Datensouveränität
Wo Ihre Sicherheitsdaten liegen, wer darauf zugreifen kann und wie sich das ändert, während unser Team in Portugal wächst. All dies legen wir schriftlich dar, bevor ein Auftrag beginnt.
In der EU, unter EU-Rechtshoheit
Diese Website und die Überwachungsplattform, die wir aufbauen, laufen auf Infrastruktur der Hetzner Online GmbH in Deutschland oder Finnland, eines Anbieters mit Hauptsitz in der EU. Die Sicherheitstelemetrie unserer Kunden wird dort ab dem ersten Tag des Service gespeichert und verarbeitet.
Das ist etwas anderes als die Nutzung der EU-Region eines Anbieters mit Hauptsitz außerhalb der EU. Eine Region bestimmt, wo Daten liegen, nicht, wer den Zugriff darauf rechtmäßig erzwingen kann. Der US CLOUD Act zum Beispiel erlaubt US-Behörden, von US-Anbietern die Herausgabe von Daten zu verlangen, die sich in deren Besitz, Gewahrsam oder Kontrolle befinden, unabhängig davon, wo diese Daten gespeichert sind.
Die Wahl eines Anbieters in EU-Eigentum und unter EU-Rechtshoheit vermeidet diesen Konflikt auf Ebene der Infrastruktur.
Wer auf Ihre Daten zugreifen kann, und wie
Rollenbasierter Zugriff
Jede Person kann nur auf die Daten zugreifen, die ihre Rolle erfordert.
Protokollierter Zugriff
Jeder Zugriff auf Kundendaten wird protokolliert.
Kein Massenexport
Kundendaten können nicht in großen Mengen exportiert werden.
Just-in-Time-Berechtigungen
Privilegierter Zugriff wird für eine bestimmte Aufgabe gewährt und danach wieder entzogen. Niemand hat dauerhaften privilegierten Zugriff.
Jump Hosts
Fernzugriff erfolgt über Jump Hosts in der EU, nie direkt auf Ihre Systeme oder Daten.
Aufgezeichnete Sitzungen
Privilegierte Sitzungen werden aufgezeichnet, sodass jede Aktion überprüft werden kann.
Abdeckung durch Analysekräfte heute
Unser Security Operations Centre in Portugal ist geplant und noch nicht in Betrieb. Bis dahin stellt unsere verbundene US-Gesellschaft, Cyberuptive LLC, die Überwachungskapazität als vertraglich gebundener Lieferant bereit.
Ihre Analysekräfte arbeiten ausschließlich über die oben beschriebenen Kontrollen. Nach der DSGVO gilt ein Fernzugriff von außerhalb der EU als internationale Übermittlung. Daher werden Standardvertragsklauseln und ein Vertrag mit dem weiteren Auftragsverarbeiter vorliegen, bevor Kundendaten verarbeitet werden.
Unser Fahrplan für die Abdeckung
Die Abdeckung durch Analysekräfte wechselt in drei Phasen nach Portugal. Kundendaten bleiben dabei durchgehend auf EU-Infrastruktur.
Kunden erhalten eine schriftliche Offenlegung des Übergangs und den zugesagten Termin für die dritte Phase.
Phase 1 Ab dem Start
Daten in der EU gehostet; vertraglich gebundene Analysekapazität in den USA mit dokumentierten Schutzmaßnahmen.
Phase 2 Geplant für 2028
L1- und L2-Analysekräfte in Portugal, mit Unterstützung bei der Eskalation.
Phase 3 Geplant für 2030
Abdeckung vollständig durch Analysekräfte mit Sitz in der EU.
Schriftlich, bevor wir beginnen
Bevor ein Auftrag beginnt, erhalten Sie schriftlich eine Beschreibung davon,
- wo Ihre Daten gespeichert und verarbeitet werden, und bei welchem Anbieter;
- wer darauf zugreifen kann, von wo aus und unter welchen Kontrollen;
- welche Phase der Abdeckung aktuell gilt und zu welchen Terminen die nächste folgt;
- wie wir Sie über Änderungen informieren.
Fragen zu Ihren Daten?
Gern erläutern wir Ihrem Sicherheits-, Rechts- oder Einkaufsteam diese Regelungen im Detail.
Gespräch vereinbaren