Volljurist und Compliance-Experte
November 12, 2025
4 Minuten
.svg)
Die ISO 27001-Zertifizierung des Cloud-Anbieters deckt nur dessen Verantwortungsbereich ab, nicht Ihren eigenen.
Das Shared Responsibility Model definiert klar, wer für welche Sicherheitsaufgaben in IaaS-, PaaS- und SaaS-Umgebungen verantwortlich ist.
Ein präzise abgegrenzter ISMS-Geltungsbereich ist entscheidend, um Sicherheitslücken und Audit-Risiken zu vermeiden.
Nur wer seine Cloud-Verantwortlichkeiten dokumentiert und versteht, erreicht echte ISO 27001-Compliance und langfristige Datensicherheit.
Sie nutzen Cloud-Dienste von Anbietern wie AWS, Azure oder Google Cloud, die stolz ihre ISO 27001-Zertifizierung präsentieren. Ein beruhigendes Gefühl, oder? Man könnte meinen, die eigene Informationssicherheit sei damit schon fast im grünen Bereich. Doch genau hier lauert eine der häufigsten und kostspieligsten Fallen auf dem Weg zur eigenen Zertifizierung.
Die Zertifizierung Ihres Cloud-Anbieters ist zwar eine wichtige Grundlage, aber sie macht Ihr Unternehmen nicht automatisch ISO 27001-konform. Warum? Weil Informationssicherheit in der Cloud eine geteilte Verantwortung ist.
In diesem Leitfaden erklären wir Ihnen, wie ein Freund bei einer Tasse Kaffee, was das bedeutet. Wir entschlüsseln das „Shared Responsibility Model“ und zeigen Ihnen Schritt für Schritt, wie Sie den Geltungsbereich (Scope) Ihres Informationssicherheits-Managementsystems (ISMS) für IaaS-, PaaS- und SaaS-Modelle präzise und auditsicher definieren.
Bevor wir in die Details der verschiedenen Cloud-Modelle eintauchen, müssen wir zwei Kernkonzepte verstehen. Sie sind das Fundament für jede erfolgreiche ISO 27001-Zertifizierung in einer Cloud-Umgebung.
Stellen Sie sich den Geltungsbereich Ihres ISMS wie einen Schutzzaun um die wertvollsten Informationen Ihres Unternehmens vor. Gemäß Klausel 4.3 der ISO 27001 müssen Sie genau festlegen, welche Teile Ihrer Organisation – welche Prozesse, Standorte, Systeme und Daten – durch diesen Zaun geschützt werden.
Eine unklare Abgrenzung ist wie ein Loch im Zaun: Sie führt zu Sicherheitslücken und ist ein sicherer Weg, im Audit durchzufallen. In der Cloud wird diese Abgrenzung besonders knifflig, denn ein Teil Ihres „Grundstücks“ gehört und wird von jemand anderem verwaltet. Eine korrekte Definition des ISMS-Geltungsbereichs ist daher der erste und wichtigste Schritt.
Das Shared Responsibility Model (Modell der geteilten Verantwortung) ist das wichtigste Konzept, um Sicherheit in der Cloud zu verstehen. Es besagt, dass der Cloud-Anbieter für die Sicherheit der Cloud verantwortlich ist, während Sie als Kunde für die Sicherheit in der Cloud verantwortlich sind.
Die genaue Aufteilung dieser Verantwortlichkeiten hängt jedoch stark davon ab, welches Servicemodell Sie nutzen: Infrastructure as a Service (IaaS), Platform as a Service (PaaS) oder Software as a Service (SaaS).
Dieses Diagramm zeigt anschaulich, wie der Geltungsbereich des ISMS in Cloud-Umgebungen durch das Shared Responsibility Model zwischen den Cloud-Service-Modellen IaaS, PaaS und SaaS abgegrenzt wird.
Lassen Sie uns die geteilte Verantwortung für die drei Haupt-Cloud-Modelle aufschlüsseln. Das ist der „Aha-Moment“, der Ihnen helfen wird, Ihren Geltungsbereich klar zu definieren.
Bei IaaS mieten Sie die grundlegende IT-Infrastruktur: Server, Speicher und Netzwerke. Denken Sie an Anbieter wie Amazon Web Services (AWS EC2) oder Google Compute Engine.
Was Ihr Auditor sehen will: Haben Sie Prozesse zur Härtung Ihrer virtuellen Server? Wie managen Sie Betriebssystem-Patches? Wer hat Zugriff auf die Konfiguration der Cloud-Infrastruktur?
PaaS bietet Ihnen eine Plattform, auf der Sie Anwendungen entwickeln, testen und bereitstellen können, ohne sich um die darunterliegende Infrastruktur kümmern zu müssen. Beispiele sind Heroku oder AWS Elastic Beanstalk.
Achtung: Falle! Verlassen Sie sich nicht darauf, dass die Plattform automatisch sicher konfiguriert ist. Sie müssen Sicherheitsfeatures aktiv nutzen und die Zugriffsrechte für Ihre Entwickler und Nutzer sorgfältig verwalten.
SaaS ist das bekannteste Modell. Sie nutzen eine fertige Software über das Internet, wie z.B. Microsoft 365, Salesforce oder das Digital Compliance Office von SECJUR.
Jetzt, da die Theorie klar ist, gehen wir in die Praxis. Mit diesen vier Schritten definieren Sie einen Geltungsbereich, der jeden Auditor überzeugt.
Diese Schritt-für-Schritt-Anleitung zeigt den klaren Prozess zur Definition des ISMS-Geltungsbereichs in Cloud-Umgebungen und unterstützt so eine sichere und normgerechte Umsetzung.
Plattformen wie das Digital Compliance Office von SECJUR helfen Ihnen dabei, diesen Prozess zu strukturieren und Nachweise für Ihre Verantwortlichkeiten automatisiert zu sammeln. So können Sie sicherstellen, dass nichts übersehen wird, und sich auf Ihr Kerngeschäft konzentrieren.
Theorie ist gut, Praxis ist besser. Hier sind zwei vereinfachte Beispiele, um das Konzept greifbarer zu machen.
Um die wichtigsten Punkte im Gedächtnis zu behalten, hier eine abschließende Matrix als Gedankenstütze.
Die Matrix fasst die geteilten Verantwortlichkeiten übersichtlich zusammen und dient als hilfreicher Gedächtnisanker bei der Abgrenzung des ISMS-Geltungsbereichs in der Cloud.
Die Definition des ISMS-Geltungsbereichs in der Cloud ist kein Hexenwerk, sondern eine Frage der sauberen Analyse und Dokumentation. Indem Sie das Shared Responsibility Model verstehen und systematisch auf Ihre genutzten Dienste anwenden, schaffen Sie eine solide, auditsichere Grundlage für Ihre Informationssicherheit.
Dieser erste Schritt ist entscheidend. Wenn Sie nun bereit sind, den gesamten Weg zu gehen, erfahren Sie in unserem umfassenden Leitfaden alles über die ISO 27001 Zertifizierung.
Nein, absolut nicht. Die Zertifizierung des Anbieters deckt nur dessen Verantwortungsbereich ab (z.B. die Sicherheit des Rechenzentrums). Sie müssen dem Auditor nachweisen, dass Sie Ihren eigenen Verantwortungsbereich (z.B. Zugriffskontrolle, Datenmanagement) im Griff haben.
Die Hauptrisiken sind:
Hierfür nutzen Sie die vom Anbieter bereitgestellten Dokumente. Dazu gehören deren ISO 27001-Zertifikat, SOC-2-Berichte und die vertraglichen Vereinbarungen (AGB, Auftragsverarbeitungsvertrag). Diese Dokumente belegen, dass der Anbieter seinen Teil der Verantwortung wahrnimmt.
Als Jurist mit langjähriger Erfahrung als Anwalt für Datenschutz und IT-Recht kennt Niklas die Antwort auf so gut wie jede Frage im Bereich der digitalen Compliance. Er war in der Vergangenheit unter anderem für Taylor Wessing und Amazon tätig. Als Gründer und Geschäftsführer von SECJUR, lässt Niklas sein Wissen vor allem in die Produktentwicklung unserer Compliance-Automatisierungsplattform einfließen.
SECJUR steht für eine Welt, in der Unternehmen immer compliant sind, aber nie an Compliance denken müssen. Mit dem Digital Compliance Office automatisieren Unternehmen aufwändige Arbeitsschritte und erlangen Compliance-Standards wie DSGVO, ISO 27001 oder TISAX® bis zu 50% schneller.
Automatisieren Sie Ihre Compliance Prozesse mit dem Digital Compliance Office
Everything you need to know about the product and billing.
Erfahren Sie in unserem neuesten Blogartikel, wie die Datenschutz-Folgenabschätzung (DSFA) Unternehmen dabei unterstützt, personenbezogene Daten effektiv zu schützen. Lesen Sie, welche Kriterien eine DSFA erforderlich machen und wie Unternehmen die Risiken für die Rechte und Freiheiten der Betroffenen bewerten können. Zudem erklären wir, warum die DSFA kein einmaliger Prozess ist, sondern regelmäßig durchgeführt werden sollte.
Der CEO-Fraud ist eine Variante des „Social Engineerings“, bei welchem die Täter auf das oft schwächste Glied in der IT-Sicherheitskette setzen: Den Menschen. Infolge der immer besseren technischen Schutzmaßnahmen, angefangen bei einer einfachen Firewall bis hin zu Verschlüsselungsmethoden, ist es schwieriger geworden, auf „klassischem“ Weg, wie beispielsweise Hacking, an vertrauliche Informationen zu gelangen. Wie schützt man sich als CEO?
Der Onlineauftritt eines Unternehmens stellt mittlerweile einen essenziellen Bestandteil effektiven Marketings dar. Um sein Unternehmen vorzustellen, ist es mittlerweile gängige Praxis, Mitarbeiterfotos auf der Homepage und in sozialen Netzwerken zu veröffentlichen. Doch welche Folgen kann es haben, wenn Arbeitgeber bei der Veröffentlichung von Mitarbeiterfotos die Datenschutzgrundverordnung (DSGVO) nicht beachten?
.svg)
.svg)
.svg){kind=small}