Cloud-Sicherheits-Compliance-Standards – PCI DSS und DSGVO

Cloud-Sicherheitsstandards wie PCI DSS und DSGVO legen die Sicherheits- und Datenschutzpflichten fest, die gelten, sobald Sie regulierte Daten auf AWS, Azure oder GCP speichern, verarbeiten oder übertragen. Sie sind wichtig, da die Zertifizierungen eines Cloud-Anbieters nur einen Teil der geteilten Verantwortung abdecken. Die restliche Verantwortung liegt weiterhin bei Ihnen, und Verstöße können zu empfindlichen Strafen führen. Wir empfehlen daher: Klären Sie genau, wer – Sie oder der Cloud-Service-Provider (CSP) – die jeweilige Anforderung tatsächlich verantwortet, bevor Sie davon ausgehen, dass die Cloud-Konformität automatisch alle Anforderungen erfüllt.

Veröffentlicht: November 2020. Aktualisiert: August 2026. Geprüft vom Compliance Advisory Team von Encryption Consulting.

Dieser Beitrag behandelt die allgemeine Cloud-Compliance im Hinblick auf PCI DSS und DSGVO. Sollten Sie sich speziell dafür interessieren, wo PKI-Schlüssel, Audit-Logs und administrative Zugriffsrechte aus Gründen der Datensouveränität physisch gespeichert werden, bietet unser Leitfaden zur Datensouveränität und regionalen Compliance detailliertere Informationen zur Zuordnung gemäß DSGVO, NIS2, DORA und FedRAMP.

Was ist das Cloud-Modell der geteilten Verantwortung?

Das Modell der geteilten Verantwortung regelt die Aufteilung der Sicherheits- und Compliance-Pflichten zwischen Ihnen und Ihrem Cloud-Service-Provider (CSP) . Wo genau die Zuständigkeiten liegen, hängt vom gewählten Servicemodell ab. Ein CSP ist stets für die physische Sicherheit seiner Rechenzentren und die Absicherung der Infrastruktur des von Ihnen genutzten Dienstes verantwortlich. Sie hingegen sind weiterhin für die Konfiguration und Nutzung des Dienstes, Ihre Daten, Ihre Zugriffskontrollen und die Einhaltung Ihrer eigenen Compliance-Pflichten verantwortlich. Der Wechsel von Infrastructure-as-a-Service (IaaS) über Platform-as-a-Service (PaaS) zu Software-as-a-Service (SaaS) verlagert zwar einen größeren Teil der technischen Verantwortung auf den CSP, die Compliance-Verantwortlichkeit selbst bleibt jedoch bestehen. Sie müssen weiterhin überprüfen, ob der CSP die von Ihnen benötigten Standards erfüllt, und dies dokumentieren.

Wie ist PCI DSS auf Cloud-Umgebungen anwendbar?

Der PCI DSS (Payment Card Industry Data Security Standard) gilt für Ihre Cloud-Umgebung, sobald Karteninhaberdaten dort gespeichert, verarbeitet oder übertragen werden. Er erfordert die Validierung sowohl der Infrastruktur des Cloud-Service-Providers (CSP) als auch Ihrer eigenen Nutzung. Der PCI DSS ist ein Satz von Sicherheitsanforderungen (aktuell Version 4.0.1), der 2004 von den Zahlungskartenorganisationen entwickelt und vom PCI Security Standards Council gepflegt wird. Er gilt für jedes Unternehmen, das Zahlungskartendaten verarbeitet, unabhängig von seiner Größe.

Die Zuständigkeit für die einzelnen Anforderungen ist weiterhin nach Servicemodell aufgeteilt. Die nachstehende Tabelle zeigt, wie diese Aufteilung typischerweise aussieht. Die genaue Aufteilung wird jedoch immer in Ihrem Vertrag und der Konformitätsbescheinigung mit dem CSP festgelegt und nicht allein aus dem Servicemodell abgeleitet.

PCI DSS-Anforderung				Verantwortungszuweisung für das Management der Kontrollen
				IaaS	PaaS	SaaS
Installieren und warten Sie Netzwerksicherheitskontrollen zum Schutz von Karteninhaberdaten				Kunde und CSP	Kunde und CSP	CSP
Sichere Konfigurationen auf alle Systemkomponenten anwenden, keine herstellerseitigen Standardeinstellungen.				Kunde und CSP	Kunde und CSP	CSP
Gespeicherte Kontodaten schützen				Kunde und CSP	Kunde und CSP	CSP
Schützen Sie Karteninhaberdaten während der Übertragung über offene, öffentliche Netzwerke mit starker Verschlüsselung				Kunden	Kunde und CSP	CSP
Schützen Sie alle Systeme und Netzwerke vor Schadsoftware				Kunden	Kunde und CSP	CSP
Entwickeln und warten Sie sichere Systeme und Software				Kunde und CSP	Kunde und CSP	Kunde und CSP
Beschränken Sie den Zugriff auf Systemkomponenten und Karteninhaberdaten auf das geschäftlich notwendige Maß.				Kunde und CSP	Kunde und CSP	Kunde und CSP
Identifizieren Sie Benutzer und authentifizieren Sie den Zugriff auf Systemkomponenten				Kunde und CSP	Kunde und CSP	Kunde und CSP
Beschränken Sie den physischen Zugriff auf Karteninhaberdaten				CSP	CSP	CSP
Protokollieren und überwachen Sie sämtliche Zugriffe auf Systemkomponenten und Karteninhaberdaten				Kunde und CSP	Kunde und CSP	CSP
Testen Sie die Sicherheit von Systemen und Netzwerken regelmäßig				Kunde und CSP	Kunde und CSP	CSP
Unterstützen Sie die Informationssicherheit mit organisatorischen Richtlinien und Programmen				Kunde und CSP	Kunde und CSP	Kunde und CSP

PCI DSS v4.0.1 hat zwei Anforderungen eingeführt, die insbesondere für Cloud-Bereitstellungen relevant sind. Die Verschlüsselung auf Festplattenebene gilt allein nicht mehr als „Verschlüsselung ruhender Daten“, außer auf Wechseldatenträgern. Daher benötigt die vollständige Festplatten- oder Volumenverschlüsselung für in der Cloud gespeicherte Karteninhaberdaten eine ergänzende Sicherheitsmaßnahme wie die Verschlüsselung auf Datei- oder Spaltenebene. Zudem müssen Unternehmen die tatsächlich verwendeten kryptografischen Suites und Protokolle mindestens jährlich formell überprüfen und dabei aktiv auf Algorithmen oder Protokolle achten, die dem Ende zuzuneigen sind. Diese Überprüfung wird in einer Cloud-Umgebung, in der die TLS-Konfiguration teilweise vom Cloud-Service-Provider (CSP) verwaltet wird, leicht vernachlässigt.

Wie ist die DSGVO auf Cloud-Umgebungen anzuwenden?

Die DSGVO (Datenschutz-Grundverordnung) gilt für alle Organisationen weltweit, die personenbezogene Daten von Personen mit Wohnsitz in der EU erheben oder verarbeiten. Sie verpflichtet Sie, nicht nur Ihre eigene Datenverarbeitung, sondern auch die Art und Weise zu berücksichtigen, wie Ihr Cloud-Service-Provider (CSP) diese Daten in Ihrem Auftrag verarbeitet. Unternehmen außerhalb der EU, die Daten von EU-Bürgern verarbeiten, müssen einen EU-Vertreter benennen und bleiben unabhängig von ihrem Sitz für Bußgelder und Sanktionen haftbar.

Die Kernanforderungen der DSGVO, von denen einige direkte technische Auswirkungen in einer Cloud-Umgebung haben, sind:

1. Rechtmäßige, faire und transparente Verarbeitung.
2. Zweck, Daten und Speicherbegrenzung. Es sollten nur die notwendigen Daten erhoben und personenbezogene Daten nach Abschluss der Verarbeitung gelöscht werden.
3. Rechte der betroffenen Person. Eine Person kann fragen, welche Daten Sie über sie speichern und wie diese verwendet werden.
4. Einwilligung. Für die Verarbeitung von Daten, die über legitime Zwecke hinausgeht, muss die Einwilligung der betroffenen Person eingeholt werden, und diese Einwilligung kann jederzeit widerrufen werden.
5. Benachrichtigung über Datenschutzverletzungen. Die Aufsichtsbehörden müssen innerhalb von 72 Stunden informiert werden, sobald Ihre Organisation von einer Datenschutzverletzung Kenntnis erlangt. Dies hängt jedoch vollständig von der Protokollierung und Überwachung ab, die die Datenschutzverletzung auch tatsächlich rechtzeitig erkennt.
6. Datenschutz durch Design. Datenschutz sollte von Anfang an in neue Systeme und Prozesse integriert werden, nicht erst im Nachhinein.
7. Datenschutz-Folgenabschätzungen. Führen Sie eine solche Prüfung durch, wenn Sie ein neues Projekt, eine Änderung oder ein Produkt starten, das die Verarbeitung umfangreicher personenbezogener Daten beinhaltet.
8. Datenübertragungen. Sie bleiben auch dann für die Einhaltung der DSGVO verantwortlich, wenn ein Dritter (einschließlich Ihres Cloud-Service-Providers) die Daten in Ihrem Auftrag verarbeitet.
9. Datenschutzbeauftragter. Erforderlich, wenn Ihre Organisation in erheblichem Umfang personenbezogene Daten verarbeitet.
10. Sensibilisierung und Schulung. Die Mitarbeiter müssen die für ihre Tätigkeit relevanten Anforderungen der DSGVO verstehen.

Um diese Anforderungen in einer Cloud-Umgebung tatsächlich zu erfüllen, sollten Sie folgende zusätzliche Schritte unternehmen: Machen Sie sich genau klar, wo Ihr Cloud-Service-Provider (CSP) die Daten speichert und verarbeitet; bestätigen Sie, welche CSP-Dienste und -Konfigurationen Ihren Sicherheitsstandards entsprechen, und konfigurieren Sie diese entsprechend, da die DSGVO-Konformität nicht automatisch durch die Zertifizierung des CSP gewährleistet ist; schließen Sie mit jedem CSP und jeder Cloud-Anwendung, die Sie nutzen, eine Datenverarbeitungsvereinbarung ab; erfassen und verarbeiten Sie nur die Daten, die Sie benötigen; überprüfen Sie, ob die Datenverarbeitungsvereinbarung tatsächlich eingehalten und nicht nur unterzeichnet wurde; und stellen Sie sicher, dass Sie die Daten einer Person auf Anfrage aus jeder Datenquelle innerhalb des CSP löschen können, nicht nur aus Ihrer primären Datenbank.

Wie wirkt sich die Kontrolle von Verschlüsselungsschlüsseln auf die Einhaltung von PCI DSS und DSGVO aus?

Der Ort, an dem sich Ihr Verschlüsselungsschlüssel befindet, und nicht nur die Frage, ob Daten verschlüsselt sind, bestimmt, wer technisch Zugriff auf regulierte Daten hat. Genau danach fragen sowohl PCI-DSS-Prüfer als auch DSGVO-Regulierungsbehörden zunehmend.

Schlüsselsteuerungsmodell	Was es bedeutet	Relevanz der Einhaltung
Nativ (Cloud-verwaltet)	Der Schlüssel wird im eigenen Schlüsselverwaltungsdienst des CSP (AWS KMS, Azure Key Vault, GCP Cloud KMS) generiert und gespeichert.	Erfüllt die PCI-DSS-Anforderungen zum Schutz gespeicherter Kontodaten und zur Dokumentation der Schlüsselverwaltungsverfahren; der Cloud-Service-Provider (CSP) hat technisch Zugriff auf die Schlüsseldaten, deren Offenlegung gegenüber den betroffenen Personen gemäß einigen DSGVO-Datenverarbeitungsvereinbarungen erforderlich ist.
BYOK (Bring deinen eigenen Schlüssel mit)	Sie generieren das Schlüsselmaterial und importieren es in das HSM des CSP.	Gewährleistet die Nachverfolgbarkeit wichtiger Daten für Prüfungszwecke; verbleibt nach dem Import weiterhin im CSP, sodass der CSP nicht aus Ihrem Datenflussdiagramm entfernt wird.
HYOK (behalte deinen eigenen Schlüssel)	Schlüsselmaterial verlässt niemals Ihren eigenen oder einen externen Schlüsselmanager eines Drittanbieters; der CSP greift bei jeder Operation darauf zu.	Die technisch stärkste Antwort auf die Frage „Kann der Cloud-Service-Provider unsere Daten lesen?“, relevant dort, wo eine DSGVO-Datenverarbeitungsvereinbarung oder eine spezifische PCI-DSS-Anforderung dies erfordert, allerdings auf Kosten der Verfügbarkeit Ihres externen Schlüsselmanagers als Voraussetzung für jede Transaktion.

Die meisten Organisationen benötigen kein HYOK, um eine PCI-DSS-Prüfung zu bestehen oder die DSGVO-Anforderungen zu erfüllen. Die native Cloud-Schlüsselverwaltung mit dokumentierten Verfahren deckt die Anforderungen für die überwiegende Mehrheit der Anwendungsfälle ab. HYOK wird insbesondere dann relevant, wenn ein Vertrag, eine Aufsichtsbehörde oder eine Datenverarbeitungsvereinbarung den Nachweis verlangt, dass der Cloud-Service-Provider (CSP) überhaupt nicht auf die Daten zugreifen kann – nicht als Standardeinstellung. Unser Vergleich von AWS KMS, Azure Key Vault und GCP KMS zeigt Ihnen detailliert, wie die einzelnen Anbieter BYOK und HYOK implementieren.

Wie unterstützt IAM die Einhaltung von PCI DSS und DSGVO?

Beide Standards verlangen, dass der Zugriff auf das geschäftlich notwendige Maß beschränkt wird. PCI DSS nennt dies ausdrücklich als Kontrollmaßnahme, und Artikel 32 der DSGVO verlangt „geeignete technische und organisatorische Maßnahmen“, die von den Aufsichtsbehörden so interpretiert werden, dass sie auch die Zugriffskontrolle umfassen.

1. Erfassen Sie jede Identität, ob Person oder Dienst, die Zugriff auf regulierte Daten oder die Schlüssel zu deren Schutz hat.
2. Weisen Sie jeder Person mit Systemzugriff eine eindeutige ID zu, niemals eine gemeinsam genutzte Zugangsberechtigung, wie es PCI DSS ausdrücklich vorschreibt.
3. Jede Berechtigung sollte auf das jeweilige System, die Datenbank oder den benötigten Schlüssel beschränkt sein, nicht auf einen konto- oder projektweiten Zugriff.
4. Trennen Sie die Rollen, die Verschlüsselungsschlüssel verwalten, von den Rollen, die diese zum Ver- oder Entschlüsseln von Daten verwenden.
5. Überprüfen Sie die Zugriffsrechte in regelmäßigen Abständen und unverzüglich bei einem Rollenwechsel oder einer Kündigung, da sowohl PCI-DSS-Prüfer als auch GDPR-Audits veraltete Zugriffsrechte als Mangel werten.

Welche Anforderungen stellen PCI DSS und die DSGVO an die Rotation von Schlüsseln und Anmeldeinformationen?

PCI DSS schreibt vor, dass Sie eine Kryptoperiode definieren müssen – die Nutzungsdauer eines Schlüssels –, die auf dem Algorithmus, der Schlüssellänge und der Sensibilität der geschützten Daten basiert. Schlüssel müssen vor Ablauf dieser Periode oder unverzüglich ersetzt werden, wenn der Verdacht besteht, dass ein Schlüssel kompromittiert wurde. Die DSGVO legt kein spezifisches Rotationsintervall fest, doch Artikel 32 fordert „modernste“ Sicherheitsmaßnahmen. Eine seit Jahren nicht überprüfte Schlüsselrotationsrichtlinie stellt somit eine Schwachstelle dar, die von Aufsichtsbehörden beanstandet werden kann. In der Praxis erfüllt die Definition einer dokumentierten Rotationsrichtlinie pro Schlüssel und deren Durchsetzung über die native Rotationsfunktion Ihres Cloud-KMS (anstatt manueller Kalendererinnerungen) beide Standards gleichzeitig.

Welche Protokollierungsanforderungen stellen PCI DSS und DSGVO in der Cloud dar?

PCI DSS verlangt, dass Sie alle Zugriffe auf Systemkomponenten und Karteninhaberdaten protokollieren und überwachen, und die 72-Stunden-Meldepflicht der DSGVO bei Datenschutzverletzungen ist in der Praxis nicht durchsetzbar, wenn die Protokolle nicht detailliert genug sind, um festzustellen, wann eine Datenschutzverletzung tatsächlich begonnen hat.

• PCI-DSS: Die Protokolle müssen den Zugriff einzelner Benutzer auf Karteninhaberdaten, alle Aktionen privilegierter Konten sowie jegliche Verwendung von Identifizierungs- und Authentifizierungsmechanismen erfassen und nach einem von Ihrem QSA angeforderten Zeitplan aufbewahrt und überprüft werden.
• DSGVO: Artikel 30 verlangt Aufzeichnungen über die Verarbeitungstätigkeit, und die 72-Stunden-Frist gemäß Artikel 33 beginnt mit dem Zeitpunkt, an dem Sie von einer Verletzung Kenntnis erlangen. Das bedeutet, dass Ihre Protokollierung aktiv überwacht und nicht nur aufbewahrt werden muss, damit diese Frist rechtzeitig und nicht erst Wochen später beginnt.
• In der Praxis bei den größeren Wolken: AWS CloudTrail, Azure Monitor-Diagnoseprotokolle und GCP Cloud-Audit-Protokolle liefern zwar das Rohmaterial, aber keines der drei ermöglicht standardmäßig eine umfassende Protokollierung; für jeden Dienst ist eine explizite Konfigurationsentscheidung erforderlich.

Welche Kosten entstehen durch die Aufrechterhaltung der Cloud-Compliance?

Die Kosten für Cloud-Compliance setzen sich hauptsächlich aus Personal- und Prozesskosten zusammen, nicht aus Lizenzkosten, jährlichen PCI-DSS-Prüfungen (Selbstbewertungsfragebögen oder Beauftragung eines qualifizierten Sicherheitsgutachters, abhängig vom Transaktionsvolumen), dem laufenden Aufwand für die Pflege einer dokumentierten kryptografischen Architektur und Schlüsselverwaltungsverfahren sowie dem Entwicklungsaufwand für die korrekte Konfiguration und Überwachung der Protokollierung in allen relevanten Cloud-Diensten. Die Kosten für Cloud-native Dienste selbst, KMS-Schlüsselgebühren, HSM-Instanzkosten und Protokollspeicherung machen im Vergleich zum Aufwand für Prüfung und Dokumentation in der Regel nur einen Bruchteil dieser Gesamtkosten aus. Dies ist einer der Gründe, warum Unternehmen nach dem ersten erfolgreichen Audit die Kosten für die Aufrechterhaltung der Compliance oft unterbewerten.

Wie sieht eine Multi-Cloud-Compliance-Architektur aus?

Wenn regulierte Workloads über mehr als eine Cloud ausgeführt werden, vervielfacht sich der Aufwand für die Zuordnung der gemeinsamen Verantwortlichkeiten mit der Anzahl der verwendeten Clouds, es sei denn, man standardisiert die Schlüsselkontrolle, IAM, Rotation und Protokollierungsrichtlinien einmalig zentral und wendet sie konsequent an, anstatt jedem Cloud-Team die Interpretation von PCI DSS und DSGVO unabhängig zu überlassen.

Die Referenzarchitektur, die einem solchen zentralisierten Ansatz zugrunde liegt, finden Sie in unserem Multi-Cloud PKIaaS Architecture Guide und in der Übersicht des Education Center zum Multi-Cloud-Schlüsselmanagement.

Welche Einschränkungen ergeben sich bei der Verwendung von CSP-Konformitätszertifizierungen?

• Die Zertifizierung eines CSP deckt dessen eigene Infrastruktur ab, nicht Ihre Konfiguration derselben. Eine AWS PCI DSS-Konformitätsbescheinigung macht Ihre S3-Bucket-Richtlinie, Ihre IAM-Berechtigungen oder Ihren Anwendungscode nicht konform.
• SaaS schränkt Ihre Verpflichtungen ein, beseitigt sie aber nicht. Auch bei SaaS bleiben Sie für die Zugriffskontrolle auf Konten, die Datenklassifizierung und die Bestätigung verantwortlich, dass die Compliance des Anbieters tatsächlich Ihren spezifischen Anwendungsfall abdeckt.
• Nicht alle Cloud-Dienste eines einzigen Cloud-Service-Providers (CSP) verfügen über die gleiche Zertifizierung. Dass ein Cloud-Service-Provider (CSP) insgesamt PCI DSS- oder GDPR-fähig ist, bedeutet nicht, dass jeder einzelne Dienst unter Ihre Konformitätsbescheinigung fällt; Sie müssen dies für jeden einzelnen Dienst überprüfen.
• Die Einhaltung der Vorschriften ist eine Momentaufnahme, keine kontinuierliche Garantie. Eine Abweichung von der Standardkonfiguration nach einer Bewertung ist häufig, und weder die Einhaltung der PCI-DSS-Standards noch der DSGVO erfolgt von selbst.

Entscheidungscheckliste: Cloud-Compliance für PCI DSS und DSGVO

1. Ordnen Sie jede PCI-DSS-Anforderung und jede DSGVO-Verpflichtung der jeweiligen Verantwortung zu, die Sie, Ihr CSP oder beide für Ihr spezifisches Servicemodell (IaaS, PaaS oder SaaS) tragen. Gehen Sie nicht allein vom Modell aus.
2. Wählen Sie Ihr Schlüsselkontrollmodell (nativ, BYOK oder HYOK) auf der Grundlage einer tatsächlichen vertraglichen oder regulatorischen Anforderung und nicht standardmäßig.
3. Dokumentieren Sie jetzt Ihre kryptografische Architektur und Ihre Schlüsselverwaltungsverfahren. PCI DSS v4.0.1 verlangt dies von Dienstleistern und erwartet es auch als Nachweis für Händler.
4. Aktivieren und steuern Sie die Protokollierung für jeden relevanten Cloud-Dienst zentral, bevor ein Prüfer oder eine Sicherheitsverletzung diese Frage aufwirft.
5. Wenn Sie in mehr als einer Cloud arbeiten, sollten Sie die oben genannten Punkte einmal zentral standardisieren, anstatt zuzulassen, dass die Compliance-Strategie von Cloud-Team zu Cloud-Team auseinanderläuft.

Was würde Encryption Consulting empfehlen?

Organisationen, die Schwierigkeiten mit der Cloud-Compliance haben, sind selten diejenigen, denen eine bestimmte Kontrollmaßnahme fehlt. Vielmehr haben sie von vornherein nicht klar definiert, wem welche Kontrollmaßnahme gehört, und entdecken die Lücke erst im Rahmen einer Bewertung statt im Vorfeld. Wir empfehlen, die Zuordnung der gemeinsamen Verantwortlichkeiten als dynamisches Dokument zu betrachten und bei jeder Einführung eines neuen Cloud-Dienstes zu überprüfen – nicht als einmalige Maßnahme bei der ersten Cloud-Migration. Wenn das Schlüsselmanagement und die zugehörige Dokumentation die Schwachstelle darstellen, vergleicht unsere Cloud-Datenschutzbewertung Ihren aktuellen Stand mit PCI DSS, DSGVO und verwandten Rahmenwerken für AWS, Azure und GCP. Unser HSM-as-a-Service- Angebot bietet Ihnen FIPS-validierte, zentral verwaltete Schlüsselverwaltung für alle drei Plattformen.

Häufig gestellte Fragen

Wenn mein Cloud-Service-Provider (CSP) PCI-DSS-zertifiziert ist, bin ich dann automatisch konform?

Nein. Die Konformitätsbescheinigung eines CSP deckt dessen eigene Infrastruktur und die von ihm direkt betriebenen Dienste ab. Sie bleiben verantwortlich für die Konfiguration dieser Dienste, Ihre Zugriffskontrollen, Ihren Anwendungscode und alle Teile der Anforderungsmatrix, die gemäß Ihrem spezifischen Servicemodell in die Zuständigkeit des Kunden fallen.

Verpflichtet mich die DSGVO dazu, Daten von EU-Bürgern physisch innerhalb der EU aufzubewahren?

Nicht automatisch. Die DSGVO erlaubt zwar Übermittlungen außerhalb der EU im Rahmen bestimmter Mechanismen (Angemessenheitsbeschlüsse, Standardvertragsklauseln, verbindliche Unternehmensregeln), aber Sie bleiben dafür verantwortlich, dass diese Schutzmaßnahmen auch tatsächlich Anwendung finden. Darüber hinaus können branchenspezifische Regeln oder Kundenverträge einen EU-Datenspeicherort erfordern, unabhängig davon, was die DSGVO selbst erlaubt.

Muss ich HYOK verwenden, um PCI DSS- oder DSGVO-konform zu sein?

Als Standardanforderung ist dies so gut wie nie erforderlich. Native Cloud-Schlüsselverwaltung mit dokumentierten Verfahren erfüllt beide Standards für die überwiegende Mehrheit der Anwendungsfälle. HYOK wird relevant, wenn ein bestimmter Vertrag, eine Aufsichtsbehörde oder eine Datenverarbeitungsvereinbarung den Nachweis verlangt, dass der Cloud-Service-Provider (CSP) überhaupt nicht auf Ihre Daten zugreifen kann.

Welche Änderungen in PCI DSS v4.0.1 wirken sich speziell auf Cloud-Bereitstellungen aus?

Für Cloud-Umgebungen sind zwei Änderungen besonders hervorzuheben: Die Verschlüsselung auf Festplattenebene allein gilt nicht mehr als Verschlüsselung ruhender Daten, außer auf Wechseldatenträgern, und Organisationen müssen nun mindestens einmal jährlich ihre kryptografischen Systeme und Protokolle formell überprüfen und dabei auch auf Algorithmen achten, die sich in Richtung Veraltung bewegen.

Wie schnell muss ich einen Verstoß tatsächlich erkennen, um die 72-Stunden-Frist der DSGVO einzuhalten?

Die 72-Stunden-Frist beginnt, sobald Ihr Unternehmen von der Sicherheitsverletzung Kenntnis erlangt, nicht mit deren Auftreten. Eine Protokollierungsmethode, die Vorfälle erst Tage oder Wochen später aufdeckt, untergräbt diese Anforderung jedoch. Nur eine zentral überwachte Protokollierung mit aktiven Benachrichtigungen ermöglicht die Einhaltung des 72-Stunden-Fensters in der Praxis.

Haben Sie eine konkrete Frage zur PCI DSS- oder DSGVO-Konformität in der Cloud? Kontaktieren Sie unser Team unter [email protected].