Erfüllt Cyber Crucible die Vorgaben der DSGVO?

Kurze Antwort: Ja, und zwar von Grund auf konzipiert und nicht nur durch Richtlinien geregelt. Inhalte, Zugangsdaten, Verschlüsselungsschlüssel und Sitzungstoken werden niemals erfasst; die Analyse erfolgt auf dem Endgerät; Cyber Crucible agiert als Auftragsverarbeiter im Rahmen eines schriftlichen Auftragsverarbeitungsvertrags (DPA); und die Bereitstellungsoptionen sorgen dafür, dass personenbezogene Daten innerhalb der EU verbleiben — oder innerhalb Ihres eigenen Gebäudes.

Zuordnung zu den Grundsätzen der DSGVO

• Datenminimierung (Art. 5) — die ausgeschlossenen Datenkategorien sind konkret aufgeführt, nicht nur allgemein beschrieben. Die Telemetriedaten beschränken sich auf das für die Bedrohungserkennung erforderliche Maß und sind konfigurierbar.
• Integrität und Vertraulichkeit (Art. 5, 32) — TLS 1.3 bei der Übertragung, JWE-Verschlüsselung der Nutzdaten pro Agent, Verschlüsselung im Ruhezustand, rollenbasierte Zugriffskontrolle, Schlüsselrotation, Protokollierung (Audit-Logging).
• Pflichten des Auftragsverarbeiters (Art. 28) — schriftlicher Auftragsverarbeitungsvertrag mit klar definiertem Umfang; Verarbeitung ausschließlich auf dokumentierte Anweisung; Unterauftragsverarbeiter sind an gleichwertige Bedingungen gebunden.
• Übermittlungen (Kapitel V) — regionale Zwischenspeicherung innerhalb der EU oder eine abgeschottete (air-gapped) Bereitstellung, die Übermittlungen vollständig ausschließt.
• Datenschutz durch Technikgestaltung (Art. 25) — die stärkste mögliche Zusicherung: Die Kategorien mit dem höchsten Risiko werden nicht durch Richtlinien geschützt, sondern gar nicht erst erfasst.

Pseudonymisierung

Sofern verhaltensbezogene Telemetriedaten eine Person indirekt identifizierbar machen könnten, werden Identifikatoren pseudonymisiert oder maskiert — eine Schutzmaßnahme, die die DSGVO ausdrücklich anerkennt.

Was dies nicht leistet

Dies macht Ihre Organisation nicht automatisch DSGVO-konform. Ihre Pflichten hängen von Ihren eigenen Verarbeitungszwecken, Rechtsgrundlagen, Informationspflichten und Aufzeichnungen ab. Was dadurch entfällt, ist eine häufige Schwierigkeit: ein Sicherheitsanbieter, der fortlaufend personenbezogene Daten in ein Drittland exportiert.