Digital Guardian EU Alternative 2026: Verdasys-Erbe, Fortra PE und CLOUD Act 15/25 — Wenn Kernel-Level-Agenten unter US-Jurisdiktion laufen

Post #1221 in der sota.io EU Cyber Compliance Series — EU-DATA-LOSS-PREVENTION-SERIE #4/5

Ein DLP-System ist kein passives Sicherheitswerkzeug. Es sitzt tief im Betriebssystem — auf jedem Laptop, jedem Server, jeder Workstation. Es liest jede Datei bevor sie geöffnet wird, analysiert jede Tastatureingabe in sensitiven Applikationen, verfolgt jeden USB-Vorgang und protokolliert jeden ausgehenden Datenstrom. Kein anderes Sicherheitsprodukt hat einen vergleichbar tiefen Einblick in das operative Geschäft eines Unternehmens.

Digital Guardian war jahrelang der Maßstab für Endpoint-DLP — gebaut von einem akademisch geprägten Team in Massachusetts, das den damals radikalen Ansatz verfolgte, Datenschutz auf Kernel-Ebene zu verankern. Heute ist das Produkt Teil von Fortra, einem Private-Equity-Konglomerat mit Sitz in Eden Prairie, Minnesota. Die technische Tiefe des Produkts ist geblieben — die rechtliche Jurisdiktion über die gesammelten Daten liegt vollständig in den USA.

Für europäische Compliance-Verantwortliche ergibt das einen CLOUD Act Score von 15/25 und konkrete Handlungsbedarfe.

Die Unternehmensgeschichte: Von Verdasys zum PE-Konglomerat

Verdasys Inc. (2003–2014): Die akademische Gründungsidee

Verdasys wurde 2003 in Waltham, Massachusetts gegründet. Der Ansatz der Gründer unterschied sich fundamental von anderen Security-Startups der Zeit: Statt den Netzwerkperimeter zu schützen, sollte Datenschutz auf der Ebene des Betriebssystem-Kernels entstehen.

Die Grundüberzeugung: Daten sind sicherer, wenn der Schutz so tief im System verankert ist, dass er weder durch Applikationen noch durch Benutzerrechte umgangen werden kann. Der Verdasys-Agent installierte sich als Kernel-Mode-Treiber — mit denselben Privilegien wie das Betriebssystem selbst. Kein Prozess konnte eine Datei öffnen, kopieren oder senden, ohne dass der Agent dies sah und bewertete.

Diese Architektur machte Verdasys zu einer Nischenlösung für Hochsicherheitsbereiche: Finanzdienstleister, Pharmaunternehmen, Rüstungszulieferer, Behörden. Das Wachstum war langsam aber stetig. 2014 erfolgte das Rebranding zu Digital Guardian — eine Entscheidung, die das Produkt aus dem akademischen Umfeld heraus in die breite Enterprise-Welt führen sollte.

Digital Guardian LLC (2014–2022): Wachstum und Übernahme

Als Digital Guardian expandierte das Unternehmen seine Produktlinie: Neben dem klassischen Endpoint-Agenten kamen Network DLP (Analyse des ausgehenden Netzwerktraffics) und Cloud DLP (Integration mit SaaS-Anwendungen wie Microsoft 365, Google Workspace, Salesforce). Die "Aware"-Plattform wurde als zentrale Cloud-Analytik-Komponente eingeführt — alle Events der verteilten Agenten fließen in diesen Cloud-Service ein und werden dort korreliert und analysiert.

Ein zweites Produktfeld entstand: Managed Detection and Response (MDR) via Digital Guardian MSS (Managed Security Service). Kunden können statt eigener Analysten auf Digital Guardian SOC-Teams zurückgreifen — US-basierte Analysten, die kontinuierlich die Sicherheitsdaten europäischer Endpoints überwachen.

2022 wurde Digital Guardian durch HelpSystems übernommen, ein Minnesota-Automatisierungs- und Sicherheitskonglomerat. Unmittelbar nach der Akquisition vollzog HelpSystems ein strategisches Rebranding: Im Januar 2022 wurde das Unternehmen zu Fortra — positioniert als integrierte Cybersecurity-Plattform für Unternehmen.

Fortra (ab 2022): PE-Konglomerat, Eden Prairie MN

Fortra (formerly HelpSystems) sitzt in Eden Prairie, Minnesota, einer Vorstadt von Minneapolis. Das Unternehmen ist privat gehalten und wurde durch aufeinanderfolgende Private-Equity-Transaktionen zu einem Cybersecurity-Konglomerat aufgebaut. Zum Fortra-Portfolio gehören neben Digital Guardian Marken wie Cobalt Strike (ein Penetrationstest-Tool, das auch von Angreifern missbraucht wird), GoAnywhere MFT (File Transfer), Globalscape und weitere.

Die PE-Eigentümerstruktur bedeutet: keine Börsenaufsicht, keine öffentlichen Quartalsberichte, kein mandatiertes Transparency Reporting gegenüber Regulatoren. Die Kapitalstruktur ist nicht öffentlich einsehbar.

Für EU-Compliance-Verantwortliche ergibt sich daraus eine wichtige Implikation: Sie geben sensible Endpoint-Daten an einen Anbieter weiter, der weder durch Börsenpflichten noch durch staatliche Transparenzmechanismen zur Offenlegung verpflichtet ist — und der vollständig unter US-Jurisdiktion operiert.

CLOUD Act Scoring: 15/25

Das sota.io CLOUD Act Scoring-Framework bewertet fünf Dimensionen, jeweils 0–5 Punkte (0 = kein Risiko, 5 = maximales Risiko):

D1: Rechtliche Jurisdiktion (5/5)

Fortra Inc. (formerly HelpSystems) ist ein US-amerikanisches Unternehmen mit Headquarter in Eden Prairie, Minnesota. Die Inkorporation erfolgte in den USA. Als PE-Portfoliounternehmen operiert Digital Guardian vollständig unter US-Bundesrecht und den Jurisdiktionen der US-Bundesstaaten.

Der CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) ermächtigt US-Behörden wie FBI, DEA oder NSA, von US-Unternehmen Herausgabe von Dateni zu verlangen — unabhängig davon, wo die Daten physisch gespeichert sind. Das gilt für alle Server weltweit, alle Cloud-Instanzen, alle Datenverarbeitungsinfrastrukturen. Fortra/Digital Guardian kann sich dieser Verpflichtung rechtlich nicht entziehen. 5/5.

D2: Regierungsbeziehungen und Behördenexposure (3/5)

Digital Guardian — ursprünglich als Verdasys — hat historische Wurzeln in Hochsicherheitsbereichen. Zu den frühen Kunden gehörten Rüstungsunternehmen und Behörden. Fortra als Gesamtkonzern betreibt mit Cobalt Strike ein Werkzeug, das von US-Behörden (CISA, NSA Cybersecurity Directorate) aktiv eingesetzt wird.

Allerdings liegt die Regierungs-Exposierung deutlich unter der von Microsoft (NSA PRISM seit 2007), Raytheon (Defense Contractor) oder Broadcom (Symantec Federal). Fortra hat keine öffentlich bekannten TS/SCI-Clearances oder DoD-IL5-Zertifizierungen auf dem Niveau der anderen DLP-Anbieter dieser Serie. 3/5.

D3: Datenresidenz-Architektur (3/5)

Digital Guardian bietet seit einigen Jahren EU-Datenresidenz-Optionen: Die Aware-Plattform kann auf EU-basierten Cloud-Instanzen (primär AWS Frankfurt/Irland) betrieben werden. Für reine Cloud-Deployment-Szenarien ist eine DSGVO-konforme Datenspeicherung möglich.

Drei kritische Einschränkungen bleiben jedoch:

1. MSS-Services laufen über US-SOCs: Kunden, die Digital Guardian MSS (Managed Security Service) nutzen, transferieren ihre Endpoint-Telemetrie zu US-amerikanischen Analysten. Dieser Transfer ist ein Art.44-DSGVO-Problem.

2. Kernel-Agent-Telemetrie: Auch mit EU-Hosting-Option sendet der Kernel-Agent auf jedem Endpoint kontinuierlich Telemetriedaten. Die genaue Routing-Architektur ist nicht vollständig transparent dokumentiert.

3. Support-Zugriff: Global-Support-Teams (primär US-basiert) können im Rahmen von Support-Eskalationen auf Systemkonfigurationen und Logs zugreifen. 3/5.

D4: KI/Analytics-Datenverarbeitung (2/5)

Die Aware-Plattform ist die zentrale Analytik-Engine von Digital Guardian. Sie korreliert Events von allen Endpoint-Agenten, erkennt Muster (ungewöhnliches Copy-Verhalten, Massendatenexfiltration, Insider-Threat-Indikatoren) und generiert Risiko-Scores für Nutzer.

Diese Analytics sind weniger KI-intensiv als beispielsweise Microsofts Purview ML-Modelle oder der UEBA-Stack von Forcepoint. Die Datenverarbeitung bleibt primär regelbasiert mit statistischer Korrelation. Das reduziert die Analytics-Risikodimension. 2/5.

D5: Transparenz und Legal-Challenge-Historie (2/5)

Fortra veröffentlicht keinen öffentlichen Transparency Report — weder zur Anzahl behördlicher Datenanfragen noch zu erhaltenen National Security Letters (NSL). Dies entspricht dem Standard für PE-gehaltene US-Unternehmen, schafft aber eine Informationslücke für EU-Datenschutzbeauftragte.

Zu vermerken ist, dass Fortras Cobalt Strike 2023 in einem Microsoft/FBI-koordinierten Takedown-Verfahren gegen kriminelle Nutzung eingesetzt wurde — ein indirekter Beleg für behördliche Kooperation. Direktive CLOUD Act-Anfragen für Digital Guardian sind nicht öffentlich bekannt. 2/5.

Gesamtbewertung: 15/25

15/25 ist im Vergleich zur Serie der niedrigste Wert: niedriger als Microsoft Purview (22/25), Symantec DLP (20/25) und Forcepoint (17/25). Das reflektiert, dass Fortra weder die staatlichen Verflechtungen eines Rüstungskonzerns noch die NSA-PRISM-Geschichte eines Tech-Giganten mitbringt. Aber es bleibt ein US-Unternehmen unter CLOUD Act-Jurisdiktion — mit voller Sichtbarkeit auf jeden Endpoint in Ihrer Organisation.

Kern-Compliance-Risiken für EU-Organisationen

Kernel-Level-Zugriff und DSGVO Art.32

Der Kernel-Mode-Treiber von Digital Guardian ist das technisch tiefgreifendste Element des Produkts. Er läuft auf Ring-0-Ebene — dieselbe Ebene wie der Betriebssystem-Kernel selbst. Er sieht:

• Alle Dateioperationen (Lesen, Schreiben, Kopieren, Löschen)
• Alle Clipboard-Operationen
• Alle Netzwerkverbindungen auf Applikationsebene
• Alle Druckvorgänge
• Alle USB-Geräte-Interaktionen
• Screenshot-Aktivitäten

Diese Tiefe der Überwachung ist die Stärke des Produkts aus DLP-Perspektive — und gleichzeitig das größte DSGVO-Risiko. Art.32 DSGVO (Sicherheit der Verarbeitung) verlangt, dass Verantwortliche angemessene technische Maßnahmen implementieren. Wenn diese Maßnahmen unter einem US-Anbieter betrieben werden, der CLOUD Act-pflichtig ist, entsteht ein strukturelles Spannungsfeld: Der Schutz personenbezogener Daten wird durch ein System gewährleistet, das selbst auf personenbezogene Verhaltensdaten zugreift und unter US-Jurisdiktion steht.

MSS-Services und Art.44 DSGVO-Transferverbote

Digital Guardian MSS (Managed Security Service) ist für viele Kunden attraktiv: statt teure eigene CISO/Analyst-Teams aufzubauen, delegieren sie die Sicherheitsüberwachung an Digital Guardian-Experten. Diese Experten sitzen in US-basierten Security Operations Centers (SOCs).

Das schafft ein Art.44-DSGVO-Problem: Jede Übermittlung personenbezogener Daten in Drittländer außerhalb des EWR ist grundsätzlich verboten, sofern kein Angemessenheitsbeschluss, Standardvertragsklauseln (SCCs) oder Binding Corporate Rules (BCRs) vorliegen. Endpoint-Telemetrie enthält regelmäßig personenbezogene Daten (Nutzer-IDs, Dokumente, Verhaltensmuster). Die SCCs-Einschränkung durch den EuGH in Schrems II (2020) und die Nachfolgeurteile verschärfen diese Anforderungen.

Kunden, die MSS nutzen, müssen sicherstellen, dass korrekte Transfermechanismen vorliegen und ein Transfer Impact Assessment (TIA) nach Art.46 DSGVO durchgeführt wurde. In der Praxis fehlen diese Dokumentationen häufig.

Aware-Plattform und Art.35 DSGVO-DSFA

Die Aware-Plattform von Digital Guardian analysiert das Verhalten individueller Nutzer auf Endpoint-Ebene. Sie generiert Insider-Threat-Scores — Wahrscheinlichkeitsbewertungen, ob ein bestimmter Mitarbeiter als Sicherheitsrisiko einzustufen ist.

Diese Verarbeitung fällt unter Art.35 DSGVO (Datenschutz-Folgenabschätzung, DSFA). Kriterien für eine DSFA-Pflicht nach Art.35 Abs.3:

• Systematische und umfassende Bewertung natürlicher Personen (Insider-Threat-Scoring: ✓)
• Automatisierte Verarbeitung mit erheblichen Auswirkungen (Verhaltensüberwachung: ✓)
• Verarbeitung besonderer Kategorien oder Vorstrafen-Daten (indirekt durch Verhaltensprofile: ✓)

Vor dem Einsatz von Digital Guardian MSS/Aware ist daher obligatorisch eine vollständige DSFA durchzuführen und in der Regel die zuständige Datenschutzaufsichtsbehörde vorab zu konsultieren (Art.36 DSGVO).

NIS2 Art.21 und Beschaffungsrisiko

NIS2 Art.21(2)(j) verlangt von kritischen Einrichtungen die Umsetzung von "Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern". Digital Guardian/Fortra als Tier-1-Sicherheitslieferant unter US-Jurisdiktion ist selbst ein Lieferketten-Risiko, das bewertet und dokumentiert werden muss.

NIS2-pflichtige Einrichtungen (essential entities und important entities) müssen dieses Risiko in ihrer Risikoanalyse nach Art.21 Abs.1 berücksichtigen und geeignete Maßnahmen treffen. Eine pure Risikoakzeptanz ohne Dokumentation und Genehmigung durch die Geschäftsleitung ist nicht ausreichend.

EU-native DLP-Alternativen: Der CLOUD Act-Kontrastcheck

Im Rahmen dieser Serie testen wir EU-native Alternativen anhand desselben 25-Punkte-Frameworks. Das Ergebnis zeigt, wie radikal der Unterschied sein kann:

Safetica (Tschechien): 0/25

Safetica Technologies s.r.o. wurde 2007 in Prag, Tschechien gegründet. Das Unternehmen ist vollständig in der EU inkorporiert und untersteht tschechischem sowie EU-Recht.

• D1 (Jurisdiktion): Tschechische s.r.o. (GmbH-Äquivalent), EU-Rechtssystem. Kein CLOUD Act anwendbar. 0/5.
• D2 (Regierungsbeziehungen): Kein bekannter US-Regierungsvertrag, keine TS/SCI-Infrastruktur. 0/5.
• D3 (Datenresidenz): Vollständig EU-hosted, DSGVO-native Architektur. 0/5.
• D4 (Analytics): EU-basierte Analytics, keine US-Cloud-Abhängigkeit. 0/5.
• D5 (Transparenz): EU-Unternehmen, DSGVO-Auskunftsrechte vollständig durchsetzbar. 0/5.
• Gesamt: 0/25. Kein strukturelles CLOUD Act-Risiko.

Einschränkungen: Safetica ist im Enterprise-Segment weniger feature-reich als Digital Guardian. Kernel-Level-Tiefe vergleichbar für Endpoint-DLP, aber weniger ausgereifte Cloud-DLP-Integration. MSS-Service ist begrenzter. Für mittelständische Unternehmen (50–5.000 Mitarbeiter) ohne US-Geschäftsverbindungen eine sehr valide EU-native Option.

EgoSecure / Matrix42 (Deutschland): 0/25

EgoSecure GmbH wurde 2007 in Ettlingen, Baden-Württemberg gegründet und 2020 in Matrix42 AG integriert (Frankfurt am Main). Matrix42 ist ein deutsches Unternehmen mit Fokus auf Unified Endpoint Management und Security.

• D1 (Jurisdiktion): Deutsche AG, deutsches und EU-Recht. 0/5.
• D2: Kein US-Regierungskontext. 0/5.
• D3: EU-Datenresidenz nativ. 0/5.
• D4: Keine US-Cloud-Analytics. 0/5.
• D5: BSI-Zertifizierungen möglich, vollständige EU-Rechtsdurchsetzbarkeit. 0/5.
• Gesamt: 0/25.

Einschränkungen: Matrix42/EgoSecure fokussiert primär auf Windows-Endpoints im Mittelstand. Internationale Deployments (Mac, Linux, mobile) sind eingeschränkter als Digital Guardian. Starke Marktposition in der DACH-Region. BSI-Grundschutz-Kompatibilität ist ein Vorteil für Behörden und öffentliche Einrichtungen.

SECUDE HALOCORE (Schweiz/Deutschland): 0/25

SECUDE AG wurde 2000 in Darmstadt gegründet und hat heute Hauptsitze in der Schweiz und Deutschland. HALOCORE ist die DLP-Lösung mit besonderem Fokus auf SAP-Datenintegration und strukturierte Unternehmensdaten.

• D1: Schweizer AG + Deutsche GmbH-Strukturen. Schweiz hat kein CLOUD Act-Äquivalent, EU-Datenschutz über Angemessenheitsbeschluss. 0/5.
• D2: Kein US-Regierungskontext. 0/5.
• D3: EU/CH-Hosting, keine US-Abhängigkeit. 0/5.
• D4: Regelbasierte Verarbeitung ohne US-Cloud-Analytics. 0/5.
• D5: DSGVO-konform, vollständige Rechtsdurchsetzbarkeit. 0/5.
• Gesamt: 0/25.

Einschränkungen: SECUDE HALOCORE ist spezialisiert auf SAP-DLP (DLP für SAP-Daten und -Prozesse). Für Organisationen mit SAP-zentrierter IT-Landschaft ist dies ein erheblicher Vorteil. Für generische Endpoint-DLP ohne SAP-Kontext ist die Lösung weniger passend.

Vergleichsmatrix: DLP-Anbieter CLOUD Act Score

Entscheidungsmatrix: Sechs Szenarien

Szenario 1: Finanzdienstleister unter DORA-Aufsicht

Profil: Bank oder Versicherung, DORA Art.9/10 (IKT-Risikomanagement), BaFin-Aufsicht.

Empfehlung: EU-native (Safetica oder EgoSecure/Matrix42).

DORA verlangt von Finanzinstituten vollständige Kontrolle über IKT-Risiken. Ein US-hosted DLP-System mit CLOUD-Act-Exposierung ist ein regulatorisches Risiko, nicht nur ein technisches. BaFin und EZB haben in Supervisory Guidance klar gemacht, dass kritische Sicherheitsfunktionen unter nachvollziehbarer Rechtsordnung betrieben werden müssen. Digital Guardian wäre vertretbar mit vollständiger EU-Residenz und SCCs, aber die MSS-Option würde eine aufwendige Zusatzprüfung erfordern.

Szenario 2: Pharmaunternehmen mit R&D-Schutz

Profil: Pharmaunternehmen, IP-Schutz für Forschungsdaten, US-Geschäftsverbindungen.

Empfehlung: Digital Guardian möglich, mit vollständiger DSFA.

Pharmaunternehmen mit aktiven US-Geschäftsbeziehungen, US-FDA-Zulassungsprozessen und globalen Teams können Digital Guardian unter Einhaltung der DSGVO-Transfermechanismen (SCCs) einsetzen. Der 15/25-Score ist der niedrigste in der US-DLP-Serie. Bedingung: Keine MSS-Nutzung ohne vollständige DSFA, Transfer Impact Assessment und Genehmigung des Datenschutzbeauftragten.

Szenario 3: Öffentliche Verwaltung / Bundesbehörde

Profil: Deutsche Bundesbehörde, BSI-Grundschutz-Pflicht.

Empfehlung: EgoSecure/Matrix42.

Öffentliche Einrichtungen in Deutschland unterliegen dem BSI-IT-Grundschutz und dem Gebot der digitalen Souveränität. US-Jurisdiktion ist für Behörden-IT ein strukturelles Problem. EgoSecure/Matrix42 bietet BSI-Grundschutz-Kompatibilität, deutsche Hosting-Optionen und deutsches Rechtssystem. Keine CLOUD-Act-Exposierung.

Szenario 4: Mittelständler mit EU-only-Betrieb

Profil: Mittelständler, 100–2.000 Mitarbeiter, EU-only operations.

Empfehlung: Safetica.

Für EU-fokussierte Mittelstandsunternehmen ohne US-Betrieb ist ein US-DLP-System mit globalem SOC-Overhead überdimensioniert. Safetica bietet den typischen Feature-Scope (Endpoint, Email, Cloud-Storage-Kontrolle) zu deutlich niedrigeren Total Cost of Ownership (TCO) — und ohne CLOUD Act-Risiko.

Szenario 5: Globales Unternehmen mit US-Headquarters

Profil: Europäische Tochtergesellschaft eines US-Konzerns, zentralisiertes Security-Tool.

Empfehlung: Digital Guardian akzeptabel, wenn Konzern-Policy vorhanden.

Wenn die US-Muttergesellschaft bereits Digital Guardian konzernweit betreibt, ist die lokale EU-Tochter in ein bestehendes Compliance-Framework eingebettet. Konzern-SCCs, Binding Corporate Rules oder ein Privacy Shield-Nachfolger-Framework können die Transferanforderungen abdecken. Dokumentation und DPO-Konsultation sind Pflicht.

Szenario 6: Insider-Threat-Fokus mit Managed Services

Profil: Großunternehmen, aktives Insider-Threat-Programm, begrenzte eigene Analysten.

Empfehlung: Kritische Prüfung von Digital Guardian MSS.

Die MSS-Option von Digital Guardian ist technisch attraktiv. Aber: US-SOC-Analysten, die EU-Endpoint-Telemetrie überwachen, erfordern Art.46-Transfermechanismen, vollständige DSFA-Dokumentation, Betriebsratseinbindung (in D/A: Mitbestimmungsrecht bei Verhaltensüberwachung) und regelmäßige TIA-Reviews. Diese Anforderungen sind erfüllbar — erhöhen aber die administrative Last erheblich. Alternativ: EU-native SIEM/MDR-Kombination mit Safetica-Endpoint-DLP und einem europäischen SOC-Anbieter.

Technische Bewertung: Was bleibt von Digital Guardian?

Stärken

Kernel-Level-Vollständigkeit: Kein anderes DLP-System in dieser Serie hat eine vergleichbar tiefe Endpoint-Sichtbarkeit. Der Kernel-Mode-Treiber übersieht keine Datenbewegung — das ist die unbestrittene technische Stärke des Verdasys-Erbes.

Content-Aware Policy: Digital Guardian unterstützt "Deep Content Inspection" (DCI) für strukturierte und unstrukturierte Daten: Mustererkennung in Dokumenten (z.B. IBAN, SWIFT, Personalausweisnummern, Krankenakten-Codes), nicht nur auf Dateinamens- oder MIME-Type-Basis.

Flexible Deployment: On-premises, Cloud (AWS EU) und Hybrid-Szenarien sind möglich — mehr Flexibilität als manche Konkurrenten.

Betriebssystem-Coverage: Windows (primär), macOS und Linux werden unterstützt. Für heterogene Enterprise-Environments ein wichtiger Faktor.

Schwächen aus EU-Perspektive

PE-Konglomerat-Risiko: Fortra als PE-Konglomerat durchläuft typische Investitionszyklen von 5–8 Jahren. Produktentwicklung und Support-Kontinuität können durch Renditedruck und mögliche Weiterverkäufe beeinträchtigt werden. Für langfristige Sicherheitsinfrastruktur ein relevantes Risiko.

Keine Börsenaufsicht: Im Gegensatz zu Microsoft (NASDAQ:MSFT), Broadcom (NASDAQ:AVGO) oder Palo Alto Networks (NASDAQ:PANW) ist Fortra nicht börsenkotiert. Bilanzinformationen, Management-Entscheidungen und Compliance-Status sind nicht öffentlich einsehbar.

MSS = strukturelles Transferrisiko: Die MSS-Option erfordert Art.44-Compliance-Mechanismen. Viele Kunden nutzen MSS ohne vollständige DSGVO-Transferdokumentation — ein regulatorisches Risiko, das bei DPA-Audits auffällt.

Support-Zugriffspotential: Global-Support-Teams (US-primär) können im Eskalationsfall auf Systemkonfigurationen zugreifen. Dieses "support access risk" ist selten in SLAs vollständig transparent adressiert.

Compliance-Roadmap: Digital Guardian DSGVO-konform betreiben

Wenn Ihre Organisation Digital Guardian bereits einsetzt oder evaluiert, sind folgende Schritte für einen nachweisbar DSGVO-konformen Betrieb erforderlich:

Schritt 1: DSFA (Art.35 DSGVO) Vollständige Datenschutz-Folgenabschätzung für die Endpoint-Überwachung. Einbeziehung des Datenschutzbeauftragten. Bei Risiko: DPA-Vorabkonsultation (Art.36).

Schritt 2: Transfermechanismus (Art.46 DSGVO) Standardvertragsklauseln (SCCs, neue Version ab 2021) mit Fortra/Digital Guardian abschließen. Transfer Impact Assessment (TIA) für die Rechtsordnung Minnesota/USA durchführen.

Schritt 3: MSS-Entscheidung Entscheiden, ob MSS genutzt wird. Wenn ja: Transfermechanismus speziell für MSS-SOC-Zugriff dokumentieren. Datenschutzbeauftragten einbinden. Betriebsrat informieren/beteiligen (Deutschland: § 87 Abs.1 Nr.6 BetrVG).

Schritt 4: Datenresidenz-Konfiguration Aware-Plattform auf EU-Hosting konfigurieren. Nachweis der EU-Datenspeicherung dokumentieren. Keine US-Routing-Pfade für EU-Tenant-Daten.

Schritt 5: Regelmäßige TIA-Reviews US-Rechtslage ändert sich. Nach FISA-Reauthorisierungen, neuen NSA-Ausführungsbestimmungen oder CLOUD Act-Anwendungsfällen in der Rechtsprechung: TIA aktualisieren.

Fazit: Der "beste" US-DLP-Anbieter ist noch kein EU-nativer

Digital Guardian mit 15/25 CLOUD Act Score ist der am wenigsten riskante US-DLP-Anbieter dieser Serie. Das Verdasys-Erbe bringt echte technische Tiefe, und Fortra hat weniger staatliche Verflechtungen als Raytheon oder Microsoft.

Aber 15/25 ist noch immer 15/25. Der Kernel-Level-Agent auf jedem EU-Endpoint gibt einem US-PE-Konglomerat maximale Sichtbarkeit auf das operative Geschäft Ihrer Organisation. Die MSS-Option transferiert Endpoint-Telemetrie in US-SOCs. Und der CLOUD Act ermächtigt US-Behörden, diese Daten anzufordern — unabhängig von SLAs, SCCs oder vertraglichen Garantien.

EU-native Alternativen wie Safetica, EgoSecure/Matrix42 oder SECUDE HALOCORE bieten 0/25 — vollständige Eliminierung dieses strukturellen Risikos. Sie sind derzeit in bestimmten Enterprise-Segmenten weniger feature-reich, aber für viele EU-Organisationen die strategisch sauberere Wahl.

Die EU-DATA-LOSS-PREVENTION-SERIE wird im nächsten Post mit dem Comparison Finale abgeschlossen: Microsoft Purview vs. Symantec DLP vs. Forcepoint DLP vs. Digital Guardian — die direkte Gegenüberstellung mit Empfehlungsmatrix für sechs Unternehmensprofile.

sota.io EU Cyber Compliance Series — über 1.220 Posts zu EU-Datenschutz, DSGVO, NIS2, DORA und digitaler Souveränität. Das sota.io CLOUD Act Scoring-Framework bewertet US-SaaS-Anbieter nach fünf Dimensionen: Jurisdiktion, Regierungsbeziehungen, Datenresidenz, Analytics-Risiko und Transparenz.