Dein Geschäft läuft in der Cloud. Wer wofür zuständig ist, und die Einstellungen, auf die es am meisten ankommt.

Wer ist zuständig, wenn deine Dateien in der Cloud liegen?

Ein kleines Designstudio hat seine Mails, seine Kundendateien und seinen Kalender in einer Cloud-Suite. Niemand dort betreibt einen Server. Das ist ein guter Tausch. Die Entwickler des Anbieters spielen Updates für die Software ein, bewachen die Rechenzentren und halten den Dienst am Laufen.

Es ist nur die Hälfte des Tauschs. Der Anbieter entscheidet nicht, wer in deiner Firma die Preisliste öffnen darf, oder ob ein Freelancer, der im März gegangen ist, es noch kann. Das britische National Cyber Security Centre, das NCSC, sagt, dass ein Kunde immer die Aufgabe behält, einen Dienst sicher einzurichten und zu entscheiden, welche Daten hineinkommen. Auch Microsofts eigene Anleitung ordnet Daten, Einstellungen, Konten und Geräte dem Kunden zu, egal welche Art Cloud-Dienst du nutzt.

Der Anbieter schließt das Gebäude ab. Du verteilst die Schlüssel.

Stell dir ein Büro vor, das du in einem gemeinsamen Gebäude mietest. Der Vermieter kümmert sich um Dach, Aufzüge und Haustür. Du entscheidest, wer einen Schlüssel zu deinem Büro bekommt und ob die Tür zu ist, wenn du gehst. In der Cloud ist der Vermieter Google, Microsoft oder Dropbox, und die Schlüssel sind Konten.

Microsoft veröffentlicht seine Aufteilung als Tabelle. Bei gemieteter Software wie den Office-Apps liegen die physischen Server, das Netzwerk und das Betriebssystem bei Microsoft. Die Anwendung ist geteilt, weil Microsoft sie baut und du sie einstellst. Deine Daten, deine Einstellungen und deine Konten liegen in jeder Spalte dieser Tabelle bei dir. Geräte stehen als geteilt in der Tabelle, und der Text darunter sagt, dass es weiter deine Aufgabe ist, sie zu schützen.

Andere Anbieter ziehen die Grenze etwas anders. Das NCSC weist darauf hin, dass die Aufteilung von der Art des Dienstes abhängt und davon, wie der Anbieter ihn gebaut hat. Lies deshalb die Seite deines Anbieters, bevor du etwas annimmst.

Fünf Einstellungen, auf die es am meisten ankommt.

Alle fünf stehen in der rechten Spalte, und du kannst sie an einem Nachmittag prüfen. Dafür brauchst du kein Sicherheitsteam.

Zwei-Schritt-Anmeldung. Ein gestohlenes Passwort allein öffnet das Konto dann nicht mehr. Das NCSC sagt, jede Art von Zwei-Schritt-Bestätigung ist besser als keine, und bevorzugt Passkeys, wo ein Dienst sie anbietet, weil sie Phishing widerstehen. Fang mit den Konten an, die Kunden- oder Mitarbeiterdaten enthalten oder die Firma lahmlegen würden, wenn du sie verlierst: Online-Speicher, Bank, Lohnbuchhaltung, deine Website und das Domain-Hosting. Auch dein Mail-Konto gehört auf diese Liste, denn dort kommen Passwort-Rücksetzungen an.

Jede Anmeldung beginnt auf einem Gerät.

Die Zwei-Schritt-Anmeldung schützt das Konto. Sie schützt nicht den Laptop, auf dem das Konto offen ist. Microsoft zählt die Laptops und Handys, die an deine Cloud-Dienste kommen, zu den Pflichten, die du immer behältst, und das NCSC widmet dem Geräteschutz in seinem Leitfaden für kleine Organisationen eine eigene Seite.

Bei einem Team mit Macs setzt Cybee genau hier an. Es schützt jeden Mac, während Programme laufen, härtet die Einstellungen des Macs nach dem CIS Benchmark auf der Stufe, die du wählst, und führt einen datierten Nachweis für jede davon, darunter Festplattenverschlüsselung und Bildschirmsperre. Es listet außerdem die Browser-Erweiterungen und die KI-Tools auf, die auf jedem Mac installiert sind. Das ist wichtig, weil eine Erweiterung die Seiten jedes Cloud-Tools lesen kann, das du öffnest. Wenn ein Kunde fragt, wie die Laptops betreut werden, die seine Dateien öffnen, ist dieser Nachweis die Antwort.

Was Kunden und Prüfer zu deinen Cloud-Tools fragen.

Wenn das Sicherheitsteam eines Kunden dein Setup liest, fallen die Fragen in zwei Gruppen. Die erste betrifft die Anbieter: Wird das Tool selbst von Außenstehenden geprüft? Die zweite betrifft dich: Wie richtest du das Tool ein, und wie kümmerst du dich um die Leute und Geräte, die es nutzen?

SOC 2 ist ein Bericht, den ein externer Wirtschaftsprüfer darüber schreibt, wie ein Dienstleister seine Kontrollen betreibt. Laut AICPA, dem amerikanischen Verband dahinter, deckt ein SOC-2-Bericht bis zu fünf Bereiche ab: Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz. Große Anbieter teilen ihren oft mit Kunden, die danach fragen, meist über eine Trust- oder Sicherheitsseite. Eine kleine Agentur hat selten einen eigenen. Der Artikel zu SOC 2 für kleine Agenturen behandelt, wann ein Kunde wirklich einen braucht.

ISO 27001 ist ein internationaler Standard, um Informationssicherheit als Managementsystem zu führen, mit schriftlichen Risiken, benannten Verantwortlichen und regelmäßigen Überprüfungen. ISO sagt, er passe zu Organisationen jeder Größe. Eine Firma kann dem Standard für sich folgen. Sie kann auch eine externe Prüfstelle einladen, sie zu untersuchen und ein Zertifikat auszustellen, was ISO als einen Weg beschreibt, Kunden zu zeigen, dass die Firma Informationen sicher verwaltet. Ein Zertifikat nennt den Geltungsbereich, den es abdeckt, deshalb will ein Kunde oft sehen, dass der Geltungsbereich das Produkt einschließt, das du nutzt.

DSGVO, das europäische Datenschutzgesetz, gilt seit 25. Mai 2018. Laut dem Europäischen Datenschutzausschuss erfasst sie Organisationen mit Sitz in der EU oder im weiteren Europäischen Wirtschaftsraum sowie Organisationen anderswo, die Menschen dort Waren oder Dienstleistungen anbieten. Wenn ein Cloud-Tool personenbezogene Daten enthält, etwa Kundenkontakte oder Personalakten, entscheidest du, wozu diese Daten verwendet werden, und der Anbieter verarbeitet sie für dich. Art. 28 DSGVO sagt, du darfst nur Anbieter einsetzen, die hinreichende Garantien bieten, und ihre Arbeit muss durch einen schriftlichen Vertrag geregelt sein. Art. 32 DSGVO verlangt von dir und vom Anbieter Sicherheitsmaßnahmen, die zum Risiko passen. Die eigenen Beispiele darin sind Verschlüsselung, die Fähigkeit, nach einem Vorfall den Zugang zu den Daten wiederherzustellen, und regelmäßige Tests der Maßnahmen. Das ist der Gesetzestext hinter dem Backup und den Einstellungen im letzten Kapitel. Das sind allgemeine Informationen, keine Rechtsberatung.

Kein einziger dieser Namen macht eine Firma sicher, nur weil man ihn ausspricht. Ein Kunde will meist den Bericht des Anbieters und deine eigenen Antworten zu Einstellungen, Geräten und Leuten. Für den Geräteteil ist der Trust Passport von Cybee ein datierter Nachweis, wie deine Macs geschützt sind. Er deckt deine Cloud-Konten nicht ab, und er ist kein Audit.

Was du dir merken solltest.

• Der Anbieter betreibt die Server und die Software. Deine Daten, Einstellungen, Konten und Geräte bleiben bei dir.
• Zwei-Schritt-Anmeldung, ein eigenes Admin-Konto, geprüfte Freigabelinks, entfernte ehemalige Mitarbeitende und ein getestetes Backup sind auf deiner Seite ein guter erster Durchgang.
• Ein Kunde fragt zuerst nach dem Bericht des Anbieters und danach nach deinen eigenen Antworten.

Quellen und weiterführende Lektüre.

Von Cybee für kleine Teams geschrieben. Wir haben jede Seite unten am 28.10.2026 gelesen. Anbieter und Behörden ändern ihre Hinweise, prüfe deshalb deine, bevor du dich auf ein Detail verlässt.

• NCSC: Cloud security shared responsibility model
• NCSC: Small organisations guide to cyber security
• NCSC: Secure your important online accounts
• NCSC: Backing up your data
• Microsoft Learn: Shared responsibility in the cloud
• Google: Security checklist for small businesses
• AICPA: SOC suite of services
• ISO: ISO/IEC 27001
• European Union: General Data Protection Regulation, Articles 28 and 32
• EDPB: Data protection basics for small business