Datentreuhänder
Kurz gesagtEin Treuhänder trägt nur, wenn er vom Anbieter wirtschaftlich und rechtlich unabhängig ist.
Auf einen Blick
- Grundidee
- Trennung von Betrieb und Zugriffskontrolle: Wer die Technik betreibt, hält nicht die Schlüssel
- Typische Ausgestaltung
- Schlüsselverwahrung, Freigabeverfahren für administrative Zugriffe, Protokollierung durch den Dritten
- Entscheidende Bedingung
- Wirtschaftliche und rechtliche Unabhängigkeit des Treuhänders vom Anbieter
- Häufige Schwachstelle
- Ein Treuhänder, der Konzerntochter, Vertriebspartner oder wirtschaftlich abhängig ist
- Wirkt gegen
- Administrative Zugriffe des Betreibers, Herausgabeanordnungen an den Betreiber
- Wirkt nicht gegen
- Ausfall des Treuhänders selbst — ein Notfallverfahren gehört zwingend dazu
Ein Datentreuhänder ist ein unabhängiger Dritter, der zwischen Kunde und Betreiber tritt. Er verwahrt Schlüssel, gibt administrative Zugriffe frei oder protokolliert sie — mit dem Ziel, dass der Betreiber die Daten nicht allein lesbar machen kann.
Das Modell ist die technisch-organisatorische Antwort auf ein rechtliches Problem: Der US CLOUD Act knüpft an Besitz, Gewahrsam und Kontrolle an. Wer die Kontrolle über die Lesbarkeit abgibt, verändert damit die Ausgangslage.
Wie es ausgestaltet wird
Am häufigsten als Schlüsselverwahrung: Der Treuhänder betreibt die Schlüsselverwaltung, der Anbieter erhält allenfalls kurzzeitige Freigaben. Daneben gibt es Modelle, in denen der Treuhänder administrative Zugriffe des Betreiberpersonals genehmigt und protokolliert.
In der Praxis werden beide Formen kombiniert, weil ein administrativer Zugriff auf ein laufendes System auch ohne Schlüssel viel sichtbar macht.
Die Bedingung, an der alles hängt
Unabhängigkeit. Ein Treuhänder, der Konzerntochter des Anbieters ist, überwiegend von ihm vergütet wird oder derselben Rechtsordnung unterliegt, verändert die Lage nicht — er verlängert sie nur um eine Station.
Drei Fragen klären das: Wer ist der Treuhänder gesellschaftsrechtlich? Wie wird er vergütet? Welchem Recht unterliegt er? Wer diese drei Antworten hat, kann das Modell bewerten; wer sie nicht bekommt, hat die Antwort auch.
Das Notfallverfahren
Der häufigste Fehler in diesen Konstruktionen ist nicht mangelnde Unabhängigkeit, sondern die fehlende Regelung für den Ausfall des Treuhänders.
Was passiert, wenn er nicht erreichbar, insolvent oder überlastet ist? Ohne dokumentiertes Verfahren, Vertretungsregelung und Fristen tauschen Sie ein Zugriffsrisiko gegen ein Verfügbarkeitsrisiko — und das zweite trifft Sie mit deutlich höherer Wahrscheinlichkeit als das erste.
Wann sich der Aufwand lohnt
Nicht flächendeckend. Sinnvoll ist die Klassifizierung: höchste Stufe für die Kategorien, bei denen ein einzelner Zugriff erheblichen Schaden anrichtet. Für alles andere reichen die Stufen, die unter Schlüsselhoheit beschrieben sind — und in vielen Fällen die Wahl eines Anbieters, bei dem sich die Frage gar nicht erst stellt.
Häufige Fragen
- Ist ein Treuhändermodell dasselbe wie Schlüsselhoheit?
- Es ist eine Ausgestaltung davon. Schlüsselhoheit heißt, dass der Anbieter die Daten nicht allein lesbar machen kann. Das erreicht man entweder im eigenen Haus oder über einen unabhängigen Dritten — Letzteres, wenn man den Betrieb der Schlüsselverwaltung nicht selbst leisten will.
- Woran erkenne ich ein tragfähiges Modell?
- An drei Punkten: Wer ist der Treuhänder gesellschaftsrechtlich, wie wird er vergütet, und welchem Recht unterliegt er? Wenn der Treuhänder zum selben Konzern gehört oder überwiegend vom Anbieter lebt, ist die Unabhängigkeit formal, nicht wirtschaftlich.
- Was passiert im Notfall?
- Genau das gehört vorher geregelt: Verfahren für den Ausfall des Treuhänders, Vertretungsregelung, Fristen und ein dokumentierter Weg, wie Sie im Zweifel selbst an die Schlüssel kommen. Ohne diese Regelung tauschen Sie ein Zugriffsrisiko gegen ein Verfügbarkeitsrisiko.
- Für wen lohnt sich das?
- Für Verarbeitungen, bei denen ein einzelner unbefugter Zugriff erheblichen Schaden anrichtet — Gesundheitsdaten, Mandantenunterlagen, Konstruktionsdaten. Für den Rest ist der Aufwand meist unverhältnismäßig.