Sichert AWS Ihre Daten? Das Modell der geteilten Verantwortung erklärt

Was schützt AWS, und wofür sind Sie verantwortlich?

AWS schützt die Infrastruktur, auf der Ihre Workloads laufen. Sie schützen alles, was Sie darauf ablegen: Daten, Identitäten, Konfiguration und Backups.

Das AWS-Modell der geteilten Verantwortung teilt das auf in „Sicherheit der Cloud“, um die sich AWS kümmert, und „Sicherheit in der Cloud“, um die Sie sich kümmern. Bei Diensten wie S3 und DynamoDB betreibt AWS die Infrastruktur, während Kunden die Datenverschlüsselung, die Klassifizierung von Assets und die IAM-Berechtigungen verwalten. Bei EC2 verwalten Sie zusätzlich das Gast-Betriebssystem, Patches und Sicherheitsgruppen.

Kurz gesagt: AWS schützt das Gebäude, um den Inhalt müssen Sie sich selbst kümmern. Diese Lücke schließt Backup as a Service. Google Cloud und Microsoft arbeiten nach demselben Modell; siehe Geteilte Verantwortung bei Google Cloud.

Was kann mit Ihren Daten in AWS schiefgehen?

Die Plattform verliert Ihre Daten selten. Menschen, Angreifer und Konfiguration tun es: ein gelöschter Bucket, ein kompromittierter Zugriffsschlüssel, eine Richtlinie, die Daten offenlegt oder überschreibt.

• Menschliche Fehler: Ein Administrator löscht den falschen Bucket, ein Skript überschreibt Objekte oder ein Bereinigungsjob entfernt Snapshots, die noch gebraucht wurden.
• Fehlender Schutz: Laut der Amazon-S3-Dokumentation ist S3 Versioning bei Buckets standardmäßig „deaktiviert“. Ein Löschen oder Überschreiben kann dann endgültig sein, wenn Sie die Funktion nicht aktiviert haben.
• Kompromittierte Zugangsdaten: Ein Angreifer mit Admin-Schlüsseln kann Produktionsdaten löschen und alle Backups, die diese Schlüssel erreichen.
• Fehlkonfiguration: Eine zu großzügige IAM-Rolle oder Bucket-Richtlinie lässt den falschen Prozess Daten ändern.

Der schlimmste Fall ist schon eingetreten. Im Juni 2014 berichtete The Register, ein Angreifer habe Zugriff auf das AWS-Control-Panel von Code Spaces erlangt und „alle EBS-Snapshots, S3-Buckets, alle AMIs, einige EBS-Instanzen und mehrere Maschineninstanzen entfernt“. Die Backups waren über dasselbe Control Panel erreichbar. Das Unternehmen gab bekannt, den Betrieb nicht fortsetzen zu können.

Reicht AWS Backup nicht aus?

AWS Backup ist ein guter Dienst, und mit den richtigen Einstellungen kann ein Angreifer es kaum löschen. Es schützt aber nur, was Sie konfigurieren, bleibt in der Kontrollebene von AWS und steht unter demselben Anbieter und Rechtsraum wie Ihre Produktionsdaten.

Fairerweise: Die Optionen sind besser geworden. AWS Backup Vault Lock im Compliance-Modus macht einen Vault unveränderlich, sobald eine Karenzzeit von mindestens drei Tagen verstrichen ist. Danach kann ihn laut AWS kein Nutzer und auch AWS selbst nicht mehr ändern oder löschen. Der Governance-Modus lässt sich dagegen von Nutzern mit ausreichenden IAM-Berechtigungen entfernen. Ein Logically air-gapped Vault nutzt immer den Compliance-Modus und kann mit anderen Konten geteilt werden, damit Sie wiederherstellen können, falls das besitzende Konto kompromittiert ist.

Wer bei einem einzigen Anbieter bleibt, teilt auch dessen Ausfälle. Am 19. und 20. Oktober 2025 beschreibt der Nachbericht von AWS einen DNS-Fehler bei DynamoDB in US-EAST-1, der auch EC2, Lambda, die IAM-Authentifizierung und STS fast einen ganzen Tag lang beeinträchtigte. Eine Kopie außerhalb von AWS ist nicht darauf angewiesen, dass AWS gesund ist.

Gilt der CLOUD Act für Daten in AWS-Regionen in der EU?

Ja, das kann sein. Der CLOUD Act folgt dem Anbieter, nicht dem Server. Daten, die ein US-Unternehmen in Frankfurt oder Irland hält, fallen weiterhin darunter.

Der Wortlaut von 18 U.S.C. 2713, 2018 durch den CLOUD Act eingefügt, verpflichtet Anbieter, Daten offenzulegen, die sich in ihrem „Besitz, Gewahrsam oder ihrer Kontrolle“ befinden, „unabhängig davon, ob sich diese Kommunikation, Aufzeichnung oder sonstige Information innerhalb oder außerhalb der Vereinigten Staaten befindet“. Datenresidenz (wo die Daten liegen) ist nicht dasselbe wie Datensouveränität (wer zur Herausgabe gezwungen werden kann). Den Unterschied behandelt unser Ratgeber zur Datensouveränität.

AWS hat im Januar 2026 die European Sovereign Cloud in Brandenburg gestartet, betrieben von einem deutschen Unternehmen mit EU-Leitung und eigenen Systemen für IAM, Abrechnung und DNS. Laut InfoQ bezweifeln Praktiker weiterhin, dass damit der Zugriff nach US-Recht entfällt, weil das Unternehmen vollständig Amazon.com Inc. gehört. Ob das für Sie eine Rolle spielt, hängt von Ihren Daten und Ihren Aufsichtsbehörden ab. Das ist eine Frage für Ihren Datenschutzbeauftragten und Ihre Rechtsberatung.

Wie bauen Sie eine AWS-Backup-Strategie, die den schlimmsten Tag übersteht?

Nutzen Sie die nativen AWS-Funktionen für schnelle Wiederherstellungen im Alltag. Ergänzen Sie eine unabhängige Kopie außerhalb von AWS für den Tag, an dem das Konto selbst das Problem ist.

1. Aktivieren Sie Versionierung für kritische S3-Buckets und legen Sie Lifecycle-Regeln für alte Versionen fest.
2. Nutzen Sie AWS Backup mit Vault Lock im Compliance-Modus für kritische Ressourcen, in einem separaten Backup-Konto.
3. Beschränken Sie Löschrechte: wenige Personen, MFA bei jeder privilegierten Aktion, keine langlebigen Admin-Schlüssel.
4. Halten Sie eine unabhängige Kopie außerhalb von AWS vor, mit eigenen Zugangsdaten und unveränderlichem Speicher, nach der 3-2-1-1-0-Regel.
5. Legen Sie RPO und RTO pro Workload fest: wie viel Arbeit Sie verlieren dürfen und wie lange der Ausfall dauern darf.
6. Testen Sie Wiederherstellungen nach Plan. Die AWS Well-Architected reliability pillar (REL09-BP04) bezeichnet „Wiederherstellung ohne Validierung“ und die Annahme, die Wiederherstellungszeit werde eingehalten, ohne sie zu messen, als Anti-Patterns.

Für Schritt 4 sichern wir AWS-Workloads in unseren eigenen Tier-III-Rechenzentren in Deutschland und den Niederlanden, nach EU-Recht und unabhängig von US-Hyperscalern. Die Backups sind per Object Lock unveränderlich, wir halten zusätzlich eine Air-Gap-Kopie vor, die Daten sind bei der Übertragung mit AES-256 verschlüsselt, administrative Aktionen erfordern MFA, und jeder Backup-Job wird automatisch geprüft. Siehe Backup für AWS und Woran erkennen Sie, ob Ihr Backup wirklich funktioniert?

Wer braucht ein unabhängiges AWS-Backup am dringendsten?

Jede Organisation, die den Verlust ihres AWS-Kontos nicht überstehen würde, vor allem solche mit Aufsichtsbehörden, sensiblen Daten oder Kunden, die auf sie angewiesen sind.

• Einrichtungen unter NIS2: Art. 21 Abs. 2 der NIS2-Richtlinie verlangt in lit. c die Aufrechterhaltung des Betriebs, etwa Backup-Management und Wiederherstellung nach einem Notfall, und in lit. d die Sicherheit der Lieferkette. Wer sich für Produktion und Backup auf einen einzigen Anbieter verlässt, wirft eine Lieferkettenfrage auf, die Prüfer stellen können. Siehe was Artikel 21 verlangt.
• Gesundheitswesen und andere besondere Kategorien von Daten: Art. 32 Abs. 1 lit. c DSGVO verlangt die Fähigkeit, die Verfügbarkeit personenbezogener Daten und den Zugang zu ihnen rasch wiederherzustellen. Wir sind ISO-27001- und NEN-7510-zertifiziert (NEN 7510 ist die niederländische Norm für Informationssicherheit im Gesundheitswesen) und schließen mit jedem Vertrag einen Auftragsverarbeitungsvertrag (AVV) nach DSGVO ab.
• MSPs, die Kunden-Workloads in AWS betreiben: Ein einziges kompromittiertes Verwaltungskonto kann viele Kunden betreffen. Unsere mandantenfähige Konsole und die nutzungsbasierte Abrechnung sind dafür gebaut; siehe unser Partnerprogramm.

Ihre nächsten Schritte

Daten in AWS zu speichern, ist eine vernünftige Entscheidung. Zu glauben, Speichern sei dasselbe wie Sichern, ist es nicht. AWS sichert die Plattform; Ihre Daten, IAM und Backups liegen in Ihrer Verantwortung, und die sicherste Kopie liegt außerhalb des Kontos, das ein Angreifer ins Visier nimmt.

Stellen Sie sich diese Woche drei Fragen: Ist Versionierung für Ihre kritischen Buckets aktiv, sind Ihre Backup-Vaults im Compliance-Modus gesperrt, und gibt es irgendeine Kopie außerhalb von AWS? Unsere Übersicht zu Backup as a Service zeigt, wie sich eine unabhängige EU-Kopie neben AWS einfügt.

Möchten Sie sehen, wie eine AWS-Wiederherstellung aus einem EU-Rechenzentrum abläuft? Vereinbaren Sie eine kostenlose 15-minütige Demo auf Deutsch, Niederländisch oder Englisch.

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung.