JumpCloud

Was JumpCloud ist und wie es funktioniert

JumpCloud ist eine Open-Directory-Plattform, die drei klassisch getrennte Kategorien zusammenführt: Identity Provider (vergleichbar Okta oder Azure AD), Unified Endpoint Management (vergleichbar Intune oder Jamf) und Zugriffsmanagement (SSO, MFA, Conditional Access). IT-Teams zentralisieren mit JumpCloud das Provisioning für SaaS, setzen Geräte-Posture vor dem Zugriff durch und auditieren, wer wann von wo zugegriffen hat. Betrieben wird die Plattform von JumpCloud Inc. (USA) und ist im EMEA-Mittelstand verbreitet.

Welche Daten JumpCloud verarbeitet

JumpCloud speichert Verzeichnisattribute (Name, E-Mail, Rolle, Abteilung, Vorgesetzte, Gruppen, Passwort-Hash), MFA-Konfiguration, Geräte-Inventar (Hostname, OS, Version, Seriennummer, Patches), Sitzungsdaten (Login-IP, Geo-Inferenz, User-Agent, genutztes Gerät) und ein vollständiges Audit-Log aller Plattformaktionen. Logs werden standardmäßig 90 Tage aufbewahrt, in höheren Tarifen bis 1 Jahr verlängerbar.

DSGVO- und NIS2-Implikationen

JumpCloud ist Auftragsverarbeiter personenbezogener Mitarbeiterdaten. Verantwortlicher ist der Arbeitgeber, der die Verarbeitung im Verarbeitungsverzeichnis dokumentieren, den JumpCloud-AVV abschließen und Beschäftigte informieren muss. NIS2 verlangt für wesentliche und wichtige Einrichtungen MFA und Zugriffskontrollen; JumpCloud ist häufig das gewählte Werkzeug, sodass seine Verfügbarkeit und Integrität unmittelbar NIS2-relevant sind. Drittlandtransfers in die USA sind über SCC und Transfer Impact Assessment abzusichern, oder durch die EU-Region zu vermeiden.

Einwilligung und Rechtsgrundlage

Da Betroffene Beschäftigte sind, ist die Rechtsgrundlage regelmäßig Art. 6(1)(b) (Erfüllung des Arbeitsvertrags) oder Art. 6(1)(f) (berechtigtes Interesse an IT-Sicherheit), nicht Einwilligung. Einige EU-Mitgliedstaaten verlangen die Konsultation des Betriebsrats nach Art. 88 DSGVO vor Einführung von Beschäftigtenüberwachungstools, insbesondere wenn Telemetrie Profile erlaubt. Eine Einwilligung ist für den Betrieb nicht erforderlich, eine Information aber Pflicht.

Datenresidenz und US-Transfers

Standardmäßig hostet JumpCloud in den USA (AWS us-east). Beim Onboarding oder per Migration lässt sich die EU-Region (AWS Frankfurt) wählen, sodass Verzeichnis-, und Audit-Daten in der EU bleiben. Für europäische Kunden ist die EU-Region die empfohlene Wahl. Bei US-Region stützen sich Transfers auf SCC und das EU, US Data Privacy Framework, in dem JumpCloud zertifiziert ist. Führen Sie ein Transfer Impact Assessment durch und dokumentieren Sie TOMs (Verschlüsselung at rest, in transit, kundenverwaltete Schlüssel bei sensiblen Kunden).

Praktische Compliance-Schritte

Schließen Sie den JumpCloud-AVV, wählen Sie nach Möglichkeit die EU-Region, führen Sie bei US-Region eine TIA durch, dokumentieren Sie JumpCloud im Verarbeitungsverzeichnis, informieren Sie Mitarbeitende intern, konsultieren Sie den Betriebsrat, wo erforderlich, setzen Sie eine Audit-Log-Aufbewahrung passend zu Recht und Security-Policy, erzwingen Sie MFA für Admins, schränken Sie Konsolenzugriff per IP ein und binden Sie JumpCloud-Logs an Ihr SIEM für Detection & Response an.