Was ist das?
Das Modell der geteilten Verantwortung (engl. Shared Responsibility Model) ist ein fundamentales Sicherheitskonzept im Cloud-Computing.
Es legt präzise fest, für welche Sicherheitsbereiche der Cloud-Anbieter (wie Microsoft) zuständig ist und welche Pflichten beim Kunden (dem Unternehmen oder App-Entwickler) verbleiben.
Es räumt mit dem weit verbreiteten Missverständnis auf, dass mit dem Wechsel in die Cloud die gesamte Verantwortung für die IT-Sicherheit automatisch an den Dienstleister übergeht.
Wie funktioniert das?
Die Zuständigkeiten sind nicht starr, sondern hängen stark vom gewählten Cloud-Servicemodell (IaaS, PaaS oder SaaS) ab.
Grundsätzlich gilt die goldene Regel:
- Der Anbieter ist verantwortlich für die Sicherheit der Cloud (Infrastruktur, Rechenzentren, physische Hardware).
- Der Kunde ist verantwortlich für die Sicherheit in der Cloud (Daten, Identitäten, Zugriffskontrollen).
Analogie aus dem Alltag
Stellen Sie sich das Modell wie das Mieten eines Schließfachs bei einer Bank vor.
Die Bank (Cloud-Anbieter) garantiert, dass das Gebäude videoüberwacht ist, die Tresortür massiv ist und kein unbefugter Einbrecher physisch an die Schließfächer herankommt.
Sie ist für die Sicherheit des Tresors zuständig.
Sie als Mieter (Kunde) sind jedoch dafür verantwortlich, wer eine Kopie Ihres Schlüssels erhält, dass Sie Ihren PIN-Code nicht auf das Schließfach schreiben und dass Sie keine illegalen oder gefährlichen Gegenstände darin lagern.
Verlieren Sie fahrlässig Ihren Schlüssel, kann die Bank den Diebstahl des Inhalts nicht verhindern.
Sie sind für die Sicherheit im Schließfach zuständig.
Je mehr IT-Infrastruktur ein Unternehmen an den Anbieter abgibt, desto mehr Verantwortung wandert zum Anbieter:
- Bei IaaS (nur Hardware gemietet) muss der Kunde das Betriebssystem selbst absichern und updaten.
- Bei SaaS (fertige Software) übernimmt der Anbieter auch die Absicherung des Betriebssystems und der Anwendung.
Die Verantwortung für die korrekte Konfiguration der Benutzerrechte und den Schutz der Daten bleibt jedoch immer beim Kunden.
Aus der Praxis
Datenverlust durch schwache Passwörter (SaaS)
Ein Mitarbeiter eines Unternehmens nutzt ein cloudbasiertes E-Mail-Postfach.
Er verwendet ein einfaches Passwort ohne Mehrfaktor-Authentisierung (MFA).
Ein Angreifer errät das Passwort und stiehlt interne Dokumente.
Wer ist verantwortlich?
In diesem Fall liegt die Verantwortung komplett beim Kunden.
Der Cloud-Anbieter hat die Plattform sicher betrieben, aber der Kunde hat die Zugangskontrolle vernachlässigt.
Physischer Ausfall im Rechenzentrum (IaaS)
In einem Rechenzentrum des Cloud-Anbieters kommt es zu einem technischen Defekt an einer Festplatten-Anlage, wodurch Daten beschädigt werden.
Wer ist verantwortlich?
Hier steht der Cloud-Anbieter in der Pflicht.
Er muss durch redundante Systeme und physische Wartung dafür sorgen, dass die bereitgestellte Hardware fehlerfrei funktioniert.
Warum ist das relevant?
Das klare Verständnis dieses Modells ist für die Risikominimierung und die Compliance von Unternehmen überlebenswichtig:
- Vermeidung von Sicherheitslücken: Viele gravierende Datenpannen in der Cloud entstehen nicht durch Hackerangriffe auf den Anbieter, sondern durch Fehlkonfigurationen der Kunden (z. B. offen im Internet einsehbare Cloud-Speicher).
- Effiziente Ressourcennutzung: Wenn IT-Teams genau wissen, welche Sicherheitsaspekte der Anbieter übernimmt, können sie ihre eigenen Ressourcen gezielt dort einsetzen, wo sie zwingend selbst handeln müssen (z. B. beim Daten- und Identitätsmanagement).
- Einhaltung der DSGVO: Behörden und Gesetzgeber nehmen bei Datenschutzverstößen immer den Datenverarbeiter (den Kunden) in die Pflicht.
Unternehmen müssen nachweisen, dass sie ihre Verantwortung im Shared Responsibility Model aktiv wahrgenommen haben.