Shared Responsibility Modelle in der Cloud

Shared Responsibility bedeutet, dass Sicherheit und Compliance nicht nur beim Cloud-Anbieter liegen. Je nach Service-Modell – IaaS, PaaS oder SaaS – verteilen sich Verantwortlichkeiten zwischen Anbieter und Kunde unterschiedlich. Ein klares Verständnis dieser Aufteilung verhindert Lücken, erleichtert Audits und stärkt das Sicherheitsniveau.

Im Alltag hilft eine einfache Orientierung: Der Provider kümmert sich um den Schutz der Cloud-Infrastruktur, der Kunde um alles, was in der Anwendungsebene passiert. Wichtig ist, diese Zuordnungen schriftlich zu festzuhalten und regelmäßig zu prüfen.

Bei Infrastructure as a Service (IaaS) übernimmt der Anbieter die Sicherheit der physischen Infrastruktur, der Netzwerk- und Virtualisierungsebene. Der Kunde ist verantwortlich für das Gastbetriebssystem, Anwendungen, Daten, Zugriffskontrollen und Backups. Das gilt auch für Patch-Management auf Gast-Systemen.

Bei Platform as a Service (PaaS) kümmert sich der Provider zusätzlich um Laufzeitumgebung, Middleware und Teile des Patch-Managements. Der Kunde bleibt zuständig für eigene Anwendungen, Daten und die APIs, über die Systeme kommunizieren. API-Sicherheit, Authentisierung und Rollenvergabe bleiben kommunikative Schnittstellen, die sorgfältig abgedeckt werden müssen.

Bei Software as a Service (SaaS) übernimmt der Anbieter die meisten Schichten – Infrastruktur, Plattform, Anwendungen. Der Kunde fokussiert sich auf Konfiguration, Benutzerrechte, Datenklassifikation und Compliance-Anforderungen. Praktisch bedeutet das: MFA, sichere Datenübertragung, Regeln zur Datennutzung und regelmäßige Berichte über Sicherheitseinstellungen.

Praktische Schritte helfen, die Verantwortlichkeiten praktisch umzusetzen:

• Erstelle eine klare Verantwortlichkeitsmatrix (RACI) für dein Team.
• Dokumentiere Zuordnungen in Architekturdokumenten und SLAs.
• Nutze Checklisten für Security, Datenschutz und Compliance.
• Definiere Datenklassifikation, Zugriffskontrollen und Notfallpläne.
• Prüfe regelmäßig Verträge und Zertifizierungen des Providers.

Durch klare Grenzen und regelmäßige Überprüfungen vermeiden Organisationen Missverständnisse und Sicherheitslücken. So bleibt die Cloud sicher, zuverlässig und compliant – unabhängig davon, ob man IaaS, PaaS oder SaaS nutzt.

Key Takeaways

• Die Cloud-Verantwortlichkeiten unterscheiden sich je Service-Modell (IaaS, PaaS, SaaS).
• Eine schriftliche Zuordnung von Pflichten reduziert Risiken und Missverständnisse.
• Regelmäßige Audits, Monitoring und klare Zugriffsregeln sind essenziell.