Einen DKE-Anbieter bewerten: 6 Kriterien

---

Microsoft 365 Double Key Encryption (DKE) liefert nur dann unabhängige Kontrolle, wenn der Second-Key-Anbieter Schlüssel so betreiben kann, wie ein Security-Team Produktion wirklich führt: rotieren ohne Labels zu brechen, sauber in Azure provisionieren, Partner-Tenants unterstützen und durchsetzen, wer unter welchem Kontext unwrappen darf.

Nutzen Sie diese sechs Kriterien, wenn Sie einen DKE-Key-Anbieter shortlisten. Es sind Capability-Tests, keine Vendor-Rangliste. Bitten Sie jeden Kandidaten, sie in einem Pilot zu demonstrieren.

---

Inhaltsverzeichnis

1. Rotation mit Kontinuität
2. Automatisches Graph-Provisioning
3. Multi-Tenant und B2B
4. Kontextuelles ABAC
5. Unabhängige Key Custody
6. Operabilität und Evidenz
7. Wie DuoKey auf die sechs mappt

---

1. Rotation mit Kontinuität

Fragen Sie: Wenn wir einen DKE-Key rotieren, öffnen Nutzer geschützte Inhalte weiter, ohne ein neues Purview-Label-Rollout oder ein Change-Management-Programm?

Warum das zählt. Rotation, die neue Labels, Reklassifizierung oder ein Wochenende gebrochener Dokumente erzwingt, wird aufgeschoben. Aufgeschobene Rotation ist Residualrisiko.

Was gut aussieht. Ein konfigurierbares Cache-Fenster, damit der vorherige Key während der Rotation weiter Decrypt-Operationen bedient. Kontinuität ist Produktverhalten, keine Runbook-Entschuldigung.

---

2. Automatisches Graph-Provisioning

Fragen Sie: Werden Azure App Registration und DKE-Endpoint-Verdrahtung über Microsoft Graph provisioniert, oder ist es eine manuelle Portal-Checkliste?

Warum das zählt. Manueller App-Registration-Drift ist, wie Pilots stecken bleiben und wie Produktion vom Diagramm abweicht.

Was gut aussieht. Automatisiertes Graph-basiertes Provisioning der Application Registration und der erforderlichen Konfiguration, wiederholbar pro Umgebung.

---

3. Multi-Tenant und B2B

Fragen Sie: Können Partner-Domains und dedizierte Issuers teilnehmen, ohne alle in ein einziges Tenant-Trust-Modell zu flatten?

Warum das zählt. Reale Estates umfassen Tochtergesellschaften, Kanzleien und B2B-Guests. DKE, das nur für einen sauberen Single-Tenant funktioniert, scheitert am ersten External-Collaboration-Test.

Was gut aussieht. Support für Partner-Domains und dedizierte Issuers, damit Cross-Tenant-Collaboration unter expliziter Key-Policy bleibt.

---

4. Kontextuelles ABAC

Fragen Sie: Kann Unwrap basierend auf User, IP, Location, Zeit, Azure-Gruppen und MFA-Status verweigert oder erlaubt werden, nicht nur «Mitglied von Gruppe X»?

Warum das zählt. DKE ohne kontextuelle Zugriffskontrolle wird binär: Wer sich am Key Service authentifizieren kann, kann unwrappen. So sollen regulierte Mail und Files nicht funktionieren.

Was gut aussieht. Attribute-basierte Regeln, die bei jedem Key-Zugriff ausgewertet werden: Identität, Netzwerk, Geo, Zeit, Gruppenmitgliedschaft, MFA.

---

5. Unabhängige Key Custody

Fragen Sie: Wer kann den kundenkontrollierten Key allein rekonstruieren oder nutzen? Hält eine einzelne Partei (einschließlich DKE-Vendor oder Hyperscaler) ein vollständiges Unwrap-Secret?

Warum das zählt. DKE existiert, damit Microsoft nicht allein unwrappen kann. Der Second Key soll beim Anbieter keinen neuen Single Point of Compromise schaffen.

Was gut aussieht. Kundenkontrollierte Kontrolle mit verteilter Key-Technologie (zum Beispiel MPC), sodass kein einzelner Operator oder keine Appliance den vollständigen Key hält. Siehe MPC vs HSM.

---

6. Operabilität und Evidenz

Fragen Sie: Können wir Auditoren zeigen, wer auf Keys zugegriffen hat, wann Rotation stattfand und wie B2B-Issuers skopiert sind, ohne Tribal Knowledge vom Implementierer zu exportieren?

Warum das zählt. Souveränitätsprogramme scheitern an Audits an Evidenz, nicht an Slideware.

Was gut aussieht. Audit Trails, klare Key Ownership, dokumentierte Rotationshistorie und operative Runbooks, die dem entsprechen, was das Produkt tatsächlich tut.

---

Wie DuoKey auf die sechs mappt

Auf DuoKey for Microsoft 365 DKE sind diese Kriterien Produktfähigkeiten, keine Roadmap-Slogans:

Nutzen Sie die sechs Fragen oben gegen jeden Anbieter, einschließlich uns. Die richtige Shortlist ist die, die jeden Punkt mit Ihrem Tenant demonstrieren kann, nicht die mit dem längsten Feature-PDF.

---

Fazit

DKE-Anbieter nur nach Markenbekanntheit zu bewerten, verfehlt die operativen Ausfälle, die Programme killen: Rotation, die Labels bricht, manuelle Azure-Verdrahtung, kein B2B-Pfad und Unwrap-Regeln, die Kontext ignorieren. Scoren Sie jeden Kandidaten in einem Pilot auf diesen sechs Kriterien. Halten Sie Microsoft vom Second Key fern, und verhindern Sie, dass Ihr eigener Anbieter der neue Single Point of Failure wird.

---

Referenzen

• DuoKey Double Key Encryption for Microsoft 365
• Microsoft 365 DKE Setup-Guide
• Warum M365-Encryption nicht reicht