Datensicherheit im Zeitalter von Cloud und KI: fünf wichtige Handlungsfelder
Cloud, SaaS und KI schaffen neue Möglichkeiten für Unternehmen. Gleichzeitig verteilen sich sensible Daten über immer mehr Systeme, Anwendungen und Plattformen. Wer heute Datensicherheit gewährleisten will, muss deshalb mehr leisten als Systeme zu schützen.
September 2026, Text Andreas Heer 4 Min.
Montagmorgen in einem Bürogebäude irgendwo in der Schweiz. Die Fachgruppe KI diskutiert über die Einführung neuer GenAI-Funktionen in Microsoft 365. Gleichzeitig migriert die IT weitere Workloads in die Cloud. Mitarbeitende arbeiten mit SaaS-Anwendungen, teilen Dokumente mit Partnern und speichern Daten in unterschiedlichen Umgebungen.
Ein ganz normaler Arbeitstag also. Cloud und KI sind omnipräsent. Und stellen die Cybersecurity-Strategie des Unternehmens vor neue Herausforderungen. Denn die zentrale Frage lautet längst nicht mehr, ob die Systeme ausreichend geschützt sind. Sondern: Wissen wir eigentlich noch, wo unsere sensiblen Daten liegen, wer darauf zugreifen kann und wie sie verwendet werden?
Datensicherheit hat sich grundlegend verändert. Früher ging es primär darum, Server, Netzwerke und Endgeräte vor Angriffen zu schützen. Heute sind sensible Daten über Microsoft 365, Public Clouds, Private Clouds, SaaS-Anwendungen, KI-Dienste und On-Premises-Systeme verteilt. Damit Unternehmen interne und externe Datenschutzanforderungen erfüllen können, müssen Transparenz, Kontrolle und Nachweisbarkeit über ihre Daten gewährleisten.
Datensicherheit wird damit zur Führungs- und Governance-Aufgabe. Wer Cloud und KI sicher nutzen will, muss Daten, Zugriffe, Governance und Cyberresilienz gemeinsam denken.
Fünf Handlungsfelder stehen dabei besonders im Fokus.
1. Transparenz: Wissen, wo sensible Daten liegen
Ich kann nur schützen, was ich kenne. Dieser Grundsatz ist einfach, in der Praxis jedoch immer schwieriger umzusetzen. Dokumente werden geteilt, lokal gespeichert, in Cloud-Systeme übertragen oder in verschiedenen Anwendungen verarbeitet. Die Zahl der Speicherorte wächst kontinuierlich. Im gleichen Masse sinkt oft die Übersicht. Hier eine kleine Fachanwendung, dort eine nicht abgeschaltete VM für einen Test. Wer hat da noch den Überblick?
Die entscheidende Frage lautet deshalb: Wissen Unternehmen tatsächlich, wo ihre sensiblen Daten gespeichert, verarbeitet und geteilt werden? Und wissen sie, wer darauf zugreifen kann? «Nach meiner Erfahrung bereitet es vielen Unternehmen Mühe, Transparenz und Kontrolle über den gesamten Datenlebenszyklus zu behalten. Eine Herausforderung ist insbesondere die Kenntnis darüber, welche Daten welchen Schutzbedarf erfordern, wer darauf zugreifen kann und wo überall die Daten liegen.», sagt dazu Raffael Peluso, Cybersecurity-Spezialist bei Swisscom. «Die Schwierigkeiten liegen oft nicht in den Core-Systemen, sondern in den Umsystemen und hybriden Infrastrukturen.»
Deshalb gewinnen Data Discovery, Datenklassifizierung und die Transparenz über Datenbewegungen an Bedeutung. Unternehmen müssen wissen, welche Daten schützenswert sind, wo sie liegen und wie sie genutzt werden. Erst auf dieser Grundlage lassen sich Governance-Vorgaben, Data-Loss-Prevention-Massnahmen (DLP) oder Audit-Anforderungen wirksam umsetzen.
Transparenz ist damit nicht das Ziel der Datensicherheit. Sie ist die Voraussetzung dafür.
2. Cloud Security: Daten- und Infrastrukturkontrolle verbinden
Die Cloud ist längst unverzichtbarer Bestandteil der Unternehmens-Infrastruktur. Gleichzeitig verändert die Cloud die Anforderungen an die Datensicherheit grundlegend. Daten befinden sich heute in hybriden und Multi-Cloud-Umgebungen. Unterschiedliche Plattformen, Anbieter und Verantwortlichkeiten erschweren die einheitliche Steuerung von Sicherheitsrichtlinien. Hinzu kommen neue technologische Konzepte wie Container oder Microservices. «In hybriden und Multi-Cloud-Umgebungen erhöhen die hohe Skalierbarkeit, der Einsatz von Microservices und die Dynamik der Cloud die Komplexität erheblich», sagt Peluso.
Diese Komplexität ist ein Nährboden für Fehler, betont der Cybersecurity-Spezialist: «Viele Sicherheitsvorfälle entstehen nicht durch hochentwickelte Angriffe, sondern durch Fehlkonfigurationen oder zu weitreichende Zugriffsrechte. Hinzu kommen Risiken durch ungeklärte Verantwortung, die Abhängigkeit von Cloud-Anbietern sowie Fragen der Datenhoheit. Speziell in der Schweiz müssen Unternehmen zudem regulatorische und Compliance-Anforderungen plattformübergreifend nachweisbar erfüllen.»
Die Frage nach Datensicherheit geht dabei über technische Schutzmassnahmen hinaus. Sie berührt auch die digitale Souveränität eines Unternehmens. Der Swisscom Cybersecurity Threat Radar 2026 zählt digitale Souveränität zu den wichtigsten Entwicklungen im Sicherheitsumfeld. Denn wer nicht weiss, wo Daten verarbeitet werden, wer darauf zugreifen kann und welchen rechtlichen Rahmenbedingungen Cloud-Anbieter unterliegen, riskiert langfristig einen Kontrollverlust.
Cloud Security darf deshalb nicht isoliert als Infrastrukturthema betrachtet werden. Sie ist ein zentraler Bestandteil moderner Datensicherheit. Unternehmen benötigen Transparenz über Cloud-Workloads, konsistente Sicherheitsrichtlinien und ein klares Verständnis darüber, welche Daten wo verarbeitet werden. Cloud Governance, Cloud Security Assessments sowie Technologien wie CSPM (Cloud Security Posture Management) und CWPP (Cloud Workload Protection Platform) helfen dabei, diese Kontrolle zurückzugewinnen.
3. AI Governance: Innovation ermöglichen, Datenabfluss verhindern
Kaum ein Technologiethema beschäftigt Unternehmen derzeit so stark wie künstliche Intelligenz. Die Vorteile sind offensichtlich: Insbesondere generative künstliche Intelligenz (GenAI) steigert die Produktivität, beschleunigt Prozesse und schafft neue Möglichkeiten für Innovationen. Gleichzeitig entstehen neue Risiken für die Datensicherheit. Mitarbeitende nutzen KI-Dienste, laden Dokumente hoch oder geben Informationen in Prompts ein. Hinzu kommen KI-Funktionen, die zunehmend direkt in Geschäftsanwendungen integriert werden.
Die Herausforderung ist deshalb nicht die KI selbst. Sie macht bestehende Probleme aber sichtbarer und verstärkt sie. Datensicherheit war bereits vor dem Aufkommen von GenAI eine Governance-Aufgabe. KI wirkt jedoch als Beschleuniger, weil Daten schneller und im grösseren Stil verarbeitet, weitergegeben und genutzt werden.
«AI Governance hat für Schweizer Unternehmen einen zentralen Stellenwert», sagt Peluso. «Sie schafft die notwendigen Leitplanken für einen sicheren, transparenten und verantwortungsvollen Einsatz von KI.» Eine wirksame AI Governance unterstützt Unternehmen dabei, Datenschutzverletzungen, Fehlentscheidungen und unkontrollierte Datennutzung zu reduzieren. Gleichzeitig schafft sie Vertrauen. «AI Governance hilft, den geschäftlichen Nutzen von KI nachhaltig und kontrolliert zu realisieren und Innovationen und Effizienz zu steigern», ergänzt Peluso.
Dass diese Risiken nicht theoretisch sind, zeigt auch der aktuelle Cybersecurity Threat Radar. Dort zählt «Insecure AI» zu den wichtigsten Herausforderungen für Unternehmen. Unsichere KI-Systeme können vertrauliche Daten offenlegen, neue Angriffsflächen schaffen und regulatorische Risiken verursachen. Umso wichtiger werden Transparenz, klare Verantwortlichkeiten und eine wirksame AI Governance.
Für CIOs und CISOs bedeutet dies: Die Nutzung von KI sollte weder blockiert noch unkontrolliert zugelassen werden. Ein erfolgreicher Ansatz umfasst klare Regeln, Verantwortlichkeiten und Kontrollmechanismen. Datensicherheit wird dadurch zum Enabler für Innovation statt zum Bremsklotz.
4. Compliance: Nachweisbarkeit statt reaktiver Pflichtübung
Regulatorische Anforderungen nehmen zu. Datenschutzgesetze, branchenspezifische Vorgaben und interne Governance-Richtlinien verlangen von Unternehmen immer häufiger den Nachweis, wie sie mit sensiblen Daten umgehen.
Doch Compliance beginnt nicht mit dem Audit. Sie beginnt mit Transparenz, betont Peluso: «Transparenz ist die Voraussetzung für alles – insbesondere auch für die Nachweisbarkeit. Man kann nur das nachweisen, was man zuvor transparent gemacht hat.»
Viele Unternehmen betrachten Compliance noch immer als Pflichtübung. Erfolgreiche Organisationen verstehen sie dagegen als Ergebnis guter Datensicherheit. Oder, wie es Peluso ausdrückt: «Transparenz und Nachweisbarkeit bilden die Grundlage für eine wirksame Governance sowie für Audits und regulatorische Compliance. Ohne diese Transparenz lassen sich Anforderungen aus Datenschutz, Informationssicherheit oder AI Governance kaum erfüllen.» Der positive Effekt strahlt dabei über die Unternehmensgrenzen hinaus: «Nachvollziehbarkeit und dokumentierte Prozesse schaffen Vertrauen bei Kunden, Partnern, Aufsichtsbehörden und Auditoren», betont Peluso.
5. Cyberresilienz: den Geschäftsbetrieb auf Datenebene schützen
Cyberresilienz wird häufig mit der Fähigkeit verbunden, Cyberangriffe zu erkennen und darauf zu reagieren. Das greift jedoch zu kurz. Resilienz beginnt deutlich früher. Sie beginnt bei der Frage, welche Daten für den Geschäftsbetrieb kritisch sind, wo sie liegen, wer darauf zugreifen kann und wie die «Kronjuwelen» geschützt werden. Datensicherheit schützt damit nicht nur Informationen, sondern auch die Handlungsfähigkeit des Unternehmens.
«Daten sind heute eine der wichtigsten Unternehmensressourcen und zugleich ein bevorzugtes Ziel von Cyberangriffen. Deshalb ist Datensicherheit zentral für die Cyberresilienz eines Unternehmens – ohne Datensicherheit gibt es keine echte Cyberresilienz», sagt Peluso.
Je besser Transparenz, Kontrolle und Schutz der Daten in einem Unternehmen sind, desto widerstandsfähiger wird es gegenüber Cyberangriffen und operativen Störungen. Dabei greifen verschiedene Disziplinen ineinander: Data Loss Prevention, Security Operations Center (SOC), Threat Detection and Response (TDR), Extended Detection and Response (XDR), CASB-Lösungen und Security Awareness tragen gemeinsam dazu bei, Risiken frühzeitig zu erkennen und die Auswirkungen von Vorfällen zu begrenzen.
Technologien allein reichen jedoch nicht aus. Entscheidend ist das Zusammenspiel aus Transparenz, Governance und operativer Sicherheit. Denn Cyberresilienz entsteht dort, wo Unternehmen jederzeit wissen, welche Daten für den Geschäftsbetrieb kritisch sind und wie sie geschützt werden können.
Daten, Cloud und KI gemeinsam denken
Datensicherheit entwickelt sich von einer technischen Disziplin zu einer strategischen Führungsaufgabe. Cloud-Plattformen, SaaS-Anwendungen und KI schaffen neue Chancen für Innovation und Produktivität. Gleichzeitig erhöhen sie die Anforderungen an Transparenz, Kontrolle und Governance.
Die fünf Handlungsfelder sind eng miteinander verbunden:
- Transparenz schaffen
- Cloud-Umgebungen kontrollieren
- KI verantwortungsvoll steuern
- Compliance nachvollziehbar machen
- Cyberresilienz stärken
Raffael Peluso fasst diese Entwicklung treffend zusammen: «Transparenz ist der Ausgangspunkt und Cyberresilienz das Ziel. Ohne Transparenz über Daten, Systeme, Zugriffsrechte und deren Nutzung ist nachhaltige Datensicherheit kaum möglich.»
Unternehmen, die in Sachen Transparenz bereits auf gutem Weg sind, rät Peluso, konsequent weiterzumachen: «Der Fokus sollte auf der konsequenten Umsetzung und Durchsetzung von Sicherheits- und Governance-Massnahmen liegen. Unternehmen müssen sicherstellen, dass sensible Daten nur autorisierten Personen zugänglich sind, Fehlkonfigurationen minimiert und Sicherheitsrichtlinien über hybride Cloud- und KI-Umgebungen hinweg einheitlich angewendet werden.»
Für CIOs, CISOs und IT-Verantwortliche lautet die zentrale Aufgabe deshalb nicht, einzelne Technologien zu schützen. Die Herausforderung besteht darin, Daten, Cloud, KI und Governance als zusammenhängendes System zu betrachten. «Dabei gewinnen Automatisierung, kontinuierliches Monitoring und AI Governance an Bedeutung. Sie reduzieren die Risiken und stärken die langfristige Widerstandsfähigkeit der Organisation gegenüber Cyberbedrohungen», betont Peluso.Will heissen: Wer die Kontrolle über seine Daten behält, schafft die Grundlage für Sicherheit, Compliance und langfristige digitale Handlungsfähigkeit.