Technische Sicherheitsmaßnahmen helfen wenig, wenn zentrale Zusagen im Cloud-Vertrag fehlen oder nur unverbindlich beschrieben sind. Deshalb gehört die Vertragsprüfung fest in die Sicherheitsbewertung eines Dienstes.
Warum diese Prüfung wichtig ist
Ein C5-Bericht beschreibt geprüfte Kontrollen, ersetzt aber keine individuelle Vereinbarung. Regionen, Verfügbarkeiten, Meldefristen, Supportzugriffe und Exit-Leistungen müssen so geregelt sein, dass der Kunde seine eigenen Pflichten erfüllen kann.
Für eine belastbare Entscheidung müssen Anforderungen, Dokumentaussagen und tatsächliche Zuständigkeiten getrennt betrachtet werden. Fehlende Evidenz ist zunächst unklar – nicht automatisch erfüllt und auch nicht automatisch ein Verstoß.
Was konkret geprüft werden sollte
- Leistungsgegenstand und eindeutiger Service-Scope
- Datenstandorte und zulässige Supportregionen
- Rollen und Sicherheitsverantwortlichkeiten
- Verfügbarkeit, Wiederherstellung und Eskalation
- Meldung und Mitwirkung bei Sicherheitsvorfällen
- Prüf-, Informations- und Kontrollrechte
- Subdienstleister und Änderungsinformationen
- Schutz von Administrations- und Supportzugriffen
- Datenexport und Portabilität
- Exit-Unterstützung und Fristen
- Löschung einschließlich Sicherungskopien
- Nachweise, Aktualisierungspflichten und Vertragsfolgen
Vorgehen in der Praxis
- Sicherheitsanforderungen vor der Verhandlung festlegen
- Vertragsentwurf und Anlagen vollständig erfassen
- Jede Muss-Anforderung einer Klausel zuordnen
- Unklare oder fehlende Regelungen markieren
- Juristische und sicherheitsfachliche Prüfung gemeinsam abschließen
Wer an der Bewertung beteiligt sein sollte
Die Dokumentenprüfung ist keine isolierte Aufgabe der Informationssicherheit. Der Service Owner kennt Einsatzzweck und Abhängigkeiten, der Einkauf kennt die vereinbarten Leistungen, die Rechtsabteilung bewertet verbindliche Klauseln und der Informationssicherheitsbeauftragte ordnet die Nachweise dem Regelwerk zu. Bei technischen Aussagen kommen Betrieb, Architektur oder Datenschutz hinzu. Sinnvoll ist eine klare Rollenverteilung: Eine Person führt die Prüfakte, Fachverantwortliche bestätigen kritische Aussagen und ein benannter Entscheider akzeptiert verbleibende Risiken. So wird verhindert, dass ein positiver Satz aus einem Anbieterpapier stillschweigend als Freigabe gilt.
Für das Thema dieses Artikels sollten die Beteiligten insbesondere Leistungsgegenstand und eindeutiger Service-Scope und Datenstandorte und zulässige Supportregionen gemeinsam einordnen. Die Zuständigkeit gehört direkt an den Prüfpunkt: Wer fordert den Nachweis an, wer prüft ihn fachlich und bis wann muss eine belastbare Antwort vorliegen?
Welche Evidenz wirklich belastbar ist
Eine Fundstelle ist zunächst nur ein Texttreffer. Belastbar wird sie erst, wenn Dokumentart, Version, Gültigkeit, Scope und Aussagekraft zusammenpassen. Eine Ausschreibung beschreibt beispielsweise eine Forderung, aber noch keine Erfüllung. Ein Sicherheitskonzept beschreibt einen Sollzustand, während ein datierter Prüf- oder Testbericht zusätzliche Evidenz für die tatsächliche Umsetzung liefern kann. Vertragliche Zusagen wiederum müssen in der final vereinbarten Fassung und einschließlich der referenzierten Anlagen vorliegen.
Zu jeder wichtigen Aussage sollten deshalb mindestens Dokumentname, Versionsstand, Seite, relevante Textpassage, betroffener Dienst und verantwortliche Organisation gespeichert werden. Ebenso wichtig ist die negative Information: Fehlt eine Anlage, endet der Prüfzeitraum vor dem geplanten Einsatz oder gilt eine Aussage nur für eine andere Produktvariante, darf der Punkt nicht grün werden. Der korrekte Zwischenstatus lautet dann „unklar“ und löst eine konkrete Nachforderung aus.
Konkrete Fragen für Anbieter und interne Verantwortliche
- Welche freigegebene Unterlage belegt „Leistungsgegenstand und eindeutiger Service-Scope“ für genau den betrachteten Cloud-Dienst, in welcher Version und an welcher konkreten Fundstelle?
- Welche freigegebene Unterlage belegt „Datenstandorte und zulässige Supportregionen“ für genau den betrachteten Cloud-Dienst, in welcher Version und an welcher konkreten Fundstelle?
- Welche freigegebene Unterlage belegt „Rollen und Sicherheitsverantwortlichkeiten“ für genau den betrachteten Cloud-Dienst, in welcher Version und an welcher konkreten Fundstelle?
- Welche freigegebene Unterlage belegt „Verfügbarkeit, Wiederherstellung und Eskalation“ für genau den betrachteten Cloud-Dienst, in welcher Version und an welcher konkreten Fundstelle?
- Welche freigegebene Unterlage belegt „Meldung und Mitwirkung bei Sicherheitsvorfällen“ für genau den betrachteten Cloud-Dienst, in welcher Version und an welcher konkreten Fundstelle?
- Welche freigegebene Unterlage belegt „Prüf-, Informations- und Kontrollrechte“ für genau den betrachteten Cloud-Dienst, in welcher Version und an welcher konkreten Fundstelle?
- Welche freigegebene Unterlage belegt „Subdienstleister und Änderungsinformationen“ für genau den betrachteten Cloud-Dienst, in welcher Version und an welcher konkreten Fundstelle?
- Welche freigegebene Unterlage belegt „Schutz von Administrations- und Supportzugriffen“ für genau den betrachteten Cloud-Dienst, in welcher Version und an welcher konkreten Fundstelle?
- Welche freigegebene Unterlage belegt „Datenexport und Portabilität“ für genau den betrachteten Cloud-Dienst, in welcher Version und an welcher konkreten Fundstelle?
- Welche freigegebene Unterlage belegt „Exit-Unterstützung und Fristen“ für genau den betrachteten Cloud-Dienst, in welcher Version und an welcher konkreten Fundstelle?
- Welche freigegebene Unterlage belegt „Löschung einschließlich Sicherungskopien“ für genau den betrachteten Cloud-Dienst, in welcher Version und an welcher konkreten Fundstelle?
- Welche freigegebene Unterlage belegt „Nachweise, Aktualisierungspflichten und Vertragsfolgen“ für genau den betrachteten Cloud-Dienst, in welcher Version und an welcher konkreten Fundstelle?
Praxisbeispiel: vom Dokumentensatz zur Entscheidung
Angenommen, ein Unternehmen möchte einen neuen Kollaborationsdienst freigeben. Vorliegen sollen Ausschreibung, C5-Bericht, Vertrag und SLA, Sicherheitskonzept sowie Notfall- und Exit-Unterlagen. Beim ersten Durchlauf findet die Prüfung eine plausible Aussage zu „Leistungsgegenstand und eindeutiger Service-Scope“. Sie wird jedoch nur dann als Stärke übernommen, wenn Dienstname, Geltungsbereich und Dokumentversion zum Beschaffungsvorhaben passen. Parallel wird „Datenstandorte und zulässige Supportregionen“ betrachtet. Fehlt dort eine eindeutige Aussage oder verweist das Dokument auf eine nicht beigefügte Anlage, entsteht kein pauschales Negativurteil, sondern ein präziser offener Punkt.
Der nächste Schritt lautet dann beispielsweise: „Anlage mit Geltungsbereich und gültigem Versionsstand beim Anbieter anfordern; anschließend Scope gegen den vorgesehenen Dienst abgleichen.“ Dazu werden Kritikalität, verantwortliche Person und Termin erfasst. Bei „Nachweise, Aktualisierungspflichten und Vertragsfolgen“ kann das Ergebnis bereits positiv sein, sofern eine aktuelle, freigegebene und seitengenau referenzierte Evidenz vorliegt. Das Management sieht damit gleichzeitig, was den Dienst stützt, was die Freigabe blockiert und welche Information noch beschafft werden muss.
Vom offenen Punkt zur geschlossenen Maßnahme
Ein guter Befund endet nicht bei „fehlt“. Er beschreibt erstens das konkrete Problem, zweitens die erwartete Verbesserung und drittens den Bezug zur Anforderung. Nach Eingang der Ergänzung wird nicht nur die Datei abgelegt: Die neue Version wird erneut geprüft, der Fundstelle zugeordnet und fachlich bestätigt. Erst danach ändert sich der Status. Diese Arbeitsweise verhindert den typischen Fehler „Sicherheitskonzept und Vertrag als austauschbar ansehen“ und schafft eine belastbare Historie für spätere Wiederholungsprüfungen.
So unterstützt der BSI-Security Check
Der BSI-Security Check kann Klauseln und fehlende Anlagen mit Fundstelle dokumentieren. Für jeden offenen Punkt wird beschrieben, was fehlt, warum es relevant ist und welcher Nachweis oder welche Ergänzung benötigt wird.
Die Demo verarbeitet die vorbereiteten Unterlagen lokal und regelbasiert. Jede Feststellung bleibt mit Prüfpunkt, Dokument und Seite nachvollziehbar. Dadurch können Verantwortliche gezielt Nachweise anfordern, statt erneut alle Unterlagen vollständig zu lesen.
Was das Tool bewusst nicht verspricht
Die Software ist keine Rechtsberatung und kann keine rechtliche Wirksamkeit garantieren. Sie strukturiert die sicherheitsfachlichen Prüffragen und bereitet die gezielte juristische Prüfung vor.
Der CloudServiceCheck ist damit eine dokumentenbasierte Vorprüfung und Entscheidungshilfe. Eine pauschale Aussage, ein Unternehmen oder Dienst sei allein aufgrund des Scans vollständig BSI-konform, wäre fachlich nicht seriös.
Typische Fehler
- Sicherheitskonzept und Vertrag als austauschbar ansehen
- Nur die Hauptvereinbarung ohne Anlagen prüfen
- Unklare Formulierungen ohne Verantwortlichen akzeptieren
Fazit
Eine gute Prüfung reduziert nicht nur Suchaufwand. Sie macht sichtbar, was bereits belastbar belegt ist, welche Punkte eine Entscheidung blockieren und welcher konkrete Nachweis als Nächstes benötigt wird.
Sehen Sie sich den lokalen BSI-Security Check mit C5-Bericht, Vertrag, SLA, Sicherheits- und Notfallkonzept direkt in der geführten Demo an.
Offizielle Grundlage: BSI/UP KRITIS: Hilfestellung zur Nutzung cloudbasierter Dienste
Bildquelle: OpenAI
Ich blogge über den Einfluss der Digitalisierung auf unsere Arbeitswelt. Hierzu gebe ich Inhalte aus der Wissenschaft praxisnah wieder und zeige hilfreiche Tipps aus meinen Berufsalltag. Ich bin selbst Führungskraft in einem KMU und Ich habe berufsgeleitend an der Universität Erlangen-Nürnberg am Lehrstuhl für IT-Management meine Doktorarbeit geschrieben.
