INQ · Umgang mit behördlichen Auskunfts- und Herausgabeverlangen

INQ-04 Kommunikation technischer Verfahren zur Datenoffenlegung bei behördlichen Auskunfts- und Herausgabeverlangen

Neu in C5:2026

Ergänzende Information zu allen Unterkriterien

Das Kriterium ist auf Cloud-Kundendaten beschränkt. Der Cloud-Anbieter hat typischerweise Zugriff auf andere Datentypen wie abgeleitete Cloud-Dienstdaten und Kontodaten, sodass eine Ausweitung des Kriteriums auf diese anderen Datentypen möglicherweise nicht zu nützlichen Informationen für das Risikomanagement der Cloud-Kunden führt. Technische Fähigkeiten und Beschränkungen beim Zugriff auf Cloud-Kundendaten umfassen Aspekte wie:

Ob die Cloud-Kunden ihre Cloud-Kundendaten unverschlüsselt speichern;
Ob der Cloud-Anbieter Cloud-Kundendaten bei der Speicherung und Übertragung verschlüsselt;
Ob der Cloud-Anbieter die Fähigkeit hat, Cloud-Kundendaten im Falle solcher behördlichen Auskunfts- und Herausgabeverlangen zu entschlüsseln, und wie diese Fähigkeit zum Zugriff oder zur Offenlegung genutzt wird;
Aufbewahrungsfristen für abgeleitete Cloud-Dienstdaten in Bezug zum Cloud-Kunden und ob solche Daten in verschlüsselter Form gespeichert werden;
Möglichkeiten zur Entschlüsselung von Cloud-Kundendaten oder zur Extraktion von Cloud-Kundendaten während des Entschlüsselungsprozesses;
Offenlegung von Benutzeridentitäten und Anmeldedaten; und
Weitere Maßnahmen, die geschaffen wurden oder genutzt werden können, um Cloud-Kundendaten offenzulegen.

Basiskriterium

INQ-04.01B

Der Cloud-Anbieter dokumentiert die technischen Verfahren je Dienst und sonstige technische Informationen bezüglich der Bereitstellung oder Offenlegung von Cloud-Kundendaten als Reaktion auf gültige behördliche Auskunfts- und Herausgabeverlangen und stellt sie den Cloud-Kunden zur Verfügung.

INQ-04.02B

Art und Umfang der den Cloud-Kunden bereitgestellten Informationen richten sich nach den Bedürfnissen ihres sachverständigen Personals zur Bewertung von Risiken für die Vertraulichkeit der Cloud-Kundendaten. Mindestens werden die folgenden Aspekte behandelt:

Der Prozess für die Bereitstellung und Offenlegung von Cloud-Kundendaten als Reaktion auf berechtigte behördliche Auskunfts- und Herausgabeverlangen;
Die technischen Fähigkeiten und Beschränkungen des Cloud-Anbieters hinsichtlich der Offenlegung von Cloud-Kundendaten;
Protokollierungsmechanismen, die implementiert wurden, um Zugriffe für die Offenlegung von Cloud-Kundendaten aufzuzeichnen;
Zugriffsmöglichkeiten für Cloud-Kunden zur Einsicht in solche Protokolle;
Methoden und technische Verfahren je Dienst für den Zugriff auf und die Offenlegung von Cloud-Kundendaten; und
Gesetze, Vorschriften oder andere rechtliche Mittel und ihre Anwendbarkeit in Bezug auf die Fähigkeit des Cloud-Anbieters, seine Cloud-Kunden über die Bereitstellung und Offenlegung von Cloud-Kundendaten zu informieren.

INQ-04.03B

Das vorgenannte Dokument wird in Übereinstimmung mit SP-01 gepflegt und an den Leitlinien des Cloud-Anbieters zur Minimierung des Zugriffs auf Cloud-Kundendaten (vgl. DEV-01) ausgerichtet, um seine Relevanz und Genauigkeit für Cloud-Kunden sicherzustellen.

Korrespondierende Kriterien für Kunden

Was Cloud-Kunden auf ihrer Seite umsetzen.

Cloud-Kunden stellen mit geeigneten Kontrollen sicher, dass sie eine potenzielle Offenlegung ihrer Cloud-Kundendaten minimieren. Entsprechend dem Schutzbedarf der Cloud-Kundendaten treffen die Cloud-Kunden die Entscheidung, ob der jeweilige Cloud-Dienst genutzt werden kann oder ob das Risiko einer Offenlegung zu hoch ist.

Alle Kundenkriterien im Überblick