Was ist Cloud-Sicherheit?
Cloud-Sicherheit bezeichnet den Schutz von Daten, Anwendungen und Zugängen in Umgebungen, die ein Anbieter betreibt. Sie folgt dem Shared Responsibility Model: Der Anbieter sichert die Plattform, der Kunde seine Konfiguration, Identitäten, Berechtigungen und Daten.
Für personenbezogene Daten bleibt der Kunde Verantwortlicher und muss nach Art. 5 Abs. 2 der Verordnung (EU) 2016/679 (DSGVO) die Einhaltung der Grundsätze nachweisen. Wie Cloud-Dienste in ein ISMS eingebunden werden, beschreibt der Leitfaden ISMS einführen.
Wie verteilt sich die Verantwortung bei IaaS, PaaS und SaaS?
Die Grenze verschiebt sich mit dem Servicemodell; nur Identitäten, Berechtigungen und Daten bleiben immer beim Kunden:
| Bereich | IaaS | PaaS | SaaS |
|---|---|---|---|
| Rechenzentrum, Hardware, Netz | Anbieter | Anbieter | Anbieter |
| Virtualisierung | Anbieter | Anbieter | Anbieter |
| Betriebssystem, Aktualisierung | Kunde | Anbieter | Anbieter |
| Laufzeitumgebung, Middleware | Kunde | Anbieter | Anbieter |
| Anwendung, Konfiguration | Kunde | Kunde | teilweise Kunde |
| Identitäten und Berechtigungen | Kunde | Kunde | Kunde |
| Daten und deren Klassifizierung | Kunde | Kunde | Kunde |
Die Wahl eines Anbieters mit Zertifikat beantwortet deshalb nur die oberen Zeilen.
Fehlkonfiguration: die Kundenseite der Cloud-Sicherheit
Die Einstellungen eines Cloud-Dienstes liegen beim Kunden, und mit ihnen die Fehler, die nur er beheben kann:
- öffentlich erreichbare Speicherbereiche
- zu weit gefasste Zugriffsregeln
- Verwaltungszugänge ohne Multi-Faktor-Authentifizierung
- ungenutzte Konten mit weitreichenden Rechten
- Schnittstellen ohne Authentifizierung
Dagegen helfen eine dokumentierte Soll-Konfiguration und eine automatisierte Prüfung gegen diese Vorgabe in festen Abständen. Dazu kommen Multi-Faktor-Authentifizierung für alle administrativen Zugänge und die Auswertung der Protokolle des Anbieters im eigenen Betrieb.
Auftragsverarbeitung: was der Vertrag nach Art. 28 DSGVO regelt
Verarbeitet ein Cloud-Anbieter personenbezogene Daten im Auftrag, verlangt Art. 28 Abs. 3 DSGVO einen Vertrag, der den Anbieter bindet. Er regelt unter anderem:
- die Verarbeitung nur auf dokumentierte Weisung, auch bei Übermittlungen in Drittländer (Buchst. a),
- die Bedingungen für weitere Auftragsverarbeiter (Buchst. d, Abs. 2 und 4),
- die Unterstützung bei Betroffenenrechten und bei den Pflichten der Art. 32 bis 36 (Buchst. e und f),
- Löschung oder Rückgabe der Daten nach Vertragsende (Buchst. g),
- Informationen und Überprüfungen einschließlich Inspektionen (Buchst. h).
Details zum Vertrag beschreibt der Eintrag zur Auftragsverarbeitung. Die genutzten Dienste gehören zudem in das Verzeichnis von Verarbeitungstätigkeiten und in das Asset-Inventar.
Welche Nachweise sollte ein Cloud-Anbieter vorlegen?
Ein Cloud-Anbieter belegt seine Seite mit Zertifikaten und Testaten; Art. 28 Abs. 3 Buchst. h verpflichtet ihn zudem, Überprüfungen einschließlich Inspektionen zu ermöglichen. Jeder Nachweis gilt nur für seinen Geltungsbereich und seinen Zeitraum:
| Nachweis | Was er belegt | Worauf der Kunde achtet |
|---|---|---|
| Zertifikat nach ISO/IEC 27001 | ein zertifiziertes Informationssicherheits-Managementsystem | ob der genutzte Dienst und die genutzte Region im Geltungsbereich liegen |
| BSI C5, Testat Typ 1 | Angemessenheit der Kontrollen zum Zeitpunkt der Prüfung | Prüfungszeitpunkt und Geltungsbereich |
| BSI C5, Testat Typ 2 | zusätzlich die Wirksamkeit der Kontrollen in einem Prüfungszeitraum | ob der Prüfungszeitraum an den vorherigen anschließt |
Für den C5 gibt es nach Angaben des BSI kein Zertifizierungsverfahren und damit keine C5-Zertifikate. Ein Wirtschaftsprüfer oder Auditor testiert nach ISAE 3000, und der Bericht nennt die Rahmenbedingungen des Dienstes, etwa eingesetzte Subdienstleister und die geografische Lage der Rechenzentren. Den Unterschied zu ISO/IEC 27001 erläutert der Vergleich BSI C5 vs. ISO 27001.
Ein Testat bezieht sich auf einen abgeschlossenen Zeitraum. Die Zeit zwischen dessen Ende und heute deckt kein Nachweis, sie gehört in die eigene Risikobetrachtung.
Abhängigkeit und Konzentration: zwei Anbieterrisiken
Die Abhängigkeit vom Anbieter beherrscht nur, wer eine Exit-Strategie mit Datenformaten, Übernahmewegen, Fristen und Zuständigkeiten dokumentiert hat. Ohne sie ist ein Anbieterwechsel im Störungsfall keine verfügbare Option.
Die Konzentration entsteht, wenn mehrere kritische Anwendungen bei demselben Anbieter oder in derselben Region liegen. Daraus folgt ein gemeinsamer Ausfallpunkt; bewerten Sie ihn in der Risikoanalyse ausdrücklich.
Cloud-Dienste als unterstützende Assets in Rizzqo
Rizzqo führt einen Cloud-Dienst als unterstützendes Asset, an dem beide Seiten der geteilten Verantwortung zusammenkommen. Das C5-Testat oder Zertifikat des Anbieters hängt als Nachweis an der jeweiligen Anforderung, ebenso der Beleg der eigenen Konfiguration.
An dem Asset erscheinen die Anforderungen der hinterlegten Kataloge, etwa ISO/IEC 27002. Der benannte Verantwortliche beantwortet sie und schließt sie mit Name und Zeitstempel ab. Von den primären Assets, deren Daten und Prozesse über den Dienst laufen, übernimmt das Asset die Vertraulichkeitseinstufung und das Merkmal, ob personenbezogene Daten enthalten sind.