Volljurist und Compliance-Experte
05 May 2026
4 Minuten
.svg)
Die ISO 27001-Zertifizierung des Cloud-Anbieters deckt nur dessen Verantwortungsbereich ab, nicht Ihren eigenen.
Das Shared Responsibility Model definiert klar, wer für welche Sicherheitsaufgaben in IaaS-, PaaS- und SaaS-Umgebungen verantwortlich ist.
Ein präzise abgegrenzter ISMS-Geltungsbereich ist entscheidend, um Sicherheitslücken und Audit-Risiken zu vermeiden.
Nur wer seine Cloud-Verantwortlichkeiten dokumentiert und versteht, erreicht echte ISO 27001-Compliance und langfristige Datensicherheit.
Sie nutzen Cloud-Dienste von Anbietern wie AWS, Azure oder Google Cloud, die stolz ihre ISO 27001-Zertifizierung präsentieren. Ein beruhigendes Gefühl, oder? Man könnte meinen, die eigene Informationssicherheit sei damit schon fast im grünen Bereich. Doch genau hier lauert eine der häufigsten und kostspieligsten Fallen auf dem Weg zur eigenen Zertifizierung.
Die Zertifizierung Ihres Cloud-Anbieters ist zwar eine wichtige Grundlage, aber sie macht Ihr Unternehmen nicht automatisch ISO 27001-konform. Warum? Weil Informationssicherheit in der Cloud eine geteilte Verantwortung ist.
In diesem Leitfaden erklären wir Ihnen, wie ein Freund bei einer Tasse Kaffee, was das bedeutet. Wir entschlüsseln das „Shared Responsibility Model“ und zeigen Ihnen Schritt für Schritt, wie Sie den Geltungsbereich (Scope) Ihres Informationssicherheits-Managementsystems (ISMS) für IaaS-, PaaS- und SaaS-Modelle präzise und auditsicher definieren.
Bevor wir in die Details der verschiedenen Cloud-Modelle eintauchen, müssen wir zwei Kernkonzepte verstehen. Sie sind das Fundament für jede erfolgreiche ISO 27001-Zertifizierung in einer Cloud-Umgebung.
Stellen Sie sich den Geltungsbereich Ihres ISMS wie einen Schutzzaun um die wertvollsten Informationen Ihres Unternehmens vor. Gemäß Klausel 4.3 der ISO 27001 müssen Sie genau festlegen, welche Teile Ihrer Organisation – welche Prozesse, Standorte, Systeme und Daten – durch diesen Zaun geschützt werden.
Eine unklare Abgrenzung ist wie ein Loch im Zaun: Sie führt zu Sicherheitslücken und ist ein sicherer Weg, im Audit durchzufallen. In der Cloud wird diese Abgrenzung besonders knifflig, denn ein Teil Ihres „Grundstücks“ gehört und wird von jemand anderem verwaltet. Eine korrekte Definition des ISMS-Geltungsbereichs ist daher der erste und wichtigste Schritt.
Das Shared Responsibility Model (Modell der geteilten Verantwortung) ist das wichtigste Konzept, um Sicherheit in der Cloud zu verstehen. Es besagt, dass der Cloud-Anbieter für die Sicherheit der Cloud verantwortlich ist, während Sie als Kunde für die Sicherheit in der Cloud verantwortlich sind.
Die genaue Aufteilung dieser Verantwortlichkeiten hängt jedoch stark davon ab, welches Servicemodell Sie nutzen: Infrastructure as a Service (IaaS), Platform as a Service (PaaS) oder Software as a Service (SaaS).
Dieses Diagramm zeigt anschaulich, wie der Geltungsbereich des ISMS in Cloud-Umgebungen durch das Shared Responsibility Model zwischen den Cloud-Service-Modellen IaaS, PaaS und SaaS abgegrenzt wird.
Lassen Sie uns die geteilte Verantwortung für die drei Haupt-Cloud-Modelle aufschlüsseln. Das ist der „Aha-Moment“, der Ihnen helfen wird, Ihren Geltungsbereich klar zu definieren.
Bei IaaS mieten Sie die grundlegende IT-Infrastruktur: Server, Speicher und Netzwerke. Denken Sie an Anbieter wie Amazon Web Services (AWS EC2) oder Google Compute Engine.
Was Ihr Auditor sehen will: Haben Sie Prozesse zur Härtung Ihrer virtuellen Server? Wie managen Sie Betriebssystem-Patches? Wer hat Zugriff auf die Konfiguration der Cloud-Infrastruktur?
PaaS bietet Ihnen eine Plattform, auf der Sie Anwendungen entwickeln, testen und bereitstellen können, ohne sich um die darunterliegende Infrastruktur kümmern zu müssen. Beispiele sind Heroku oder AWS Elastic Beanstalk.
Achtung: Falle! Verlassen Sie sich nicht darauf, dass die Plattform automatisch sicher konfiguriert ist. Sie müssen Sicherheitsfeatures aktiv nutzen und die Zugriffsrechte für Ihre Entwickler und Nutzer sorgfältig verwalten.
SaaS ist das bekannteste Modell. Sie nutzen eine fertige Software über das Internet, wie z.B. Microsoft 365, Salesforce oder das Digital Compliance Office von SECJUR.
Jetzt, da die Theorie klar ist, gehen wir in die Praxis. Mit diesen vier Schritten definieren Sie einen Geltungsbereich, der jeden Auditor überzeugt.
Diese Schritt-für-Schritt-Anleitung zeigt den klaren Prozess zur Definition des ISMS-Geltungsbereichs in Cloud-Umgebungen und unterstützt so eine sichere und normgerechte Umsetzung.
Erstellen Sie eine vollständige Liste aller von Ihrem Unternehmen genutzten Cloud-Dienste. Fragen Sie in allen Abteilungen nach – oft gibt es „Schatten-IT“, von der die IT-Abteilung nichts weiß.
Ordnen Sie jeden Dienst aus Ihrer Liste einem der drei Modelle zu: IaaS, PaaS oder SaaS. Dies ist entscheidend, um die Verantwortlichkeiten korrekt zuzuordnen.
Erstellen Sie für jeden Dienst eine einfache Tabelle. Listen Sie die wichtigsten Sicherheitsbereiche (z.B. Datenverschlüsselung, Zugriffskontrolle, Patch-Management) auf und halten Sie fest, ob Sie oder der Anbieter dafür verantwortlich sind. Dies ist Ihr zentraler Nachweis für das Audit.
Fassen Sie die Ergebnisse in Ihrer offiziellen Geltungsbereichs-Dokumentation zusammen. Beschreiben Sie klar, welche Cloud-Dienste Teil des ISMS sind und wie die Verantwortlichkeiten gemäß dem Shared Responsibility Model abgegrenzt werden.
Plattformen wie das Digital Compliance Office von SECJUR helfen Ihnen dabei, diesen Prozess zu strukturieren und Nachweise für Ihre Verantwortlichkeiten automatisiert zu sammeln. So können Sie sicherstellen, dass nichts übersehen wird, und sich auf Ihr Kerngeschäft konzentrieren.
Theorie ist gut, Praxis ist besser. Hier sind zwei vereinfachte Beispiele, um das Konzept greifbarer zu machen.
Um die wichtigsten Punkte im Gedächtnis zu behalten, hier eine abschließende Matrix als Gedankenstütze.
Die Matrix fasst die geteilten Verantwortlichkeiten übersichtlich zusammen und dient als hilfreicher Gedächtnisanker bei der Abgrenzung des ISMS-Geltungsbereichs in der Cloud.
Die Definition des ISMS-Geltungsbereichs in der Cloud ist kein Hexenwerk, sondern eine Frage der sauberen Analyse und Dokumentation. Indem Sie das Shared Responsibility Model verstehen und systematisch auf Ihre genutzten Dienste anwenden, schaffen Sie eine solide, auditsichere Grundlage für Ihre Informationssicherheit.
Dieser erste Schritt ist entscheidend. Wenn Sie nun bereit sind, den gesamten Weg zu gehen, erfahren Sie in unserem umfassenden Leitfaden alles über die ISO 27001 Zertifizierung.
Nein, absolut nicht. Die Zertifizierung des Anbieters deckt nur dessen Verantwortungsbereich ab (z.B. die Sicherheit des Rechenzentrums). Sie müssen dem Auditor nachweisen, dass Sie Ihren eigenen Verantwortungsbereich (z.B. Zugriffskontrolle, Datenmanagement) im Griff haben.
Die Hauptrisiken sind:
Hierfür nutzen Sie die vom Anbieter bereitgestellten Dokumente. Dazu gehören deren ISO 27001-Zertifikat, SOC-2-Berichte und die vertraglichen Vereinbarungen (AGB, Auftragsverarbeitungsvertrag). Diese Dokumente belegen, dass der Anbieter seinen Teil der Verantwortung wahrnimmt.
Als Jurist mit langjähriger Erfahrung als Anwalt für Datenschutz und IT-Recht kennt Niklas die Antwort auf so gut wie jede Frage im Bereich der digitalen Compliance. Er war in der Vergangenheit unter anderem für Taylor Wessing und Amazon tätig. Als Gründer und Geschäftsführer von SECJUR, lässt Niklas sein Wissen vor allem in die Produktentwicklung unserer Compliance-Automatisierungsplattform einfließen.
SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.
Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office
Die häufigsten Fragen zum Thema
Ein systematischer Prozess zur Identifikation und Bewertung von Informationssicherheitsrisiken.
Qualitative, quantitative und hybride Ansätze.
Regelmäßig und bei wesentlichen Änderungen.
Ein Dokument, das Maßnahmen zur Behandlung identifizierter Risiken festlegt.
Ohne vollständiges Asset-Inventar kein funktionierendes ISMS. So erfassen und klassifizieren Sie Ihre Werte nach ISO 27001 und schaffen die Basis für die Risikoanalyse.
Cloud verschiebt Verantwortung, nicht Haftung. Wie Sie Cloud und SaaS sauber in den ISMS-Scope nehmen, das Shared-Responsibility-Modell verstehen und die richtigen Controls setzen.
Das NIS2-Umsetzungsgesetz gilt seit Dezember 2025. Welche Paragraphen Unternehmen kennen müssen, wie die BSI-Registrierung abläuft und warum es keine Übergangsfrist gibt.
.svg)
.svg)
.svg){kind=small}