Wie man Compliance für TiDB verwaltet

TiDB ist eine verteilte SQL-Datenbank, die für Echtzeit-Workloads mit starker MySQL-Kompatibilität entwickelt wurde. Ihre hybride transaktionale und analytische Verarbeitung (HTAP) macht sie attraktiv für Fintech, E-Commerce und große SaaS-Umgebungen. Compliance-Anforderungen unter DSGVO, HIPAA, SOX und PCI DSS verlangen jedoch mehr als nur Skalierbarkeit – sie erfordern Sichtbarkeit, Kontrolle und Nachvollziehbarkeit.

Diese Anleitung erklärt, wie man Compliance in TiDB-Umgebungen mit nativen Funktionen verwaltet und wie DataSunrise diese Fähigkeiten mit automatisierter Richtlinienverwaltung, Echtzeitschutz und unternehmensgerechter Berichterstattung erweitert.

Warum Compliance-Management entscheidend ist

Unternehmen, die Compliance-Anforderungen nicht erfüllen, sehen sich enormen Strafen gegenüber:

• Im August 2024 wurde Uber von der niederländischen Datenschutzbehörde mit 290 Millionen € (~324 Millionen $) bestraft, weil Fahrerinformationen illegal in die USA übertragen wurden, ohne ausreichende Schutzmaßnahmen, laut CBS News.

• Im Dezember 2024 erhielt Meta (Facebook) eine Geldstrafe von 251 Millionen € (~263 Millionen $) von der irischen Datenschutzkommission nach einer Datenpanne, bei der etwa 29 Millionen Konten betroffen waren, berichtet The Record.

• Dem GDPR-Bußgeldbericht 2025 von DLA Piper zufolge beliefen sich die Gesamtstrafen allein im Jahr 2024 europaweit auf 1,2 Milliarden €, mit kumulierten Strafen seit 2018 von fast 6 Milliarden €.

Diese hochkarätigen Fälle zeigen klar, dass Nicht-Compliance nicht nur theoretisch ist – sie kann Unternehmen Hunderte Millionen Euro an Strafen kosten, ganz zu schweigen von Reputationsschäden und Vertrauensverlust bei Kunden.

Native Compliance-Funktionen in TiDB

TiDB enthält mehrere Tools für Audit-Logs, Zugriffskontrolle und Wiederherstellung. Einige Funktionen sind nur in Enterprise- oder Cloud-Versionen verfügbar.

Manuelle Sensible Datenerkennung — Alle Editionen

Sie können Spalten, die wahrscheinlich sensible Daten enthalten (wie E-Mails, Telefonnummern, Sozialversicherungsnummern usw.), manuell mit einer einfachen REGEXP-Abfrage gegen die information_schema.columns-Tabelle identifizieren:

SELECT table_name, column_name
FROM information_schema.columns
WHERE table_schema = 'deine_datenbank'
  AND column_name REGEXP 'email|phone|ssn|card|name';

Dies hilft, potenzielle PII/PHI-Felder zu erkennen, die Maskierung oder strengere Zugriffskontrollen erfordern könnten.

Rollenbasierte Zugriffskontrolle — Alle Editionen

TiDB unterstützt SQL-Standardrollen zur Vereinfachung der Rechteverwaltung. So erstellen Sie eine Nur-Lese-Rolle und weisen diese einem Benutzer zu:

CREATE ROLE read_only;
GRANT SELECT ON deine_datenbank.* TO read_only;

CREATE USER 'auditor'@'%' IDENTIFIED BY 'StrongPass!';
GRANT read_only TO 'auditor'@'%';

Dieses Beispiel definiert eine wiederverwendbare read_only-Rolle, gewährt minimale Zugriffsrechte und weist diese dem Auditor-Benutzer zu – für eine strenge, rollenbasierte Rechtekontrolle in TiDB.

Audit-Protokollierung — Nur Enterprise/Cloud v7.1+

TiDB Enterprise bietet integriertes Audit-Logging zur Nachverfolgung von Benutzeraktivitäten, einschließlich fehlgeschlagener Logins, DDL-Änderungen und anderen sensiblen Vorgängen. Hier ein Beispiel zum Aktivieren des Audit-Loggings, Filtern nach fehlgeschlagenen Login-Versuchen und Aktivieren der JSON-Ausgabe mit Anonymisierung:

SET GLOBAL tidb_audit_enabled = 1;

SET @f = '{
  "filter": [
    { "class": ["CONNECT"], "status_code": [0] }
  ]
}';
SELECT audit_log_create_filter('fail_logins', @f);
SELECT audit_log_create_rule('fail_logins', 'user@%', true);

SET GLOBAL tidb_audit_log_format = 'json';
SET GLOBAL tidb_audit_log_redacted = ON;

Diese Konfiguration erfasst fehlgeschlagene Verbindungsversuche und speichert sie im JSON-Format mit geschwärzten sensiblen Werten – ideal, um Compliance-Anforderungen zu erfüllen, ohne Zugangsdaten oder PII in den Protokollen preiszugeben.

Point-in-Time-Wiederherstellung (PITR) — Community (v6.3+) und Enterprise

TiDB unterstützt eine Point-in-Time Wiederherstellung mittels Log- und Vollbackups – essenziell, um Datenverluste oder böswillige Änderungen wiederherzustellen. Im Beispiel unten wird ein Hintergrund-Log-Backup gestartet und die Datenbank auf einen spezifischen Zeitpunkt zurückgesetzt:

tiup br log start --task-name=finance --pd="${PD_IP}:2379" \
  --storage='s3://backup/finance'

tiup br restore point --pd="${PD_IP}:2379" \
  --storage='s3://backup/finance' \
  --full-backup-storage='s3://backup/full' \
  --restored-ts '2025-07-15 00:00:00+0000'

Diese Methode kombiniert kontinuierliche Log-Backups mit Vollsnapshots, um eine präzise Wiederherstellung zu jedem Zeitpunkt zu ermöglichen – unverzichtbar für Compliance, Notfallwiederherstellung und Integrität von Prüfpfaden.

Wie DataSunrise die TiDB-Compliance verbessert

DataSunrise ist eine proxybasierte Datensicherheitsplattform, die die nativen Funktionen von TiDB durch compliance-spezifische Automatisierung und Transparenz erweitert.

Während TiDB eine starke Grundlage für Protokollierung und Wiederherstellung bietet, baut DataSunrise darauf auf und ergänzt eine umfassende, proxybasierte Sicherheitsschicht. Es fügt Echtzeitschutz, Automatisierung und Sichtbarkeit über sensible Datenflüsse hinzu – ohne Änderungen an Anwendungen oder Datenbanken.

Dynamische Datenmaskierung

Unterstützt vollständige, partielle, Regex-, Null- sowie ersetzungsbasierte Maskierung, wie in der Übersicht zur dynamischen Datenmaskierung von DataSunrise beschrieben.
Maskierungsregeln können benutzer-, IP-, Schema- oder Abfragekontextabhängig durchgesetzt werden – alles ohne Änderungen an der Anwendung oder der Datenbank selbst.

Sensible Datenerkennung

Nutzt sowohl Mustererkennung als auch wörterbuchbasierte Techniken zur PII- und PHI-Erkennung.
Sensible Spalten können markiert, klassifiziert und in prüfungsfähigen Berichten exportiert werden.

Echtzeit-Alarme und Prüfpfade

Erfasst Abfragen mit Bind-Variablenwerten für vollen Kontext.
Unterstützt Echtzeitalarme via Slack, Microsoft Teams, Webhook und E-Mail.
Bietet einheitliche Audit-Logs und Filterung über TiDB und andere Datenquellen hinweg.

Compliance-Berichterstattung

Erlaubt Planung regelmäßiger Compliance-Scans und das Erstellen exportierbarer Berichte (PDF, CSV, JSON).
Berichte können nach Zeitraum, Benutzer, Rolle oder Zugriffsmustern gefiltert werden — ideal zur Erstellung von Compliance-Dokumentationen.

Schritte zur Verwaltung der Compliance in TiDB

Fazit

TiDB bietet eine robuste Grundlage für Compliance durch Zugriffskontrolle, Audit-Logs und PITR. Doch um modernen regulatorischen Anforderungen gerecht zu werden, sind dynamische Kontrollen, proaktives Monitoring und zentrale Richtlinienverwaltung erforderlich.

DataSunrise schließt diese Lücken. Es verwandelt TiDB in eine vollständig konforme Plattform – mit Unterstützung von Datenmaskierung, Entdeckung, Alarmierung und Berichten aus einer einzigen, intuitiven Oberfläche.