Shared Responsibility Managed Server

1. Einleitung

Das Shared Responsibility Model (SRM) beschreibt die Aufteilung der Verantwortlichkeiten zwischen der centron GmbH, Heganger 29, 96103 Hallstadt („Anbieter“) und dem Kunden bei der Nutzung von Managed Server Services.

Bei Managed Servern übernimmt der Anbieter einen erweiterten Anteil an Betrieb und Wartung im Vergleich zu klassischen Infrastructure-as-a-Service-Leistungen. Dennoch verbleiben wesentliche Verantwortlichkeiten beim Kunden, insbesondere im Hinblick auf Anwendungen, Daten und Zugriffskontrolle.

Der Anbieter stellt eine verwaltete Serverumgebung bereit und übernimmt definierte Betriebs- und Wartungsaufgaben. Der Kunde ist verantwortlich für die Nutzung der Systeme, die darauf betriebenen Anwendungen sowie den Schutz seiner Daten.

2. Grundprinzip

Der Anbieter ist verantwortlich für die Sicherheit der Infrastruktur und der verwalteten Systemebene, insbesondere:

• physische Rechenzentren und Hardware
• Hardware und Virtualisierungsschicht
• Betriebssystem-Basisinstallation
• Wartung, Updates und Patching des Systems (im vereinbarten Umfang)
• grundlegende Netzwerksicherheit
• Betrieb und Verfügbarkeit der Serverumgebung

Der Kunde ist verantwortlich für die Sicherheit der Nutzung des Systems, insbesondere:

• Anwendungen und Dienste
• Daten und Inhalte
• Benutzerverwaltung und Zugriffskontrollen
• individuelle Systemkonfigurationen außerhalb des Managed Scope

Dieses Modell folgt dem Grundsatz, dass der Anbieter den Systembetrieb unterstützt, während der Kunde die Nutzung und Absicherung seiner Workloads verantwortet.

3. Datensicherheit

Der Kunde ist verantwortlich für die Sicherheit der Daten, die er auf dem Managed Server speichert oder verarbeitet.

Insbesodnere wird empfohlen:

• Zugangsdaten zum centron Account sowie zu den Systemen zu schützen
• separate Benutzerkonten zu verwenden
• Zugriff auf Daten zu beschränken
• Daten angemessen zu verschlüsseln

Der Anbieter stellt die Plattform und Sicherheitsmechanismen zur Verfügung, übernimmt jedoch keine Verantwortung für die Inhalte in den Instanzen oder deren Schutz.

4. Benutzer- und Zugriffskontrolle

Der Kunde ist vollständig verantwortlich für die Verwaltung von Benutzerkonten und Zugriffsrechten innerhalb der bereitgestellten Systeme.

Dies umfasst insbesondere:

• Erstellung und Verwaltung von Benutzerkonten
• Vergabe und Einschränkung von Zugriffsrechten
• Verwaltung administrativer Zugänge

Eine unsachgemäße Rechtevergabe kann zu unbefugtem Zugriff führen und liegt im Verantwortungsbereich des Kunden.

5. Netzwerksicherheit und Zugriff

Der Anbieter stellt grundlegende Netzwerkmechanismen bereit, die zur Absicherung der Serverumgebung beitragen.

Der Kunde ist verantwortlich für:

• Einschränkung von Zugriffen auf vertrauenswürdige Quellen
• Konfiguration von Firewall-Regeln (sofern kundenseitig verwaltet)
• Absicherung von offenen Ports und Diensten
• sichere Anbindung von Anwendungen

Die Kontrolle darüber, welche Systeme auf den Managed Server zugreifen dürfen, liegt im Verantwortungsbereich des Kunden.

6. Verschlüsselung

Der Anbieter stellt grundlegende Sicherheitsmechanismen bereit, insbesondere im Bereich der Infrastruktur und der Systemkommunikation.

Der Kunde ist verantwortlich für:

• Nutzung sicherer Protokolle (z. B. HTTPS, SSH mit Schlüssel)
• sichere Verwaltung von Zugangsdaten
• gegebenenfalls zusätzliche Verschlüsselung auf Anwendungsebene

Die Verschlüsselung sensibler Daten innerhalb von Anwendungen liegt vollständig in der Verantwortung des Kunden.

7. Betrieb, Wartung und Updates

Der Anbieter übernimmt im Rahmen der Managed Services:

• Installation und Betrieb des Betriebssystems
• Durchführung von Sicherheitsupdates und Patching des Betriebssystems
• Überwachung des Systemzustands (im vereinbarten Umfang)
• grundlegende Systemwartung

Der Kunde ist verantwortlich für:

• Installation, Konfiguration und Betrieb von Anwendungen
• Pflege von Applikationssoftware
• Anpassung von Systemeinstellungen außerhalb des Managed Scope

Managed Server entlasten den Kunden von grundlegenden Betriebsaufgaben, ersetzen jedoch nicht die Verantwortung für Anwendungen und deren Sicherheit.

8. Backup und Wiederherstellung

Der Anbieter kann Funktionen zur Datensicherung bereitstellen, sofern dies Bestandteil der vereinbarten Leistung ist.

Der Kunde ist verantwortlich für:

• Nutzung und Konfiguration von Backup-Funktionen
• Überprüfung von Sicherungsstrategien
• Sicherstellung der Wiederherstellbarkeit von Daten

Der Anbieter stellt die technischen Möglichkeiten bereit, während der Kunde deren korrekte Nutzung sicherstellen muss.

9. Monitoring und Logging

Der Anbieter führt grundlegende Überwachung der Infrastruktur und Systemverfügbarkeit durch, bietet jedoch keine vollständige Verantwortung für Logging und Monitoring innerhalb der Systeme.

Der Kunde ist verantwortlich für:

• Monitoring von Anwendungen
• Analyse von Logs
• Einrichtung von Alerting
• Erkennung von Sicherheitsvorfällen

Die Überwachung der Anwendungsebene liegt vollständig im Verantwortungsbereich des Kunden.

10. Hochverfügbarkeit und Skalierung

Der Anbieter stellt die technische Grundlage für den Betrieb der Server bereit.

Der Kunde ist verantwortlich für:

• Design hochverfügbarer Architekturen
• Nutzung von Redundanzmechanismen
• Skalierung von Anwendungen
• Implementierung von Failover-Strategien

Managed Server bieten keine automatische Hochverfügbarkeit, sofern diese nicht ausdrücklich vereinbart ist.

11. Compliance und regulatorische Anforderungen

Der Anbieter betreibt die Infrastruktur unter Berücksichtigung gängiger Sicherheits- und Compliance-Standards.

Der Kunde ist verantwortlich für:

• Einhaltung gesetzlicher Anforderungen
• datenschutzkonforme Nutzung
• Klassifizierung und Schutz der Daten

Die Nutzung einer sicheren Infrastruktur unterstützt Compliance-Anforderungen, ersetzt jedoch nicht die Verpflichtungen des Kunden.

12. Zusammenfassung der Verantwortlichkeiten

Der Anbieter stellt eine verwaltete Serverumgebung bereit und übernimmt definierte Aufgaben im Bereich Betrieb, Wartung und Infrastruktur.

Der Kunde ist verantwortlich für die sichere Nutzung dieser Umgebung, insbesondere für:

• Konfiguration und Betrieb
• Zugriffskontrollen
• Daten und Secrets
• Anwendungen

Die Sicherheit in der Cloud ist somit eine gemeinsame Verantwortung, bei der beide Parteien klar definierte Aufgaben erfüllen müssen.