5 Bei der Compliance im Hybrid-Cloud-Speicher scheitern gute Absichten oft. Ein Unternehmen beschließt, dass regulierte Daten On-Premises bleiben und weniger sensible Daten Cloud-Dienste nutzen dürfen – und stellt dann bei einem Audit fest, dass Backups in eine andere Region repliziert werden, Logs an einen ausländischen Monitoring-Dienst fließen, Verschlüsselungsschlüssel bei einem Anbieter liegen und niemand genau sagen kann, welche Buckets personenbezogene Daten enthalten. Keines dieser Probleme ist exotisch. Sie entstehen in Lücken zwischen Umgebungen, für die kein einzelnes Team zuständig ist. Dieser Artikel stellt sieben praktische Compliance-Prüfungen für Hybrid-Cloud-Speicher vor. Jede Prüfung erklärt, was zu verifizieren ist, warum Aufsichtsbehörden und Auditoren darauf achten und wie ein guter Zustand aussieht. Nutzen Sie sie, um eine bestehende hybride Umgebung zu überprüfen oder eine neue zu entwerfen. Die Architektur hinter diesen Prüfungen finden Sie unter Hybrid-Cloud-Speicher für regulierte Branchen. Prüfung 1: Jeder Datenbestand ist klassifiziert und einem zulässigen Speicherort zugeordnet Was zu prüfen ist: Es gibt ein Verzeichnis der wesentlichen Datenbestände, jeweils mit einer Klassifizierung (zum Beispiel öffentlich, intern, vertraulich, reguliert, souverän), den geltenden Regeln und den Umgebungen, in denen er gespeichert werden darf. Warum es wichtig ist: Aufsichts- und Datenschutzbehörden erwarten, dass Unternehmen wissen, welche Daten sie haben und wo. Die Klassifizierung ist zudem die Grundlage für alle weiteren Kontrollen. So sieht es gut aus: Ein Datenregister, das Buckets, Anwendungen und Verantwortliche mit Klassifizierungen verknüpft. Platzierungsregeln je Klassifizierung, gegebenenfalls nach Land. Tags oder Namenskonventionen für Buckets, die die Klassifizierung widerspiegeln. Ein Prüfprozess, wenn neue Datenbestände oder Anwendungen hinzukommen. Prüfung 2: Daten, Kopien, Metadaten und Logs bleiben, wo sie hingehören Was zu prüfen ist: Primärdaten, Replikate, Backups, Snapshots, Metadaten, Logs und Telemetrie jedes regulierten Datenbestands werden ausschließlich an zulässigen Orten gespeichert. Warum es wichtig ist: Viele Compliance-Verstöße betreffen Sekundärdaten. Ein in eine andere Region repliziertes Backup oder ins Ausland hochgeladene Support-Pakete können gegen Datenschutz-, Souveränitäts- oder Branchenregeln verstoßen, selbst wenn die Primärdaten korrekt platziert sind. So sieht es gut aus: Replikations- und Tiering-Regeln sind explizit konfiguriert und nicht auf Standardwerten belassen. Cloud-Regionen sind für regulierte Buckets per Richtlinie eingeschränkt. Monitoring- und Support-Tools sind auf Datenflüsse außerhalb zulässiger Orte überprüft. Regelmäßige Tests verfolgen, wo ein Stichproben-Datenbestand und seine Kopien tatsächlich liegen. Prüfung 3: Regulierte Aufzeichnungen und Backups sind unveränderlich Was zu prüfen ist: Daten, die nicht verändert oder gelöscht werden dürfen – etwa regulierte Archive, Kommunikationsaufzeichnungen, Beweismittel und Backups –, sind in jeder Umgebung, in der sie gespeichert werden, mit Object Lock im Compliance-Modus oder gleichwertigen Kontrollen geschützt. Warum es wichtig ist: Regeln wie SEC 17a-4 für Broker-Dealer und die Aufzeichnungspflichten nach MiFID II verlangen, dass Aufzeichnungen vor Veränderung geschützt sind. Ransomware-Angreifer zielen zuerst auf Backups. Eine unveränderliche Kopie On-Premises nützt wenig, wenn sich die Cloud-Kopie löschen lässt. So sieht es gut aus: Object Lock im Compliance-Modus für regulierte Aufzeichnungen, mit richtlinienkonformer Aufbewahrungsdauer. Unveränderliche Backups in mindestens einer Umgebung, die von den Zugangsdaten der Produktion isoliert ist. Prozesse für Legal Holds, die umgebungsübergreifend funktionieren. Nachweise, dass Administratoren Aufbewahrungseinstellungen nicht verkürzen können. Prüfung 4: Die Verschlüsselungsschlüssel liegen unter Ihrer Kontrolle Was zu prüfen ist: Regulierte Daten sind in jeder Umgebung im Ruhezustand und bei der Übertragung verschlüsselt, und die Schlüssel werden vom Unternehmen verwaltet und nicht allein von einem Anbieter. Warum es wichtig ist: Wer die Schlüssel kontrolliert, kontrolliert den Zugriff. Souveränitäts-Frameworks und viele Aufsichtsbehörden erwarten, dass Unternehmen die Kontrolle über die Schlüssel für sensible Daten behalten, insbesondere in Cloud-Umgebungen. So sieht es gut aus: Vom Unternehmen verwaltete Schlüssel oder Hardware-Sicherheitsmodule für regulierte Daten. Schlüsselverwaltung in zulässigen Rechtsräumen. Dokumentierte Verfahren für Schlüsselrotation, Wiederherstellung und Widerruf. Trennung zwischen Schlüsseladministratoren und Speicheradministratoren. Prüfung 5: Zugriff nach dem Least-Privilege-Prinzip und getrennt nach Umgebungen Was zu prüfen ist: Der Zugriff auf regulierte Daten und auf die Speicheradministration ist rollenbasiert, stark authentifiziert und wird regelmäßig überprüft. Zugangsdaten einer Umgebung können nicht dazu verwendet werden, Daten in einer anderen zu vernichten. Warum es wichtig ist: Kompromittierte Administratorkonten sind der häufigste Weg zu massivem Datenverlust. Aufsichtsbehörden erwarten Zugriffsüberprüfungen und Funktionstrennung. So sieht es gut aus: Multi-Faktor-Authentifizierung für jeden administrativen Zugriff. Getrennte Administratoridentitäten für On-Premises-Speicher, Cloud-Speicher und Backup-Systeme. Vierteljährliche Zugriffsüberprüfungen mit dokumentierten Ergebnissen. Kontrollierter, protokollierter Support-Zugang für Anbieter. Prüfung 6: Audit-Logs sind vollständig, geschützt und zentralisiert Was zu prüfen ist: Datenzugriffe, administrative Aktionen und Konfigurationsänderungen werden in jeder Umgebung protokolliert, vor Manipulation geschützt, für den erforderlichen Zeitraum aufbewahrt und an das zentrale Sicherheitsmonitoring übergeben. Warum es wichtig ist: Auditoren und Ermittler müssen rekonstruieren können, wer wo was getan hat. Uneinheitliche Protokollierung zwischen Umgebungen hinterlässt blinde Flecken. So sieht es gut aus: Zugriffs- und Admin-Logs auf Speicherebene sind On-Premises und in der Cloud aktiviert. Logs werden in unveränderlichen Speicher geschrieben und gemäß Richtlinie aufbewahrt. Zentrales Monitoring mit Alarmen bei ungewöhnlichen Lösch- oder Zugriffsmustern. Die Aufbewahrung von Logs entspricht den regulatorischen Anforderungen. Prüfung 7: Wiederherstellung und Exit sind getestet, nicht nur angenommen Was zu prüfen ist: Das Unternehmen kann regulierte Daten nach dem Verlust eines Standorts, einem Ausfall des Anbieters oder einem Ransomware-Angriff wiederherstellen und Daten bei Bedarf aus jeder Umgebung herausholen – und kann dies durch Tests belegen. Warum es wichtig ist: Regeln zur operationalen Resilienz, etwa DORA für Finanzunternehmen in der EU, verlangen getestete Backup- und Wiederherstellungsverfahren sowie Exit-Strategien für kritische IKT-Anbieter. Ungetestete Pläne versagen im Ernstfall. So sieht es gut aus: Dokumentierte Wiederherstellungsziele je Datenklasse. Regelmäßige Wiederherstellungstests aus jeder Umgebung, einschließlich unveränderlicher Kopien. Mindestens eine vollständige Wiederherstellungsübung pro Jahr für kritische Dienste. Dokumentierte und getestete Exit-Verfahren über offene Schnittstellen wie S3. So nutzen Sie die Checkliste Führen Sie die sieben Prüfungen als strukturierte Überprüfung durch: Bewerten Sie jede Prüfung als erfüllt, teilweise erfüllt oder nicht erfüllt – mit Nachweisen. Priorisieren Sie Lücken nach Risiko: Sekundärdaten außerhalb zulässiger Orte und veränderbare Backups stehen meist an erster Stelle. Benennen Sie Verantwortliche für jede Abhilfemaßnahme, da hybride Lücken oft zwischen Teams fallen. Wiederholen Sie die Überprüfung mindestens jährlich und nach größeren Änderungen, etwa einem neuen Cloud-Dienst oder einer neuen Region. Ein Praxisbeispiel Nehmen wir einen mittelgroßen europäischen Versicherer, der Schaden- und Vertragssysteme On-Premises betreibt und Analysen sowie Kundenportale in der Public Cloud. Eine Überprüfung anhand der sieben Prüfungen könnte Folgendes ergeben: Prüfung 1: Schadensdokumente und Gesprächsaufzeichnungen sind als reguliert klassifiziert, ein daraus erstellter neuer Analyse-Datenbestand hat jedoch keine Klassifizierung. Lösung: abgeleitete Datenbestände zusammen mit ihren Quellen klassifizieren. Prüfung 2: Nächtliche Backups der Vertragsdatenbank werden standardmäßig in eine Cloud-Region außerhalb der EU repliziert. Lösung: Replikation auf genehmigte EU-Regionen beschränken und dokumentieren. Prüfung 3: On-Premises-Archive nutzen Object Lock, Cloud-Backup-Kopien jedoch nicht. Lösung: Object Lock im Compliance-Modus für den Cloud-Backup-Bucket aktivieren. Prüfung 4: Cloud-Daten sind mit vom Anbieter verwalteten Schlüsseln verschlüsselt. Lösung: regulierte Buckets auf vom Unternehmen verwaltete Schlüssel umstellen. Prüfung 5: Das Konto des Backup-Administrators kann sowohl On-Premises- als auch Cloud-Kopien löschen. Lösung: Identitäten trennen und Änderungen an der Aufbewahrung genehmigungspflichtig machen. Prüfung 6: Zugriffslogs des Cloud-Speichers werden nicht an das zentrale Monitoring gesendet. Lösung: integrieren und gemäß Richtlinie aufbewahren. Prüfung 7: Wiederherstellungen wurden nur On-Premises getestet. Lösung: einen Wiederherstellungstest aus der Cloud-Kopie einplanen und ein Exit-Verfahren dokumentieren. Keine dieser Maßnahmen ist teuer. Zusammen machen sie aus einem hybriden Design, das auf dem Papier konform aussah, eines, das einem Audit standhält. Regionale Hinweise Die Prüfungen gelten überall, die Details unterscheiden sich jedoch. Organisationen in der EU konzentrieren sich stark auf DSGVO-Übermittlungen, DORA und NIS2. Öffentliche Stellen in Frankreich und Deutschland orientieren sich an SecNumCloud und C5. Organisationen im Vereinigten Königreich richten sich nach den Leitlinien des NCSC und den Branchenaufsichten. US-Organisationen ordnen die Prüfungen Branchen-Frameworks wie SEC, FINRA, HIPAA, CJIS oder FedRAMP zu. Organisationen in Japan und den VAE ergänzen häufig strenge inländische Speicherortvorgaben für Behörden- und Gesundheitsdaten. Führen Sie für diese Besonderheiten einen länderspezifischen Anhang zur Checkliste. Zusammenfassung Compliance im Hybrid-Cloud-Speicher läuft auf sieben Fragen hinaus: Wissen Sie, welche Daten Sie haben? Liegt jede Kopie dort, wo sie hingehört? Sind Aufzeichnungen und Backups unveränderlich? Kontrollieren Sie die Schlüssel? Ist der Zugriff eng gefasst und getrennt? Sind die Logs vollständig und zentral? Und haben Sie Wiederherstellung und Exit getestet? Beantworten Sie sie mit Nachweisen für jede Umgebung, schließen Sie die Lücken zwischen den Teams und überprüfen Sie regelmäßig. So wird aus einer hybriden Umgebung etwas, das Sie gegenüber Auditoren und Aufsichtsbehörden selbstbewusst vertreten können. Häufig gestellte Fragen Was bedeutet Compliance im Hybrid-Cloud-Speicher? Sicherzustellen, dass Daten, die in On-Premises- und Cloud-Umgebungen gespeichert sind, überall die regulatorischen, datenschutzrechtlichen und sicherheitstechnischen Anforderungen erfüllen. Was ist die häufigste Compliance-Lücke in hybriden Umgebungen? Sekundärdaten wie Backups, Replikate, Logs und Telemetrie, die außerhalb zulässiger Orte landen oder nicht denselben Schutz wie die Primärdaten haben. Brauchen auch Cloud-Kopien Unveränderlichkeit? Ja. Wenn regulierte Aufzeichnungen oder Backups in die Cloud kopiert werden, sollten diese Kopien genauso stark geschützt sein wie die On-Premises-Kopien. Wer sollte für die Compliance im hybriden Speicher verantwortlich sein? Ein benannter Verantwortlicher für das Gesamt-Framework, mit klaren Zuständigkeiten für jede Kontrolle in den Teams für Speicher, Sicherheit, Cloud und Compliance. Wie oft sollte die Compliance im hybriden Speicher überprüft werden? Mindestens jährlich und nach größeren Änderungen wie neuen Cloud-Diensten, Regionen oder Vorschriften. Weiterführende Lektüre Hybrid-Cloud-Speicher für regulierte Branchen Objektspeicher für Behörden Data-Compliance-Framework Audit-Trail für Speicher Hybrid-Cloud-Backup
