Ein Betriebsmodell ist nicht allein deshalb sicher oder unsicher, weil es lokal, in einer Cloud oder als Onlinedienst umgesetzt wird. Entscheidend sind Schutzbedarf, konkrete Architektur, wirksame Maßnahmen und die Frage, ob jede notwendige Verantwortung eindeutig übernommen und geprüft wird.
Das BSI beschreibt Vertraulichkeit, Integrität und Verfügbarkeit als übergeordnete Ziele der Informationssicherheit. Für ein Unternehmenssystem bedeutet das:
- Vertraulichkeit: Informationen sind nur Befugten zugänglich.
- Integrität: Daten und Systeme werden nicht unbemerkt oder unzulässig verändert.
- Verfügbarkeit: Benötigte Informationen und Funktionen stehen rechtzeitig zur Verfügung.
Je nach Zusammenhang kommen Authentizität, Nachvollziehbarkeit und Verbindlichkeit hinzu.
1. Schutzbedarf aus dem Geschäftsprozess ableiten
Beginne nicht mit einer Maßnahmenliste, sondern mit den möglichen Folgen:
- Was geschieht, wenn Daten offengelegt werden?
- Was geschieht, wenn Daten falsch oder unvollständig sind?
- Wie lange darf ein System ausfallen?
- Welche Vorgänge müssen später nachweisbar sein?
- Welche Personen, Kundenleistungen, Verträge oder gesetzlichen Pflichten sind betroffen?
Bewerte nicht nur einzelne Datenbestände. Ein scheinbar unkritisches System kann für den Betrieb unverzichtbar sein; mehrere harmlose Angaben können in ihrer Kombination schutzbedürftig werden.
2. Verantwortung vollständig zuordnen
Bei Eigenbetrieb, Managed Hosting, Plattformdiensten und SaaS werden Aufgaben anders verteilt. Für jeden relevanten Baustein sollte geklärt sein:
| Aufgabe | Zu klärende Frage |
|---|---|
| Identitäten und Berechtigungen | Wer legt Konten an, prüft Rechte und sperrt Zugänge? |
| Aktualisierung | Wer bewertet, testet und installiert Sicherheitsupdates? |
| Konfiguration | Wer setzt sichere Vorgaben und erkennt Abweichungen? |
| Überwachung | Wer sieht Auffälligkeiten und reagiert außerhalb üblicher Arbeitszeiten? |
| Datensicherung | Wer sichert was, wie lange und in welcher Trennung? |
| Wiederherstellung | Wer entscheidet, startet und prüft den Wiederanlauf? |
| Vorfallbehandlung | Wer meldet, begrenzt, untersucht und dokumentiert einen Vorfall? |
| Dienstleistersteuerung | Wer prüft Zusagen, Nachweise und wesentliche Änderungen? |
„Der Anbieter kümmert sich um Sicherheit“ ist keine ausreichende Zuordnung. Ebenso wenig genügt im Eigenbetrieb die Annahme, dass „die IT“ alles übernimmt.
3. Grundlegende Kontrollen unabhängig vom Modell
Die konkrete Ausprägung richtet sich nach dem Schutzbedarf. Regelmäßig zu betrachten sind:
Identitäten und Zugriffe
- persönliche statt geteilter Konten,
- Rechte nach Aufgabe und erforderlichem Umfang,
- starke Authentisierung, besonders für privilegierte und externe Zugriffe,
- geregelter Eintritt, Rollenwechsel und Austritt,
- regelmäßige Prüfung kritischer Berechtigungen,
- getrennte Administrations- und Alltagskonten.
Sichere Konfiguration und Aktualisierung
- dokumentierte, reduzierte Grundkonfiguration,
- zeitnahe Bewertung und Behandlung bekannter Schwachstellen,
- kontrollierte Änderungen und Rückfallmöglichkeiten,
- getrennte Entwicklungs-, Test- und Produktivumgebungen, soweit angemessen,
- Inventar der eingesetzten Komponenten und Verantwortlichen.
Schutz der Daten
- Verschlüsselung bei Übertragung und – dem Schutzbedarf entsprechend – bei Speicherung,
- geregelte Schlüssel- und Geheimnisverwaltung,
- Vermeidung unnötiger Datenkopien,
- sichere Löschung und geregelte Aufbewahrung,
- Integritäts- und Plausibilitätsprüfungen an wichtigen Übergaben.
Datensicherung und Wiederherstellung
Eine vorhandene Sicherung ist noch keine Wiederherstellungsfähigkeit. Zu klären und zu testen sind:
- welche Daten, Konfigurationen und Schlüssel benötigt werden,
- wie häufig gesichert wird und welcher Verlustzeitraum tragbar ist,
- wie Sicherungen gegen denselben Ausfall oder Angriff getrennt werden,
- wie lange eine Wiederherstellung dauern darf,
- ob der vollständige Geschäftsprozess anschließend wieder funktioniert.
Protokollierung und Reaktion
Kritische Aktionen, Fehler und Zugriffe müssen im angemessenen Umfang nachvollziehbar sein. Protokolle brauchen Schutz, Aufbewahrungsregeln und jemanden, der sie tatsächlich auswertet. Ein Vorfallplan regelt Zuständigkeiten, Kontaktwege, Beweissicherung, Kommunikation und Wiederanlauf.
4. Besondere Fragen je Betriebsmodell
Eigenbetrieb
Der Schwerpunkt liegt auf eigener Betriebskompetenz:
- physischer Schutz und Ausfallsicherheit,
- Kapazität für Überwachung, Aktualisierung und Störungsbehebung,
- Vertretung für Schlüsselpersonen,
- sichere Fernwartung,
- unabhängige Sicherungen und realistische Wiederanlauftests.
Die unmittelbare Kontrolle ist nur dann ein Vorteil, wenn sie organisatorisch und fachlich ausgeübt wird.
Managed Hosting und Plattformdienste
Hier liegen Risiken häufig an Verantwortungsgrenzen:
- Welche Systemschichten aktualisiert der Dienstleister, welche das Unternehmen?
- Wer härtet Standardkonfigurationen und Plattformdienste?
- Wie werden administrative Zugriffe des Dienstleisters kontrolliert?
- Welche Protokolle und Sicherheitsinformationen stehen dem Unternehmen zur Verfügung?
- Wer koordiniert einen Vorfall, der mehrere Schichten betrifft?
SaaS
Neben der Anbieterprüfung bleiben insbesondere beim Unternehmen:
- sichere Konten, Rollen und Anmeldeverfahren,
- fachlich richtige Freigaben und Datenverwendung,
- Konfiguration von Freigaben, Schnittstellen und Exporten,
- Verwaltung angebundener Anwendungen und Zugangsschlüssel,
- Reaktion auf verdächtige Nutzung,
- Notbetrieb und Datenzugang bei Ausfall oder Vertragsende.
Beim Anbieter sind unter anderem Mandantentrennung, Entwicklungs- und Updateverfahren, Infrastruktur, Sicherung, Schwachstellenbehandlung und technische Vorfallreaktion zu bewerten.
Hybride Landschaften
Zusätzliche Aufmerksamkeit brauchen die Übergänge:
- einheitliche Identitäten und zeitnahe Sperrung,
- abgesicherte Schnittstellen und Netzverbindungen,
- konsistente Daten- und Berechtigungsmodelle,
- durchgängige Protokollierung,
- klare Führung eines Vorfalls über mehrere Betreiber hinweg.
Die Gesamtsicherheit entspricht nicht automatisch der Stärke der besten Einzelkomponente. Eine unklare Verbindung kann den gesamten Zusammenhang schwächen.
5. Anbieter und Verträge prüfen
Zertifikate und Prüfberichte können Hinweise geben, ersetzen aber nicht die Prüfung des eigenen Anwendungsfalls. Zu klären sind:
- genauer Leistungsumfang und Verantwortungsgrenzen,
- zugesagte Verfügbarkeit, Wiederherstellung und Reaktionszeiten,
- Standorte, Unterauftragnehmer und administrative Zugriffe,
- Verfahren für Sicherheitsupdates und wesentliche Änderungen,
- Meldewege und Zusammenarbeit bei Vorfällen,
- verfügbare Protokolle, Nachweise und Prüfrechte,
- Datenexport, Rückgabe, Löschung und Unterstützung bei Vertragsende.
Versprechen sollten soweit möglich durch nachvollziehbare Verfahren, aktuelle Nachweise und praktische Tests gestützt werden.
6. Sicherheit als laufender Regelkreis
Schutzbedarf und Systemlandschaft verändern sich. Deshalb braucht jedes Betriebsmodell einen wiederkehrenden Ablauf:
- Systeme, Daten, Abhängigkeiten und Verantwortliche erfassen.
- Schutzbedarf und relevante Risiken bewerten.
- Maßnahmen auswählen und verantwortlich umsetzen.
- Wirksamkeit durch Kontrollen und Übungen prüfen.
- Vorfälle und Veränderungen auswerten.
- Anforderungen, Verträge und Notfallpläne anpassen.
Die passende Sicherheitsarchitektur entsteht nicht aus einer maximalen Maßnahmenliste. Sie entsteht, wenn die für den Geschäftsprozess wesentlichen Risiken sichtbar, verantwortlich behandelt und regelmäßig auf ihre tatsächliche Beherrschung geprüft werden.