Grundschutz im Rechenzentrum und Cloud-Betrieb: Betriebsgrenzen und geteilte Verantwortung

Ein Rechenzentrums- oder Cloud-Dienst taucht in zwei ISMS auf. Im ISMS des Betreibers ist er Teil des eigenen Informationsverbunds, mit Gebäuden, Räumen, Hostsystemen, Netzen und Administrierenden. Im ISMS des Kunden ist er ein Asset der Zielobjektkategorie Outsourcing oder Cloud-Dienste; BSI-Standard 300-1 nennt in Anhang 1 „RZ-Housing“ als Beispiel für Outsourcing und IaaS, PaaS und SaaS als Beispiele für Cloud-Dienste. Kapitel 3.1 fragt bei der Abgrenzung des Informationsverbunds ausdrücklich, welche Teile an externe Parteien ausgelagert werden und welche Cloud-Dienste genutzt werden.

Das IT-Grundschutz-Kompendium 2023 trennt beide Sichten in eigene Bausteine: OPS.2.2 Cloud-Nutzung und OPS.2.3 Nutzung von Outsourcing für den Kunden, OPS.3.2 Anbieten von Outsourcing für den Anbieter. OPS.3.2 nennt als Beispiele den Betrieb eines Rechenzentrums, einer Applikation oder einer Webseite und hält fest: „Allerdings verbleibt die Verantwortung aus Sicht der Informationssicherheit stets bei der auslagernden Institution.“ BSI-Standard 200-2 sagt dasselbe in Kapitel 8.3.7.

Im Anwenderkatalog Grundschutz++ stehen die Anforderungen an Auslagerung und Cloud aus Sicht der auslagernden Institution, in den Praktiken Beschaffungsmanagement (BES) und Dienstleistersteuerung (DLS). Einen eigenen Baustein für die Anbieterseite wie OPS.3.2 haben wir im Build 2026-10-29 nicht gefunden. Für den Betreiber heißt das: Er baut sein ISMS mit den Zielobjektkategorien seiner eigenen Assets und richtet die Nachweise an dem aus, was Kunden nach BES und DLS von ihm verlangen werden.

Für einen Rechenzentrums- oder Plattformbetrieb kommen vor allem die Kategorien für Standorte, Räume, IT-Systeme und Netze in Frage. Die Tabelle nennt, wie viele Anforderungen im Anwenderkatalog (Build 2026-10-29) der jeweiligen Kategorie direkt zugeordnet sind, gezählt rekursiv über alle Verschachtelungsebenen. Über die Vererbung nach Kapitel 3.4.2 kommen bei einem Asset die Anforderungen der übergeordneten Kategorien hinzu; die Zahl ist deshalb eine Untergrenze für das, was auf ein Asset entfällt.

Kunden prüfen nach BSI-Standard 200-2 Kapitel 8.3.7, „ob der Geltungsbereich des ausgestellten Zertifikates die Dienstleistung auch tatsächlich umfasst“. Ein Steckbrief, der den Dienst so beschreibt, wie ein Kunde ihn bezieht, beantwortet diese Frage vorab. Das Beispiel ist fiktiv: ein Betreiber mit einer Virtualisierungsplattform an zwei Standorten, die er als IaaS für öffentliche Auftraggeber anbietet.

Der Anwenderkatalog verlangt von der auslagernden Institution, für jeden Cloud-Dienst das Bereitstellungsmodell „mit Ausführung der geteilten Verantwortlichkeiten“ zu dokumentieren (BES.1.6) und die geteilte Verantwortung mit dem Anbieter zu vereinbaren (BES.1.7). Im Kompendium 2023 verlangt OPS.2.2.A4, dass klar erkennbar ist, wie die Verantwortungsbereiche zwischen Anbieter und auftraggebender Institution abgegrenzt sind. Der Betreiber, der diese Aufteilung vorab je Modell beschreibt, liefert dem Kunden die Grundlage für beide Anforderungen.

Die Matrix ist ein Ausgangsvorschlag. A steht für Anbieter, K für Kunde, V für „im Vertrag festlegen“. Im Einzelfall entscheidet der Vertrag.

Der Kriterienkatalog C5 des BSI spezifiziert laut BSI „Mindestanforderungen an sicheres Cloud Computing“ und richtet sich in erster Linie an professionelle Cloud-Anbieter, deren Prüfer und Kunden. Die Erfüllung der Kriterien kann durch Wirtschaftsprüfer testiert werden, die der Cloud-Anbieter beauftragt; das BSI ist nach eigener Angabe bei der Auswahl der Prüfer und der Prüfung nicht beteiligt und wertet die Berichte nicht aus. C5 ist damit ein Prüfrahmen für einen Cloud-Dienst, Grundschutz++ eine Methodik für das ISMS einer Institution.

Für die Verantwortungsmatrix ist C5 trotzdem relevant, weil auch das BSI zu C5 betont, dass jeder Kunde ein eigenes Risikomanagement braucht und verbleibende Restrisiken selbst trägt. Ein C5-Prüfbericht kann für den Kunden ein Nachweis im Sinne von BES.4.8.2 sein. Ob Ihr Dienst einen C5-Bericht braucht und wie Sie ihn vorbereiten, behandelt diese Seite nicht.

Wer einen Betriebsdienst nach Grundschutz++ aufstellen will, beginnt mit dem Steckbrief und der Matrix für die angebotenen Modelle und stimmt beide mit einem Pilotkunden ab. Danach folgen die eigenen Schritte der Methodik: Schutzbedarf der eigenen Betriebsprozesse, Strukturanalyse der Assets, Modellierung, Anforderungspaket.