Shared Responsibility Model
DefinitionSicherheit ist geteilt: Anbieter schützt Cloud, Kunde Konfiguration/Daten.
Das Shared Responsibility Model (Modell der geteilten Verantwortung) beschreibt, wie Sicherheits- und Compliance-Aufgaben in der Cloud zwischen Cloud-Anbieter und Kunde aufgeteilt sind: Der Anbieter schützt die Cloud-Infrastruktur („Security of the Cloud“), der Kunde schützt seine Konfiguration, Zugriffe und Daten („Security in the Cloud“). Für KMU ist das wichtig, weil Cloud nicht automatisch „vollständig sicher“ bedeutet.
Was bedeutet das konkret?
Viele Geschäftsführer gehen davon aus, dass mit dem Wechsel in die Cloud die komplette IT-Sicherheit „mitgekauft“ wird. In der Praxis ist es eher wie bei einem Mietbüro: Der Vermieter sorgt für Gebäude, Schloss und Brandschutz – aber wer Schlüssel bekommt, wie Akten gelagert werden und wer die Tür offen stehen lässt, liegt beim Mieter.
Wie funktioniert das Shared Responsibility Model?
- Cloud-Anbieter (z. B. Microsoft, Google, AWS): schützt Rechenzentren, Hardware, Netzwerk, Virtualisierungsschicht, physische Zutrittskontrolle, Basisverfügbarkeit und oft auch Standard-Sicherheitsfunktionen (z. B. DDoS-Schutz, Verschlüsselung auf Storage-Ebene).
- Kunde (Ihr Unternehmen): verantwortet Nutzerkonten und Rollen, Passwörter/MFA, Gerätesicherheit, Datenklassifizierung, Backup-Strategie, sichere Einstellungen, Freigaben, Schnittstellen (APIs) und die Einhaltung interner/gesetzlicher Vorgaben (z. B. DSGVO).
Wichtig: Die genaue Grenze verschiebt sich je nach Servicemodell. Je „fertiger“ der Dienst, desto mehr übernimmt der Anbieter.
Beispiel nach Cloud-Modell: IaaS vs. PaaS vs. SaaS
- IaaS (Infrastructure as a Service): Der Anbieter liefert Infrastruktur, Sie betreiben Betriebssystem, Patches, Firewall-Regeln, Anwendungen und Daten. Risiko durch Fehlkonfiguration ist hier besonders hoch.
- PaaS (Platform as a Service): Der Anbieter betreibt zusätzlich Laufzeitumgebung/Plattform. Sie verantworten weiterhin App-Logik, Identitäten, Daten und sichere Konfiguration.
- SaaS (Software as a Service): Der Anbieter betreibt die Anwendung (z. B. Microsoft 365, Salesforce). Sie bleiben trotzdem verantwortlich für Nutzerrechte, Freigaben, Dateninhalte, Aufbewahrung, Integrationen und Endgeräte.
Warum ist das für KMU-Geschäftsführer relevant?
- Häufigste Ursache für Sicherheitsvorfälle: nicht „Hacker im Rechenzentrum“, sondern falsche Einstellungen (z. B. öffentlich zugängliche Daten, zu breite Admin-Rechte, fehlende MFA).
- Compliance & Haftung: Auch wenn der Anbieter zertifiziert ist, können Sie bei Datenpannen in der Verantwortung stehen (z. B. wegen falscher Zugriffsrechte oder fehlender Prozesse).
- Planung & Einkauf: Sie können besser entscheiden, welche Sicherheitsleistungen Sie zusätzlich brauchen (z. B. Managed Security, Backup, Identity-Management, Schulungen).
Typische Stolperfallen (mit Praxisbeispielen)
- „SaaS macht automatisch Backup“: Viele SaaS-Anbieter bieten Verfügbarkeit, aber kein vollständiges, kundenindividuelles Restore-Konzept. Wenn jemand Daten löscht oder verschlüsselt, ist ein separates Backup oft entscheidend.
- Zu großzügige Freigaben: Ein falsch konfigurierter Ordner-Link oder ein „Jeder mit Link“-Sharing kann vertrauliche Dokumente nach außen öffnen.
- Schwache Identitäten: Ohne MFA und saubere Rollen (Least Privilege) reicht ein gestohlenes Passwort für großen Schaden.
Merksatz: Der Cloud-Anbieter schützt die Plattform – Sie schützen Ihr Geschäft darin. Wer das Shared Responsibility Model versteht, reduziert Risiken, verbessert die Verhandlungsposition gegenüber Providern und baut eine realistische Sicherheitsstrategie auf.
- 99%
Fehlkonfigurationen entscheidend
Bei Cloud-Sicherheitsvorfällen in Unternehmen liegt die Ursache sehr häufig auf Kundenseite, etwa durch falsche Konfigurationen, unzureichende Zugriffsrechte oder fehlende Überwachung im Rahmen des Shared Responsibility Model.
- 3 von 4
KMU ohne Cloud-Expertise
Viele kleine und mittlere Unternehmen verfügen nicht über dedizierte Cloud-Sicherheitsteams und tragen dadurch ein erhöhtes Risiko, ihre Verantwortlichkeiten für Identitäten, Daten und Konfigurationen unvollständig umzusetzen.
- 43%
geringere Vorfallkosten
Unternehmen, die Verantwortlichkeiten zwischen Cloud-Anbieter und internem Team klar dokumentieren, senken typischerweise die Kosten von Sicherheitsvorfällen durch schnellere Reaktion und weniger Zuständigkeitslücken.
Cloud-CRM sicher einführen und Zuständigkeiten klar trennen
Ein KMU im Vertrieb führt ein cloudbasiertes CRM ein und legt gemeinsam mit dem Anbieter fest, wer welche Sicherheitsaufgaben übernimmt. Während der Provider Infrastruktur, Verfügbarkeit und Basis-Schutz absichert, verantwortet das Unternehmen Rollenrechte, MFA, sichere Passwortrichtlinien und den Schutz sensibler Kundendaten in der Anwendung.
Personalakten in der HR-Cloud datenschutzkonform verwalten
Ein mittelständisches Unternehmen nutzt eine HR-Software aus der Cloud für Personalakten, Urlaubsanträge und Gehaltsdokumente. Das Shared Responsibility Model hilft dabei, klar zu regeln, dass der Anbieter die Plattform absichert, während die Personalabteilung Zugriffsrechte, Datenklassifizierung und Löschkonzepte für Mitarbeiterdaten steuert.
Produktionsdaten aus IoT-Systemen sicher in die Cloud übertragen
Ein Fertigungs-KMU sammelt Maschinendaten über IoT-Sensoren und speichert diese in einer Cloud-Plattform zur Auswertung. Der Cloud-Anbieter schützt die zugrunde liegende Infrastruktur, während das Unternehmen selbst für die sichere Gerätekonfiguration, Netzwerksegmentierung und Verschlüsselung der übertragenen Produktionsdaten verantwortlich ist.
Häufig gestellte Fragen
Was ist Shared Responsibility Model?
Das Shared Responsibility Model ist das Prinzip, dass Cloud-Sicherheit zwischen Anbieter und Kunde aufgeteilt ist. Der Anbieter schützt die Cloud-Infrastruktur, der Kunde ist für Zugriffe, Konfiguration und Daten verantwortlich.
Wie funktioniert das Shared Responsibility Model in SaaS?
Bei SaaS betreibt der Anbieter die Anwendung und die technische Plattform. Ihr Unternehmen bleibt aber verantwortlich für Benutzerrechte, Freigaben, Dateninhalte, Geräte-Sicherheit und Prozesse wie Backup/Restore.
Warum ist das Shared Responsibility Model für KMU wichtig?
Viele Cloud-Vorfälle entstehen durch Fehlkonfigurationen oder zu breite Zugriffsrechte – nicht durch Probleme im Rechenzentrum. Wer die Verantwortlichkeiten kennt, kann gezielt MFA, Rollenmodelle, Backups und Richtlinien umsetzen.
Was sind typische Fehler im Shared Responsibility Model?
Häufig sind fehlende MFA, zu viele Admin-Rechte, öffentliche Freigaben und die Annahme „der Anbieter macht schon Backup“. Diese Punkte liegen meist in der Verantwortung des Kunden und sollten aktiv gemanagt werden.
Wer haftet bei einer Datenpanne in der Cloud?
Das hängt vom Vorfall ab: Für Infrastrukturprobleme ist eher der Anbieter zuständig, für falsche Zugriffsrechte, Datenfreigaben oder fehlende Schutzmaßnahmen oft der Kunde. Deshalb sind klare Prozesse, Dokumentation und Verträge (z. B. AVV/DPA) wichtig.
Gilt das Shared Responsibility Model auch bei Microsoft 365, Google Workspace und anderen Standard-Cloud-Tools?
Ja, das Shared Responsibility Model gilt auch bei SaaS-Diensten wie Microsoft 365, Google Workspace oder Dropbox. Der Anbieter sichert die technische Plattform, aber du bist weiterhin für Nutzerrechte, sichere Passwörter, MFA, Datenfreigaben und Aufbewahrungsregeln verantwortlich.
Welche Sicherheitsaufgaben bleiben beim Kunden im Shared Responsibility Model?
Im Shared Responsibility Model liegt beim Kunden vor allem die Verantwortung für Zugriffsrechte, Gerätesicherheit, Datenklassifizierung, Backups je nach Tool sowie die korrekte Konfiguration. Auch Schulungen für Mitarbeiter und der sichere Umgang mit Freigaben, Admin-Rechten und externen Integrationen gehören dazu.
Wie prüfe ich, ob wir unsere Verantwortung in der Cloud überhaupt richtig erfüllen?
Am besten startest du mit einem Audit deiner Cloud-Tools, Rollen, Freigaben, Admin-Konten und Sicherheitsfunktionen. So erkennst du schnell, ob kritische Lücken bei MFA, Berechtigungen, Backup, Logging oder Compliance bestehen und wo dein Unternehmen im Shared Responsibility Model aktuell Risiken trägt.
Wir nutzen schon Cloud-Tools – lohnt sich eine externe Prüfung trotzdem?
Ja, gerade dann. Viele KMU arbeiten seit Jahren mit Cloud-Tools, ohne sauber zu prüfen, wer worauf Zugriff hat, welche Tools doppelt laufen oder wo Sicherheits- und Compliance-Lücken entstanden sind. Mit dem Tech-Gutachten bekommst du in kurzer Zeit Klarheit über Risiken, Kosten und konkrete nächste Schritte.
Ich habe keine eigene IT-Leitung – kann mich dabei jemand dauerhaft begleiten?
Ja, genau dafür ist die Tech-Partnerschaft als externer CTO gedacht. Ich begleite dich langfristig bei Tech-Entscheidungen, prüfe Setups, denke bei Sicherheits- und Tool-Fragen mit und bin dein technischer Ansprechpartner, ohne dass du eine Vollzeitstelle schaffen musst.
Ist das Thema Shared Responsibility Model für mein kleines Unternehmen nicht zu komplex?
Nein – komplex wird es meist nur, wenn niemand es strukturiert übersetzt. Ich helfe dir dabei, technische Verantwortung in klare Geschäftsentscheidungen zu übersetzen: Welche Risiken sind relevant, was muss wirklich umgesetzt werden und was ist für dein Team im Alltag praktikabel.
Können Sicherheits- und Zugriffsprozesse direkt sauber in ein neues System eingebaut werden?
Ja, genau das ist bei der Tech-Umsetzung mit OrbitOS wichtig. Statt Sicherheit erst nachträglich zu reparieren, werden Rollen, Zugriffe, Datenstrukturen und Automationen von Anfang an sinnvoll aufgebaut, damit dein System nicht nur funktioniert, sondern auch kontrollierbar und sauber administrierbar bleibt.
Kann KI helfen, Risiken im Shared Responsibility Model besser zu erkennen oder Prozesse sicherer zu machen?
Ja, wenn sie sinnvoll eingesetzt wird. In meiner KI-Beratung prüfen wir, welche Prozesse sich für KI eignen, wo sensible Daten besonders geschützt werden müssen und wie du interne Assistenten oder RAG-Systeme so aufsetzt, dass Nutzen, Sicherheit und Verantwortlichkeiten zusammenpassen.