TrueNAS made-in-USA: Datenschutz-Debatte für EU-Kunden ehrlich beleuchtet

Kaum ein Thema wird in deutschen IT-Runden so aufgeheizt diskutiert wie die Frage: “Dürfen wir überhaupt eine Software aus den USA einsetzen, wenn wir DSGVO-konform arbeiten wollen?” Bei TrueNAS — entwickelt von iXsystems mit Sitz in San Jose, Kalifornien — kommt dieser Reflex regelmäßig hoch. Manche Berater raten pauschal ab, andere winken das Thema ohne Prüfung durch. Beides ist unseriös. Wir bei DATAZONE arbeiten seit über einem Jahrzehnt mit TrueNAS in mittelständischen Umgebungen und möchten in diesem Beitrag eine ehrliche, technisch fundierte Bewertung liefern.

Die Kurzfassung vorweg: TrueNAS ist aus DSGVO-Sicht eine der unproblematischsten Storage-Lösungen am Markt — vorausgesetzt, man versteht, worauf es wirklich ankommt, und trennt Hardware-Betrieb sauber von vertraglichen Nebenschauplätzen. In den folgenden Abschnitten zeigen wir, was der CLOUD Act tatsächlich reguliert, welche Datenflüsse zu iX bestehen (Spoiler: standardmäßig keine), und welche Details Sie beim Kauf und Betrieb prüfen sollten.

CLOUD Act: Was er regelt — und was nicht

Der US CLOUD Act von 2018 erlaubt US-Behörden, von US-Unternehmen die Herausgabe von Daten zu verlangen, die diese “besitzen, verwahren oder kontrollieren” — unabhängig vom physischen Speicherort. Das ist der Kern der DSGVO-Sorge und der Grund, warum Cloud-Angebote wie Microsoft 365 oder AWS in Behördenkreisen kritisch gesehen werden.

Der entscheidende Punkt für TrueNAS-Nutzer: Der CLOUD Act betrifft Datenverarbeiter, die tatsächlich Zugriff auf die Daten haben. Bei einem TrueNAS-Server, den Sie in Ihrem Serverraum in Neuburg, Ingolstadt oder München betreiben, hat iXsystems keinerlei Zugriff. Es gibt keinen “Master-Key”, keine ausgeleitete Kopie, keine Cloud-Anbindung ab Werk. Die Firma in San Jose könnte dem FBI beim besten Willen nicht Ihre Backups aushändigen — sie hat sie schlicht nicht.

Das unterscheidet TrueNAS fundamental von SaaS-Angeboten. Ein US-Hyperscaler, der Ihre VM oder Ihr Objekt-Bucket in Frankfurt hostet, unterliegt dem CLOUD Act mit voller Härte. Ein US-Softwarehersteller, dessen Produkt Sie on-premises betreiben, unterliegt ihm für Ihre Daten nicht. Diese Trennung ist juristisch klar und wird auch vom EDSA in seinen Empfehlungen zum Drittlandtransfer so gesehen.

Was fliesst standardmässig zu iX — und was nicht

TrueNAS SCALE (aktuell 25.10 “Goldeye”) ist ausdrücklich so konfiguriert, dass keine Nutzdaten und keine identifizierenden Metadaten nach außen gehen. Nach der Installation können Sie sich mit tcpdump oder auf Ihrer OPNsense-Firewall selbst überzeugen:

Datenfluss	Standard	Steuerbar über
Update-Prüfung (train info)	Aktiv, meldet nur Versionsstand	System → Update → “Check for Updates” deaktivierbar
Usage-Statistiken	Aktiv, anonyme Hardware-Info	System → General → “Usage collection” deaktivierbar
Cloud-Sync-Ziele (S3, B2, Wasabi)	Nur wenn manuell konfiguriert	Data Protection → Cloud Sync
TrueCommand-Anbindung	Nur wenn manuell aktiviert	System → TrueCommand
NTP zu Pool-Servern	Aktiv, keine Nutzdaten	System → General → NTP Servers

Für Umgebungen mit hohen Compliance-Anforderungen deaktivieren wir bei DATAZONE typischerweise die Usage-Collection und die automatische Update-Prüfung und lassen das Gerät über die Firewall vollständig egress-gefiltert laufen. Ein TrueNAS ohne Internet-Ausgang funktioniert klaglos, Updates werden dann manuell über signierte Update-Files eingespielt.

Source-Available und Auditierbarkeit

Anders als geschlossene NAS-Systeme — etwa von Anbietern, die den Firmware-Quellcode nicht offenlegen — basiert TrueNAS auf offen einsehbarem Code. Der Kern (Kernel, ZFS, Middleware, Web-UI) liegt auf GitHub unter der iXsystems-Organisation. Wer will, kann prüfen, welche Netzwerkverbindungen die Middleware aufbaut, welche Logs geschrieben werden und wie das Rechte-Modell implementiert ist.

Das ist datenschutzrechtlich ein enormer Vorteil. Sie müssen einer US-Firma nicht “glauben”, dass keine Hintertür existiert — Sie können es nachvollziehen oder von einem Dritten prüfen lassen. Für Kunden aus regulierten Branchen (Kanzleien, Steuerberater, Gesundheitswesen, kritische Infrastruktur) ist genau das der entscheidende Punkt, den wir in Compliance-Dokumentationen belegen können.

Ein praktisches Beispiel: In einem Kundenprojekt für eine Steuerberatungskanzlei mussten wir im Rahmen der Auftragsverarbeitungs-Prüfung nachweisen, dass keine Mandantendaten das lokale Netz verlassen. Mit einem geschlossenen SaaS-Storage wäre das eine Vertrauensfrage geblieben. Mit TrueNAS und dokumentierter Egress-Filterung auf der OPNsense war der Nachweis in wenigen Stunden erbracht und prüferfest dokumentiert.

Wo EU-Kunden trotzdem hinschauen sollten

Fair ist auch: Nicht jeder Aspekt ist trivial. Es gibt drei Bereiche, in denen der US-Bezug reale Fragen aufwirft.

1. Support-Verträge und Silver/Gold-Support. Wenn Sie einen kommerziellen Support-Vertrag über iXsystems oder einen Reseller abschließen, kann der Support-Techniker im Rahmen eines Ticket-Zugriffs (typischerweise via signiertem WireGuard-Tunnel und einmaligem Freigabe-Token) auf Ihr System zugreifen. Das ist rechtlich ein Drittlandtransfer und braucht eine saubere Auftragsverarbeitung mit EU-Standardvertragsklauseln. Wir bei DATAZONE bieten deshalb First- und Second-Level-Support innerhalb der EU an und ziehen iX nur im Ausnahmefall als Third-Level dazu — dann mit dokumentierter Freigabe des Kunden.

2. Enterprise-Lizenz-Aktivierung. TrueNAS Enterprise (die kommerzielle Variante mit HA, Fibre Channel und erweitertem Support) benötigt eine Lizenz, die technisch bei iX registriert wird. Diese Registrierung enthält Seriennummer und Kunden-ID, keine Nutzdaten. Die Community-Edition (TrueNAS SCALE Community, kostenlos) hat keine solche Registrierung.

3. Drittanbieter-Apps im Apps-Katalog. SCALE bringt einen Katalog mit dockerisierten Anwendungen mit (Nextcloud, Immich, Plex, …). Deren Datenschutz-Verhalten hängt vom jeweiligen Projekt ab und ist unabhängig von iX. Wer hier lax konfiguriert — etwa Plex mit aktivem Cloud-Login — schafft sich seine eigene US-Datenverbindung, unabhängig vom Betriebssystem darunter.

Konkrete Konfigurations-Checkliste

Für Kunden, die maximale DSGVO-Sauberkeit anstreben, arbeiten wir mit folgender Baseline:

# Egress-Whitelist auf der Firewall (Beispiel OPNsense)
allow  truenas -> ntp.example.de:123    # NTP
allow  truenas -> update.example.de:443 # interner Update-Mirror
deny   truenas -> any                   # alles andere blockiert

# TrueNAS-System (System → General)
Usage collection:      DISABLED
Update check:          DISABLED (manuell)
Console messages:      LOCAL only
NTP:                   interne Pool-Server

# System → Advanced
Autotune:              DISABLED
Serial console:        nur intern

Ergänzt wird das durch dokumentierte Backup-Ziele — typischerweise ein zweites TrueNAS im Zweigstandort per Replication oder eine Backup-Kette nach 3-2-1 mit lokalem Tape oder verschlüsseltem Objekt-Storage bei einem EU-Provider. Kein “cloud sync to AWS US-East” ohne expliziten Kundenauftrag.

Fazit: Kein Widerspruch, aber Sorgfalt bei den Details

TrueNAS aus den USA einzusetzen ist aus DSGVO-Sicht unproblematisch, solange man den Unterschied zwischen “Software-Herkunft” und “Datenverarbeitung” versteht. Die Hardware steht bei Ihnen, die Daten liegen bei Ihnen, iX hat keinen Zugriff — das ist der Kern. Die verbleibenden Themen (Support-Zugriffe, Enterprise-Registrierung, Drittanbieter-Apps) sind lösbar, wenn sie bewusst adressiert werden.

Wer stattdessen zu einem europäischen Closed-Source-NAS greift, weil “aus Europa”, kauft sich meist eine schlechtere Nachprüfbarkeit ein — und muss dem Hersteller das Verhalten der Firmware genauso glauben, nur eben ohne Quellcode-Einblick.

DATAZONE unterstützt Sie bei der DSGVO-konformen Auslegung Ihrer Storage-Infrastruktur — von der Egress-Filterung über die Support-Vertragsgestaltung bis zur prüferfesten Dokumentation für Ihre Auftragsverarbeitung. Sprechen Sie uns an: Kontakt zum DATAZONE-Team.