Artikel 32 der DSGVO fordert „geeignete technische und organisatorische Maßnahmen“ (TOMs), um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Doch was bedeutet das in der Praxis in der Cloud? Wie übersetzt man rechtliche Anforderungen in technische Konfigurationen in Azure oder GCP? Dieser Beitrag ist die praktische Fortsetzung unseres Leitfadens zur Datenschutz-Folgenabschätzung für die Cloud.
Von der Anforderung zur Technik
Dieser Beitrag zeigt, wie sich die abstrakten Anforderungen der DSGVO mit den nativen Tools der großen Cloud-Plattformen praktisch umsetzen lassen. Der Cloud-Anbieter liefert lediglich die Werkzeuge; die Behörde als Verantwortliche ist für deren korrekte Nutzung zuständig – dieselbe Shared-Responsibility-Logik, die auch für BSI C5.
DSGVO-Anforderungen auf Cloud-Dienste abbilden
1. Pseudonymisierung und Verschlüsselung (Art. 32 Abs. 1 lit. a)
Ziel: Daten für Unbefugte unlesbar machen.
- Azure – Encryption at Rest: Transparent Data Encryption (TDE) für Datenbanken, Storage Service Encryption für Storage Accounts.
- Azure – Encryption in Transit: TLS 1.2+ für alle Verbindungen erzwingen.
- Azure – Key-Management: Azure Key Vault für die sichere Speicherung und Verwaltung von Schlüsseln (Bring Your Own Key – BYOK möglich; Managed HSM für HYOK).
- GCP – Encryption at Rest: Standardmäßig für alle Dienste aktiviert.
- GCP – Encryption in Transit: Standard für alle Verbindungen.
- GCP – Key-Management: Cloud Key Management Service (Cloud KMS), ebenfalls mit BYOK- und External-Key-Manager-Optionen.
Zur Wahl zwischen BYOK und HYOK siehe Cloud-Key-Management: BYOK vs. HYOK.
2. Vertraulichkeit und Integrität (Art. 32 Abs. 1 lit. b)
Ziel: Sicherstellen, dass nur autorisierte Personen auf Daten zugreifen können und diese nicht unbemerkt verändert werden.
- Azure – Zugriffssteuerung: Entra ID mit Conditional Access und MFA, Privileged Identity Management (PIM) für Administratorrechte.
- Azure – Netzwerksicherheit: Network Security Groups (NSGs) und Azure Firewall zur Segmentierung.
- GCP – Zugriffssteuerung: Cloud IAM mit Conditions, Identity-Aware Proxy (IAP) für Zero-Trust-Zugriff.
- GCP – Netzwerksicherheit: VPC Firewall Rules und Cloud Armor.
3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b)
Ziel: Sicherstellen, dass Systeme auch bei Störungen oder Angriffen funktionieren.
- Azure – Hochverfügbarkeit: Einsatz von Availability Zones und Availability Sets.
- Azure – Skalierbarkeit: Virtual Machine Scale Sets, App Service Plans.
- GCP – Hochverfügbarkeit: Verteilung von Instanzen über mehrere Zonen.
- GCP – Skalierbarkeit: Managed Instance Groups (MIGs).
4. Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c)
Ziel: Daten und Systeme nach einem Vorfall schnell wiederherstellen können.
- Azure: Azure Backup zur Sicherung von VMs, Datenbanken und File Shares. Azure Site Recovery für Disaster Recovery.
- GCP: Backup and DR Service, Snapshots für Persistent Disks.
5. Regelmäßige Überprüfung und Bewertung (Art. 32 Abs. 1 lit. d)
Ziel: Die Wirksamkeit der TOMs kontinuierlich überprüfen.
- Azure: Microsoft Defender for Cloud zur Überwachung der Sicherheitskonfiguration und Erkennung von Bedrohungen. Azure Policy zur Durchsetzung von Compliance-Regeln.
- GCP: Security Command Center für zentrales Schwachstellen- und Compliance-Management.
Kurz-Checkliste: Wichtige TOMs in der Cloud
| TOM-Kategorie | Maßnahme | Umgesetzt? |
| Verschlüsselung | Data-at-Rest & Data-in-Transit vollständig aktiv | ☐ |
| Zugriff | MFA für alle administrativen und privilegierten Konten | ☐ |
| Netzwerk | Strikte Segmentierung und Firewall-Regeln | ☐ |
| Backup | Regelmäßige, getestete Backups aller kritischen Systeme | ☐ |
| Monitoring | Kontinuierliche Überwachung der Sicherheitskonfiguration | ☐ |
| Patching | Zeitnahes Einspielen von Sicherheitsupdates | ☐ |
TOMs als Teil des Sicherheitskonzepts
Die definierten TOMs sind ein zentraler Bestandteil des Sicherheitskonzepts nach BSI C5 oder IT-Grundschutz. Sie belegen, wie die Ziele der Informationssicherheit technisch umgesetzt werden. Eine gute Dokumentation der TOMs ist daher nicht nur für die DSGVO, sondern auch für Audits nach BSI C5, ISO 27001 oder NIS2 unerlässlich.
Cloud-Beratung für Behörden hilft dabei, die richtigen TOMs für Ihre spezifischen Anforderungen auszuwählen und umzusetzen. Es geht nicht darum, alles technisch Mögliche zu tun, sondern das, was dem Risiko angemessen ist.
Insight42: Wir machen Ihre Cloud DSGVO-konform
Wir übersetzen die DSGVO in die Sprache der Cloud. Wir konfigurieren Azure, AWS und GCP so, dass sie die Anforderungen an technische und organisatorische Maßnahmen erfüllen – sicher, dokumentiert und auditierbar. Unser Managed-Cloud-Betrieb umfasst die kontinuierliche Überwachung und Optimierung Ihrer TOMs, damit Ihr Datenschutzniveau auch bei sich wandelnden Bedrohungen und Technologien hoch bleibt.
Setzen Sie Datenschutz technisch um. Siehe NIS2- & Cloud-Security-Beratung (Deutsch) oder kontaktieren Sie uns.