ISO 27001 Cloud und SaaS: sichere Cloud-Software für Unternehmen

ISO 27001 Cloud ist zur Schlüsselfrage für jedes Unternehmen geworden, das Software in der Cloud betreibt oder als SaaS anbietet. Dieser Leitfaden zeigt praxisnah, was die Norm für Cloud Security verlangt, wie sich die Verantwortung zwischen Anbieter und Kunde aufteilt und worauf es bei sicheren Cloud-Diensten wirklich ankommt.
Abstrakte Visualisierung von Cloud Computing mit künstlicher Intelligenz, Big-Data-Vernetzung und Cybersecurity-Symbolik als Sinnbild für Informationssicherheit nach ISO 27001 in Cloud- und SaaS-Umgebungen.
© KanawatTH

Warum ISO 27001 Cloud zur Pflichtübung wird

ISO 27001 Cloud verbindet zwei Welten: die strengen Regeln der Informationssicherheit und die geteilte Verantwortung der Cloud. Wer Daten in fremden Rechenzentren ablegt, gibt Kontrolle ab, bleibt aber haftbar. Wie verbreitet das Problem ist, zeigt der Cloud Monitor: Laut Bitkom meldet rund ein Viertel der Public-Cloud-Nutzer Sicherheitsvorfälle innerhalb eines Jahres. Die Cloud nimmt Arbeit ab, aber keine Verantwortung. Dahinter steht ISO 27001 Cloud Security als bewusst gesteuertes Programm zur nachhaltigen Datensicherung.

Geteilte Infrastruktur, geteiltes Risiko

In der Cloud teilen sich viele Kunden dieselbe Technik. Das senkt Kosten, schafft aber neue Angriffsflächen und Abhängigkeiten. Genau hier setzt ISO 27001 in der Cloud an und macht diese Risiken steuerbar. Die fachlichen Grundlagen zur Norm bündelt die Übersichtsseite zur ISO 27001 als zentraler Leitfaden. Ein Ausfall beim Anbieter trifft sofort den eigenen Betrieb. So bringt ISO 27001 Cloud Ordnung in geteilte Infrastrukturen.

Sicherheit, die sich nachweisen lässt

Vertrauen in die Cloud braucht Belege. Kunden, Aufsicht und Partner wollen sehen, dass Daten in der Wolke wirklich geschützt sind. Eine ISO-27001-Zertifizierung liefert diesen Nachweis für die gesamte Cloud-Nutzung. Damit wird gelebte IT-Compliance vom Versprechen zur prüfbaren Tatsache. Geprüfte Cloud Security schlägt jedes Marketingversprechen. Geprüfte ISO 27001 Cloud Security wird damit zum Verkaufsargument. Damit ist ISO 27001 Cloud Security mehr als ein technisches Detail.

Was ISO 27001 für Cloud Security verlangt

ISO 27001 behandelt Cloud-Dienste seit der Fassung 2022 als eigenes Thema. Control A.5.23 fordert, die Nutzung von Cloud-Diensten bewusst zu steuern, statt sie nebenbei laufen zu lassen. Ergänzt wird die Norm durch zwei Cloud-Erweiterungen, ISO 27017 und ISO 27018. Zusammen bilden sie das Fundament für belastbare Cloud Security. Cloud ist kein blinder Fleck mehr im Sicherheitskonzept. Das gilt für ISO 27001 Cloud Computing ebenso wie für einzelne ISO 27001 Cloud Services.

Was regelt Control A.5.23 der ISO 27001 für Cloud-Dienste?

Control A.5.23 verlangt einen klaren Prozess für die sichere Nutzung von Cloud-Diensten. Von der Auswahl bis zum Ausstieg muss alles geregelt sein. Konkret fordert die Norm:

Wie streng diese Anforderungen ausfallen, richtet sich nach dem Risiko, ähnlich wie bei der ISO-27001-Risikobewertung. Damit deckt ISO 27001 Cloud den gesamten Lebenszyklus eines Dienstes ab und schafft belastbare Cloud Security.

ISO 27017 und ISO 27018: die Cloud-Erweiterungen

Zwei Normen vertiefen die Cloud-Sicherheit. Sie bauen auf ISO 27001 auf und schließen typische Lücken:

Beide werden meist als Ergänzung zur ISO-27001-Zertifizierung mitgeprüft. Erst zusammen ergeben sie ein vollständiges Cloud-Bild. Für die Trennung von Entwicklungs- und Produktivumgebungen lohnt der Blick auf die sichere Softwareentwicklung nach ISO 27001. Gemeinsam heben sie ISO 27001 Cloud auf ein konkretes, prüfbares Niveau.

ISO 27001 Cloud und SaaS in der Praxis

In der Praxis hängt ISO 27001 Cloud an einer Frage: Wer ist wofür verantwortlich? Anbieter und Kunde teilen sich die Sicherheit, aber nicht zu gleichen Teilen. Wird die Grenze nicht sauber gezogen, entstehen Lücken genau dort, wo sich beide auf den anderen verlassen. Die gefährlichste Annahme ist, der Anbieter mache das schon. Genau hier wird Informationssicherheit in der Cloud im Alltag greifbar, denn ISO 27001 Cloud Security lebt von klaren Zuständigkeiten. Bei ISO 27001 für SaaS verschiebt sich die Verantwortung stark zum Anbieter.

Wie funktioniert das Shared-Responsibility-Modell in der Cloud?

Das Shared-Responsibility-Modell teilt die Sicherheit zwischen Anbieter und Kunde auf. Die genaue Aufteilung hängt vom Servicemodell ab:

Zugriffsrechte und Daten bleiben stets Sache des Kunden. Diese Aufteilung gehört schriftlich festgehalten, nicht stillschweigend angenommen. So bleibt ISO 27001 Cloud Security auch bei vielen Mandanten beherrschbar.

Virtuelle Umgebungen trennen und härten

Ein Cloud-Mandant darf den anderen nicht sehen. ISO 27017 fordert deshalb die saubere Trennung der virtuellen Umgebungen verschiedener Kunden und gehärtete virtuelle Maschinen. In der Praxis heißt das: getrennte Netze, restriktive Rechte und ein einheitliches Härtungsprofil für jede Instanz. So bleibt die Cloud Security auch bei geteilter Hardware verlässlich.

Der Geltungsbereich bei ISO 27001 für SaaS

Bei SaaS entscheidet der Geltungsbereich über alles. Der Scope der ISO 27001 für SaaS legt fest, welche Anwendungen, Umgebungen und Prozesse die Zertifizierung abdeckt. Ein zu enger Scope lässt Lücken, ein zu breiter treibt den Aufwand. Wie das mit der Steuerung externer Dienstleister zusammenspielt, zeigt das ISO-27001-Lieferantenmanagement. Was außerhalb des Scopes liegt, ist schlicht nicht zertifiziert. Der Geltungsbereich entscheidet, wie glaubwürdig ISO 27001 für SaaS am Ende ist. Klar definiert, macht ISO 27001 für SaaS die Zertifizierung erst belastbar.

ISO 27001 für SaaS-Anbieter

SaaS-Anbieter stehen unter besonderem Druck. Ihre Kunden verlangen Sicherheit als Teil des Produkts, oft schon im Vergabeprozess. Eine ISO-27001-Zertifizierung wird so vom Bonus zum Verkaufsargument. Wie sie in Vergabeverfahren wirkt, zeigt die Seite zu ISO 27001 in Ausschreibungen. Für Anbieter von Software as a Service zahlt sich der Aufwand schnell aus. So wird ISO 27001 für SaaS-Anbieter zum klaren Marktvorteil.

Cloud-Anbieter sicher auswählen und steuern

Die beste Norm nützt nichts ohne den richtigen Anbieter. ISO 27001 in der Cloud verlangt eine bewusste Auswahl und die laufende Steuerung der Cloud-Dienste. Ein Zertifikat des Anbieters ist dabei ein guter Start, aber kein Freifahrtschein. Verantwortung lässt sich auslagern, Haftung nicht. So bleibt ISO 27001 in der Cloud auch nach der Auswahl wirksam.

Reicht die ISO-27001-Zertifizierung des Cloud-Anbieters aus?

Nein. Das Zertifikat des Anbieters deckt nur dessen Teil der geteilten Verantwortung ab. Die eigene Nutzung, Konfiguration und Datenhaltung bleiben Sache des Kunden. Bei der Auswahl helfen klare Kriterien:

So wird aus einem reinen Anbieterzertifikat eine belastbare Cloud Compliance. Erst die eigene Sorgfalt macht eine sichere Cloud-Nutzung vollständig. Durchgängige ISO 27001 Cloud Security entsteht erst aus beiden Teilen zusammen.

Cloud-Exit nicht vergessen

Jede Cloud-Beziehung endet irgendwann. Control A.5.23 verlangt deshalb eine Exit-Strategie, lange bevor sie gebraucht wird. Dazu zählen Datenexport in offenen Formaten, das Löschen von Restdaten und ein realistischer Zeitplan. Wer Abhängigkeiten grundsätzlich vermeiden will, findet vertiefende Wege bei der digitalen Souveränität. So bleibt der Ausstieg planbar. Auch ISO 27001 Cloud denkt das Ende einer Cloud-Nutzung von Anfang an mit.

Sichere Cloud- und SaaS-Software von TenMedia

Am sichersten ist Cloud-Software, die von Anfang an richtig gebaut wird. TenMedia entwickelt und betreibt Individualsoftware nach ISO 27001, auf Wunsch in der Cloud und mit sauber geteilter Verantwortung. Als zertifizierte Softwareagentur bringt das Team gehärtete Umgebungen, dokumentierte Prozesse und Audit-Bereitschaft mit. Wie diese Zertifizierung entstand, beschreibt der Bericht zur Zertifizierung von TenMedia nach ISO 27001. So wird sichere Cloud-Nutzung zum festen Bestandteil der Software. Damit wird ISO 27001 Cloud vom Pflichtthema zum echten Wettbewerbsvorteil.

FAQs

Was ist der Unterschied zwischen ISO 27001, ISO 27017 und ISO 27018? keyboard_arrow_down keyboard_arrow_up
ISO 27001 ist die zertifizierbare Hauptnorm für das gesamte Informationssicherheits-Managementsystem. ISO 27017 ergänzt sie um konkrete Sicherheitskontrollen für Cloud-Dienste. ISO 27018 kommt hinzu, wenn personenbezogene Daten in einer Public Cloud verarbeitet werden. Beide Erweiterungen sind selbst keine eigenständig zertifizierbaren Normen, sondern werden in der Praxis als Ergänzung einer ISO-27001-Zertifizierung geprüft.
Welche Cloud-Zertifizierung ist die beste? keyboard_arrow_down keyboard_arrow_up
Die beste Wahl hängt vom Bedarf ab. Für Informationssicherheit gilt ISO 27001 als Goldstandard, ergänzt um ISO 27017 für Cloud-Kontrollen und ISO 27018 für personenbezogene Daten. Wichtiger als die Menge der Zertifikate ist ein passender Geltungsbereich, der die genutzten Cloud-Dienste wirklich abdeckt.
Wie unterstützt TenMedia bei sicherer Cloud- und SaaS-Software? keyboard_arrow_down keyboard_arrow_up
TenMedia ist eine nach ISO 27001 zertifizierte Softwareagentur und entwickelt Individualsoftware, die von Beginn an sicher in der Cloud läuft. Statt Beratung zur Zertifizierung liefert das Team die technische Umsetzung: gehärtete Umgebungen, getrennte Mandanten, verschlüsselte Daten und dokumentierte Prozesse. Auf Wunsch übernimmt TenMedia auch den laufenden Betrieb und die Wartung, inklusive klar geteilter Verantwortung mit dem Cloud-Anbieter. Das unterstützt Auftraggeber dabei, ihren Teil des Shared-Responsibility-Modells abzudecken, ohne eigenes Spezialwissen aufbauen zu müssen. Damit wird ISO 27001 Cloud von der Theorie zur gelebten Praxis.