Schutz der Azure-Kundendaten

Standardmäßig können Microsoft-Betriebs- und Support-Mitarbeiter nicht auf Kundendaten zugreifen. Wenn sie Zugang zu Daten im Zusammenhang mit einem Support-Fall benötigen, verwenden sie ein Just-in-Time-(JIT)-Modell und Richtlinien, die Microsoft prüft und anhand seiner Compliance- und Datenschutzrichtlinien prüft. Die folgende Azure Security Policy legt die Zugriffskontrollanforderungen fest:

  • Kein standardmäßiger Zugriff auf Kundendaten
  • Keine Benutzer- oder Administratorkonten auf virtuellen Computern (VMs) von Kunden
  • Gewähren Sie das geringste Privileg, das erforderlich ist, um die Aufgabe zu erfüllen. Überwachen und protokollieren Sie Zugriffsanforderungen.

Microsoft weist den Azure Support-Mitarbeitern eindeutige Firmen-Active Directory-Konten zu. Azure überlässt die Steuerung des Zugriffs auf wichtige Informationssysteme dem von Microsoft Information Technology (MSIT) verwalteten unternehmenseigenen Active Directory von Microsoft. Azure erfordert Multifaktor-Authentifizierung und gewährt den Zugriff nur über sichere Konsolen.

Datenschutz

Azure bietet Kunden verstärkte Datensicherheitsoptionen sowohl standardmäßig als auch als Kundenoptionen.

Trennung von Daten: Microsoft Azure ist ein mehrinstanzenfähiger Dienst, d. h. die Bereitstellungen und VMs mehrerer Kunden werden auf derselben physischen Hardware gespeichert. Mithilfe einer logischen Isolierung trennt Azure die Daten der Kunden voneinander. Die Trennung bietet die Skalierung und die wirtschaftlichen Vorteile von mehrinstanzenfähigen Diensten und verhindert gleichzeitig rigoros, dass Kunden auf die Daten anderer Kunden zugreifen.

Datenschutz im Ruhestand: Sie sind dafür verantwortlich, sicherzustellen, dass die in Azure gespeicherten Daten gemäß Ihren Standards verschlüsselt sind. Azure bietet eine breite Palette an Verschlüsselungsmöglichkeiten, sodass Sie die Lösung auswählen können, die Ihren Anforderungen am besten entspricht. Azure Key Vault hilft Ihnen, die Kontrolle über Schlüssel zu behalten, die Cloud-Anwendungen und -Dienste zur Verschlüsselung von Daten verwenden. Azure Disk Encryption ermöglicht es Ihnen, VMs zu verschlüsseln. Azure Storage Service Encryption ermöglicht es, alle in Ihr Speicherkonto gespeicherten Daten zu verschlüsseln.

Datenschutz während des Transits: Microsoft bietet viele Optionen, mit denen Sie Daten im Transit intern im Azure-Netzwerk und extern über das Internet zum Endnutzer sichern können. Diese Optionen umfassen Kommunikation über virtuelle private Netzwerke (unter Verwendung von IPsec/IKE-Verschlüsselung), Transport Layer Security (TLS) 1.2 oder später (über Azure-Komponenten wie Application Gateway oder Azure Front Door), Protokolle direkt auf den virtuellen Azure-Maschinen (wie Windows IPsec oder SMB) und mehr.

Zusätzlich ermöglicht Azure standardmäßig die Verschlüsselung, indem MACsec (ein IEEE-Standard auf der Datenlink-Schicht) für den gesamten Azure-Datenverkehr zwischen Azure-Rechenzentren verwendet wird, um Vertraulichkeit und Integrität der Kundendaten zu gewährleisten.

Datenredundanz: Microsoft stellt sicher, dass Daten im Falle eines Cyberangriffs oder einer physischen Beschädigung eines Rechenzentrums geschützt werden. Sie können Folgendes auswählen:

  • Speicherung im Land bzw. in der Region aus Compliance- und Latenzgründen.
  • Speicherung außerhalb des Lands bzw. der Region aus Sicherheitsgründen und zwecks Notfallwiederherstellung.

Man kann Daten innerhalb eines ausgewählten geografischen Gebiets zur Redundanz replizieren, aber außerhalb dieses Gebiets nicht übertragen. Sie haben mehrere Optionen zur Replikation von Daten, einschließlich der Anzahl der Kopien sowie der Anzahl und Standort der Replikationsrechenzentren.

Wenn Sie ein Speicherkonto erstellen, wählen Sie eine der folgenden Replikationsoptionen aus:

  • Lokal redundanter Speicher (LRS): Lokal redundanter Speicher verwaltet drei Kopien Ihrer Daten. LRS wird innerhalb eines einzelnen Standorts dreimal in einer einzelnen Region repliziert. Der LRS schützt Ihre Daten vor gewöhnlichen Hardwareausfällen, jedoch nicht vor dem Ausfall eines einzelnen Standorts.
  • Zonenredundanter Speicher (ZRS): Zonenredundanter Speicher verwaltet drei Kopien Ihrer Daten. ZRS wird dreimal an zwei bis drei Standorten repliziert und bietet dann eine höhere Stabilität als LRS. Die Replikation erfolgt in einer einzelnen Region oder in zwei Regionen. Der ZRS gewährleistet die Dauerhaftigkeit Ihrer Daten innerhalb einer einzelnen Region.
  • Georedundanter Speicher (Geo-Redundant Storage, GRS) : Nach der Erstellung Ihres Speicherkontos ist geografisch redundanter Speicher standardmäßig aktiviert. GRS hält sechs Kopien Ihrer Daten vor. Mit GRS werden Ihre Daten dreimal in der primären Region repliziert. Ihre Daten werden auch dreimal in einer sekundären Region hunderte von Kilometern von der primären Region entfernt repliziert, wodurch höchste Stabilität erreicht wird. Wenn in der primären Region ein Fehler auftritt, wechselt Azure Storage in die sekundäre Region. Durch den GRS wird die Dauerhaftigkeit Ihrer Daten in zwei separaten Regionen gewährleistet.

Datenvernichtung: Wenn Kunden Daten löschen oder Azure verlassen, befolgt Microsoft strenge Standards für das Löschen von Daten und die physische Zerstörung der außer Betrieb gesetzten Hardware. Microsoft führt eine vollständige Löschung von Daten auf Wunsch der Kunden und beim Beenden des Vertrags durch. Weitere Informationen finden Sie unter Datenverwaltung bei Microsoft.

Dateneigentümerschaft liegt beim Kunden

Microsoft untersucht, genehmigt oder überwacht die Anwendungen nicht, die Kund*innen in Azure bereitstellen. Darüber hinaus weiß Microsoft nicht, welche Art von Daten Kunden in Azure speichern. Microsoft beansprucht nicht die Dateneigentümerschaft über die in Azure eingegebenen Kundeninformationen.

Datensatzverwaltung

Azure verfügt über interne Datensatzaufbewahrungsanforderungen für Back-End-Daten. Die Kunden sind verantwortlich für die Identifizierung ihrer eigenen Datensatzaufbewahrungsanforderungen. Bei in Azure gespeicherten Datensätzen sind Kunden dafür verantwortlich, dass ihre Daten extrahiert und Inhalte außerhalb von Azure für einen vom Kunden festgelegten Zeitraum aufbewahrt werden.

Azure bietet Kunden die Möglichkeit zum Exportieren von Daten und Überprüfen von Berichten von dem Produkt. Die Exporte werden lokal gespeichert, um die Informationen während eines vom Kunden definierten Aufbewahrungszeitraums aufzubewahren.

Elektronische Beweissicherung (e-discovery)

Sie sind dafür verantwortlich, die Anforderungen an die E-Discovery bei der Nutzung von Azure-Diensten einzuhalten. Wenn Sie Ihre Kundendaten bewahren müssen, exportieren und speichern Sie sie lokal. Sie können auch Exporte Ihrer Daten von der Azure-Kundensupport-Abteilung anfordern. Neben dem Export Ihrer Daten führt Azure umfangreiche interne Protokollierung und Überwachung durch.

Nächste Schritte

In den folgenden Artikeln erfahren Sie mehr über die Sicherung der Azure-Infrastruktur seitens Microsoft:

  • Last updated on