Zum Inhalt

ADR-023: Support-, Wartungs-, Fern- und Auslandszugriffe

Stand: 09.08.2026 12:49 Branch: main Status: Akzeptiert

Datum, Uhrzeit Version Änderung Autor
09.08.2026 12:49 1.0 Zeitlich begrenztes V1-Zugriffsmodell mit Tenant-Freigabe, Notfallverfahren und Ländergrenze festgelegt Codex

Kontext

Support, Wartung und Störungsbehebung können menschliche Zugriffe auf produktive Systeme oder personenbezogene Tenant-Daten erfordern. Auch ein Fernzugriff aus dem Ausland kann eine Auslandsübermittlung darstellen, obwohl die Daten auf einem Server in Deutschland oder der Schweiz gespeichert bleiben.

UC00 verlangt deshalb persönliche Konten, Zwei-Faktor-Authentifizierung, Minimalrechte, dokumentierte Gründe und Auditierung. Offen waren insbesondere die Zugriffsdauer, Tenant-Freigabe, Notfallausnahme, Ländergrenze und Behandlung von Provider-Support.

Entscheidung für V1

Interner Infrastrukturzugriff

  1. Serverwartung, Deployment, Backup und Wiederherstellung erfolgen ausschliesslich mit persönlichen Administratorkonten und Zwei-Faktor-Authentifizierung (2FA).
  2. Administrative Dienste sind nicht öffentlich erreichbar. Zugriff erfolgt über ein privates Netz beziehungsweise ein Virtual Private Network (VPN) mit persönlichen Secure-Shell-Schlüsseln (SSH-Schlüsseln).
  3. Berechtigungen werden nach dem Just-in-Time-Prinzip für einen dokumentierten Zweck und höchstens vier Stunden erteilt. Weiterer Bedarf benötigt eine neue Freigabe.
  4. Der Zugriff erfasst Person, Ticket, Zweck, Beginn, Ende, Zielsystem, administrative Aktionen und Ergebnis in manipulationsüberwachten Access- und Auditprotokollen.
  5. Infrastrukturzugriff berechtigt nicht zur routinemässigen Einsicht in fachliche Tenant-Daten.

Tenantbezogener Supportzugriff

  1. Tenantbezogener Supportzugriff ist standardmässig deaktiviert.
  2. Der Tenant-Admin gibt den Zugriff für ein konkretes Ticket, einen bestimmten Zweck und den erforderlichen Umfang frei. Die Freigabe ist eine betriebliche Autorisierung und keine datenschutzrechtliche Einwilligung.
  3. Eine Freigabe gilt höchstens acht Stunden und endet früher mit Abschluss oder Widerruf des Supportfalls. Eine Verlängerung benötigt eine neue Freigabe.
  4. Supportmitarbeiter verwenden persönliche Konten und eine auf den freigegebenen Tenant und Zweck begrenzte Supportrolle. Freier Tenantwechsel und Benutzeridentitätsübernahme sind ausgeschlossen.
  5. Vertragsdokumente, Sicherheitsprotokolle, Exporte und personenbezogene Detaildaten sind nur zugänglich, wenn sie für das dokumentierte Ticket erforderlich sind. Downloads und lokale Kopien sind standardmässig gesperrt.
  6. Tenant-Admin und Superadmin können aktive und vergangene Supportzugriffe mit Zweck, Person, Umfang und Dauer nachvollziehen.

Notfallzugriff

  1. Bei einem konkreten schweren Sicherheits- oder Verfügbarkeitsereignis ist ein Zugriff ohne vorherige Tenant-Freigabe zulässig, soweit er zur Schadensabwehr oder Wiederherstellung erforderlich ist.
  2. Der Zugriff ist auf höchstens eine Stunde, den betroffenen Tenant, die erforderlichen Systeme und den notwendigen Funktionsumfang begrenzt.
  3. Aktivierung und Nutzung lösen sofort einen Alarm aus und werden als Notfallzugriff besonders gekennzeichnet.
  4. Soweit zwei berechtigte Personen verfügbar sind, gilt das Vier-Augen-Prinzip. Bei Einzelbesetzung werden Grund, Umfang und Testnachweise dokumentiert und spätestens am nächsten Arbeitstag nachträglich geprüft.
  5. Der betroffene Tenant wird ohne unangemessene Verzögerung informiert, sofern dadurch keine laufende Sicherheitsuntersuchung gefährdet wird.

Provider-Support

  1. Provider erhalten keinen dauerhaften menschlichen Zugriff auf DiveLogix360-Daten.
  2. Support beginnt mit minimierten technischen Informationen. Produktive Inhalte dürfen nur zugänglich werden, wenn die Fehlerbehebung anders nicht möglich ist und Vertrag, Weisung, Zweckbindung und Audit dies abdecken.
  3. Passwörter, Schlüssel, Token und vollständige Vertragsdokumente werden nicht in Supporttickets oder unkontrollierte Supportkanäle übertragen.
  4. Temporäre Providerzugriffe werden nach Abschluss beendet. Übermittelte Diagnosedaten und Anhänge werden minimiert, nachverfolgt und nach der geltenden Frist gelöscht.
  5. Anbieter ohne nachgewiesene Support-, Wartungs- und Fernzugriffsländer bleiben für produktive personenbezogene Daten under_review.

Länderregel

Menschliche Support-, Wartungs- und Fernzugriffe auf produktive personenbezogene Daten sind in V1 ausschliesslich aus der Schweiz, der Europäischen Union (EU) und dem Europäischen Wirtschaftsraum (EWR) zulässig.

Ein Zugriff aus einem anderen Land bleibt gesperrt und benötigt vorab:

  • Benennung von Land, Empfänger, Zweck und Datenkategorien;
  • Prüfung des anwendbaren Angemessenheitsstatus;
  • geeignete vertragliche Übermittlungsgarantie;
  • Transfer Impact Assessment (TIA, Prüfung der Auswirkungen einer Drittlandübermittlung);
  • erforderliche technische und organisatorische Zusatzmassnahmen;
  • Aktualisierung von Providerregister, Auftragsverarbeitungsvertrag und Datenschutzhinweisen;
  • dokumentierte fachliche, rechtliche und technische Freigabe.

Standardvertragsklauseln allein erzeugen keine automatische Freigabe. Kann ein Anbieter die V1-Ländergrenze nicht vertraglich oder technisch nachweisen, bleibt sein Dienst für produktive personenbezogene Daten gesperrt.

Nachweis und Aufzeichnung

  • Bildschirm-, Audio- oder Videoaufzeichnungen von Supportpersonen sind nicht vorgeschrieben und in V1 nicht vorgesehen.
  • Verbindlich sind manipulationsüberwachte Ereignis-, Befehls-, Berechtigungs- und Zugriffsnachweise mit Korrelations-ID.
  • Zugriff auf Vertragsdokumente, Sicherheitsprotokolle, Exporte und andere besonders sensible Daten erzeugt zusätzlich einen AccessLog-Eintrag.
  • Support-Access-Protokolle ohne Vertragsbezug werden gemäss RF-14 ein Jahr aufbewahrt. Vertragsrelevante Nachweise folgen RF-13.
  • Berechtigungen, offene Freigaben, Notfallkonten und Providerzugriffe werden mindestens quartalsweise sowie nach jedem Notfall geprüft.

Konsequenzen

  • Normale tenantbezogene Unterstützung benötigt eine ausdrückliche Tenant-Freigabe in der Anwendung.
  • Ein technisches Supportfreigabe- und Widerrufsmodell sowie eine eingeschränkte Supportrolle müssen implementiert werden.
  • Notfälle bleiben handlungsfähig, werden aber eng begrenzt, alarmiert und nachkontrolliert.
  • Globale Supportmodelle einzelner Provider können die Produktivfreigabe blockieren, solange die Ländergrenze nicht nachgewiesen ist.
  • Providerverträge, Unterauftragnehmerketten und tatsächliche Supportstandorte bleiben vor Produktivbetrieb dienstbezogen zu prüfen.

Geprüfte Alternativen

Dauerhafte Supportberechtigung

Nicht gewählt. Sie widerspricht dem Minimalrechtsprinzip und erschwert Zweckbindung, Tenant-Transparenz und nachvollziehbaren Berechtigungsentzug.

Tenant-Freigabe ohne Zeitgrenze

Nicht gewählt. Offene Freigaben könnten nach Abschluss eines Supportfalls unbeabsichtigt fortbestehen.

Weltweiter Support bei vorhandenen Standardvertragsklauseln

Nicht gewählt. Unterschiedliche Rechtsordnungen, Behördenzugriffe und Unterauftragnehmerketten würden zusätzliche Einzelprüfungen und Schutzmassnahmen erfordern. V1 verwendet deshalb die engere Länderregel.

Vollständige Sitzungsaufzeichnung

Nicht gewählt. Ereignis-, Befehls- und Zugriffsnachweise erfüllen den vorgesehenen Kontrollzweck datensparsamer. Eine spätere Aufzeichnung benötigt einen gesonderten Datenschutz-, Arbeitsrechts- und Sicherheitsentscheid.

Verweise