Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
# Datenschutz im AWS Control Tower
Das Modell der AWS [https://aws.amazon.com/compliance/shared-responsibility-model/](https://aws.amazon.com/compliance/shared-responsibility-model/) gilt für den Datenschutz im AWS Control Tower. Wie in diesem Modell beschrieben, AWS ist es für den Schutz der globalen Infrastruktur verantwortlich, auf der alle ausgeführt AWS Cloud werden. Sie sind dafür verantwortlich, die Kontrolle über Ihre in dieser Infrastruktur gehosteten Inhalte zu behalten. Sie sind auch für die Sicherheitskonfiguration und die Verwaltungsaufgaben für die von Ihnen verwendeten AWS-Services verantwortlich. Weitere Informationen zum Datenschutz finden Sie unter Häufig gestellte Fragen zum [ Datenschutz in der Region ](https://aws.amazon.com/compliance/data-privacy-faq/) . Weitere Informationen zum Datenschutz in Europa finden Sie im [Zentrum für die Datenschutz-Grundverordnung (DSGVO)](https://aws.amazon.com/compliance/gdpr-center/).
Aus Datenschutzgründen empfehlen wir, Ihre AWS-Konto Anmeldeinformationen zu schützen und einzelne Benutzer mit AWS IAM Identity Center oder AWS Identity and Access Management (IAM) einzurichten. So erhält jeder Benutzer nur die Berechtigungen, die zum Durchführen seiner Aufgaben erforderlich sind. Außerdem empfehlen wir, die Daten mit folgenden Methoden schützen:
+ Verwenden Sie für jedes Konto die Multi-Faktor-Authentifizierung (MFA).
+ Wird verwendet SSL/TLS , um mit AWS Ressourcen zu kommunizieren. Wir benötigen TLS 1.2 und empfehlen TLS 1.3.
+ Richten Sie die API und die Protokollierung von Benutzeraktivitäten mit ein AWS CloudTrail. Informationen zur Verwendung von CloudTrail Pfaden zur Erfassung von AWS Aktivitäten findest du unter [ Arbeiten mit CloudTrail Pfaden ](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-trails.html) im *AWS CloudTrail Benutzerhandbuch*.
+ Verwenden Sie AWS Verschlüsselungslösungen zusammen mit allen darin enthaltenen Standardsicherheitskontrollen AWS-Services.
+ Verwenden Sie erweiterte verwaltete Sicherheitsservices wie Amazon Macie, die dabei helfen, in Amazon S3 gespeicherte persönliche Daten zu erkennen und zu schützen.
+ Wenn Sie für den Zugriff AWS über eine Befehlszeilenschnittstelle oder eine API FIPS 140-3-validierte kryptografische Module benötigen, verwenden Sie einen FIPS-Endpunkt. Weitere Informationen über verfügbare FIPS-Endpunkte finden Sie unter [Federal Information Processing Standard (FIPS) 140-3](https://aws.amazon.com/compliance/fips/).
Wir empfehlen dringend, in Freitextfeldern, z. B. im Feld **Name**, keine vertraulichen oder sensiblen Informationen wie die E-Mail-Adressen Ihrer Kunden einzugeben. Dies gilt auch, wenn Sie AWS-Services mithilfe der Konsole, der API oder der SDKs mit AWS Control Tower oder anderen Geräten arbeiten. AWS CLI AWS Alle Daten, die Sie in Tags oder Freitextfelder eingeben, die für Namen verwendet werden, können für Abrechnungs- oder Diagnoseprotokolle verwendet werden. Wenn Sie eine URL für einen externen Server bereitstellen, empfehlen wir dringend, keine Anmeldeinformationen zur Validierung Ihrer Anforderung an den betreffenden Server in die URL einzuschließen.
**Anmerkung**
Die Protokollierung der Benutzeraktivitäten AWS CloudTrail erfolgt automatisch im AWS Control Tower, wenn Sie Ihre Landing Zone einrichten.
Weitere Informationen zum Datenschutz enthält der Blog-Beitrag [AWS Shared Responsibility Model and GDPR](https://aws.amazon.com/blogs/security/the-aws-shared-responsibility-model-and-gdpr) im *AWS -Sicherheitsblog*. AWS Control Tower bietet die folgenden Optionen, mit denen Sie die in Ihrer Landezone vorhandenen Inhalte sichern können:
**Topics**
+ [Verschlüsselung im Ruhezustand](#data-protection-encryption-rest)
+ [Verschlüsselung während der Übertragung](#data-protection-encryption-in-transit)
+ [Einschränken des Zugriffs auf Inhalte](#data-protection-restrict-access)
## Verschlüsselung im Ruhezustand
AWS Control Tower verwendet Amazon S3-Buckets und Amazon DynamoDB-Datenbanken, die im Ruhezustand mithilfe von Amazon S3-Managed Keys (SSE-S3) zur Unterstützung Ihrer Landezone verschlüsselt werden. Diese Verschlüsselung wird standardmäßig konfiguriert, wenn Sie Ihre Landing Zone einrichten. Optional können Sie Ihre Landing Zone so konfigurieren, dass Ressourcen mit KMS-Verschlüsselungsschlüsseln verschlüsselt werden. Sie können auch eine Verschlüsselung im Ruhezustand für die Dienste einrichten, die Sie in Ihrer Landing Zone für die Dienste verwenden, die sie unterstützen. Weitere Informationen finden Sie im Kapitel Sicherheit in der Online-Dokumentation dieses Dienstes.
## Verschlüsselung während der Übertragung
AWS Control Tower verwendet Transport Layer Security (TLS) und clientseitige Verschlüsselung für die Verschlüsselung während der Übertragung zur Unterstützung Ihrer Landezone. Für den Zugriff auf AWS Control Tower ist außerdem die Konsole erforderlich, auf die nur über einen HTTPS-Endpunkt zugegriffen werden kann. Diese Verschlüsselung wird standardmäßig konfiguriert, wenn Sie Ihre Landing Zone einrichten.
## Einschränken des Zugriffs auf Inhalte
Als bewährte Methode sollten Sie den Zugriff auf die entsprechenden Benutzergruppen einschränken. Mit AWS Control Tower können Sie dies tun, indem Sie sicherstellen, dass Ihre zentralen Cloud-Administratoren und Endbenutzer über die richtigen IAM-Berechtigungen verfügen oder, im Fall von IAM Identity Center-Benutzern, dass sie in den richtigen Gruppen sind.
+ Weitere Informationen zu Rollen und Richtlinien für IAM-Entitäten finden Sie im * [ IAM-Benutzerhandbuch. ](https://docs.aws.amazon.com/IAM/latest/UserGuide/) *
+ Weitere Informationen zu den IAM Identity Center-Gruppen, die beim Einrichten Ihrer Landing Zone erstellt werden, finden Sie unter. [IAM Identity Center-Gruppen für AWS Control Tower](sso-groups.md)