Cloud-Sicherheit: Cloud-Sicherheit umfasst alle organisatorischen und technischen Maßnahmen zum Schutz von Daten, Anwendungen und Infrastruktur in Cloud-Umgebungen; ISO/IEC 27017 ergänzt die generischen Controls der ISO 27001 um cloud-spezifische Maßnahmen, ISO/IEC 27018 regelt zusätzlich den Schutz personenbezogener Daten in der Cloud.
Grundlage der Cloud-Sicherheit ist das Shared-Responsibility-Modell: Der Cloud-Anbieter sichert die physische Infrastruktur, Rechenzentren und je nach Servicemodell auch das Betriebssystem ab, während der Kunde für Konfiguration, Zugriffsrechte, Datenverschlüsselung und das Verhalten seiner Nutzenden verantwortlich bleibt. Wie die Verantwortung genau verteilt ist, hängt vom Servicemodell ab.
| Servicemodell | Anbieter verantwortlich für | Kunde verantwortlich für |
|---|---|---|
| IaaS | Rechenzentrum, Netzwerk, Hardware | Betriebssystem, Anwendungen, Zugriffe, Daten |
| PaaS | zusätzlich Betriebssystem, Laufzeitumgebung | Anwendungen, Konfiguration, Zugriffe, Daten |
| SaaS | Anwendung, Infrastruktur, Betrieb | Nutzerverwaltung, Zugriffsrechte, Dateneingabe |
Typische Risiken sind Fehlkonfigurationen von Speicherfreigaben, unsichere Programmierschnittstellen (APIs), unzureichende Zugriffskontrolle sowie der Verlust der Datenhoheit, wenn Anbieter Daten außerhalb der EU verarbeiten. ISO/IEC 27017 liefert zusätzliche Umsetzungshinweise zu bestehenden Anhang-A-Controls speziell für Cloud-Dienstanbieter und -Kunden, ISO/IEC 27018 ergänzt Vorgaben zum Schutz personenbezogener Daten in öffentlichen Clouds. Beide Normen sind freiwillige Ergänzungen und keine eigenständigen Zertifizierungsgrundlagen im Rahmen einer ISO-27001-Zertifizierung.
Ein weiterer Baustein der Cloud-Sicherheit ist die Frage, wo Daten physisch gespeichert und verarbeitet werden. Rechenzentren innerhalb der EU unterliegen unmittelbar der DSGVO, bei Anbietern mit Konzernsitz außerhalb der EU kann trotz EU-Rechenzentrum ein internationaler Datenzugriff rechtlich relevant werden. Unternehmen sollten deshalb vor Vertragsabschluss klären, in welchem Land der Anbieter Daten speichert und verarbeitet, welche Verschlüsselungsverfahren für Daten im Ruhezustand und bei der Übertragung eingesetzt werden, und ob der Anbieter unabhängige Nachweise wie ein eigenes ISO-27001-Zertifikat oder einen aktuellen Prüfbericht vorlegen kann.
Relevanz für die Zertifizierung
Anhang A der ISO 27001:2022 kennt keine eigenen Cloud-Controls, verlangt aber im Rahmen der Lieferantenbeziehungen (5.19 bis 5.23) und der Kryptografie (8.24) Nachweise, die bei Cloud-Nutzung besonders relevant sind. Ein Auditor fragt typischerweise nach der Verantwortlichkeitsmatrix mit dem Cloud-Anbieter, dem Auftragsverarbeitungsvertrag, der Verschlüsselung von Daten bei Übertragung und Speicherung sowie nach dem Zugriffskonzept für Cloud-Administratorkonten. Zunehmend werden auch Exit-Klauseln im Cloud-Vertrag geprüft, da ein Anbieterwechsel ohne klar geregelten Datenmigrationspfad ein eigenständiges Risiko für die Verfügbarkeit von Informationen darstellt.
Häufige Fragen zu Cloud-Sicherheit
Nein. ISO/IEC 27017 ist eine freiwillige Ergänzung zu ISO 27001 mit zusätzlichen Umsetzungshinweisen für Cloud-Dienste. Für die ISO-27001-Zertifizierung selbst reicht die Erfüllung der Anhang-A-Controls; eine gesonderte Zertifizierung nach 27017 ist ein eigenständiges, separates Verfahren.
Beide, je nach Servicemodell. Bei IaaS trägt der Kunde die Hauptverantwortung für Betriebssystem, Zugriffe und Daten, bei SaaS liegt mehr Verantwortung beim Anbieter. Verträge und Service-Level-Agreements sollten die Aufteilung konkret und schriftlich festhalten.
Üblich sind Fragen nach dem Auftragsverarbeitungsvertrag, der Verantwortlichkeitsmatrix mit dem Anbieter, der Verschlüsselung ruhender und übertragener Daten sowie dem Zugriffskonzept für privilegierte Cloud-Konten. Fehlen diese Nachweise, ist das ein häufiger Befund im Audit.