Domäne · D3
Datenhoheit
„Wer hat Zugriff auf Daten und Schlüssel — und wie ist dies kryptografisch oder organisatorisch nachweisbar?"
1. Strategische Bedeutung§
Datenhoheit entscheidet im laufenden Betrieb, ob der Kunde tatsächlich Souverän seiner Daten ist oder nur formaler Eigentümer. Diese Domäne bewertet die nachweisbare Steuerbarkeit der zentralen datenseitigen Hebel: Schlüssel, Zugriffe, Logs.
Wesentlich ist nicht die Versicherung des Anbieters, sondern die kryptografisch oder organisatorisch nachweisbare Trennung von Daten, Schlüsseln und privilegierten Zugriffen. Vertrauen ohne Nachweisbarkeit zählt in dieser Domäne nicht.
D3 ist die Domäne, in der sich Souveränitäts-Marketing am stärksten von realer Kontrolle unterscheidet. Sie verlangt belastbare technische und prozedurale Evidenz.
2. Kernkriterien§
- Schlüsselverwaltungsmodell
Klare Einordnung als Provider-Managed Keys, BYOK oder HYOK — inklusive Beschreibung, welche Operationen ohne Mitwirkung des Kunden durchführbar sind.
- Privileged Access auf Daten
Wer im Anbieter darf unter welchen Bedingungen auf Kundendaten zugreifen? Mehraugenprinzip, Just-in-Time-Zugriff, Break-Glass-Verfahren.
- Log-Integrität und Manipulationsschutz
Zugriffsprotokolle müssen für den Kunden einsehbar, vollständig und manipulationssicher sein (z. B. Append-only, Hash-Ketten, externe Notarisierung).
- Vertraulichkeit gegenüber dem Anbieter
Technische Verfahren (Confidential Computing, Zero-Knowledge-Architekturen), die Anbieterzugriff auf Inhaltsdaten strukturell ausschließen.
- Zugriffsnachweise
Nachweis, wer wann auf welche Daten oder Schlüssel zugegriffen hat — auch durch den Anbieter selbst und durch Subunternehmer.
3. Prüffragen (Auszug)§
- Welches Schlüsselverwaltungsmodell ist vertraglich vereinbart, und welche Operationen sind ohne Kundenmitwirkung möglich?
- Welche Personenkreise im Anbieter haben unter welchen Bedingungen lesenden oder schreibenden Zugriff?
- Ist das Zugriffsprotokoll für den Kunden vollständig, manipulationssicher und in nahezu Echtzeit einsehbar?
- Wie ist gewährleistet, dass der Anbieter ohne Schlüssel des Kunden keine Inhalte entschlüsseln kann?
- Welche Verfahren existieren für Break-Glass-Zugriffe — und wie werden sie protokolliert?
4. Akzeptierte Evidenz§
- Technische Architekturdokumentation des Schlüsselmanagements (HYOK/BYOK)
- Auszüge aus PAM-Protokollen und Konfigurationsnachweise
- Append-only-Log-Architektur oder externe Log-Notarisierung
- Auditberichte unabhängiger Prüfer zu Zugriffsverfahren (z. B. ISAE 3000)
5. Level-Schwellen in dieser Domäne§
| Level | Mindestanforderung in D3 |
|---|---|
| L0 | Schlüssel- und Zugriffsmodell grob dokumentiert; eingeschränkte Protokolleinsicht. |
| L2 | Vollständige Dokumentation aller Zugriffspfade und Schlüsselrollen; lesender Protokollzugriff für den Kunden. |
| L3 | Kunde steuert Schlüsselhoheit (HYOK oder gleichwertig), kann Zugriffe entziehen; manipulationssichere Logs. |
| L4 | Anbieterzugriff auf Inhaltsdaten technisch und organisatorisch weitestmöglich begrenzt; Zugriffsnachweise extern nachweisbar. |
6. Anschluss an bestehende Standards§
| Standard | Was abgedeckt ist | Wo EDSO darüber hinausgeht |
|---|---|---|
| ISO/IEC 27001 | Zugriffskontrolle (Annex A.5.15 ff.) abgedeckt | Schlüsselhoheit gegenüber dem Anbieter nicht gefordert |
| SOC 2 Type II | Operative Kontrollen dokumentiert | Souveränität gegenüber dem Anbieter nicht Prüfgegenstand |
| BSI C5 | Kryptografie und Zugriffsmanagement detailliert | Strukturelle Trennung Anbieter/Kunde nur indirekt |
7. Typische Audit-Befunde§
- BYOK-Bezeichnung trotz fortlaufender Entschlüsselungsfähigkeit des Anbieters für operative Funktionen
- Break-Glass-Verfahren ohne nachvollziehbare Protokollierung
- Audit-Logs nur retrospektiv und über Anbieter-Portal — keine Manipulationssicherheit
- Privilegierte Anbieter-Konten ohne Mehraugenprinzip