Sie kennen Ihre Dienste (Woche 1) und haben die Sicherheitsnachweise Ihrer Anbieter geprüft (Woche 4). Jetzt klären wir die wichtigste Frage der Cloud-Sicherheit: Wer ist eigentlich wofür zuständig?
Das Missverständnis, das teuer wird
„Das liegt doch in der Cloud, da kümmert sich der Anbieter drum.” Dieser Satz ist die Ursache vieler Cloud-Sicherheitsvorfälle. Denn er stimmt nur zur Hälfte. Cloud-Sicherheit folgt dem Prinzip der geteilten Verantwortung: Der Anbieter sichert das, was unter dem Dienst liegt — Rechenzentrum, Hardware, Plattform. Sie verantworten das, was Sie hineinlegen und einstellen: Konten, Zugriffsrechte, Datenklassifizierung, Freigaben, Konfiguration.
Die gefährlichen Lücken entstehen genau an der Nahtstelle — bei den Aufgaben, von denen jede Seite annimmt, die andere kümmere sich. Eine versehentlich öffentlich konfigurierte Datenablage ist fast nie ein Versagen des Anbieters, sondern ein ungeklärter Zuständigkeitspunkt.
C5:2026 macht diese Trennlinie explizit: Für die Kriterien werden die beim Kunden verbleibenden Aufgaben — die komplementären Kundenkontrollen aus Woche 4 — benannt. Ihre Aufgabe ist es, daraus eine bewusste Entscheidung zu machen.
So machen Sie mit
Erstellen Sie pro wichtigem Dienst eine schlichte Verantwortungsmatrix. Für jeden Sicherheitsaspekt halten Sie fest, wer zuständig ist:
| Aspekt | Anbieter | Wir | Status bei uns |
|---|---|---|---|
| Physische Sicherheit / Rechenzentrum | ✓ | — | |
| Verfügbarkeit der Plattform | ✓ | — | |
| Benutzerkonten & MFA | ✓ | erledigt (Wo. 2) | |
| Berechtigungen / Least Privilege | ✓ | erledigt (Wo. 3) | |
| Datenklassifizierung | ✓ | offen | |
| Freigaben & externe Zugriffe | ✓ | offen (Wo. 7) | |
| Backup der Inhalte | (teils) | ✓ | offen (Wo. 6) |
| Protokollierung / Monitoring | (stellt bereit) | ✓ | offen (Wo. 8) |
- Übernehmen Sie die Kundenkontrollen aus den C5-Testaten (Woche 4) als Zeilen.
- Markieren Sie für jede Zeile den Status bei Ihnen: erledigt, offen, unklar.
- Weisen Sie jeder offenen Zeile eine verantwortliche Person zu.
Stolpersteine
- „Teils/teils” ist die wichtigste Antwort. Gerade beim Backup gilt oft: Der Anbieter sichert gegen seinen eigenen Ausfall, aber nicht gegen Ihr versehentliches Löschen. Dazu mehr in Woche 6.
- Eine Matrix pro Dienst. Microsoft 365, ein IaaS-Server und ein SaaS-CRM haben sehr unterschiedliche Schnitte. Eine pauschale Matrix führt in die Irre.
- Nicht im Schrank verschwinden lassen. Die Matrix ist ein lebendes Dokument — sie wandert in Ihr nächstes Lieferanten-Review.
Bezug zu C5:2026
Diese Matrix ist das Herzstück Ihrer Cloud-Governance. Sie verwandelt die abstrakte „geteilte Verantwortung” in eine konkrete Aufgabenliste — und liefert die Agenda für die zweite Hälfte des Sommer-Sprints.
Fazit
Wer schwarz auf weiß weiß, welche Sicherheitsaufgaben bei ihm liegen, schließt keine Lücken mehr aus Versehen. Nächsten Montag nehmen wir uns die erste dieser Aufgaben vor, die fast immer unterschätzt wird: Quick Win 6 sichert Ihre Cloud-Daten und probt die Wiederherstellung.
Sie möchten eine belastbare Verantwortungsmatrix für Ihre Dienste aufbauen? Kontaktieren Sie uns für eine Vorlage und Begleitung.