Cybersicherheit und Cloud: Wer ist wofür verantwortlich?

Vor zwei Jahren hat Daniel A. die E-Mails und die geteilten Ordner seiner Zerspanungswerkstatt in die Cloud verlagert. „Jetzt liegt es wenigstens bei einem grossen Anbieter, der kümmert sich um die Sicherheit", sagte er sich, froh, den alten Server im Schrank los zu sein. Das galt bis zu dem Morgen, an dem ein offen gebliebener Freigabelink eine technische Zeichnung für jeden zugänglich machte, der die Adresse kannte — und Marc K., sein IT-Verantwortlicher in Teilzeit, ihm erklären musste, dass es nicht Sache des Anbieters war, diesen Link wieder zu schliessen.

Geteilte Verantwortung in der Cloud, klar erklärt

Die Cloud ist keine Zauberei: Es sind schlicht Server, die von einem Anbieter betrieben werden — Microsoft, Google, ein Schweizer Hoster —, auf die Sie über das Internet zugreifen, statt eine eigene Maschine vor Ort zu haben. Wenn ein KMU seine E-Mails, seine Dateien oder seine Produktionssoftware „in die Cloud" legt, überträgt es nicht die gesamte Sicherheit an den Anbieter. Es tritt in eine Rollenteilung ein, die die Branche geteilte Verantwortung nennt: Der Anbieter sichert die Infrastruktur, Sie sichern Ihre Zugänge und Ihre Daten.

Am einfachsten stellt man sich ein Schliessfach bei einer Bank vor. Die Bank garantiert die Mauern, die gepanzerte Tür, die Alarmanlagen, die Überwachung des Gebäudes. Aber Sie wählen den Code, Sie entscheiden, wem Sie einen Schlüssel anvertrauen, und Sie legen fest, was hineinkommt. Wenn Sie den Schlüssel auf dem Tresen liegen lassen, kann die Bank nichts dafür. Die Cloud funktioniert genau gleich.

Der Anbieter kümmert sich um alles „darunter": die Rechenzentren, den Strom, die Hardware, die Wartung der Server, den physischen Schutz der Räume. Das ist gewaltig, und kein KMU könnte es allein so gut leisten. Doch alles „darüber" bleibt bei Ihnen: wer ein Konto hat, mit welchem Passwort, wer welchen Ordner sehen darf, was Sie nach aussen teilen und was Sie mit Ihren eigenen Sicherungskopien machen.

Diese Trennlinie verschiebt sich je nach Dienst ein wenig. Wenn Sie nur reine Rechenleistung mieten — was die Branche IaaS nennt, „Infrastruktur auf Abruf" —, verwalten Sie fast alles, was darauf läuft. Wenn Sie fertige Software nutzen, etwa ein E-Mail-Programm oder eine Bürosuite — SaaS, „Software als Dienst" —, übernimmt der Anbieter mehr davon. Eines bleibt jedoch stets gleich: Ihre Konten, Ihre Zugriffsrechte und Ihre Daten sind in keinem Fall die Verantwortung des Anbieters.

Das Missverständnis von Daniel A. ist das häufigste aller Cloud-Missverständnisse. „Es liegt bei einem grossen Anbieter" beruhigt hinsichtlich der Stabilität des Tresors — nicht hinsichtlich des Schlüssels, der auf dem Tresen liegen blieb. Und tatsächlich stammt die grosse Mehrheit der Cloud-Vorfälle nicht aus einem Einbruch in die Server des Anbieters, sondern aus einer liegen gebliebenen Einstellung: eine zu offene Freigabe, ein vergessenes Konto, eine nie aktivierte zweite Prüfung.

Das Bundesamt für Cybersicherheit (BACS, auch unter dem Kürzel NCSC bekannt) veröffentlicht praktische Empfehlungen für KMU, die genau in diese Richtung gehen: Die Cloud ist eine gute Entscheidung, sofern Sie wissen, was Ihnen zufällt. Anerkannte Rahmenwerke wie ISO 27001:2022 — die Norm, die grosse Auftraggeber oft anführen, auch in der Uhrenbranche — beschreiben diese Zugriffs- und Datenschutzmassnahmen ebenfalls als Aufgabe des Kunden, nie allein des Anbieters. Anders gesagt: An dem Tag, an dem ein Kunde fragt, wie Sie seine Zeichnungen in der Cloud schützen, lautet die richtige Antwort nicht „das macht der Anbieter", sondern die Liste dessen, was Sie selbst eingerichtet haben.

Was Sie sich merken sollten

• Der Anbieter sichert die Infrastruktur, Sie sichern Ihre Zugänge und Ihre Daten. Das ist der Satz, den man über den Bildschirm hängen sollte. Die Cloud nimmt Ihnen Ihren Teil der Sicherheit nicht ab; sie verlagert ihn auf das, was Sie direkt steuern — die Konten, die Rechte, die Freigaben.
• Die meisten Cloud-Vorfälle stammen aus einer Einstellung, nicht aus einem Exploit. Eine zu offene Freigabe, ein Konto ohne zweite Prüfung, ein ehemaliger Mitarbeiter, der noch aktiv ist: Das sind Ihre Einstellungen, also Ihre Verantwortung. Die gute Nachricht: Sie sind auch am einfachsten und günstigsten zu beheben.
• In der Schweiz sieht das Gesetz Sie in der Verantwortung. Das revDSG — das revidierte Datenschutzgesetz, in Kraft seit September 2023 — hält ein Unternehmen für die Daten verantwortlich, die es hält, auch wenn diese anderswo gehostet werden. Daten einem Anbieter anzuvertrauen überträgt diese Verantwortung nicht. Ihre Geschäftsdaten können in der Schweiz gehostet werden, wenn Sie es verlangen, aber es ist an Ihnen, dies im Vertrag zu prüfen, nicht am Anbieter, es zu erraten.

Schritte für diese Woche

1. Erstellen Sie die Liste, wer worauf Zugriff hat

Öffnen Sie Ihren wichtigsten Cloud-Bereich — E-Mail und geteilte Dateien — und schauen Sie, ganz ohne Spezialwerkzeug, wer ein Konto hat und wer auf die sensiblen Ordner zugreifen kann: bei Daniel A. sind das die von Kunden anvertrauten Fertigungszeichnungen. Fast immer finden Sie das noch aktive Konto eines ehemaligen Mitarbeiters oder einen Ordner „für das ganze Unternehmen sichtbar", der es nicht sein sollte. Schliessen Sie, was keinen Grund hat, offen zu sein. Das ist kostenlos, braucht keinen Informatiker und ist der Schritt, der an einem einzigen Vormittag das meiste Risiko beseitigt.

2. Aktivieren Sie die Zwei-Faktor-Authentifizierung auf den Konten

Die Zwei-Faktor-Authentifizierung (MFA) fügt zum Passwort einen zweiten Nachweis hinzu — meist einen Code oder eine Bestätigung auf Ihrem Telefon. Ein gestohlenes Passwort reicht dann nicht mehr aus, um hineinzukommen. Aktivieren Sie sie zuerst auf den Geschäftsleitungskonten und auf jenen, die mit Zahlungen und Kundendaten zu tun haben. Es ist die einzelne Einstellung, die die grosse Mehrheit der Einbrüche über gestohlene Passwörter blockiert, und die meisten Cloud-Anbieter bieten sie ohne Aufpreis an.

3. Übernehmen Sie wieder die Kontrolle über Freigaben und Sicherungen

Prüfen Sie die Freigabelinks, die auf „für alle mit dem Link zugänglich" stehen: Ersetzen Sie sie durch namentliche Freigaben, wo möglich mit Ablaufdatum. Stellen Sie sich dann die Frage, die Marc K. sich immer zu spät stellt: Wenn ein Cloud-Ordner versehentlich gelöscht oder verschlüsselt wird, lässt er sich wiederherstellen? Der Anbieter garantiert, dass seine Server einwandfrei laufen, nicht zwingend eine Kopie Ihrer gelöschten Dateien über einige Tage hinaus. Eine Sicherung, die Ihnen gehört — eine Kopie Ihrer Daten, die Sie kontrollieren —, bleibt Ihr Sicherheitsnetz.

Wo stehen Sie wirklich?

Geteilte Verantwortung ist keine zusätzliche Belastung, sondern eine Klärung. Sobald man weiss, wo die Linie verläuft — der Anbieter für die Infrastruktur, Sie für die Zugänge und die Daten —, wird die Cloud-Sicherheit eines KMU wieder zu einer Liste beherrschbarer Einstellungen und nicht zu einem Thema, das grossen Konzernen mit einer ganzen IT-Abteilung vorbehalten ist.

Eine ehrliche Frage bleibt: Wo stehen Sie auf dieser Trennlinie wirklich? Die Selbsteinschätzung Cyber Passport zertifiziert nichts und verspricht keine Konformität: Sie zeigt Ihnen Punkt für Punkt, was in Ihrer Cloud in Ihre Verantwortung fällt, was bereits vorhanden ist und was noch auf einem „ich dachte, das sei geregelt" beruht. Das ist der Ausgangspunkt, um wieder die Kontrolle zu übernehmen — ohne Fachjargon und ohne Ihre Abende dafür zu opfern.