DSGVO und Datenresidenz beim Malware-Scan

Der Kauf eines Malware-Scanners ist ebenso eine Datenschutz- wie eine Sicherheitsentscheidung, denn die Aufgabe des Produkts besteht darin, jede Datei zu lesen, die Ihre Kunden auf Ihren Server legen. Ob diese Bytes auf der Maschine bleiben, entscheidet darüber, wie viel Papierarbeit und wie viel Risiko Sie mit einkaufen.

Zuerst die Frage nach Art. 28

Kundendateien auf einem Hosting-Server enthalten regelmäßig personenbezogene Daten: Formulareingänge, Rechnungen, hochgeladene Dokumente, im Webverzeichnis vergessene Datenbank-Dumps. Überträgt Ihr Scanner diese Dateien oder Proben davon zur Analyse an den Hersteller, verarbeitet dieser personenbezogene Daten in Ihrem Auftrag. Nach Art. 28 DSGVO bedeutet das einen Auftragsverarbeitungsvertrag mit allem, was dazugehört: dokumentierte Weisungen, Vertraulichkeit, Genehmigung von Unterauftragsverarbeitern, Unterstützungspflichten, Prüfrechte sowie Löschung oder Rückgabe am Ende.

Nichts davon ist unmöglich. Es ist schlicht Arbeit, die Sie übernehmen, und Risiko, das Sie akzeptieren — im Tausch gegen eine Erkennungsfunktion. Die Alternative, Verarbeitung vollständig auf dem Server, den Sie ohnehin kontrollieren, beseitigt die Herstellerbeziehung nicht, nimmt aber die Inhalte der Kundendateien aus ihr heraus.

Art. 32 ist die andere Hälfte. Er verlangt dem Risiko angemessene Maßnahmen „unter Berücksichtigung des Stands der Technik" — dieselbe Formulierung, die § 30 BSIG für die Risikomanagementmaßnahmen nach NIS2 verwendet und die das BSI an den IT-Grundschutz knüpft. Die drei Instrumente greifen bewusst ineinander.

Die Übermittlungsfrage, korrekt formuliert

An dieser Stelle geht Marketingtext regelmäßig schief, deshalb genau, Stand 4. September 2026.

Der Angemessenheitsbeschluss zum EU-US Data Privacy Framework gilt weiter. Das Gericht der Europäischen Union hat die Nichtigkeitsklage von Philippe Latombe am 3. September 2025 abgewiesen (Rechtssache T-553/23, ECLI:EU:T:2025:831); wie die IAPP berichtete , bestätigte das Gericht die Gültigkeit des Rahmens auf Grundlage der Sach- und Rechtslage zum Zeitpunkt des Beschlusses von 2023. Ein Rechtsmittel zum Gerichtshof, C-703/25 P, wurde am 31. Oktober 2025 eingelegt und ist anhängig; ein Urteil oder Schlussanträge gibt es bislang nicht.

Die ehrliche Formulierung, die unabhängig vom Ausgang richtig bleibt:

Übermittlungen in die USA stützen sich derzeit auf einen Angemessenheitsbeschluss, der in erster Instanz bestätigt wurde und beim Gerichtshof angefochten ist — bei jenem Gericht, das beide Vorgängerregelungen für ungültig erklärt hat. Verarbeitung, die die EU nie verlässt, ist von diesem Ausgang in keiner Richtung betroffen.

Wer Ihnen erzählt, das Framework sei gekippt, irrt; wer den Ausgang vorhersagt, rät.

Was das BSI zur cloudgestützten Erkennung tatsächlich sagt

Deutsche Einkäufer greifen zum IT-Grundschutz, und OPS.1.1.4.A3 ist die Anforderung, die am häufigsten falsch zitiert wird. Sie verlangt sinngemäß, dass im professionellen Wirkbetrieb nur Produkte für den Enterprise-Bereich mit passenden Service- und Supportleistungen eingesetzt werden — keine reinen Heimanwenderprodukte, keine Produkte ohne Support — und zur Cloud:

Cloud-Dienste zur Verbesserung der Detektionsleistung der Virenschutzprogramme SOLLTEN genutzt werden. Falls Cloud-Funktionen solcher Produkte verwendet werden, MUSS sichergestellt werden, dass dies nicht im Widerspruch zum Daten- oder Geheimschutz steht.

(IT-Grundschutz OPS.1.1.4 ) Das BSI rät nicht von Cloud-Erkennung ab. Es verlangt, den Zielkonflikt aufzulösen. Ein Produkt, das gute Erkennung erreicht, ohne Inhalte von der Maschine zu schicken, erfüllt beide Hälften, statt eine gegen die andere zu tauschen.

Im selben Baustein stehen die benachbarten Anforderungen: automatisches Blockieren mit zentraler Meldung (A9) sowie die Vorgabe, dass Benutzende keine sicherheitsrelevanten Einstellungen des Virenschutzes ändern können (A5). Deshalb passt ein Dienst auf Hostebene außerhalb der Reichweite des Mandanten besser auf die deutsche Basiserwartung als ein Plugin innerhalb der Website — die technische Begründung dazu steht in warum Webshell-Erkennung auf den Server gehört .

Die Fragen an jeden Anbieter

1. Sendet eine Standardinstallation Dateiinhalte irgendwohin? Nicht „lässt sich das abschalten", sondern: Was tut die Voreinstellung?
2. Was verlässt die Maschine sonst noch: Dateinamen, Pfade, Hashes, Domainnamen, IP-Adressen, Scan-Ergebnisse, Telemetrie?
3. Wo ist das dokumentiert, und beschreiben technische Dokumentation, AV-Vertrag und Lizenzbedingungen dasselbe? Widersprechen sich Herstellerdokumente, ist „welches Dokument gilt?" eine sachliche Einkaufsfrage und kein Vorwurf.
4. Wer verarbeitet wo, mit welchen Unterauftragsverarbeitern? Ein in der EU registriertes Unternehmen ist nicht dasselbe wie Verarbeitung ausschließlich in der EU.
5. Wie sehen Aufbewahrung und Löschung am Vertragsende aus? Die Lieferantenklauseln der Durchführungsverordnung (EU) 2024/2690 machen Datenrückgabe und -löschung bei Vertragsende für Anbieter im Anwendungsbereich zu einem ausdrücklichen Vertragspunkt.
6. Gibt es einen Prüfbericht statt einer Marketingseite?

Für regulierte Käufer sind das keine Höflichkeiten: § 30 BSIG verlangt Maßnahmen zur Lieferkettensicherheit und deren Dokumentation (BSIG 2025 ).

Wo Shelltrap steht, laut eigener Dokumentation

• Standardmäßig verlässt keine Datei, keine Probe und keine Telemetrie den Host. Gescannt wird auf Ihrem Server, in einem unprivilegierten Worker.
• Logs enthalten keine Geheimnisse und keine Dateiinhalte. Funde speichern Pfad, Hash, Größe, Verdikt und die ausgelösten Signale.
• Der Daemon hat standardmäßig kein Netzwerk. Seine systemd-Unit beschränkt die Adressfamilien auf AF_UNIX; das Drop-in, das Netzzugriff erlaubt, wird nur installiert, wenn Sie selbst SMTP- oder Webhook-Ziele konfigurieren.
• Im Normalbetrieb gibt es zwei ausgehende Verbindungen, beide zu Panomity in Deutschland: Lizenzaktivierung und -erneuerung (Lizenzschlüssel, Server-Fingerabdruck, Hostname, Version, Betriebssystem) sowie der Bezug der Signaturfeeds, authentifiziert mit dem Lizenztoken. Der Fingerabdruck ist ein SHA-256 über ein festes Präfix und /etc/machine-id.
• Aufbewahrung ist konfigurierbar, Löschung nie stillschweigend. quarantine.retention_days und findings.retention_days sind Policy-Werte; Quarantänedaten überstehen die Paketentfernung, solange Sie nicht ausdrücklich eine Purge-Variable setzen.

Diese Liste ist bewusst kurz — und sie ist genau das, was wir vor einer Unterschrift von einem Anbieter sehen wollen würden.

Was das für CyberPanel-Betreiber bedeutet

1. Führen Sie die Art.-28-Bewertung Ihres Scanners vor dem Ausrollen durch und legen Sie das Ergebnis ab; § 30 BSIG erwartet Dokumentation, keine Absichten.
2. Fragen Sie, was der Server standardmäßig verlässt, und lassen Sie sich die Antwort in der technischen Dokumentation zeigen.
3. Halten Sie fest, wie Sie bei cloudgestützten Produkten die zweite Hälfte von OPS.1.1.4.A3 erfüllen — und bei lokal arbeitenden Produkten, dass sie lokal arbeiten.
4. Behandeln Sie Funde, Quarantäne und Audit als personenbezogene Daten und setzen Sie die Aufbewahrung bewusst; die passenden Richtlinienschlüssel stehen in der CyberPanel-Einrichtung .
5. Welche Sockets und Dienste auf dem Host tatsächlich existieren, dokumentiert die Installationsdokumentation .

Shelltrap scannt auf Ihrem Server, lässt die Dateien Ihrer Kunden dort, wo sie sind, und spricht mit Panomity nur über Lizenzen und Signaturen. Zum Produkt .