Cloud-Sicherheit: Wer ist für was verantwortlich?

Viele Unternehmen gehen davon aus: Sobald Daten in der Cloud liegen, kümmert sich der Anbieter um deren Sicherheit. Diese Annahme ist einer der häufigsten Auslöser für Sicherheitsvorfälle in Cloud-Umgebungen. Tatsächlich gilt das Prinzip der geteilten Verantwortung: Der Anbieter sichert seine Infrastruktur ab, Sie sichern alles ab, was Sie hineinlegen – Ihre Daten, Ihre Benutzerkonten, Ihre Einstellungen. Wo genau die Grenze verläuft, hängt vom gebuchten Servicemodell ab und steht im Vertrag, nicht in der Werbebroschüre.

Das Prinzip der geteilten Verantwortung

Cloud-Anbieter wie Microsoft, Google oder Amazon betreiben die Rechenzentren, in denen Ihre Daten liegen. Sie sorgen dafür, dass Gebäude, Server, Speicher und Netzwerke geschützt und verfügbar sind. Das ist die Sicherheit der Cloud. Alles, was Sie in dieser Cloud ablegen und einstellen, ist dagegen die Sicherheit in der Cloud – und dafür sind Sie zuständig.

Diese Trennung hat einen einfachen Grund: Der Anbieter kann nicht wissen, welche Mitarbeiter auf welche Daten zugreifen dürfen, welche Dokumente vertraulich sind oder ob ein freigegebener Ordner so beabsichtigt war. Er stellt die Werkzeuge bereit, Sie bedienen sie.

Was der Anbieter absichert

Zur Verantwortung des Anbieters gehören typischerweise:

• die physische Sicherheit der Rechenzentren, also Zutrittskontrolle, Brandschutz, Stromversorgung und Klimatisierung,
• Hardware, Speichersysteme und Netzwerkinfrastruktur,
• die Virtualisierungsschicht, auf der die Dienste laufen,
• die Aktualisierung und Absicherung der zugrunde liegenden Plattform,
• die Verfügbarkeit und Ausfallsicherheit der Infrastruktur, soweit im Vertrag zugesichert.

Seriöse Anbieter lassen das durch unabhängige Prüfungen bestätigen, etwa nach der Norm ISO 27001 oder dem C5-Kriterienkatalog des Bundesamts für Sicherheit in der Informationstechnik. Diese Nachweise beziehen sich jedoch immer auf die Plattform – nicht darauf, was Sie mit ihr tun.

Was in Ihrer Verantwortung bleibt

Auf Ihrer Seite liegen dagegen:

• Identitäten und Zugriffe: Wer bekommt ein Konto, mit welchen Rechten? Dazu gehört, die Mehr-Faktor-Authentifizierung zu aktivieren und Konten ausscheidender Mitarbeiter umgehend zu sperren.
• Daten: Sie entscheiden, welche Informationen in die Cloud dürfen und welche Schutzeinstellungen dafür gelten.
• Konfiguration: Freigaben, öffentliche Links und Gastzugänge entstehen auf Ihrer Seite – und bleiben Ihr Risiko.
• Endgeräte: Ein unsicheres Laptop oder Smartphone gefährdet auch die bestgesicherte Cloud.
• Datensicherung: Bei vielen Cloud-Diensten ist kein vollwertiges Backup enthalten. Wer Daten verliert, steht ohne eigene Sicherung oft vor einem dauerhaften Verlust.
• Schulung: Ihre Mitarbeiter müssen Phishing erkennen und Freigaben richtig einsetzen.

Je nach Servicemodell verschiebt sich die Grenze

Bei Infrastructure as a Service (IaaS) mieten Sie virtuelle Server und Speicher. Der Anbieter kümmert sich um Hardware und Virtualisierung, Sie um Betriebssystem, Updates, Anwendungen und Daten. Wer hier einen Server betreibt, muss ihn auch patchen können.

Bei Platform as a Service (PaaS) übernimmt der Anbieter zusätzlich Betriebssystem und Laufzeitumgebung. Sie bleiben für Ihre Anwendungen und Daten verantwortlich.

Bei Software as a Service (SaaS), etwa Microsoft 365 oder Google Workspace, betreibt der Anbieter die komplette Anwendung. Ihnen bleiben Benutzerkonten, Rechte, Freigabeeinstellungen und Ihre Daten. Das klingt nach wenig, ist aber genau der Bereich, über den die meisten Vorfälle entstehen: ein Konto ohne Mehr-Faktor-Authentifizierung, ein öffentlich freigegebener Ordner, ein ehemaliger Mitarbeiter mit aktivem Zugang.

Zuerst prüfen: Was steht im Vertrag?

Bevor Sie einen Cloud-Dienst nutzen, prüfen Sie vier Punkte in Vertrag und Leistungsbeschreibung.

Erstens den Datenstandort. Liegen Ihre Daten in Deutschland oder der Europäischen Union? Für personenbezogene Daten ist das datenschutzrechtlich relevant.

Zweitens den Auftragsverarbeitungsvertrag. Verarbeitet der Anbieter personenbezogene Daten in Ihrem Auftrag, ist dieser Vertrag nach der Datenschutz-Grundverordnung erforderlich. Er regelt unter anderem, was der Anbieter mit den Daten tun darf und wie er sie schützen muss.

Drittens die enthaltenen Sicherungsleistungen. Ist ein Backup Teil des Angebots oder eine Zusatzleistung? Wie lange lassen sich gelöschte Daten wiederherstellen?

Viertens die Benachrichtigung bei Vorfällen. Wie informiert der Anbieter Sie über Sicherheitsvorfälle, die Ihre Daten betreffen?

Fragen, die Sie dem Anbieter stellen sollten

• Ist eine Datensicherung enthalten, und kann ich gelöschte Daten selbst wiederherstellen?
• Wo werden meine Daten gespeichert, und werden sie in Drittländer übertragen?
• Welche Protokolle über Anmeldungen und Zugriffe kann ich einsehen?
• Unterstützt der Dienst Mehr-Faktor-Authentifizierung und eine fein abgestufte Rechtevergabe?
• Wie und wie schnell werde ich über Sicherheitsvorfälle informiert?
• Was passiert bei Vertragsende mit meinen Daten – wie exportiere ich sie, und werden sie anschließend gelöscht?

Wer auf diese Fragen keine klaren Antworten bekommt, sollte vorsichtig sein. Ein Anbieter, der seine Verantwortung nicht schriftlich zusichert, wird sie im Streitfall auch nicht übernehmen.

Woran Sie merken, dass etwas schiefläuft

Einige Warnsignale zeigen, dass die Verantwortung im eigenen Haus nicht geklärt ist:

• Niemand kann auf Anhieb sagen, wer im Unternehmen Administratorrechte hat.
• Ehemalige Mitarbeiter besitzen noch aktive Konten.
• Es existieren Freigabelinks, deren Zweck niemand mehr kennt.
• Sicherheitsmeldungen des Anbieters landen ungelesen in einem Postfach, um das sich niemand kümmert.
• Eine Datensicherung wird angenommen, aber eine Wiederherstellung wurde nie getestet.
• Neue Mitarbeiter bekommen Zugänge nach Gefühl eingerichtet, ohne festen Prozess.

Ein einfacher Selbsttest: Lassen Sie sich zeigen, wie ein versehentlich gelöschtes Dokument wiederhergestellt wird. Klappt das nicht, ist die Sicherungsfrage ungeklärt – unabhängig davon, was der Vertrag verspricht.

Wer im Unternehmen zuständig ist

Cloud-Sicherheit braucht eine benannte verantwortliche Person, auch in einem kleinen Betrieb. Das muss kein ausgebildeter Administrator sein, aber jemand, der Zugänge verwaltet, Freigaben regelmäßig prüft und als Ansprechpartner für den Anbieter oder einen externen IT-Dienstleister dient.

Drei Aufgaben lassen sich nicht delegieren: Die Entscheidung, welche Daten in die Cloud dürfen, liegt beim Unternehmen. Die Festlegung, wer worauf zugreifen darf, ebenfalls. Und die Gesamtverantwortung bleibt bei der Geschäftsführung – sie kann Aufgaben übertragen, nicht aber die Verantwortung.

Praktisch bewährt hat sich ein schlanker, schriftlich festgehaltener Prozess: Eintritte und Austritte werden gemeldet, die IT-Verantwortung richtet Konten ein oder sperrt sie, und in regelmäßigen Abständen werden Administratorrechte und Freigaben durchgesehen.

Wann sich der Aufwand nicht lohnt

Nicht jede Schutzmaßnahme passt zu jedem Unternehmen. Wer mit einem kleinen Team nur Dokumente und E-Mails in einem Standarddienst ablegt, braucht kein komplexes Berechtigungskonzept mit Dutzenden Rollen – hier reichen sauber vergebene Konten, Mehr-Faktor-Authentifizierung und Disziplin bei Freigaben.

Umgekehrt lohnt sich Infrastructure as a Service nicht, wenn im Unternehmen niemand Server administrieren kann. Ein selbst betriebener virtueller Server, der nicht gepatcht wird, ist unsicherer als jede gut konfigurierte Standardanwendung. In diesem Fall ist ein vollständig betreuter Dienst die bessere Wahl.

Auch Zusatzprodukte sollten Sie am tatsächlichen Risiko messen: Eine eigene Backup-Lösung für Cloud-Daten lohnt sich, wenn deren Verlust den Betrieb lahmlegen würde. Für Daten, die sich leicht neu erstellen lassen, ist sie überflüssig. Und bevor Sie in zusätzliche Sicherheitswerkzeuge investieren, nutzen Sie die bereits enthaltenen Funktionen konsequent – die wirksamsten Schritte erfordern meist keine Zusatzprodukte, sondern Aufmerksamkeit.

Fazit

Cloud-Sicherheit ist kein Produkt, das man kauft, sondern eine Arbeitsteilung. Der Anbieter sichert die Plattform, Sie sichern Daten, Konten und Konfiguration. Wer die Grenze kennt, den Vertrag prüft und im Unternehmen eine verantwortliche Person benennt, nutzt die Cloud mit einem überschaubaren Restrisiko. Wer dagegen annimmt, der Anbieter werde sich schon kümmern, lässt genau die Türen offen, durch die es am häufigsten passiert.

Dieser Artikel wurde KI-unterstützt erstellt und vor der Veröffentlichung geprüft.