Wissenswertes und Spannendes aus der Welt der professionellen IT.
Lesestoff für alle, die IT lieben.
Unsere neuesten Beiträge
Der Beitrag Zwei Wochen bis zum Patch. Eine Nacht bis zum Angriff. erschien zuerst auf heise academy Blog.
]]>Der Beitrag Zukunft entsteht nicht von selbst erschien zuerst auf heise academy Blog.
]]>Zukunft entsteht nicht von selbst
Wie Unternehmen mit gezielter Kompetenzentwicklung produktiver, attraktiver und resilienter werden
Von: Arne Schmidt
Viele Unternehmen konzentrieren sich im Arbeitsalltag darauf, akute Engpässe zu lösen: Offene Stellen müssen schnell besetzt, laufende Projekte abgesichert werden. Dabei bleibt oft wenig Raum für die Frage, welche Kompetenzen in Zukunft wirklich entscheidend sein werden. Dies kann sich als problematisch erweisen, denn die Arbeitswelt verändert sich mit hoher Geschwindigkeit. Neue Geschäftsmodelle, veränderte Kundenerwartungen und ein zunehmender internationaler Wettbewerbsdruck sorgen dafür, dass Qualifikationsanforderungen sich in immer kürzeren Zyklen verschieben.
Unternehmen, die nicht rechtzeitig in den systematischen Aufbau von Fähigkeiten investieren, laufen Gefahr, mittelfristig den Anschluss zu verlieren. Weiterbildung ist deshalb keine Reaktion auf den Wandel, sondern eine Voraussetzung, um ihn aktiv gestalten zu können.1
Entwicklung als entscheidender Attraktivitätsfaktor
Für viele Unternehmen ist es schwierig, passende Fachkräfte zu gewinnen und dauerhaft zu halten. Neueinstellungen scheitern häufig früh, weil Erwartungen nicht zusammenpassen oder Entwicklungsperspektiven fehlen. Genau hier entfaltet Weiterbildung ihre doppelte Wirkung.
Unternehmen, die glaubwürdig in die Entwicklung ihrer Mitarbeitenden investieren, wirken nach außen attraktiver und können zugleich interne Potenziale besser nutzen. Weiterbildung wird damit zu einem strategischen Instrument, das sowohl das Recruiting unterstützt als auch die Abhängigkeit von externen Einstellungen reduziert.1
Ohne Verbindung bleibt Lernen wirkungslos
In vielen Organisationen existieren Weiterbildung, Feedback, Leistungsbeurteilung und Karriereplanung nebeneinander, ohne sinnvoll verzahnt zu sein. Für Mitarbeitende entsteht dadurch oft ein Gefühl der Orientierungslosigkeit: Es fehlt an regelmäßigem Feedback, an Zeit zum Lernen und an klaren Entwicklungspfaden. Weiterbildung wird dann als zusätzliche Belastung wahrgenommen und nicht als Chance.
Ihr volles Potenzial entfaltet sie jedoch erst, wenn sie Teil eines konsistenten Gesamtkonzepts ist. Werden Lernangebote sichtbar mit Zielen, Leistung und Zukunftsaussichten verknüpft, entsteht Klarheit. Mitarbeitende verstehen, warum sie lernen, wofür sie sich entwickeln und welche Rolle Weiterbildung für ihre eigene Zukunft im Unternehmen spielt. 1
Investieren statt reagieren: Der messbare Nutzen von Qualifizierung
Eine wachsende Herausforderung für Unternehmen ist, dass sich Mitarbeitende innerlich vom Arbeitgeber distanzieren. Viele Beschäftigte sind nicht offen unzufrieden, haben innerlich aber bereits Abstand zur Arbeit genommen. Ursachen sind häufig fehlende Wertschätzung, mangelnde Sicherheit und fehlende Entwicklungsmöglichkeiten.
Gezielte Weiterbildung kann hier ein starkes Signal setzen. Sie zeigt, dass Mitarbeitende nicht nur für ihre aktuelle Funktion gesehen werden, sondern als Menschen mit Potenzial. Dieses Signal wirkt motivierend, stärkt die emotionale Bindung und bildet die Grundlage für langfristige Zusammenarbeit.1
Empirische Studien zeigen deutlich, dass Weiterbildung für Unternehmen einen messbaren wirtschaftlichen Nutzen hat. Bereits eine moderate Steigerung der Teilnahme an Weiterbildungsmaßnahmen führt zu einer spürbaren Zunahme der Leistungsfähigkeit. Weiterbildung ist damit keine freiwillige Zusatzleistung, sondern eine Investition mit klarem Return.
Entscheidend ist jedoch die Qualität der Maßnahmen. Besonders wirksam sind strukturierte Formate wie interne oder externe Kurse und Seminare. Sie haben einen nachweisbaren Einfluss auf die Produktivität. Informelles Lernen im Arbeitsalltag allein reicht dagegen nicht aus, um vergleichbare Effekte zu erzielen. Weiterbildung wirkt nur dann, wenn sie gezielt geplant und professionell umgesetzt wird. 2
Mythos: Qualifizierung führt zur Abwanderung
Eine häufige Sorge von Unternehmen ist, dass Weiterbildung Mitarbeitende erst recht zum Wechsel motiviert, insbesondere wenn erworbene Qualifikationen auch extern gut verwertbar sind. Die Forschung zeigt jedoch ein anderes Bild. Studien belegen, dass weitergebildete Beschäftigte ihrem Arbeitgeber häufiger treu bleiben als vergleichbare Kolleginnen und Kollegen ohne Weiterbildung, selbst dann, wenn persönliche Faktoren wie Motivation berücksichtigt werden.
Bemerkenswert ist, dass dieser Effekt auch bei zertifizierten und externen Weiterbildungen bestehen bleibt. Obwohl solche Qualifikationen den individuellen Marktwert erhöhen und für andere Arbeitgeber sichtbar machen, führen sie nicht zu einer erhöhten Abwanderung. Im Gegenteil: Weiterbildung stärkt offenbar das Vertrauen und die Beziehung zwischen Mitarbeitenden und Unternehmen.3
Was du jetzt konkret tun kannst
Drei Hebel, die in der Praxis funktionieren:
- Lernzeit verbindlich einplanen. Nicht „nebenbei“, sondern als Bestandteil der Arbeitszeit. Sonst gewinnt immer das Tagesgeschäft.
- Lerninhalte an konkrete Vorhaben koppeln. Wer eine neue Technologie lernt, sollte sie innerhalb von 90 Tagen anwenden dürfen. Sonst verfällt das Wissen.
- Qualität vor Volumen. Einige Stunden mit echten Experten bringen mehr als hunderte unstrukturierter Videos.
Fazit: Kompetenzen entwickeln heißt Zukunft sichern
Weiterbildung wirkt auf mehreren Ebenen zugleich. Sie steigert die Produktivität, stärkt die Mitarbeiterbindung und erhöht die Attraktivität von Unternehmen als Arbeitgeber. Entscheidend ist dabei nicht die bloße Existenz von Lernangeboten, sondern ihre strategische Einbettung in Führung, Feedback und Karriereentwicklung.
Unternehmen, die Weiterbildung als integralen Bestandteil ihrer Kultur verstehen, investieren nicht nur in Wissen, sondern auch in Motivation, Vertrauen und Zukunftsfähigkeit. In einer Arbeitswelt, die sich ständig verändert, ist genau das der entscheidende Wettbewerbsvorteil.
Quellen
[1] Julian Kirchherr, Vincent Bérubé, Charlotte Seiler, Kira Rupietta, Marlene Senst, Kristina Störk, Simon Gallot Lavallée (2025). HR Monitor 2025. https://www.mckinsey.com/capabilities/people-and-organizational-performance/our-insights/hr-monitor-2025
[2] ZEW. Weiterbildung in Unternehmen zahlt sich aus. https://www.zew.de/das-zew/aktuelles/weiterbildung-in-unternehmen-zahlt-sich-aus
[3] Dietz, D., & Zwick, T. (2021). The retention effect of training: Portability, visibility, and credibility. The International Journal of Human Resource Management, 33(4), 710–741.
IT-Weiterbildung, die mit dir Schritt hält
Praxisnah, aktuell und flexibel – von IT-Professionals, für IT-Professionals.
Der heise academy Campus bringt deine IT-Kompetenzen auf das nächste Level: Egal, ob du dich individuell weiterentwickeln oder dein Team gezielt stärken willst. Mit dem academy Pass bekommst du Zugang zur gesamten Lernbibliothek und kannst direkt loslegen.
Über den Autor: Arne Schmidt
Arne ist Werkstudent in der heise academy und studiert Wirtschaftswissenschaften im Master. Für ihn sind stetige Weiterentwicklung und kontinuierliches Lernen zentrale Bausteine für akademischen und beruflichen Erfolg. Umso mehr freut er sich, sein IT-Wissen kontinuierlich auszubauen und neue Impulse für Studium und Praxis zu gewinnen.
Diese Beiträge könnten dich auch interessieren:
Der Beitrag Zukunft entsteht nicht von selbst erschien zuerst auf heise academy Blog.
]]>Der Beitrag Digitale Souveränität erschien zuerst auf heise academy Blog.
]]>Digitale Souveränität
Unabhängiger von einzelnen Anbietenden werden und die eigene Resilienz gezielt stärken.
Von: Manuel Atug
Ob Behörde, Krankenhaus oder mittelständisches Unternehmen: Viele Organisationen merken erst dann, wie abhängig sie von einzelnen Softwareanbietenden geworden sind, wenn beispielsweise aufgrund teurer und alternativloser Abo-Modelle Preise massiv steigen, der IT-Support ausläuft oder ein lang genutzter Dienst abgekündigt oder eingestellt wird. Digitale Souveränität ist die Antwort auf genau diese Probleme. Sie beschreibt die Fähigkeit, selbstbestimmt über die eigene digitale Infrastruktur zu entscheiden. Doch wie lässt sich das konkret erreichen? Dieser Blogartikel zeigt die wichtigsten Hebel und warum ihr Zusammenspiel entscheidend ist.
Wettbewerb statt Monopol: Alternativen schaffen und nutzen
Wenn ein oder sehr wenige Anbietende einen Teil des Marktes dominieren, fehlt der Druck zur Innovation und den Nutzenden eine echte Auswahl. Wer aus Bequemlichkeit oder mangels Alternativen alles auf eine Karte setzt, zahlt am Ende deutlich höhere Preise und akzeptiert schlechtere Konditionen. Das ist kein Naturgesetz, sondern eine Folge passiver Beschaffungsentscheidungen.
Die Lösung liegt darin, sich dem bewusst zu werden und aktiv Alternativen aufzubauen. Wer diese nutzt, stärkt damit den erforderlichen und dadurch funktionierenden Wettbewerb. Ausschreibungen sollten daher so gestaltet werden, dass auch kleinere oder europäische Anbietende eine reale Chance haben. Langfristige Vollversorgungsverträge mit einem großen Konzern hingegen zementieren Abhängigkeiten, die sich später nur schwer auflösen lassen.
Freie und offene Standards: Das Fundament technologischer Unabhängigkeit
Proprietäre Datenformate, Verarbeitungslogiken in Geschäftsprozessen und Schnittstellen sind eine häufig unterschätzte Form der technischen Abhängigkeit, die in der mittelbaren Auswirkung zu hohen Kosten führt. Wer Daten nur in einem herstellerspezifischen Format speichert oder verarbeitet, ist gefangen und vollständig abhängig. Der Wechsel zu einem anderen System ist dadurch künstlich erschwert oder schlicht unmöglich, da die Umstellung sehr teuer wäre. Technologische Abhängigkeit entsteht dabei über lange Zeiträume oft still und leise, ohne dass jemand eine bewusste Entscheidung dafür trifft. Sie schleicht sich ein und war rückblickend dann „schon immer da“.
Freie und offene Standards – etwa OpenDocument, PDF/A oder offene API-Standards – stellen sicher, dass Daten und Prozesse für die Verarbeitung nicht an einen einzigen Anbietenden gebunden bleiben. Öffentliche Institutionen sollten offene Standards nicht nur bevorzugen, sondern in ihren Beschaffungsrichtlinien verbindlich verankern. Wer diesen Schritt versäumt, schafft Abhängigkeiten, die Jahre später sehr teuer werden können.
Interoperabilität: Systeme, die miteinander sprechen
Viele Softwareprodukte sind absichtlich so gebaut, dass sie schlecht oder kaum mit Konkurrenzprodukten zusammenarbeiten. Sie bieten zwar oftmals umfassende Importmöglichkeit an, aber kaum vollständige Exportoptionen. Dieses Prinzip wird auch als Lock-in-by-Design bezeichnet: Der Wechsel kostet so viel Aufwand, dass er praktisch nie stattfindet, selbst wenn andere Anbietende besser und günstiger wären. Die Nutzung wird dadurch dann gerne als „alternativlos“ bezeichnet und hingenommen.
Interoperabilität, also die Fähigkeit verschiedener Systeme, nahtlos zusammenzuarbeiten und Austauschfähig zu sein, muss daher als zentrale Anforderung in Beschaffungsentscheidungen einfließen. Diese sollte die Geschäftsleitung und Unternehmensführung als strategisches Ziel vorgeben und dem Einkauf als Aufgabenstellung mitgeben.
Offene APIs, dokumentierte Schnittstellen und standardisierte Datenformate sind die technische Grundlage dafür. In der Praxis lässt sich Interoperabilität am zuverlässigsten durch Open-Source-Software sicherstellen, weil deren Code offen einsehbar, anpassbar und flexibler betreibbar ist.
Open Source: Transparenz und Unabhängigkeit durch offenen Code
Bei proprietärer Software weiß man schlicht nicht, was im Inneren passiert: Welche Daten werden gesammelt? Welche Sicherheitslücken existieren? Wie funktioniert die Verarbeitungslogik genau? Wer den Quellcode nicht einsehen kann, muss blind vertrauen und ist somit abhängig. In sicherheitskritischen Bereichen ist das keine tragfähige Basis.
Open-Source-Software macht den Code öffentlich prüfbar und weiterbetreibbar. Das schafft Transparenz und ermöglicht das schnelle Auffinden sowie Schließen von Sicherheitslücken. Darüber hinaus ermöglicht es Organisationen, Software selbst weiterzuentwickeln oder anpassen zu lassen. Sie können diese sogar selbst betreiben oder von unterschiedlichen Dienstleistern betreiben lassen. Gleichzeitig ist Open Source oft der direkteste Weg, offene Standards in der Praxis umzusetzen: Wer den Code besitzt, ist nicht auf den Goodwill – bzw. die AGBs und das Geschäftsinteresse – eines Konzerns angewiesen. Für viele Organisationen ist Open Source damit kein ideologisches Statement, sondern eine pragmatische Entscheidung für mehr Kontrolle und Kostensouveränität.
Exit-Strategie: Den Ausstieg von Anfang an mitdenken
Die meisten IT-Verträge regeln sehr genau, wie man hineinkommt, aber kaum, wie man wieder herauskommt. Wenn ein Vertrag endet, sind Daten oft in proprietären Formaten gespeichert, Prozesse und Verarbeitungslogiken zu tief in ein System eingebaut und der Wechsel kostet schlicht mehr als der zukünftig teurer werdende Verbleib. So entsteht eine Abhängigkeit, die im initialen Vertrag zunächst unsichtbar war.
Bereits beim Vertragsabschluss sollten deshalb Exit-Klauseln bedacht und verhandelt werden: Verarbeitungslogik- und Datenportabilität in offenen Formaten, klare Übergangsfristen und definierte Leistungen für eine souveräne Migration gehören zum Standard guter IT-Verträge. Nur wer den Ausstieg von Anfang an plant, behält die echte Freiheit, auch tatsächlich wechseln zu können und damit einer potenziellen Kostenfalle durch den Lock-In Effekt zu entgehen.
Modularität: Austauschbarkeit als Designprinzip
Monolithische Systeme und Bundles – also Softwarelösungen, die alles in einem Paket oder Abo abdecken – sind bequem, aber auch gefährlich. Wer eine Komplettlösung einkauft oder mietet, hat kaum Spielraum, einzelne Teile zu ersetzen. Wächst die Abhängigkeit, schrumpft der Spielraum.
Modulare Architekturen setzen dagegen auf klar abgegrenzte Komponenten mit definierten Schnittstellen und Prozessabschnitten. Einzelne Module lassen sich so unabhängig voneinander ersetzen, aktualisieren oder durch bessere Lösungen austauschen; ganz ohne das Gesamtsystem zu gefährden. Das erhöht die Resilienz erheblich: Fällt eine Komponente aus, werden Anbietende unzuverlässig, wird der Preis massiv erhöht, bleibt der Rest stabil und bezahlbar. Modularität ist damit nicht nur eine technische Tugend, sondern eine strategische Notwendigkeit.
Kostensouveränität: Die Budgethoheit behalten
Cloud-Dienste und (Abo-)Lizenzmodelle werden häufig mit attraktiven Einstiegspreisen oder Bundles angeboten. Ist die Migration erfolgreich abgeschlossen und die Abhängigkeit aufgebaut, steigen die Preise kontinuierlich und Alternativen sind durch den Lock-In Effekt teuer oder technisch kaum realisierbar. Dieses Phänomen wird auch als Preiserhöhungsfalle bezeichnet und betrifft Organisationen jeder Größe.
Kostensouveränität bedeutet, die vollständige Kontrolle über die eigenen IT-Ausgaben zu behalten. Das gelingt durch transparente (Abo-)Lizenzmodelle, den Einsatz von freien und offenen Standards – idealerweise durch den Einsatz von Open-Source-Lösungen – ohne laufende Lizenzgebühren und durch regelmäßige Marktvergleiche. Wer mehrere Anbietende parallel nutzt oder zumindest als realistisch einsetzbare Option bereithält, behält die Verhandlungsmacht und damit auch die Budgethoheit. Kostensouveränität bildet somit die finanzielle Seite digitaler Souveränität.
Fazit
Digitale Souveränität ist kein Selbstzweck, sondern eine strategische Voraussetzung für Handlungsfähigkeit. Offene Standards, Interoperabilität, Open Source, modulare Architekturen, vertragliche Exit-Optionen, Wettbewerb und Kostenkontrolle: keiner dieser Hebel wirkt allein. Erst ihr Zusammenspiel schafft die Grundlage für echte Unabhängigkeit.
Die zentrale Erkenntnis ist simpel: Abhängigkeit entsteht nicht durch einen einzelnen großen Fehler, sondern durch viele kleine Entscheidungen über Jahre, die in die falsche Richtung weisen. Wer digitale Souveränität ernst nimmt, baut sie deshalb systematisch und schrittweise auf und gewinnt damit genau das, was in einer digitalisierten Welt entscheidend ist: die Freiheit, selbst zu entscheiden und die Kosten zu kontrollieren.
Quellen und Verweise
BSI – C3A: Souveränitätskriterien für Cloud-Dienste (April 2026): https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/260427_C3A.html
Linux Magazin – BSI legt Kriterien für digitale Souveränität bei Cloud-Diensten vor: https://www.linux-magazin.de/news/bsi-legt-kriterien-fuer-digitale-souveraenitaet-bei-cloud-diensten-vor/
EU-Kommission – Open-Source-Strategie 2020–2023 (Originaldokument, PDF): https://commission.europa.eu/document/download/97e59978-42c0-4b4a-9406-8f1a86837530_de?filename=de_ec_open_source_strategy_2020-2023_0.pdf
Bitkom – Kompass IT-Standards & Interoperabilität: https://www.bitkom.org/Kompass-IT-Standards
OSBA – Positionspapier & Publikationen zur digitalen Souveränität: https://osb-alliance.de/news/publikationen
OSBA – 38 Maßnahmen für Open-Source-getriebene Digitalisierung (PDF): https://osb-alliance.de/wp-content/uploads/2024/06/2024-09-27_Forderungen_Bundestagswahl2025_LR.pdf
Bitkom – Leitfaden Cloud-Souveränität praktisch umsetzen (2026, enthält Exit-Szenarien, offene Standards, Modularität): https://www.bitkom.org/Bitkom/Publikationen/Cloud-Souveraenitaet-praktisch-umsetzen
Datensicherheit.de – Bitkom & BMDS: einheitliche Standards für Open-Source-Beschaffung (EVB-IT, März 2026): https://www.datensicherheit.de/open-source-software-vereinbarung-bmds-bitkom-einheitlich-standards-beschaffung
Schweizer Bundesrat – Leitlinien für digitale Souveränität in der Bundesverwaltung (Dezember 2025): https://www.news.admin.ch/de/newnsb/JxuzVHViGShum_f1h_WDu
Digitale Souveränität in der Praxis
Cloud, KI und Security krisensicher gestalten
Lerne, wie du Abhängigkeiten systematisch identifizierst, Risiken bewertest und mit konkreten Strategien deine digitale Souveränität zurückgewinnst. Die Aufzeichnung des Classrooms steht dir im Professional Pass neben vielen weiteren zur Verfügung.
Über den Autor: Manuel „HonkHase“ Atug
Manuel „HonkHase“ Atug befasst sich beruflich und privat seit weit über 23 Jahren mit Themen, wie Digitale Souveränität, Kritische Infrastrukturen, Cyberresilienz, defensive Cybersicherheitsstrategien, digitaler Katastrophenschutz und vielem mehr. Im Netz ist er als @HonkHase aktiv. Er ist Experte der European Research Executive Agency (EU REA) und wird regelmäßig für die Bundesregierung und die Bundesländer als Sachverständiger in Fragen der Cybersicherheit und dem Katastrophenschutz berufen.
Diese Beiträge könnten dich auch interessieren:
Der Beitrag Digitale Souveränität erschien zuerst auf heise academy Blog.
]]>Der Beitrag Schluss mit den Silos erschien zuerst auf heise academy Blog.
]]>Schluss mit den Silos
Schaffe eine einheitliche Governance mit Purview, Azure Policy und Defender for Cloud
Von: Emil Vinčazović
In der modernen Cloud-Welt jonglierst du täglich mit einer Vielzahl von Herausforderungen. Auf der einen Seite willst du Entwicklern die Freiheit und Agilität geben, schnell neue Dienste bereitzustellen. Auf der anderen Seite musst du sicherstellen, dass die IT-Landschaft sicher ist, Compliance-Vorgaben erfüllt sind und die Kosten nicht aus dem Ruder laufen. Oft führt das zu einem Silo-Denken: Datensicherheit wird in Microsoft Purview gemanagt, die Infrastruktur-Compliance mit Azure Policy und die Security-Härtung mit Microsoft Defender for Cloud. Jeder Bereich hat seine eigenen Regeln und Zuständigkeiten. Doch was wäre, wenn du diese Silos aufbrechen und eine wirklich einheitliche, richtliniengesteuerte Governance etablieren könntest? In diesem Beitrag zeige ich dir, wie das Zusammenspiel dieser drei mächtigen Werkzeuge funktioniert und wie du damit eine Brücke zwischen Daten, Infrastruktur und Security baust.
Das Problem: Governance in getrennten Welten
Stell dir vor, dein Unternehmen beschließt, dass alle Datenbanken, die personenbezogene Daten enthalten, verschlüsselt sein müssen. Ein typischer Fall für eine Governance-Richtlinie. Doch wo setzt du diese Regel um? Auf der Datenebene mit Purview könntest du eine Richtlinie erstellen, die alle SQL-Datenbanken mit der Klassifizierung „Personenbezogene Daten“ identifiziert. Purview allein kann die Verschlüsselung jedoch nicht erzwingen. Auf der Infrastrukturebene mit Azure Policy könntest du eine Richtlinie erstellen, die prüft, ob Transparent Data Encryption (TDE) für alle SQL-Server aktiviert ist. Diese Richtlinie weiß aber nicht, welche dieser Datenbanken tatsächlich sensible Daten enthalten. Wendest du sie auf alles an, erzeugst du unnötigen Overhead. Dies führt zu Performance-Schwund und überhöhten Kosten. Wendest du sie zu selektiv an, verpasst du vielleicht eine kritische Datenbank. Auf der Security-Ebene mit Defender for Cloud wird dieser dich darauf hinweisen, dass einige Datenbanken nicht verschlüsselt sind, und dies als Sicherheitsrisiko einstufen. Er gibt dir eine Empfehlung, aber die proaktive, unternehmensweite Durchsetzung ist nicht seine primäre Aufgabe. Er gilt also eher als warnendes Glied im Unternehmen.
Du siehst das Problem. Jedes Werkzeug hat eine andere Sicht auf die Welt und spricht eine andere Sprache. Die Folge sind manuelle Abstimmungsprozesse, potenzielle Regelungslücken und eine reaktive statt proaktive Governance. Das kann sich jedoch ändern.
Die Lösung: Eine Brücke zwischen den Welten bauen
Die wahre Stärke entfaltet sich, wenn du diese drei Dienste miteinander verbindest. Das Ziel ist eine Policy-driven Governance, bei der eine zentrale Absicht (z.B. „Schütze sensible Daten“) automatisch in konkrete, technische Kontrollen auf allen Ebenen übersetzt wird.
Schritt 1: Die Daten verstehen mit Microsoft Purview
Alles beginnt mit den Daten. Purview ist deine zentrale Wahrheit für die Datenklassifizierung. Wie in vorherigen Beiträgen von mir besprochen, nutzt du Purview, um deine gesamte Datenlandschaft zu scannen und sensible Informationen mithilfe von Sensitive Information Types, Trainable Classifiers oder Exact Data Match zu identifizieren. Das Ergebnis ist ein umfassender Datenkatalog, der jede Ressource mit Metadaten anreichert. Eine Azure SQL-Datenbank ist dann nicht mehr nur eine Datenbank, sondern eine „Datenbank, die EU-Bürgerdaten enthält“ (Klassifizierung: „DSGVO – Personenbezogene Daten“). Diese Klassifizierung ist der entscheidende Auslöser für alles Weitere.
Schritt 2: Infrastruktur härten mit Azure Policy
Jetzt kommt Azure Policy ins Spiel. Azure Policy ist das Regelwerk für deine gesamte Azure-Infrastruktur. Du kannst damit Richtlinien definieren, die zum Beispiel vorschreiben, dass virtuelle Maschinen nur aus bestimmten Images erstellt werden dürfen, dass keine öffentlichen IP-Adressen an bestimmte Subnetze angehängt werden oder eben, dass die Verschlüsselung für Speicherkonten aktiviert sein muss.
Der Clou ist die Integration mit Purview. Anstatt eine breite, unspezifische Richtlinie zu erstellen, kannst du Azure Policy anweisen, auf die Klassifizierungen von Purview zu reagieren. Eine Richtlinie könnte lauten: „Wenn eine Azure SQL-Datenbank in Purview als ‚Streng Vertraulich‘ klassifiziert ist, prüfe, ob Transparent Data Encryption (TDE) aktiviert ist. Wenn nicht, melde einen Compliance-Verstoß.“ Du kannst sogar noch einen Schritt weiter gehen und Deny- oder DeployIfNotExists-Effekte nutzen, um unsichere Konfigurationen von vornherein zu blockieren oder automatisch zu korrigieren. Dies könnte allerdings zu Frustration bei Entwicklern führen und sollte bedacht werden.
Schritt 3: Security Posture überwachen mit Defender for Cloud
Microsoft Defender for Cloud agiert als dein zentrales Dashboard für die Sicherheitslage. Er sammelt Signale von allen deinen Ressourcen und bewertet sie anhand von etablierten Sicherheits-Frameworks wie dem CIS Benchmark oder NIST. Die Integration mit Azure Policy ist hier nahtlos, denn die meisten Sicherheitsempfehlungen im Defender for Cloud sind im Kern Azure Policy-Definitionen.
Wenn deine Azure Policy, die auf einer Purview-Klassifizierung basiert, einen Verstoß feststellt (z.B. eine unverschlüsselte Datenbank mit sensiblen Daten), wird dieser Verstoß automatisch im Defender for Cloud als Sicherheitsempfehlung mit hoher Priorität angezeigt. Dein Security-Team muss also nicht mehr manuell die Datenklassifizierung prüfen. Sie sehen sofort, dass hier ein echtes Risiko vorliegt, weil nicht irgendeine Test-Datenbank, sondern eine produktive Datenbank mit Kundendaten betroffen ist. Dies ermöglicht eine risikobasierte Priorisierung der anstehenden Aufgaben.
Das Zusammenspiel im Praxisbeispiel
Lass uns das an einem Beispiel durchspielen: Du möchtest sicherstellen, dass alle Azure Storage Accounts, die als „Projektintern“ klassifizierte Dokumente enthalten, keinen öffentlichen Zugriff erlauben. Zuerst konfigurierst du Purview so, dass es deine Storage Accounts scannt und Dokumente, die interne Projektnamen oder -nummern enthalten, als „Projektintern“ klassifiziert. Dies ist der Purview-Scan. Weitere Infos dazu findest du in anderen Purview-Beiträgen von mir.
Anschließend erstellst du eine benutzerdefinierte Azure Policy. Die Logik der Richtlinie lautet: „Für jeden Storage Account, der von Purview die Klassifizierung ‚Projektintern‘ erhalten hat, prüfe die Eigenschaft allowBlobPublicAccess. Wenn diese true ist, löse einen Audit-Event aus.“ Dies ist die Azure Policy Erstellung. Der Defender for Cloud nimmt diese Azure Policy als Teil seiner Sicherheitsbewertung auf. Sobald ein Entwickler versehentlich den öffentlichen Zugriff auf einen dieser Storage Accounts aktiviert, erscheint im Defender eine kritische Warnung. Dies ist die Überwachung im Defender. Optional könntest du die Azure Policy sogar so konfigurieren, dass sie den Effekt Deny hat. In diesem Fall würde der Versuch, den öffentlichen Zugriff zu aktivieren, von vornherein blockiert werden, mit einer klaren Fehlermeldung, die auf die Unternehmensrichtlinie verweist. Dies ist die Automatisierte Reaktion.
Fazit: Von reaktiver Kontrolle zu proaktiver Governance
Das Zusammenspiel von Microsoft Purview, Azure Policy und Defender for Cloud ermöglicht einen Paradigmenwechsel. Du bewegst dich weg von einer fragmentierten, reaktiven Kontrolle in Silos hin zu einer integrierten, proaktiven und richtliniengesteuerten Governance. Indem du die Datenklassifizierung als zentrale Wahrheit etablierst, kannst du intelligente und kontextbezogene Regeln für deine Infrastruktur und Sicherheit definieren. Das Ergebnis ist eine robustere Sicherheitslage, eine vereinfachte Compliance und die Gewissheit, dass deine Governance-Richtlinien nicht nur auf dem Papier existieren, sondern in deiner gesamten Cloud-Umgebung aktiv durchgesetzt werden.
Quellen
- Azure Policy Dokumentation: https://docs.microsoft.com/de-de/azure/governance/policy/
- Microsoft Defender for Cloud Dokumentation: https://docs.microsoft.com/de-de/azure/defender-for-cloud/
- Integration von Purview und Defender for Cloud: https://techcommunity.microsoft.com/t5/microsoft-security-azure-ad/microsoft-purview-and-microsoft-defender-for-cloud-better/ba-p/3783219
Einführung in Ethical Hacking
IT-Sicherheit beginnt mit dem Verständnis von Angriffsmethoden. Mit Kali Linux, dem Standardwerkzeug für Ethical Hacking, führt dieser Kurs durch den kompletten Prozess von der Einrichtung einer sicheren Testumgebung über die systematische Aufklärung bis hin zur fachgerechten Spurenbeseitigung. Dieser Kurs bietet einen praxisnahen Einstieg in die IT-Sicherheit mit Kali Linux, der führenden Plattform für Penetrationstests und Ethical Hacking.
