Varnish

Was Varnish ist

Varnish ist ein leistungsstarker HTTP Beschleuniger und Reverse Proxy Cache. Es wurde 2006 von Poul Henning Kamp für die norwegische Zeitung VG geschrieben, um Lastspitzen zu bewaeltigen, und wird heute vom Open Source Projekt Varnish Cache und der Firma Varnish Software AS (Norwegen, Schweden, Deutschland) gepflegt. Varnish steht vor einem oder mehreren Origin Servern, cacht HTTP Antworten nach der Konfigurationssprache VCL und liefert gecachte Antworten direkt an Clients, was Backend Last und Latenz drastisch reduziert. Es wird breit von Publishern, E Commerce Plattformen, Video Streaming Diensten und SaaS APIs eingesetzt.

Welche Daten Varnish erzeugt

Varnish setzt oder liest keine eigenen Client Cookies. Es kann Cookies vom Client zum Origin weiterreichen (oder im VCL entfernen), diese Cookies gehören aber den Anwendungsbackends, nicht Varnish. Was Varnish produziert, sind detaillierte Transaktionslogs über varnishlog (vollständiges Request/Response Tracing) und varnishncsa (Combined Log Format), mit Client IP, Zeitstempel, Methode, URL, Status, Antwortzeit und Headern. Diese Logs sind personenbezogene Daten nach DSGVO. Varnish speichert Antwortkoerper im Shared Memory während des Caches, was kurzzeitig personenbezogene Daten aus API Antworten oder HTML enthalten kann.

DSGVO und ePrivacy Implikationen

Da Varnish weder Informationen auf dem Endgerät speichert noch von dort liest, greift Art. 5 Abs. 3 ePrivacy Richtlinie (Cookie Einwilligung) auf Varnish nicht. Cache und Zugriffslogs unterliegen der DSGVO und stützen sich auf berechtigtes Interesse nach Art. 6 Abs. 1 lit. f: Caching ist eine erwartbare Betriebsaktivitaet und Logs sind für Cache Tuning, Sicherheit und Stabilität erforderlich. Die Aufbewahrungsfrist sollte standardmäßig kurz sein, da Cache Logs nicht für langfristige forensische Untersuchungen genutzt werden.

Datenschutzfreundliche VCL Muster

Varnish liefert ein Default VCL, das Cookies von cachebaren GET Requests entfernt, um die Hit Rate zu maximieren. Das ist ein datenschutzfreundlicher Default, weil Tracking Cookies nicht auf gecachte Inhaltspfade gelangen. Betreiber können varnishncsa so konfigurieren, dass IPs durch Kürzung des letzten Oktetts anonymisiert werden, oder ein eigenes Combined Log Format nutzen. Die Cache Key Konstruktion kann so eingestellt werden, dass Session IDs nicht enthalten sind, was Effizienz erhält und das Risiko verringert, Sessiondaten unbeabsichtigt zu cachen.

Transfers und Hosting

Varnish Cache als Open Source transferiert selbst keine Daten. Wo der Betreiber den Server hostet, entscheidet über das Transferregime. Varnish Software AS, das kommerzielle Unternehmen, hat Sitz in Norwegen (unter DSGVO als angemessen anerkannt) mit Büros in Schweden und Deutschland; bei Kauf von Varnish Enterprise oder Controlled Edge gilt ein norwegischer Vertrag mit EU/EEA Datenresidenz als Standard.

Praktische Umsetzung

Varnish im Verarbeitungsverzeichnis als operative Caching Schicht unter berechtigtem Interesse führen. varnishncsa Aufbewahrung auf 7 bis 30 Tage setzen, Logrotation per logrotate, Logs auf EU Infrastruktur speichern. VCL so konfigurieren, dass Tracking Cookies auf cachebaren Pfaden entfernt werden, IPs anonymisiert werden, und Query Strings auf token tragenden Routen aus Logs ausgeschlossen werden. Bei Varnish Enterprise oder Controlled Edge das Varnish Software DPA unterzeichnen. Varnish gehört nicht in den Cookie Banner, da es keine Cookies setzt, kann aber in der Tech Stack Sektion der Datenschutzerklärung erwähnt werden.