Die Zukunft 2026: Warum Tunneling jetzt ein Compliance-Problem ist

In den frühen 2020er Jahren war das Netzwerktunneling das Schweizer Taschenmesser der Entwicklerwelt. Ob Ngrok, Cloudflare Tunnel oder Tailscale – diese Tools waren die stillen Helden bei lokalen Tests und Fernzugriffen. Doch mit Blick auf 2026 ist das Zeitalter des “Shadow Tunneling” praktisch vorbei.

Regulierungsbehörden in der EU und Nordamerika haben die technische Realität erkannt: Ein Tunnel ist nicht nur ein Rohr — er ist eine juristische Brücke. Wenn diese Brücke in einem falschen Land landet, kann die gesamte Compliance-Position zusammenbrechen.

Dieser Leitfaden beleuchtet die beiden wichtigsten rechtlich-technischen Veränderungen, die Infrastrukturentscheidungen derzeit prägen: das reale und sich beschleunigende Risiko eines Schrems III-Urteils, das den EU-US-Datenschutzrahmen für ungültig erklären könnte, sowie die wachsende rechtliche Haftung durch schwebende DNS-Einträge in Tunneling-Umgebungen.

---

Teil I: Schrems III und warum dein Tunnel-Ausgangsort wichtig ist

Der rechtliche Kontext: Ein Rahmen auf wackeligem Boden

Die meisten Organisationen atmeten 2023 auf, als der EU-US-Datenschutzrahmen (DPF) in Kraft trat und schließlich die zweimal für ungültig erklärten Safe Harbour- und Privacy Shield-Regelungen ersetzte. Der DPF bestand seinen ersten großen Gerichtstest am 3. September 2025, als der Europäische Gerichtshof den Rahmen im Latombe gegen Europäische Kommission (Fall T-⁵⁵³⁄₂₃) bestätigte und den Versuch eines französischen Abgeordneten, ihn aufzuheben, abwies. Das Gericht bestätigte, dass die USA derzeit ein angemessenes Datenschutzniveau bieten.

Doch das Urteil ist längst nicht das Ende der Geschichte. Die Analyse des General Court basierte explizit auf US-Recht zum Zeitpunkt der Entscheidung im Juli 2023 — also ohne Berücksichtigung aktueller Entwicklungen unter der aktuellen US-Regierung. NOYB, die Datenschutzorganisation von Max Schrems, kündigte sofort an, eine separate, breitere Klage vor dem EuGH zu prüfen. Eine solche Berufung könnte direkt eingereicht werden und würde von den bereits im Latombe-Fall getesteten rechtlichen Argumenten profitieren.

Gleichzeitig bleibt die strukturelle Verwundbarkeit im Kern der Schrems-Fälle bestehen. Nach FISA Abschnitt 702 können US-Geheimdienste auf Daten zugreifen, die Nicht-US-Personen gehören, ohne individuelle gerichtliche Aufsicht — ein direkter Widerspruch zu den Prinzipien der Verhältnismäßigkeit und Notwendigkeit der DSGVO. Im März 2025 warnte Schrems öffentlich, dass die Abschaffung zentraler Aufsichtsbehörden wie dem Privacy and Civil Liberties Oversight Board (PCLOB) unter der aktuellen Regierung die Europäische Kommission dazu zwingen könnte, den DPF eigenständig auszusetzen, ohne auf eine neue Gerichtsentscheidung zu warten.

Joe Jones vom IAPP fasste es klar zusammen: “Alle Wege führen zu einem Schrems III.”

Die Bindl-Entscheidung: Nicht-materieller Schaden ist jetzt realer Schaden

Wenn das Risiko eines Schrems III abstrakt erscheint, brachte das Urteil in *Bindl gegen Kommission* (Fall T-³⁵⁴⁄₂₂) die Konsequenzen auf den Boden der Tatsachen.

Am 8. Januar 2025 ordnete der Europäische Gerichtshof an, dass die Europäische Kommission 400 € Schadenersatz an einen deutschen Bürger zahlt, weil seine IP-Adresse ohne angemessene Schutzmaßnahmen an Meta Platforms in den USA übertragen wurde — während er auf der Website der Kommission auf den “Mit Facebook anmelden”-Button klickte. Die Kommission hatte keine Standardvertragsklauseln oder andere rechtmäßige Übertragungsmechanismen für diese Datenübertragung umgesetzt.

Der Betrag ist gering. Das rechtliche Präzedenzfall ist enorm.

Der Gerichtshof bestätigte, dass eine Person für nicht-materiellen Schaden — insbesondere die Unsicherheit und den Kontrollverlust darüber, wie ihre persönlichen Daten verarbeitet werden — entschädigt werden kann, ohne einen konkreten finanziellen Verlust nachweisen zu müssen. Rechtsexperten sehen in diesem Urteil die Möglichkeit, groß angelegte kollektive Schadensersatzklagen zu initiieren. Der Jura-Professor Théodore Christakis von der Universität Grenoble Alpes schätzte, dass die 400 € “bei Massenklagen gegen Tausende oder Millionen von Betroffenen Milliarden wert sein könnten.”

Für jede Organisation, deren Netzwerkverkehr durch US-Infrastruktur läuft, ohne dokumentierte, angemessene Schutzmaßnahmen, ist Bindl eine Warnung.

Die “Exit Node”-Falle im Tunneling

Hier kreuzen sich Infrastruktur und Recht auf eine Weise, die die meisten Engineering-Teams noch nicht durchdacht haben.

In einer Standard-Tunneling-Konfiguration reisen Daten vom lokalen Server zu einem Exit-Node — einem Relay-Server des Tunnel-Anbieters — und dann ins Internet. Das Problem: die meisten Tunnel-Anbieter setzen ihre Exit-Nodes standardmäßig auf US-basierte Infrastruktur. Wenn deine Anwendungsdaten in Frankfurt verarbeitet werden, aber über ein Relay in Virginia austreten, exportierst du technisch gesehen personenbezogene Daten in die USA gemäß DSGVO. Ohne einen gültigen Übertragungsmechanismus für diesen Datenfluss bist du — wie das Bindl-Urteil deutlich macht — sogar bei scheinbar temporären oder zufälligen Übertragungen gefährdet.

Dies ist kein theoretisches Risiko. Die norwegische Datenschutzbehörde warnte, dass bei Widerruf des DPF sofort Einschränkungen verhängt werden könnten, ohne Übergangszeit, basierend auf früheren Durchsetzungsmaßnahmen, bei denen österreichische, französische und italienische Aufsichtsbehörden feststellten, dass US-geroutete Analytik-Traffic gegen die DSGVO verstößt.

Compliance-Checkliste für Tunneling 2026

Um konform zu bleiben, müssen Organisationen Exit-Node-Standorte mit der gleichen Sorgfalt behandeln wie ihre Cloud-Hosting-Entscheidungen.

Regionale Exit-Affinität. Stelle sicher, dass dein Tunnel-Anbieter es erlaubt, Exit-Nodes auf bestimmte geografische Regionen zu beschränken (z.B. nur EU). Verlasse dich nicht auf Standard-Einstellungen.

Schlüsselverwaltung. Das Verschlüsseln des Tunnels reicht nicht aus, wenn die Schlüssel von einem US-basierten Anbieter verwaltet werden. Nach aktuellen Standards sollten die Schlüssel beim Datenverantwortlichen oder einem souveränen EU-Anbieter liegen (Bring Your Own Key / BYOK).

RoPA-Dokumentation. Gemäß DSGVO muss jeder Tunnel in deinem Verzeichnis der Verarbeitungstätigkeiten dokumentiert sein. Nicht dokumentierte Entwickler-Tunnels sind eine Compliance-Lücke, die von den Aufsichtsbehörden zunehmend als relevant betrachtet wird.

Übertragungsmechanismus-Überprüfung. Wenn eine Tunnelroute durch Infrastruktur außerhalb der EU führt, brauchst du einen gültigen Übertragungsmechanismus — SCCs, DPF-Selbstzertifizierung durch den Empfänger oder Binding Corporate Rules — dokumentiert für diesen spezifischen Datenfluss.

Notfallplanung. Angesichts der Fragilität des DPF sollten Organisationen bereits Backup-SCCs und Transfer-Folgenabschätzungen für US-geroutete Daten vorbereiten. Die norwegische DPA hat explizit Exit-Strategien empfohlen.

Vergleich der Tunnel-Architektur

Merkmal	Legacy Public Tunnels	Souveräne Tunnels (2026 Standard)
Exit-Punkt	Dynamisch / Global	An lokale Gerichtsbarkeit gebunden
Gerichtsbarkeit	Oft US (FISA 702)	EU-lokalisiert
Schlüsselmanagement	Anbieter-verwaltet	Kunde-verwaltet (BYOK)
Übertragungsmechanismus	Oft nicht vorhanden	SCCs oder DPF-dokumentiert
Haftungsstatus	Hohes Risiko	Prüfbar

---

Teil II: Schwebende DNS und die Haftungsfrage

Was ist ein schwebender DNS-Eintrag?

Wenn ein Entwickler einen Tunnel-Endpunkt bei z.B. dev-testing.ihrefirma.de einrichtet, erstellt er einen DNS-CNAME-Eintrag, der auf die Infrastruktur des Tunnel-Anbieters zeigt. Wenn das Projekt endet und der Tunnel abgeschaltet wird, bleibt der DNS-Eintrag meist bestehen. Der Anbieter gibt den spezifischen Hostnamen frei, sodass ihn jeder beanspruchen kann.

Zu diesem Zeitpunkt ist dein Firmen-Subdomain live, öffentlich auflösbar und zeigt auf Infrastruktur, die jemand anderes kontrollieren kann. Ein Angreifer, der denselben Hostnamen beim selben Anbieter registriert, erhält sofort die Möglichkeit, Inhalte von deiner offiziellen Subdomain auszuliefern — Phishing-Seiten, Malware, Anmeldeformulare — alles im Vertrauen deiner Marke.

Das DNS-System überprüft nicht, ob die Ressource, auf die ein CNAME zeigt, noch unter Kontrolle des ursprünglichen Besitzers steht. Es leitet den Traffic blind dorthin, wo der Eintrag hinweist.

Das Ausmaß des Problems

Forschungen haben über 1,1 Millionen CNAME-Einträge identifiziert, die potenziell für Subdomain-Übernahmen anfällig sind, wobei Cloud-Anbieter wie Azure, AWS S3, GitHub Pages, Heroku, Zendesk häufig ausgenutzt werden. Im Jahr 2024 nutzte die “SubdoMailing”-Kampagne über 8.000 legitime gehackte Domains, um gefälschte E-Mails zu versenden, indem sie das vertrauenswürdige Ansehen der Eltern-Domains ausnutzte.

Das Risiko steigt bei Organisationen mit schnellen Cloud-Migrationen oder aktiven Entwickler-Tools, bei denen DNS-Einträge häufig erstellt, aber unzureichend bereinigt werden. Sicherheitsforscher fanden gelöschte AWS S3-Buckets mit bestehenden DNS-Referenzen, die für Supply-Chain-Angriffe auf Software-Entwicklungspipelines genutzt wurden.

Das Angriffsfläche beschränkt sich nicht nur auf CNAME-Einträge. MX-, NS-, A- und AAAA-Einträge tragen das gleiche Risiko, wenn sie auf außer Betrieb genommene oder abgelaufene Ressourcen zeigen.

Der rechtliche Wandel: Vom Security Desk zum Legal Desk

Subdomain-Übernahmen galten früher als Sicherheitsproblem. Diese Sichtweise ändert sich. Das Bindl gegen Kommission-Urteil stellte fest, dass schon das bloße Risiko einer Offenlegung — die Unsicherheit darüber, wer deine Daten verarbeitet oder Inhalte von deiner Infrastruktur ausliefert — unter EU-Recht einen nicht-materiellen Schaden darstellen kann.

Die NIS2-Richtlinie, die EU-Mitgliedstaaten bis Oktober 2024 umsetzen mussten und die ²⁰²⁵⁄₂₀₂₆ voll in Kraft tritt, verschärft das Haftungsbild zusätzlich. Nach Artikel 20 von NIS2 sind Management-Gremien — inklusive CTOs und CISOs — persönlich verantwortlich für die Genehmigung und Überwachung von Cybersicherheitsmaßnahmen. Unwissenheit ist ausdrücklich keine Verteidigung. Deutschland hat NIS2 am 6. Dezember 2025 durch ein geändertes BSI-Gesetz umgesetzt, mit Fristen für die Registrierung bis April 2026. Belgien ist seit Oktober 2024 aktiv bei Durchsetzungsmaßnahmen, mit Konformitätsbewertungen seit Q3 2025.

Die Strafen sind erheblich. Kritische Organisationen können mit bis zu €10 Millionen oder 2 % des weltweiten Jahresumsatzes belegt werden. Wichtige Organisationen bis zu €7 Millionen oder 1,4 % des Umsatzes. Regulierungsbehörden können zudem Vorstände bei grober Fahrlässigkeit vorübergehend von Führungsrollen ausschließen.

Für einen schwebenden DNS-Eintrag, der eine Phishing-Attacke aus einer Firmen-Subdomain ermöglicht, wächst die rechtliche Argumentation, dass die Organisation ihrer Sorgfaltspflicht nicht nachgekommen ist — nicht, weil sie gehackt wurde, sondern weil sie es versäumt hat, ihre digitalen Assets ordnungsgemäß zu pflegen.

Die Versicherungsrealität

Cyber-Versicherer verfolgen diesen Trend genau. Immer mehr Policen enthalten DNS-Hygiene-Klauseln, bei denen Ansprüche abgelehnt werden, wenn ein Verstoß durch einen nicht geprüften CNAME innerhalb eines bestimmten Zeitfensters ermöglicht wurde. “DNS-Hygiene” ist nicht mehr nur eine technische Empfehlung — sie wird zunehmend zu einer vertraglichen Verpflichtung, die darüber entscheidet, ob der Versicherungsschutz greift.

---

Teil III: Praktische Strategien für konformitätsorientiertes Tunneling

1. Verwende temporäre Tunnel-URLs

Vermeide statische, dauerhafte Tunnel-Subdomains für Entwicklungsarbeiten. Dienste, die kurzlebige, kryptografisch signierte URLs generieren, die automatisch bei Sitzungsende ablaufen, beheben das Problem schwebender DNS-Einträge von vornherein. Wenn der Eintrag eine harte Ablaufzeit hat, gibt es nichts, was vergessen werden könnte.

2. Betreibe private Relay-Knoten

Statt Entwicklerverkehr durch die gemeinsame Infrastruktur eines öffentlichen Tunnel-Anbieters zu leiten, solltest du eigene private Relay-Knoten in deiner souveränen Cloud-Umgebung betreiben — z.B. in einer AWS-Region, die EU-only ist, oder in einer On-Premises-Umgebung. So verbleibt selbst die Metadaten des Tunnels in deiner Gerichtsbarkeit, und das Transfer-Mechanismus-Problem entfällt.

3. Automatisiere DNS-Audits

Wenn dein Unternehmen Subdomains für Tunnels oder externe Dienste nutzt, brauchst du einen automatisierten Prozess, um schwebende Einträge zu erkennen und zu entfernen. Das PowerShell-Tool von Microsoft (Get-DanglingDnsRecords) ist eine Option für Azure-Umgebungen. Der Prozess sollte systematisch sein: Jeder CNAME, der auf einen Drittanbieter zeigt und innerhalb eines definierten Zeitfensters — z.B. 24 bis 48 Stunden — keinen Traffic mehr hat, sollte markiert und zur Entfernung vorgemerkt werden.

Das Grundprinzip: Das Abschalten eines Dienstes und das Entfernen seines DNS-Eintrags müssen als eine atomare Operation behandelt werden, nicht als zwei separate Schritte.

4. Aktualisiere deine Verträge mit Anbietern

Dein Rechtsteam sollte sicherstellen, dass B2B-Verträge festlegen, dass temporärer Netzwerkzugang, inklusive Tunnel, den regionalen Datenresidenzanforderungen unterliegt. Das verschiebt einen Teil der Compliance-Verantwortung auf die Anbieter und schafft eine dokumentierte Nachweisführung, dass dein Unternehmen das Thema ernst nimmt.

5. Erstelle DPF-Notfallpläne

Angesichts der politischen und rechtlichen Volatilität rund um den EU-US-Datenschutzrahmen sollten Organisationen, die ihn als einzigen Übertragungsmechanismus für US-geroutete Infrastruktur nutzen, bereits Backup-Standardvertragsklauseln und Transfer-Folgenabschätzungen vorbereiten. Warten Sie nicht auf eine gerichtliche Entscheidung. Die Empfehlung der norwegischen DPA, eine “Exit-Strategie” zu haben, ist klug und wird zunehmend Mainstream.

---

Fazit: Das Netzwerk ist die Rechtsschicht

Im Jahr 2026 sind Infrastrukturentscheidungen auch Compliance-Entscheidungen. Die Wahl eines Tunnel-Ausgangs ist nicht nur eine Frage der Latenz — es ist eine Frage, welche Gerichtsbarkeit das Recht auf die durchgeleiteten Daten hat und welche Aufsichtsbehörden Zugriff erzwingen können.

Das Management von DNS ist keine Hausarbeit — es ist eine Litigation-Prevention-Maßnahme, die fest im Rahmen der persönlichen Verantwortlichkeit nach NIS2 verankert ist.

Die Schrems-Saga hat den transatlantischen Datenfluss bereits zweimal neu gestaltet. Eine dritte Störung ist glaubwürdig möglich, mit NOYB in Bereitschaft und der Unabhängigkeit des PCLOB unter Druck. Die Organisationen, die dies am effektivsten navigieren, sind jene, die ihre “Rohre” bereits mit der gleichen rechtlichen Ernsthaftigkeit behandeln wie ihre Datenbanken.

---

Stand: März 2026. Rechtlicher Kontext kann sich ändern; konsultieren Sie einen qualifizierten Rechtsberater für länderspezifische Beratung.