Die DSGVO-Klon-Checkliste des DBA

28. April 2026 5 Min. Lesezeit Checkliste

Zwölf Prüfungen, die jedes SQL-Server-Team bestehen sollte, bevor ein einziges Byte Produktionsdaten in einer Nicht-Prod-Umgebung landet. Kopieren, einfügen, ausführen.

Warum das wichtig ist

Der schwierigste Teil der DSGVO für Engineering-Teams ist nicht die Produktion. Produktion hat Logging, Zugriffskontrolle, Verschlüsselung im Ruhezustand, Audit-Trails. Der schwierige Teil ist überall dort, wo sich Produktionsdaten verbreiten: Dev, QA, UAT, Staging, der Laptop, auf dem ein Auftragnehmer letzten Dienstag eine Sicherung wiederhergestellt hat. Dort passieren die meisten Lecks, und dort scheitern die meisten Audits tatsächlich.

Wenn Sie auf alle zwölf mit „Ja" antworten können, haben Sie die dominante DSGVO-Risikoklasse in Ihrem SQL-Server-Bestand effektiv eliminiert. Wenn nicht, ist das die Reihenfolge, in der man sie korrigiert.

Die zwölf Prüfungen

1. Wir haben ein aktuelles Inventar der PII-Spalten

Jede Datenbank, jede Tabelle, jede Spalte mit personenbezogenen Daten — irgendwo niedergeschrieben, das nicht verloren geht, wenn der leitende DBA in Urlaub fährt.

2. PII werden maskiert, bevor die Datenbankdatei gespeichert wird

Nicht „nach der Wiederherstellung". Nicht „im nächsten Wartungsfenster". Bevor die Datei auf einer Nicht-Prod-Disk landet. Maskieren Sie zur Importzeit, damit produktionsreife PII gar nicht erst in eine Nicht-Prod-Umgebung gelangen.

3. Die Maskierungsstrategie pro Spalte ist dokumentiert

Für jede PII-Spalte: welche Strategie (partiell / redigiert / nullifiziert) und warum. Auditoren lieben das, weil es zeigt, dass die Entscheidungen bewusst getroffen wurden.

4. Maskierung wird von der Plattform durchgesetzt, nicht von Menschen

Wenn Ihre Maskierung in einem Skript lebt, an dessen Ausführung sich jemand erinnern muss, wird sie übersprungen. Der Workflow sollte die Existenz eines unmaskierten Klons gar nicht erst zulassen.

5. Jedes Klon-Ereignis wird protokolliert

Wer, Wann, Quell-Image, Zielserver, angewandte Maskierung. Eine Zeile pro Klon. Exportierbar.

6. Self-Service ist rollengesteuert

Self-Service ist ein Feature, kein Standard für alle. Beschränken Sie das Anlegen von Klonen auf die Personen, die es brauchen.

7. Nicht-Prod-Anmeldedaten unterscheiden sich von der Produktion

Unterschiedliche SA-Passwörter pro Umgebung. Unterschiedliche Dienstkonten. Produktions-Geheimnisse bleiben in der Produktion.

8. Es gibt einen Ein-Klick-Maskierungsbericht

Wenn die Aufsichtsbehörde fragt „Zeigen Sie mir Ihren Maskierungsnachweis", sollten Sie eine CSV / Excel / PDF in unter fünf Minuten erstellen können — nicht durch Ausführen einer SQL-Abfrage gegen die masking_log-Tabelle.

9. Versionsübergreifendes Klonen wird validiert

Eine SQL-Server-2022-Datenbank auf eine 2017er-Instanz zu klonen, bricht stillschweigend die Kompatibilitätsstufen. Validieren Sie die Versionskompatibilität explizit beim Klonen — und brechen Sie ab, wenn etwas brechen würde.

10. Es gibt eine Aufbewahrungsrichtlinie für Nicht-Prod-Klone

Auch ein maskierter Klon sind Daten. Lassen Sie ihn ablaufen. Drei Monate. Sechs Monate. Wählen Sie eine Zahl, schreiben Sie sie auf, setzen Sie sie durch.

11. Wir haben den Audit geprobt

Tabletop: „Aufsichtsbehörde fragte gerade nach dem Maskierungsnachweis des letzten Quartals". Wenn Ihr Team ihn in fünf Minuten erstellen kann, bestehen Sie. Wenn sie durch SSMS-Verlauf grepen müssen, nicht.

12. Wir wissen genau, wohin Datenbankdateien reisen

Wenn ein Klon-Werkzeug Sicherungen, Schemata oder Metadaten in die Cloud sendet, sollten Sie auf den Vertrag zeigen können, der das besagt. Wenn nicht, sollte Ihr Werkzeug der Wahl standardmäßig selbst gehostet sein — wie DataTamed.

Zwölf Prüfungen, die jedes SQL-Server-Team bestehen sollte, bevor Produktionsdaten Nicht-Prod erreichen. Zum Teilen klicken

Wie DataTamed alle zwölf Punkte standardmäßig umsetzt

Wir haben diese Checkliste nicht als Verkaufsdokument geschrieben — sie ist wirklich das Praxishandbuch, das wir uns vor Jahren gewünscht hätten. Aber seien wir ehrlich: DataTamed wurde so entworfen, dass jeder dieser zwölf Punkte standardmäßig erfüllt wird, ohne Konfiguration:

• Automatische Erkennung von sechs PII-Kategorien zur Importzeit (Nr. 1, Nr. 2)
• Auswahl der Maskierungsstrategie pro Spalte (Nr. 3)
• Maskierung auf Plattformebene erzwungen — es gibt keinen „Maskierung überspringen"-Schalter (Nr. 4)
• Jedes Klon-, Maskierungs- und Sicherungsereignis in exportierbaren Berichten protokolliert (Nr. 5, Nr. 8, Nr. 11)
• Rollenbasierte Zugriffskontrolle, eindeutige API-Schlüssel pro Agent (Nr. 6, Nr. 7)
• Automatische Validierung der SQL-Server-Versionskompatibilität im Klon-Assistenten (Nr. 9)
• Standardmäßig selbst gehostet — der Server läuft in Ihrem Netzwerk, Punkt (Nr. 12)

Wenn Sie eine vollständige Tour wünschen, deckt die Compliance- & DSGVO-Anwendungsfall-Seite jeden der zwölf Punkte im Detail ab, mit Screenshots aus dem tatsächlichen Produkt. Oder springen Sie direkt in eine 14-tägige kostenlose Testversion und gehen Sie die Checkliste mit Ihren eigenen Daten durch.

← Zurück zu allen Artikeln