Die ISO 27017 ändert sich
nach elf Jahren

Am 27. Juli 2026 haben ISO und IEC die zweite Ausgabe der ISO/IEC 27017 veröffentlicht, der Norm, die beschreibt, wie Informationssicherheitsmaßnahmen auf Cloud-Dienste anzuwenden sind. Die vorherige Ausgabe stammte von 2015 und wurde zurückgezogen. In elf Jahren ist die Cloud für Unternehmen jeder Größe zur Normalität geworden, die ISO/IEC 27002 wurde neu geschrieben und die ISO/IEC 27001 ist zur Ausgabe 2022 übergegangen: Die 27017 war das letzte Stück des Bildes, das noch auf der alten Struktur stand. Dieser Artikel erklärt, was sich geändert hat, was man den eigenen Cloud-Anbieter fragen sollte und was mit bestehenden Zertifikaten geschieht.

Was die ISO/IEC 27017 ist, und was nicht

Die ISO/IEC 27017 ist keine Zertifizierung. Sie ist ein Leitfaden: Sie nimmt die Maßnahmen der ISO/IEC 27002 und erklärt für jede, was sie in der Cloud bedeutet, ergänzt um wenige Maßnahmen, die es nur dort gibt. Sie wird im Rahmen eines nach ISO/IEC 27001 zertifizierten Managementsystems angewendet, und keine Zertifizierungsstelle stellt ein eigenständiges 27017-Zertifikat aus. Wenn ein Anbieter erklärt, „nach 27017 zertifiziert“ zu sein, hält er in Wirklichkeit ein ISO-27001-Zertifikat, das die Anwendung der 27017-Leitlinien mit der Referenzausgabe ausweist. So ist es auch bei unseren Zertifizierungen.

Die Norm spricht beide Vertragsseiten an. Den Anbieter des Cloud-Dienstes, der nachweisen muss, wie er die Infrastruktur und die gehosteten Daten schützt. Den Kunden des Cloud-Dienstes, der für das verantwortlich bleibt, was er in die Cloud legt und wie er es konfiguriert. Die Ausgabe 2026 fügt eine dritte Figur hinzu, den Cloud Service Partner: wer dazwischen steht, etwa Managed-Service-Anbieter, Integratoren und Broker. Es ist die genaue Beschreibung eines MSP (Managed Service Provider) wie AtWorkStudio, der die Cloud seiner Kunden auf Plattformen Dritter plant und betreibt: Zum ersten Mal sagt die Norm, dass auch seine Rollen in einer Vereinbarung festgehalten werden müssen.

Was sich gegenüber der Ausgabe 2015 ändert

Die wichtigste Änderung ist strukturell. Die Ausgabe 2015 folgte der ISO/IEC 27002:2013 mit 14 Bereichen und 114 Maßnahmen und ergänzte sieben reine Cloud-Maßnahmen mit dem Präfix CLD. Die Ausgabe 2026 folgt der ISO/IEC 27002:2022 mit 93 Maßnahmen in vier Themen (organisatorisch, personenbezogen, physisch, technologisch), die CLD-Kennungen verschwinden und der Cloud-Leitfaden wird auf die bestehenden Maßnahmen verteilt, mit derselben attributbasierten Darstellung wie in der 27002. Von den sieben dedizierten Maßnahmen bleiben vier: zwei aus 2015 übernommen und zwei neue.

Ein Entsprechungsanhang in der Norm ordnet jede Maßnahme von 2015 ihrem neuen Platz zu, sodass niemand, der bereits eine Zuordnung hat, bei null anfängt. In der Substanz ändern sich die technischen Anforderungen wenig: Wer virtuelle Umgebungen bereits getrennt, administrative Verfahren dokumentiert und Daten bei Vertragsende zurückgegeben hat, findet dieselben Themen an anderer Stelle. Die echten Neuerungen sind drei: der Partner als formale Rolle, die Schatten-Cloud, mit 8.36 zum ersten Mal ausdrücklich behandelt, und der Leitfaden zu Behördenanfragen in 5.31, um den es jetzt geht.

Maßnahme 5.31 und der Fall Revolut

Maßnahme 5.31 der ISO/IEC 27002:2022 betrifft rechtliche, gesetzliche, regulatorische und vertragliche Anforderungen. Der Cloud-Leitfaden der 27017:2026 ergänzt einen präzisen Punkt für Cloud-Anbieter: wie mit Anfragen auf Zugriff auf Kundendaten umzugehen ist, die von einer Behörde kommen, sei es Polizei, Justiz oder eine Aufsichtsbehörde. Die Norm verlangt drei Dinge.

• 1Jede Anfrage rechtlich bewerten, um zu prüfen, ob die Rechtsgrundlage gültig ist: wer sie unterzeichnet, aufgrund welcher Vorschrift, mit welcher Anordnung.
• 2Den betroffenen Kunden informieren, sofern das Gesetz es nicht ausdrücklich verbietet.
• 3Nur die angefragten Daten herausgeben, nicht alles, was man über diesen Kunden hat.

Das klingt selbstverständlich, bis man liest, was Revolut passiert ist. Am 11. September 2026 begann die Digitalbank, Kunden zu benachrichtigen, und am 12. bestätigte sie öffentlich, sensible Daten an einen unbefugten Dritten herausgegeben zu haben, nachdem Anfragen von einer E-Mail-Domain einer legitimen Behörde eingegangen waren. Nach Rekonstruktionen der italienischen Presse stammten die Anfragen von einem echten zertifizierten Postfach einer Präfektur, liefen etwa sechs Monate lang und betrafen rund 680 europäische Kunden: Ausweisdokumente, Verifizierungsbilder, IBANs, Kontoauszüge und Transaktionsverläufe. Kein Eindringen in irgendein System. Die Daten gingen hinaus, weil jemand sie verschickt hat, als Antwort auf eine Anfrage, die richtig aussah. Revolut bemerkte es erst, als es die Behörde anrief, die bestritt, jemals etwas angefragt zu haben.

Auch die beiden anderen Schritte zeigen sich im Fall Revolut im Negativen: Die Kunden wurden im Nachhinein informiert, nicht beim Eingang der Anfrage, und die Herausgabe umfasste die gesamte Identitätsprüfungsakte. Die Norm erfindet nichts Neues; sie schreibt ein Verfahren nieder, das jeder Cloud-Anbieter bereits haben sollte: die Anfrage erfassen, über einen unabhängigen Kanal prüfen, vor jeder Herausgabe rechtlich bewerten lassen, den Kunden informieren und nur das Angefragte übergeben, mit lückenloser Dokumentation.

Was Sie Ihren Cloud-Anbieter fragen sollten

Die 27017:2026 gibt dem Kunden eine Liste konkreter Fragen. Man muss die Norm nicht lesen, um sie zu stellen: Man muss nur wissen, welche Antwort zu erwarten ist.

Eine weitere Frage betrifft den Kunden selbst: Wie viele Cloud-Dienste sind im Unternehmen außerhalb der offiziellen Kanäle aktiv, mit einer Firmenkarte bezahlt und nie erfasst? 8.36 verlangt, diese unbefugte Nutzung zu erkennen und zu verhindern, und der einfachste Weg dazu beginnt bei der Identität: Wenn jeder Dienst über das Identitätssystem des Unternehmens läuft, wird sichtbar, was nicht darüber läuft.

Übergang: Was mit den Zertifikaten geschieht

Für die ISO/IEC 27001:2022 gab es eine dreijährige Übergangsfrist, für alle gleich. Für die 27017:2026 wurde zum Zeitpunkt der Abfassung keine formale Übergangsfrist angekündigt: Als Leitfaden, der innerhalb des 27001-Zertifikats angewendet wird, zählt das Datum, das die Zertifizierungsstelle festlegt, die ihrerseits erst nach der Erweiterung ihres Geltungsbereichs durch ihre Akkreditierungsstelle nach der neuen Ausgabe auditieren darf. In der Zwischenzeit bleiben Zertifikate, die die 27017:2015 nennen, gültig, und Ende August 2026 erklärten die großen Public-Cloud-Anbieter noch die Konformität mit der Ausgabe 2015.

Unser ISO/IEC-27001-Zertifikat wendet heute die Leitlinien ISO/IEC 27017:2015 und ISO/IEC 27018:2025 an, zusammen mit der ISO 9001. Die Anpassung an die 27017:2026 läuft, ausgehend vom Entsprechungsanhang und den neuen Punkten, und wird von der Zertifizierungsstelle bei der nächsten Überprüfung geprüft. Die Wahl, wo die Daten liegen, und die Liste der Unterauftragsverarbeiter sind bereits öffentlich, weil Transparenz gegenüber dem Kunden der Punkt ist, an dem die Norm ansetzt.