BRDCloud-Risiken erkennen und mit Maßnahmen beherrschen
Cloud-Dienste verlagern Risiken, sie beseitigen sie nicht. Die wichtigsten Risiken betreffen Fehlkonfiguration und Zugriff, Verfügbarkeit und Abhängigkeit, Rechtsrahmen und Datenzugriff durch Dritte sowie Transparenz über den Anbieter. Sie gehören in die Risikobewertung des ISMS und, wenn personenbezogene Daten mit hohem Risiko betroffen sind, in eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO.
Welche Risiken und Maßnahmen sind typisch?
| Risiko | Beispiel | Maßnahmen |
|---|---|---|
| Fehlkonfiguration | Freigabe-Link „für alle“ auf einem Ordner mit Personaldaten | Sichere Standardeinstellungen, Freigaberichtlinie, regelmäßige Konfigurationsprüfung |
| Kontoübernahme | Phishing auf Administratorkonto ohne zweiten Faktor | Mehr-Faktor-Authentifizierung, getrennte Administratorkonten, Anmeldeüberwachung |
| Ausfall des Anbieters | Störung des Dienstes oder einer Region | Verfügbarkeitszusagen prüfen, Notfallplan, Ausweichverfahren |
| Datenverlust | Versehentliche Löschung, Ransomware über synchronisierte Clients | Eigene, unabhängige Sicherung, Aufbewahrungsrichtlinien, Restore-Tests |
| Abhängigkeit (Lock-in) | Proprietäre Formate, hohe Wechselkosten | Exportwege testen, offene Formate, Exit-Strategie |
| Drittlandzugriff | Support oder Unterauftragsverarbeiter außerhalb des EWR | Kapitel V DSGVO prüfen, EWR-Speicherung, Zugriffsbeschränkung, eigene Schlüssel |
| Zugriff durch Behörden anderer Staaten | Herausgabeverlangen gegenüber der Konzernmutter des Anbieters | Transfer-Folgenabschätzung, Verschlüsselung, Vertragsklauseln zu Behördenanfragen |
| Fehlende Transparenz | Anbieter nutzt Daten für eigene Zwecke oder ändert Bedingungen einseitig | Vertrag prüfen, Änderungen überwachen, Rechtsgrundlage für eigene Zwecke des Anbieters klären |
| Schatten-IT | Fachbereich bucht einen Dienst mit Firmenkreditkarte | Beschaffungsregel, Freigabeprozess, Verzeichnis der Cloud-Dienste |
Wann ist eine Datenschutz-Folgenabschätzung nötig?
Eine Datenschutz-Folgenabschätzung ist nach Art. 35 DSGVO durchzuführen, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat. Die Cloud-Nutzung allein löst das nicht aus; maßgeblich sind die Daten und Zwecke, etwa Gesundheitsdaten, umfangreiche Überwachung von Beschäftigten oder neue Technologien. Mehr dazu: Datenschutz-Folgenabschätzung auf mgmsys.de.
Wie fließen Cloud-Risiken ins ISMS?
Jeder Cloud-Dienst wird als Wert (Asset) mit Eigentümer erfasst, mit den unterstützten Geschäftsprozessen verknüpft und nach Vertraulichkeit, Integrität und Verfügbarkeit bewertet. Die Maßnahmen aus der Tabelle werden in der Erklärung zur Anwendbarkeit den Anhang-A-Maßnahmen zugeordnet, etwa 5.23 (Cloud-Dienste), 8.13 (Datensicherung) oder 5.15 (Zugangssteuerung). Der BSI-Baustein OPS.2.2 Cloud-Nutzung bietet eine strukturierte Anforderungsliste.
Keine Rechtsberatung. Rechtsstand: 04.11.2026.