Datenresidenz sagt, wo Ihre Daten liegen. Datensouver\u00e4nit\u00e4t sagt, wer zu\nihrer Herausgabe gezwungen werden kann. Die Debatte um digitale\nSouver\u00e4nit\u00e4t bleibt meist beim Standort des Rechenzentrums stehen, und\nviele Anbieterfrageb\u00f6gen pr\u00fcfen das Erste und setzen das Zweite voraus.\nGenau in dieser L\u00fccke scheitert eine scheinbar konforme Bereitstellung, ohne\ndass es jemand bemerkt.
\nEine scheinbar konforme Bereitstellung schl\u00e4gt unbemerkt fehl.<\/p>\n
Der Mechanismus, um den es geht, ist der US-amerikanische CLOUD Act. Ein Anbieter, der US-Recht\nunterliegt, kann von US-Beh\u00f6rden zur Herausgabe von Daten gezwungen werden, die sich in seinem\nBesitz, seiner Verwahrung oder seiner Kontrolle befinden, auch wenn diese Daten au\u00dferhalb der\nVereinigten Staaten gespeichert sind. Die Pflicht kn\u00fcpft an den Anbieter an, nicht an den Serverstandort.\nDie ausf\u00fchrliche Argumentation zur Datensouver\u00e4nit\u00e4t im \u00f6ffentlichen Sektor haben wir an anderer Stelle\ndargelegt, und sie gilt f\u00fcr eine Bank, einen Versicherer, ein Krankenhaus oder eine Kanzlei genauso.<\/p>\n
Den Unterschied zu erkennen ist noch am einfachsten. Festzustellen, ob ein konkreter Anbieter auf Ihrer\nShortlist diese Pr\u00fcfung tats\u00e4chlich besteht, ist schwieriger, denn der Anbieter, seine Muttergesellschaft,\nsein Cloud-Anbieter, sein Hosting-Partner und sein Support-Dienstleister k\u00f6nnen jeweils einer anderen\nRechtsordnung unterliegen. Mit den folgenden f\u00fcnf Fragen l\u00e4sst sich das pr\u00fcfen. Nehmen Sie sie schriftlich\nin die Ausschreibung auf, und behandeln Sie eine vage oder unvollst\u00e4ndige Antwort als Befund, nicht als\nFormsache.<\/p>\n
Ein Hauptsitz ist keine Antwort auf die Frage nach der Rechtsordnung. Fragen Sie nach der\nvertragschlie\u00dfenden Gesellschaft, ihrer obersten Muttergesellschaft und jeder verbundenen Gesellschaft,\ndie Kundendaten h\u00e4lt, verarbeitet oder auf sie zugreifen kann, samt dem Land, in dem sie jeweils errichtet\nist. Ein Anbieter mit Sitz au\u00dferhalb der USA kann dennoch einem Herausgabeverlangen US-\namerikanischer Beh\u00f6rden unterliegen, wenn eine US-Muttergesellschaft oder eine US-Tochter Besitz oder\nKontrolle \u00fcber die Daten hat. Fordern Sie von jedem Anbieter auf Ihrer Shortlist, seine rechtliche Stellung\nauf Ebene der einzelnen Gesellschaften darzulegen, nicht nur auf Markenebene. Bei Inuvika ist die\nvertragschlie\u00dfende Gesellschaft in Kanada oder im Vereinigten K\u00f6nigreich ans\u00e4ssig und unterliegt nicht\nder US-Gerichtsbarkeit. Diese Genauigkeit auf Gesellschaftsebene sollten Sie erwarten.<\/p>\n
So sieht eine schlechte Antwort aus<\/strong>: eine Marketingadresse, ein L\u00e4ndername ohne Gesellschaft dahinter, oder Schweigen zur Muttergesellschaft.<\/em><\/p>\n Diese Frage deckt eine L\u00fccke auf, die die erste offen l\u00e4sst. Der Softwareanbieter ist nur ein Kettenglied.\nDer Cloud-Anbieter, der Hosting-Partner, der Managed-Service-Dienstleister und jeder Support-\nSubunternehmer unterliegen jeweils ihrer eigenen Rechtsordnung, und jeder von ihnen kann Besitz,\nVerwahrung oder Kontrolle \u00fcber Daten haben, die herausgegeben werden k\u00f6nnten. Eine Bereitstellung bei einem US-Hyperscaler oder ein Support \u00fcber einen US-Dienstleister kann genau das Risiko zur\u00fcckbringen, das durch die rechtliche Stellung des Anbieters zun\u00e4chst ausgeschlossen schien. Hat diese Partei Besitz, Verwahrung oder Kontrolle \u00fcber relevante Daten, besteht das Risiko. Ein Anbieter kann vollst\u00e4ndig au\u00dferhalb der US-Gerichtsbarkeit stehen und Ihren Dienst dennoch \u00fcber Parteien erbringen, die ihr sehr wohl unterliegen.<\/p>\n Verschaffen Sie sich einen \u00dcberblick \u00fcber die gesamte Kette und die jeweils geltende Rechtsordnung. Da Inuvika OVD Enterprise hypervisor- und cloudagnostisch ist, k\u00f6nnen Sie diese Kette in einer Infrastruktur und mit Partnern Ihrer Wahl halten, statt den rechtlichen Fu\u00dfabdruck einer einzigen globalen Cloud zu erben.<\/p>\n So sieht eine schlechte Antwort aus<\/strong>: eine Antwort, die nur die eigene Gesellschaft des Anbieters abdeckt, oder eine Cloud-Region, die so pr\u00e4sentiert wird, als w\u00e4re die Region die Rechtsordnung.<\/em><\/p>\n \"Kundendaten\" sind nicht nur Dokumente. Fragen Sie bei jeder Partei in der Kette nach, worauf sie\nzugreifen kann: Inhalte, Protokolle, Sicherungen, Telemetrie und Support-Dateien. Und fragen Sie, wer die Verschl\u00fcsselungsschl\u00fcssel h\u00e4lt. Die Schl\u00fcsselverwahrung ist eine Frage der Rechtsordnung, nicht nur der Sicherheit. Denn wer die Schl\u00fcssel h\u00e4lt, kann unter Umst\u00e4nden lesbare Daten herausgeben. Bei On-Premises-Bereitstellungen erhebt OVD Enterprise keine Kundendaten (abgesehen von freiwillig\n\u00fcbermittelten Angaben zum Ablaufdatum des Abonnements und zu aggregierten Nutzungsdaten). Damit reduziert sich erheblich, was wir \u00fcberhaupt jemals herausgeben k\u00f6nnten. OVD Enterprise l\u00e4sst sich zudem in einer vollst\u00e4ndig abgeschotteten Umgebung (\"Air Gap\") betreiben. Wenn ein Managed Service gew\u00fcnscht ist, erbringen wir ihn \u00fcber unabh\u00e4ngige lokale Hosting-Partner in Ihrem Land, nicht \u00fcber einen einzigen globalen Betreiber.<\/p>\n So sieht eine schlechte Antwort aus<\/strong>: \u201cDie Daten sind verschl\u00fcsselt\u201c, ohne Angabe, wer die Schl\u00fcssel h\u00e4lt, oder ein Umfang, der sich auf Dokumente beschr\u00e4nkt und Protokolle, Sicherungen und Telemetrie ausklammert.<\/em><\/p>\n Auch eine On-Premises-Installation ist nicht automatisch abgeschottet. Fragen Sie, welche Daten die Umgebung f\u00fcr Updates, Diagnose und Support verlassen, und ob Remote-Support-Sitzungen tempor\u00e4ren Zugriff auf Kundeninformationen schaffen. Das sind die Kan\u00e4le, \u00fcber die ein Risiko zur\u00fcckkehren kann, das eine Residenzpr\u00fcfung l\u00e4ngst als erledigt behandelt hat. Lassen Sie sich best\u00e4tigen, was \u00fcbertragen wird, auch ob es sich um Betriebsmetadaten oder um Kundeninhalte handelt, wer die Daten empf\u00e4ngt, und welcher Rechtsordnung der Empf\u00e4nger unterliegt.<\/p>\n So sieht eine schlechte Antwort aus<\/strong>: \u201cNichts verl\u00e4sst die Umgebung\u201c, behauptet ohne eine Liste dessen, was die Lizenz-, Update- und Diagnosekan\u00e4le tats\u00e4chlich \u00fcbertragen.<\/em><\/p>\n Bei der Zust\u00e4ndigkeit geht es letztendlich darum, was geschieht, wenn tats\u00e4chlich eine Anfrage eingeht. Fragen Sie jeden Anbieter nach seinem dokumentierten Verfahren. Wendet er Einw\u00e4nde gegen zu weit gefasste Anfragen an oder schr\u00e4nkt er diese ein? Informiert er den Kunden, sofern dies rechtlich zul\u00e4ssig ist? Gibt er Auskunft \u00fcber die Anzahl der eingehenden Anfragen? Ein Anbieter ohne dokumentiertes Verfahren l\u00e4uft Gefahr, im Falle einer Anfrage mit Ihren Daten improvisieren zu m\u00fcssen. Hier ist ein Beispiel f\u00fcr eine Suchanfrage bei Google.<\/a><\/p>\n So sieht eine schlechte Antwort aus<\/strong>: die Versicherung, es sei noch nie ein Herausgabeverlangen eingegangen, angeboten anstelle eines Prozesses f\u00fcr alle k\u00fcnftigen F\u00e4lle.<\/em><\/p>\n Bei den Fragen zwei bis f\u00fcnf brechen viele Souver\u00e4nit\u00e4tsversprechen in sich zusammen, und genau sie lassen sich nicht mit einer einzigen Zeile \u00fcber den Hauptsitz erledigen.<\/strong><\/p><\/blockquote>\n F\u00fcr Organisationen, deren Souver\u00e4nit\u00e4tspflichten es verbieten, einem ausl\u00e4ndischen Herausgabezwang\nausgesetzt zu sein, ist die Rechtsordnung ein Ausschlusskriterium: Eine L\u00f6sung, die dieses Kriterium nicht erf\u00fcllt, sollte bereits vor dem Vergleich von Funktionen und Preis ausscheiden. F\u00fcr alle anderen regulierten Organisationen geh\u00f6rt sie als wesentlicher rechtlicher Risikofaktor in die Matrix, abgewogen gegen die Sensibilit\u00e4t Ihrer Daten, die Anforderungen Ihrer Aufsicht, Ihr Bereitstellungsmodell und das, was Ihre\nVertr\u00e4ge bereits abdecken, statt in die Fu\u00dfnoten zu wandern. In jedem Fall sollte dieser Punkt ausdr\u00fccklich bewertet werden, anhand von Fragen, die Sie vorher aufgeschrieben haben.<\/p>\n Wir haben OVD Enterprise f\u00fcr Unternehmen entwickelt, die diese Fragen stellen. Sehen Sie, wie OVD Enterprise f\u00fcr eine souver\u00e4ne und sichere Bereitstellung entwickelt wurde<\/a>, oder starten Sie einen kostenlosen Test<\/a>.<\/p>\n Kann ein lokaler Hosting-Partner das Risiko eines ausl\u00e4ndischen Zugriffs zur\u00fcckbringen? Was sollte der Prozess eines Anbieters f\u00fcr beh\u00f6rdliche Herausgabeverlangen konkret enthalten?<\/strong> Erledigt eine On-Premises-Bereitstellung die Frage von allein?<\/strong> Residency is where your data sits. Sovereignty is who can be compelled to hand it over. Many vendor questionnaires test the first and assume the second, and the gap between […]<\/p>\n","protected":false},"author":532,"featured_media":37718,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"brizy-blank-template.php","format":"standard","meta":{"footnotes":"","_members_access_role":[],"_members_access_error":""},"categories":[141,380,358,367],"tags":[],"class_list":["post-37714","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-vmware-alternative","category-desktop-virtualization","category-linux-virtualization-software","category-virtual-desktop-solutions"],"blocksy_meta":[],"yoast_head":"\n2 Wer sonst in der Kette kann zur Herausgabe verpflichtet werden?<\/h5>\n
3. Worauf kann jede Partei zugreifen, und wer h\u00e4lt die Schl\u00fcssel?<\/h5>\n
4. Welche Daten schickt der Remote-Support nach au\u00dfen?<\/h5>\n
5. Wie geht der Anbieter mit einem beh\u00f6rdlichen\nHerausgabeverlangen um?<\/h5>\n
Wo die Rechtsordnung in Ihre Bewertungsmatrix geh\u00f6rt<\/h3>\n
H\u00e4ufige Fragen<\/h3>\n
\n<\/strong>Ja, und das ist einer der h\u00e4ufigsten Wege, auf denen eine Souver\u00e4nit\u00e4tspr\u00fcfung schiefgeht. Unterliegen der\nHosting-Partner, seine Muttergesellschaft oder der zugrunde liegende Cloud-Anbieter einer ausl\u00e4ndischen\nRechtsordnung und haben sie Besitz, Verwahrung oder Kontrolle \u00fcber relevante Daten, kann das Risiko\nzur\u00fcckkehren, unabh\u00e4ngig davon, wo der Anbieter errichtet ist und wo die Daten physisch liegen. Die jeweils\nma\u00dfgebliche Rechtsordnung muss f\u00fcr jede Partei in der Kette gepr\u00fcft werden, nicht nur f\u00fcr den Namen auf\ndem Vertrag.<\/p>\n
\nMindestens: einen dokumentierten Prozess zur Pr\u00fcfung der rechtlichen G\u00fcltigkeit eines Herausgabeverlangens,\ndie Zusage, zu weit gefasste Ersuchen anzufechten oder einzugrenzen, eine Benachrichtigung des Kunden\n\u00fcberall dort, wo das Recht es erlaubt, und eine Form der Transparenzberichterstattung \u00fcber die Zahl der\neingehenden Ersuchen. Lassen Sie sich das schriftlich geben. Ein Anbieter ohne bestehenden Prozess wird\nunter dem Druck einer Ausschreibung kaum einen glaubw\u00fcrdigen liefern.<\/p>\n
\nNicht automatisch. On-Premises beseitigt eine wesentliche Risikokategorie, deckt aber f\u00fcr sich genommen\nweder Lizenzpr\u00fcfungen noch Update- und Diagnosekan\u00e4le noch Remote-Support-Sitzungen ab, von denen\njeder Informationen aus der Umgebung heraustragen kann. Lassen Sie sich von jedem Anbieter genau\ndokumentieren, was diese Kan\u00e4le \u00fcbertragen, an wen, und welcher Rechtsordnung der Empf\u00e4nger unterliegt.\nDiese Kan\u00e4le bestehen auch bei einer On-Premises-Bereitstellung fort, und deshalb m\u00fcssen sie separat\nbewertet werden.<\/p>","protected":false},"excerpt":{"rendered":"