Trust Center-FAQs

Elastic ist ein enthusiastischer „Customer Zero“ für alle seine Lösungen – insbesondere Elastic Security. Wir haben uns dazu verpflichtet, Ihnen Produkte und Dienstleistungen bereitzustellen, die in einer echten Produktionsumgebung getestet wurden, bevor sie allgemein vertrieben werden. Wenn es der jeweilige Anwendungsfall zulässt, nutzen wir unsere eigenen Produkte – und das nicht nur für das Logging. Das InfoSec-Team von Elastic nutzt tagtäglich Funktionen der Elasticsearch Platform, um Sicherheitsereignisse zu erstellen, zu überwachen, zu erkennen und darauf zu reagieren.

Weitere Informationen erhalten Sie unter Elastic über Elastic und Elastic Security.

Elastic arbeitet mit einem Information Security Management System (ISMS), das nach ISO‑27001-zertifiziert ist – inklusive ISO 27017 und ISO 27018. Das Rückgrat aller unserer Richtlinien, Standards und Leitfäden für die Informationssicherheit bildet dabei unsere Information Security Governance Policy. Unser ISMS beinhaltet umfassende und angemessene technische und organisatorische Maßnahmen zum Schutz Ihrer Cluster-Daten vor unbefugtem Zugriff und vor unerwünschten Änderungen oder Löschungen.

Zur Regulierung des Zugriffs auf Systeme, die Cluster-Daten unserer Kunden verarbeiten, müssen die Zugreifenden vor einem Zugriff ihre Identität authentifizieren. Auf diese Weise wird nicht nur verhindert, dass Unbefugte Zugriff auf diese Systeme erhalten, sondern wir können auch dafür sorgen, dass die Personen, die zugreifen dürfen, nur das sehen, was für ihre jeweilige Rolle benötigt wird. Zu den Maßnahmen zur Zugriffssteuerung gehören u. a. die Multi-Faktor-Authentifizierung, die Durchsetzung von Standards zur Passwortstärke und die Nutzung von virtuellen privaten Netzwerken (VPNs) für den administrativen Zugriff. Darüber hinaus haben wir zentralisiertes Logging zur Erfassung von Proxy-, Zugriffs-, Elasticsearch- und Auditbeat-Logdaten implementiert, mit denen wir den Zugriff auf Kunden-Cluster-Daten und die Systeme, auf denen diese residieren, aufzeichnen können.

Wir nutzen Suche-basierte Elastic Cloud-Lösungen auf zertifizierten Cloud-Plattformen, die von branchenführenden Infrastructure-as-a-Service(IaaS)-Anbietern wie Amazon Web Services (AWS), Google Cloud und Microsoft Azure verwaltet werden. Elastic prüft die Sicherheitszertifizierungen und -praktiken der von uns beauftragten Unterauftragsverarbeiter, um sicherzugehen, dass an den Orten, an denen Elastic Cloud-Daten verarbeitet und gespeichert werden, ausreichende physische Sicherheitsmaßnahmen vorhanden sind.

Elastic nutzt „Elastic Security Advisories“ (ESAs) genannte Benachrichtigungen, um Nutzer:innen über Sicherheitsprobleme bei Elastic-Produkten zu informieren. Jeder dieser Advisory-Benachrichtigungen wird sowohl eine CVE- als auch eine ESA-Kennung zugewiesen. Außerdem stellt Elastic eine Zusammenfassung und Informationen zu Abhilfe- und Risikominderungsmaßnahmen zur Verfügung. Neue Advisory-Benachrichtigungen werden im Security Announcements-Forum veröffentlicht. Sie können sich einen RSS-Feed für diese Benachrichtigungen einrichten.

Elastic arbeitet gern und eng mit der Security-Community zusammen und teilt deren Ziel, die Nutzer:innen – und das Internet als Ganzes – sicher zu machen. Wir bitten Sie, potenzielle Sicherheitsschwachstellen in Elastic-Produkten, in Elastic Cloud oder auf der Website elastic.co über unser Bug-Bounty-Programm auf HackerOne zu melden. Ausführliche Angaben zum Umfang und zur Teilnahme an diesem Programm entnehmen Sie bitte unserer HackerOne-Programm-Richtlinie.

Gemäß den Grundsätzen der Koordinierten Offenlegung von Schwachstellen (Coordinated Vulnerability Disclosure, CVD) analysiert Elastic potenzielle Sicherheitsschwachstellen, um Empfehlungen für Risikominderungsmaßnahmen oder Produktaktualisierungen zu erarbeiten. Entsprechende Offenlegungen werden in Form von Elastic Security Advisories (ESAs) veröffentlicht und über das CVE-Programm koordiniert. Bitte posten oder teilen Sie in öffentlichen Foren keine Informationen über potenzielle Schwachstellen, solange wir das Problem nicht untersucht und darauf reagiert haben.

Die E-Mail-Adresse, unter der Nutzer:innen und Kunden sonstige potenzielle Sicherheitsprobleme melden können, lautet security@elastic.co. Unter dieser Adresse können Sie Produktanfragen mit Sicherheitsbezug oder Fragen zu anderen Sicherheitsthemen stellen, auf die hier nicht ausdrücklich eingegangen wird. (Über diese Adresse werden nur Nachrichten mit Bezug zu Sicherheitsfragen entgegengenommen.) Wenn Sie Fehler (Bugs) melden möchten, nutzen Sie dafür die Bug-Datenbank des entsprechenden Projekts oder wenden Sie sich an den Elastic Support. Sollten Sie Ihre Nachricht an uns verschlüsseln möchten, verwenden Sie bitte unseren PGP-Schlüssel. Der Fingerprint lautet:

1224 D1A5 72A7 3755 B61A 377B 14D6 5EE0 D2AE 61D2

Der Schlüssel ist über Schlüsselserver erhältlich. Suchen Sie nach „security@elastic.co“. Beispiel auf OpenPGP

Wir bei Elastic wissen, dass Sicherheit die Aufgabe jeder und jedes Einzelnen ist. Aus diesem Grund ist die Sicherheit ein integraler Bestandteil der Produktentwicklung bei Elastic und auch einer der Grundpfeiler von Elastic Cloud.

Die Sicherheit und der Schutz Ihrer Elastic Cloud-Daten hängen auch davon ab, dass Sie für eine sichere Konfiguration Ihres Elasticsearch-Clusters sorgen und die Vertraulichkeit Ihrer Elastic Cloud-Login-Daten wahren.

Im Folgenden finden Sie eine kleine Checkliste der Dinge, die Sie beachten sollten:

• Geben Sie Ihre Anmeldedaten nicht an andere weiter.
• Halten Sie Ihr Kontoprofil stets auf dem neuesten Stand, damit die dort enthaltenen Angaben immer korrekt und aktuell sind.
• Fügen Sie Angaben zur Kontaktaufnahme mit Personen zu, die für operative Belange verantwortlich sind.
• Sorgen Sie dafür, dass die verwendeten Passwörter sicher sind.
• Seien Sie beim Aktivieren von eigenen Plugins oder Plugins Dritter in Ihren Elastic Cloud-Deployments vorsichtig.
• Legen Sie nach Möglichkeit fest, dass zerstörerische Aktionen die Eingabe von Indexnamen voraussetzen.

Wenn Sie Änderungen vornehmen müssen, die nicht in der Elastic Cloud-Konsole verfügbar sind, erstellen Sie bitte ein Ticket beim Elastic Support. Wenn Sie annehmen, dass die Sicherheit eines Kontos kompromittiert wurde, senden Sie eine E‑Mail an security@elastic.co. Und falls Sie einen Löschungsantrag stellen müssen, wenden Sie sich bitte an das Data Privacy Team von Elastic.

Ja, im gespeicherten Zustand sind die Daten durch AES-256 verschlüsselt und während der Übermittlung durch TLS 1.2.

Wir prüfen alle unsere Anbieter genau, um sicherzustellen, dass sie die Security- und Compliance-Standards von Elastic erfüllen. Bei der Bereitstellung der Elastic Cloud arbeitet Elastic mit großen IaaS-Anbietern zusammen. Zur Überprüfung der Sicherheit der Dienste dieser IaaS-Anbieter wird jeder Anbieter regelmäßig Audits durch unabhängige Drittanbieter unterzogen. Dazu gehören mindestens ein SOC‑2-Audit und die ISO‑27001-Zertifizierung. Im Rahmen unseres Third-Party Risk Management Program sehen wir uns die dabei erstellten Audit-Berichte und Zertifizierungen an.

Elastic prüft darüber hinaus Drittanbietercode und veröffentlicht Abhängigkeiten von Open-Source-Software von Drittanbietern in Elastic-Produkten.

Elastic Cloud wird mindestens einmal pro Jahr von unabhängigen Anbietern Anwendungs- und Netzwerk-Penetrationstests unterzogen. Wenn Sie eine Zusammenfassung der Testergebnisse (Executive Summary) haben möchten, wenden Sie sich bitte an Ihren Account Representative oder an das Elastic Security Team.

Wir haben ein SSDF (Secure Software Development Framework), das auf NIST 800-218 basiert, und halten uns bei Konzeptionierung und Architektur an Security-Best-Practices. Das Ergebnis ist Software, die sowohl „secure by design“ als auch „secure by default“ ist. Unser SSDF regelt, was beachtet werden muss, um beim Konzipieren, Entwickeln, Bereitstellen, Überwachen und Warten von Elastic-Software jedweder Art für Sicherheit zu sorgen. Es enthält außerdem Anforderungen zum Schutz unseres Build-Systems und zur Minderung der Risiken von Build-Chain-Kompromittierungen.

Die Daten, die Sie uns anvertrauen, bleiben Ihre Daten. Wir nutzen Ihre Daten nur für die mit Ihnen ausdrücklich vereinbarten Zwecke, z. B. zur Bereitstellung des Dienstes, den Sie bezahlen. Wir haben strenge Sicherheitsmaßnahmen ergriffen, um Ihre Daten zu schützen, und stellen Ihnen Tools und Funktionen zur Verfügung, mit denen Sie Ihre Daten nach Ihren Vorstellungen steuern können.

Wir verarbeiten Ihre Elastic Cloud-Daten, um unsere vertragliche Verpflichtung zur Bereitstellung unserer Dienste zu erfüllen.

• Kundendaten sind Ihre Daten. Wir verarbeiten die Daten lediglich gemäß der mit Ihnen getroffenen Vereinbarung.
• Wir verkaufen Ihre Daten niemals an Dritte.
• Wir arbeiten transparent, halten Vorschriften wie die Datenschutz-Grundverordnung (DSGVO) und den California Consumer Privacy Act (CCPA) ein und setzen Datenschutz-Best-Practices um.
• Dass wir den Datenschutz an erste Stelle stellen, bedeutet, die uns anvertrauten Daten zu schützen. Daher gehören die Sicherheit und der Schutz der Daten zu den Hauptkriterien bei der Konzeptionierung unserer Produkte.

Wir sind uns der großen Verantwortung bewusst, die mit unserem Ziel verbunden ist, hervorragende Sucherlebnisse bereitzustellen und gleichzeitig Ihre Daten zu schützen. Wir arbeiten mit ganzer Kraft daran, Ihr Vertrauen nicht zu enttäuschen. Sicherheitsbelange – von der Beaufsichtigung durch den Aufsichtsrat und der Führung durch die Geschäftsleitung an der Spitze des Unternehmens bis hinunter zur Art und Weise, wie wir bei Elastic jede Mitarbeiterin und jeden Mitarbeiter einarbeiten und kontinuierlich schulen – sind für uns in jeder einzelnen Phase unserer Arbeit von herausragender Bedeutung. Wir können zahlreiche Compliance-Audit-Berichte und Zertifizierungen für den Elastic Cloud-Dienst sowie unser Information Security Management System (ISMS) durch führende Anbieter vorlegen. Diese Audit-Berichte und Zertifizierungen zeugen davon, dass alle unsere Aktivitäten – von der Produktentwicklung und -bereitstellung über das Schwachstellenmanagement und das Incident-Management bis hin zu den Prozessen zum Umgang mit Bedrohungen – von wirksamen Sicherheitsmaßnahmen begleitet werden.

Elastic nutzt zur Bereitstellung von Elastic Cloud führende Anbieter von Cloud-Diensten (Cloud Service Providers, CSPs) wie Amazon Web Services (AWS), Microsoft Azure und Google Cloud Platform (GCP). Unsere Kunden weltweit können selbst entscheiden, bei welchem der von uns unterstützten CSPs sie ihre Elastic Cloud-Deployments bereitstellen möchten. Sie können die Region auswählen, in der Sie Ihre Deployments hosten möchten. So sorgen wir für die Einhaltung Ihrer Anforderungen an die Datenresidenz. Bei Datensicherungen erstellte Sicherungskopien werden standardmäßig in derselben Region gespeichert, in der Sie auch Ihr Deployment hosten.

Elastic hat keinen Zugriff auf die Daten in selbstverwalteten Deployments. Um die Bereitstellung von Elastic Cloud zu ermöglichen, darf eine begrenzte Zahl von Elastic-Mitarbeitenden mit privilegierten Zugriffsrechten auf unsere Produktionsumgebung zugreifen. Wir pflegen diese Zugriffsrechte ausschließlich zum Zweck, die Verwaltung, Wartung und Unterstützung der Plattform zu ermöglichen.

Bei der Vergabe von Zugriffsrechten für interne Nutzer:innen verfolgt Elastic das „Least-Privilege“-Prinzip: Die Mitarbeitenden erhalten nur die Zugriffsrechte, die für die Ausübung ihrer Rolle im Unternehmen erforderlich sind. Zugriffsrechte und Änderungsberechtigungen werden regelmäßig überprüft und bei einem Jobwechsel oder unter anderen Umständen, in denen der Nutzerzugriff nicht mehr benötigt wird, entsprechend geändert.

Unser Threat Detection and Response Team hat außerdem Erkennungsmechanismen für verdächtige interne Kontoaktivitäten und unbefugte Zugriffe entwickelt. Diese überwachen u. a. die Integrität der Dateien und erkennen Anzeichen für feindliche Kontoübernahmen. Die Erkennungsmechanismen gehören zu automatisierten Workflows, die das Threat Detection and Response Team über verdächtige Aktivitäten informieren und Untersuchungen durch Analyst:innen auslösen.

Elastic-Produkte verfügen zudem über Funktionen zur rollenbasierten Zugriffssteuerung, damit die Kunden den Nutzer:innen ihrer Elastic-Deployments und der Elastic Cloud-Management-Plattform detaillierte Zugriffsrechte erteilen können.

Ja, wir greifen zur Bereitstellung der Dienste für unsere Kunden auf bestimmte Unterauftragsverarbeiter zurück, die uns bei der Bereitstellung der Infrastruktur und des Kunden-Supports unterstützen. Welche Unterauftragsverarbeiter konkret für Sie relevant sind, hängt vom Standort des Rechenzentrums sowie von den Diensten und Funktionen ab, die Sie nutzen möchten. (Sehen Sie sich Auflistungen unserer externen oder internen Unterauftragsverarbeiter an.)

Wenn wir Ihre Daten über Ländergrenzen hinweg übermitteln, tun wir dies in Übereinstimmung mit den geltenden Gesetzen. Wir haben entsprechende Sicherheitsvorkehrungen getroffen, um Ihre Daten zu schützen, wenn sie von unseren Unterauftragsverarbeitern verarbeitet werden. Diese reichen von Datenverarbeitungsvereinbarungen und der Festlegung genehmigter Übermittlungsmechanismen (wie die SCCs und die Einhaltung des Data Privacy Framework – siehe unten) bis zur Umsetzung ergänzender Maßnahmen. Wir verfügen über robuste Prozesse zur Überprüfung der Datenschutz- und Sicherheitsmaßnahmen bei allen Unterauftragsverarbeitern, die Zugang zu personenbezogenen Kundendaten haben.

Die Funktionen und Merkmale von Elastic Cloud entsprechen der DSGVO und anderen globalen Gesetzen für Datensicherheit und -schutz:

• Um für die Sicherheit Ihrer personenbezogenen Daten zu sorgen, sind standardmäßig wirksame technische und organisatorische Maßnahmen in Kraft, die regelmäßig getestet und validiert werden.
• Sie können von uns ein DSGVO-konformes Data Processing Addendum erhalten, das Sie dabei unterstützt, Ihre vertraglichen Verpflichtungen gemäß DSGVO zu erfüllen.
• Elastic hält sich an das Data Privacy Framework in Bezug auf die Verarbeitung personenbezogener Daten, die aus der Europäischen Union, dem Vereinigten Königreich und der Schweiz stammen.
• Sie haben die Kontrolle darüber, welcher Anbieter von Cloud-Diensten Ihre in Elastic Cloud gespeicherten Daten hosten soll, und Sie können Ihre Elastic Cloud Bereitstellungsregion auswählen.

Zusätzlich zu diesen Features gibt es bei Elastic Teams, die sich speziell um die Sicherheit und den Schutz der Daten kümmern. Diese Teams überwachen im Namen unserer Kunden unsere Einhaltung der DSGVO und anderer geltender Datenschutzgesetze bei der Verarbeitung personenbezogener Daten.

Elastic ist ein globales Unternehmen und wir können personenbezogene Daten, die aus dem EWR, der Schweiz und dem Vereinigten Königreich stammen, an außereuropäische verbundene Unternehmen von Elastic und Drittorganisationen übermitteln, die für die Bereitstellung unserer Dienstleistungen erforderlich sind. (Sie finden deren Standorte oben im Abschnitt zu Unterauftragsverarbeitern.) In solchen Fällen stützen wir uns auf die geltenden Standardvertragsklauseln (SCCs) – einschließlich des Moduls Verantwortlicher-Auftragsverarbeiter bzw. Auftragsverarbeiter-Auftragsverarbeiter (soweit anwendbar) mit unseren Kunden und des Moduls Auftragsverarbeiter-Auftragsverarbeiter mit unseren Unterauftragsverarbeitern – auf unsere Teilnahme am Data Privacy Framework für europäische Datentransfers in die USA sowie auf robuste ergänzende Maßnahmen.

Ja. Elasticsearch, Inc. erfüllt die Anforderungen des EU-U.S. Data Privacy Framework, der britischen Erweiterung des EU-U.S. Data Privacy Framework und des Swiss-U.S. Data Privacy Framework (zusammen das „Data Privacy Framework“), wie vom U.S. Department of Commerce festgelegt. Elastic hat dem Department of Commerce bescheinigt, dass es die Grundsätze des Data Privacy Framework hinsichtlich der Verarbeitung personenbezogener Daten, die es aus der Europäischen Union, dem Vereinigten Königreich und der Schweiz erhält – je nach Anwendbarkeit – einhält und sich dabei auf das Data Privacy Framework stützt.

Weitere Informationen finden Sie in der Mitteilung von Elastic zur Zertifizierungsmitteilung gemäß dem Data Privacy Framework.

Um mehr über das Data Privacy Framework-Programm zu erfahren und unsere Zertifizierung einzusehen, besuchen Sie bitte https://www.dataprivacyframework.gov/s/.

Es ist uns ein Anliegen, Sie bei der Einhaltung der Gesetze und Vorschriften in den verschiedenen Ländern und Regionen weltweit zu unterstützen. Nach dem Studium der EDSA-Empfehlungen für ergänzende Maßnahmen für die internationale Datenübermittlung nach dem „Schrems II“-Urteil haben wir unsere Praktiken einer gründlichen Überprüfung unterzogen, um sicherzustellen, dass internationale Datenübermittlungen den Datenschutzanforderungen entsprechen:

• Elastic kontrolliert nicht, welche Daten unsere Kunden in Elastic Cloud einspeisen. Elastic ist der Ansicht, dass seine Dienstleistungen in der Regel nicht unter die US-Überwachungsgesetze fallen.
• In den Fall, dass wir von einer Behörde ein Ersuchen auf Offenlegung von Kundendaten erhalten, folgen wir den festgelegten Grundsätzen und Verfahren für den Umgang mit solchen Ersuchen. Diese umfassen u. a. Schritte zur Anfechtung solcher Ersuchen, zur Benachrichtigung der betroffenen Parteien und zur Beantragung von Ausnahmen von Benachrichtigungsverboten, sofern angemessen.
• Wir stellen robuste ergänzende Maßnahmen zum Schutz Ihrer Daten bereit. Dazu gehört u. a. die Verschlüsselung der Daten sowohl während der Übermittlung (in-transit) als auch im gespeicherten Zustand (at-rest), um deren Vertraulichkeit und Integrität in allen Phasen sicherzustellen.
• Elastic Cloud-Kunden haben die Möglichkeit, EU-Server für das Hosting auszuwählen, um ihre Anforderungen an die Datenresidenz bestmöglich zu erfüllen. Standardmäßig werden Backups auch in derselben Region konfiguriert, die Sie für Ihr Deployment auswählen.
• Elastic verfügt über eine Zertifizierung der Einhaltung des Data Privacy Framework in Bezug auf die Verarbeitung personenbezogener Daten, die aus der Europäischen Union, dem Vereinigten Königreich und der Schweiz stammen (siebe oben).
• Zur Absicherung von Datenübermittlungen können die Standardvertragsklauseln (Standard Contractual Clauses, SCCs) verwendet werden. Dies gilt auch für Fälle, in denen sich Kunden für ein Hosting auf Servern in den USA entscheiden oder mit unserer US-Entität zusammenarbeiten, sowie für Übermittlungen von Elastic an unsere Unterauftragsverarbeiter.
• Wir arbeiten kontinuierlich daran, unsere vertraglichen, technischen und organisatorischen Sicherheitsvorkehrungen zum Schutz von Datenübermittlungen zu bewerten und weiterzuentwickeln.

Wir bieten verschiedene ergänzende Maßnahmen, um sicherzustellen, dass Ihre Daten in der Elastic Cloud geschützt bleiben. Wir begrenzen die Verarbeitung von Kundendaten im Rahmen der Bereitstellung unserer Dienste auf das unbedingt Notwendige. Wir haben im gesamten Unternehmen Prozesse, Organisationsstrukturen und technische Maßnahmen eingeführt, die sicherstellen, dass die globalen Datenschutzgrundsätze eingehalten oder sogar übertroffen werden.

Elastic verpflichtet sich vertraglich zur Umsetzung angemessener Maßnahmen zum Datenschutz und zur Wahrung der Privatsphäre gemäß unseres Data Processing Addendum (DPA), einschließlich der SCCs, und unseres Information Security Addendum. Um sicherzustellen, dass das DPA jederzeit die geltenden Datenschutzanforderungen erfüllt, wird es regelmäßig überprüft und aktualisiert. Es enthält u. a. die folgenden Bestimmungen:

• Die Verarbeitung personenbezogener Daten erfolgt nur auf Ihre Anweisungen hin.
• Wir hosten Ihre Daten nur in der von Ihnen ausgewählten Region.
• Alle Mitarbeitenden, die befugt sind, personenbezogene Daten zu verarbeiten, unterliegen strengen Vertraulichkeitsrichtlinien, ‑verfahren und ‑vereinbarungen.
• Sie können alle personenbezogenen Daten, die Sie auf Elastic Cloud hochladen, jederzeit abrufen, korrigieren und löschen.
• Wenn wir ein Ersuchen auf Offenlegung Ihrer Daten erhalten, benachrichtigen wir Sie, sofern dies nicht gesetzlich verboten ist.
• Wir sind vollständig transparent bezüglich unserer Unterauftragsverarbeiter, die ebenfalls denselben strengen Standards und Organisationsanforderungen unterliegen. Wir haften für die Handlungen und Unterlassungen unserer Unterauftragsverarbeiter genau so, als würden wir die Dienste selbst erbringen.

Wir entwickeln unsere Produkte so, dass sie Ihnen helfen, die Daten Ihres Unternehmens zu schützen, globale Vorschriften einzuhalten und Vertrauen zu schaffen. Wir setzen branchenführende Sicherheitsstandards um:

• Verschlüsselung von Daten während der Übertragung und im Ruhezustand: Elastic implementiert Verfahren zur Verwaltung von Verschlüsselungsschlüsseln und verschlüsselt Kundendaten während der Übertragung und im Ruhezustand mit mindestens AES-128-Bit-Chiffren.
• Regelmäßige Systemupdates und Patches: Um die Wahrscheinlichkeit von sicherheitsrelevanten Vorfällen zu verringern, werden Elasticsearch-Instanzen auf der Grundlage der neuesten Betriebssystem-Kernel bereitgestellt. Wenn in einer Komponentensoftware eine CVE (Common Vulnerability and Exposure) entdeckt wird, werden entsprechende Patches angewendet.
• Nutzung branchenführender Dienstleister: Die Dienste von Elastic werden in Rechenzentren gehostet, die von führenden Anbietern entsprechender Dienstleistungen betrieben werden und modernste technische und organisatorische Sicherheitsmaßnahmen zum Schutz der gehosteten Daten anbieten.
• Zugriffskontrollen: Elastic arbeitet mit technischen, logischen und administrativen Zugriffssteuerungsmaßnahmen, inklusive Verfahren zur Multi-Faktor-Authentifizierung, um sicherzustellen, dass nur befugte Nutzer:innen auf die Daten zugreifen können. Darüber hinaus hat Elastic ein zentralisiertes Logging mit Proxy-, Zugriffs-, Elasticsearch- und Auditbeat-Logs implementiert, um die Nachverfolgbarkeit von Zugriffen auf Kundendaten und die Systeme, auf denen sie residieren, zu ermöglichen.
• Erkennung und Reaktion auf Sicherheitsvorfälle: Wir haben Erkennungsregeln für verdächtige Aktivitäten und unberechtigten Zugriff implementiert und aktualisieren diese kontinuierlich. Dazu gehören auch die Überwachung der Dateiintegrität und Indikatoren für Kontoübernahmen. Die Erkennungsmechanismen gehören zu automatisierten Workflows, die das Threat Detection and Response Team über verdächtige Aktivitäten informieren und Untersuchungen durch Analyst:innen auslösen.

Wir haben unternehmensweit robuste Organisationsstrukturen eingeführt, die unser unermüdliches Engagement für die Einhaltung und Übererfüllung der Datenschutzgrundsätze in der ganzen Welt demonstrieren:

• Sicherheits- und Datenschutzprogramme: Wir unterhalten umfassende Programme für Informationssicherheit und Datenschutz, in deren Rahmen geeignete Maßnahmen für die Sicherheit und den Schutz Ihrer Daten umgesetzt werden.
• Data Privacy Framework: Elastic verfügt über eine Zertifizierung der Einhaltung des Data Privacy Framework in Bezug auf die Verarbeitung personenbezogener Daten, die aus der Europäischen Union, dem Vereinigten Königreich und der Schweiz stammen. Um mehr über das Data Privacy Framework-Programm zu erfahren und unsere Zertifizierung einzusehen, besuchen Sie bitte https://www.dataprivacyframework.gov/s/.
• Die Grundsätze von Elastic für Anfragen öffentlicher Behörden nach Kundeninformationen: Wir verfügen über Grundsätze und Verfahren für die Verwaltung aller Anfragen zur Nutzung von Kundeninformationen durch öffentliche Behörden, darunter Protokolle zur Anfechtung solcher Anfragen, zur Benachrichtigung relevanter Parteien und zur Beantragung von Ausnahmen von Benachrichtigungsverboten. Sehen Sie sich die Grundsätze von Elastic für Anfragen öffentlicher Behörden nach Kundeninformationen an.
• Bewertungen der Auswirkungen von Transfers: Wir haben das Risiko einer Beeinträchtigung der Kundendaten in den verschiedenen Ländern, in die wir sie möglicherweise übertragen, bewertet. Wir aktualisieren diese Bewertungen regelmäßig, wenn regulatorische Entwicklungen es erfordern.
• Lieferkettenmanagement: Wir führen strenge Überprüfungen unserer Lieferanten durch. Wir informieren unsere Kunden im Voraus über Änderungen an unseren Unterprozessoren.
• Andere interne Richtlinien: Wir verfügen über interne Richtlinien, die die Verwendung personenbezogener Daten und den Zugang zu ihnen regeln. So wird der ordnungsgemäße Umgang mit Datenschutzverletzungen, Zugangsersuchen, Datenaufbewahrungsvorgaben und Zugriffssteuerungsrichtlinien gewährleistet.
• Industrielle Standards: Elastic hat formell ein Informationssicherheitsprogramm verabschiedet, das mit ISO 27001 – einschließlich ISO 27701, ISO 27017 und ISO 27018 – konform ist. Das Rückgrat aller unserer Richtlinien, Standards und Leitfäden für die Informationssicherheit bildet dabei die Elastic Information Security Governance Policy. Außerdem wurde durch eine unabhängige Stelle geprüft und zertifiziert, dass die Elastic Cloud-Dienste den Vorgaben von SOC 2 Type 2 entsprechen.
• Regelmäßige Tests: Wir führen regelmäßige Tests auf Schwachstellen im Netzwerk und in Anwendungen durch und implementieren Verfahren zum Dokumentieren und Beseitigen der während der Schwachstellen- und Penetrationstests gefundenen Schwachstellen.
• Schulung der Mitarbeitenden: Alle unsere Mitarbeitenden müssen bei ihrer Einstellung und nachfolgend mindestens einmal jährlich Schulungen zur Sicherheit und zum Schutz von Daten absolvieren.

Wir haben seitens Elastic Grundsätze für Anfragen öffentlicher Behörden nach Kundeninformationen festgelegt, die den geltenden Datenschutzgesetzen sowie Ihrer Kundenvereinbarung entsprechen. Elastic gibt Ihre Daten nur dann weiter bzw. gewährt Zugang zu ihnen, wenn dies gesetzlich verlangt wird. Wir werden Daten niemals in einer massiven, unverhältnismäßigen oder willkürlichen Art und Weise herausgeben, die über das hinausgeht, was in einer demokratischen Gesellschaft notwendig ist.

Wir haben noch nie eine Backdoor oder einen Masterschlüssel für eines unserer Produkte oder Dienste erstellt und haben niemals einer Behörde den ungehinderten oder direkten Zugriff auf unsere Server gestattet.

Bislang hat Elastic keine Aktivitäten unternommen, die eine Offenlegung in einem Transparenzbericht verdienen würden. Daher haben wir keine solchen Berichte veröffentlicht. Sollten neue Entwicklungen, behördliche Anforderungen oder Best Practices dies erfordern, behalten wir uns das Recht vor, unseren Ansatz zu ändern.

Wenn Sie mehr darüber erfahren möchten, wie Elastic personenbezogene Daten erfasst und nutzt, lesen Sie bitte unsere Datenschutzerklärungen unten:

Allgemeine Datenschutzerklärung

Produkt-Datenschutzerklärung

Bewerber-Datenschutzerklärung

Datenschutzrechte in Kalifornien

Cookie-Datenschutzerklärung von Elastic

Freie und offene Datenschutzerklärungen

Wir halten uns an die in der Welt geltenden Datenschutzvorschriften, einschließlich DSGVO und CCPA. Wenn Sie als betroffene Person einen Antrag einreichen möchten, wenden Sie sich an das Data Privacy Team von Elastic.

Elastic Cloud ist konform mit ISO 27001, ISO 27017, ISO 27018, SOC 2 Typ II, CSA CCM 4.0, PCI-DSS, HIPAA, Cyber Essentials+ und der NIS2-Richtlinie für Cloud Service Providers sowie anderen Branchen-Frameworks wie TISAX. Weitere Informationen finden Sie auf unserer Compliance-Seite.

Elastic Cloud ist nach FedRAMP Moderate und FedRAMP High Impact-Stufen zertifiziert, und kann auf AWS GovCloud (US) bereitgestellt werden. Nutzer von Bundes-, Landes- und Kommunalverwaltungen sowie Hochschuleinrichtungen und Nutzer mit behördlichen Daten können sich jetzt registrieren.

Wir verpflichten uns zu höchsten ethischen Standards und sind bestrebt, alle geltenden Gesetze einzuhalten und uns anvertraute Daten zu schützen. Bitte besuchen Sie unsere Seite für Ethik und Unternehmens-Compliance für weitere Informationen, einschließlich unseres Verhaltens- und Ethikkodex, des Verhaltenskodex für Anbieter und der Whistleblowing-Richtlinien.

Elastic ist ein Technologieunternehmen und wir verpflichten uns, unser Geschäft mit Ehrlichkeit und Integrität und in Übereinstimmung mit allen in den USA geltenden Gesetzen und Vorschriften zu führen, die Exporte beschränken und internationale Geschäftsaktivitäten regeln, einschließlich Handelssanktionen und Gesetzen und Vorschriften zu Handelssanktionen, Exportbeschränkungen und Boykotten. Kunden und Interessenten benötigen häufig die Export Control Classification Number (ECCN) unserer Produkte. Unsere kostenpflichtigen Produkte sind alle unter der ECCN 5D002.c.1 klassifiziert und ihre Ausfuhr ist unter der Lizenzausnahme ENC gemäß Abschnitt 740.17 (b)(1) der Export Administration Regulations zulässig.

Sehen Sie sich eine aktuelle, detaillierte Liste der Produkt-ECCNs an. Diese Informationen können sich ändern, da wir immer wieder neue Produkte entwickeln oder neue Funktionen hinzufügen. Prüfen Sie daher stets die jeweils aktuelle ECCN-Liste auf der Elastic-Website. Wir empfehlen Ihnen auch, Ihren Exportberater zu konsultieren, um festzustellen, welche Auswirkungen diese Daten auf Ihre Exporttransaktionen oder Ihre Verwendung der Elastic-Produkte haben.

Ja. Elastic betreibt ein formelles KI-Governance-Programm, das auf das Framework für KI-Managementsysteme nach ISO/IEC 42001:2023 abgestimmt ist. Alle KI-Tools und Anwendungsfälle unterliegen der Prüfung und Genehmigung durch ein interdisziplinäres Prüfungsteam, das sich aus Vertretern der Bereiche Informationssicherheit, Recht, IT und Technik zusammensetzt. Dieses Team bewertet die Leistungsqualität, die Herkunft der Trainingsdaten, rechtliche und regulatorische Risiken sowie Sicherheitsmerkmale, bevor ein KI-Feature zur Nutzung freigegeben wird. Es wird ein Verzeichnis der verwendeten KI-Systeme geführt, wobei die Rollen und Zuständigkeiten im Zusammenhang mit KI formal festgelegt sind.

Die KI-Features von Elastic werden in einer Infrastruktur bereitgestellt, die nach ISO/IEC 27001:2022, ISO/IEC 27017, ISO/IEC 27018, ISO/IEC 27701:2019, SOC 2 Typ II, PCI DSS v4.0 und HIPAA-konformen Konfigurationen zertifiziert ist (für Elastic Cloud Hosted und Serverless). Elastic strebt aktiv die Zertifizierung nach ISO/IEC 42001:2023 an. Die KI-Anwendungsfälle von Elastic wurden im Rahmen des EU-KI-Gesetzes nicht als „hohes Risiko“ eingestuft. Die Kunden sind jedoch weiterhin dafür verantwortlich, zu prüfen, ob ihre benutzerdefinierten Workflows oder bestimmte betriebliche Anwendungsfälle zusätzliche Anforderungen für Bereiche mit hohem Risiko auslösen. Die über den Elastic Inference Service und die KI-Assistenten bereitgestellten KI-Features fallen in den Geltungsbereich der Sicherheitskontrollen dieser Zertifizierungen.

Elastic hat seine KI-Features gemäß dem EU-KI-Gesetz nicht als „hohes Risiko“ eingestuft. Elastic AI Assistant und Elastic Inference Service sind universell einsetzbare Tools für Anwendungsfälle in den Bereichen Suche, Sicherheit und Beobachtbarkeit – sie fallen nicht unter die im EU-KI-Gesetz aufgeführten Hochrisikokategorien wie Entscheidungen im Bereich der Beschäftigung, biometrische Identifizierung, Zugang zu grundlegenden Dienstleistungen oder die Kontrolle kritischer Infrastrukturen. Alle KI-Ergebnisse haben lediglich beratenden Charakter. Bevor Maßnahmen mit weitreichenden Folgen ergriffen werden, ist eine manuelle Überprüfung erforderlich. Da die rechtliche Einstufung vom jeweiligen Einsatzkontext abhängt, sind die Kunden weiterhin für ihre spezifischen Implementierungen verantwortlich. Wenn ein Kunde Elastic AI in benutzerdefinierte Workflows integriert, die unter die Hochrisikokategorien gemäß Anhang III des EU-KI-Gesetzes fallen, gilt der Kunde im Sinne dieses Gesetzes als KI-Betreiber und ist für die Erfüllung der Compliance-Pflichten des Betreibers verantwortlich.

Kunden haben drei Optionen:

• Verwenden Sie von Elastic verwaltete LLMs über EIS: Der Elastic Inference Service bietet Zugriff auf Modelle von Anbietern, darunter Anthropic, OpenAI (GPT), Google (Gemini), Meta und Amazon. Alle von EIS unterstützten Modelle anzeigen.
• Bring Your Own LLM: Kunden können ihre eigenen LLM-Konnektoren von Drittanbietern konfigurieren (z. B. Azure OpenAI Service, Amazon Bedrock, OpenAI, Google Vertex). In diesem Fall unterliegen das Modell und alle damit verbundenen Datenpraktiken der Vereinbarung des Kunden mit diesem Anbieter.
• Abmelden: Kunden können sich gegen die Verwendung generativer KI-Features entscheiden. Elastic bietet außerdem die nicht-generativen KI-Modelle ELSER, E5 und Elastic Rerank an, die vollständig im Cluster des Kunden ausgeführt werden.

Nein. Der Elastic AI Assistant ist als beratendes Tool konzipiert. Es stellt den Nutzern Ergebnisse – Zusammenfassungen, empfohlene Abfragen, vorgeschlagene Maßnahmen und ergänzende Kontextinformationen – für die Überprüfung zur Verfügung. Bevor ein Vorschlag umgesetzt wird, ist eine Bestätigung durch den Nutzer erforderlich, wobei der Assistent keine Aktionen auf Produktionssystemen eigenständig ausführt. Der Elastic Agent Builder kann von Kunden so konfiguriert werden, dass agentische Workflows ermöglicht werden. Der Umfang und die Berechtigungen aller automatisierten Aktionen werden jedoch vom Kunden festgelegt und gesteuert, wobei der Zugriff des Agenten auf diejenigen Daten beschränkt ist, für die der anfragende Nutzer eine Zugriffsberechtigung besitzt.

Ja. Elastic hat Penetrationstests durchgeführt, die das EIS und damit verbundene KI-Features abdeckten, darunter automatisierte und manuelle Versuche der Prompt-Injection sowie Jailbreak-Versuche. Die Ergebnisse werden im Rahmen des Standardprozesses von Elastic zum Schwachstellenmanagement nachverfolgt. Ein Penetrationstestbericht und ein Nachtrag stehen berechtigten Kunden über das Zusicherungsprofil von Elastic unter assurance.elastic.co/de/ zur Verfügung.

Alle neuen KI-Tools und Anwendungsfälle durchlaufen vor ihrer Freigabe eine formelle Prüfung, bei der die Datenherkunft, bekannte Schwachstellen, das Risiko von Verzerrungen sowie die entsprechenden Sicherheitsfunktionen berücksichtigt werden. Für die von Elastic entwickelte Modelle werden Folgenabschätzungen für KI-Systeme durchgeführt. Das KI-Governance-Programm von Elastic umfasst eine formelle Erklärung zur Anwendbarkeit, die alle in Anhang A gemäß ISO/IEC 42001 aufgeführten Kontrollen, dokumentierte KI-Richtlinien, Risikobewertungsprozesse sowie festgelegte Rollen und Verantwortlichkeiten abdeckt. Drittanbieter von KI-Lösungen werden zusätzlich auf Sicherheit, Compliance und Schutz geprüft, bevor sie in den verwalteten Inferenzdienst von Elastic aufgenommen werden.

Elastic bietet proprietäre, nicht-generative Machine-Learning-Modelle für Aufgaben wie die semantische Suche (Embedding), die Verbesserung der Relevanz (Reranking) und die Anomalieerkennung. Diese Modelle werden vollständig im Elasticsearch-Cluster des Kunden ausgeführt und führen keine externen Netzwerkaufrufe durch. Bei der Nutzung dieser Modelle verlassen keine Kundendaten die Elastic-Umgebung. Sie sind in Elastic Cloud Hosted, Elastic Cloud Serverless und selbstverwalteten Deployments verfügbar.

Die integrierten Modelle von Elastic werden ausschließlich mit öffentlichen und Open-Source-Daten trainiert. Kundendaten werden niemals zum Trainieren, Validieren oder Feinabstimmen dieser Modelle verwendet. Die Modellleistung wird öffentlich anhand gängiger Benchmarks zur Abrufgenauigkeit verglichen, und Verzerrungen sowie Fairness werden im Rahmen des Entwicklungsprozesses der Modelle gemäß dem KI-Governance-Framework von Elastic bewertet.

Integrierte ML-Modellartefakte werden im Rahmen des standardmäßigen Software-Release-Prozesses von Elastic verteilt und unterliegen denselben Verfahren für das Schwachstellen- und Patchmanagement, die für die Produkte von Elastic gelten. Modellupdates werden über standardmäßige Produktupgrades bereitgestellt. Bei Elastic Cloud Hosted- und Serverless-Deployments verwaltet und übernimmt Elastic die Modellaktualisierungen. Bei selbstverwalteten Deployments ist der Kunde für die Durchführung von Produktupdates verantwortlich.

Der Elastic Inference Service (EIS) ist das von Elastic verwaltete Gateway, das Inferenzanfragen für generative KI an eine kuratierte Auswahl geprüfter Drittanbieter großer Sprachmodelle (LLM) weiterleitet, darunter OpenAI, Anthropic, Amazon, Google und Meta. EIS ist als vollständig integrierter, konfigurationsfreier Service auf Elastic Cloud Serverless und als optional aktivierbarer Service auf Elastic Cloud Hosted sowie selbstverwalteten Deployments (ab Elastic Stack 9.0 mit einer Enterprise-Lizenz über Cloud Connect) verfügbar. Alle EIS-Anbieter arbeiten mit Elastic im Rahmen von Zero-Data-Retention-Vereinbarungen, was bedeutet, dass Inferenz-Payloads von diesen Anbietern weder gespeichert noch zum Modelltraining verwendet werden.

Kunden können als Alternative zum von Elastic verwalteten EIS ihre eigenen LLM-Konnektoren von Drittanbietern konfigurieren – zum Beispiel Azure OpenAI Service, Amazon Bedrock oder einen beliebigen kompatiblen Endpoint. In dieser Konfiguration fließt der Inferenzdatenverkehr direkt vom Elastic-Deployment des Kunden zu dem von ihm gewählten LLM-Anbieter im Rahmen des eigenen Vertrags des Kunden. Elastic hat keinen Einblick in diesen Datenverkehr. Die Datenpraktiken und Sicherheitsmaßnahmen für diesen Datenpfad unterliegen vollständig dem Vertrag des Kunden mit seinem LLM-Anbieter.

Elastic testet im Rahmen von externen Adversarial-Testing-Einsätzen auf Prompt-Injection, wobei die Ergebnisse über das standardmäßige Schwachstellenmanagement nachverfolgt werden. Der Elastic AI Assistant unterstützt die konfigurierbare Anonymisierung von Daten, bevor der Kontext an das LLM gesendet wird. Kunden können Anonymisierungsregeln festlegen, um sensible Felder (wie IP-Adressen oder Benutzernamen) aus dem Kontextfenster zu entfernen, bevor dieses übermittelt wird. Alle durch Tests festgestellten Schwachstellen im Zusammenhang mit der Prompt-Injection werden im Rahmen des Secure Software Development Framework (SSDF) von Elastic behoben.

Die Speicherung des Gesprächsverlaufs im Elastic AI Assistant ist standardmäßig deaktiviert. Wird die Speicherung von einem Kundenadministrator aktiviert, werden Gesprächseinträge in einem vom Kunden kontrollierten Elasticsearch-Index innerhalb des eigenen Deployments des Kunden gespeichert – nicht in der Infrastruktur von Elastic. Kundenadministratoren können einzelne Gesprächseinträge löschen oder den gesamten Verlauf der KI-Interaktionen über Elasticsearch-Indexverwaltungs-APIs oder die Kibana-Schnittstelle zur Datenverwaltung löschen. Elastic unterstützt die Datenlöschung bei Vertragsbeendigung mit einer schriftlichen Bestätigung.

Die vollständigen FAQ zur Produkt-KI von Elastic (PDF) herunterladen

Wir verwenden generative KI in unseren Lösungen, um unseren Kunden und Nutzern bei der Ausführung einer Vielzahl von Aufgaben zu helfen:

• Security: Hilft unseren Kunden und Nutzern, schneller auf Vorfälle zu reagieren und Warnmeldungen zu finden.
• Observability: Beschleunigt die Ursachenanalyse
• Search: Bietet Entwicklern Tools zum Erstellen moderner und konversationeller Suchanwendungen

Wir nutzen außerdem generative KI im Support-Hub-KI-Support-Assistenten, der auf die interne Dokumentation von Elastic verweist, um häufig gestellte Fragen von Kunden zu beantworten. Kunden können die generativen KI-Features von Elastic deaktivieren, und wir nutzen keine Kunden-Daten, um Elastic AI zu trainieren.

Kundendaten bleiben Eigentum des Kunden. Elastic verarbeitet sie nur zu den im Kundenvertrag festgelegten Zwecken und verkauft niemals Kundendaten an Dritte. Embeddings, angereicherte Felder und andere in den Indizes des Kunden gespeicherte Inferenzergebnisse werden gemäß den vom Kunden festgelegten Aufbewahrungs- und Indexlebenszyklusrichtlinien aufbewahrt und können vom Kunden jederzeit gelöscht werden.

Elastic Cloud-Deployments werden auf AWS, Google Cloud Platform und Microsoft Azure gehostet. Kunden wählen die geografische Region für ihr Deployment aus, in der die Deployment-Daten gehostet werden. Elastic Inference Service (EIS) ist ein separater verwalteter Dienst, der in ausgewählten AWS- und Google-Cloud-Platform-Regionen verfügbar ist. Wenn EIS verwendet wird, werden Inferenzanfragen an die nächstgelegene verfügbare Region weitergeleitet, die sich von der Region unterscheiden kann, in der das Deployment des Kunden gehostet wird. Die Auswahl der Region gilt für den Hosting-Standort des Deployments, nicht für das EIS-Inferenzrouting. Anfragen an ELSER und Jina werden vollständig innerhalb der Inferenzinfrastruktur von Elastic verarbeitet. Anfragen an große Sprachmodelle können eine zusätzliche Verarbeitung durch die jeweiligen Modellanbieter umfassen, die auf unterschiedlichen Cloud-Plattformen oder in unterschiedlichen Regionen betrieben werden können.

Elastic verarbeitet personenbezogene Kundendaten im Einklang mit dem geltenden Zusatz zur Datenverarbeitung. Elasticsearch, Inc. ist im Rahmen des EU-US-Datenschutz-Framework, der britischen Erweiterung sowie des Swiss-US-Datenschutz-Framework zertifiziert und stützt sich bei grenzüberschreitenden Datenübermittlungen auf Standardvertragsklauseln, ergänzt durch Maßnahmen wie Verschlüsselung während der Übertragung und im Ruhezustand sowie regionale Hosting-Optionen.

Kundendaten werden im Ruhezustand mit AES-256 verschlüsselt und während der Übertragung über TLS 1.2 oder höher geschützt. RBAC gelten auch für KI-Features und ermöglichen eine granulare Kontrolle darüber, auf welche Indizes und Tools Agenten und API-Schlüssel zugreifen können. Für den MCP-Server von Agent Builder werden Tools mit dem Berechtigungsumfang des vom verbindenden Client vorgelegten API-Schlüssels ausgeführt – Elastic empfiehlt auf einen Index beschränkte, schreibgeschützte API-Schlüssel mit Ablaufdatum, damit für Agenten und externe Clients offengelegte Daten dem Least-Privilege-Prinzip folgen.

Wenn externe Clients (z. B. MCP-kompatible Anwendungen) über die MCP- oder A2A-Server eine Verbindung zu Agent Builder-Tools herstellen, werden die von ihnen gesendeten Anfragen und die in den Tool-Ergebnissen zurückgegebenen Indexdaten verarbeitet. Der Zugriff ist auf die Berechtigungen des verwendeten API-Schlüssels beschränkt, sodass Kunden genau festlegen können, welche Indizes und Tools offengelegt werden.

Elastic erfasst automatisch bestimmte Produktnutzungsdaten im Zusammenhang mit der Nutzung von KI-Features, die wie in der Elastic-Datenschutzerklärung für die Produktnutzung beschrieben verarbeitet werden. Bei On-Prem- und bestimmten Hybrid-Deployments können Kunden diese Erfassung in der Produktkonfiguration einschränken oder deaktivieren. Bei Cloud-Deployments (SaaS) ist sie für das ordnungsgemäße Funktionieren des Dienstes erforderlich.

Lesen Sie das Datenschutzdatenblatt zu Elastic AI

Sehen Sie sich den Zusatz zur Datenverarbeitung/Datenschutz im Trust Center an

Elastic Cloud ist bei allen großen Anbietern von Cloud-Diensten weltweit verfügbar. Mit Elastic Cloud können Sie Deployments in einer Vielzahl von Regionen bei Amazon Web Services (AWS), Microsoft Azure und Google Cloud Platform (GCP) einrichten und betreiben. Sehen Sie sich unsere aktuellste Liste an.

Bitte besuchen Sie die Webseite zum Elastic Cloud-Status, um Uptime-Informationen einzusehen.