Hold Your Own Key (HYOK) erklärt: BYOK vs. HYOK vs. Anbieterschlüssel, Umsetzung in Microsoft 365 (DKE), AWS XKS und Google CSE und wie Sie wählen.
Hold Your Own Key (HYOK) ist ein Modell der Cloud-Verschlüsselung, bei dem die Schlüssel, die Ihre Daten schützen, niemals die Infrastruktur unter Ihrer Kontrolle verlassen. Der Cloud-Anbieter speichert nur Chiffretext und muss Ihren Schlüsseldienst für jede kryptografische Operation anfragen. Verweigert Ihr Schlüsseldienst die Operation oder ist er nicht erreichbar, kann der Anbieter die Daten nicht lesen. Die Verfügbarkeit des Schlüssels wird zur Verfügbarkeit der Daten.
Genau dieser Unterschied interessiert Verwaltungsrat, Aufsichtsbehörde oder Datenschutzbeauftragte. Bei vom Anbieter verwalteten Schlüsseln und bei Bring Your Own Key (BYOK) verfügt der Anbieter über einen nutzbaren Schlüssel. Er kann also gezwungen, kompromittiert oder durch eine Fehlkonfiguration dazu gebracht werden, Ihre Daten zu entschlüsseln. Bei HYOK erfordert die Entschlüsselung einen Schritt, den nur Sie ausführen können. Rechtliche Anfragen an Cloud-Anbieter, auch gestützt auf den US CLOUD Act, sind ein Grund, weshalb «Wer kann entschlüsseln?» heute eine Frage im Beschaffungsprozess ist.
Dieser Leitfaden vergleicht HYOK mit BYOK und vom Anbieter verwalteten Schlüsseln, zeigt anhand der jeweiligen Herstellerdokumentation, wie Microsoft 365, AWS, Google Workspace, Salesforce, Snowflake und Oracle das Modell umsetzen (oder nicht), und schliesst mit einer Entscheidungstabelle.
HYOK beruht auf drei Eigenschaften:
AWS verwendet den Begriff direkt: Operationen mit einem KMS-Schlüssel in einem externen Schlüsselspeicher werden von Ihrem externen Schlüsselmanager mit Ihrem kryptografischen Schlüsselmaterial ausgeführt, eine Funktion, die als hold your own keys (HYOKs) bekannt ist, und Ihr kryptografisches Schlüsselmaterial verlässt Ihren externen Schlüsselmanager nie (AWS KMS: External key stores).
In Herstellerunterlagen begegnet Ihnen auch CYOK («Control Your Own Key»). Das ist keine standardisierte Kategorie: Manche Hersteller verwenden den Begriff als Oberbegriff für jeden kundenkontrollierten Schlüssel, andere als Synonym für HYOK. Wenn Sie Angebote für HYOK, BYOK und CYOK vergleichen, ignorieren Sie die Bezeichnung und fragen Sie, wer den Schlüssel zur Laufzeit hält und wer ohne Ihre Zustimmung entschlüsseln kann.
Die Modelle unterscheiden sich weniger in den Algorithmen als in der Verwahrung. Zu BYOK allein siehe Was BYOK (Bring Your Own Key) ist und wie es funktioniert.
| Vom Anbieter verwaltete Schlüssel | BYOK (Bring Your Own Key) | HYOK (Hold Your Own Key) | |
|---|---|---|---|
| Wer erzeugt den Schlüssel | Cloud-Anbieter | Sie; anschliessend importiert in das KMS des Anbieters oder dort unter Ihrer Richtlinie erstellt | Sie, in Ihrem eigenen Schlüsselmanager |
| Wer hält den Schlüssel zur Laufzeit | Anbieter | Dienst des Anbieters, unter Ihrer Richtlinie | Nur Ihr Schlüsselmanager; der Anbieter hält Chiffretext und Schlüsselreferenzen |
| Wer kann entschlüsseln | Dienste des Anbieters, eigenständig | Dienste des Anbieters, mit dem von Ihnen autorisierten Schlüssel | Dienste des Anbieters erst, nachdem Ihr Schlüsseldienst die Operation ausgeführt hat |
| Wirkung eines Widerrufs | Für Sie nicht verfügbar | Anbieter verwendet den Schlüssel nicht mehr; je nach Dienst gelten Caches und Löschprozesse | Neue Entschlüsselungen schlagen fehl, sobald Ihr Dienst ablehnt |
| Exposition gegenüber rechtlichen Anfragen an den Anbieter | Anbieter kann Klartext herausgeben | Anbieter kann in der Regel Klartext herausgeben, solange der Schlüssel aktiv ist | Anbieter kann nur Chiffretext herausgeben |
| Betriebsaufwand | Am geringsten | Mittel: Lebenszyklus, Rotation, Zugriffsrichtlinie | Am höchsten: Sie betreiben einen hochverfügbaren Schlüsseldienst mit geringer Latenz |
| Erhaltene Funktionen | Alle | Fast alle (Suche, Indexierung, KI-Funktionen) | Eingeschränkt: Der Anbieter kann nicht verarbeiten, was er nicht lesen kann |
BYOK ist ein echter Fortschritt: Sie verantworten den Lebenszyklus und können widerrufen. Weil der Anbieter den Schlüssel jedoch innerhalb seines Dienstes verwendet, ändert BYOK nichts daran, wer entschlüsseln kann, solange der Schlüssel aktiv ist. HYOK ändert das, und Sie bezahlen dafür mit der Verantwortung für die Verfügbarkeit und mit wegfallenden Funktionen.
Fast jede Umsetzung verwendet Envelope Encryption:
Ihr Schlüsseldienst liegt im Lesepfad: Er setzt die Richtlinie durch, führt den Audit-Trail, und fällt er aus, sind auch die Daten nicht verfügbar.
AWS ergänzt eine doppelte Verschlüsselung: AWS KMS verschlüsselt zuerst mit Schlüsselmaterial, das AWS hält, danach verschlüsselt Ihr externer Schlüsselmanager das Ergebnis, sodass weder AWS KMS noch der Inhaber des externen Schlüsselmaterials doppelt verschlüsselten Chiffretext allein entschlüsseln kann (AWS KMS). Double Key Encryption von Microsoft folgt derselben Logik: zwei Schlüssel, beide erforderlich.
Microsoft Purview Double Key Encryption (DKE) verwendet zwei Schlüssel zum Schutz von Daten: einen Schlüssel unter Ihrer Kontrolle und einen zweiten Schlüssel, den Sie sicher in Microsoft Azure speichern, und das Anzeigen geschützter Daten erfordert Zugriff auf beide Schlüssel. Den DKE-Dienst hosten Sie lokal (on-premises) oder in der Cloud (Microsoft Learn: Double Key Encryption). Von derselben Seite:
Schritte zur Bereitstellung: Einrichtungsleitfaden für Microsoft 365 Double Key Encryption.
Der Kundenschlüssel (Customer Key) ist eine Dienstverschlüsselung unter Stammschlüsseln, die Sie kontrollieren. Er deckt Exchange, SharePoint, OneDrive, Teams und Windows 365 Cloud-PCs ab. Microsoft sagt ausdrücklich, wer den Schlüssel verwendet: Sie autorisieren Microsoft 365 ausdrücklich, Ihre Verschlüsselungsschlüssel zu verwenden, um Mehrwertdienste wie eDiscovery, Anti-Malware, Anti-Spam und Suchindexierung bereitzustellen (Microsoft Learn: Customer Key overview).
Das ist BYOK. Microsoft-365-Dienste entschlüsseln Inhalte im Normalbetrieb, weshalb alle Funktionen weiter funktionieren, und jede Datenverschlüsselungsrichtlinie enthält einen Verfügbarkeitsschlüssel, den Microsoft schützt. Ihre Kontrolle zeigt sich beim Ausstieg: Der Widerruf des Zugriffs auf Ihre Schlüssel löst die Löschung des Verfügbarkeitsschlüssels aus, was zur kryptografischen Löschung Ihrer Daten führt. Viele Programme setzen den Kundenschlüssel breit ein und DKE für einen kleinen, klassifizierten Teil; siehe DKE vs. Microsoft 365 Customer Key.
Jeder KMS-Schlüssel in einem externen Schlüsselspeicher ist einem 256-Bit-AES-externen Schlüssel in Ihrem externen Schlüsselmanager zugeordnet, der über einen von Ihnen bereitgestellten XKS-Proxy erreicht wird; AWS KMS kann keine externen Schlüssel erstellen, löschen oder verwalten. Anwendungen verwenden dieselben KMS-APIs, und AWS-Dienste, die kundenverwaltete symmetrische Schlüssel unterstützen, unterstützen auch XKS-Schlüssel (AWS KMS). AWS dokumentiert die Zielkonflikte selbst:
Details: Implementierungsleitfaden für AWS XKS.
Die clientseitige Verschlüsselung (CSE) von Workspace verschlüsselt Inhalte im Client mit einem DEK und sendet diesen DEK dann zur Verschlüsselung an Ihren externen Schlüsseldienst (den Key Access Control List Service, KACLS); zuvor authentifiziert Ihr Identitätsanbieter die Benutzer (Google Workspace CSE API overview). Google hält fest, dass Google-Server und Dritte nicht auf Ihre Verschlüsselungsschlüssel zugreifen und Ihre Daten nicht entschlüsseln können. Abgedeckt sind Dateien in Drive und den Docs-Editoren, Text und Anhänge in Gmail, Beschreibungen von Kalenderterminen sowie Audio, Video und Chat in Meet; Gmail-Header sowie Titel, Zeiten und Teilnehmende von Kalenderterminen werden nicht verschlüsselt (Google: Protect your organization's data with CSE). Editionen: Frontline Plus, Enterprise Plus, Education Standard und Education Plus (Google: About client-side encryption).
Der Cache-Only Key Service ermöglicht es Ihnen, Ihr Schlüsselmaterial ausserhalb von Salesforce zu speichern und den Cache-Only Key Service Ihren Schlüssel bei Bedarf von einem Schlüsseldienst abrufen zu lassen, den Sie kontrollieren, und Salesforce speichert oder persistiert Ihre Cache-Only-Schlüssel in keinem System of Record und keinen Backups. Die Schlüssel sind 256-Bit-AES-Schlüssel, in JSON Web Encryption verpackt und über einen Named-Credential-Callout abgerufen; der verschlüsselte Cache wird mindestens alle 72 Stunden geleert. Vorausgesetzt werden Salesforce Shield oder Shield Platform Encryption sowie der Cache-Only Key Service (Salesforce Platform Encryption Implementation Guide).
Genau genommen wird der Schlüssel innerhalb von Salesforce verwendet, solange er im Cache liegt; im strengen Sinn von XKS ist das also kein HYOK. Was Sie in der Hand haben, ist der Ausschalter: Vernichten Sie den Schlüssel, und die zugehörigen Daten sind nicht zugänglich, bis Sie ihn wieder aktivieren.
Tri-Secret Secure kombiniert einen von Snowflake verwalteten Schlüssel und einen kundenverwalteten Schlüssel (CMK) zu einem zusammengesetzten Hauptschlüssel. Es setzt die Business Critical Edition oder höher voraus, und wird der CMK widerrufen, kann Snowflake Ihre Daten nicht mehr entschlüsseln (Snowflake: Tri-Secret Secure). Standardmässig liegt der CMK im KMS der Cloud-Plattform, auf der Ihr Konto gehostet wird, und Sie müssen diesen Schlüssel freigeben, um in Ihrem Snowflake-Konto gespeicherte Daten zu entschlüsseln (Snowflake: Encryption key management).
Ehrlich eingeordnet ist das BYOK mit Notausschalter: Snowflake verwendet Ihren Schlüssel, solange Sie es zulassen. Für auf AWS gehostete Konten dokumentiert Snowflake einen externen Schlüsselspeicher hinter dem CMK, wodurch die Wurzel näher an HYOK rückt; prüfen Sie die aktuelle Liste der von Snowflake getesteten Schlüsselmanager. Einrichtung: Leitfaden zu Snowflake Tri-Secret Secure.
Bei Oracle Transparent Data Encryption schützt der TDE-Hauptverschlüsselungsschlüssel die TDE-Tabellenschlüssel und die Tablespace-Verschlüsselungsschlüssel (Oracle: Configuring TDE). Wird der Hauptschlüssel vom Datenbank-Host wegverlagert, erhalten Sie eine HYOK-artige Kontrolle, wo immer die Datenbank läuft. Die von Oracle unterstützten externen Keystores sind Oracle Key Vault und OCI Vault. Der Wert HSM von TDE_CONFIGURATION konfiguriert zwar weiterhin ein Hardware-Sicherheitsmodul, doch die Oracle-Referenz hält fest, dass Oracle die Verwendung von HSMs für die TDE-Schlüsselverwaltung nicht unterstützt, und verweist auf den My-Oracle-Support-Hinweis KB593570 (Oracle: TDE_CONFIGURATION). Lesen Sie diesen Hinweis vor dem Produktivbetrieb. Schritt für Schritt: Leitfaden zu Oracle TDE mit externem Keystore.
| Plattformoption | Wo der Kundenschlüssel arbeitet | Modell |
|---|---|---|
| Microsoft 365 Double Key Encryption | Ihr DKE-Dienst; Microsoft hält den zweiten Schlüssel | HYOK |
| Microsoft 365 Kundenschlüssel (Customer Key) | Von Microsoft-365-Diensten verwendet; Microsoft schützt zusätzlich einen Verfügbarkeitsschlüssel | BYOK |
| AWS KMS External Key Store | Ihr externer Schlüsselmanager, über Ihren XKS-Proxy | HYOK |
| Google Workspace CSE | Ihr externer Schlüsseldienst (KACLS) | HYOK |
| Salesforce Cache-Only Key Service | Von Ihnen gehostet; von Salesforce abgerufen und verschlüsselt im Cache gehalten, nicht persistiert | Zwischen BYOK und HYOK |
| Snowflake Tri-Secret Secure | Ihr CMK kombiniert mit einem Snowflake-Schlüssel | BYOK (mit externem Schlüsselspeicher näher an HYOK) |
| Oracle TDE, externer Keystore | Hauptschlüssel im externen Keystore | Vom Kunden gehaltener Hauptschlüssel (Oracles Position zur HSM-Unterstützung prüfen) |
Gehen Sie von der Datenklasse und der Bedrohung aus, nicht vom Produkt. Dies ist eine Planungshilfe, keine Rechtsberatung; ob ein Modell ein bestimmtes Gesetz oder einen bestimmten Vertrag erfüllt, ist eine Frage für Ihre Rechtsberatung.
| Datenklasse | Hauptbedrohung | Empfohlenes Modell |
|---|---|---|
| Öffentliche und allgemeine Geschäftsdaten | Versehentliche Offenlegung, Diebstahl von Datenträgern | Vom Anbieter verwaltete Schlüssel |
| Regulierte Personen- oder Finanzdaten, die den vollen Funktionsumfang für die Produktivität benötigen | Kontrollverlust über den Schlüssellebenszyklus; Bedarf an Exit-Strategie und kryptografischer Löschung | BYOK (z. B. Microsoft 365 Kundenschlüssel, Snowflake Tri-Secret Secure) |
| Kronjuwelen: M&A, Unterlagen des Verwaltungsrats, Geschäftsgeheimnisse | Zugriff durch Insider des Anbieters oder Kompromittierung des Anbieters | HYOK (DKE, Google CSE, AWS XKS) |
| Daten, die der Anbieter unter ausländischen Rechtsverfahren nicht herausgeben können darf | An den Anbieter gerichtete Anfragen, z. B. gestützt auf den US CLOUD Act | HYOK, mit Schlüsseln bei einem Betreiber und in einer Rechtsordnung Ihrer Wahl |
| Datenbanken, die Sie selbst betreiben | Diebstahl von Datenbankdateien, Backups oder Hosts | Hauptschlüssel in einem externen Keystore (z. B. Oracle TDE) |
Warum die Zeile zum CLOUD Act wichtig ist: Das US-Justizministerium erklärt, dass der Act Daten erfasst, die sich im Besitz, Gewahrsam oder unter der Kontrolle dieses Anbieters befinden, unabhängig davon, ob sich diese Kommunikation, Aufzeichnung oder andere Information innerhalb oder ausserhalb der Vereinigten Staaten befindet, und bezeichnet den Act als verschlüsselungsneutral (DOJ white paper: The Purpose and Impact of the CLOUD Act). Der Speicherort der Daten allein beantwortet die Frage nicht; entscheidend ist, ob der Anbieter den Schlüssel hält.
DuoKey stellt den kundenseitigen Schlüsseldienst für diese Plattformoptionen aus einer einzigen Schlüsselverwaltungsschicht bereit. DuoKey KMS teilt Schlüssel mittels Multi-Party Computation (MPC) auf, sodass weder ein Cloud-Anbieter noch ein Betreiber noch ein kompromittierter Host je einen vollständigen Schlüssel hält.
Für Fragen zum Bereitstellungsstandort, zum Verfügbarkeitsdesign oder zu Zertifizierungen kontaktieren Sie DuoKey.
Q: Was ist Hold Your Own Key (HYOK)?
Hold Your Own Key ist ein Modell der Cloud-Verschlüsselung, bei dem die Verschlüsselungsschlüssel in einem Schlüsselmanager unter Ihrer Kontrolle bleiben und der Cloud-Anbieter diesen Schlüsselmanager für jede Wrap- oder Unwrap-Operation anfragen muss. Der Anbieter speichert nur Chiffretext und kann daher ohne Ihren Schlüsseldienst nicht entschlüsseln. Widerrufen Sie den Zugriff, werden die Daten für den Anbieter unlesbar.
Q: Was ist der Unterschied zwischen BYOK und HYOK?
Bei BYOK besitzen Sie den Schlüssel, aber der Dienst des Anbieters verwendet ihn im Normalbetrieb, um Ihre Daten zu entschlüsseln. Bei HYOK verlässt der Schlüssel Ihre Infrastruktur nie, und der Anbieter kann nur Operationen bei ihm anfordern. BYOK bietet Kontrolle über den Lebenszyklus und den Widerruf; HYOK nimmt dem Anbieter zusätzlich die Möglichkeit, eigenständig zu entschlüsseln, um den Preis der Verantwortung für die Verfügbarkeit und einiger Funktionen.
Q: Unterstützt Microsoft 365 HYOK?
Ja, über Microsoft Purview Double Key Encryption. DKE schützt klassifizierte Inhalte mit zwei Schlüsseln, einem in Ihrem DKE-Dienst und einem in Microsoft Azure, und beide sind zum Öffnen nötig. DKE läuft in Microsoft 365 Apps for Enterprise unter Windows und ist in Microsoft 365 E5 enthalten; geschützte Inhalte können nicht durchsucht, nicht im Web gemeinsam bearbeitet und nicht von Copilot verwendet werden.
Q: Ist der Microsoft 365 Kundenschlüssel (Customer Key) HYOK?
Nein. Der Kundenschlüssel ist eine Dienstverschlüsselung unter Stammschlüsseln, die Sie kontrollieren, also ein BYOK-Modell. Microsoft hält fest, dass Sie Microsoft 365 autorisieren, Ihre Schlüssel für eDiscovery, Anti-Malware, Anti-Spam und Suchindexierung zu verwenden. Die wichtigste Kontrolle ist der Widerruf, der zur kryptografischen Löschung Ihrer Daten führt.
Q: Was bedeuten HYOK, BYOK und CYOK im Vergleich?
BYOK: Sie liefern den Schlüssel, und der Anbieter verwendet ihn. HYOK: Sie behalten den Schlüssel, und der Anbieter fordert Operationen bei ihm an. CYOK («Control Your Own Key») ist nicht standardisiert; fragen Sie daher, wer den Schlüssel zur Laufzeit hält und wer ohne Ihre Zustimmung entschlüsseln kann.
Q: Was passiert, wenn mein HYOK-Schlüsseldienst ausfällt?
Neue Entschlüsselungen schlagen fehl, sodass geschützte Daten für den Cloud-Dienst nicht verfügbar sind, bis der Schlüsseldienst wieder läuft. Einige Dienste speichern Datenschlüssel kurzzeitig im Cache. HYOK-Schlüsseldienste brauchen deshalb Redundanz, Überwachung und einen getesteten Wiederherstellungsplan.
Q: Schützt HYOK vor dem CLOUD Act?
HYOK verändert, was ein Anbieter technisch herausgeben kann: Ohne nutzbaren Schlüssel kann er nur Chiffretext übergeben. Das US-Justizministerium bezeichnet den Act als verschlüsselungsneutral. Ob HYOK eine bestimmte rechtliche Anforderung erfüllt, ist eine Frage für Ihre Rechtsberatung.
Setzen Sie Hold Your Own Key ein, wenn die Frage nicht lautet «Sind meine Daten verschlüsselt?», sondern «Wer kann sie entschlüsseln?». BYOK deckt die meisten regulierten Workloads ab; HYOK ist für den Teil gedacht, den der Anbieter selbst nicht lesen darf.
Geschrieben von
DuoKey Team
Verwandte Ressourcen
Sagen Sie uns, wo Kontrolle heute schwierig ist. Wir helfen Ihnen, den nächsten praktischen Schritt zu finden.
