Der IT-Grundschutz des BSI versteht Cloud Computing als das dynamisch an den Bedarf angepasste Anbieten, Nutzen und Abrechnen von IT-Dienstleistungen \u00fcber ein Netz. Der Baustein OPS.2.2 beschreibt Anforderungen, durch die sich Cloud-Dienste sicher nutzen lassen, und stuft sie in nahezu allen Bereitstellungsmodellen, abgesehen von der Private Cloud On-Premise, als Sonderform des Outsourcings<\/strong> ein. Artikel 6 Nummer 30 der NIS-2-Richtlinie definiert den Cloud-Computing-Dienst als digitalen Dienst, der auf Abruf die Verwaltung und den umfassenden Fernzugang zu einem skalierbaren und elastischen Pool gemeinsam nutzbarer Rechenressourcen erm\u00f6glicht, auch wenn diese Ressourcen auf mehrere Standorte verteilt sind.<\/p>\n Nutzt ein unter DORA fallender Versicherer Cloud-Dienste, bleibt er nach Artikel 28 Absatz 1 Buchstabe a DORA jederzeit in vollem Umfang f\u00fcr die Einhaltung seiner Verpflichtungen verantwortlich; zur Cloud-Sicherheit geh\u00f6rt daher auch, die Verantwortungsbereiche zwischen Anbieter und Versicherer<\/strong> klar abzugrenzen, wie es der IT-Grundschutz des BSI verlangt. Die Vorschrift bezieht sich allgemein auf die Nutzung von IKT-Dienstleistungen durch Finanzunternehmen; die Abgrenzung der Verantwortungsbereiche in dieser Form ist eine Basis-Anforderung des Bausteins OPS.2.2 des IT-Grundschutzes.<\/p>\n Die Sicherheit eines Cloud-Dienstes beruht nach dem britischen National Cyber Security Centre (NCSC) auf einer gemeinsamen Verantwortung f\u00fcr Sicherheit und Verf\u00fcgbarkeit von Daten und Workloads, die zwischen Cloud-Anbieter und Kunde geteilt ist. Der Umfang, den beide Seiten jeweils \u00fcbernehmen, h\u00e4ngt von der Art des Dienstes ab und davon, wie der Anbieter ihn umgesetzt hat. Wer Cloud-Dienste nutzt, delegiert die Verwaltung von Teilen<\/strong> des Dienstes und damit einen Teil der Sicherheitsverantwortung an den Anbieter; die Verantwortung eines unter DORA fallenden Versicherers f\u00fcr die Einhaltung seiner Verpflichtungen bleibt davon unber\u00fchrt.<\/p>\n Nach dem Kriterienkatalog C5 des BSI legt die Dokumentation des Modells geteilter Sicherheitsverantwortung klar fest, wer f\u00fcr den Umgang mit Schwachstellen und Sicherheitsvorf\u00e4llen verantwortlich ist. Im Rahmen von C5 bleibt der Cloud-Anbieter daf\u00fcr verantwortlich, dass Entwicklung und Betrieb des Cloud-Dienstes<\/strong> die anwendbaren C5-Kriterien erf\u00fcllen.<\/p>\n Das Shared Responsibility Model teilt die Aufgaben zwischen Cloud-Anbieter und Kunde auf, w\u00e4hrend Cloud-Sicherheit mehr umfasst als diese Aufteilung. Im Kriterienkatalog C5 dient das Modell geteilter Sicherheitsverantwortung dazu, Schnittstellen und Abh\u00e4ngigkeiten zwischen den Aktivit\u00e4ten des Cloud-Anbieters und denen der Cloud-Kunden zu definieren und zu steuern; zur Cloud-Sicherheit geh\u00f6ren dagegen auch Strategie und Sicherheitsrichtlinie f\u00fcr die Cloud-Nutzung.<\/p>\n KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[425,440,393],"class_list":["post-34254","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-anwendungs-cloud-sicherheit","glossary_intl_topic-cloud-sicherheit","glossary_intl_topic-cybersecurity"],"acf":{"card_description":"Cloud-Sicherheit sichert die Nutzung von Cloud-Diensten ab und kl\u00e4rt, welche Aufgaben beim Anbieter und welche beim Kunden liegen.","nav_theme":"Anwendungs- & Cloud-Sicherheit","nav_subtheme":"Cloud-Sicherheit","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":null,"lead_definition":"Cloud-Sicherheit bezeichnet Anforderungen und Ma\u00dfnahmen, durch die sich Cloud-Dienste und die dort gespeicherten Daten sicher nutzen und absichern lassen, einschlie\u00dflich der Abgrenzung der Verantwortlichkeiten zwischen Anbieter und auftraggebender Institution.","at_a_glance":[{"bullet":"Cloud-Dienste gelten im IT-Grundschutz in nahezu allen Bereitstellungsmodellen als Sonderform des Outsourcings, ausgenommen die Private Cloud On-Premise."},{"bullet":"Nach dem britischen National Cyber Security Centre (NCSC) teilen sich Anbieter und Kunde die Verantwortung f\u00fcr Sicherheit und Verf\u00fcgbarkeit von Daten und Workloads; wie viel beide \u00fcbernehmen, h\u00e4ngt vom Diensttyp und von der Umsetzung durch den Anbieter ab."},{"bullet":"Ein unter DORA fallender Versicherer bleibt bei der Nutzung von IKT-Dienstleistungen jederzeit in vollem Umfang f\u00fcr seine Verpflichtungen nach DORA und nach dem anwendbaren Finanzdienstleistungsrecht verantwortlich."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Ein Unternehmen nutzt einen Cloud-Dienst und h\u00e4lt fest, welche Schnittstellen es gibt und welche Aufgaben beim Anbieter und welche beim Kunden liegen."},{"example":"Eine Organisation delegiert die Verwaltung von Teilen eines Cloud-Dienstes an den Anbieter und beh\u00e4lt die Entscheidung, welche Daten sie dort speichert."},{"example":"Ein Versicherer k\u00f6nnte etwa bei der Nutzung eines Cloud-Dienstes vertraglich festhalten, welche Verantwortungsbereiche beim Anbieter und welche beim Versicherer liegen."}],"misconception":null,"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[34077,34258],"pillar_link":null,"sources":[{"publisher":"","name":"OPS.2.2 Cloud-Nutzung","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/Grundschutz\/IT-GS-Kompendium_Einzel_PDFs_2023\/04_OPS_Betrieb\/OPS_2_2_Cloud-Nutzung_Edition_2023.pdf?__blob=publicationFile&v=3","doc_type":"2023","group":"used"},{"publisher":"","name":"Cloud security guidance | Understanding cloud services | Cloud security shared responsibility model | National Cyber Security Centre","url":"https:\/\/www.ncsc.gov.uk\/collection\/cloud\/understanding-cloud-services\/cloud-security-shared-responsibility-model","doc_type":"2023","group":"used"},{"publisher":"","name":"Cloud Computing Compliance Kriterienkatalog (C5:2026)","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/CloudComputing\/Anforderungskatalog\/2026\/C5_2026.pdf?__blob=publicationFile&v=13","doc_type":"","group":"used"},{"publisher":"","name":"Verordnung (EU) 2022\/2554 (DORA), ABl. L 333 vom 27.12.2022","url":"https:\/\/publications.europa.eu\/resource\/cellar\/0caf473a-85bd-11ed-9887-01aa75ed71a1.0004.03\/DOC_1","doc_type":"","group":"used"},{"publisher":"","name":"Richtlinie (EU) 2022\/2555 (NIS-2-Richtlinie), ABl. L 333 vom 27.12.2022","url":"https:\/\/publications.europa.eu\/resource\/cellar\/9b84d482-85bd-11ed-9887-01aa75ed71a1.0004.03\/DOC_1","doc_type":"","group":"used"},{"publisher":"","name":"Empfehlungen zur Nutzung von Cloud-Dienstleistungen in Kritischen Infrastrukturen","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/KRITIS\/UPK\/upk-cloudbasierte-dienstleistungen.pdf?__blob=publicationFile&v=9","doc_type":"2023","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-11-11"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\tWie wird Cloud-Sicherheit umgesetzt?<\/h2>\n
Cloud-Sicherheit im Vergleich<\/h2>\n
Welche Aufgaben der Cloud-Sicherheit bleiben beim Cloud-Kunden?<\/h2>\n
\n\n
\n \nMerkmal<\/th>\n Worauf es ankommt<\/th>\n<\/tr>\n<\/thead>\n \n Aufgaben, die beim Kunden bleiben<\/td>\n Nach dem britischen NCSC bleiben beim Kunden unter anderem, sicherzustellen, dass der Dienst seine Sicherheitsanforderungen erf\u00fcllen kann, die gew\u00e4hlten Dienste sicher zu konfigurieren und zu entscheiden, welche Daten er in den genutzten Diensten speichert.<\/td>\n<\/tr>\n \n Betriebssystem und Anwendungen bei IaaS<\/td>\n Beim Servicemodell Infrastructure as a Service (IaaS) hat der Cloud-Kunde nach einer Hilfestellung des UP KRITIS die volle Kontrolle und Verantwortung \u00fcber das IT-System vom Betriebssystem an aufw\u00e4rts.<\/td>\n<\/tr>\n \n Eigene Datensicherung<\/td>\n Bei erh\u00f6htem Schutzbedarf sollte die Institution nach dem Baustein OPS.2.2 pr\u00fcfen, ob zus\u00e4tzlich zu den vertraglich festgelegten Datensicherungen der Cloud-Diensteanbietenden eigene Datensicherungen erstellt werden sollen.<\/td>\n<\/tr>\n \n Schl\u00fcsselmanagement bei eigener Verschl\u00fcsselung<\/td>\n Bei erh\u00f6htem Schutzbedarf sollte ein geeignetes Schl\u00fcsselmanagement sichergestellt sein, wenn eigene Verschl\u00fcsselungsmechanismen genutzt werden (Anforderung des Bausteins OPS.2.2).<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n