Zwölf Fragen zu den DSGVO-Maßnahmen Ihres Hosters

Wenn Sie personenbezogene Daten auf die Infrastruktur eines Hosting-Anbieters legen, wird der Anbieter nach der DSGVO (GDPR) zu Ihrem Auftragsverarbeiter. Artikel 28 sagt, dass Sie nur Auftragsverarbeiter einsetzen dürfen, die hinreichende Garantien bieten, und Artikel 32 sagt, worum es bei diesen Garantien geht: geeignete technische und organisatorische Maßnahmen, meist TOM genannt. Viele Anbieter können Ihnen ein TOM-Dokument schicken. Weniger können präzise Fragen dazu beantworten. Hier sind die Fragen, die die beiden unterscheiden, und warum jede davon zählt.

Wo die Daten liegen

1. Wo befinden sich die Primärkopien, die Replikate und die Backups? «Unsere Server stehen in der EU» beschreibt oft nur die Primärkopie. Replikate für die Ausfallsicherheit und Backups für die Wiederherstellung sind ebenfalls Kopien personenbezogener Daten. Fragen Sie ausdrücklich nach dem Standort jeder einzelnen.

2. Von wo aus wird die Infrastruktur administriert? Administrativer Fernzugriff von außerhalb der EU kann für sich genommen eine Übermittlung darstellen, weil personenbezogene Daten von dort aus zugänglich werden. Fragen Sie, wo sich die Menschen und Systeme befinden, die Ihre Server verwalten.

3. Liegt eine Public Cloud darunter? Manche Anbieter verkaufen Kapazität eines Hyperscalers unter eigenem Namen weiter. Das fügt einen Unterauftragsverarbeiter und eine Gerichtsbarkeit hinzu, denen Sie vielleicht nicht zugestimmt haben. Fragen Sie, auf wessen Hardware Ihre Daten tatsächlich liegen.

Wer darauf zugreifen kann

4. Wer sind die Unterauftragsverarbeiter, und wie erfahren Sie von Änderungen? Artikel 28 verlangt Ihre Genehmigung für Unterauftragsverarbeiter. Sie sollten eine aktuelle Liste haben und einen festgelegten Weg, informiert zu werden, bevor sie sich ändert.

5. Wie authentifiziert sich das Personal an den Managementsystemen? Achten Sie auf Multi-Faktor-Authentifizierung am VPN des Anbieters und an den Web-Oberflächen der Verwaltung, schlüsselbasierten administrativen Zugriff auf die Server und ein Management-Netzwerk, das Kundentraffic nicht erreichen kann.

6. Wie werden Kunden voneinander getrennt? Die Antwort sollte die Ebenen Netzwerk, Storage und Virtualisierung abdecken, nicht nur «jeder Kunde hat sein eigenes Login».

7. Welche Vertraulichkeitspflichten binden die Personen mit Zugriff? Artikel 28 Absatz 3 Buchstabe b verlangt, dass die zur Verarbeitung der Daten befugten Personen zur Vertraulichkeit verpflichtet sind. Fragen Sie, wie das für das eigene Personal des Anbieters und für das Personal des Rechenzentrumsbetreibers umgesetzt ist. Unsere Antwort: Jeder Mitarbeiter von EuroVPS und jeder beauftragte Ingenieur ist durch schriftliche Vertraulichkeitspflichten gebunden, die nach dem Ende der Zusammenarbeit fortbestehen, und der Rechenzentrumsbetreiber bindet sein eigenes Personal auf dieselbe Weise, unter seinen auditierten Kontrollen.

Wie sie geschützt und wiederhergestellt werden

8. Sind die Daten bei der Übertragung und im Ruhezustand verschlüsselt? Bei der Übertragung zwischen Standorten und zu Verwaltungsstandorten, und im Ruhezustand auf dem Storage und in den Backups. Fragen Sie, ob Verschlüsselung im Ruhezustand der Standard ist oder eine Option, die Sie anfordern müssen.

9. Kann ein kompromittierter Server seine eigenen Backups erreichen? Das ist die Frage, die bei Ransomware am meisten zählt. Wenn Produktionsserver in das Backup-System schreiben oder es auch nur sehen können, kann ein Angreifer, der einen Server übernimmt, dessen Backups zerstören. Das sicherere Design ist pull-only: Die Backup-Seite holt von der Produktion, und die Produktion hat überhaupt keinen Netzwerkpfad zur Backup-Ebene.

10. Wie oft werden Wiederherstellungen tatsächlich getestet? Fragen Sie, wie oft Restore-Tests laufen und welche Nachweise aufbewahrt werden.

11. Was passiert mit Datenträgern, die außer Betrieb gehen? Fragen Sie, wie Laufwerke bereinigt werden und ob es eine Aufzeichnung pro Datenträger gibt. Eine gute Antwort nennt die Löschmethode oder das Werkzeug und erklärt, dass für jeden gelöschten Datenträger ein Zertifikat aufbewahrt wird.

Wenn etwas schiefgeht

12. Wie und wann benachrichtigen Sie uns über eine Verletzung des Schutzes personenbezogener Daten? Artikel 33 Absatz 2 verlangt, dass ein Auftragsverarbeiter den Verantwortlichen unverzüglich benachrichtigt, nachdem ihm eine Verletzung bekannt wurde. Fragen Sie, was «unverzüglich» in der Praxis bedeutet, über welchen Kanal, und welche Informationen die erste Meldung enthalten wird.

Belege verlangen, keine Adjektive

Wörter wie «robust», «Industriestandard» und «Stand der Technik» tauchen in vielen TOM-Dokumenten auf und beweisen nichts. Fragen Sie zu jeder Antwort, was sie einem Prüfer zeigen würde: ein Zertifikat und seinen Geltungsbereich, eine Konfigurationsrichtlinie, ein Muster eines Löschzertifikats, Datum und Ergebnis des letzten Restore-Tests. Ein Anbieter, der diese Maßnahmen betreibt, hat die Belege zur Hand. Ein Anbieter, der sie nur beschreibt, wird Zeit brauchen, sie zu finden.

Warnsignale in den Antworten

• Standorte, die nur für die Primärkopie genannt werden.
• «Wir arbeiten an MFA.»
• Backups auf einem Share, das die Produktionsserver einbinden.
• Kein Restore-Test, an den sich jemand erinnern könnte.
• Datenträgerentsorgung, beschrieben als «übernimmt das Rechenzentrum», ohne Aufzeichnungen.
• Ein TOM-Dokument, das sich wie eine generische Vorlage liest, ohne Namen von Systemen, Methoden oder Werkzeugen darin.

Wie wir sie beantworten

Wir veröffentlichen unsere TOM hinter einem Anforderungsformular, und dies sind ihre kurzen Antworten. Daten, die in unseren europäischen Rechenzentren gehostet werden (Athen bei Digital Realty, und Amsterdam), bleiben dort, und Replikate und Backups von in der EU gehosteten Daten bleiben innerhalb unserer eigenen EU-Infrastruktur. Unser Firmensitz ist in Zypern, ebenfalls in der EU. Server, Storage, Netzwerke und Backup-Systeme sind unsere eigenen, keine weiterverkaufte Public Cloud. Administrativer Zugriff erfolgt per Schlüssel über unsere eigenen Gateways, hinter MFA, in einem Management-Netzwerk, das Kundentraffic nicht erreichen kann. Der Traffic zwischen unseren Standorten läuft über unser eigenes verschlüsseltes Backbone, und Daten auf dem Storage und in den Backups sind standardmäßig im Ruhezustand verschlüsselt. Backups sind pull-only, durchgesetzt auf Firewall-Appliances. Wiederherstellungen werden regelmäßig getestet, bis zu wöchentlich. Ausgemusterte Laufwerke werden mit Blancco bereinigt, und wir bewahren das Löschzertifikat für jeden Datenträger auf. Wir arbeiten unter unserem eigenen Auftragsverarbeitungsvertrag, demselben für jeden Kunden, und die TOM sind von einem Director unterzeichnet.

Wir zertifizieren außerdem die Managementsysteme hinter diesen Antworten: ISO/IEC 27001 mit ISO/IEC 27017 und ISO/IEC 27018, dem Verhaltenskodex für personenbezogene Daten in Cloud-Diensten.

Wenn Sie Ihre Auftragsverarbeiter überprüfen und unsere TOM möchten, oder Hilfe beim Lesen der TOM eines anderen brauchen, fragen Sie uns. Mit einem Ingenieur sprechen

Related

• /what-we-do/operations/gdpr/
• /what-we-do/operations/certifications/
• /what-we-do/operations/hardening-baseline/