ISO 27018 Datenschutz in der Cloud: Anforderungen und Nachweis

ISO 27018 ist die internationale Norm für den Schutz personenbezogener Daten in der Public Cloud. Sie richtet sich an Anbieter, die solche Daten im Auftrag ihrer Kunden verarbeiten, und legt fest, wie sie damit umgehen müssen.

Wer Software as a Service, Hosting, Backup oder eine Plattform für Kundendaten betreibt, wird zunehmend danach gefragt. Meist steht die Frage in einem Lieferantenfragebogen oder in einer Ausschreibung. Dieser Artikel erklärt, was ISO 27018:2019 inhaltlich verlangt, wie sie sich zu ISO 27001 und zum Datenschutzrecht verhält und wie Sie den Nachweis erbringen.

Was ISO 27018 regelt

Die Norm trägt den Titel Verhaltenskodex für den Schutz personenbezogener Daten in öffentlichen Cloud-Diensten, die als Auftragsverarbeiter handeln. Sie ist ein Code of Practice. Sie baut auf den Sicherheitsmassnahmen von ISO 27002 auf und ergänzt sie um Vorgaben, die speziell für Personendaten in der Cloud gelten.

Der Kern ist ein klares Rollenverständnis. Der Kunde bestimmt, wofür seine Daten verwendet werden. Der Cloud-Anbieter führt aus. Er darf die Daten nicht für eigene Zwecke nutzen, zum Beispiel für Werbung oder Profilbildung, solange der Kunde nicht ausdrücklich zugestimmt hat. Diese Zustimmung darf ausserdem keine Bedingung für die Nutzung des Dienstes sein.

Für wen die Norm relevant ist

Relevant ist ISO 27018 für Anbieter, die in einer Public Cloud Personendaten ihrer Kunden speichern oder bearbeiten. Das betrifft:

• SaaS-Anbieter, etwa für Buchhaltung, CRM, HR oder Projektverwaltung
• Agenturen und Entwickler, die Kundenanwendungen auf Cloud-Infrastruktur betreiben
• Hosting- und Backup-Dienstleister
• Start-ups, die ein Produkt aufbauen, in dem Endkunden-Daten anfallen

Wer Cloud-Dienste nur nutzt und keine Personendaten Dritter für Kunden bearbeitet, braucht die Norm nicht für den Verkauf. Sie kann trotzdem als Orientierung dienen, um die eigenen Lieferanten zu beurteilen.

Die wichtigsten Anforderungen in der Praxis

Die Norm ist umfangreich. Für ein kleines Unternehmen lassen sich die Anforderungen auf einige Themenblöcke zurückführen.

Verarbeitung nur nach Weisung des Kunden

Der Anbieter verarbeitet Personendaten ausschliesslich im Rahmen des Vertrags und der dokumentierten Weisungen. Kann er eine Weisung nicht befolgen, informiert er den Kunden. Intern muss klar sein, wer welche Daten zu welchem Zweck anfassen darf.

Transparenz über Unterauftragnehmer und Standorte

Setzen Sie Subunternehmer ein, etwa ein Rechenzentrum, einen E-Mail-Dienst oder ein Support-Tool, müssen Ihre Kunden das wissen. Dasselbe gilt für die Länder, in denen Daten gespeichert werden. Eine aktuelle Liste, die Sie Kunden auf Anfrage geben, reicht als Ausgangspunkt. Ändert sich etwas, informieren Sie die Kunden rechtzeitig.

Umgang mit Behördenanfragen

Erhält der Anbieter eine rechtlich bindende Aufforderung, Personendaten herauszugeben, benachrichtigt er den Kunden, sofern das Gesetz es nicht verbietet. Er gibt nur heraus, was verlangt wird. Dafür braucht es einen definierten Ablauf, nicht erst im Ernstfall.

Meldung von Datenschutzverletzungen

Bei einem Vorfall mit Personendaten muss der Kunde zeitnah informiert werden, damit er seinen eigenen Meldepflichten nachkommen kann. Der Anbieter dokumentiert, was passiert ist, welche Daten betroffen waren und welche Massnahmen er ergriffen hat. Wer hier keinen Prozess hat, verliert im Vorfall wertvolle Stunden.

Rückgabe, Löschung und temporäre Dateien

Nach Vertragsende oder auf Weisung gibt der Anbieter die Daten zurück oder löscht sie sicher. Die Norm erwartet, dass auch temporäre Dateien, Exporte und Testdaten nicht unbegrenzt liegen bleiben. Ein Löschkonzept, das Backups einschliesst, gehört dazu.

Verschlüsselung und Vertraulichkeit

Personendaten, die über öffentliche Netze übertragen werden, sind zu verschlüsseln. Mitarbeitende, die Zugriff auf Kundendaten haben, unterliegen einer Vertraulichkeitsverpflichtung. Zugriffsrechte werden nach Bedarf vergeben und regelmässig überprüft.

ISO 27018 und ISO 27001

ISO 27018 ersetzt ISO 27001 nicht. ISO 27001 beschreibt ein Managementsystem für Informationssicherheit im ganzen Unternehmen. ISO 27018 ergänzt dieses System um Datenschutzmassnahmen für Cloud-Dienste. In grossen Zertifizierungsprojekten werden beide oft zusammen behandelt.

Für die Praxis heisst das: Wer die Informationssicherheit bereits sauber geregelt hat, also Zugriffe, Backups, Lieferantenbewertung und Vorfallmanagement, hat für ISO 27018 den grösseren Teil erledigt. Es fehlen dann meist die Punkte, die den Auftragsverarbeiter betreffen: Weisungsbindung, Subunternehmerliste, Umgang mit Behördenanfragen und Löschung nach Vertragsende.

ISO 27018, revDSG und DSGVO

Das Schweizer Datenschutzgesetz in seiner revidierten Fassung und die DSGVO verlangen beide, dass ein Auftragsverarbeiter nur auf Weisung handelt und angemessene Sicherheit gewährleistet. Im revDSG ist das in Art. 9 geregelt, in der DSGVO in Art. 28. Die Pflichten bleiben beim Verantwortlichen und beim Auftragsverarbeiter, die Norm nimmt sie niemandem ab.

ISO 27018 ersetzt auch keinen Auftragsbearbeitungsvertrag. Sie hilft aber, die Zusagen in diesem Vertrag mit konkreten Massnahmen zu hinterlegen. Ein Einkäufer, der Ihren Vertragsentwurf prüft, sieht im Zertifikat einen Hinweis, dass diese Massnahmen beschrieben und geprüft wurden. Ob eine Verarbeitung im Einzelfall rechtskonform ist, beurteilt am Ende der Verantwortliche selbst, bei Bedarf mit juristischer Beratung.

Checkliste: Sind Sie bereit für ISO 27018?

• Sie wissen, welche Personendaten Ihrer Kunden in Ihrem Dienst anfallen und wo sie gespeichert sind.
• Die Rollenverteilung ist schriftlich festgehalten: Ihr Kunde ist verantwortlich, Sie bearbeiten in dessen Auftrag.
• Ein Auftragsbearbeitungsvertrag liegt als Vorlage bereit.
• Eine aktuelle Liste aller Unterauftragnehmer und Speicherorte existiert.
• Kundendaten werden nicht für eigene Zwecke wie Werbung oder Analyse verwendet.
• Ein Ablauf für Datenschutzverletzungen mit Benachrichtigung der Kunden ist dokumentiert.
• Ein Ablauf für Behördenanfragen ist definiert.
• Daten werden bei der Übertragung verschlüsselt.
• Zugriffe auf Kundendaten sind nach Bedarf vergeben und werden regelmässig überprüft.
• Es gibt ein Löschkonzept für Vertragsende, Backups und temporäre Dateien.
• Mitarbeitende mit Datenzugriff haben eine Vertraulichkeitsverpflichtung unterzeichnet.

Wie Sie den Nachweis erbringen

Es gibt zwei Wege. Der klassische Weg führt über eine Zertifizierungsstelle, die vor Ort prüft. Das passt für Unternehmen mit grossen Infrastrukturen, mehreren Standorten oder Kunden, die ausdrücklich ein Audit durch eine bestimmte Stelle verlangen. Der Aufwand an Zeit und Koordination ist entsprechend hoch.

Der zweite Weg ist ein Zertifikat auf Basis einer Selbstbeurteilung. Wie das funktioniert und wo die Unterschiede liegen, steht im Beitrag ISO-Zertifizierung ohne Audit. Für kleinere Anbieter ist das oft der pragmatische Einstieg. Eine Übersicht, welche Normen für Betriebe Ihrer Grösse sinnvoll sind, finden Sie unter ISO-Zertifizierung für KMU.

Wie Zertify dazu passt

Zertify stellt Zertifikate nach ISO 27018:2019 aus. Grundlage ist eine Online-Selbstbeurteilung ohne Vor-Ort-Audit. Sie beantworten Fragen zu Ihren Prozessen und Massnahmen. Ein Mitglied des SICE Certification Board prüft jede Beurteilung, bevor das Zertifikat ausgestellt wird. Ausgestellt wird es von der G6 Agency AG im Rahmen einer Lizenz der SICE (Swiss Institute of Certification and Education).

Nach bestandener Beurteilung und Zahlung erhalten Sie das Zertifikat innerhalb von 4 Stunden als PDF. Auf dem PDF befindet sich ein QR-Code, der auf eine öffentliche Verifikationsseite führt. Ihr Kunde oder Einkäufer kann dort selbst prüfen, ob das Zertifikat echt und gültig ist, ohne Sie anzufragen.

Das Zertifikat gilt drei Jahre. Jedes Jahr bestätigen Sie es mit einem kurzen Online-Re-Audit, das als jährliches Abonnement läuft. Die Preismodelle sehen Sie auf der Seite Preise. Wenn Sie wissen möchten, wo Sie stehen, können Sie die Beurteilung direkt starten. Die Fragen zeigen Ihnen zugleich, welche Lücken Sie noch schliessen müssen.

Was Kunden mit dem Zertifikat tun

Ein Einkäufer, der einen SaaS-Anbieter prüft, stellt meist dieselben Fragen: Wer sind Ihre Unterauftragnehmer, wo liegen die Daten, was passiert bei einem Vorfall, wie löschen Sie nach Vertragsende? Wenn Sie diese Antworten schon für die Selbstbeurteilung aufgearbeitet haben, beantworten Sie den nächsten Fragebogen in einem Bruchteil der Zeit. Das Zertifikat ersetzt den Fragebogen nicht in jedem Fall, es verkürzt aber das Gespräch.

Legen Sie das Zertifikat der Offerte bei oder verlinken Sie die Verifikationsseite in der Antwort auf eine Ausschreibung. Prüfer sehen dann sofort, auf welcher Norm und welcher Fassung es beruht.

Typische Lücken bei kleinen Anbietern

In kleinen Teams fehlen selten die technischen Grundlagen. Verschlüsselung, Backups und Zugriffsschutz sind meist vorhanden. Es fehlen die Dokumente, die diese Massnahmen für Dritte nachvollziehbar machen.

Häufig ist die Subunternehmerliste unvollständig, weil ein Analytics-Tool, ein Support-System oder ein E-Mail-Versand nicht erfasst wurde. Ebenso oft ist unklar, ob Support-Mitarbeitende Kundendaten sehen dürfen und wer das freigibt. Und beim Thema Löschung wird gern vergessen, dass Daten auch in Backups und Logs liegen.

Ein halber Tag, an dem Sie diese drei Punkte aufarbeiten, bringt mehr als jedes Richtliniendokument, das niemand liest.

Wie oft sollten Sie die Unterlagen anpassen?

Die Unterlagen sind nur so gut wie ihr Stand. Wechseln Sie das Rechenzentrum, führen ein neues Tool ein oder ändern den Speicherort, passen Sie die Liste der Unterauftragnehmer an und informieren Ihre Kunden. Nehmen Sie die Punkte der Checkliste mindestens einmal im Jahr durch. Das jährliche Re-Audit gibt dafür einen festen Termin.