# Erfüllt Cyber Crucible die Vorgaben der DSGVO?

**Kurze Antwort:** Ja, und zwar von Grund auf konzipiert und nicht nur durch Richtlinien geregelt. Inhalte, Zugangsdaten, Verschlüsselungsschlüssel und Sitzungstoken werden niemals erfasst; die Analyse erfolgt auf dem Endgerät; Cyber Crucible agiert als Auftragsverarbeiter im Rahmen eines schriftlichen Auftragsverarbeitungsvertrags (DPA); und die Bereitstellungsoptionen sorgen dafür, dass personenbezogene Daten innerhalb der EU verbleiben — oder innerhalb Ihres eigenen Gebäudes.

## Zuordnung zu den Grundsätzen der DSGVO

- **Datenminimierung (Art. 5)** — die ausgeschlossenen Datenkategorien sind konkret aufgeführt, nicht nur allgemein beschrieben. Die Telemetriedaten beschränken sich auf das für die Bedrohungserkennung erforderliche Maß und sind konfigurierbar.
- **Integrität und Vertraulichkeit (Art. 5, 32)** — TLS 1.3 bei der Übertragung, JWE-Verschlüsselung der Nutzdaten pro Agent, Verschlüsselung im Ruhezustand, rollenbasierte Zugriffskontrolle, Schlüsselrotation, Protokollierung (Audit-Logging).
- **Pflichten des Auftragsverarbeiters (Art. 28)** — schriftlicher Auftragsverarbeitungsvertrag mit klar definiertem Umfang; Verarbeitung ausschließlich auf dokumentierte Anweisung; Unterauftragsverarbeiter sind an gleichwertige Bedingungen gebunden.
- **Übermittlungen (Kapitel V)** — regionale Zwischenspeicherung innerhalb der EU oder eine abgeschottete (air-gapped) Bereitstellung, die Übermittlungen vollständig ausschließt.
- **Datenschutz durch Technikgestaltung (Art. 25)** — die stärkste mögliche Zusicherung: Die Kategorien mit dem höchsten Risiko werden nicht durch Richtlinien geschützt, sondern gar nicht erst erfasst.

## Pseudonymisierung

Sofern verhaltensbezogene Telemetriedaten eine Person indirekt identifizierbar machen könnten, werden Identifikatoren pseudonymisiert oder maskiert — eine Schutzmaßnahme, die die DSGVO ausdrücklich anerkennt.

## Was dies nicht leistet

Dies macht Ihre Organisation nicht automatisch DSGVO-konform. Ihre Pflichten hängen von Ihren eigenen Verarbeitungszwecken, Rechtsgrundlagen, Informationspflichten und Aufzeichnungen ab. Was dadurch entfällt, ist eine häufige Schwierigkeit: ein Sicherheitsanbieter, der fortlaufend personenbezogene Daten in ein Drittland exportiert.