Kritische Schwachstellen in Cloud-Anwendungen nehmen deutlich zu

Gleichzeitig können langlebige API-Schlüssel und kompromittierte Software-Abhängigkeiten Angreifenden den Zugriff auf weitere Cloud-Dienste ermöglichen. Das zeigt der aktuelle Bericht „State of Cloud Security 2026“ von Datadog.

Viermal so viele kritische und schwerwiegende Schwachstellen

In den untersuchten Cloud-Umgebungen hat sich die mediane Zahl der Schwachstellen mit hohem oder kritischem Schweregrad zwischen Februar und November 2026 vervierfacht. Waren es zu Beginn des Zeitraums noch durchschnittlich vier Lücken, lag der Wert im November bereits bei rund 16.

Damit wächst nicht nur die Zahl potenzieller Angriffspunkte. Entscheidend ist auch, welche Möglichkeiten sich nach einer erfolgreichen Kompromittierung eröffnen. Datadog zufolge müssen Unternehmen deshalb neben dem Schließen bekannter Schwachstellen vor allem dafür sorgen, dass Angreifende nicht ohne Weiteres von einer betroffenen Anwendung auf weitere Systeme und Dienste zugreifen können.

Dauerhafte API-Schlüssel erhöhen das Risiko

Ein besonderes Augenmerk legt der Report auf den Einsatz von KI-Diensten in Cloud-Umgebungen. Mehr als jede fünfte untersuchte Organisation nutzt entsprechende Angebote. Für den Zugriff stellen Cloud-Anbieter unter anderem API-Schlüssel bereit, die teilweise unbegrenzt gültig bleiben, bis sie aktiv widerrufen werden.

Solche Zugangsdaten können bei einem Diebstahl langfristig missbraucht werden. Fast die Hälfte der Organisationen, die Google Gemini einsetzen, verwendet laut Datadog langlebige Gemini-API-Schlüssel. Bei Amazon Bedrock betrifft dies 17 Prozent der untersuchten Nutzer.

Andrew Krug, Head of Security Advocacy bei Datadog, weist darauf hin, dass Angreifende kein eigenes KI-Modell benötigen, wenn sie Zugriff auf die Zugangsdaten eines fremden Dienstes erlangen. Unternehmen sollten deshalb möglichst temporäre Berechtigungen einsetzen und dauerhaft gültige Schlüssel vermeiden.

Dass solche Zugänge bereits gezielt auf ihre Nutzungsmöglichkeiten geprüft werden, zeigen Beobachtungen von Datadog Security Labs. Die Forschenden fanden Werkzeuge, mit denen gestohlene AWS-Zugangsdaten darauf getestet werden können, ob sie Zugriff auf Amazon Bedrock ermöglichen. Innerhalb von 30 Tagen registrierten sie entsprechende Versuche in den Cloud-Umgebungen von zwölf Organisationen.

Software-Abhängigkeiten als Einfallstor

Ein weiteres Risiko entsteht durch die Lieferkette von Cloud-Anwendungen. Im Durchschnitt basieren die untersuchten Workloads auf 149 Softwarepaketen. Mehr als die Hälfte davon wird nicht direkt eingebunden, sondern gelangt als indirekte Abhängigkeit über andere Pakete in die Anwendungen.

Zugleich zeigt sich eine hohe Geschwindigkeit bei der Aktualisierung: 60 Prozent der Organisationen betreiben Cloud-Anwendungen mit Paketversionen, die weniger als 24 Stunden zuvor veröffentlicht wurden. Insgesamt trifft dies auf 21 Prozent aller analysierten Cloud-Anwendungen zu.

Aktuelle Softwareversionen sind nicht automatisch unsicher. Die schnelle Verbreitung neuer Pakete kann jedoch dazu führen, dass manipulierte Versionen innerhalb kurzer Zeit in produktive Umgebungen gelangen. Ein Beispiel dafür ist die Schadsoftware Shai-Hulud 2.0, die infizierte Systeme unter anderem nach Cloud-Zugangsdaten durchsuchte.

Datenperimeter begrenzen mögliche Angriffsfolgen

Neben den Risiken erkennt Datadog auch Fortschritte bei der Absicherung von Cloud-Umgebungen. So setzen inzwischen 55 Prozent der untersuchten AWS-Nutzer Datenperimeter ein. Im Jahr 2025 lag dieser Anteil noch bei 40 Prozent. Solche Begrenzungen können verhindern, dass gültige Zugangsdaten automatisch weitreichenden Zugriff auf Daten und Ressourcen ermöglichen.

Für Emilio Escobar, Chief Information Security Officer bei Datadog, kommt es angesichts der wachsenden Zahl schwerwiegender Schwachstellen darauf an, die möglichen Folgen einer Kompromittierung einzudämmen. Dafür seien zeitlich begrenzte Zugangsdaten, Datenperimeter und ein gemeinsamer Überblick über Anwendungen, Identitäten und Infrastruktur notwendig.

Der Bericht macht damit deutlich, dass Cloud-Sicherheit nicht allein von der schnellen Behebung einzelner Schwachstellen abhängt. Unternehmen müssen ebenso kontrollieren, welche Berechtigungen Anwendungen besitzen und wie weit sich ein Angreifer nach einem erfolgreichen Zugriff innerhalb der Umgebung bewegen kann.

(red/Datadog)