Amikor a szolgáltatónak le kell állítania a szolgáltatást: joghatósági kockázat a jelszókezelőknél

A rendelkezésre állás nem garantált: aktuális példa

2026 júniusában kézzelfoghatóvá vált, ami absztraktnak hangzik: az amerikai kormány exportellenőrzési rendelkezése arra kötelezte az AI-szolgáltató Anthropicot, hogy két legfejlettebb modelljéhez függessze fel a hozzáférést külföldi állampolgárok számára – függetlenül attól, hogy azok az USA-ban vagy azon kívül tartózkodtak. Mivel a felhasználók állampolgárságát nem lehetett megbízhatóan, valós időben ellenőrizni, a szolgáltató elővigyázatosságból minden ügyfél számára lekapcsolta az érintett modelleket. Néhány órán belül egy korábban szabadon elérhető termék használhatatlanná vált – a futó szerződésektől, kifizetett előfizetésektől és a felhasználók fizikai tartózkodási helyétől függetlenül.

Az eset egy okból tanulságos: nem technikai kiesésről, hanem szabályozói döntésről volt szó. A szerződéses rendelkezésreállási vállalás (SLA) ez ellen nem véd – ha egy szolgáltatónak hatósági rendelkezést kell követnie, az elsőbbséget élvez a szerződéses ígérettel szemben. Nem kritikus szolgáltatásoknál ez elviselhető kellemetlenség. Üzletkritikus infrastruktúránál viszont olyan kockázat, amelynek helye van az architektúradöntésben.

A joghatósági kockázat két dimenziója

Aki adatokat vagy szolgáltatásokat külföldi jogrend alá tartozó szolgáltatóra bíz, két különböző kockázatot vállal:

• Hozzáférés: az adott ország hatóságai bizonyos körülmények között rákényszeríthetik a szolgáltatót az adatok kiadására – akkor is, ha az adatok fizikailag Európában vannak tárolva.
• Rendelkezésre állás: szankciók, exportellenőrzések vagy más szuverén rendelkezések arra kötelezhetik a szolgáltatót, hogy bizonyos felhasználói csoportok vagy régiók számára megszüntesse a szolgáltatást.

Mindkét kockázat független a szolgáltatás technikai minőségétől vagy a szerződéses helyzettől. Kizárólag abból a kérdésből erednek, mely jogrendnek van alárendelve a szolgáltató.

Miért különösen súlyos ez a jelszókezelőnél

A jelszókezelő nem szokványos szolgáltatás. Gyakorlatilag a vállalat összes többi rendszeréhez tartalmazza a hozzáférési adatokat – az e-mail-fióktól a szervereken és Cloud-szolgáltatásokon át a könyvelésig. Aki ezt a központi trezort kompromittálja vagy leállítja, közvetve minden mást is elér.

Ez megváltoztatja a kockázatértékelést: sok alkalmazásnál a mérleg a Cloud kényelme felé billenhet. A vállalat főkulcsainak trezoránál azonban a hozzáférés és a rendelkezésre állás kontrollja első helyen áll. Itt a joghatósági kockázat nem egyetlen rendszert érint, hanem potenciálisan a teljes IT-t.

A jogi háttér

A külföldi jogrend alá tartozó szolgáltatóknál jelentkező joghatósági kockázat nem elméleti konstrukció, hanem konkrét törvényekből fakad. Nem korlátozódik az USA-ra – más államokban is léteznek hasonló szabályok –, az európai piac számára azonban elsősorban három pont releváns:

• CLOUD Act (USA, 2018): arra kötelezi az amerikai joghatóság alá tartozó elektronikus kommunikációs vagy remote computing szolgáltatókat, hogy hozzák nyilvánosságra a birtokukban, őrizetükben vagy kontrolljuk alatt álló adatokat – függetlenül attól, hogy azok az USA-ban vagy azon kívül vannak tárolva. Egy amerikai szolgáltató európai adatközpontja ezért nem zárja ki szükségszerűen a hozzáférést.
• Hírszerzési hozzáférési szabályok: az olyan jogosítványok, mint a FISA Section 702, bizonyos feltételek mellett az USA-n kívüli, nem amerikai személyek kommunikációjának célzott gyűjtésére vonatkoznak amerikai kommunikációs szolgáltatásokon keresztül. Az ilyen jogosítványok hatókörét és jogi státuszát az adott szolgáltatásra külön kell értékelni.
• Harmadik országba történő adattovábbítás a GDPR szerint: aki személyes adatokat harmadik országbeli szolgáltatókhoz továbbít, vagy ott dolgoztat fel, annak be kell tartania a GDPR 44. és azt követő cikkeit. Az EU-US Data Privacy Framework 2023 óta alapot teremt tanúsított amerikai szervezetek számára, de különösen érzékeny adatok esetén nem váltja ki a kockázati és szolgáltatói vizsgálatot.

Ezek a szabályok nem teszik általánosan megengedhetetlenné a Cloud-szolgáltatásokat. De a kontroll egy részét kiviszik a vállalatból – és éppen ez a kontroll különösen értékes a hozzáférési adatoknál.

Mit jelent konkrétan a digitális szuverenitás

A digitális szuverenitást könnyű politikai jelszóként félreérteni. A gyakorlatban egyszerűen azt jelenti: a vállalat megtartja a kontrollt azon három kérdés felett, amelyek vészhelyzetben számítanak.

• Hely: hol vannak az adatok fizikailag és logikailag?
• Hozzáférés: ki férhet hozzá az adatokhoz – és kit lehet hozzáférés biztosítására kényszeríteni?
• Rendelkezésre állás: ki dönt arról, hogy a szolgáltatás tovább működik-e?

A szuverenitás nem azt jelenti, hogy elvből le kell mondani a Cloud-szolgáltatásokról. Azt jelenti, hogy a legérzékenyebb rétegnél – a hozzáférési adatoknál – nem adjuk ki a kezünkből a választ erre a három kérdésre.

On-Premises mint architekturális válasz

A joghatósági kockázatra kézenfekvő válasz, hogy a kritikus réteg feletti kontroll a vállalatnál marad. Egy On-Premises jelszókezelő a titkosított adatbázisokat, a felhasználókezelést és a naplókat teljes egészében olyan infrastruktúrán tartja, amelyet a vállalat maga kontrollál.

Itt érdemes világosan különbséget tenni, mert saját üzemeltetésnél a jelszókezelő szolgáltatója minden esetben kiesik mint külső kiadási vagy leállítási pont – a fennmaradó kérdés kizárólag az infrastruktúrára vonatkozik:

• Saját adatközpont: a trezor, a kulcsok, a biztonsági mentések és az üzemeltetés teljes egészében saját kézben vannak. Itt a digitális szuverenitás a legszélesebb – nincs sem külső jelszókezelő-szolgáltatás, sem külső infrastruktúra-üzemeltető, amelyet hozzáférésre vagy leállításra lehetne kötelezni.
• Private Cloud vagy saját Azure-Tenant: itt sem üzemelteti a gyártó a jelszókezelő-szolgáltatást. Megjelenik azonban egy infrastruktúra-üzemeltető – ha az külföldi jogrend alá tartozik, joghatósági kockázatát külön kell értékelni. A jelszókezelő szolgáltatói kockázata megszűnik, a hostingkockázat megmarad.

A maximális kontrollhoz ezért a saját adatközpontban történő üzemeltetés a legegyértelműbb választás. Az adatvédelmi értékelés mindkét esetben egyszerűsödik, mert a jelszókezelő szolgáltatója nem okoz harmadik országba történő adattovábbítást – részletek a GDPR-kompatibilis jelszókezelő vállalatok számára című cikkben.

Szuverenitás üzemeltetési modell szerint összehasonlítva

A Cloud-jelszókezelők önmagukban nem biztonságtalanok – saját infrastruktúrával nem rendelkező és különleges szuverenitási követelmények nélküli szervezetek számára megfelelő választást jelenthetnek. A kérdés nem az, hogy „jó vagy rossz”, hanem: ki döntsön vészhelyzetben a legérzékenyebb adatokhoz való hozzáférésről és azok rendelkezésre állásáról?

Röviden: ahol a hozzáférés és a rendelkezésre állás feletti kontroll döntő, ott a saját üzemeltetés a következetes választás – nem azért, mert a Cloud elvből kizárt, hanem mert a hozzáférési adatok az a réteg, ahol a kontrollt meg kell tartani.

Password Depot: adatszuverenitás mint alapelv

A Password Depot Enterprise Server következetesen az Ön környezetében történő üzemeltetésre készült, és nem kényszerít ki külső Cloud-szolgáltatást – az adatszuverenitás teljes egészében Önnél marad. A szuverenitás kérdésében a gyártó is döntő: a Password Depotot a Darmstadt székhelyű AceBIT GmbH fejleszti – egy német vállalat, amely német és európai jogrend alá tartozik. 1998 óta fejlesztve, több mint 100 000 ügyfélnél használatban.

• Üzemeltetés az Ön infrastruktúráján: On-Premises saját adatközpontban, az Ön által választott hostingpartner Private Cloudjában vagy saját Azure-Tenantban – a titkosított adatbázisok nem hagyják el az Ön által választott felelősségi területet.
• Gyártó EU-jog alatt: az AceBIT német vállalatként nem tartozik a US CLOUD Act hatálya alá. Ha külső infrastruktúrát használ, annak üzemeltetőjét külön kell értékelni – a választás az Öné.
• Ellenőrizhető biztonsági architektúra: AES-256 (FIPS 197 szerinti algoritmus) és TLS 1.3, SySS penetrációs teszt a Password Depot 19-hez (12/2025) „súlyos biztonsági sérülékenység nem került megállapításra” eredménnyel, valamint az AceBIT GmbH ISO/IEC 27001:2022 szerint, TÜV NORD CERT által tanúsított ISMS-e.
• GDPR-kompatibilisen üzemeltethető: mivel az adatok saját üzemeltetésben az Ön által választott infrastruktúrán maradnak, a jelszókezelő nem okoz harmadik országba történő adattovábbítást; a szerepkörök, a naplózás és a titkosítás támogatják a GDPR 32. cikke szerinti technikai és szervezési intézkedéseket. A konkrét megfelelőség emellett az Ön konfigurációjától és folyamataitól függ. Minden igazolás megtalálható a Trust Center felületén.

Így a saját üzemeltetés vélt hátrányából stratégiai előny lesz: a Password Depot az az üzemeltetési modell, amelyben egyetlen idegen gyártói szolgáltatás sem dönt az Ön főkulcsaihoz való hozzáférésről vagy trezorának rendelkezésre állásáról.

Következtetés: a szuverenitás architektúradöntés

A rendelkezésre állás és a hozzáférésvédelem nem garantálható pusztán szerződéssel, ha az alapul szolgáló szolgáltatói vagy infrastruktúralánc idegen jogrend alá tartozik – a 2026. júniusi példa ezt világossá teszi. A legtöbb rendszer esetében ez a függőség elfogadható. Annál a jelszókezelőnél, amely minden máshoz őrzi a kulcsokat, nem az. Aki meg akarja tartani a kontrollt a hely, a hozzáférés és a rendelkezésre állás felett, ezt a döntést legjobban architektúraszinten hozza meg – saját kontroll alatt történő saját üzemeltetéssel és európai jogrend alá tartozó gyártóval.

Győződjön meg saját környezetében: tesztelje az Enterprise Servert 30 napig ingyenesen, tekintse meg a megoldást élő demóban, vagy kérjen kötelezettség nélküli ajánlatot felhasználószámához.

Gyakori kérdések a digitális szuverenitásról

Mit jelent a digitális szuverenitás a jelszókezelésben?

Azt jelenti, hogy a vállalat megtartja a kontrollt három kérdés felett: hol vannak a hozzáférési adatok, ki férhet hozzájuk, és ki dönt a szolgáltatás rendelkezésre állásáról. Saját adatközpontban történő saját üzemeltetés esetén mindhárom válasz magánál a vállalatnál van.

Mi a CLOUD Act – és érinti-e a német vállalatokat?

A CLOUD Act (USA, 2018) arra kötelezi az amerikai joghatóság alá tartozó elektronikus kommunikációs vagy remote computing szolgáltatókat, hogy hozzák nyilvánosságra az őrizetükben vagy kontrolljuk alatt álló adatokat – a fizikai tárolási helytől függetlenül. Német vállalatok számára ez akkor válhat relevánssá, ha ilyen szolgáltatókat használnak érzékeny adatok kezelésére, még akkor is, ha az adatok európai adatközpontban találhatók.

Véd-e egy amerikai szolgáltató európai adatközpontja a hozzáféréssel szemben?

Nem feltétlenül. Nemcsak az számít, hol vannak az adatok tárolva, hanem az is, mely jogrendnek van alárendelve a szolgáltató. Ha a szolgáltató amerikai jog alá tartozik, a kiadási kötelezettség az USA-n kívül tárolt adatokra is vonatkozhat.

Ettől a Cloud-jelszókezelők alapvetően biztonságtalanok?

Nem. Nem a titkosítás technikai biztonságáról van szó, hanem a hozzáférés és a rendelkezésre állás feletti kontrollról. Különleges szuverenitási követelmények nélküli szervezetek számára a Cloud-megoldások megfelelőek lehetnek. A hozzáférési adatoknál – annál a rétegnél, amely az összes többi rendszert kinyitja – a mérlegelés gyakran mégis a saját kontroll felé billen.

Hogyan véd az On-Premises üzemeltetés a joghatósági kockázattól?

Saját üzemeltetésnél nincs külső jelszókezelő-szolgáltatás, amelyet adatok kiadására lehetne kényszeríteni, és nincs gyártó által üzemeltetett szolgáltatás, amelyet külföldi hatóság leállíthatna. Saját adatközpontban a tárolási hely, a hozzáférési utak és a rendelkezésre állás teljes mértékben a saját IT kontrollja alatt áll. Külső infrastruktúra, például Private Cloud vagy Azure-Tenant esetén az infrastruktúra-üzemeltetőt is értékelni kell.

A Password Depot amerikai jog alá tartozik?

Nem. A Password Depotot a Darmstadt székhelyű AceBIT GmbH fejleszti – egy német vállalat, amely német és európai jogrend alá tartozik. On-Premises üzemeltetésben a titkosított adatok az Ön saját vagy Ön által választott infrastruktúrájában maradnak. Külső infrastruktúra használata esetén annak szolgáltatóját külön kell értékelni.