Definition
Leitfaden-Norm für Informationssicherheit in Cloud-Services. Ergänzt ISO 27002 um cloud-spezifische Kontrollen für Cloud-Anbieter und Cloud-Nutzer. Adressiert Themen wie Datenverteilung über Rechenzentren, Shared-Responsibility-Modell, Sicherheits-Konfiguration virtueller Umgebungen, Rückgabe von Kundendaten am Vertragsende. Häufig kombiniert mit ISO 27018 (PII in Public Clouds) bei Hyperscaler-Auditierungen.
In der Praxis
Das teuerste Missverständnis im Cloud-Geschäft lautet: „Unser Hyperscaler ist zertifiziert, also sind wir sicher." Das Shared-Responsibility-Modell teilt die Verantwortung — der Anbieter sichert die Cloud, der Nutzer sichert das, was er hineinstellt: Identitäten, Konfiguration, Datenklassifizierung, Verschlüsselung, Logging. Genau diese Nutzer-Seite adressiert ISO/IEC 27017, und genau dort entstehen die Vorfälle — über falsch konfigurierte Speicher und überbreite Admin-Rechte, nicht über gehackte Rechenzentren. Zweiter Klassiker aus Audits: Der Exit ist nicht geregelt. Was am Vertragsende mit den Daten passiert — Rückgabe in nutzbaren Formaten, nachweisbare Löschung, Restlaufzeiten in Backups — steht in keinem Vertrag, bis der erste Anbieterwechsel ansteht. Wichtig für die Einordnung: ISO/IEC 27017 ist ein Leitfaden, kein eigenständig zertifizierbarer Standard; die Kontrollen werden im Rahmen einer ISO-27001-Zertifizierung über die Erklärung der Anwendbarkeit mitgeprüft. Für Cloud-Dienstleister ist die Norm zugleich der schnellste Weg, Kundenfragebögen und C5-Anforderungen strukturiert zu beantworten.
Verwandte Begriffe
Häufige Fragen zu ISO/IEC 27017
Was ist der Unterschied zwischen ISO/IEC 27017 und ISO/IEC 27018?
Beide sind Leitfäden, die ISO 27002 für Cloud-Kontexte konkretisieren — mit unterschiedlichem Fokus. ISO/IEC 27017 adressiert cloud-spezifische Sicherheitskontrollen generell und aus beiden Perspektiven: was der Cloud-Anbieter umsetzen muss und was in der Verantwortung des Cloud-Nutzers bleibt. ISO/IEC 27018 fokussiert den Schutz personenbezogener Daten (PII) in öffentlichen Clouds und ist damit das datenschutzrechtliche Gegenstück. In der Praxis werden beide kombiniert: Ein Hyperscaler-Audit oder eine C5-Prüfung fragt typischerweise Kontrollen aus beiden Normen ab. Für Sie als Nutzer heißt das: 27017 für die Sicherheitsarchitektur, 27018 sobald personenbezogene Daten in der Public Cloud verarbeitet werden (ISO/IEC 27017:2015).
Ist ISO/IEC 27017 für uns verbindlich — und können wir uns danach zertifizieren lassen?
Beides verneint — mit einer Einschränkung. ISO/IEC 27017 ist ein Code of Practice, also ein Leitfaden ohne eigenen Zertifizierungsgegenstand. Verbindlich werden die Kontrollen auf zwei Wegen: vertraglich, wenn Kunden oder Anbieter sie in Vereinbarungen referenzieren, oder über Ihr ISMS, wenn Sie die Cloud-Kontrollen in die Erklärung der Anwendbarkeit Ihrer ISO-27001-Zertifizierung aufnehmen — dann prüft der Auditor sie mit. Beachten Sie die rechtliche Ebene: An Ihrer eigenen Verantwortung ändert das Shared-Responsibility-Modell nichts. Verarbeiten Sie personenbezogene Daten in der Cloud, bleiben Sie für das risikoangemessene Schutzniveau nach Art. 32 Abs. 1 DSGVO verantwortlich — diese Pflicht können Sie nicht an den Hyperscaler outsourcen.
Wie setzen wir das Shared-Responsibility-Modell praktisch um, ohne dass Aufgaben durchs Raster fallen?
Der Schlüssel ist eine schriftliche Verantwortungsmatrix je Cloud-Service — und zwar getrennt nach IaaS, PaaS und SaaS, denn die Grenze verschiebt sich mit jedem Modell. Ordnen Sie jede relevante Kontrolle einem Verantwortlichen zu: Anbieter, eigenes Unternehmen oder geteilt. Fordern Sie die Nachweise des Anbieters aktiv ein — Zertifikate, C5-Atteste, Penetrationstest-Zusammenfassungen — und prüfen Sie, ob der Scope die von Ihnen genutzten Dienste abdeckt. Regeln Sie den Exit vertraglich: Rückgabeformate, Löschungsnachweise, Übergangsfristen. Und rezertifizieren Sie Berechtigungen regelmäßig, denn Rechte in Cloud-Konsolen wachsen erfahrungsgemäß schneller als in jedem On-Premises-System. Die Matrix gehört als dokumentierte Information ins ISMS und in die regelmäßige Überprüfung.