5 Jedes Byte an Daten zählt – und ebenso jede Kontrolle, die es schützt. Cloud-Speicher nach ISO 27001 ist der Goldstandard für Unternehmen, die sensible Workloads in die Cloud verlagern. Dazu gehören große KI-Trainingsdatensätze, Finanzunterlagen und regulierte Kundendaten. Das Framework schreibt kein bestimmtes Produkt und kein bestimmtes Bereitstellungsmodell vor. Stattdessen etabliert es einen systematischen Ansatz, um die Informationssicherheit im gesamten Datenökosystem zu identifizieren, zu steuern und kontinuierlich zu verbessern. Für Chief Data Officers (CDOs) und Verantwortliche für KI/ML-Engineering ist es Pflicht zu verstehen, wie ISO 27001 auf Cloud-Speicher anzuwenden ist. Ihr Vorstand erwartet es. Ihre Auditoren zertifizieren danach. Ihre Kunden verlangen es vertraglich. Dennoch behandeln viele Unternehmen die ISO-27001-Compliance noch immer als Pflichtübung statt als Grundprinzip, das Speicherarchitektur, Zugriffs-Governance und den Schutz ihres KI-Wettbewerbsvorteils prägt. Dieser Beitrag erklärt, was ISO 27001 für Ihre Cloud-Speicherstrategie tatsächlich bedeutet – und warum es für KI-Workloads wichtiger ist, als die meisten Unternehmen ahnen. Was ISO 27001 wirklich von Ihrem Cloud-Speicher verlangt ISO 27001 ist ein Zertifizierungsframework mit 11 Domänen und 114 Kontrollen. Es schreibt weder einen bestimmten Anbieter noch ein On-Premises-Deployment vor. Stattdessen stellt es zentrale Fragen: Wissen Sie, welche Daten Sie haben? Wer kann darauf zugreifen? Wie erkennen Sie unbefugte Zugriffe? Können Sie sich von einem Sicherheitsvorfall erholen? Funktionieren Ihre Kontrollen tatsächlich? Beim Cloud-Speicher konzentriert sich ISO 27001 auf mehrere Kontrollbereiche, die unmittelbar betreffen, wie Sie KI-Datensätze speichern, schützen und auditieren: Asset-Management (Domäne A.8): Sie müssen ein Inventar Ihrer Informationswerte führen. Als CDO, der Petabytes an Trainingsdaten über mehrere Cloud-Regionen hinweg verwaltet, müssen Sie jeden Datensatz klassifizieren. Dokumentieren Sie, wo er liegt, was er enthält, wer von ihm abhängt und was passieren würde, wenn er nicht mehr verfügbar wäre. Diese Klassifizierung fließt direkt in die Risikobewertung ein und bestimmt, welche weiteren Kontrollen gelten. Zugriffskontrolle (Domäne A.9): ISO 27001 verlangt, dass Sie Zugriffe nach geschäftlichem Bedarf vergeben und dieses Prinzip kontinuierlich durchsetzen. In der Praxis bedeutet das rollenbasierte Zugriffskontrolle (RBAC) mit Privileged Access Management (PAM). Führen Sie Multi-Faktor-Authentifizierung (MFA) für alle Personen ein, die mit Ihren Daten arbeiten. Überprüfen Sie Zugriffe regelmäßig, um schleichend wachsende Berechtigungen zu erkennen. KI-Teams sollten kontrollieren, wer Trainingsdaten für die lokale Entwicklung herunterladen darf. Stellen Sie sicher, dass maschinelle Identitäten (Dienstkonten, die Trainingspipelines ausführen) nach dem Least-Privilege-Prinzip arbeiten. Kryptografie (Domäne A.10): Verschlüsseln Sie Daten bei der Übertragung (mit TLS 1.2 oder stärker) und im Ruhezustand. Verschlüsselung allein reicht jedoch nicht aus. ISO 27001 verlangt, dass Sie Verschlüsselungsschlüssel sicher verwalten – nach den Praktiken aus unserem Leitfaden zur Datenverschlüsselung . Rotieren Sie die Schlüssel nach einem festgelegten Zeitplan. Trennen Sie das Schlüsselmanagement nach Möglichkeit vom Cloud-Anbieter (BYOK- bzw. Bring-Your-Own-Key-Modelle). Stellen Sie sicher, dass Sie Ihre Daten auch dann entschlüsseln können, wenn der Cloud-Anbieter nicht mehr existiert. Audit-Logging (Domäne A.12): Protokollieren Sie Zugriffe auf sensible Daten, Konfigurationsänderungen und administrative Aktionen. Diese Logs müssen unveränderlich sein, damit Angreifer ihre Spuren nicht verwischen können. Bewahren Sie Logs für einen festgelegten Zeitraum auf, oft mehrere Jahre. Prüfen Sie die Logs regelmäßig auf verdächtige Muster. Protokollieren Sie bei KI-Workloads, welche Benutzer auf Trainingsdaten zugegriffen haben, wann Modelle nachtrainiert wurden und welche Datensätze dabei verwendet wurden. Risikobewertung (Domäne A.12.6): Bewerten Sie das Risiko, bevor Sie Daten in einem Cloud-Speichersystem ablegen. Prüfen Sie die eigene ISO-27001-Zertifizierung des Cloud-Anbieters. Verifizieren Sie seine Richtlinien zur Datenresidenz. Machen Sie sich mit seinen Verfahren zur Meldung von Sicherheitsvorfällen vertraut. Dokumentieren Sie, was mit Ihren Daten geschieht, wenn der Anbieter ausfällt. Cloud-Speicheranbieter durch die ISO-27001-Brille bewerten Nicht alle Cloud-Speicheranbieter erfüllen die Anforderungen von ISO 27001 gleichermaßen. Prüfen Sie Folgendes, bevor Sie einen Vertrag unterzeichnen: Zertifizierungsstatus: Vergewissern Sie sich, dass der Anbieter ein aktuelles ISO-27001-Zertifikat eines akkreditierten externen Auditors besitzt. Prüfen Sie den Geltungsbereich des Zertifikats. Deckt es die Regionen und Dienste ab, die Sie nutzen möchten? Ein globaler Cloud-Anbieter verfügt vielleicht über ISO 27001 für seinen US-Betrieb, nicht aber für seine Rechenzentren in der EU. Fordern Sie die Erklärung zur Anwendbarkeit (Statement of Applicability, SoA) an, die dokumentiert, welche Kontrollen der Anbieter umgesetzt hat und welche den Kunden überlassen sind. Datenresidenz und Datensouveränität: ISO 27001 schreibt nicht vor, wo Daten liegen – viele regulatorische Frameworks hingegen schon. Ihr Unternehmen muss Trainingsdaten europäischer Kunden möglicherweise in EU-Regionen halten. Cloud-Anbieter sollten eine konfigurierbare Regionsbindung bieten, keine vagen Versprechen. Prüfen Sie anhand der Compliance-Dokumentation, dass Sie den Speicherort der Daten durchsetzen und auditieren können. Verschlüsselung und Schlüsselmanagement: Fragen Sie, ob der Anbieter kundenverwaltete Verschlüsselungsschlüssel (CMEK) oder Bring-Your-Own-Key-Modelle (BYOK) unterstützt. Kontrolliert der Anbieter alle Schlüssel, sind Sie von seinem Rotationsplan und seinen Personalpraktiken abhängig. Große Cloud-Anbieter bieten die Integration eines Hardware-Sicherheitsmoduls (HSM), was zusätzlich sicherstellt, dass die Schlüssel durch manipulationssichere Hardware geschützt sind. Funktionen für das Audit-Logging: Kann der Anbieter Logs liefern, die jeden Zugriff auf Ihre Daten zeigen? Werden die Logs in einem standardisierten Format bereitgestellt, das Ihr SIEM-System (Security Information and Event Management) verarbeiten kann? Können Sie Logs als unveränderlich kennzeichnen, sodass sie nicht gelöscht werden können? Prüfen Sie die Aufbewahrungsfristen der Logs. Verlangt die Compliance Audit-Trails über sieben Jahre, sollte der Anbieter das ohne prohibitive Kosten unterstützen. Meldung von Sicherheitsvorfällen und Incident Response: ISO 27001 geht davon aus, dass Sicherheitsvorfälle passieren. Fragen Sie den Anbieter, innerhalb welcher Frist er Vorfälle meldet. Die DSGVO und vergleichbare Vorschriften verlangen in der Regel eine Meldung innerhalb von 72 Stunden. Kann er das einhalten? Welche Expertise hat sein Incident-Response-Team? Compliance-Zertifizierungen über ISO 27001 hinaus: Achten Sie auf SOC 2 Typ II (Kontrollen werden über einen längeren Zeitraum geprüft), FedRAMP (wenn Sie für US-Behörden tätig sind), HIPAA (Gesundheitswesen), PCI-DSS (Zahlungsdaten) oder branchenspezifische Zertifizierungen. Sie bauen auf ISO 27001 auf und zeigen, dass der Anbieter in mehrere Kontrolldomänen investiert. Ihre ISO-27001-Compliance-Architektur für KI-Daten aufbauen Haben Sie einen Cloud-Speicheranbieter ausgewählt, setzen Sie die Kontrollen auf Ihrer Seite um. Schließen Sie die Lücken zwischen dem, was der Anbieter bietet, und dem, was ISO 27001 verlangt. Datenklassifizierung und Inventar: Beginnen Sie mit einem Inventar aller KI-Trainingsdatensätze. Klassifizieren Sie jeden nach Sensibilität (öffentlich, intern, vertraulich, eingeschränkt) und regulatorischem Geltungsbereich (DSGVO, CCPA, HIPAA, FedRAMP usw.). Dokumentieren Sie die geschäftliche Begründung für die Aufbewahrungsfrist jedes Datensatzes. Für ML-Teams wird so klar, welche Datensätze mit externen Forschenden geteilt werden dürfen und welche isoliert bleiben müssen. Viele Unternehmen stellen fest, dass sie historische Daten jahrelang länger aufbewahrt haben als nötig – und damit unnötige Compliance- und Sicherheitsrisiken geschaffen haben. Richtlinien für die Zugriffskontrolle: Legen Sie fest, wer auf Trainingsdaten zugreifen muss und mit welcher Granularität. In vielen Unternehmen fordern Data Scientists Massendownloads ganzer Datensätze an. Ein feingranularer Zugriff – etwa nur auf bestimmte Spalten oder eine Zufallsstichprobe – senkt jedoch das Risiko und erhält die ML-Fähigkeiten. Setzen Sie rollenbasierte Richtlinien mithilfe von Identitäts- und Zugriffsmanagementum. Unterschiedliche Rollen (Principal Data Engineer, ML-Forscher, Compliance-Auditor, Chief Data Officer) sollten unterschiedliche Zugriffsrechte haben. Nutzen Sie die IAM-Tools Ihres Cloud-Anbieters, um diese Rollen durchzusetzen. Verlangen Sie MFA für alle Personen, die auf Daten zugreifen. Verschlüsselungsstrategie: Stellen Sie sicher, dass Daten im Ruhezustand mit der nativen Verschlüsselung des Anbieters und kundenverwalteten Schlüsseln verschlüsselt werden. Verschlüsseln Sie Daten bei der Übertragung mit TLS 1.2 oder höher, wenn sie zwischen On-Premises-Systemen und Cloud-Speicher oder zwischen Cloud-Regionen bewegt werden. Erwägen Sie für extrem sensible Datensätze eine Verschlüsselung auf Anwendungsebene (Verschlüsselung vor dem Hochladen) gemäß den Empfehlungen des NIST Cybersecurity Framework – auch wenn dies Ihre Möglichkeiten einschränkt, analytische Abfragen auf verschlüsselten Daten auszuführen. Audit-Logging und Monitoring: Aktivieren Sie das Audit-Logging für Ihre Cloud-Speicher-Buckets oder -Container. Binden Sie diese Logs zur langfristigen Analyse in das SIEM oder den Data Lake Ihres Unternehmens ein. Richten Sie Alarme für verdächtige Muster ein: Massendownloads, Zugriffe außerhalb der üblichen Zeiten, Rechteausweitung oder mehrere fehlgeschlagene Anmeldeversuche. Protokollieren Sie bei KI-Workloads, wann und von welchem Modell oder welcher Pipeline auf Trainingsdaten zugegriffen wird. Zugriffsüberprüfungen: ISO 27001 verlangt regelmäßige Überprüfungen, wer worauf Zugriff hat. Vierteljährliche Überprüfungen sind üblich. Vergewissern Sie sich, dass ausgeschiedene Benutzer entfernt wurden. Prüfen Sie, ob die Berechtigungen den aktuellen Rollen entsprechen. Dokumentieren Sie, dass niemand unnötige Zugriffsrechte angehäuft hat, und halten Sie die Ergebnisse der Überprüfung fest. Kommt es zu einem Sicherheitsvorfall und stellen Auditoren fest, dass Sie seit einem Jahr keine Zugriffsüberprüfung durchgeführt haben, steht Ihre ISO-27001-Zertifizierung infrage. Incident-Response-Plan: Legen Sie fest, was geschieht, wenn jemand einen unbefugten Zugriff auf Trainingsdaten vermutet. Wen muss er benachrichtigen? Wie schnell müssen Sie den Fall untersuchen? Wann informieren Sie betroffene Kunden? Ihr Incident-Response-Verfahren sollte schriftlich festgehalten, jährlich getestet und den zuständigen Teams bekannt sein. Bei KI-Datensätzen mit personenbezogenen Daten ist die Incident Response direkt an die Meldefristen nach DSGVO, CCPA und HIPAA gekoppelt. Was Abkürzungen bei ISO 27001 für Cloud-Speicher kosten Wer ISO 27001 als Pflichtübung behandelt, muss mit realen Folgen rechnen. Unternehmen, die ihre Umsetzung nur oberflächlich prüfen, stellen bei einem echten Sicherheitsvorfall oft fest, dass das Logging nicht funktioniert hat, Zugriffskontrollen nicht durchgesetzt wurden oder Schlüssel so schlecht verwaltet waren, dass die Entschlüsselung Wochen dauerte. Wenn Sie Kunden- oder personenbezogene Daten für das Training von KI-Modellen speichern, ist das kein hypothetisches Szenario. Aufsichtsbehörden untersuchen zunehmend die Trainingspraktiken von KI-Modellen. Stellen Auditoren fest, dass Ihre Trainingsdaten viel zu vielen Mitarbeitenden zugänglich waren und nicht ordnungsgemäß protokolliert wurden, drohen Bußgelder, Klagen von Kunden und Reputationsschäden. Für Unternehmen in Finanzdienstleistung, Gesundheitswesen und öffentlichem Sektor können die Kosten pro Datensatz bei einem Sicherheitsvorfall 100 $ übersteigen. Der Weg nach vorn: ISO 27001 für KI praxistauglich machen ISO-27001-Compliance für Cloud-Speicher bedeutet nicht, auf Agilität zu verzichten oder sich an teure On-Premises-Infrastruktur zu binden. Behandeln Sie Informationssicherheit vielmehr als operative Disziplin, nicht als jährliche Pflichtübung. So gehen Sie vor: Erstens: Bewerten Sie den Ist-Zustand. Welche Datensätze speichern Sie heute im Cloud-Speicher? Sind sie verschlüsselt? Können Sie Audit-Logs der letzten 90 Tage abrufen? Können Sie alle Personen auflisten, die Zugriff auf sensible Trainingsdaten haben? Viele Unternehmen stellen fest, dass sie diese Fragen nicht beantworten können. Das ist Ihr Ausgangspunkt, kein Versagen. Zweitens: Priorisieren Sie nach Risiko. Nicht alle Daten sind gleich sensibel. Konzentrieren Sie Ihre Anstrengungen auf Datensätze mit personenbezogenen Informationen, Finanzdaten oder Informationen, die regulatorischen Anforderungen unterliegen. Kleine Trainingsdatensätze können anders behandelt werden als Produktionsdaten für das Training kritischer Modelle. Drittens: Arbeiten Sie mit Ihrem Cloud-Anbieter zusammen. Die meisten großen Anbieter haben Compliance-Spezialisten, die Ihnen helfen, Ihr Modell der geteilten Verantwortung zu verstehen und Kontrollen effizient umzusetzen. Nutzen Sie deren native Funktionen für Verschlüsselung, Logging und Zugriffskontrolle, statt eigene Tools zu entwickeln. Und schließlich: Machen Sie Compliance zu einem kontinuierlichen Prozess. Verankern Sie Zugriffsüberprüfungen, Analysen der Audit-Logs und Incident-Response-Übungen in Ihren betrieblichen Abläufen. Kommt ein neuer Data Scientist in Ihr KI-Team, durchläuft sein Zugriffsantrag denselben Genehmigungsprozess wie bei allen anderen. Erreichen Daten ihre Aufbewahrungsgrenze, werden sie automatisch gelöscht. Taucht ein verdächtiges Muster in den Audit-Logs auf, gehen Sie ihm sofort nach. So wird ISO 27001 von einer Compliance-Last zu einem Framework, das Ihren Wettbewerbsvorteil schützt. Für CDOs und KI/ML-Verantwortliche liegt genau darin der eigentliche Wert einer richtig umgesetzten ISO 27001: nicht nur Bußgelder zu vermeiden, sondern ein sicheres Fundament zu schaffen, auf dem Ihre Teams mit Zuversicht innovieren können. Ihre Cloud-Speicherstrategie sollte dem Wert Ihrer Daten entsprechen. Die Ausrichtung an ISO 27001 ist grundlegend dafür, wie Unternehmen nachweisen, dass man ihnen sensible Informationen anvertrauen kann. Beginnen Sie dort, wo Sie stehen, bewerten Sie ehrlich und bauen Sie die Kontrollen schrittweise auf. Das Framework weist Ihnen den Weg. Weiterführende Artikel AES-Verschlüsselung für die Sicherheit von Unternehmensdaten Was ist SIEM? Best Practices für Datensouveränität Zero-Trust-Architektur DSGVO-Anforderungen an die Datenspeicherung HIPAA-konformer Speicher Leitfaden zur FIPS-Compliance
