AI-Session-Recording als Audit-Pfad – 90 Tage Retention, was es kostet

Wenn Claude in der Hardened AI VDI mit Daten arbeitet, läuft Session-Recording mit. 90 Tage Standard-Retention, 7 Jahre bei Vorfällen, Storage-Kosten ~5 CHF pro User pro Jahr. Was die Aufzeichnung wirklich liefert – und warum sie der grösste Sicherheits-Multiplikator ist.

Die einfache These

Menschen handeln vorsichtiger, wenn sie wissen, dass sie aufgezeichnet werden. Bei BAMVP haben wir das in den AI-VDI-Pool eingebaut. Diese Einordnung beschreibt den Setup, die Kosten und das, was wir dabei gelernt haben.

Was genau aufgezeichnet wird

```mermaid flowchart LR Sess[VDI-Session] Sess --> KB[Keyboard-Strokes
nur Tipp-Inhalte, keine Passwörter*] Sess --> SC[Screen-Capture
1 fps] Sess --> Meta[Metadata
Login-Zeit, Logout-Zeit, Idle-Phasen] KB --> Store[Immutable Blob Storage
WORM, 90 Tage Standard] SC --> Store Meta --> Store Store -.->|Sev-1 Vorfall| Hold[Legal Hold
7 Jahre Retention]

style Hold fill:#fecaca,stroke:#b91c1c ```

* Passwort-Felder werden vom OS als „protected input“ markiert und automatisch geschwärzt.

Storage-Mathematik pro User

Total: ~3-5 GB pro User pro Jahr.

Bei Azure Cool-Tier (~0.01 USD/GB/Monat) sind das ca. 0.50-0.70 USD pro User pro Jahr. Bei 50 AI-VDI-Usern: 25-35 USD pro Jahr Storage. Vernachlässigbar.

Bei Sev-1-Vorfall: Move auf Hot-Tier mit 7-Jahre-Retention, ca. 5× teurer. Aber: nur für ausgewählte Sessions, nicht für alle.

Was die Aufzeichnung liefert

Ad-hoc-Audit

Wenn ein DPO fragt „hat Müller letzte Woche etwas Auffälliges gemacht?“, können Sie: 1. Müller's Session-IDs in der relevanten Zeit ziehen 2. Zeitlich auf verdächtige Phasen zoomen (lange Idle, dann Burst-Activity) 3. Screen-Capture zur fraglichen Zeit anschauen 4. Antwort in 10-20 Min

Ohne Recording: „wir wissen es nicht.“

Nach-Vorfall-Forensik

Bei einem echten Datenschutz-Vorfall (Sev-1): - Move auf Legal Hold sofort, beweissicher - Forensik-Team rekonstruiert den Hergang - DPO/Aufsicht bekommen genaue Antworten, nicht Mutmassungen

Schulungs-Material

Anonymisierte Auszüge (z.B. „so sieht ein guter Bug-Repro-Workflow aus“) als Schulungs-Beispiele für neue Privacy-Champions.

Abschreckung – der grösste Hebel

Aus 18 Monaten Praxis: nicht ein einziger schwerer Vorfall. Mehrere kleinere, die früh entdeckt wurden, weil ein User sich an „das wird aufgezeichnet“ erinnert hat und Eskalation initiierte.

Der Abschreckungseffekt ist real und gross. Mitarbeiter sind nicht boshaft, aber unter Zeitdruck rutschen Disziplin-Fragen schon mal weg. Recording-Banner („Diese Session wird aufgezeichnet“) bringt die Disziplin zurück.

Was die Aufzeichnung nicht liefert

Compliance-Anforderungen

In der Schweiz und EU braucht es: 1. Datenschutz-Folgenabschätzung dokumentiert (Art. 35 GDPR) 2. Mitarbeiter-Information (Art. 13 GDPR – was wird wozu aufgezeichnet) 3. Betriebsrat / Personalvertretung beteiligt (in DACH oft Mitbestimmungs-Pflicht) 4. Zugriffs-Beschränkung auf die Aufzeichnungen (z.B. nur Privacy-Lead + DPO + Forensik bei Vorfall) 5. Retention-Policy sauber definiert (90 Tage Standard, Vorfall-Erweiterung dokumentiert) 6. Lösch-Mechanismus automatisiert (90 Tage rollend, sonst Verstoss)

Was operativ funktionieren muss

Wer das einführen will

Ein Workshop (halbtägig) baut Ihren Recording-Setup samt Compliance-Dokumentation und Mitbestimmungs-Pfad. Output: lauffähige Pipeline + DSFA-Entwurf.

Stand: 2026-05-10

SFOUR Consulting — Übersicht · Kontakt