzung möglich geeignet für klassische Anwendungen SMB oder NFS möglich einfache Integration in viele Systeme Merksatz: Dateispeicher passt gut zu klassischen Freigaben. --- **Dateispeicher: Nachteile** Nachteile: Berechtigungen müssen sauber geplant werden Performance abhängig von Dienst und Netzwerk nicht immer so skalierbar wie Objektspeicher Kosten für Kapazität und Leistung beachten Backup und Versionierung prüfen Merksatz: Cloud-Dateifreigaben brauchen Rechtekonzept und Backup. --- **Objekt-, Block- und Dateispeicher vergleichen** | Speicherart | Typischer Einsatz | Vergleich | |---|---|---| | Objektspeicher | Backups, Medien, Archive, Logs | Objekt mit Metadaten | | Blockspeicher | VM-Festplatten, Datenbanken | virtuelle Festplatte | | Dateispeicher | gemeinsame Dateien, klassische Freigaben | Ordner und Dateien | Merksatz: Objekt für große Datenmengen, Block für VM und Datenbank, Datei für Freigaben. --- **Archivspeicher** Archivspeicher ist für Daten gedacht, die selten benötigt werden. Beispiele: alte Backups Langzeitarchive gesetzliche Aufbewahrung abgeschlossene Projekte alte Logs historische Dokumente Vorteil: oft günstiger für langfristige Speicherung Nachteil: Wiederherstellung kann länger dauern Zugriff kann teurer sein Mindestaufbewahrungszeiten möglich Merksatz: Archivspeicher ist günstig für selten genutzte Daten, aber langsamer beim Zugriff. --- **Hot, Cool und Archive Storage** Viele Cloud-Anbieter unterscheiden Speicherklassen. Typische Idee: | Speicherklasse | Nutzung | |---|---| | Hot | häufig genutzte Daten | | Cool | selten genutzte Daten | | Archive | sehr selten genutzte Langzeitdaten | Merksatz: Je seltener der Zugriff, desto günstiger oft die Speicherung, aber desto teurer oder langsamer der Zugriff. --- **Lifecycle Management** Lifecycle Management bedeutet: Daten werden automatisch nach Regeln verschoben oder gelöscht. Beispiele: Logs nach 30 Tagen in günstigere Speicherklasse verschieben. Backups nach 1 Jahr archivieren. temporäre Dateien nach 7 Tagen löschen. alte Versionen nach 90 Tagen entfernen. Merksatz: Lifecycle-Regeln steuern den Lebenszyklus von Daten. --- **Versionierung** Versionierung bedeutet: ältere Versionen einer Datei oder eines Objekts werden aufbewahrt. Vorteile: Wiederherstellung nach versehentlicher Änderung Schutz vor Überschreiben Hilfe bei Ransomware Nachvollziehbarkeit Aber: Versionen verbrauchen Speicher Kosten können steigen Löschregeln müssen geplant werden Merksatz: Versionierung schützt vor Änderungen, braucht aber Speicher- und Löschkonzept. --- **Snapshots** Ein Snapshot ist eine Momentaufnahme eines Systems oder Speichers. Typische Nutzung: VM-Zustand sichern Volume-Zustand sichern vor Update erstellen schnelle Wiederherstellung Testumgebung aus Produktivdaten erzeugen Wichtig: Snapshots sind nicht immer vollständiger Backup-Ersatz. Merksatz: Snapshot ist Momentaufnahme, aber nicht automatisch Backup-Strategie. --- **Backup** Backup bedeutet: Daten werden zusätzlich gesichert, damit sie bei Verlust wiederhergestellt werden können. Backup schützt vor: versehentlichem Löschen Hardwareausfall Fehlkonfiguration Ransomware Datenkorruption Benutzerfehler fehlerhaften Updates Ausfall eines Dienstes Merksatz: Backup ist nur wertvoll, wenn Wiederherstellung funktioniert. --- **Cloud ist kein Backup** Ein häufiger Denkfehler: Die Daten liegen in der Cloud, also brauche ich kein Backup. Das ist falsch. Auch in der Cloud können Daten verloren gehen durch: Benutzerfehler falsche Synchronisation Ransomware gelöschte Benutzer kompromittierte Adminzugänge Fehlkonfiguration abgelaufene Aufbewahrung defekte Anwendung Anbieterproblem Merksatz: Cloud-Speicherung ersetzt kein Backup-Konzept. --- **Backup-Ziele** Ein Backup-Konzept muss klären: Was wird gesichert? Wie oft wird gesichert? Wie lange wird gesichert? Wo wird gesichert? Wer darf wiederherstellen? Wie wird Wiederherstellung getestet? Wie wird Backup geschützt? Wie schnell muss Wiederherstellung sein? Wie viel Datenverlust ist tolerierbar? Merksatz: Backup ohne Wiederherstellungsziel ist unvollständig. --- **RPO** RPO steht für: Recovery Point Objective RPO beschreibt, wie viel Datenverlust maximal akzeptabel ist. Beispiel: RPO = 24 Stunden Bedeutung: Im schlimmsten Fall dürfen Daten der letzten 24 Stunden verloren gehen. Merksatz: RPO fragt: Wie viel Datenverlust ist erlaubt? --- **RTO** RTO steht für: Recovery Time Objective RTO beschreibt, wie schnell ein System wiederhergestellt sein muss. Beispiel: RTO = 4 Stunden Bedeutung: Das System soll innerhalb von 4 Stunden wieder verfügbar sein. Merksatz: RTO fragt: Wie lange darf Wiederherstellung dauern? --- **RPO und RTO vergleichen** | Begriff | Frage | Beispiel | |---|---|---| | RPO | Wie viel Datenverlust ist erlaubt? | maximal 1 Stunde Datenverlust | | RTO | Wie lange darf Ausfall dauern? | Wiederherstellung in 4 Stunden | Merksatz: RPO betrifft Datenverlust. RTO betrifft Ausfallzeit. --- **Backup-Arten** Wichtige Backup-Arten: Vollbackup inkrementelles Backup differentielles Backup Snapshot Replikation Archivierung Merksatz: Backup-Art beeinflusst Speicherbedarf, Dauer und Wiederherstellung. --- **Vollbackup** Ein Vollbackup sichert alle ausgewählten Daten vollständig. Vorteile: einfache Wiederherstellung vollständiger Sicherungsstand unabhängig von vielen Zwischenschritten Nachteile: hoher Speicherbedarf längere Sicherungsdauer mehr Last Merksatz: Vollbackup ist vollständig, aber aufwendiger. --- **Inkrementelles Backup** Ein inkrementelles Backup sichert nur Änderungen seit dem letzten Backup. Vorteile: weniger Speicherbedarf schneller als Vollbackup weniger Datenübertragung Nachteile: Wiederherstellung kann mehrere Sicherungen benötigen Backup-Kette muss intakt sein Merksatz: Inkrementell sichert nur neue Änderungen seit dem letzten Backup. --- **Differentielles Backup** Ein differentielles Backup sichert Änderungen seit dem letzten Vollbackup. Vorteile: Wiederherstellung einfacher als bei langen inkrementellen Ketten weniger aufwendig als tägliches Vollbackup Nachteile: wächst bis zum nächsten Vollbackup braucht mehr Speicher als inkrementell Merksatz: Differentiell sichert Änderungen seit dem letzten Vollbackup. --- **Replikation** Replikation bedeutet: Daten werden auf ein anderes System oder in eine andere Region kopiert. Ziel: höhere Verfügbarkeit schnellere Umschaltung Schutz vor Standortausfall Aber: Replikation ist nicht automatisch Backup. Warum? Fehler, Löschungen oder Ransomware können mit repliziert werden. Merksatz: Replikation schützt Verfügbarkeit, Backup schützt Wiederherstellung. --- **Backup und Replikation vergleichen** | Merkmal | Backup | Replikation | |---|---|---| | Zweck | Wiederherstellung alter Stände | Verfügbarkeit und Kopie | | schützt vor Löschen | ja, wenn richtig aufbewahrt | nicht unbedingt | | schützt vor Ransomware | ja, wenn isoliert oder unveränderlich | nicht unbedingt | | Zugriff | meist Wiederherstellung nötig | oft direkt nutzbar | | Risiko | Backup zu alt | Fehler wird mitkopiert | Merksatz: Replikation ist kein Ersatz für Backup. --- **3-2-1-Regel** Die 3-2-1-Regel ist eine bekannte Backup-Grundregel. Sie bedeutet: 3 Kopien der Daten 2 unterschiedliche Speichermedien oder Speicherarten 1 Kopie außer Haus oder getrennt vom Hauptsystem Für Cloud kann man ergänzen: eine Kopie unveränderlich oder besonders geschützt Merksatz: Mehrere getrennte Kopien schützen besser vor Datenverlust. --- **Immutable Backup** Immutable bedeutet: unveränderlich Ein Immutable Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden. Vorteile: Schutz vor Ransomware Schutz vor versehentlicher Löschung Schutz vor kompromittierten Konten bessere Wiederherstellungschance Merksatz: Immutable Backup schützt vor Manipulation und Löschung. --- **Air Gap** Air Gap bedeutet: Eine Sicherung ist vom produktiven System getrennt. Klassisch: offline gelagertes Backup In Cloud-Konzepten: logisch getrennte Konten getrennte Berechtigungen unveränderliche Backups getrennte Regionen separate Backup-Tenants Merksatz: Air Gap bedeutet Trennung vom normalen Zugriffspfad. --- **Backup-Verschlüsselung** Backups enthalten oft sehr sensible Daten. Deshalb sollten Backups verschlüsselt werden. Wichtig: Schlüssel sicher verwalten Zugriff begrenzen Wiederherstellung testen Schlüsselverlust vermeiden Schlüsselrotation planen Merksatz: Verschlüsseltes Backup ist nur nutzbar, wenn Schlüssel verfügbar sind. --- **Backup-Zugriffsrechte** Nicht jeder Administrator sollte Backups löschen dürfen. Wichtige Regeln: getrennte Backup-Adminrolle Wiederherstellung nur berechtigte Personen Löschung stark begrenzen MFA für Backupverwaltung Protokollierung Genehmigung bei kritischen Aktionen Merksatz: Wer Backups löschen kann, kann Wiederherstellung verhindern. --- **Restore** Restore bedeutet: Daten werden aus einem Backup wiederhergestellt. Mögliche Arten: einzelne Datei wiederherstellen gesamtes Verzeichnis wiederherstellen Datenbank wiederherstellen VM wiederherstellen Anwendung wiederherstellen System in anderer Region wiederherstellen Merksatz: Backup ohne getesteten Restore ist unsicher. --- **Restore-Test** Ein Restore-Test prüft, ob eine Wiederherstellung wirklich funktioniert. Warum wichtig? Backup könnte unvollständig sein. Rechte könnten fehlen. Schlüssel könnten fehlen. Wiederherstellung dauert zu lange. Anwendung startet nicht. Daten sind inkonsistent. Merksatz: Erst Restore-Test zeigt, ob Backup wirklich brauchbar ist. --- **Datenkonsistenz** Datenkonsistenz bedeutet: Daten sind logisch korrekt und zusammenpassend. Problem: Wenn eine Datenbank während des Backups verändert wird, kann ein einfaches Dateibackup inkonsistent sein. Lösung: anwendungskonsistente Backups Datenbank-Dumps Snapshots mit Quiescing Transaktionslogs passende Backup-Agenten Merksatz: Datenbanken brauchen konsistente Backups. --- **Datenbank-Backup** Datenbanken brauchen besondere Backup-Verfahren. Wichtige Punkte: konsistenter Zustand Transaktionslogs Point-in-Time-Recovery regelmäßige Restore-Tests Verschlüsselung Aufbewahrung Rechtekontrolle Merksatz: Datenbankdateien einfach kopieren reicht oft nicht. --- **Point-in-Time-Recovery** Point-in-Time-Recovery bedeutet: Wiederherstellung auf einen bestimmten Zeitpunkt. Beispiel: Datenbankzustand von gestern 14:35 Uhr wiederherstellen. Nützlich bei: versehentlicher Löschung fehlerhaftem Import falschem Update Ransomware Datenkorruption Merksatz: Point-in-Time-Recovery stellt gezielt einen Zeitpunkt wieder her. --- **Aufbewahrungsfrist** Aufbewahrungsfrist bedeutet: Wie lange Daten oder Backups gespeichert werden. Beispiele: tägliche Backups 30 Tage monatliche Backups 12 Monate Jahresarchive 10 Jahre Wichtig: technische Anforderungen rechtliche Vorgaben Datenschutz Speicherplatz Kosten Merksatz: Aufbewahrung muss fachlich, rechtlich und technisch passen. --- **Löschkonzept** Ein Löschkonzept beschreibt, wann Daten gelöscht werden. Wichtig bei: personenbezogenen Daten alten Backups Projektarchiven Logs temporären Dateien Testdaten Benutzerkonten Merksatz: Daten dürfen nicht unbegrenzt ohne Zweck gespeichert werden. --- **Datenklassifizierung** Datenklassifizierung bedeutet: Daten werden nach Schutzbedarf eingeteilt. Beispiele: öffentlich intern vertraulich streng vertraulich personenbezogen geschäftskritisch Die Klasse bestimmt: Speicherort Verschlüsselung Zugriff Backup Aufbewahrung Logging Freigaben Merksatz: Datenklasse bestimmt Schutzmaßnahmen. --- **Personenbezogene Daten** Personenbezogene Daten sind Daten, die sich auf eine identifizierte oder identifizierbare Person beziehen. Beispiele: Name Adresse E-Mail-Adresse Kundennummer Personalnummer IP-Adresse je nach Kontext Gesundheitsdaten Bewerbungsdaten Merksatz: Personenbezogene Daten brauchen besonderen Schutz. --- **Datenminimierung** Datenminimierung bedeutet: Nur Daten speichern, die wirklich benötigt werden. Cloud-Bezug: keine unnötigen Kopien keine unnötigen Exporte keine unnötigen Logs mit Personendaten keine ewigen Testdaten keine Vollkopien für einfache Tests Merksatz: Weniger unnötige Daten bedeuten weniger Risiko. --- **Datenresidenz** Datenresidenz bedeutet: Daten müssen in einem bestimmten Land oder einer bestimmten Region gespeichert werden. Beispiel: Speicherung innerhalb der EU Wichtig für: Datenschutz Compliance Verträge Kundenanforderungen Branchenvorgaben Merksatz: Datenresidenz beschreibt, wo Daten liegen dürfen. --- **Datenhoheit** Datenhoheit bedeutet: Wer Kontrolle über Daten hat. Fragen: Wer darf Daten lesen? Wer darf Daten löschen? Wer darf Daten exportieren? Wer verwaltet Schlüssel? Wer kann Zugriff technisch erzwingen? Was passiert bei Anbieterwechsel? Merksatz: Datenhoheit ist Kontrolle über Zugriff, Nutzung und Verbleib von Daten. --- **Datenportabilität** Datenportabilität bedeutet: Daten können in ein anderes System übertragen werden. Wichtig: Exportfunktion offenes Format vollständige Daten Metadaten Berechtigungen Dokumentation Wiederimport möglich Merksatz: Datenportabilität ist wichtig für Anbieterwechsel und Exit-Strategie. --- **Exit-Strategie für Daten** Eine Exit-Strategie beschreibt, wie Daten aus einem Cloud-Dienst wieder herauskommen. Fragen: Wie werden Daten exportiert? In welchem Format? Wie lange dauert Export? Welche Kosten entstehen? Werden Metadaten mit exportiert? Werden Berechtigungen mit exportiert? Wie wird Löschung beim Anbieter bestätigt? Merksatz: Cloud-Einstieg braucht auch Daten-Ausstiegsplan. --- **Cloud-Synchronisation** Cloud-Synchronisation hält Daten zwischen Geräten oder Diensten auf gleichem Stand. Beispiele: Datei auf Notebook geändert Änderung wird in Cloud synchronisiert andere Geräte erhalten Änderung Risiko: versehentliche Löschung wird synchronisiert Ransomware verschlüsselt Dateien und Änderung wird synchronisiert falsche Version überschreibt richtige Version Merksatz: Synchronisation ist kein Backup. --- **Cloud-Speicher und Ransomware** Ransomware kann auch Cloud-Speicher betreffen. Beispiele: verschlüsselte Dateien werden synchronisiert Angreifer löscht Backups kompromittiertes Konto löscht Daten API-Schlüssel wird missbraucht Versionen werden entfernt Schutz: MFA Versionierung Immutable Backup getrennte Backup-Konten Least Privilege Monitoring Restore-Tests Merksatz: Cloud-Speicher braucht Ransomware-Schutz. --- **Freigaben in Cloud-Speicher** Cloud-Speicher bietet oft einfache Freigaben. Risiken: öffentlicher Link Link ohne Ablaufdatum Link ohne Passwort externe Benutzer nicht geprüft Ordner zu breit freigegeben alte Freigaben bleiben aktiv Download nicht eingeschränkt Merksatz: Cloud-Freigaben regelmäßig prüfen. --- **Externe Freigaben** Externe Freigaben erlauben Zugriff außerhalb der Organisation. Sicherheitsregeln: nur bei Bedarf zeitlich begrenzen Empfänger prüfen Passwort oder MFA nutzen Download einschränken Protokollierung aktivieren Freigaben regelmäßig entfernen Merksatz: Externe Freigaben sind kontrollierter Extranet-Zugriff. --- **Cloud-Speicher und Berechtigungen** Berechtigungen sollten festlegen: Wer darf lesen? Wer darf schreiben? Wer darf löschen? Wer darf freigeben? Wer darf externe Benutzer einladen? Wer darf Versionen löschen? Wer darf Aufbewahrung ändern? Merksatz: Speicherrechte müssen genauer sein als nur „Zugriff erlaubt“. --- **Cloud-Speicher und Logs** Wichtige Logs: Datei gelesen Datei geändert Datei gelöscht Datei geteilt externer Zugriff Download Adminänderung Berechtigung geändert Version gelöscht Aufbewahrung geändert Merksatz: Speicherlogs helfen, Datenzugriffe nachvollziehbar zu machen. --- **Cloud-Speicher und Kosten** Kosten entstehen durch: Speichergröße Speicherklasse Anzahl der Zugriffe Datenübertragung Wiederherstellung aus Archiv Versionen Snapshots Backups Replikation Logs Merksatz: Cloud-Speicher ist skalierbar, aber nicht automatisch billig. --- **Typische Cloud-Speicherfehler** Häufige Fehler: Bucket öffentlich lesbar keine Versionierung keine Backups keine Restore-Tests zu lange Aufbewahrung keine Löschregeln falsche Speicherklasse alte Snapshots vergessen API-Schlüssel im Speicher externe Freigaben nicht geprüft Backups im gleichen Konto wie Produktivdaten ungeschützt keine Verschlüsselung keine Logs Merksatz: Cloud-Speicherfehler entstehen oft durch Rechte, Freigaben, Aufbewahrung und fehlende Tests. --- **Checkliste: Cloud-Speicher sicher nutzen** Speicherart passend auswählen. Daten klassifizieren. Öffentliche Zugriffe vermeiden. Berechtigungen minimal vergeben. MFA für Admins erzwingen. Versionierung prüfen. Backup einrichten. Immutable Backup prüfen. Wiederherstellung testen. Verschlüsselung aktivieren. Schlüsselverwaltung klären. Aufbewahrungsfristen festlegen. Löschkonzept erstellen. Lifecycle-Regeln nutzen. Logs aktivieren. Kosten überwachen. Externe Freigaben regelmäßig prüfen. Merksatz: Cloud-Speicher braucht Technik, Rechte, Backup und Kostenkontrolle. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was ist Objektspeicher? - Was ist Blockspeicher? - Was ist Dateispeicher? - Wofür nutzt man Archivspeicher? - Was ist ein Bucket? - Warum sind öffentliche Buckets gefährlich? - Was bedeutet Versionierung? - Was ist ein Snapshot? - Warum ist Cloud-Speicher kein automatisches Backup? - Was ist der Unterschied zwischen Backup und Replikation? - Was bedeutet RPO? - Was bedeutet RTO? - Was ist die 3-2-1-Regel? - Was ist ein Immutable Backup? - Warum sind Restore-Tests wichtig? - Was ist Point-in-Time-Recovery? - Was bedeutet Datenklassifizierung? - Was bedeutet Datenresidenz? - Warum ist Synchronisation kein Backup? - Warum müssen externe Freigaben geprüft werden? --- **Typische Prüfungsfallen** Cloud-Speicher ist nicht automatisch Backup. Synchronisation ist kein Backup. Replikation ist kein Backup. Snapshot ist nicht immer vollständiger Backup-Ersatz. Backup ohne Restore-Test ist unsicher. Objektspeicher ist nicht dasselbe wie Blockspeicher. Blockspeicher ist eher virtuelle Festplatte. Dateispeicher ist eher klassische Freigabe. Bucket-Berechtigungen sind sicherheitskritisch. Öffentliche Buckets vermeiden. RPO betrifft Datenverlust. RTO betrifft Wiederherstellungszeit. Immutable Backup schützt vor Löschung und Manipulation. Backups müssen verschlüsselt und geschützt sein. Datenbanken brauchen konsistente Backups. Datenklassifizierung bestimmt Schutzmaßnahmen. Datenresidenz beschreibt Speicherort. Datenportabilität ist wichtig für Anbieterwechsel. Externe Freigaben regelmäßig prüfen. Cloud-Speicher verursacht auch Zugriffskosten, Versionierungskosten und Wiederherstellungskosten. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Cloud-Speicher | Speicher als Dienst | | Objektspeicher | Speicher für Objekte mit Metadaten | | Blockspeicher | Speicher wie virtuelle Festplatte | | Dateispeicher | Speicher als Ordner- und Dateifreigabe | | Archivspeicher | Speicher für selten genutzte Langzeitdaten | | Bucket | Speicherbehälter für Objekte | | Metadaten | beschreibende Zusatzinformationen | | Speicherklasse | Kosten- und Zugriffskategorie | | Lifecycle Management | automatische Regeln für Verschieben oder Löschen | | Versionierung | Aufbewahrung früherer Dateiversionen | | Snapshot | Momentaufnahme eines Systems oder Speichers | | Backup | zusätzliche Sicherung zur Wiederherstellung | | Restore | Wiederherstellung aus Backup | | Restore-Test | Prüfung der Wiederherstellung | | RPO | maximal akzeptabler Datenverlust | | RTO | maximal akzeptable Wiederherstellungszeit | | Vollbackup | vollständige Sicherung | | inkrementelles Backup | Änderungen seit letztem Backup | | differentielles Backup | Änderungen seit letztem Vollbackup | | Replikation | Kopie auf anderes System oder Region | | 3-2-1-Regel | drei Kopien, zwei Medien, eine getrennte Kopie | | Immutable Backup | unveränderliches Backup | | Air Gap | getrennte Sicherung | | Point-in-Time-Recovery | Wiederherstellung auf bestimmten Zeitpunkt | | Aufbewahrungsfrist | Speicherdauer von Daten | | Löschkonzept | Regelung zur Datenlöschung | | Datenklassifizierung | Einteilung nach Schutzbedarf | | Datenresidenz | Ort der Datenspeicherung | | Datenhoheit | Kontrolle über Daten | | Datenportabilität | Übertragbarkeit von Daten | | Exit-Strategie | Plan zum Verlassen eines Dienstes | | Synchronisation | Abgleich von Datenständen | --- **IHK-sichere Kurzformulierung** Cloud-Speicher stellt Speicherplatz als Dienst bereit. Man unterscheidet vor allem Objektspeicher, Blockspeicher und Dateispeicher. Objektspeicher eignet sich für unstrukturierte Daten wie Backups, Medien, Logs und Archive. Blockspeicher wird häufig wie eine virtuelle Festplatte für virtuelle Maschinen oder Datenbanken genutzt. Dateispeicher stellt klassische Datei- und Ordnerfreigaben bereit. Cloud-Speicher ersetzt kein Backup-Konzept, da Löschungen, Fehlkonfigurationen, Ransomware oder falsche Synchronisation auch Cloud-Daten betreffen können. Wichtige Backup-Kennzahlen sind RPO für maximal tolerierbaren Datenverlust und RTO für maximal tolerierbare Wiederherstellungszeit. Backups müssen geschützt, verschlüsselt, regelmäßig getestet und passend aufbewahrt werden. --- **Merksätze** Cloud-Speicher = Speicher als Dienst. Nicht jeder Speicher passt zu jedem Zweck. Objektspeicher speichert Objekte mit Metadaten. Bucket = Speicherbehälter. Öffentliche Buckets sind gefährlich. Blockspeicher = virtuelle Festplatte. Dateispeicher = klassische Freigabe. Archivspeicher für selten genutzte Daten. Hot Storage für häufige Zugriffe. Archive Storage für seltene Zugriffe. Lifecycle-Regeln steuern Datenlebenszyklus. Versionierung schützt vor Überschreiben. Snapshot ist Momentaufnahme. Snapshot ist nicht automatisch Backup-Strategie. Cloud ist kein Backup. Synchronisation ist kein Backup. Replikation ist kein Backup. Backup schützt Wiederherstellung. Replikation schützt eher Verfügbarkeit. RPO = erlaubter Datenverlust. RTO = erlaubte Wiederherstellungszeit. Vollbackup sichert alles. Inkrementell sichert Änderungen seit letztem Backup. Differentiell sichert Änderungen seit letztem Vollbackup. 3-2-1-Regel schützt besser vor Datenverlust. Immutable Backup schützt vor Löschung. Air Gap trennt Backup vom Hauptsystem. Backup-Schlüssel sicher verwalten. Restore-Test ist Pflicht. Datenbanken brauchen konsistente Backups. Point-in-Time-Recovery stellt Zeitpunkt wieder her. Aufbewahrung und Löschung planen. Datenklassifizierung bestimmt Schutz. Datenresidenz beschreibt Speicherort. Datenportabilität für Anbieterwechsel beachten. Cloud-Freigaben regelmäßig prüfen. Speicherlogs aktivieren. Cloud-Speicher-Kosten überwachen. # 15.7 Cloud-Betrieb, Monitoring, Skalierung und Kostenkontrolle Cloud-Dienste müssen auch nach der Einrichtung betrieben, überwacht und optimiert werden. Cloud bedeutet nicht: einmal erstellen und nie wieder anfassen Cloud-Betrieb umfasst: - Monitoring - Logging - Alarmierung - Kostenkontrolle - Skalierung - Patchmanagement - Backup-Prüfung - Sicherheitsprüfung - Rechteprüfung - Dokumentation - Automatisierung - Störungsbehandlung Merksatz: Cloud-Ressourcen brauchen laufenden Betrieb wie lokale IT-Systeme. --- **Warum Cloud-Betrieb wichtig ist** Cloud-Ressourcen lassen sich schnell erstellen. Das ist ein Vorteil, kann aber auch ein Risiko sein. Typische Probleme: Ressourcen werden vergessen. Kosten steigen unbemerkt. Logs sind nicht aktiviert. Backups werden nicht getestet. Sicherheitsregeln sind zu breit. Benutzerrechte bleiben zu lange bestehen. Dienste laufen dauerhaft, obwohl sie nicht mehr gebraucht werden. Merksatz: Cloud-Flexibilität braucht Kontrolle. --- **Cloud-Betrieb einfach erklärt** Beim Cloud-Betrieb geht es darum, Cloud-Dienste dauerhaft zuverlässig, sicher und wirtschaftlich zu betreiben. Dazu gehören Fragen wie: Läuft der Dienst? Ist der Dienst erreichbar? Ist die Leistung ausreichend? Gibt es Sicherheitsereignisse? Werden Kosten eingehalten? Funktionieren Backups? Sind Ressourcen richtig dimensioniert? Sind Rechte korrekt? Gibt es unnötige Ressourcen? Merksatz: Cloud-Betrieb verbindet Technik, Sicherheit und Kosten. --- **Monitoring** Monitoring bedeutet: Systeme und Dienste werden laufend überwacht. Ziel: Probleme früh erkennen, bevor Benutzer stark betroffen sind. Überwacht werden zum Beispiel: Verfügbarkeit CPU-Auslastung RAM-Auslastung Speicherplatz Netzwerkverkehr Antwortzeiten Fehlerquoten Datenbanklast Zertifikatsablauf Backupstatus Kosten Merksatz: Monitoring zeigt, ob Systeme gesund laufen. --- **Metriken** Metriken sind messbare Werte. Beispiele: CPU in Prozent RAM-Verbrauch freier Speicherplatz Anfragen pro Sekunde Antwortzeit in Millisekunden Fehlerrate Netzwerkdurchsatz Anzahl aktiver Benutzer Datenbankverbindungen Warteschlangenlänge Merksatz: Metriken liefern messbare Zustandswerte. --- **Logs** Logs sind Ereignisprotokolle. Sie zeigen, was in einem System passiert ist. Beispiele: Benutzeranmeldung API-Aufruf Fehler in Anwendung Firewall blockiert Verbindung Admin ändert Rolle Backup schlägt fehl Datenbank meldet Fehler Ressource wird gelöscht Merksatz: Logs zeigen Ereignisse und helfen bei Fehlersuche. --- **Monitoring und Logging unterscheiden** | Begriff | Frage | Beispiel | |---|---|---| | Monitoring | Wie geht es dem System gerade? | CPU 90 %, Dienst nicht erreichbar | | Logging | Was ist passiert? | Benutzer hat Firewall-Regel geändert | Merksatz: Monitoring zeigt Zustand. Logs zeigen Ereignisse. --- **Alarmierung** Alarmierung bedeutet: Bei bestimmten Ereignissen oder Grenzwerten wird automatisch gewarnt. Beispiele: CPU über 90 % Speicher fast voll Dienst nicht erreichbar Backup fehlgeschlagen viele fehlgeschlagene Logins Kostenlimit fast erreicht Zertifikat läuft bald ab ungewöhnlich viel Datenverkehr Merksatz: Alarmierung macht Probleme sichtbar, bevor sie übersehen werden. --- **Schwellwert** Ein Schwellwert ist ein Grenzwert, ab dem eine Aktion ausgelöst wird. Beispiel: Wenn CPU länger als 10 Minuten über 85 % liegt, Alarm auslösen. Oder: Wenn Monatskosten 80 % des Budgets erreichen, Warnung senden. Merksatz: Schwellwerte steuern, wann gewarnt oder reagiert wird. --- **Alert Fatigue** Alert Fatigue bedeutet: Es gibt so viele Alarme, dass wichtige Alarme übersehen werden. Ursachen: zu niedrige Schwellwerte zu viele unwichtige Alarme keine Priorisierung Alarme ohne Handlungsempfehlung wiederholte Fehlalarme Schutz: Alarme sinnvoll priorisieren nur relevante Alarme erstellen klare Zuständigkeiten festlegen Alarme regelmäßig überprüfen Merksatz: Zu viele schlechte Alarme sind selbst ein Problem. --- **Dashboard** Ein Dashboard zeigt wichtige Betriebswerte übersichtlich an. Beispiele: Verfügbarkeit Auslastung Fehlerquote Kosten offene Alarme Backupstatus Zertifikate Sicherheitsereignisse aktive Ressourcen Merksatz: Dashboard = Überblick über wichtige Zustände. --- **Cloud-Logging aktivieren** Viele Cloud-Dienste erzeugen Logs nur dann vollständig, wenn Logging aktiviert oder richtig konfiguriert ist. Wichtig: Audit-Logs aktivieren Netzwerklogs aktivieren Anwendungslogs aktivieren Firewall-Logs aktivieren Load-Balancer-Logs aktivieren Aufbewahrung festlegen Zugriff auf Logs schützen Merksatz: Nicht vorhandene Logs helfen im Fehlerfall nicht. --- **Audit-Logs** Audit-Logs dokumentieren administrative Aktionen. Beispiele: Benutzer erstellt Rolle geändert VM gelöscht Firewall geöffnet Speicher öffentlich gemacht API-Schlüssel erzeugt MFA deaktiviert Backup gelöscht Merksatz: Audit-Logs zeigen, wer was wann geändert hat. --- **Flow Logs** Flow Logs zeigen Netzwerkverbindungen als Metadaten. Typische Angaben: Quelle Ziel Port Protokoll Zeit Aktion Datenmenge Schnittstelle Wichtig: Flow Logs zeigen meist nicht den vollständigen Inhalt der Pakete. Merksatz: Flow Logs helfen bei Netzwerk- und Firewall-Analyse. --- **Log-Aufbewahrung** Logs sollten nicht beliebig kurz oder beliebig lange gespeichert werden. Zu klären: Wie lange werden Logs benötigt? Gibt es rechtliche Vorgaben? Enthalten Logs personenbezogene Daten? Wer darf Logs lesen? Wie werden Logs geschützt? Wann werden Logs gelöscht? Merksatz: Log-Aufbewahrung braucht Sicherheits- und Datenschutzkonzept. --- **Zentrales Logging** Bei mehreren Cloud-Diensten sollten Logs zentral gesammelt werden. Vorteile: bessere Übersicht einfachere Suche Korrelation von Ereignissen Sicherheitsanalyse Nachvollziehbarkeit Alarmierung weniger Insellösungen Merksatz: Zentrales Logging erleichtert Betrieb und Sicherheitsanalyse. --- **SIEM** SIEM steht für: Security Information and Event Management Ein SIEM sammelt Sicherheitslogs aus verschiedenen Quellen und wertet sie aus. Ziel: Angriffe erkennen verdächtige Muster finden Alarme erzeugen Ereignisse korrelieren Nachweise liefern Merksatz: SIEM hilft bei zentraler Sicherheitsüberwachung. --- **Cloud-Kostenkontrolle** Cloud-Kosten können schnell steigen, wenn Ressourcen unkontrolliert genutzt werden. Kosten entstehen zum Beispiel durch: laufende virtuelle Maschinen Speicher Datenbanken Backups Snapshots Netzwerkverkehr Load Balancer öffentliche IP-Adressen Logs Monitoring Lizenzen Support Datenübertragung zwischen Regionen Merksatz: Cloud-Kosten entstehen nicht nur durch Server. --- **Pay as you go** Pay as you go bedeutet: bezahlt wird nach Nutzung. Beispiele: pro Stunde pro Sekunde pro GB pro Anfrage pro Benutzer pro Datenübertragung pro Ausführung Vorteil: flexibel Risiko: Fehlkonfiguration oder Dauerbetrieb kann teuer werden. Merksatz: Pay as you go braucht Überwachung. --- **Budget** Ein Budget legt fest, wie viel Geld für Cloud-Ressourcen geplant ist. Beispiele: Monatsbudget für Projekt Budget für Testumgebung Budget für Abteilung Budget für gesamte Cloud-Plattform Wichtig: Budget allein stoppt nicht immer automatisch Kosten. Oft braucht man zusätzlich Alarme oder Sperren. Merksatz: Budget macht Kosten sichtbar und planbar. --- **Kostenalarm** Ein Kostenalarm warnt, wenn Kosten einen bestimmten Wert erreichen. Beispiele: 50 % des Monatsbudgets erreicht 80 % des Monatsbudgets erreicht ungewöhnlicher Kostenanstieg unerwarteter Dienst verursacht Kosten Merksatz: Kostenalarme verhindern nicht alles, aber sie machen Kosten früh sichtbar. --- **Kostenstelle** Eine Kostenstelle ordnet Kosten einem Bereich zu. Beispiele: Projekt Abteilung Kunde Umgebung Team Anwendung In der Cloud erfolgt diese Zuordnung oft über: Tags Labels Ressourcengruppen Abonnements Accounts Projekte Merksatz: Kosten müssen verursachergerecht zugeordnet werden. --- **Tagging** Tagging bedeutet: Ressourcen werden mit Metadaten markiert. Beispiele: Projekt = CRM Umgebung = Produktion Verantwortlicher = IT-Betrieb Kostenstelle = 4711 Ablaufdatum = 2026-12-31 Schutzbedarf = vertraulich Vorteile: Kosten zuordnen Ressourcen finden Verantwortliche erkennen Automatisierung ermöglichen Aufräumen erleichtern Merksatz: Tags machen Cloud-Ressourcen verwaltbar. --- **Untagged Resources** Untagged Resources sind Ressourcen ohne Tags. Problem: Verantwortlicher unklar Kostenstelle unklar Zweck unklar Aufräumen schwierig Sicherheitsbewertung schwieriger Lebenszyklus unklar Merksatz: Ressourcen ohne Tags sind im Betrieb schwer kontrollierbar. --- **Rightsizing** Rightsizing bedeutet: Ressourcen passend dimensionieren. Beispiel: Eine VM hat 16 vCPU und 64 GB RAM, nutzt aber dauerhaft nur 5 %. Dann ist sie wahrscheinlich zu groß. Maßnahmen: kleinere Instanz wählen Datenbankklasse anpassen Speicherklasse ändern ungenutzte Ressourcen löschen Lastverhalten prüfen Merksatz: Rightsizing senkt Kosten durch passende Größe. --- **Overprovisioning** Overprovisioning bedeutet: Ressourcen sind größer bereitgestellt, als tatsächlich benötigt. Beispiele: zu große VM zu teure Datenbankklasse zu viel reservierter Speicher zu viele laufende Instanzen unnötig hohe Performanceklasse Merksatz: Overprovisioning kostet unnötig Geld. --- **Underprovisioning** Underprovisioning bedeutet: Ressourcen sind zu klein dimensioniert. Folgen: langsame Anwendung Ausfälle hohe Antwortzeiten Datenbankengpässe Fehler bei Lastspitzen schlechte Benutzererfahrung Merksatz: Zu klein spart kurzfristig Geld, kann aber Betrieb stören. --- **Auto Scaling** Auto Scaling bedeutet: Ressourcen werden automatisch erhöht oder reduziert. Beispiel: Bei hoher Last werden zusätzliche Instanzen gestartet. Bei geringer Last werden Instanzen beendet. Vorteile: bessere Anpassung an Last weniger manuelle Eingriffe bessere Verfügbarkeit Kosten können optimiert werden Merksatz: Auto Scaling passt Ressourcen automatisch an Last an. --- **Horizontale Skalierung** Horizontale Skalierung bedeutet: Es werden mehr Instanzen hinzugefügt. Beispiel: statt 1 Webserver laufen 3 Webserver Vorteil: Last kann verteilt werden Ausfallsicherheit steigt gut mit Load Balancer kombinierbar Merksatz: Horizontal skalieren = mehr Systeme. --- **Vertikale Skalierung** Vertikale Skalierung bedeutet: Ein einzelnes System wird größer gemacht. Beispiel: VM bekommt mehr CPU VM bekommt mehr RAM Datenbank bekommt größere Leistungsklasse Vorteil: oft einfacher Nachteil: Grenze durch maximale Größe eventuell Neustart nötig einzelnes System bleibt kritischer Merksatz: Vertikal skalieren = stärkeres System. --- **Horizontale und vertikale Skalierung vergleichen** | Skalierungsart | Bedeutung | Beispiel | |---|---|---| | horizontal | mehr Instanzen | drei Webserver statt einer | | vertikal | größere Instanz | mehr CPU und RAM für eine VM | Merksatz: Horizontal = mehr. Vertikal = stärker. --- **Scale Out und Scale Up** Scale Out bedeutet: horizontal skalieren Scale Up bedeutet: vertikal skalieren Beispiele: Scale Out: mehr App-Instanzen starten Scale Up: größere Datenbankklasse wählen Merksatz: Scale Out = mehr Instanzen. Scale Up = größere Instanz. --- **Scale In und Scale Down** Scale In bedeutet: Instanzen reduzieren Scale Down bedeutet: einzelne Instanz verkleinern Beispiele: Scale In: von 5 Webservern auf 2 Webserver reduzieren Scale Down: VM von großer auf kleinere Größe ändern Merksatz: Scale In reduziert Anzahl. Scale Down reduziert Größe. --- **Skalierungsregel** Eine Skalierungsregel legt fest, wann skaliert wird. Beispiele: Wenn CPU länger als 10 Minuten über 70 %, dann eine Instanz hinzufügen. Wenn Warteschlange mehr als 100 Nachrichten hat, dann Worker erhöhen. Wenn CPU länger niedrig, dann Instanz entfernen. Merksatz: Skalierung braucht sinnvolle Regeln. --- **Skalierung ist nicht nur CPU** Skalierung kann abhängig sein von: CPU RAM Anzahl Anfragen Antwortzeit Warteschlangenlänge Datenbankverbindungen Netzwerkdurchsatz Fehlerrate Benutzerzahl Zeitplan Merksatz: CPU ist nur eine mögliche Skalierungsmetrik. --- **Load Balancer und Skalierung** Bei horizontaler Skalierung verteilt ein Load Balancer den Verkehr. Ablauf: neue Instanz startet Health Check prüft Instanz Load Balancer nimmt Instanz auf Verkehr wird verteilt Wenn Instanz ungesund ist, wird sie nicht genutzt. Merksatz: Auto Scaling und Load Balancer arbeiten oft zusammen. --- **Health Check im Betrieb** Ein Health Check prüft, ob ein Dienst gesund ist. Beispiele: HTTP 200 auf /health TCP-Port erreichbar Datenbankverbindung möglich Anwendung meldet Status „ok“ Merksatz: Health Check sollte echte Dienstfähigkeit prüfen, nicht nur offenen Port. --- **Hochverfügbarkeit** Hochverfügbarkeit bedeutet: Ein Dienst bleibt möglichst verfügbar, auch wenn einzelne Komponenten ausfallen. Mittel: mehrere Instanzen mehrere Zonen Load Balancer Replikation automatischer Neustart Monitoring Backup Notfallplan Merksatz: Hochverfügbarkeit muss geplant und getestet werden. --- **Verfügbarkeitszone** Eine Verfügbarkeitszone ist ein getrenntes Rechenzentrumssegment innerhalb einer Region. Vorteil: Fällt eine Zone aus, können andere Zonen weiterarbeiten. Cloud-Dienste sollten für hohe Verfügbarkeit oft über mehrere Zonen verteilt werden. Merksatz: Mehrere Zonen erhöhen Ausfallsicherheit innerhalb einer Region. --- **Region** Eine Region ist ein geografischer Standort eines Cloud-Anbieters. Regionen beeinflussen: Latenz Datenstandort Verfügbarkeit Kosten Datenschutz Compliance Merksatz: Region bewusst nach Technik, Recht und Kosten auswählen. --- **Disaster Recovery** Disaster Recovery bedeutet: Wiederherstellung nach schwerem Ausfall. Beispiele: Region fällt aus Datenbank beschädigt Ransomware-Angriff Fehlkonfiguration löscht Ressourcen kritischer Dienst fällt aus Dazu braucht man: Backups Wiederherstellungsplan Ersatzumgebung Dokumentation Tests klare Zuständigkeiten Merksatz: Disaster Recovery muss vor dem Notfall geplant werden. --- **RTO im Cloud-Betrieb** RTO steht für: Recovery Time Objective Es beschreibt, wie lange ein Dienst maximal ausfallen darf. Beispiel: RTO = 2 Stunden Dann soll der Dienst innerhalb von 2 Stunden wieder verfügbar sein. Merksatz: RTO beschreibt erlaubte Wiederherstellungszeit. --- **RPO im Cloud-Betrieb** RPO steht für: Recovery Point Objective Es beschreibt, wie viel Datenverlust maximal akzeptiert wird. Beispiel: RPO = 15 Minuten Dann dürfen höchstens Daten der letzten 15 Minuten verloren gehen. Merksatz: RPO beschreibt erlaubten Datenverlust. --- **RTO und RPO im Betrieb vergleichen** | Begriff | Frage | |---|---| | RTO | Wie lange darf der Dienst ausfallen? | | RPO | Wie viele Daten dürfen verloren gehen? | Merksatz: RTO = Zeit bis Wiederherstellung. RPO = Datenverlust bis Wiederherstellungspunkt. --- **Patchmanagement in der Cloud** Auch Cloud-Systeme brauchen Updates. Wer verantwortlich ist, hängt vom Service-Modell ab. IaaS: Kunde patcht Betriebssystem und Anwendung. PaaS: Anbieter patcht Plattform, Kunde patcht Anwendung und Abhängigkeiten. SaaS: Anbieter patcht Anwendung, Kunde prüft Einstellungen, Benutzer und Sicherheit. Merksatz: Patchverantwortung hängt vom Cloud-Modell ab. --- **Wartungsfenster** Ein Wartungsfenster ist ein geplanter Zeitraum für Änderungen oder Updates. Ziel: Änderungen kontrolliert durchführen Benutzer informieren Ausfallzeit planen Rollback vorbereiten Risiken reduzieren Merksatz: Wartungsfenster schaffen planbare Änderungen. --- **Change Management** Change Management bedeutet: Änderungen werden geplant, geprüft, freigegeben, umgesetzt und dokumentiert. Cloud-Beispiele: neue Firewall-Regel größere Datenbankklasse neue Region neue Rolle neue Backup-Regel neue Skalierungsregel neues Deployment Merksatz: Cloud-Änderungen brauchen Kontrolle und Dokumentation. --- **Rollback** Rollback bedeutet: Eine Änderung wird zurückgenommen. Beispiele: vorherige Anwendungsversion wiederherstellen alte Konfiguration laden Snapshot zurücksetzen Firewall-Regel zurücknehmen Deployment rückgängig machen Merksatz: Jede kritische Änderung braucht einen Rückweg. --- **Automatisierung im Cloud-Betrieb** Cloud-Betrieb wird häufig automatisiert. Beispiele: Ressourcen automatisch bereitstellen Backups automatisch erstellen Skalierung automatisch durchführen Alarme automatisch auslösen Tests automatisch starten Deployments automatisch ausrollen ungenutzte Ressourcen automatisch stoppen Merksatz: Automatisierung reduziert manuelle Fehler, braucht aber gute Regeln. --- **Infrastructure as Code** Infrastructure as Code wird oft abgekürzt: IaC Dabei wird Infrastruktur nicht manuell im Portal zusammengeklickt, sondern als Code beschrieben. Beispiele: Netzwerke Subnetze Firewall-Regeln virtuelle Maschinen Datenbanken Rollen Speicher Load Balancer Vorteile: wiederholbar dokumentiert versionierbar prüfbar automatisierbar Merksatz: IaC beschreibt Infrastruktur als Code. --- **Configuration Drift** Configuration Drift bedeutet: Die tatsächliche Konfiguration weicht von der geplanten Konfiguration ab. Ursachen: manuelle Änderungen Notfalländerungen unterschiedliche Umgebungen unvollständige Dokumentation fehlende Automatisierung Problem: Fehlersuche wird schwieriger. Sicherheit kann unbemerkt schlechter werden. Merksatz: Configuration Drift entsteht durch ungeplante Abweichungen. --- **CI/CD im Cloud-Betrieb** CI/CD steht für: Continuous Integration Continuous Delivery oder Continuous Deployment Ziel: Änderungen werden automatisiert gebaut, getestet und bereitgestellt. Cloud-Bezug: Anwendungen werden schneller und kontrollierter ausgeliefert. Rollbacks können einfacher werden. Tests werden automatisiert. Infrastruktur kann mitbereitgestellt werden. Merksatz: CI/CD automatisiert Entwicklung, Test und Bereitstellung. --- **Blue-Green Deployment** Blue-Green Deployment bedeutet: Es gibt zwei Umgebungen. Blue: aktuelle produktive Version Green: neue Version Nach erfolgreichem Test wird der Verkehr auf die neue Umgebung umgeschaltet. Vorteil: schneller Rollback möglich Merksatz: Blue-Green reduziert Risiko bei neuen Versionen. --- **Canary Deployment** Canary Deployment bedeutet: Eine neue Version wird zuerst nur für einen kleinen Teil der Benutzer freigegeben. Wenn keine Probleme auftreten, wird der Anteil erhöht. Vorteil: Fehler betreffen zunächst nur wenige Benutzer. Merksatz: Canary testet neue Versionen schrittweise im Echtbetrieb. --- **Cloud-Betriebsdokumentation** Dokumentiert werden sollten: Zweck der Ressource Verantwortlicher Kostenstelle Umgebung Datenklasse Netzverbindungen Backup-Regeln Monitoring Alarme Wiederherstellungsplan Sicherheitsregeln Änderungen Abhängigkeiten Merksatz: Was nicht dokumentiert ist, ist im Betrieb schwer beherrschbar. --- **Runbook** Ein Runbook ist eine Schritt-für-Schritt-Anleitung für wiederkehrende Betriebsaufgaben. Beispiele: Dienst neu starten Backup wiederherstellen Zertifikat erneuern Alarm bearbeiten Instanz skalieren Failover auslösen Benutzerzugriff prüfen Merksatz: Runbooks helfen, im Betrieb einheitlich zu handeln. --- **Incident Response** Incident Response bedeutet: Vorgehen bei Sicherheitsvorfällen oder größeren Störungen. Schritte: erkennen bewerten eindämmen beseitigen wiederherstellen dokumentieren verbessern Cloud-Beispiele: kompromittierter API-Schlüssel öffentlich freigegebener Speicher ungewöhnliche Kosten Adminzugang missbraucht Datenabfluss Ransomware Merksatz: Incident Response muss vorbereitet sein, bevor ein Vorfall passiert. --- **Service Level Agreement** Service Level Agreement wird abgekürzt: SLA Ein SLA beschreibt zugesicherte Servicequalität. Beispiele: Verfügbarkeit Reaktionszeit Supportzeit Wiederherstellungszeit Leistungswerte Merksatz: SLA beschreibt, welche Leistung zugesichert wird. --- **SLO** SLO steht für: Service Level Objective Ein SLO ist ein internes oder technisches Ziel für einen Dienst. Beispiel: 99,9 % erfolgreiche Anfragen pro Monat Antwortzeit unter 300 ms für 95 % der Anfragen Merksatz: SLO beschreibt ein Ziel für Servicequalität. --- **SLI** SLI steht für: Service Level Indicator Ein SLI ist ein Messwert, mit dem ein SLO bewertet wird. Beispiele: Verfügbarkeit Fehlerrate Antwortzeit Durchsatz Latenz Merksatz: SLI ist der Messwert, SLO ist das Ziel. --- **SLA, SLO und SLI vergleichen** | Begriff | Bedeutung | |---|---| | SLA | vertragliche Zusage | | SLO | Zielwert für Dienstqualität | | SLI | Messwert zur Bewertung | Merksatz: SLI misst. SLO setzt Ziel. SLA ist Zusage. --- **Cloud-Fehlersuche im Betrieb** Bei Cloud-Störungen systematisch prüfen: Was ist betroffen? Seit wann? Wurde etwas geändert? Welche Region? Welche Zone? Welche Ressource? Welche Logs? Welche Metriken? Welche Abhängigkeiten? Welche Kostenänderung? Welche Alarme? Welche Benutzer betroffen? Merksatz: Störungen immer mit Zeit, Änderung Metriken Logs und Abhängigkeiten prüfen. --- **Typische Betriebsprobleme in der Cloud** Häufige Probleme: Dienst nicht erreichbar Zertifikat abgelaufen Speicher voll Datenbank überlastet Kosten steigen plötzlich Backup fehlgeschlagen Load Balancer hat keine gesunden Ziele Security Group falsch geändert API-Schlüssel kompromittiert Rechte zu breit vergeben Region oder Zone gestört Skalierung greift nicht Merksatz: Cloud-Betrieb betrifft Verfügbarkeit, Sicherheit Leistung und Kosten. --- **Checkliste: Cloud-Betrieb** Monitoring aktivieren. Logs aktivieren. Alarme einrichten. Kostenalarme setzen. Tags pflegen. Verantwortliche dokumentieren. Backups prüfen. Restore-Tests durchführen. Rechte regelmäßig prüfen. Ressourcen richtig dimensionieren. ungenutzte Ressourcen löschen. Patchverantwortung klären. Runbooks erstellen. Änderungen dokumentieren. Incident Response vorbereiten. Merksatz: Cloud-Betrieb braucht regelmäßige Kontrolle. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Warum braucht Cloud Monitoring? - Was ist der Unterschied zwischen Monitoring und Logging? - Was ist ein Kostenalarm? - Warum ist Tagging sinnvoll? - Was bedeutet Rightsizing? - Was ist Overprovisioning? - Was ist Auto Scaling? - Was ist horizontale Skalierung? - Was ist vertikale Skalierung? - Was ist ein Health Check? - Was ist der Unterschied zwischen RTO und RPO? - Was ist Infrastructure as Code? - Was bedeutet Configuration Drift? - Was ist ein Runbook? - Was bedeutet Incident Response? - Was ist der Unterschied zwischen SLA, SLO und SLI? - Warum ist Cloud nicht automatisch wartungsfrei? --- **Typische Prüfungsfallen** Cloud ist nicht wartungsfrei. Monitoring zeigt Zustand. Logs zeigen Ereignisse. Ohne Logs keine gute Fehlersuche. Zu viele Alarme können schaden. Kosten entstehen auch durch Speicher, Traffic, Logs und Snapshots. Pay as you go braucht Kontrolle. Tags helfen bei Kosten und Verantwortung. Untagged Resources sind problematisch. Rightsizing spart Kosten. Overprovisioning kostet unnötig Geld. Underprovisioning stört Betrieb. Auto Scaling braucht sinnvolle Regeln. Horizontal bedeutet mehr Instanzen. Vertikal bedeutet größere Instanz. Hochverfügbarkeit muss geplant werden. Cloud ist nicht automatisch hochverfügbar. RTO betrifft Wiederherstellungszeit. RPO betrifft Datenverlust. Patchverantwortung hängt vom Service-Modell ab. Change Management gilt auch in der Cloud. Rollback vor Änderung planen. IaC macht Infrastruktur wiederholbar. Configuration Drift vermeiden. Runbooks helfen im Betrieb. SLA, SLO und SLI nicht verwechseln. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Cloud-Betrieb | laufende Verwaltung von Cloud-Diensten | | Monitoring | Überwachung von Zuständen | | Metrik | messbarer Wert | | Logging | Protokollierung von Ereignissen | | Audit-Log | Protokoll administrativer Aktionen | | Flow Log | Netzwerkverbindungsdaten | | Alarmierung | automatische Warnung | | Schwellwert | Grenzwert für Alarm oder Aktion | | Alert Fatigue | Überforderung durch zu viele Alarme | | Dashboard | Übersicht wichtiger Werte | | SIEM | zentrale Sicherheitslog-Auswertung | | Kostenkontrolle | Überwachung und Steuerung von Kosten | | Pay as you go | Abrechnung nach Nutzung | | Budget | geplanter Kostenrahmen | | Kostenalarm | Warnung bei Kostenüberschreitung | | Kostenstelle | Zuordnung von Kosten | | Tagging | Metadaten an Ressourcen | | Rightsizing | passende Ressourcengröße | | Overprovisioning | zu große Ressourcen | | Underprovisioning | zu kleine Ressourcen | | Auto Scaling | automatische Anpassung von Ressourcen | | horizontale Skalierung | mehr Instanzen | | vertikale Skalierung | größere Instanz | | Scale Out | horizontal erweitern | | Scale Up | vertikal vergrößern | | Health Check | Prüfung der Dienstgesundheit | | Hochverfügbarkeit | hohe Verfügbarkeit trotz Fehler | | Disaster Recovery | Wiederherstellung nach schwerem Ausfall | | RTO | maximale Wiederherstellungszeit | | RPO | maximaler Datenverlust | | Patchmanagement | Verwaltung von Updates | | Change Management | kontrollierte Änderungen | | Rollback | Änderung zurücknehmen | | IaC | Infrastructure as Code | | Configuration Drift | Abweichung von Soll-Konfiguration | | CI/CD | automatisierte Bereitstellung | | Runbook | Betriebsanleitung | | Incident Response | Reaktion auf Vorfälle | | SLA | vertragliche Servicezusage | | SLO | Zielwert für Servicequalität | | SLI | Messwert für Servicequalität | --- **IHK-sichere Kurzformulierung** Cloud-Betrieb umfasst die laufende Überwachung, Protokollierung, Alarmierung, Kostenkontrolle, Skalierung, Wartung, Sicherheitsprüfung und Dokumentation von Cloud-Diensten. Monitoring zeigt den aktuellen Zustand eines Systems, während Logging Ereignisse und Änderungen nachvollziehbar macht. Kostenkontrolle ist wichtig, weil Cloud-Ressourcen nach Nutzung abgerechnet werden und auch Speicher, Netzwerkverkehr, Backups, Logs, Snapshots und Lizenzen Kosten verursachen können. Auto Scaling passt Ressourcen automatisch an Last an. Horizontale Skalierung bedeutet mehr Instanzen, vertikale Skalierung bedeutet größere Instanzen. Für Ausfallsicherheit sind Hochverfügbarkeit, Backups, RTO, RPO, Runbooks, Change Management und Incident Response wichtig. --- **Merksätze** Cloud ist nicht wartungsfrei. Cloud-Betrieb braucht Monitoring. Monitoring zeigt Zustand. Logs zeigen Ereignisse. Audit-Logs zeigen Adminaktionen. Flow Logs zeigen Netzwerkverbindungen. Alarmierung macht Probleme sichtbar. Zu viele Alarme können wichtige Alarme verdecken. Dashboard gibt Überblick. SIEM wertet Sicherheitslogs zentral aus. Cloud-Kosten aktiv überwachen. Pay as you go braucht Kontrolle. Kosten entstehen auch durch Traffic, Speicher, Logs und Snapshots. Budget planen. Kostenalarme setzen. Tags pflegen. Untagged Resources vermeiden. Rightsizing spart Kosten. Overprovisioning kostet unnötig. Underprovisioning gefährdet Betrieb. Auto Scaling passt Ressourcen an. Horizontal = mehr Instanzen. Vertikal = stärkere Instanz. Scale Out = mehr. Scale Up = größer. Load Balancer verteilt Last. Health Check prüft Dienstgesundheit. Hochverfügbarkeit planen. Cloud ist nicht automatisch hochverfügbar. Region und Zone bewusst wählen. Disaster Recovery vorher planen. RTO = Wiederherstellungszeit. RPO = Datenverlust. Patchverantwortung hängt vom Service-Modell ab. Änderungen dokumentieren. Rollback vor Änderung planen. IaC beschreibt Infrastruktur als Code. Configuration Drift vermeiden. CI/CD automatisiert Bereitstellung. Runbooks helfen im Betrieb. Incident Response vorbereiten. SLI misst. SLO setzt Ziel. SLA ist Zusage. # 15.8 Merksätze und Prüfungswissen zu Cloud und modernen Bereitstellungsmodellen Diese Seite fasst die wichtigsten Inhalte zu Cloud, Bereitstellungsmodellen, Service-Modellen, Cloud-Netzwerken, Cloud-Sicherheit, Cloud-Speicher, Backup, Monitoring, Skalierung und Kostenkontrolle zusammen. Cloud ist prüfungsrelevant, weil sie viele Themen verbindet: - Netzwerktechnik - Serverbetrieb - Virtualisierung - Sicherheit - Datenschutz - Backup - Kosten - Rechteverwaltung - Hochverfügbarkeit - Monitoring Merksatz: Cloud ist kein einzelnes Produkt, sondern ein Betriebs- und Bereitstellungsmodell für IT-Ressourcen. --- **Cloud-Grundidee** Cloud bedeutet: IT-Ressourcen werden über ein Netzwerk als Dienst bereitgestellt. Beispiele: virtuelle Server Speicher Datenbanken Anwendungen Plattformen Container Backup Identitätsdienste Netzwerkdienste Sicherheitsdienste Merksatz: Cloud = IT-Ressourcen als Dienst. --- **Cloud ist nicht automatisch weniger Verantwortung** Ein häufiger Denkfehler: Alles liegt in der Cloud, also kümmert sich der Anbieter um alles. Das ist falsch. Der Anbieter übernimmt je nach Modell bestimmte Aufgaben. Der Kunde bleibt verantwortlich für: Benutzer Rollen Berechtigungen Daten sichere Konfiguration Datenschutz Zugriffsschutz Backup-Konzept Kostenkontrolle Monitoring Compliance Merksatz: Cloud verlagert Verantwortung, sie beseitigt Verantwortung nicht. --- **On-Premises** On-Premises bedeutet: IT wird lokal selbst betrieben. Beispiele: eigener Serverraum eigenes Rechenzentrum eigene Hardware eigene Virtualisierung eigene Netzwerkinfrastruktur Vorteile: hohe Kontrolle direkte Verwaltung eigene Vorgaben Nachteile: Hardwarekosten Wartungsaufwand eigene Verantwortung für Ausfallsicherheit Merksatz: On-Premises = lokal selbst betrieben. --- **Public Cloud** Public Cloud bedeutet: Ein Anbieter stellt Cloud-Ressourcen für viele Kunden bereit. Eigenschaften: Anbieterplattform viele Kunden logische Mandantentrennung nutzungsabhängige Abrechnung schnelle Bereitstellung hohe Skalierbarkeit Merksatz: Public Cloud = öffentliche Anbieterplattform für viele Kunden. --- **Private Cloud** Private Cloud bedeutet: Cloud-Prinzipien werden für eine einzelne Organisation bereitgestellt. Sie kann laufen: im eigenen Rechenzentrum bei einem Dienstleister in einer dedizierten Umgebung Wichtig: Virtualisierung allein ist noch keine vollständige Private Cloud. Typische Cloud-Merkmale sind: Self-Service Automatisierung Ressourcenpooling schnelle Bereitstellung messbare Nutzung zentrale Verwaltung Merksatz: Private Cloud = Cloud für eine Organisation. --- **Hybrid Cloud** Hybrid Cloud kombiniert lokale oder private IT mit Public Cloud. Beispiele: lokale Datenbank plus Cloud-Webanwendung lokales Rechenzentrum plus Cloud-Backup lokale Benutzerverwaltung plus Cloud-SaaS lokale Systeme plus Cloud-Skalierung Merksatz: Hybrid Cloud = lokal oder privat plus Public Cloud. --- **Multi Cloud** Multi Cloud bedeutet: Ein Unternehmen nutzt mehrere Cloud-Anbieter gleichzeitig. Beispiel: Anbieter A für virtuelle Maschinen Anbieter B für Office und E-Mail Anbieter C für Backup Anbieter D für Datenanalyse Merksatz: Multi Cloud = mehrere Cloud-Anbieter parallel. --- **Hybrid Cloud und Multi Cloud unterscheiden** | Begriff | Kerngedanke | |---|---| | Hybrid Cloud | lokale/private IT plus Public Cloud | | Multi Cloud | mehrere Cloud-Anbieter | | Hybrid und Multi Cloud kombiniert | lokale IT plus mehrere Cloud-Anbieter | Merksatz: Hybrid beschreibt die Verbindung lokal plus Cloud. Multi Cloud beschreibt mehrere Anbieter. --- **Community Cloud** Community Cloud bedeutet: Eine Cloud wird von mehreren Organisationen mit ähnlichen Anforderungen genutzt. Beispiele: Behörden Bildung Forschung Gesundheitswesen bestimmte Branchen Merksatz: Community Cloud = Cloud für eine bestimmte Gemeinschaft. --- **Bereitstellungsmodelle im Überblick** | Modell | Kurze Erklärung | |---|---| | On-Premises | lokal selbst betrieben | | Public Cloud | Anbieterplattform für viele Kunden | | Private Cloud | Cloud für eine Organisation | | Hybrid Cloud | lokale/private IT plus Public Cloud | | Multi Cloud | mehrere Cloud-Anbieter | | Community Cloud | Cloud für Organisationen mit gemeinsamen Anforderungen | Merksatz: Bereitstellungsmodell beschreibt, wo und für wen Cloud betrieben wird. --- **Service-Modelle** Die wichtigsten Cloud-Service-Modelle sind: - IaaS - PaaS - SaaS Sie beschreiben, welche IT-Schichten der Anbieter bereitstellt und welche der Kunde selbst verwaltet. Merksatz: Service-Modell beschreibt, was als Dienst bereitgestellt wird. --- **IaaS** IaaS steht für: Infrastructure as a Service Der Anbieter stellt virtuelle Infrastruktur bereit. Beispiele: virtuelle Maschinen virtuelle Netzwerke virtuelle Festplatten Load Balancer Firewalls IP-Adressen Storage Der Kunde verwaltet typischerweise: Betriebssystem Anwendungen Daten Patches innerhalb der VM Benutzer Sicherheitskonfiguration Merksatz: IaaS = virtuelle Infrastruktur statt eigener Hardware. --- **PaaS** PaaS steht für: Platform as a Service Der Anbieter stellt eine Plattform bereit, auf der Anwendungen laufen können. Beispiele: Web-App-Plattform verwaltete Datenbank Laufzeitumgebung Containerplattform API-Plattform Entwicklungsplattform Der Kunde verwaltet typischerweise: Anwendung Daten Konfiguration Benutzer Berechtigungen Merksatz: PaaS = Plattform für eigene Anwendungen. --- **SaaS** SaaS steht für: Software as a Service Der Kunde nutzt eine fertige Anwendung. Beispiele: E-Mail Online-Office CRM Ticketsystem Cloud-Speicher Videokonferenzdienst Projektmanagement Der Kunde verwaltet typischerweise: Benutzer Rollen Berechtigungen Daten Freigaben Einstellungen MFA Merksatz: SaaS = fertige Software aus der Cloud. --- **IaaS, PaaS und SaaS vergleichen** | Modell | Anbieter stellt bereit | Kunde verwaltet vor allem | |---|---|---| | IaaS | virtuelle Infrastruktur | Betriebssystem, Anwendung, Daten | | PaaS | Plattform und Laufzeitumgebung | Anwendung, Daten, Konfiguration | | SaaS | fertige Anwendung | Benutzer, Rechte, Daten, Einstellungen | Merksatz: IaaS gibt viel Kontrolle. SaaS nimmt viel Betrieb ab. PaaS liegt dazwischen. --- **Shared Responsibility Model** Shared Responsibility Model bedeutet: Anbieter und Kunde teilen sich die Verantwortung. Je nach Service-Modell verschiebt sich diese Verantwortung. Bei IaaS: Kunde hat viel technische Verantwortung. Bei PaaS: Anbieter übernimmt Plattform, Kunde bleibt für Anwendung und Daten verantwortlich. Bei SaaS: Anbieter betreibt Anwendung, Kunde bleibt für Nutzung, Benutzer, Rechte und Daten verantwortlich. Merksatz: Cloud-Sicherheit ist gemeinsame Verantwortung. --- **Wichtigste Regel zur Verantwortung** Daten, Benutzer und Rechte bleiben fast immer Kundenthema. Auch bei SaaS muss der Kunde prüfen: Wer darf zugreifen? Welche Rollen gibt es? Ist MFA aktiv? Welche Daten liegen im Dienst? Welche Freigaben existieren? Wie werden Benutzer deaktiviert? Wie werden Daten gesichert oder exportiert? Merksatz: Je fertiger der Dienst, desto weniger Technikbetrieb, aber Daten und Zugriffe bleiben wichtig. --- **Virtualisierung** Virtualisierung bedeutet: physische Ressourcen werden in virtuelle Ressourcen aufgeteilt. Beispiele: virtuelle Maschinen virtuelle Netzwerke virtuelle Festplatten virtuelle Firewalls virtuelle Load Balancer Merksatz: Virtualisierung ist eine technische Grundlage vieler Cloud-Dienste. --- **Container** Container verpacken Anwendungen mit ihren Abhängigkeiten. Sie enthalten typischerweise: Anwendung Bibliotheken Laufzeitumgebung Konfiguration Sie teilen sich den Kernel des Hosts. Merksatz: Container sind leichtgewichtige, portable Anwendungseinheiten. --- **Kubernetes** Kubernetes ist eine Plattform zur Container-Orchestrierung. Es verwaltet: Container Pods Services Deployments Skalierung Rollouts Netzwerke Konfigurationen Merksatz: Kubernetes orchestriert Container in Clustern. --- **Serverless** Serverless bedeutet nicht, dass keine Server existieren. Es bedeutet: Der Kunde verwaltet keine einzelnen Server. Der Anbieter betreibt die Infrastruktur. Der Kunde stellt Code, Funktionen oder Konfiguration bereit. Merksatz: Serverless = keine Serververwaltung durch den Kunden. --- **FaaS** FaaS steht für: Function as a Service Dabei werden einzelne Funktionen ereignisgesteuert ausgeführt. Beispiele: Datei hochgeladen API-Aufruf Zeitplan Nachricht in Warteschlange Merksatz: FaaS führt Funktionen bei Ereignissen aus. --- **Cloud-Netzwerke** Cloud-Netzwerke bestehen aus virtuellen Netzwerkkomponenten. Typische Bestandteile: VPC VNet Subnetze Routingtabellen Security Groups Network ACLs NSGs Internet Gateway NAT-Gateway VPN-Gateway Load Balancer DNS Peering Merksatz: Cloud-Netzwerke sind virtuell, brauchen aber echte Netzplanung. --- **VPC und VNet** VPC steht für: Virtual Private Cloud VNet steht für: Virtual Network Beide beschreiben ein logisch getrenntes Cloud-Netzwerk. Darin werden festgelegt: IP-Bereich Subnetze Routen Sicherheitsregeln Gateways Ressourcen Merksatz: VPC oder VNet = eigenes virtuelles Cloud-Netz. --- **Public Subnet und Private Subnet** | Subnetztyp | Zweck | |---|---| | Public Subnet | öffentlich erreichbare Komponenten | | Private Subnet | interne Komponenten ohne direkten Internetzugriff | Beispiele: Public Subnet: Load Balancer, Bastion Host, Reverse Proxy Private Subnet: Datenbank, Backend, interne API, Verarbeitungssystem Merksatz: Öffentlich nur, was wirklich öffentlich sein muss. --- **Internet Gateway und NAT-Gateway** Internet Gateway: verbindet Cloud-Netz mit dem Internet NAT-Gateway: erlaubt privaten Ressourcen ausgehenden Internetzugriff, ohne direkt eingehend erreichbar zu sein Merksatz: Internet Gateway verbindet öffentlich. NAT-Gateway erlaubt ausgehend für private Ressourcen. --- **Security Group** Eine Security Group ist eine virtuelle Firewall-Regelgruppe. Sie steuert: eingehenden Verkehr ausgehenden Verkehr Ports Protokolle Quellen Ziele Merksatz: Security Group = Firewall-Regeln an Cloud-Ressourcen. --- **Network ACL und NSG** Network ACL: Zugriffsliste auf Netzwerk- oder Subnetzebene NSG: Network Security Group, Regelgruppe für Netzwerkzugriffe Wichtig: Je nach Plattform können Regeln stateful oder stateless sein. Merksatz: Security Groups, ACLs und NSGs können alle Zugriff beeinflussen. --- **Stateful und Stateless** Stateful bedeutet: Rückverkehr zu erlaubten Verbindungen wird automatisch zugeordnet. Stateless bedeutet: Rückverkehr muss separat erlaubt werden. Merksatz: Stateful merkt sich Verbindungen. Stateless prüft jedes Paket einzeln. --- **Load Balancer** Ein Load Balancer verteilt Anfragen auf mehrere Ziele. Vorteile: Lastverteilung höhere Verfügbarkeit Skalierung Wartung einzelner Backends Health Checks Merksatz: Load Balancer verteilt Verkehr auf gesunde Ziele. --- **Health Check** Ein Health Check prüft, ob ein Backend gesund ist. Beispiele: TCP-Port erreichbar HTTP-Status 200 Anwendung meldet gesund Antwortzeit akzeptabel Merksatz: Health Check entscheidet, ob ein Backend Verkehr erhält. --- **Peering** Peering verbindet zwei Cloud-Netze privat miteinander. Wichtig: IP-Netze dürfen sich nicht überschneiden. Routen müssen passen. Sicherheitsregeln müssen passen. Peering ist nicht automatisch transitiv. Merksatz: Peering verbindet Netze, leitet aber nicht automatisch zu dritten Netzen weiter. --- **Cloud-VPN** Cloud-VPN verbindet Cloud-Netze mit anderen Netzen. Beispiele: Cloud ↔ lokales Rechenzentrum Cloud ↔ Niederlassung Cloud ↔ andere Cloud Wichtig: IP-Planung Routing Firewall-Regeln Verschlüsselung Monitoring Rückrouten Merksatz: Cloud-VPN braucht Regeln und Routen auf beiden Seiten. --- **Cloud-Speicherarten** Die wichtigsten Cloud-Speicherarten sind: - Objektspeicher - Blockspeicher - Dateispeicher - Archivspeicher Merksatz: Speicherart nach Einsatzzweck auswählen. --- **Objektspeicher** Objektspeicher speichert Daten als Objekte. Ein Objekt enthält: Inhalt Metadaten eindeutigen Schlüssel Typische Nutzung: Backups Bilder Videos Logs Archive Dokumente große unstrukturierte Datenmengen Merksatz: Objektspeicher eignet sich für viele unstrukturierte Daten. --- **Bucket** Ein Bucket ist ein Speicherbehälter für Objekte. Wichtig: Bucket-Berechtigungen sind sicherheitskritisch. Fehler: Bucket öffentlich lesbar Folge: vertrauliche Daten können offenliegen. Merksatz: Öffentliche Buckets vermeiden. --- **Blockspeicher** Blockspeicher verhält sich wie eine virtuelle Festplatte. Typische Nutzung: virtuelle Maschinen Betriebssystemplatten Datenbanken Anwendungen mit Dateisystem Merksatz: Blockspeicher = virtuelle Festplatte. --- **Dateispeicher** Dateispeicher stellt klassische Datei- und Ordnerfreigaben bereit. Typische Protokolle: SMB NFS Typische Nutzung: gemeinsame Dateien Benutzerdateien klassische Anwendungen zentrale Ablagen Merksatz: Dateispeicher = Freigabe mit Dateien und Ordnern. --- **Backup in der Cloud** Cloud ersetzt kein Backup. Auch Cloud-Daten können verloren gehen durch: Benutzerfehler Ransomware Fehlkonfiguration falsche Synchronisation gelöschte Benutzer kompromittierte Adminzugänge Anbieterproblem fehlerhafte Anwendung Merksatz: Cloud ist kein Backup. --- **RPO und RTO** RPO steht für: Recovery Point Objective Frage: Wie viel Datenverlust ist maximal erlaubt? RTO steht für: Recovery Time Objective Frage: Wie lange darf Wiederherstellung dauern? Merksatz: RPO = Datenverlust. RTO = Wiederherstellungszeit. --- **Backup und Replikation** Backup: dient der Wiederherstellung alter oder gesicherter Zustände Replikation: kopiert Daten auf ein anderes System oder in eine andere Region Wichtig: Replikation ist kein vollständiger Backup-Ersatz, weil Fehler und Löschungen mitkopiert werden können. Merksatz: Backup schützt Wiederherstellung. Replikation schützt eher Verfügbarkeit. --- **3-2-1-Regel** Die 3-2-1-Regel bedeutet: 3 Kopien der Daten 2 unterschiedliche Speichermedien oder Speicherarten 1 Kopie außer Haus oder getrennt vom Hauptsystem Merksatz: Mehrere getrennte Kopien schützen besser. --- **Immutable Backup** Immutable bedeutet: unveränderlich Ein Immutable Backup kann für eine festgelegte Zeit nicht verändert oder gelöscht werden. Vorteile: Schutz vor Ransomware Schutz vor versehentlicher Löschung Schutz vor kompromittierten Konten Merksatz: Immutable Backup schützt vor Manipulation und Löschung. --- **IAM** IAM steht für: Identity and Access Management IAM regelt: Benutzer Gruppen Rollen Berechtigungen Richtlinien Servicekonten API-Schlüssel MFA Merksatz: IAM entscheidet, wer was in der Cloud darf. --- **Authentifizierung und Autorisierung** Authentifizierung: Wer bist du? Autorisierung: Was darfst du? Beispiel: Benutzer meldet sich an: Authentifizierung Benutzer darf eine VM löschen: Autorisierung Merksatz: Anmeldung und Berechtigung unterscheiden. --- **MFA** MFA steht für: Multi-Faktor-Authentifizierung MFA ist besonders wichtig für: Administratoren externe Benutzer Cloud-Portale IAM Abrechnung Produktion sensible Daten Merksatz: Cloud-Adminzugänge ohne MFA sind ein hohes Risiko. --- **Least Privilege** Least Privilege bedeutet: nur die Rechte vergeben, die wirklich benötigt werden. In der Cloud besonders wichtig, weil einzelne Rechte große Auswirkungen haben können. Beispiele: Speicher öffentlich machen Firewall öffnen VM löschen Backup löschen Rollen vergeben API-Schlüssel erstellen Merksatz: Cloud-Rechte minimal vergeben. --- **Servicekonten und API-Schlüssel** Servicekonten sind Identitäten für Dienste oder Anwendungen. API-Schlüssel erlauben Programmen Zugriff auf Cloud-Dienste. Risiken: zu viele Rechte Schlüssel im Quellcode keine Rotation keine Löschung nach Projektende Veröffentlichung in Repositories Merksatz: Servicekonten und API-Schlüssel wie kritische Zugangsdaten behandeln. --- **Secrets** Secrets sind geheime Informationen. Beispiele: Passwörter Tokens API-Schlüssel private Schlüssel Zertifikate Datenbankkennwörter Merksatz: Secrets gehören nicht in Quellcode, Tickets, Chats oder ungeschützte Dokumente. --- **RBAC und ABAC** RBAC: rollenbasierte Zugriffskontrolle ABAC: attributbasierte Zugriffskontrolle | Modell | Grundlage | |---|---| | RBAC | Rollen | | ABAC | Attribute | Merksatz: RBAC arbeitet mit Rollen. ABAC arbeitet mit Eigenschaften. --- **Tenant und Mandantentrennung** Ein Tenant ist ein logisch getrennter Verwaltungsbereich. Mandantentrennung bedeutet: Daten und Ressourcen verschiedener Kunden oder Organisationseinheiten werden logisch getrennt. Merksatz: Tenant = eigener Cloud-Verwaltungsbereich. --- **SSO, SAML, OAuth 2.0 und OpenID Connect** SSO: einmal anmelden, mehrere Dienste nutzen SAML: häufig für Single Sign-On genutzt OAuth 2.0: delegierte Autorisierung OpenID Connect: ergänzt OAuth 2.0 um Authentifizierung Merksatz: OAuth 2.0 ist Autorisierung. OpenID Connect ergänzt Authentifizierung. --- **Verschlüsselung** Cloud-Daten sollten geschützt werden: bei Übertragung und im Ruhezustand Bei Übertragung: TLS Im Ruhezustand: Speicherverschlüsselung Datenbankverschlüsselung Backup-Verschlüsselung Merksatz: Verschlüsselung schützt Daten, ersetzt aber keine Rechteverwaltung. --- **KMS** KMS steht für: Key Management Service Ein KMS verwaltet kryptografische Schlüssel. Aufgaben: Schlüssel erzeugen Schlüssel speichern Schlüssel rotieren Zugriff steuern Nutzung protokollieren Schlüssel deaktivieren Merksatz: KMS verwaltet Schlüssel für Cloud-Verschlüsselung. --- **Logging und Monitoring** Monitoring: zeigt aktuelle Zustände und Messwerte Logging: zeigt Ereignisse und Änderungen Beispiele für Logs: Audit-Logs Flow Logs Firewall-Logs Anwendungslogs IAM-Logs Load-Balancer-Logs Merksatz: Monitoring zeigt Zustand. Logging zeigt Ereignisse. --- **SIEM** SIEM steht für: Security Information and Event Management Ein SIEM sammelt und analysiert Sicherheitslogs. Ziele: Angriffe erkennen Alarme erzeugen Ereignisse korrelieren Nachweise liefern Merksatz: SIEM hilft bei zentraler Sicherheitsüberwachung. --- **Kostenkontrolle** Cloud-Kosten entstehen durch: Rechenleistung Speicher Datenbanken Backups Snapshots Logs Monitoring Netzwerkverkehr Load Balancer Lizenzen öffentliche IP-Adressen Support Merksatz: Cloud-Kosten entstehen nicht nur durch Server. --- **Pay as you go** Pay as you go bedeutet: Abrechnung nach Nutzung. Vorteil: flexibel Risiko: Fehlkonfiguration, Dauerbetrieb oder unerwartete Last können teuer werden. Merksatz: Pay as you go braucht Kostenüberwachung. --- **Tagging** Tagging bedeutet: Cloud-Ressourcen werden mit Metadaten markiert. Beispiele: Projekt Kostenstelle Verantwortlicher Umgebung Ablaufdatum Schutzbedarf Merksatz: Tags helfen bei Kosten, Verantwortung Ordnung und Automatisierung. --- **Rightsizing** Rightsizing bedeutet: Ressourcen passend dimensionieren. Zu groß: unnötige Kosten Zu klein: schlechte Leistung oder Ausfälle Merksatz: Rightsizing sucht die passende Ressourcengröße. --- **Auto Scaling** Auto Scaling passt Ressourcen automatisch an die Last an. Beispiel: mehr Instanzen bei hoher Last weniger Instanzen bei geringer Last Merksatz: Auto Scaling skaliert automatisch nach Regeln. --- **Horizontale und vertikale Skalierung** | Skalierung | Bedeutung | |---|---| | horizontal | mehr Instanzen | | vertikal | größere Instanz | Merksatz: Horizontal = mehr Systeme. Vertikal = stärkeres System. --- **Hochverfügbarkeit** Hochverfügbarkeit bedeutet: Dienste bleiben möglichst verfügbar, auch wenn einzelne Komponenten ausfallen. Mittel: mehrere Instanzen mehrere Verfügbarkeitszonen Load Balancer Replikation Monitoring Auto Scaling Backup Notfallplan Merksatz: Cloud ist nicht automatisch hochverfügbar. --- **Region und Verfügbarkeitszone** Region: geografischer Standort des Cloud-Anbieters Verfügbarkeitszone: getrenntes Rechenzentrumssegment innerhalb einer Region Merksatz: Region beeinflusst Datenstandort und Latenz. Zone beeinflusst Ausfallsicherheit innerhalb einer Region. --- **SLA, SLO und SLI** | Begriff | Bedeutung | |---|---| | SLA | vertragliche Servicezusage | | SLO | Zielwert für Servicequalität | | SLI | Messwert für Servicequalität | Merksatz: SLI misst. SLO setzt Ziel. SLA ist Zusage. --- **Infrastructure as Code** Infrastructure as Code wird abgekürzt: IaC Dabei wird Infrastruktur als Code beschrieben. Beispiele: Netzwerke Subnetze Firewalls Rollen VMs Datenbanken Load Balancer Speicher Vorteile: wiederholbar versionierbar dokumentiert automatisierbar prüfbar Merksatz: IaC beschreibt Infrastruktur als Code. --- **Configuration Drift** Configuration Drift bedeutet: Die echte Konfiguration weicht von der geplanten Konfiguration ab. Ursachen: manuelle Änderungen Notfalländerungen fehlende Dokumentation unterschiedliche Umgebungen Merksatz: Configuration Drift erschwert Betrieb und Sicherheit. --- **Change Management und Rollback** Change Management bedeutet: Änderungen werden geplant, geprüft, freigegeben, umgesetzt und dokumentiert. Rollback bedeutet: Änderung zurücknehmen. Merksatz: Jede kritische Änderung braucht Dokumentation und Rückweg. --- **Runbook** Ein Runbook ist eine Schritt-für-Schritt-Anleitung für Betriebsaufgaben. Beispiele: Backup wiederherstellen Alarm bearbeiten Zertifikat erneuern Dienst neu starten Failover auslösen Benutzerzugriff prüfen Merksatz: Runbooks helfen bei wiederholbaren Betriebsabläufen. --- **Incident Response** Incident Response bedeutet: Vorgehen bei Sicherheitsvorfällen oder größeren Störungen. Schritte: erkennen bewerten eindämmen beseitigen wiederherstellen dokumentieren verbessern Merksatz: Incident Response muss vor dem Vorfall vorbereitet sein. --- **Datenschutz und Compliance** Cloud-Nutzung muss rechtliche und organisatorische Vorgaben beachten. Wichtige Fragen: Welche Daten werden verarbeitet? Wo werden Daten gespeichert? Wer hat Zugriff? Gibt es Auftragsverarbeitung? Sind Daten verschlüsselt? Gibt es Löschkonzepte? Werden Logs personenbezogen? Welche Verträge gelten? Merksatz: Cloud braucht Datenschutz- und Compliance-Prüfung. --- **Datenklassifizierung** Datenklassifizierung bedeutet: Daten werden nach Schutzbedarf eingeteilt. Beispiele: öffentlich intern vertraulich streng vertraulich personenbezogen geschäftskritisch Merksatz: Datenklasse bestimmt Schutzmaßnahmen. --- **Datenresidenz** Datenresidenz bedeutet: Daten müssen in einem bestimmten Land oder einer bestimmten Region gespeichert werden. Beispiel: Speicherung innerhalb der EU Merksatz: Datenresidenz beschreibt, wo Daten liegen dürfen. --- **Vendor Lock-in** Vendor Lock-in bedeutet: starke Abhängigkeit von einem Anbieter. Ursachen: proprietäre Dienste spezielle APIs spezielle Datenformate hohe Migrationskosten fehlende Portabilität Mitarbeitende kennen nur eine Plattform Merksatz: Vendor Lock-in früh beachten. --- **Exit-Strategie** Eine Exit-Strategie beschreibt, wie man einen Cloud-Dienst wieder verlassen kann. Fragen: Wie exportiere ich Daten? In welchem Format? Wie lange dauert Migration? Welche Kosten entstehen? Wie werden Daten beim Anbieter gelöscht? Gibt es Alternativen? Merksatz: Cloud-Einstieg braucht auch Cloud-Ausstiegsplan. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was bedeutet Cloud Computing? - Was ist On-Premises? - Was ist Public Cloud? - Was ist Private Cloud? - Was ist Hybrid Cloud? - Was ist Multi Cloud? - Was ist der Unterschied zwischen Hybrid Cloud und Multi Cloud? - Was bedeutet IaaS? - Was bedeutet PaaS? - Was bedeutet SaaS? - Was ist das Shared Responsibility Model? - Wer ist bei IaaS für Betriebssystemupdates verantwortlich? - Wer verwaltet bei SaaS Benutzer und Rechte? - Was ist eine VPC? - Was ist ein Public Subnet? - Was ist ein Private Subnet? - Was ist eine Security Group? - Was ist ein Load Balancer? - Was ist IAM? - Was bedeutet Least Privilege? - Was ist MFA? - Was ist ein API-Schlüssel? - Was ist ein Secret? - Was ist Objektspeicher? - Was ist Blockspeicher? - Was ist Dateispeicher? - Warum ist Cloud-Speicher kein Backup? - Was bedeutet RPO? - Was bedeutet RTO? - Was ist Auto Scaling? - Was ist horizontale Skalierung? - Was ist vertikale Skalierung? - Was ist ein SLA? - Warum ist Cloud nicht automatisch sicher? - Warum ist Cloud nicht automatisch günstiger? --- **Typische Prüfungsfallen** Cloud ist nicht automatisch günstiger. Cloud ist nicht automatisch sicher. Cloud ist nicht automatisch hochverfügbar. Cloud ist nicht automatisch Backup. Anbieter übernimmt nicht automatisch alles. Daten, Benutzer und Rechte bleiben Kundenthema. Public Cloud ist nicht automatisch unsicher. Private Cloud ist nicht automatisch günstiger. Hybrid Cloud ist nicht Multi Cloud. Multi Cloud ist nicht automatisch Hybrid. Virtualisierung allein ist keine Private Cloud. IaaS ist Infrastruktur. PaaS ist Plattform. SaaS ist fertige Software. Cloud-VM muss Kunde oft selbst patchen. SaaS-Rechte bleiben Kundenthema. Serverless heißt nicht serverfrei. VPC und VNet sind virtuelle Cloud-Netze. Public Subnet nicht für Datenbanken nutzen. Private Subnet schützt vor direkter öffentlicher Erreichbarkeit. Security Group ist virtuelle Firewall. Öffentliche Buckets vermeiden. Synchronisation ist kein Backup. Replikation ist kein Backup. Snapshot ist nicht immer Backup. Backup ohne Restore-Test ist unsicher. RPO und RTO nicht verwechseln. IAM ist zentral für Cloud-Sicherheit. Authentifizierung ist nicht Autorisierung. MFA für Admins ist wichtig. API-Schlüssel wie Passwörter behandeln. Secrets nicht im Code speichern. Verschlüsselung ersetzt keine Rechteverwaltung. Monitoring und Logging unterscheiden. Pay as you go braucht Kostenkontrolle. Tags helfen bei Kosten und Verantwortung. Horizontal und vertikal unterscheiden. SLA, SLO und SLI nicht verwechseln. Exit-Strategie früh planen. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Cloud | IT-Ressourcen als Dienst | | On-Premises | lokal selbst betrieben | | Public Cloud | Anbieterplattform für viele Kunden | | Private Cloud | Cloud für eine Organisation | | Hybrid Cloud | lokale/private IT plus Cloud | | Multi Cloud | mehrere Cloud-Anbieter | | Community Cloud | Cloud für bestimmte Gemeinschaft | | IaaS | Infrastructure as a Service | | PaaS | Platform as a Service | | SaaS | Software as a Service | | Shared Responsibility | geteilte Verantwortung | | Virtualisierung | Aufteilung physischer Ressourcen | | Container | portable Anwendungseinheit | | Kubernetes | Container-Orchestrierung | | Serverless | keine Serververwaltung durch Kunden | | FaaS | Function as a Service | | VPC | Virtual Private Cloud | | VNet | Virtual Network | | Public Subnet | öffentlich angebundenes Subnetz | | Private Subnet | internes Subnetz | | Security Group | virtuelle Firewall-Regelgruppe | | Load Balancer | verteilt Anfragen | | Health Check | prüft Dienstgesundheit | | Peering | Verbindung zwischen Cloud-Netzen | | Cloud-VPN | VPN zu Cloud-Netz | | Objektspeicher | Speicher für Objekte | | Bucket | Speicherbehälter | | Blockspeicher | virtuelle Festplatte | | Dateispeicher | Datei- und Ordnerfreigabe | | Backup | zusätzliche Sicherung | | Restore | Wiederherstellung | | RPO | maximaler Datenverlust | | RTO | maximale Wiederherstellungszeit | | Immutable Backup | unveränderliches Backup | | IAM | Identity and Access Management | | MFA | Multi-Faktor-Authentifizierung | | Least Privilege | minimale notwendige Rechte | | API-Schlüssel | Zugriffsschlüssel für Programme | | Secret | geheime Information | | RBAC | rollenbasierte Zugriffskontrolle | | ABAC | attributbasierte Zugriffskontrolle | | Tenant | Cloud-Verwaltungsbereich | | SSO | Single Sign-On | | OAuth 2.0 | delegierte Autorisierung | | OpenID Connect | Authentifizierungserweiterung | | KMS | Key Management Service | | Monitoring | Zustandsüberwachung | | Logging | Ereignisprotokollierung | | SIEM | Sicherheitslog-Auswertung | | Pay as you go | Abrechnung nach Nutzung | | Tagging | Metadaten für Ressourcen | | Rightsizing | passende Ressourcengröße | | Auto Scaling | automatische Skalierung | | SLA | vertragliche Servicezusage | | SLO | Serviceziel | | SLI | Servicemesswert | | IaC | Infrastructure as Code | | Configuration Drift | Abweichung von Soll-Konfiguration | | Runbook | Betriebsanleitung | | Incident Response | Reaktion auf Vorfälle | | Compliance | Einhaltung von Vorgaben | | Datenresidenz | erlaubter Speicherort | | Vendor Lock-in | Anbieterabhängigkeit | | Exit-Strategie | Plan zum Verlassen eines Dienstes | --- **IHK-sichere Gesamtformulierung** Cloud Computing bedeutet, dass IT-Ressourcen wie Rechenleistung, Speicher, Netzwerke, Plattformen oder Anwendungen über ein Netzwerk als Dienst bereitgestellt werden. Bei On-Premises betreibt ein Unternehmen seine IT lokal selbst. Public Cloud wird von einem Anbieter für viele Kunden bereitgestellt, Private Cloud für eine einzelne Organisation, Hybrid Cloud kombiniert lokale oder private IT mit Public Cloud, und Multi Cloud nutzt mehrere Cloud-Anbieter. Die wichtigsten Service-Modelle sind IaaS, PaaS und SaaS. Das Shared Responsibility Model beschreibt die geteilte Verantwortung zwischen Anbieter und Kunde. Auch in der Cloud bleiben Benutzer, Rechte, Daten, sichere Konfiguration, Backup, Monitoring, Kostenkontrolle, Datenschutz und Compliance wichtige Aufgaben des Kunden. --- **Wichtigste Merksätze** Cloud = IT-Ressourcen als Dienst. Cloud ist kein einzelnes Produkt. Cloud ist nicht automatisch sicher. Cloud ist nicht automatisch günstig. Cloud ist nicht automatisch hochverfügbar. Cloud ist kein Backup. On-Premises = lokal selbst betrieben. Public Cloud = Anbieterplattform für viele Kunden. Private Cloud = Cloud für eine Organisation. Hybrid Cloud = lokal plus Cloud. Multi Cloud = mehrere Anbieter. IaaS = Infrastruktur. PaaS = Plattform. SaaS = fertige Software. Shared Responsibility = geteilte Verantwortung. Daten bleiben Kundenthema. Benutzer bleiben Kundenthema. Rechte bleiben Kundenthema. Cloud-VM muss Kunde oft selbst patchen. SaaS braucht Rechteverwaltung. Serverless heißt keine Serververwaltung durch Kunden. VPC und VNet sind virtuelle Cloud-Netze. Public Subnet nur für öffentliche Komponenten. Private Subnet für interne Ressourcen. Datenbanken nicht öffentlich bereitstellen. Security Groups sind virtuelle Firewall-Regeln. Cloud-VPN braucht Routen beidseitig. Objektspeicher für unstrukturierte Daten. Blockspeicher für VMs und Datenbanken. Dateispeicher für Freigaben. Öffentliche Buckets vermeiden. Backup regelmäßig testen. RPO = Datenverlust. RTO = Wiederherstellungszeit. IAM entscheidet, wer was darf. MFA für Admins erzwingen. Least Privilege immer beachten. API-Schlüssel schützen. Secrets sicher verwalten. Verschlüsselung ersetzt keine Rechte. Monitoring zeigt Zustand. Logging zeigt Ereignisse. Kosten aktiv überwachen. Tags pflegen. Auto Scaling braucht Regeln. Horizontal = mehr Instanzen. Vertikal = größere Instanz. IaC macht Infrastruktur wiederholbar. Configuration Drift vermeiden. Runbooks helfen im Betrieb. Incident Response vorbereiten. Datenschutz und Compliance prüfen. Exit-Strategie früh planen.