Ein Cloud-Speicher ist im Unternehmen nur dann verlässlich beherrschbar, wenn Zugriffe nicht nach Bequemlichkeit, sondern nach Aufgaben vergeben werden. Der erste Schritt ist eine Bestandsaufnahme: Welche Daten liegen in der Cloud, wer benötigt sie für seine Arbeit und welche Personen dürfen Berechtigungen verändern? Besonders wichtig sind getrennte Rollen, Mehrfaktor-Authentifizierung, dokumentierte Freigaben und ein fester Ablauf für Eintritte, Aufgabenwechsel und Austritte.
Datenschutz und Zugriffssicherheit müssen gemeinsam betrachtet werden. Ein abgeschlossener Vertrag zur Auftragsverarbeitung schützt nicht vor zu weit gefassten Mitarbeiterrechten. Umgekehrt lösen technische Schutzfunktionen nicht die Fragen nach Anbieterzugriffen, Unterauftragnehmern, Speicherregionen und Datenübermittlungen außerhalb des Europäischen Wirtschaftsraums.
Die Berechtigungsmatrix ist der Ausgangspunkt
Kleine Unternehmen sollten Zugriffsrechte aus Arbeitsaufgaben ableiten und nicht für jede Person einzeln improvisieren. Eine überschaubare Rollenstruktur lässt sich leichter prüfen, dokumentieren und beim Personalwechsel anpassen.
Für einen kleinen Betrieb können beispielsweise folgende Rollen ausreichen:
- Geschäftsleitung: Zugriff auf Vertrags-, Finanz- und Personalbereiche, sofern dies für die Leitungsaufgabe erforderlich ist.
- Buchhaltung: Bearbeitung von Rechnungen und Belegen, jedoch kein allgemeiner Zugriff auf Personalakten oder technische Projektdaten.
- Projektteam: Zugriff auf die jeweils zugeordneten Kunden- und Projektordner, nicht automatisch auf sämtliche Kundenbestände.
- Externe Mitarbeitende: zeitlich und sachlich begrenzter Zugang zum erforderlichen Projektbereich.
- Administration: Verwaltung von Konten und Systemeinstellungen über ein gesondertes Administrationskonto.
Die Matrix sollte mindestens Rolle, freigegebenen Datenbereich, zulässige Aktionen, genehmigende Stelle und Prüftermin enthalten. Bei den Aktionen ist zwischen Lesen, Bearbeiten, Löschen, Herunterladen, externem Teilen und Rechteverwaltung zu unterscheiden. Ein reiner Lesezugriff ist erheblich enger als das Recht, Dateien herunterzuladen oder über öffentliche Links weiterzugeben.
Die Geschäftsleitung bleibt für die organisatorische Freigabe verantwortlich, kann die technische Umsetzung aber an eine interne oder externe Administration übertragen. Datenschutzbeauftragte beraten und kontrollieren im Rahmen ihrer gesetzlichen Aufgaben; sie sollten nicht automatisch jede einzelne betriebliche Berechtigung selbst genehmigen.
Vier Zugriffsebenen dürfen nicht vermischt werden
Bei Cloud-Speichern entstehen Risiken häufig nicht durch einen einzelnen Fehler, sondern durch das Zusammenwirken verschiedener Zugriffskanäle. Die Prüfung sollte vier Ebenen getrennt erfassen.
Konten von Beschäftigten
Jede Person benötigt ein eigenes Konto. Gemeinsam genutzte Anmeldedaten verhindern eine zuverlässige Zuordnung von Änderungen und erschweren den sofortigen Entzug einzelner Zugänge. Gruppen und Rollen sind für die Rechtevergabe besser geeignet als zahlreiche direkte Einzelberechtigungen.
Mehrfaktor-Authentifizierung sollte insbesondere für Administrationskonten, ortsunabhängige Zugriffe und Bereiche mit vertraulichen Daten verpflichtend sein. Zusätzlich braucht das Unternehmen eine geregelte Kontowiederherstellung. Private E-Mail-Adressen oder allein von Beschäftigten kontrollierte Wiederherstellungswege können dazu führen, dass der Betrieb den Zugang zu seinem eigenen Datenbestand verliert.
Freigaben an Kunden und Dienstleister
Externe Freigaben benötigen einen benannten Zweck, eine verantwortliche Person und möglichst ein Ablaufdatum. Frei weiterleitbare Links sind für vertrauliche Unterlagen ungeeignet, wenn der Empfänger nicht zuverlässig authentifiziert wird. Funktionen wie Kennwortschutz oder Download-Sperren können das Risiko mindern, ersetzen aber keine Prüfung des Empfängerkreises.
Für wiederkehrende Zusammenarbeit ist ein namentlich zugeordnetes Gastkonto meist besser kontrollierbar als ein dauerhaft gültiger Freigabelink. Nach Projektende müssen sowohl das Gastkonto als auch davon abgeleitete Gruppenmitgliedschaften und Freigaben geprüft werden.
Administrations- und Supportzugriffe
Wer Benutzerkonten verwaltet, sollte für normale Büroarbeit kein Administrationskonto verwenden. Die Trennung begrenzt Schäden durch Phishing, schädliche Anhänge oder eine versehentlich geöffnete Sitzung. Kritische Änderungen sollten protokolliert und bei besonders sensiblen Beständen nach einem Vier-Augen-Verfahren freigegeben werden.
Auch der Cloud-Anbieter oder dessen Support kann unter bestimmten Bedingungen auf Inhalte, Metadaten, Diagnoseinformationen oder Kontodaten zugreifen. Das Unternehmen muss im Vertrag und in der Leistungsbeschreibung prüfen, zu welchem Zweck dies geschieht, wie ein Supportzugriff ausgelöst wird, ob er protokolliert wird und welche Unterauftragnehmer beteiligt sein können.
Automatische Zugriffe durch Anwendungen
Synchronisationsprogramme, Scanner, Buchhaltungssoftware und andere angebundene Anwendungen können eigene Zugriffsschlüssel besitzen. Solche technischen Konten dürfen nicht mehr Ordner und Aktionen erreichen, als ihre Aufgabe verlangt. Ein ausgeschiedenes Benutzerkonto zu sperren genügt nicht, wenn dessen Anwendungsschlüssel weiterhin gültig bleibt.
Eine priorisierte Prüfroutine für kleine Unternehmen
Die folgende Reihenfolge verbindet organisatorische Freigabe, technische Einrichtung und Nachweisführung. Sie lässt sich auch anwenden, wenn der verwendete Cloud-Dienst andere Bezeichnungen für Rollen und Sicherheitsfunktionen nutzt.
- Datenbestand ordnen: Erfassen Sie, welche Ordner personenbezogene Daten, Geschäftsgeheimnisse, Vertragsunterlagen oder unkritische Arbeitsdateien enthalten. Ungeordnete Sammelablagen verhindern eine gezielte Rechtevergabe.
- Rollen zuweisen: Legen Sie fest, welche Arbeitsrolle lesen, bearbeiten, löschen, herunterladen oder extern teilen darf. Erteilen Sie Sonderrechte nur mit dokumentiertem Grund und Enddatum.
- Konten absichern: Aktivieren Sie Mehrfaktor-Authentifizierung, trennen Sie Administrationskonten von Alltagskonten und legen Sie betriebliche Verfahren für Kontowiederherstellung und Notfallzugriff fest.
- Externe Freigaben begrenzen: Prüfen Sie Empfänger, Laufzeit und zulässige Aktionen. Wenn eine Datei nicht weitergegeben werden darf, sollte die Freigabe nach Möglichkeit authentifiziert und auf den benötigten Zeitraum beschränkt sein.
- Protokollierung einrichten: Bestimmen Sie, welche Anmelde-, Freigabe-, Download-, Lösch- und Administrationsereignisse nachvollziehbar sein müssen. Zugriff auf Protokolle ist ebenfalls zu beschränken.
- Änderungen auslösen: Verbinden Sie Eintritt, Rollenwechsel und Austritt mit einem festen Personal- oder Administrationsprozess. Ein Austritt muss die Sperrung von Konten, Sitzungen, Gastzugängen, Anwendungsschlüsseln und Wiederherstellungswegen umfassen.
- Wirksamkeit kontrollieren: Prüfen Sie Berechtigungen in festgelegten Abständen sowie zusätzlich nach Umstrukturierungen, Projektenden und Sicherheitsvorfällen. Dokumentieren Sie Datum, Prüfer, Abweichung und Korrektur.
Eine einfache Gegenprobe zeigt, ob das Rollenmodell funktioniert: Kann ein Teammitglied eine Datei außerhalb seines Arbeitsbereichs öffnen, herunterladen oder freigeben, obwohl dies für seine Aufgabe nicht erforderlich ist? Falls ja, ist nicht nur das einzelne Recht zu entfernen. Auch Gruppenvererbung, Freigabelinks und angebundene Anwendungen müssen untersucht werden.
Auftragsverarbeitung und Anbieterzugriff nachweisbar einordnen
Werden personenbezogene Daten gespeichert und verarbeitet der Anbieter diese im Auftrag des Unternehmens, ist die Einordnung nach Artikel 28 DSGVO zu prüfen. Für Unternehmen in Deutschland und anderen EU-Mitgliedstaaten gehören dazu regelmäßig ein geeigneter Vertrag zur Auftragsverarbeitung, dokumentierte Weisungen sowie Regelungen zu Vertraulichkeit, Sicherheitsmaßnahmen, Unterauftragnehmern, Löschung oder Rückgabe und Unterstützung bei Betroffenenrechten und Datenschutzverletzungen.
Der Vertrag allein reicht nicht. Das Unternehmen muss feststellen, ob die beschriebenen Leistungen zum tatsächlich gebuchten Tarif, zur ausgewählten Speicherregion und zu den aktivierten Zusatzdiensten passen. Eine Kollaborationsfunktion kann beispielsweise andere Unterauftragnehmer oder Verarbeitungswege nutzen als die reine Dateiablage. Gleiches gilt für Vorschau, Virenprüfung, automatische Texterkennung, Telemetrie und Supportdiagnose.
Als offizielle Prüfbasis dienen die DSGVO, insbesondere Artikel 28 für Auftragsverarbeitung, Artikel 32 für die Sicherheit der Verarbeitung und Kapitel V für Übermittlungen in Drittländer. Hinweise der zuständigen Datenschutzaufsichtsbehörde helfen bei der Einordnung des jeweiligen Betriebsfalls. Der rechtliche und technische Stand sollte wegen veränderlicher Anbieterbedingungen anhand der Vertragsunterlagen und Produktdokumentation des gebuchten Dienstes geprüft werden; der hier berücksichtigte Informationsstand ist Oktober 2026.
Speicherort und tatsächliche Zugriffskette sind nicht dasselbe
Eine ausgewählte Region innerhalb Deutschlands oder des EWR beantwortet nicht automatisch, von wo aus Support, Administration, Telemetrie oder Unterauftragnehmer auf Daten zugreifen können. Für die Bewertung ist die gesamte Verarbeitungskette maßgeblich.
Wenn Inhalte, Metadaten oder Supportinformationen außerhalb des EWR verarbeitet werden oder ein Zugriff aus einem Drittland möglich ist, sind zusätzlich die Vorgaben aus Kapitel V DSGVO zu prüfen. Ein verwendeter Transfermechanismus beendet die Prüfung nicht automatisch. Das Unternehmen muss auch den tatsächlichen Datenumfang, die Zugriffsmöglichkeiten und die ergänzenden technischen sowie organisatorischen Schutzmaßnahmen bewerten.
Vor der Freigabe eines Dienstes sollten mindestens folgende Anbieterunterlagen vorliegen:
- Vertrag zur Auftragsverarbeitung und Beschreibung der technischen und organisatorischen Maßnahmen,
- Liste der Unterauftragnehmer einschließlich ihrer Aufgaben und Verarbeitungsorte,
- Angaben zu Speicher-, Support-, Diagnose- und Telemetriedaten,
- Regelungen zu Löschung, Rückgabe, Datenexport und Vertragsende,
- Nachweise, deren Geltungsbereich den gebuchten Cloud-Dienst und die genutzten Regionen einschließt.
Prüfberichte nach BSI C5 oder vergleichbare Nachweise können die Dienstleisterkontrolle unterstützen. Sie sind jedoch nur aussagekräftig, wenn Leistungsumfang, Zeitraum und geprüfte Systemteile zum eigenen Einsatz passen. Ein Zertifikat für einen anderen Unternehmensbereich oder eine nicht genutzte Betriebsvariante beantwortet die eigene Risikofrage nicht.
Protokolle müssen eine Handlung ermöglichen
Eine umfangreiche Protokollierung bringt wenig, wenn niemand festgelegt hat, welche Ereignisse geprüft werden und wer bei einer Auffälligkeit handelt. Für einen kleinen Betrieb ist ein begrenztes, auswertbares Kontrollkonzept sinnvoller als eine unüberschaubare Sammlung technischer Meldungen.
Besondere Aufmerksamkeit verdienen fehlgeschlagene Anmeldungen, neue Administrationsrechte, ungewöhnlich große Downloads, massenhafte Löschungen, neu erstellte öffentliche Freigaben und Änderungen an der Mehrfaktor-Authentifizierung. Nicht jedes Ereignis belegt einen Sicherheitsvorfall. Es ist zunächst ein Prüfsignal, das einem Konto, einem Zeitpunkt und einer betrieblichen Tätigkeit zugeordnet werden muss.
Auch Protokolle können personenbezogene Daten enthalten. Zugriffsberechtigung, Aufbewahrungsdauer und Auswertungszweck sind daher festzulegen. Eine anlasslose Überwachung von Beschäftigten lässt sich nicht allein mit technischen Möglichkeiten rechtfertigen; arbeits- und datenschutzrechtliche Anforderungen müssen zum vorgesehenen Kontrollzweck passen.
Backup und Cloud-Synchronisation erfüllen verschiedene Aufgaben
Eine synchronisierte Dateiablage ist nicht automatisch eine unabhängige Datensicherung. Wird eine Datei versehentlich gelöscht, verschlüsselt oder beschädigt, kann die Änderung auf verbundene Geräte und Cloud-Bestände übertragen werden. Versionsverlauf und Papierkorb helfen nur innerhalb ihrer jeweiligen Anbieterbedingungen.
Der Betrieb benötigt ein Sicherungs- und Wiederherstellungskonzept, das zur Bedeutung der Daten passt. Zu klären sind Sicherungsumfang, getrennte Aufbewahrung, Verschlüsselung, verantwortliche Person und zulässige Wiederherstellungszeit. Ein Wiederherstellungstest sollte zeigen, ob ausgewählte Ordner einschließlich Berechtigungen und benötigter Dateiversionen tatsächlich nutzbar zurückgespielt werden können.
Für den Anbieterwechsel oder eine Vertragsbeendigung braucht es außerdem einen Exit-Ablauf. Dieser umfasst einen vollständigen Export in brauchbaren Formaten, die Übernahme benötigter Metadaten, eine kontrollierte Migration, den Entzug alter Zugänge und einen Nachweis über die vereinbarte Löschung verbliebener Daten. Ohne vorherigen Exporttest kann eine formal vorhandene Exportfunktion im Ernstfall unzureichend sein.
Wann eine vertiefte Datenschutzprüfung erforderlich wird
Eine Datenschutz-Folgenabschätzung ist nach Artikel 35 DSGVO erforderlich, wenn eine Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen mit sich bringt. Die Nutzung eines Cloud-Speichers löst diese Prüfung nicht pauschal aus. Relevante Signale können umfangreiche sensible Daten, systematische Überwachung, weitreichende Zugriffsprofile oder eine Kombination mehrerer risikoreicher Verarbeitungen sein.
Bei Gesundheitsdaten, umfangreichen Personalakten, Berufsgeheimnissen, komplexen Drittlandzugriffen oder unklaren Verantwortlichkeiten sollte der Betrieb Datenschutzbeauftragte beziehungsweise spezialisierte Rechtsberatung frühzeitig einbeziehen. Die zuständige Datenschutzaufsichtsbehörde veröffentlicht zudem Orientierungshilfen und Listen zu Verarbeitungsvorgängen, für die eine Folgenabschätzung erforderlich sein kann.
Die betriebliche Freigabe sollte erst erfolgen, wenn Rollen, Anbieterzugriffe, Vertragsunterlagen, Protokollierung, Wiederherstellung und Austrittsprozess zusammenpassen. So entsteht kein vermeintlich sicherer Cloud-Speicher, dessen Schutz an einer vergessenen Gastfreigabe oder einem weiterhin aktiven Administrationskonto scheitert.
Häufige Fragen zu besonderen Zugriffssituationen
Dürfen Beschäftigte den Cloud-Speicher auf privaten Geräten verwenden?
Das sollte nicht ungeprüft zugelassen werden. Der Betrieb muss unter anderem lokale Dateikopien, Gerätesperre, Verschlüsselung, Trennung privater und betrieblicher Daten sowie den Entzug des Zugangs bewerten. Lässt sich ein verlorenes oder ausgeschiedenes Privatgerät nicht angemessen kontrollieren, ist der Zugriff auf verwaltete Geräte oder eine abgesicherte Browsernutzung zu beschränken.
Was ist bei einer kurzfristigen Vertretung zu beachten?
Eine Vertretung sollte ein eigenes, zeitlich befristetes Recht erhalten und nicht die Zugangsdaten der vertretenen Person nutzen. Der Umfang richtet sich nach den tatsächlich übernommenen Aufgaben. Nach Ende der Vertretung werden Sonderrechte entfernt und die Änderung dokumentiert.
Muss jeder kleine Betrieb einen Datenschutzbeauftragten für die Cloud-Prüfung einsetzen?
Die Nutzung eines Cloud-Speichers führt für sich genommen nicht automatisch zu dieser Pflicht. Ob ein Datenschutzbeauftragter zu benennen ist, hängt von den gesetzlichen Voraussetzungen und der Verarbeitung im Betrieb ab. Unabhängig davon bleibt das Unternehmen für eine dokumentierte Auswahl, sichere Rechtevergabe und regelmäßige Kontrolle verantwortlich.
