Cloud & Application Security

Was macht ein Cloud Security Engineer?

Er sichert Umgebungen, in denen es keinen Netzrand mehr gibt. In AWS, Azure oder Google Cloud entscheidet nicht die Firewall, sondern die Konfiguration: wer welche Rolle hat, welcher Dienst welchen anderen aufrufen darf, welcher Speicher öffentlich erreichbar ist, wie Schlüssel verwaltet werden und wo Protokolle landen. Die Arbeit besteht darin, dafür Vorgaben zu setzen, sie technisch durchzusetzen und Abweichungen laufend zu finden – denn eine Cloud-Umgebung ändert sich täglich, und ein falsch gesetztes Recht ist schneller angelegt als bemerkt.

Die Applikationssicherheit ist der zweite Teil und betrifft den Code. Bedrohungsanalysen für Anwendungen, Prüfung von Entwürfen, statische und dynamische Tests, Bewertung von Abhängigkeiten und die Arbeit an den Schwachstellenklassen, die seit Jahren dieselben sind – fehlerhafte Zugriffskontrolle, Einbettung von Fremdcode, unsichere Verarbeitung von Eingaben. Wer in Microsoft 365 und Entra arbeitet, hat einen dritten Schwerpunkt: Mandantenkonfiguration, Richtlinien für bedingten Zugriff und die Absicherung von Zusammenarbeit und Datenabfluss.

Wie wird man Cloud Security Engineer?

Über den Bau, nicht über die Lehre. Fast alle Stellen setzen voraus, dass Sie eine Cloud-Umgebung selbst betrieben oder Software selbst entwickelt haben. Üblich sind ein Studium der Informatik oder der Fachinformatiker für Systemintegration oder Anwendungsentwicklung mit mehreren Jahren Praxis in Plattformbetrieb, Entwicklung oder Administration.

Die Nachweise sind hier klar plattformbezogen und werden auch so verlangt: die Sicherheitszertifizierungen von AWS, Azure oder Google Cloud, für die Microsoft-Welt die Prüfungen zu Sicherheitsbetrieb und Identitätsverwaltung, für Container die Kubernetes-Zertifizierungen. In der Applikationssicherheit gibt es keinen vergleichbaren Marktstandard; hier zählen die Vorgaben und Prüflisten der OWASP und nachweisbare Arbeit an echtem Code. CISSP hilft, wenn die Stelle in Richtung Architektur geht.

Was der Beruf verlangt

Ein hohes Tempo beim Nachlernen. Cloud-Anbieter veröffentlichen laufend neue Dienste, und jeder bringt eigene Rechte und eigene Fehlkonfigurationen mit. Wer sein Wissen einmal aufgebaut hat und dann pflegt, kommt in diesem Beruf nicht mit; ein Teil der Arbeitszeit geht dauerhaft in Lesen und Ausprobieren.

Der zweite Punkt ist die Zusammenarbeit mit Entwicklungsteams, die schneller sein wollen als jede Prüfung. Sie können in einer Cloud-Umgebung nichts verhindern, was jemand mit Berechtigungen anlegen kann; Sie können es nur sichtbar machen und Vorgaben so bauen, dass der sichere Weg der einfachere ist. Wer mit Verboten arbeitet, wird umgangen. Die Arbeitszeiten sind regulär, Rufbereitschaft kommt vor, und dieser Beruf ist einer der am stärksten ortsunabhängigen dieses Portals.

Aussichten

Die Nachfrage ist hoch und steigt weiter, weil der Umzug in die Cloud nicht abgeschlossen ist und die Zahl der Fehlkonfigurationen mit jeder neuen Umgebung wächst. Regulatorisch kommt Druck von zwei Seiten: Auslagerungen an Cloud-Anbieter müssen nach DORA und den Anforderungen der Aufsicht bewertet und überwacht werden, und NIS2 verlangt Nachweise über die Sicherheit der Lieferkette. Weiterwege führen in die Sicherheitsarchitektur, in die Plattformverantwortung und in die Beratung, wo Cloud-Sicherheit derzeit eines der gefragtesten Themen ist.