Trend Micro Cloud One EU Alternative 2026: CLOUD Act 17/25 und EU-nativer CWPP Stack

Post #1240 in der sota.io EU Cloud Workload Protection (CWPP) Serie

Trend Micro Cloud One ist die Cloud-Sicherheitsplattform von Trend Micro Incorporated (Tokio, Japan; TYO: 4704) — einem der ältesten und größten Cybersecurity-Anbieter weltweit. Im Gegensatz zu den bisher analysierten CWPP-Plattformen dieser Serie (Wiz.io: 21/25, Prisma Cloud: 20/25) ist Trend Micro kein US-Unternehmen: Der Hauptsitz liegt in Tokio, die Aktien notieren an der Tokyo Stock Exchange, und Japan besitzt seit Januar 2019 einen EU-Angemessenheitsbeschluss.

Das klingt nach einer guten Ausgangslage für EU-Organisationen — aber der Teufel steckt im Detail: Die operative Tochtergesellschaft für den US-Markt und wesentliche Teile des Cloud-One-Betriebs ist Trend Micro Inc., Irving, Texas — eine Delaware C-Corporation. Diese US-Subsidiary unterliegt vollständig dem US Clarifying Lawful Overseas Use of Data Act (CLOUD Act, 18 U.S.C. § 2713). Der japanische Angemessenheitsbeschluss der EU schützt nicht vor CLOUD Act-Anfragen an die US-Tochtergesellschaft.

Dieser Leitfaden analysiert Trend Micro Cloud Ones CLOUD Act Score (17/25), erklärt das Japan-Adequacy-Missverständnis und zeigt EU-native CWPP-Alternativen.

Was ist Trend Micro Cloud One?

Trend Micro Cloud One ist eine einheitliche Sicherheitsplattform für Cloud-native Umgebungen, die aus mehreren früheren Produkten zusammengeführt wurde — zentrales Element war Deep Security, seit 1999 Trend Micros Flaggschiff für Server-Workload-Protection.

Das Cloud One Workload Security Modul (ehemals Deep Security as a Service) ist besonders kritisch aus DSGVO-Perspektive: Der Deep Security Agent wird auf jedem geschützten Server/Container als privilegierter Prozess ausgeführt und überträgt granulare Telemetrie — einschließlich Prozess-Namen, Dateisystem-Zugriffe und Netzwerkverbindungen — an die Cloud One Console.

Unternehmensstruktur: Japan-Mutter und US-Tochter

Die Holding-Struktur von Trend Micro ist für EU-Compliance-Teams ungewohnt komplex:

Trend Micro Incorporated (日本法人 — Tokio, Japan)

• Gründungsjahr: 1988 (Taipeh, Taiwan; Umzug nach Tokio 1992)
• Börsennotierung: Tokyo Stock Exchange (TYO: 4704) — japanisches Recht
• Hauptsitz: Shibuya, Tokio, Japan
• EU-Adequacy: Japan hat seit 23. Januar 2019 einen EU-Angemessenheitsbeschluss (erneuert 2023 per EDPB Opinion). Gilt für Datenübermittlungen an japanische Unternehmen, die der APPI (Act on the Protection of Personal Information) unterliegen.
• CLOUD Act Exposure als japanische Entität: Keine direkte CLOUD Act-Exposition — Japan ist kein MLAT-Partner mit automatischer Zugangsverpflichtung.

Trend Micro Inc. (US-Tochtergesellschaft — Irving, Texas)

• Rechtsform: Delaware C-Corporation
• Hauptsitz: 225 E. John Carpenter Freeway, Irving, TX 75062
• Funktion: US-Vertrieb, US-Behördengeschäft (FedRAMP), wesentliche Cloud-One-Backend-Infrastruktur
• CLOUD Act Exposition: Vollständig. Als Delaware C-Corporation, die Daten verarbeitet, ist Trend Micro Inc. unter 18 U.S.C. § 2713 verpflichtet, US-Behörden auf Anfrage Zugang zu gespeicherten Kommunikationsdaten zu gewähren — unabhängig davon, wo diese Daten physisch gespeichert sind.

Das Japan-Adequacy-Missverständnis

Die häufigste Fehlannahme: "Trend Micro hat Hauptsitz in Japan, Japan hat EU-Adequacy — also kein CLOUD Act Problem." Diese Logik ist aus drei Gründen falsch:

1. Adequacy ≠ CLOUD Act-Freiheit

Der EU-Angemessenheitsbeschluss für Japan (Art. 45 DSGVO) regelt Datenübermittlungen von der EU nach Japan unter japanisches Recht. Er sagt nichts darüber aus, ob Unternehmen mit US-Tochtergesellschaften dem CLOUD Act unterliegen.

2. Die US-Tochter ist der Betroffene

Der CLOUD Act verpflichtet US-Personen (US Persons, 18 U.S.C. § 2703) zur Datenherausgabe — das schließt US-amerikanische Tochtergesellschaften ausländischer Konzerne explizit ein. Trend Micro Inc. (Texas/Delaware) ist eine US-Person. Der japanische Konzern kann die US-Tochter nicht vor CLOUD Act-Anfragen schützen.

3. Konzernweiter Datenzugriff

In der Praxis besteht zwischen Trend Micro Inc. (US) und Trend Micro Incorporated (Japan) konzerninterner Datenzugriff für Betrieb, Support und Entwicklung. Eine CLOUD Act-Anfrage an die US-Tochter kann faktisch Zugriff auf Daten ermöglichen, die im Konzernverbund in Japan oder Europa verarbeitet werden.

EU-Workload (z.B. Frankfurt)
  ↓ Deep Security Agent übermittelt Runtime-Telemetrie
  ↓ Trend Micro Cloud One Console (US-Infrastruktur/Trend Micro Inc. TX)
  ↓ National Security Letter / FISA-Beschluss an Trend Micro Inc. Delaware
  ↓ Keine Benachrichtigungspflicht gegenüber EU-Kunde
  ↓ Kein Schutz durch Japan-Adequacy der Muttergesellschaft

CLOUD Act Risiko-Analyse: 17/25

Trend Micro Cloud One erzielt auf unserem 5-Dimensionen-Framework 17 von 25 Punkten — den niedrigsten Score der aktuellen CWPP-Serie, aber dennoch signifikant über EU-nativen Alternativen:

Vergleich in der EU-CWPP-Serie

FedRAMP Moderate: Was bedeutet das für EU-Kunden?

Trend Micro Cloud One Workload Security trägt FedRAMP Moderate Authorization — die mittlere Stufe des US Federal Risk and Authorization Management Program. Das bedeutet:

• Positiv: Trend Micro Cloud One ist kein FedRAMP-High-Anbieter wie Wiz.io oder Prisma Cloud. Die Behördenzugang-Infrastruktur ist weniger tief integriert.
• Negativ: FedRAMP Moderate belegt, dass die technischen und rechtlichen Strukturen für US-Bundesbehörden-Datenzugang vorhanden sind. Diese Strukturen können auch für CLOUD Act-Anfragen genutzt werden.
• Für EU-Kunden: FedRAMP-Status ist kein Indiz für erhöhte EU-Datensicherheit — er ist ein Signal, dass das Unternehmen aktiv US-Regierungsverträge anstrebt.

DSGVO Art. 32 TOM-Analyse

Für EU-Organisationen unter DSGVO ist Art. 32 (Technische und Organisatorische Maßnahmen) relevant:

EU-native CWPP Alternativen

Option 1: NeuVector (SUSE) — Primärempfehlung für Container Runtime Security

Unternehmensstruktur: SUSE S.A. — luxemburgische S.A. (Société Anonyme), operative Zentrale in Nürnberg, Deutschland. Kein US-Parent, kein CLOUD Act.

CLOUD Act Score: 0/25 (EU-native, kein US-Nexus)

NeuVector ersetzt die Kernfunktionen von Trend Micro Cloud One Workload Security und Container Security mit vollständig selbst-gehostetem Ansatz:

# NeuVector Helm Deployment — EU-native, vollständig self-hosted
helm repo add neuvector https://neuvector.github.io/neuvector-helm/
helm install neuvector neuvector/core \
  --namespace neuvector \
  --create-namespace \
  --set manager.env.ssl=true \
  --set controller.replicas=3 \
  --set scanner.replicas=3 \
  --set enforcer.tolerations[0].operator=Exists \
  --set cve.updater.schedule="0 0 * * *"

Funktionsvergleich Trend Micro Cloud One Workload Security vs. NeuVector:

Option 2: Falco (CNCF) — Runtime Threat Detection

Unternehmensstruktur: Falco ist ein CNCF (Cloud Native Computing Foundation) Graduated Project — Open-Source-Software unter Apache 2.0 Lizenz. Keine Unternehmensstruktur, kein CLOUD Act.

Falco ersetzt die Runtime-Detection-Komponente von Trend Micro Cloud One Workload Security:

# Falco Helm Deployment mit eBPF-Probe (kein Kernel-Modul nötig)
helm repo add falcosecurity https://falcosecurity.github.io/charts
helm install falco falcosecurity/falco \
  --namespace falco \
  --create-namespace \
  --set driver.kind=ebpf \
  --set falcosidekick.enabled=true \
  --set falcosidekick.config.slack.webhookurl="" \
  --set falcosidekick.config.elasticsearch.hostport="http://elasticsearch:9200"

Beispiel: Falco-Regel für typische Trend Micro-äquivalente Detection

# Falco Custom Rules — EU-native Runtime Detection
- rule: Trend_Equivalent_Privileged_Shell_in_Container
  desc: >
    Erkennt Shell-Spawning in Containern — äquivalent zu Trend Micro
    Cloud One Workload Security Process Control
  condition: >
    spawned_process
    and container
    and proc.name in (shell_binaries)
    and not proc.pname in (allowed_parent_processes)
  output: >
    Shell spawned in container (user=%user.name container=%container.name
    image=%container.image.repository cmd=%proc.cmdline)
  priority: WARNING
  tags: [container, shell, mitre_execution, gdpr_art32]

- rule: EU_Sensitive_Data_Access
  desc: Erkennt Zugriff auf DSGVO-relevante Datenpfade
  condition: >
    open_read
    and fd.name startswith /etc/passwd
    and not proc.name in (allowed_readers)
  output: >
    Sensitive file read (file=%fd.name user=%user.name
    proc=%proc.name container=%container.name)
  priority: WARNING
  tags: [gdpr_art32, dsgvo, sensitive_data]

Option 3: Trivy + KubeArmor — Image Scanning und Policy Enforcement

Trivy (Aqua OSS): Open-Source-Vulnerability-Scanner unter Apache 2.0. Als OSS-Tool kein CLOUD Act-Nexus — anders als Aqua Security SaaS (18/25 in der EU-CSPM-Serie).

# Trivy Image Scan — EU-native, keine Telemetrie-Übermittlung
trivy image --severity HIGH,CRITICAL \
  --compliance docker-cis \
  --format sarif \
  --output results.sarif \
  myapp:latest

# Trivy als Kubernetes Operator (kontinuierliche Scanning)
helm repo add aqua https://aquasecurity.github.io/helm-charts/
helm install trivy-operator aqua/trivy-operator \
  --namespace trivy-system \
  --create-namespace \
  --set trivy.ignoreUnfixed=false \
  --set operator.scanJobTimeout=5m

KubeArmor (CNCF Sandbox Project): Policy-Enforcement-Engine für Kubernetes, basierend auf eBPF/AppArmor/SELinux. Ersetzt Trend Micro Cloud One Container Security Admission Control:

# KubeArmor Security Policy — Äquivalent zu Trend Micro Container Security Policy
apiVersion: security.kubearmor.com/v1
kind: KubeArmorPolicy
metadata:
  name: eu-baseline-workload-policy
  namespace: production
spec:
  selector:
    matchLabels:
      app: backend
  process:
    matchPaths:
    - path: /bin/bash
      action: Block
    - path: /bin/sh
      action: Block
  file:
    matchDirectories:
    - dir: /proc/
      recursive: true
      action: Block
    - dir: /etc/shadow
      action: Block
  network:
    matchProtocols:
    - protocol: raw
      action: Block
  action: Audit

Option 4: Vollständiger EU-CWPP-Stack (Self-hosted)

Kombination der oben genannten Tools ersetzt alle Trend Micro Cloud One Module vollständig:

# Helm-basierter EU-CWPP-Stack (Terraform/ArgoCD)
# Namespace-Setup
namespaces:
  - neuvector       # Runtime Protection (NeuVector/SUSE)
  - falco           # Threat Detection (CNCF)
  - trivy-system    # Vulnerability Scanning (OSS)
  - kubearmor       # Policy Enforcement (CNCF)
  - prowler         # Cloud Posture (OSS)

# Gesamtkosten vs Trend Micro Cloud One:
# Trend Micro Cloud One: ~$15-25/node/month (Enterprise License)
# EU-OSS-Stack: $0 License + ~$2-5/node/month Compute = 70-85% Kostenersparnis

DSGVO, NIS2 und DORA: Rechtliche Anforderungen

DSGVO Art. 32 — Technische und Organisatorische Maßnahmen

Art. 32 DSGVO erfordert "geeignete technische und organisatorische Maßnahmen" unter Berücksichtigung von:

• Dem Stand der Technik (Art. 32(1))
• Den Implementierungskosten (Art. 32(1))
• Art, Umfang, Umständen und Zwecken der Verarbeitung (Art. 32(1))
• Den Risiken für die Rechte und Freiheiten natürlicher Personen (Art. 32(1))

Bei Trend Micro Cloud One: Ein CLOUD Act-Zugriff auf Container-Runtime-Telemetrie kann sensible Daten (Prozessnamen, Dateinamen, Netzwerkverbindungen) betreffen, die aus DSGVO-Sicht als personenbezogen oder mindestens betriebs-/ geschäftsgeheimnis-relevant eingestuft werden können.

NIS2 Art. 21(2)(c) — Sicherheit der Lieferkette

NIS2 fordert für "wichtige" und "wesentliche" Einrichtungen explizit "Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern" (Art. 21(2)(c)).

Trend Micro Cloud One im NIS2-Kontext:

Ein Drittland-Zugriff auf CWPP-Telemetrie durch US-Behörden kann als "sicherheitsbezogenes Risiko der Lieferkette" qualifiziert werden. NIS2-Behörden (in Deutschland: BSI) könnten bei Vorfällen verlangen, dass betroffene Organisationen erläutern, warum sie eine US-exponierte CWPP-Plattform einsetzten.

DORA Art. 28 — IKT-Drittparteienrisiko

Für den Finanzsektor (Banken, Versicherungen, Investmentfirmen): DORA Art. 28 fordert "detaillierte Dokumentation aller vertraglichen Vereinbarungen mit IKT-Drittdienstleistern" und explizite Risikoabwägung für Konzentrations- und Jurisdiktionsrisiken.

Trend Micro Cloud One-Verträge mit EU-Finanzinstitutionen erfordern unter DORA eine Transfer Impact Assessment (TIA) für US-Jurisdiktionsrisiken.

Migration von Trend Micro Cloud One zu EU-nativer Lösung

Phase 1: Assessment (Woche 1-2)

# Inventory: Welche Cloud One Module sind aktiv?
# Via Cloud One API
curl -X GET \
  "https://cloudone.trendmicro.com/api/workloadsecurity/computers" \
  -H "api-secret-key: ${CLOUD_ONE_API_KEY}" \
  -H "api-version: v1" | jq '.computers[] | {id, hostName, platform}'

# Anzahl aktiver Deep Security Agents
curl -X GET \
  "https://cloudone.trendmicro.com/api/workloadsecurity/computers/summaries" \
  -H "api-secret-key: ${CLOUD_ONE_API_KEY}" \
  -H "api-version: v1" | jq '.computers | length'

Phase 2: Parallelbetrieb (Woche 3-8)

# NeuVector parallel zu Trend Micro installieren (Schatten-Modus)
helm install neuvector neuvector/core \
  --namespace neuvector \
  --set manager.env.ssl=true \
  --set controller.replicas=3

# Falco im Audit-Only-Modus starten
helm install falco falcosecurity/falco \
  --namespace falco \
  --set falco.jsonOutput=true \
  --set falco.logLevel=info

# Trivy Operator für kontinuierliches Scanning
helm install trivy-operator aqua/trivy-operator \
  --namespace trivy-system \
  --set operator.scanJobTimeout=5m

Phase 3: Policy-Migration (Woche 9-12)

#!/usr/bin/env python3
"""
Trend Micro Cloud One → NeuVector Policy Migration
Konvertiert Trend Micro IPS/Process-Rules zu NeuVector Network/Process-Policies
"""
import requests
import yaml
import json

def fetch_tm_process_rules(api_key: str) -> list:
    """Trend Micro Process Control Rules abrufen"""
    resp = requests.get(
        "https://cloudone.trendmicro.com/api/workloadsecurity/policies",
        headers={"api-secret-key": api_key, "api-version": "v1"}
    )
    return resp.json().get("policies", [])

def convert_to_neuvector_policy(tm_policy: dict) -> dict:
    """Trend Micro Policy → NeuVector ProcessProfile konvertieren"""
    return {
        "apiVersion": "v1",
        "kind": "NvProcessProfile",
        "metadata": {"name": f"migrated-{tm_policy.get('name', 'policy').lower().replace(' ', '-')}"},
        "spec": {
            "baseline": "zero-drift",
            "processes": [
                {"name": proc.get("fileName", "*"), "action": "deny"}
                for proc in tm_policy.get("processControl", {}).get("denyRules", [])
            ]
        }
    }

if __name__ == "__main__":
    # Trend Micro Policies exportieren
    policies = fetch_tm_process_rules(api_key="YOUR_CLOUD_ONE_KEY")
    
    # NeuVector-Policies generieren
    nv_policies = [convert_to_neuvector_policy(p) for p in policies]
    
    with open("neuvector-migrated-policies.yaml", "w") as f:
        yaml.dump_all(nv_policies, f)
    
    print(f"Konvertiert: {len(nv_policies)} Policies → neuvector-migrated-policies.yaml")

Phase 4: Cutover (Woche 13-16)

# Deep Security Agents deaktivieren (Staggered Rollout)
# Pro Servergruppe: Trend Micro deinstallieren, NeuVector-Enforcer aktivieren

# Trend Micro Agent deinstallieren (Ubuntu/Debian)
sudo /opt/ds_agent/dsa_query.sh --cmd AgentDeactivate
sudo apt remove --purge ds-agent

# Verifizieren: NeuVector Enforcer läuft
kubectl get pods -n neuvector -l app=neuvector-enforcer-pod

# Abschlusskontrolle: Kein Deep Security Agent mehr aktiv
sudo systemctl status ds_agent  # must be: inactive (dead)

Entscheidungshilfe: Wann welche EU-CWPP-Lösung?

Fazit: Japan-Adequacy schützt nicht vor CLOUD Act

Trend Micro Cloud One ist eine der technisch ausgereiftesten CWPP-Plattformen im Markt — Deep Security hat über zwei Jahrzehnte Entwicklung hinter sich. Für EU-Organisationen unter DSGVO, NIS2 und DORA ist der CLOUD Act Score von 17/25 jedoch ein kritischer Befund:

Die japanische Mutter mit EU-Angemessenheitsbeschluss schützt nicht vor CLOUD Act-Anfragen an die US-Tochtergesellschaft Trend Micro Inc. (Irving, TX). Für Sicherheitsverantwortliche in der EU bedeutet das: Dieselbe Telemetrie, die NIS2-Compliance nachweist (Container-Runtime-Events, Netzwerkflows, Prozess-Monitoring), kann über die US-Tochter für US-Behörden zugänglich sein — ohne Benachrichtigungspflicht gegenüber dem EU-Kunden.

Der EU-native Stack aus NeuVector, Falco, Trivy und KubeArmor liefert äquivalente oder überlegene CWPP-Funktionen bei 0/25 CLOUD Act-Exposition und 70-85% Lizenz-Kostenersparnis. Die Migration ist in 12-16 Wochen durchführbar.

Im nächsten Post der EU-CWPP-Serie analysieren wir Lacework Runtime Security (Post #1241) — mittlerweile Teil von Fortinet (NASDAQ: FTFT) durch die Akquisition als FortiCNAPP. Eine weitere Dimension des CLOUD Act-Risikos: Was passiert, wenn ein CWPP-Anbieter von einem US-Konzern übernommen wird?

Dieser Artikel ist Teil der sota.io EU Security Compliance Blog-Serie. Alle CLOUD Act Scores basieren auf öffentlich verfügbaren Informationen zu Unternehmensstrukturen, FedRAMP-Autorisierungen und Investor-Profilen. Stand: Mai 2026.