Mythos-Härtungs-Control · MRIS 2.0 · Wirkt in ISO/IEC 27001 und IT-Grundschutz

MHC-07 Multi-Tenancy-Isolation mit nachweisbarer Trennung

Erzwingt nachweisbare Trennung zwischen Mandanten – ein kompromittierter Tenant wird nicht zum Sprungbrett auf andere; die Wirksamkeit wird durch Trennungstests belegt, nicht nur behauptet.

Auf einen Blick

Operativer Nutzen: Verhindert nachweislich, dass ein Angreifer, der bei einem Mandanten (Tenant) Fuß fasst, auf die Daten anderer Mandanten übergreift — die Schadwirkung bleibt auf einen Mandanten begrenzt.
Betroffene Richtlinie: Richtlinie zur sicheren Architektur und Mandantentrennung (für mandantenfähige Dienste).
Abhängigkeiten: keine Vorbedingung; betrifft Organisationen, die mehrere Kunden auf gemeinsamer Plattform betreiben; nutzt Schlüsseltrennung (Bezug zu A.8.24) und Netztrennung.
Aufwandstreiber: hängt vom Architekturmodell (gemeinsame vs. getrennte Ressourcen) und der Zahl der Mandanten ab. Der konkrete Aufwand richtet sich nach den Ressourcen der Organisation.
Primäre Kennzahl: Ergebnis regelmäßiger, möglichst automatisierter Trennungstests (kein mandantenübergreifender Zugriff nachweisbar).
Berührte Standards (ohne Erfüllungsanspruch): ISO/IEC 27002 A.8.22/A.5.23; C5:2026 OPS-30/31, PSS-10; CSA Cloud Controls Matrix.

Control-Statement

In mandantenfähigen Diensten werden Daten, Netzwerke und Rechenressourcen je Mandant getrennt; die Trennung ist dokumentiert und in der Umsetzung nachvollziehbar belegt — nicht nur konzeptionell behauptet. Weiterführende Härtung (Stufe Managed): regelmäßiger Nachweis der Trennung durch möglichst automatisierte Tests.

Zweck und Bedrohungsbezug

Bei mandantenfähigen Diensten teilen sich viele Kunden eine gemeinsame Plattform. Gelingt es einem Angreifer, bei einem Mandanten Fuß zu fassen, ist die zentrale Frage, ob er von dort auf die Daten anderer Mandanten übergreifen kann. AI-gestützte Angreifer suchen systematisch nach genau solchen Lücken in der Trennung. Eine bloß konzeptionelle Trennung genügt nicht; entscheidend ist, dass die Trennung tatsächlich greift und das belegt ist. Schutzziel ist, die Schadwirkung eines Angriffs nachweislich auf einen einzelnen Mandanten zu begrenzen.

Wirkung in den Regelwerken

Auf diese Controls und Anforderungen wirkt das MHC. Die Einstufung zeigt, wie stark das jeweilige Control unter KI-gestützten Angriffen an Wirkung verliert.

Wirkung in den Regelwerken
Nummer	Titel	Einstufung / Stufe
ISO/IEC 27001:2022, Annex A 2 Controls
A.5.23	Cloud-Dienste	teilweise degradiert
A.8.22	Trennung in Netzwerken	teilweise degradiert
IT-Grundschutz, MRIS.bd 1 Anforderungen
MRIS.bd.2.3.A3	Umsetzung einer nachweisbaren Mandantentrennung	erhöhter Schutzbedarf

Alle 93 Controls in der Analysematrix · Alle 23 Anforderungen der Bausteinfamilie

Reifegrad-Pfad

Initial: logische Mandantentrennung dokumentiert.
Defined: mandantenspezifische Schlüssel; Netz- und Ressourcentrennung umgesetzt.
Managed: nachweisbare Trennung durch automatisierte Tests; regelmäßige Prüfungen.

Messung und Audit-Nachweis

Kennzahl: Ergebnis der regelmäßigen Trennungstests (kein mandantenübergreifender Zugriff nachweisbar); Häufigkeit und Abdeckung der Tests.
Stage-Gate (Richtwert): je Stufe ein bestandener, dokumentierter Mandantentrennungstest (Initial jährlich intern; Defined je Major-Release; Managed zusätzlich durch unabhängige Dritte). Nachweis im Projektcontrolling (MRIS Kap. 10.6).
Nachweis: Trennungskonzepte, Testprotokolle, Behebungsnachweise festgestellter Schwächen.
Nachweislogik (in Anlehnung an ISO/IEC 27001, Clause 9): dokumentiert? — Trennungskonzepte und Testprotokolle; verantwortlich? — Architektur-/Betriebsleitung; Häufigkeit? — regelmäßige Tests; Toleranz? — kein nachgewiesener mandantenübergreifender Zugriff.

Typische Fehler

Die Trennung ist nur konzeptionell beschrieben, aber nie durch Tests belegt.
Die Datentrennung ist umgesetzt, die Netz- oder Ressourcentrennung aber nicht — der Übergriff erfolgt über den ungeschützten Pfad.
Tests prüfen nur den Normalfall, nicht den gezielten Umgehungsversuch aus einem Mandanten heraus.
Bei Erweiterungen (neue Funktionen, neue Mandanten) wird die Trennung nicht erneut überprüft.

Abgrenzung und Restrisiko

Abgrenzung: betrifft die Trennung zwischen Mandanten; den Schutz der Verarbeitung selbst behandelt MHC-06, die Identität der Workloads MHC-04.
Restrisiko: eine gemeinsame Plattform behält eine geteilte Grundschicht; Fehler in dieser gemeinsamen Schicht können trotz Trennung mehrere Mandanten betreffen.
ISO/IEC 27002:2022 (mittelbar): A.8.22 Trennung in Netzwerken; A.5.23 Informationssicherheit für die Nutzung von Cloud-Diensten.
Framework: C5:2026 OPS-30/31 (Datentrennung), PSS-10 (Software Defined Networking); CSA Cloud Controls Matrix; ergänzend ISO/IEC 27017 (Cloud-Dienste).

Umsetzung im Detail

Organisatorische und technische Umsetzung, Umsetzungsbeispiele und die Priorisierung im Gesamtprogramm beschreibt der Implementation Guide.

Implementation Guide (PDF)Zum MHC-Katalog