DSGVO-Compliance für Cloud-Speicher: Best Practices

DSGVO-konformer Cloud-Speicher erfordert fünf geschichtete Kontrollen: (1) Verschlüsselung im Ruhezustand mit AES-256 und bei der Übertragung mit TLS 1.3, idealerweise ergänzt durch clientseitige Verschlüsselung für sensible Daten; (2) einen AVV mit dem Anbieter, der Artikel 28 Abs. 3 erfüllt; (3) dokumentierten Datenspeicherort — in der Regel EU/EWR für EU-personenbezogene Daten — mit Unterauftragnehmer-Transparenz; (4) granulare Zugriffskontrollen mit MFA, rollenbasierter Berechtigungsvergabe und mindestens sechs Monate aufbewahrten Protokollen; (5) Angriffserkennungsfähigkeiten, die das 72-Stunden-Meldungsfenster nach Artikel 33 einhalten können. Fehlt eine dieser Schichten, wird die Speicherebene zum schwächsten Glied im Compliance-Stack.

Auswahl eines Artikel-28-konformen Anbieters

Der europäische Datenschutzmarkt gliedert Anbieter in klare Stufen. Hyperscaler (AWS, Azure, Google Cloud) bieten umfassende AVVs und EU-Regionen, haben aber CLOUD-Act-Exposition. Europäische Souveräne (OVHcloud, Scaleway, Infomaniak, Hetzner, IONOS) vermeiden US-Jurisdiktion und halten häufig C5-, SecNumCloud- oder ISO-27001-Zertifizierungen. Spezialisierte datenschutzorientierte Anbieter (Tresorit, Proton Drive, Internxt, Nextcloud-gehostet) ergänzen dies mit Zero-Knowledge-Architektur. Wählen Sie entsprechend der Datensensibilität: Medizinakten und Verteidigungsdaten erfordern Souveräne oder Zero-Knowledge; allgemeine Geschäftsdateien funktionieren bei Hyperscalern mit korrekter Konfiguration.

Serverseitige versus clientseitige Verschlüsselung

Serverseitige Verschlüsselung — AWS S3 SSE-KMS, Azure Storage Service Encryption, Google Cloud kundenverwaltete Schlüssel — schützt vor physischem Datenträgerdiebstahl, aber nicht vor Mitarbeitern des Anbieters mit Schlüsselzugang und nicht vor rechtlichem Zwang gegenüber dem Anbieter. Clientseitige Verschlüsselung mit Schlüsseln, die der Anbieter nie sieht (XChaCha20-Poly1305 bei Tresorit, AES-256-GCM mit PBKDF2-SHA-256-Schlüsselableitung bei HexaTransfer), bietet Zero-Knowledge-Schutz. Für hochsensible Daten nach Artikel 9 (Gesundheit, Biometrie, politische Meinungen) ist clientseitige Verschlüsselung der konforme Standard; serverseitige Verschlüsselung allein ist grenzwertig.

AWS S3 für die DSGVO konfigurieren

S3 ist nicht von Haus aus konform. Für EU-personenbezogene Daten setzen Sie die Bucket-Region auf eu-central-1 (Frankfurt), eu-west-1 (Irland), eu-west-3 (Paris) oder eu-south-1 (Mailand). Aktivieren Sie Standardverschlüsselung mit SSE-KMS unter Verwendung eines kundenverwalteten CMK mit Schlüsselrotation. Blockieren Sie öffentlichen Zugriff auf Account-Ebene. Setzen Sie Object Lock für unveränderlichen Compliance-Speicher, wo eine gesetzliche Aufbewahrungspflicht besteht. Aktivieren Sie S3-Zugriffsprotokolle und AWS CloudTrail für Audits. Verwenden Sie VPC-Endpunkte, damit der Datenverkehr das öffentliche Internet nicht passiert. Deaktivieren Sie S3 Transfer Acceleration, sofern Sie nicht nachweisen können, dass CloudFront-Edge-Caches im EWR verbleiben.

Azure und Google Cloud als Äquivalente

Azure: Wählen Sie West Europe (Amsterdam) oder North Europe (Dublin), aktivieren Sie Storage Service Encryption mit kundenverwalteten Schlüsseln über Key Vault, konfigurieren Sie Private Endpoints, setzen Sie Azure Policy, um Nicht-EU-Deployments zu verweigern, und aktivieren Sie Microsoft Defender for Storage. Google Cloud: Wählen Sie europe-west1 (Belgien), europe-west3 (Frankfurt) oder europe-west9 (Paris), aktivieren Sie kundenverwaltete Verschlüsselungsschlüssel über Cloud KMS, nutzen Sie VPC Service Controls zur Verhinderung von Datenabfluss und aktivieren Sie Cloud Audit Logs. Beide Hyperscaler veröffentlichen DSGVO-spezifische Konfigurationsleitfäden; befolgen Sie diese wortgetreu, ohne zu improvisieren.

Zugriffskontrollen nach Artikel 32 Abs. 1 lit. b

Rollenbasierter Zugriff ist die Grundlage. Jede Identität — menschlich oder dienstlich — sollte minimale Berechtigungen haben, die auf einen bestimmten Bucket, Präfix oder Ordner beschränkt sind. MFA ist für Konsolenzugriff obligatorisch und für API-Schlüssel über Session-Tokens empfohlen. In Ihren Identitätsanbieter (Okta, Azure AD, Google Workspace) integrierte Onboarding-/Offboarding-Prozesse verhindern veraltete Zugriffsrechte. Vierteljährliche Zugriffsüberprüfungen erkennen Berechtigungsausweitung. Für hochsensible Dateien begrenzt Break-Glass-Zugriff mit Dual-Genehmigung und automatischem Ablauf erhöhter Rechte nach 4–8 Stunden den Schaden bei kompromittierten Admin-Konten.

Aufbewahrungsrichtlinien, die dem Zweck entsprechen

Artikel 5 Abs. 1 lit. e (Speicherbegrenzung) zwingt Sie, Daten zu löschen, wenn der Verarbeitungszweck erlischt. Cloud-Speicher verleitet zur unbegrenzten Aufbewahrung — Speicher ist günstig. Bauen Sie Lifecycle-Richtlinien, die zweckgebundene Aufbewahrung durchsetzen: 30 Tage für Transfer-Dropzones, 13 Monate für Kundensupport-Anhänge, 7 Jahre für Rechnungen (Steuerrecht), 10 Jahre für Medizinakten in manchen Jurisdiktionen. S3-Lifecycle-Regeln, Azure Blob Lifecycle Management und GCS Object Lifecycle automatisieren dies. Kombinieren Sie dies mit Object Lock für WORM-Compliance, wo eine gesetzliche Aufbewahrungspflicht besteht.

Schlüsselverwaltung

Schlüssel sind der Gravitationspunkt. Wer den Schlüssel hält, hält die Daten. Nach der DSGVO bestimmt die Schlüsselverwahrung, ob der Speicheranbieter ein Auftragsverarbeiter ist (er kann entschlüsseln) oder lediglich ein Datenleitungskanal (er hält Chiffretext). Nutzen Sie HSM-gestützte Schlüsselspeicher (AWS KMS, Azure Key Vault Managed HSM, Google Cloud HSM) für serverseitig verwaltete Szenarien. Für Zero-Knowledge leiten Sie Schlüssel im Browser über die Web-Crypto-API (PBKDF2) oder Argon2id (libsodium crypto_pwhash) ab und übertragen diese niemals. Rotieren Sie Schlüssel jährlich oder wenn Mitarbeiter mit Zugang das Unternehmen verlassen. Dokumentieren Sie die Schlüsselverwahrung im VVT nach Artikel 30.

Backup-Verschlüsselung und Residency

Backups unterbrechen häufig sowohl die Residency- als auch die Verschlüsselungsgeschichte. Ein Bucket in eu-central-1 mit einer Cross-Region-Replikationsregel nach us-east-1 für „Ausfallsicherheit" hat jede Datei ohne AVV-Aktualisierung in die USA übertragen. Prüfen Sie CRR-Konfigurationen und setzen Sie Ziele innerhalb des EWR — eu-west-1 (Irland) und eu-central-1 (Frankfurt) ergänzen sich. Verschlüsseln Sie Backups mit einem separaten Schlüssel vom primären Speicher, damit die Kompromittierung eines Schlüssels nicht beide Kopien enthüllt. Testen Sie Wiederherstellungen vierteljährlich; ein nicht wiederherstellbares Backup ist schlechter als kein Backup für Notfallwiederherstellungszwecke.

Angriffserkennung für das 72-Stunden-Fenster

Die 72-Stunden-Frist des Artikels 33 beginnt, wenn Sie „Kenntnis erlangen." Erkennungstools verkürzen den Abstand zwischen Vorfall und Kenntnisnahme. CloudTrail + GuardDuty auf AWS, Microsoft Defender for Cloud auf Azure und Security Command Center Premium auf GCP kennzeichnen ungewöhnliche Zugriffsmuster — Massen-Downloads, Zugriffe aus neuen Regionen, Schlüsselnutzung außerhalb der Geschäftszeiten. Leiten Sie Warnungen an einen 24/7-SOC oder zumindest an einen rotierenden Bereitschaftsdienst weiter. Für kleinere Organisationen schließen Managed-Detection-and-Response-Dienste (Arctic Wolf, Red Canary) diese Lücke. Dokumentieren Sie das Verfahren: Wer benachrichtigt die Datenschutzbehörde, wer erstellt das Artikel-33-Formular, wer kommuniziert nach Artikel 34 mit den Betroffenen.

Anbieter-Bewertungscheckliste

Fordern Sie vor Unterzeichnung eines Cloud-Speichervertrags: (1) DSGVO-konformen AVV, der alle acht Pflichtgegenstände abdeckt; (2) ISO-27001-Zertifikat mit Geltungsbereichs-Erklärung; (3) SOC-2-Typ-2-Bericht (SOC-2-Typ-1 reicht nicht — er prüft Design, nicht Betrieb); (4) EU-Datenspeicherort-Zusage mit namentlich genannten Rechenzentren; (5) Unterauftragnehmer-Register mit Jurisdiktionen; (6) veröffentlichte Meldungsfrist bei Datenpannen (bevorzugt ≤24 Stunden); (7) Verschlüsselungsdokumentation einschließlich Schlüsselverwaltung; (8) Auditrechte nach Artikel 28 Abs. 3 lit. h. HexaTransfer veröffentlicht alle acht auf seiner Trust-Seite; seriöse Alternativen (Tresorit, Proton, Infomaniak) tun dasselbe.

Behandeln Sie die Trust-Seite des Anbieters wie einen Vertrag — fehlt sie, nimmt der Anbieter Datenschutz nicht ernst. Auf hexatransfer.com testen — kostenlos, ohne Konto, bis 10 GB.