ISO 27018 Zertifikat für Cloud-Dienste: Ablauf und Nachweis

Ein ISO-27018-Zertifikat für Cloud-Dienste belegt, dass Sie als Anbieter personenbezogene Daten Ihrer Kunden nach einem anerkannten Massstab schützen. Sie erhalten es entweder über ein klassisches Audit vor Ort oder über ein Online-Self-Assessment mit anschliessender Prüfung, wie es Zertify anbietet.

Dieser Artikel erklärt, was die Norm von Cloud-Anbietern verlangt, wer das Zertifikat tatsächlich braucht und welche Unterlagen Sie bereit haben sollten, bevor Sie starten.

Was ISO 27018 von Cloud-Diensten verlangt

ISO/IEC 27018 ist ein Leitfaden für den Schutz personenbezogener Daten in öffentlichen Cloud-Diensten. Er richtet sich an Anbieter, die diese Daten im Auftrag ihrer Kunden verarbeiten, also als Auftragsbearbeiter (nDSG) beziehungsweise Auftragsverarbeiter (DSGVO). Die Grundlage und die aktuelle Ausgabe 2025 beschreibt die offizielle ISO-Seite zur Norm.

Die Norm baut auf den Sicherheitsmassnahmen von ISO/IEC 27002 auf und ergänzt sie um Vorgaben, die genau Ihre Rolle als Cloud-Anbieter betreffen. Im Kern geht es um diese Themen:

• Weisungen des Kunden: Sie verarbeiten Personendaten nur im Rahmen dessen, was der Kunde vertraglich festgelegt hat.
• Keine eigene Nutzung: Kundendaten dienen nicht Ihrem Marketing oder Ihrer Werbung, ausser der Kunde stimmt ausdrücklich zu.
• Unterauftragnehmer: Der Kunde erfährt, welche weiteren Dienstleister Sie einsetzen, und wird über Wechsel informiert.
• Speicherorte: Sie können angeben, in welchen Ländern Daten liegen.
• Herausgabeverlangen: Wenn eine Behörde Daten verlangt, wissen Sie, wie Sie prüfen, melden und dokumentieren.
• Rückgabe und Löschung: Es gibt einen geregelten Weg, Daten am Vertragsende zurückzugeben oder sicher zu löschen.
• Vorfälle: Datenschutzverletzungen werden erkannt, bewertet und dem Kunden gemeldet.

Die Norm schreibt kein Produkt und keine bestimmte Technik vor. Sie verlangt, dass Regeln existieren, dass sie zu Ihrem Dienst passen und dass Ihr Team sie anwendet.

Wer ein Zertifikat für Cloud-Dienste braucht

Der Begriff Cloud-Dienst ist weiter gefasst, als viele denken. Betroffen sind klassische SaaS-Anbieter, aber ebenso Hosting-Firmen, Anbieter von Managed Services und Agenturen, die für Kunden ein CRM, einen Webshop, ein Newsletter-System oder ein Kundenportal betreiben. Sobald Sie Personendaten Ihrer Kunden auf Systemen halten, die Sie betreiben oder bereitstellen, sind Sie Auftragsbearbeiter.

Ihre Kunden sind in dieser Konstellation verantwortlich dafür, einen geeigneten Dienstleister zu wählen. Die DSGVO verlangt in Art. 28 ausdrücklich, dass ein Auftragsverarbeiter hinreichende Garantien für geeignete Schutzmassnahmen bietet. Ein Zertifikat ersetzt weder den Auftragsverarbeitungsvertrag noch Ihre technischen und organisatorischen Massnahmen. Es ist aber ein Nachweis, den der Kunde ablegen kann, wenn er seine eigene Auswahl begründen muss.

In der Praxis taucht die Frage an vier Stellen auf:

1. im Lieferantenfragebogen der Einkaufsabteilung,
2. in einer Ausschreibung, in der ein Nachweis zum Datenschutz in der Cloud verlangt wird,
3. bei einem Kundenaudit, in dem der Kunde Ihre Massnahmen prüfen will,
4. bei der Verlängerung eines bestehenden Vertrags mit einem grösseren Kunden.

Wer in diesen Situationen jedes Mal einen langen Fragebogen von Hand ausfüllt, spart mit einem Zertifikat Zeit. Die Antwort auf viele Fragen lautet dann: siehe Zertifikat, siehe Verifizierungsseite.

ISO 27018 und ISO 27001: wie sie zusammenhängen

ISO 27001 beschreibt ein Managementsystem für Informationssicherheit. ISO 27018 ergänzt dieses um den Schutz von Personendaten in der Cloud. In der klassischen Route mit Vor-Ort-Audit durch eine Zertifizierungsstelle wird ISO 27018 deshalb meist zusammen mit ISO 27001 geprüft. Das bedeutet für einen Anbieter ohne bestehendes Managementsystem einen grösseren Aufbau, bevor das Audit überhaupt angesetzt werden kann.

Wenn Sie ein ISO-27001-Managementsystem betreiben, folgt es der gemeinsamen Struktur der Managementsystem-Normen: Kontext der Organisation (Kapitel 4), Führung (5), Planung (6), Unterstützung (7), Betrieb (8), Bewertung der Leistung (9) und Verbesserung (10). Dieselbe Logik hilft auch bei 27018: Sie legen fest, wer verantwortlich ist, welche Risiken für Personendaten bestehen, welche Massnahmen Sie dagegen setzen und wie Sie deren Wirkung überprüfen.

Zwei Wege zum Zertifikat

Der klassische Weg führt über eine Zertifizierungsstelle. Ein Auditor prüft Ihre Dokumentation, besucht Sie vor Ort oder führt das Audit per Fernzugriff durch, befragt Mitarbeitende und stellt Abweichungen fest. Das passt für Unternehmen, deren Kunden ausdrücklich ein Zertifikat einer bestimmten Stelle verlangen oder die ohnehin ein vollständiges Managementsystem aufbauen.

Der zweite Weg ist ein Online-Self-Assessment. Sie beantworten strukturierte Fragen zu Ihrem Dienst, legen Ihre Angaben dar und erhalten nach bestandener Prüfung ein Zertifikat. Es gibt keinen Vor-Ort-Termin. Wie dieses Modell im Detail funktioniert und wo seine Grenzen liegen, beschreibt der Leitfaden zur ISO-Zertifizierung ohne Audit.

Welcher Weg passt, hängt weniger von der Firmengrösse ab als davon, was Ihr Kunde akzeptiert. Fragen Sie im Zweifel vor dem Start nach, welche Art von Nachweis seine Einkaufsrichtlinie vorsieht. Für kleinere Firmen ist ausserdem der Überblick zur ISO-Zertifizierung für KMU nützlich, weil er die typischen Anforderungen und den Aufwand nach Unternehmensgrösse einordnet.

Checkliste vor dem Assessment

Diese Punkte sollten Sie klären, bevor Sie Fragen beantworten. Fehlt einer davon, ist das kein Beinbruch, aber Sie wissen dann, woran Sie zuerst arbeiten.

• Der Dienst ist abgegrenzt: Welche Produkte, Systeme und Standorte gehören zum Zertifikat?
• Die Rolle ist geklärt: Für welche Daten sind Sie Auftragsbearbeiter, für welche selbst Verantwortlicher?
• Ein Auftragsverarbeitungsvertrag liegt als Vorlage vor und wird mit Kunden tatsächlich abgeschlossen.
• Eine aktuelle Liste der Unterauftragnehmer existiert, mit Land und Zweck.
• Die Speicherorte der Kundendaten sind bekannt und dokumentiert, einschliesslich Backups.
• Es gibt einen beschriebenen Ablauf für Rückgabe und Löschung von Daten am Vertragsende.
• Zugriffe auf Kundendaten sind geregelt: wer, wozu, mit welcher Protokollierung.
• Ein Verfahren für Datenschutzvorfälle ist festgelegt, inklusive Meldung an den Kunden.
• Es ist geregelt, wie Sie auf Herausgabeverlangen von Behörden reagieren.
• Mitarbeitende mit Zugriff auf Kundendaten sind zur Vertraulichkeit verpflichtet und geschult.
• Eine verantwortliche Person ist benannt, die das Assessment ausfüllt und Rückfragen beantwortet.

So passt Zertify dazu

Zertify stellt das Zertifikat nach einem Online-Self-Assessment aus. Es gibt keinen Vor-Ort-Audit. Das Zertifikat wird von Zertify unter Lizenz von SICE (Swiss Institute of Certification and Education) ausgestellt, und ein Mitglied des SICE Certification Board prüft jedes Assessment, bevor das Zertifikat entsteht. Nach bestandenem Assessment und Zahlung erhalten Sie das Zertifikat innerhalb von 4 Stunden.

Das Zertifikat ist drei Jahre gültig und wird jedes Jahr mit einem kurzen Online-Re-Audit bestätigt. Dafür gibt es ein jährliches Abonnement. Auf dem PDF befindet sich ein QR-Code, der zu einer öffentlichen Verifizierungsseite führt. Ihr Kunde oder die Einkaufsabteilung kann dort selbst nachprüfen, ob das Zertifikat echt und gültig ist, ohne bei Ihnen nachzufragen.

Die Details zur Norm finden Sie auf der Seite ISO 27018 bei Zertify. Die Kosten stehen auf der Seite Preise. Wenn Sie bereit sind, beginnen Sie das Assessment hier.

Wo Assessments scheitern

Die meisten Probleme haben dieselbe Ursache: Die Antworten beschreiben einen Zustand, den es im Betrieb nicht gibt. Das fällt bei der Prüfung auf und später bei einem Kundenaudit erst recht.

Der Geltungsbereich ist zu gross oder zu vage

Wer das Zertifikat für das ganze Unternehmen beantragt, obwohl nur ein Produkt wirklich geregelt ist, muss entweder viel nachholen oder den Umfang verkleinern. Beschreiben Sie den Dienst so, wie ein Kunde ihn nutzt.

Unterauftragnehmer fehlen

Hosting-Anbieter, Support-Tools, E-Mail-Versand, Monitoring: Jedes System, das Kundendaten berührt, gehört auf die Liste. Eine unvollständige Liste ist ein häufiger Grund für Rückfragen.

Die Löschung existiert nur auf dem Papier

Ein Prozess, der beschreibt, wie Daten gelöscht werden, genügt nicht, wenn Backups unbegrenzt aufbewahrt werden. Legen Sie fest, wie lange Backups liegen, und halten Sie es vertraglich fest.

Rollen sind vermischt

Verarbeiten Sie dieselben Daten teils im Auftrag des Kunden und teils für eigene Zwecke, etwa Produktanalyse, müssen Sie das trennen. Für den Teil im Auftrag gilt ISO 27018, für den Rest tragen Sie selbst die Verantwortung.

Was das Zertifikat nicht ersetzt

Ein Zertifikat bestätigt, dass Ihre Regeln dem Standard entsprechen. Es ersetzt keine Prüfung durch Ihren Kunden, wenn dieser sie vertraglich verlangt, und es entbindet Sie nicht von Ihren Pflichten aus nDSG und DSGVO. Wenn ein Kunde zusätzlich ein Audit-Recht in seinem Vertrag verankert hat, bleibt dieses bestehen.

Sinnvoll eingesetzt verkürzt es dagegen die erste Runde der Lieferantenprüfung. Fragen zu Rollen, Unterauftragnehmern, Löschung und Vorfällen sind dann bereits beantwortet, und das Gespräch kann bei den Punkten ansetzen, die für den konkreten Kunden wirklich offen sind.