Operative Transparenz & Datenkontrolle

Operative Transparenz und Datenkontrolle entscheidet im laufenden Betrieb, ob der Kunde tatsächlich Souverän seiner Daten ist oder nur formaler Eigentümer. Diese Domäne bewertet die nachweisbare Steuerbarkeit der zentralen operativen Hebel.

Wesentlich ist nicht die Versicherung des Anbieters, sondern die kryptografisch oder organisatorisch nachweisbare Trennung von Daten, Schlüsseln und privilegierten Zugriffen. Vertrauen ohne Nachweisbarkeit zählt in dieser Domäne nicht.

D2 ist die Domäne, in der sich Souveränitäts-Marketing am stärksten von realer Kontrolle unterscheidet. Sie verlangt belastbare technische und prozedurale Evidenz.

• Schlüsselverwaltungsmodell

  Klare Einordnung als Provider-Managed Keys, BYOK oder HYOK — inklusive Beschreibung, welche Operationen ohne Mitwirkung des Kunden durchführbar sind.

• Datenresidenz und Replikationsstandorte

  Vollständige Liste aller primären, sekundären und Backup-Standorte; vertraglich zugesicherte Beschränkungen.

• Privileged Access Management des Anbieters

  Wer im Anbieter darf unter welchen Bedingungen auf Kundendaten zugreifen? Mehraugenprinzip, Just-in-Time-Zugriff, Break-Glass-Verfahren.

• Log-Integrität und Manipulationsschutz

  Zugriffsprotokolle müssen für den Kunden einsehbar, vollständig und manipulationssicher sein (z. B. Append-only, Hash-Ketten, externe Notarisierung).

• Incident-Response-Transparenz

  Definierte Meldefristen, definierter Detailgrad, vertragliche Verpflichtung zur Offenlegung anbieterinterner Vorfälle, die Kundendaten betreffen.

• Zugriffsnachweise

  Nachweis, wer wann auf welche Daten oder Schlüssel zugegriffen hat — auch durch den Anbieter selbst und durch Subunternehmer.

1. Welches Schlüsselverwaltungsmodell ist vertraglich vereinbart, und welche Operationen sind ohne Kundenmitwirkung möglich?
2. Können Datenstandort und Replikationsziele vertraglich auf die EU beschränkt werden?
3. Welche Personenkreise im Anbieter haben unter welchen Bedingungen lesenden oder schreibenden Zugriff?
4. Ist das Zugriffsprotokoll für den Kunden vollständig, manipulationssicher und in nahezu Echtzeit einsehbar?
5. Welche Meldefristen gelten für sicherheitsrelevante Ereignisse und für anbieterinterne Zugriffsvorfälle?
6. Wie ist gewährleistet, dass der Anbieter ohne Schlüssel des Kunden keine Inhalte entschlüsseln kann?
7. Welche Verfahren existieren für Break-Glass-Zugriffe — und wie werden sie protokolliert?

• Technische Architekturdokumentation des Schlüsselmanagements (HYOK/BYOK)
• Auszüge aus PAM-Protokollen und Konfigurationsnachweise
• Append-only-Log-Architektur oder externe Log-Notarisierung
• Vertragliche Datenresidenzklauseln und Replikationsbeschränkungen
• Auditberichte unabhängiger Prüfer zu Zugriffsverfahren (z. B. ISAE 3000)

• BYOK-Bezeichnung trotz fortlaufender Entschlüsselungsfähigkeit des Anbieters für operative Funktionen
• Replikation in Backup-Region außerhalb der EU vertraglich nicht ausgeschlossen
• Break-Glass-Verfahren ohne nachvollziehbare Protokollierung
• Audit-Logs nur retrospektiv und über Anbieter-Portal — keine Manipulationssicherheit
• Privilegierte Anbieter-Konten ohne Mehraugenprinzip

• Übersicht aller vier Domänen
• Aggregationsprinzip
• Level-System L0–L3
• Verhältnis zu anderen Standards