Shared Responsibility Model

Was ist das Shared Responsibility Model?

Das Shared Responsibility Model bezeichnet die transparente, auf den konkreten Cloud-Dienst bezogene Aufteilung von Sicherheits- und Betriebsaufgaben, Verantwortlichkeiten, Mitwirkungspflichten und korrespondierenden Kontrollen zwischen Cloud-Anbieter und Cloud-Nutzer.

Technische Einordnung: Es ist kein einheitlicher Aufgabenkatalog. Die konkrete Verteilung hängt vom einzelnen Dienst, seinem Service-Modell, den verfügbaren Funktionen, der Konfiguration und den getroffenen Vereinbarungen ab.

Wann ist das Modell relevant?

Es ist bei Auswahl, Einführung, Betrieb und Bewertung eines Cloud-Dienstes relevant. Bei Bereitstellung, Auswahl, Konfiguration und jeder wesentlichen Änderung sollten Anbieteraufgaben, Kundenkontrollen und Mitwirkungspflichten dienstbezogen bestimmt und nachvollziehbar dokumentiert werden.

Autoritative Orientierung: BSI C5:2025 stellt auf transparente Rollen, Verantwortlichkeiten, Mitwirkungspflichten und korrespondierende Kontrollen beim Cloud-Kunden ab. NIST CSF 2.0 empfiehlt, gemeinsame Rollen und Verantwortlichkeiten mit externen Parteien zu entwickeln und in Richtlinien und Vereinbarungen zu verankern. Das sind Orientierungspunkte für eine belastbare Zuordnung, keine hieraus abgeleitete allgemeine gesetzliche Pflicht.

Wovon hängt die Aufgabenverteilung ab?

Maßgeblich sind die Leistungsgrenzen des konkreten Dienstes, die tatsächlich verfügbaren Kontroll- und Konfigurationsmöglichkeiten sowie die Vereinbarungen zwischen Anbieter und Nutzer. Auch innerhalb desselben Service-Modells kann die Aufteilung wegen Leistungsumfang, Vertrag, Konfiguration, genutzten Funktionen oder Zusatzleistungen unterschiedlich ausfallen.

Wie unterscheiden sich IaaS, PaaS und SaaS?

Bei IaaS verbleiben typischerweise mehr Aufgaben für Betriebssysteme, Anwendungen, Daten und Konfiguration beim Nutzer. Bei PaaS und besonders bei SaaS übernimmt der Anbieter typischerweise einen größeren Anteil technischer Kontrollen. Entscheidend bleibt jedoch der konkrete Leistungsumfang: Die Bezeichnung IaaS, PaaS oder SaaS allein genügt nicht für die Zuordnung.

Zusatz- und Managed Services können einzelne Aufgaben verschieben, aber nur in dem dokumentierten und vereinbarten Umfang. Eine belastbare Matrix verbindet deshalb Anbieter- und Kundenkontrollen mit den Schichten und Funktionen, die beide Seiten tatsächlich betreiben oder konfigurieren können.

Welche Grenzen hat das Shared Responsibility Model?

Das Modell bestimmt für sich allein weder Haftung noch Datenschutzrollen und überträgt keine eigenständigen gesetzlichen oder regulatorischen Pflichten. Es beschreibt eine technische und organisatorische Aufgabengrenze. Weder übernimmt der Anbieter automatisch sämtliche Schutzmaßnahmen, noch wird der Nutzer technisch für Infrastrukturteile zuständig, die er nicht kontrollieren kann.

Einordnung: Eine vereinfachte Service-Modell-Grafik kann typische Grenzen zeigen, ersetzt aber nicht die Prüfung des konkreten Dienstes, seiner Funktionen, Mitwirkungspflichten, Kundenkontrollen und Vereinbarungen.

Gibt es allgemeine Fristen oder Schwellenwerte?

Für das technische Konzept selbst bestehen keine allgemein geltenden Fristen, Startpunkte oder quantitativen Schwellenwerte. Abweichende Vorgaben können sich aus dem einzelnen Vertrag, dem Dienst oder einem gesondert anwendbaren sektoralen beziehungsweise rechtlichen Regelwerk ergeben. Solche Vorgaben müssen separat geprüft werden.

Wie wird die Aufteilung nachvollziehbar dokumentiert?

Eine dienstbezogene Verantwortungsmatrix sollte mindestens Dienstgrenzen, Anbieterleistungen, eigene Konfigurations- und Betriebsaufgaben, Anbieter- und Kundenkontrollen, erforderliche Nachweise, Überwachung sowie Eskalations- und Meldewege enthalten. Sie sollte den tatsächlich bezogenen Dienst abbilden und mit Vertrag, Beschaffung, Risikobewertung und internen Zuständigkeiten übereinstimmen.

Häufige Fehlannahmen

• „Der Cloud-Anbieter ist für alles verantwortlich.“ Nein. Eigene Daten, Anwendungen, Einstellungen, Mitwirkungspflichten und Kundenkontrollen können weiterhin Aufgaben des Nutzers sein.
• „Der Nutzer trägt auch für nicht kontrollierbare Infrastruktur die technische Verantwortung.“ Nein. Die Zuordnung muss tatsächliche Leistungs-, Kontroll- und Konfigurationsgrenzen berücksichtigen.
• „Für jedes SaaS-, PaaS- oder IaaS-Angebot gilt dieselbe Matrix.“ Nein. Leistungsumfang, Vertrag, Konfiguration, Funktionen und Zusatzdienste können die Grenze selbst innerhalb eines Service-Modells verändern.
• „Eine Modellgrafik ersetzt die Prüfung des Dienstes.“ Nein. Maßgeblich sind die dokumentierten Anbieterleistungen, Mitwirkungspflichten und korrespondierenden Kundenkontrollen des konkreten Angebots.
• „Die technische Aufteilung regelt automatisch Haftung oder Datenschutzrollen.“ Nein. Diese Fragen werden durch das technische Verantwortungsmodell allein nicht entschieden.

Was die Geschäftsleitung tun sollte

Praxisempfehlung: Die folgenden Schritte sind organisatorische Sicherheitsmaßnahmen und werden hier nicht als eigenständige allgemeine Rechtspflichten dargestellt.

• Vor Einführung und bei wesentlichen Änderungen jedes Cloud-Dienstes eine dienstbezogene Verantwortungsmatrix verlangen und aktualisieren.
• Dienstgrenzen, Anbieterleistungen, eigene Konfigurations- und Betriebsaufgaben sowie die jeweiligen Kontrollen eindeutig Verantwortlichen zuordnen.
• Nachweise, laufende Überwachung und Eskalations- und Meldewege festlegen.
• Die Matrix mit Beschaffung, Vertrag, Risikobewertung und internen Zuständigkeiten abgleichen.
• Managed- und Zusatzleistungen nur in dem Umfang als Aufgabenübernahme berücksichtigen, den Leistungsbeschreibung und Vereinbarung tatsächlich dokumentieren.

Für die Geschäftsleitung

Das Shared Responsibility Model reicht über den gesamten Lebenszyklus eines konkreten Cloud-Dienstes von der Auswahl bis zu wesentlichen Änderungen. Entscheidend ist nicht das Service-Modell als Etikett, sondern die nachweisbare Grenze zwischen Anbieterleistungen und eigenen Aufgaben. Die Geschäftsleitung sollte diese Grenze in einer aktuellen Verantwortungsmatrix mit Kontrollen, Zuständigen, Nachweisen und Eskalationswegen abbilden lassen und ihre Übereinstimmung mit Vertrag, Beschaffung und Risikobewertung sicherstellen.

Quellen

Amtliche und autoritative Fundstellen:

• BSI: Kriterienkatalog Cloud Computing C5:2025 – Transparenzparameter zu Rollen, Verantwortlichkeiten, Mitwirkungspflichten und Kundenkontrollen.
• BSI: Hilfestellung zum Einsatz cloudbasierter Dienstleistungen – Abschnitt 2.1, Seite 7, zur Aufteilung nach Service-Modellen.
• NIST SP 800-146: Cloud Computing Synopsis and Recommendations – Appendix A zu Rollen und Verantwortlichkeiten bei SaaS, PaaS und IaaS.
• NIST Cybersecurity Framework 2.0 – GV.SC-02 zu Rollen, Verantwortlichkeitsmatrizen und Vereinbarungen mit externen Parteien.
• BSI: Sichere Nutzung von Cloud-Diensten – Seite 20 zur Prüfung des Vertragsverhältnisses.