Dass AWS in fünf von sechs Kategorien die höchste Verbreitung aufweist, erklärt Intruder unter anderem mit der Größe des Angebots: AWS hat die breiteste Dienstepalette, mehr Dienste bedeuten mehr Konfigurationsoptionen und damit mehr Gelegenheiten für Fehler. Google Cloud liegt in fünf Kategorien am niedrigsten und bietet gleichzeitig die wenigsten Dienste. Als weitere Erklärung nennt Intruder den anderen Ansatz bei der geteilten Verantwortung: Das Shared-Fate-Modell liefert sicherere Standardeinstellungen von Haus aus, besonders bei Netzwerkexposition und Verschlüsselung.
Bei AWS ist das häufigste Einzelproblem, dass S3-Buckets kein HTTPS erzwingen. S3 gehört zu den am breitesten genutzten Cloud-Speicherdiensten, und auch wenn Man-in-the-Middle-Angriffe darauf selten sind, gibt es kaum einen Grund, einfaches HTTP offen zu lassen. Gravierender ist der zweite Punkt: IAM-Richtlinien, die eine Rechteausweitung erlauben, betreffen 83 Prozent der Konten. AWS IAM gilt als notorisch komplex — eine verwaltete Richtlinie, die unbedenklich aussieht, kann weitreichendere Berechtigungen gewähren als beabsichtigt. In einem kürzlichen Vorfall gelangte ein Angreifer von offengelegten Zugangsdaten in weniger als zehn Minuten zu administrativen Rechten und kompromittierte dabei 19 AWS-Principals.
Bei Azure drehen sich die drei häufigsten Probleme sämtlich um Storage Accounts, in denen häufig sensible Daten wie personenbezogene Informationen liegen. Alle drei betreffen einen ähnlichen Anteil der Konten — ein Hinweis darauf, dass dort, wo Storage Accounts nicht gehärtet sind, meist gleich mehrere Kontrollen fehlen. Mehr als die Hälfte der Konten hat zudem Entra-ID-Benutzer ohne Multi-Faktor-Authentifizierung. Das wiegt schwer, weil Entra ID den Zugriff über Cloud-Ressourcen hinaus regelt: Microsoft 365, SaaS-Anwendungen von Drittanbietern und Systeme im eigenen Rechenzentrum. Der Midnight-Blizzard-Einbruch in Microsofts eigenes Netz im Jahr 2024 begann mit einem Password-Spray-Angriff auf ein altes Testkonto ohne MFA.
Bei Google Cloud lassen sich fast alle Top-Probleme auf Identitäts- und Zugriffsverwaltung zurückführen. Mehr als drei Viertel der Konten haben keine OS-Login-Kontrollen aktiviert, die eine sicherere Alternative zu klassischem SSH darstellen.
Interessant ist der Blick auf die Unternehmensgröße: In den meisten Kategorien sinkt die Verbreitung, je größer die Organisation wird. Große Unternehmen haben seltener zu freizügige Firewalls, exponierte Dienste oder schwache Verschlüsselung. Die Ausnahme ist IAM — schwache IAM-Kontrollen betreffen 87 Prozent der kleinen und mittleren Unternehmen (unter 250 Beschäftigte), 95 Prozent des Midmarkets (251 bis 10.000) und 98 Prozent der großen Konzerne (10.000 bis über 100.000). Laut Intruder genügt oft eine einzige überprivilegierte Identität, um anderswo gehärtete Kontrollen zu umgehen.
Auch bei der Behebung fällt der Midmarket auf: Dort dauert es im Schnitt 35 Tage, bis Cloud-Probleme beseitigt sind, gegenüber 8 bis 16 Tagen bei kleineren Firmen und 10 Tagen bei großen Unternehmen. Intruder deutet das als Hinweis darauf, dass diese Teams eine Cloud-Komplexität auf Konzernniveau verwalten, ohne über entsprechende eigene Ressourcen zu verfügen. Der vollständige Bericht enthält die zehn häufigsten Fehlkonfigurationen je Plattform sowie die Sicherheitslage nach Organisationsgröße.