Definition: Modell der geteilten Verantwortung Was ist ein Shared Responsibility Model?

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

Insider Research

Southern Tech GmbH

Immer mehr Leistungen werden über die Cloud bereitgestellt. Zur Optimierung der Sicherheit der Cloud-Anbieter kommt dabei häufig das Shared Responsibility Model zum Tragen. Das heißt, die Parteien teilen sich die Verantwortung sinnvoll auf.

Das Shared Responsibility Model im Überblick: Im Zusammenhang mit Cloud Computing ist das Shared Responsibility Model ein Sicherheitskonzept, welches gezielt für und von Anbietern von Cloud-Dienstleistungen entwickelt wurde. Denn die Sicherheit bei diesen Anwendungen ist eine der größten Schwachstellen und kann bei mangelnder Vorsicht schnell zu nachhaltigen Problemen führen.

Zur Absicherung der Anbieter und auch der Kunden wird das Shared Responsibility Model in immer mehr Bereichen eingesetzt. Es definiert sich dadurch, dass die Sicherheit der Anwendungen und der Daten nicht allein von den Anbietern oder allein vom Unternehmen betreut wird, sondern die notwendigen Sicherheitsmaßnahmen aufgeteilt werden. Der Anbieter eines Cloud-Dienstes sorgt für die grundsätzliche Sicherheit seines Dienstes. Das bedeutet, dass sowohl die physische Sicherheit der Server-Standorte als auch die Sicherheit der Datenbanken und der Funktionselemente des Systems durch den Anbieter garantiert werden.

Die Sicherheit der Kundendaten, welche die Dienste in Anspruch nehmen, wird allerdings nicht vom Anbieter gewährleistet. Laut dem Shared Responsibility Model sind die Kunden selbst für die eigene Absicherung der Daten, der Zugriffe und der Berechtigungen verantwortlich. Der Anbieter kann den Kunden Tools zur Absicherung zur Verfügung stellen, diese zu implementieren, zu nutzen und abzusichern, liegt dann aber in der Verantwortung der Kunden.

Gute Gründe für die Aufteilung der Verantwortung

Das Shared Responsibility Model wurde aus der puren Notwendigkeit geboren und weiterentwickelt. Auf dem Markt für Cloud-Anwendungen haben sich vor allem sehr große Anbieter etabliert. Wären diese Anbieter ohne das Shared Responsibility Model vollständig für die Sicherheit aller Bereiche zuständig, würde bei einem Datenleck der Anbieter nicht nur von den Unternehmen in Regress genommen, sondern hätte in der gesamten Branche seine Glaubwürdigkeit verspielt.

Bei der reinen Anzahl an Kunden kann allerdings nicht garantiert werden, dass es zu individuellen Fehlern kommt, welche im schlimmsten Fall das gesamte Geschäftsmodell gefährden würden. Durch das Shared Responsibility Model wird ein wichtiger Teil der Verantwortung auf die Kunden übertragen. Der Anbieter muss sich vor allem nur um die technischen und administrativen Details kümmern, welche sich deutlich leichter überwachen, strukturieren und kontrollieren lassen. Kommt es also zu einem Datenleck bei einem Kunden, welcher sich nicht gut genug abgesichert hat, steht der Kunde im Fokus der Aufmerksamkeit. Sofern der Cloud-Anbieter seinen im Shared Responsibility Model definierten Aufgaben nachgekommen ist, steht er nicht mehr im Fokus der Aufmerksamkeit.

Beispiele für fehlende Absicherung gibt es enorm viele

Wer allein in den letzten Jahren aufmerksam die Nachrichten verfolgt hat, wird viele Beispiele nennen können, in denen Unternehmen ihren Teil des Sicherheitskonzepts nicht eingehalten haben. Vor allem der Anbieter AWS, also Amazon Web Services, verzeichnete etliche Kunden, welche ihren Teil der Vereinbarung zur Datensicherung nicht eingehalten haben oder welche sich schlichtweg nicht um diese gekümmert haben.

So sind in den unterschiedlichen Datenskandalen unter anderem Wählerdaten aus Mexiko und auch aus den Vereinigten Staaten von Amerika über nicht abgesicherte AWS-Container geleakt worden und standen frei zugänglich im Netz. Und dies sind nur einzelne Beispiele von so großen Datenskandalen, dass diese in die internationale Presse gerieten. Viele kleinere Unternehmen, welche auf moderne Cloud-Lösungen setzen, werden sich ähnlich schlecht absichern, deren Datenverluste werden nur nicht so öffentlichkeitswirksam ausgeschlachtet. Dennoch können solche Skandale besonders kleinere Unternehmen nachhaltig treffen.

Unternehmen müssen die Datensicherheit sicherstellen können

Auch die Kunden profitieren vom Shared Responsibility Model deutlich. Denn durch die Cloud-Dienstleistungen, beispielsweise durch Software-as-a-Service, wird das Rechenzentrum der Kunden aktiv entlastet und es müssen weniger Personen für die IT abgestellt werden. Die technische Funktionalität wird durch das Shared Responsibility Model sichergestellt, da diese durch den Cloud-Anbieter überwacht und kontrolliert wird. Das bedeutet, dass sich die Unternehmen vor allem nur noch um die Absicherung der Daten und der Anwendungen kümmern müssen, was dem Arbeitsaufwand nochmals deutlich verringert.

Beinahe alle Cloud-Anbieter setzen auf das Shared Responsibility Model

Wenn man sich aktuell auf dem Markt der verschiedenen Cloud-Anbieter umschaut, gibt es keinen großen Anbieter mehr, welcher auf das Shared Responsibility Model verzichtet. Dafür gibt es gute Gründe. Denn ohne ein solches Modell kann der Cloud-Anbieter im schlimmsten Fall für die fehlende Datensicherheit verantwortlich gemacht werden. Dies kann, vor allem bei den großen und bekannten Anbietern, einen erheblichen Geschäftsausfall verursachen.

Durch die Teilung der Verantwortung und vor allem durch die klare Kommunikation der unterschiedlichen Verantwortungsbereiche werden die beauftragenden Unternehmen für die Fehler verantwortlich gemacht. Somit müssen die Cloud-Anbieter nicht fürchten, für die Fehler der eigenen Kunden zur Verantwortung gezogen zu werden und im schlimmsten Fall das eigene Geschäftsmodell zu verlieren. Da die großen Cloud-Anbieter ihren Teil der Sicherheitsmaßnahmen äußerst ernst nehmen und sich dementsprechend gut absichern, profitieren die Kunden dauerhaft von der optimalen Sicherheit durch das Shared Responsibilty Model.

Definition: Endbenutzer-Lizenzvereinbarung

Was ist End User Licence Agreement (EULA)?

(ID:46892030)