ISO 27018 — Datenschutz in der Cloud

ISO 27018 richtet sich an Anbieter öffentlicher Cloud-Dienste, die personenbezogene Daten im Auftrag ihrer Kunden verarbeiten. Sie beantwortet die Frage, die in jeder Auftragsverarbeitung gestellt wird: Was darf der Anbieter mit diesen Daten tun, was muss er offenlegen, und was ist ihm untersagt? Die Antworten stehen als Maßnahmen und Umsetzungshinweise in derselben Bauweise wie im Katalog der ISO 27002, ergänzt um einen eigenen Anhang mit zusätzlichen Maßnahmen für die Auftragsverarbeitung.

Die Rollenzuweisung ist entscheidend und schränkt den Anwendungsbereich stark ein. Die Norm adressiert den Verarbeiter, nicht den Verantwortlichen. Ein Software-Haus, das Kundendaten in seiner Anwendung speichert, ist Adressat. Dasselbe Haus ist für seine eigenen Beschäftigtendaten Verantwortlicher — dafür gilt die Norm nicht.

Der Anlass ist fast immer ein Vertragsgespräch. Ein Kunde legt einen Auftragsverarbeitungsvertrag vor und verlangt Nachweise für die technischen und organisatorischen Maßnahmen. Die reine ISO 27001 beantwortet diese Fragen nur teilweise, weil sie Informationswerte allgemein behandelt und den Personenbezug nicht gesondert adressiert. ISO 27018 schließt genau diese Lücke, ohne dass ein zweites Managementsystem entsteht.

Was die Norm inhaltlich regelt

Der Kern lässt sich in fünf Gruppen ordnen. Jede beantwortet eine Frage, die in Auftragsverarbeitungsverträgen ohnehin auftaucht.

Dazu kommen Anforderungen an Verschlüsselung bei Übertragung und auf Wechselmedien, an die Beschränkung von Ausdrucken und Datenträgern, an die Protokollierung von Zugriffen auf personenbezogene Daten und an Vertraulichkeitsverpflichtungen des Personals mit Zugriff. Vieles davon ist bei einem funktionierenden ISMS bereits vorhanden. Neu ist der Blickwinkel: Es geht nicht um Informationswerte allgemein, sondern um Daten, für die ein Dritter geradestehen muss.

Gegliedert sind die zusätzlichen Maßnahmen nach den Datenschutzgrundsätzen aus ISO 29100 — Zweckbindung, Datenminimierung, Beschränkung von Nutzung und Weitergabe, Transparenz, Beteiligung der betroffenen Person, Rechenschaft, Sicherheit. Diese Gliederung ist der Grund, warum sich die Norm gut in Fragebögen übersetzen lässt: Zu jedem Grundsatz gibt es eine Handvoll konkreter Nachweise, die ein Kunde abfragen kann.

Die praktisch schärfste Anforderung betrifft die Zweckbindung. Der Anbieter darf die Daten nicht für eigene Zwecke verwenden, und eine Zustimmung dazu darf nicht Voraussetzung für die Nutzung des Dienstes sein. Damit sind Modelle ausgeschlossen, die Nutzungsdaten stillschweigend in Produktentwicklung oder Werbung überführen. Wer solche Auswertungen betreibt, muss sie vor dem Audit trennen oder gesondert vereinbaren.

Warum sie die DSGVO nicht ersetzt

Diese Klarstellung gehört an eine sichtbare Stelle, weil sie regelmäßig übergangen wird. ISO 27018 ist eine internationale Norm, die vor der Datenschutz-Grundverordnung entstand und keinen Bezug auf europäisches Recht nimmt. Sie deckt einen Ausschnitt ab: die technischen und organisatorischen Maßnahmen eines Auftragsverarbeiters.

Nicht abgedeckt sind die Pflichten des Verantwortlichen — Rechtsgrundlage, Informationspflichten, Verzeichnis der Verarbeitungstätigkeiten, Folgenabschätzung, Meldung von Verletzungen an die Aufsichtsbehörde. Ebenfalls nicht abgedeckt sind die Anforderungen an Datenübermittlungen in Drittländer. Ein Zertifikat ist damit ein Argument in der Anbieterprüfung, aber kein Ersatz für einen Auftragsverarbeitungsvertrag und keine Genehmigung für eine Übermittlung.

Anders gesagt: Die Norm hilft dem Kunden, die Sorgfalt bei der Anbieterauswahl zu belegen. Die Verantwortung für die Verarbeitung bleibt bei ihm.

Für wen sich die Erweiterung lohnt

Sinnvoll ist ISO 27018 für Anbieter, deren Kunden regelmäßig Datenschutzfragebögen schicken: SaaS-Häuser mit Personaldaten, Kundendaten oder Gesundheitsdaten in der Anwendung, Hosting-Anbieter, Betreiber von Portalen und Plattformen, Dienstleister für Abrechnung und Dokumentenverarbeitung. Der Nutzen liegt weniger im Zertifikat selbst als darin, dass die Prüfung Lücken aufdeckt, die sonst erst ein Kundenaudit findet.

Wenig sinnvoll ist sie in drei Lagen. Ohne ISMS nach ISO 27001 fehlt der Unterbau; die Reihenfolge ist nicht verhandelbar. Wer keine personenbezogenen Daten im Auftrag verarbeitet, hat keinen Anwendungsfall. Und wer auch als Verantwortlicher in nennenswertem Umfang verarbeitet, sollte prüfen, ob ISO 27701 als Datenschutzmanagementsystem der passendere Rahmen ist — sie deckt beide Rollen ab und ordnet die Anforderungen gesetzlichen Vorgaben zu.

Häufig sinnvoll ist die Kombination mit ISO 27017. Beide werden im selben Audit geprüft, betreffen dieselben Systeme und beantworten zusammen den größten Teil eines typischen Sicherheitsfragebogens.

Bei der Entscheidung hilft eine einfache Frage: Wer fragt den Nachweis ab, und in welcher Form? Kommt die Frage aus dem Einkauf eines Konzerns, ist ein Zertifikat mit passendem Geltungsbereich die schnellste Antwort. Kommt sie von der Datenschutzabteilung, folgt in der Regel trotzdem ein eigener Fragebogen — dann ist die Vorbereitung auf dessen Inhalte wichtiger als die Urkunde. Kommt sie von einer Behörde, wird häufig ein Prüfbericht mit Feststellungen erwartet, den die Norm nicht liefert.

Der Weg zum Nachweis

Der Ablauf der Zertifizierung folgt dem Standardmuster mit Stufe-1- und Stufe-2-Audit, jährlicher Überwachung und Rezertifizierung. Geprüft wird das ISMS, erweitert um die Maßnahmen der ISO 27018.

Drei Vorarbeiten entscheiden über den Aufwand. Erstens muss das Statement of Applicability die zusätzlichen Maßnahmen aufnehmen und zu jeder die Umsetzung oder den begründeten Ausschluss benennen. Zweitens braucht es eine Übersicht der Verarbeitungen mit Personenbezug: welche Dienste, welche Datenarten, welche Standorte, welche Unterauftragnehmer. Ohne diese Übersicht lässt sich keine Maßnahme belegen. Drittens gehört der Geltungsbereich präzise formuliert — benannt wird der konkrete Dienst mit seinen Betriebsstandorten, nicht die Organisation als Ganzes.

Der Auditor arbeitet dabei an Vorgängen. Er verlangt die Löschbestätigung für einen beendeten Vertrag, das Protokoll eines administrativen Zugriffs auf Kundendaten, die Liste der Unterauftragnehmer mit Stand und Freigabe. Wer diese Nachweise nicht ziehen kann, hat eine Feststellung, unabhängig davon, wie gut die Richtlinie formuliert ist.

Ein internes Audit sollte diese Prüfrichtung vorwegnehmen. Sinnvoll ist, einen beendeten Kundenvertrag zu ziehen und die vollständige Spur zu verfolgen: Kündigung, Datenexport, Löschung in der Produktion, Ablauf der Sicherungskopien, Bestätigung an den Kunden. Wer diesen Durchgang einmal gemacht hat, kennt die eigenen Lücken vor dem Auditor.

Woran Projekte im Audit scheitern

Löschung endet vor den Sicherungskopien. Produktivdaten werden gelöscht, Backups laufen wochenlang weiter, und der Kunde erfährt davon nichts. Die Norm verlangt genau hier Transparenz und eine geregelte Frist.

Die Liste der Unterauftragnehmer ist veraltet. Ein Dienst wurde ausgetauscht, die Übersicht nicht nachgeführt, Kunden nicht informiert. Das ist eine der häufigsten Feststellungen und zugleich der Punkt, der Kundenaudits am schnellsten eskalieren lässt.

Testsysteme laufen mit Echtdaten. Für die Fehlersuche wird eine Kopie der Produktivdatenbank verwendet. Zugriffsrechte und Protokollierung sind dort schwächer, oft fehlt die Löschung ganz.

Zugriffe des eigenen Supports werden nicht protokolliert. Mitarbeitende können sich in Kundenkonten einwählen, ohne dass Anlass und Umfang festgehalten werden. Ein Auditor greift genau diesen Fall heraus.

Eigene Auswertungen ohne Zustimmung. Nutzungsdaten fließen in Produktentwicklung oder Verkaufsstatistiken. Ohne gesonderte, freiwillige Zustimmung ist das nach der Norm nicht gedeckt.

Verarbeitungsorte sind nicht benannt. Der Dienst läuft in mehreren Regionen, der Vertrag nennt nur ein Land. Spätestens bei der Prüfung durch einen Konzernkunden fällt das auf.

Die Zuständigkeit ist ungeklärt. Informationssicherheit liegt bei der IT, Datenschutz bei einer anderen Stelle, und niemand verantwortet die Schnittmenge. Die Verantwortungsfrage ist vor dem Auditplan zu klären.

Abgrenzung zu verwandten Normen und Prüfschemata

Die praktische Reihenfolge ist eindeutig: zuerst das ISMS nach ISO 27001, dann die Erweiterungen, nach denen der eigene Markt tatsächlich fragt. Wer stattdessen alle verfügbaren Nachweise sammelt, bindet Kapazität im Betrieb und beantwortet am Ende Fragen, die niemand gestellt hat.