Uptime-Monitoring gehört zur Grundausstattung jeder professionellen IT-Infrastruktur. Doch die meisten gängigen Monitoring-Tools senden Ihre Server-Daten an Cloud-Dienste in den USA. Was auf den ersten Blick harmlos wirkt, birgt echte Risiken für Datenschutz, Sicherheit und Compliance. Dieser Artikel erklärt, welche Daten beim Monitoring anfallen, warum sie schützenswert sind und welche Alternativen es gibt.
Welche Daten sammelt ein Monitoring-Tool?
Auf den ersten Blick überwacht ein Monitoring-Tool nur, ob ein Server erreichbar ist. Doch die tatsächlich erfassten Daten gehen weit darüber hinaus:
- Server-IP-Adressen und Hostnamen: Diese identifizieren Ihre Infrastruktur eindeutig. Für einen Angreifer ist das eine Landkarte Ihrer Systeme.
- Uptime-Muster: Wann sind Server erreichbar, wann nicht? Regelmäßige Downtimes deuten auf Wartungsfenster hin, die ein Angreifer ausnutzen kann.
- Response-Zeiten: Ungewöhnliche Latenzen zeigen Lastmuster und können Rückschlüsse auf die Serverkapazität erlauben.
- SSL-Zertifikatsinformationen: Ablaufdaten, Aussteller und Domainnamen werden erfasst und geben Aufschluss über Ihre Domain-Struktur.
- HTTP-Statuscodes und Response-Header: Diese verraten eingesetzte Technologien, Webserver-Versionen und Sicherheitskonfigurationen.
- Prüfintervalle und Alarmierungsregeln: Welche Dienste sind Ihnen am wichtigsten? Was als kritisch konfiguriert ist, ist geschäftskritisch.
In Summe ergibt sich ein detailliertes Bild Ihrer IT-Infrastruktur: welche Systeme Sie betreiben, wie sie konfiguriert sind, wann sie gewartet werden und welche am geschäftskritischsten sind. Das ist kein harmloses Wissen.
TL;DR: Monitoring-Daten sind ein detaillierter Fingerabdruck Ihrer IT-Infrastruktur.
Wer diese Daten an einen Cloud-Dienst sendet, gibt potenziell Angreifern, Behörden oder Konkurrenten Einblick in die eigene Systemlandschaft.
Warum das ein Sicherheitsproblem ist
Stellen Sie sich vor, ein Angreifer erhält Zugriff auf die Monitoring-Daten eines Cloud-Dienstes, sei es durch einen Datenleak, einen kompromittierten Account oder eine behördliche Anfrage. Er wüsste dann:
- Welche Server Sie betreiben und unter welchen IP-Adressen sie erreichbar sind
- Wann regelmäßige Wartungsfenster stattfinden (idealer Zeitpunkt für einen Angriff)
- Welche Dienste geschäftskritisch sind (lohnende Ziele für Ransomware)
- Welche Software-Versionen eingesetzt werden (gezielte Exploit-Suche)
Das ist keine theoretische Gefahr. Cloud-Dienste werden regelmäßig kompromittiert, und der US CLOUD Act verpflichtet US-Unternehmen, Daten auf behördliche Anfrage herauszugeben, auch wenn die Daten auf Servern außerhalb der USA gespeichert sind.
Das DSGVO-Problem bei Cloud-Monitoring
Server-IP-Adressen sind nach gängiger Rechtsprechung personenbezogene Daten, wenn sie einem Verantwortlichen zugeordnet werden können. Bei einem Hosting-Provider, der Kundensysteme überwacht, ist genau das der Fall: Die IP-Adressen gehören zu Kundenprojekten, und die Monitoring-Daten enthalten Informationen über die Verfügbarkeit von Kundendiensten.
Wenn Sie diese Daten an einen US-basierten Monitoring-Dienst senden, findet eine Datenübermittlung in ein Drittland statt. Dafür benötigen Sie eine Rechtsgrundlage nach Kapitel V DSGVO. Bei vielen Cloud-Monitoring-Anbietern ist die datenschutzrechtliche Grundlage bestenfalls dünn.
Populäre Cloud-Monitoring-Tools und ihre Probleme
Pingdom (SolarWinds)
US-amerikanisches Unternehmen, Datenverarbeitung in den USA. SolarWinds wurde 2020 Opfer eines der größten Supply-Chain-Angriffe der Geschichte, bei dem Angreifer monatelang Zugang zu Kundendaten hatten.
UptimeRobot
Sitz in den USA, Server in den USA. Kostenlose Tier erfasst umfangreiche Daten. Die Datenschutzerklärung erlaubt die Weitergabe von Daten an Dritte für Analysezwecke.
StatusCake
Britisches Unternehmen, aber nach dem Brexit gelten für UK andere Datenschutzregeln. Die langfristige Äquivalenz des UK-Datenschutzniveaus mit der DSGVO ist nicht garantiert.
Datadog
US-Unternehmen mit umfangreicher Datenerfassung. Neben reinem Uptime-Monitoring werden Metriken, Logs und Traces erfasst, ein sehr detailliertes Bild Ihrer Infrastruktur.
Die Alternative: Monitoring ohne Cloud
Die datenschutzfreundliche Alternative ist Monitoring, bei dem die Daten Ihre Kontrolle nie verlassen. Das kann auf zwei Wegen geschehen:
Self-hosted Monitoring-Server: Tools wie Uptime Kuma, Nagios oder Zabbix können auf Ihrer eigenen Infrastruktur betrieben werden. Die Monitoring-Daten bleiben auf Ihrem Server, keine Drittübermittlung. Der Nachteil: Sie müssen den Monitoring-Server selbst betreiben und warten, und er kann nur überwachen, was er von seinem Standort aus erreichen kann.
Lokale Prüfung vom Endgerät: Ein anderer Ansatz ist, die Prüfungen direkt vom Endgerät des Administrators durchzuführen. Die Monitoring-Software läuft lokal, sendet Prüfanfragen direkt an Ihre Server und speichert die Ergebnisse lokal. Kein Cloud-Server als Mittelsmann, keine Daten bei Dritten.
Server Watcher: Monitoring direkt vom iOS-Gerät
Server Watcher verfolgt genau diesen Ansatz. Die App läuft auf Ihrem iPhone oder iPad und führt die Monitoring-Prüfungen direkt vom Gerät aus durch. Die Ergebnisse werden lokal gespeichert. Kein Cloud-Konto nötig, keine Registrierung, keine Datenübermittlung an Dritte.
Das bedeutet: Ihre Server-IPs, Hostnamen, Uptime-Daten und Zertifikatsinformationen verlassen Ihr Gerät nicht. Für IT-Administratoren, die ihre eigene Infrastruktur oder Kundenserver überwachen, ist das die datenschutzfreundlichste Lösung.
Für wen ist Server Watcher besonders geeignet?
- IT-Administratoren: Schnelle Übersicht über den Status aller Server, direkt auf dem iPhone, ohne Cloud-Abhängigkeit.
- Managed-Hosting-Anbieter: Kundenserver überwachen, ohne Kundendaten an einen Monitoring-Dienst zu senden. Ideal für Anbieter mit hohen Datenschutzanforderungen.
- Entwickler mit Compliance-Anforderungen: Wenn Ihre Kunden verlangen, dass keine Infrastrukturdaten an Dritte gehen, ist lokales Monitoring die einzige Option.
- Freelancer und kleine Teams: Kostengünstige Alternative zu Cloud-Monitoring-Abos, ohne monatliche Gebühren und ohne Datenkompromisse.
Server überwachen ohne Cloud-Kompromisse
Server Watcher ist die iOS-App für datenschutzbewusstes Server-Monitoring. Alle Prüfungen laufen lokal auf Ihrem Gerät, keine Cloud, keine Registrierung, keine Datenweitergabe. Ihre Infrastruktur-Daten bleiben bei Ihnen.
Server Watcher entdecken