Microsoft 365 Double Key Encryption mit DuoKey: Einrichtungsleitfaden

Inhaltsverzeichnis

1. So funktioniert DuoKey DKE
2. Warum Sie den Key-Service nicht selbst hosten sollten
3. Bevor Sie beginnen
4. Schritt 1: Bei DuoKey Cockpit anmelden
5. Schritt 2: DKE-Schlüssel erstellen
6. Schritt 3: DKE-Service bereitstellen
7. Schritt 4: Administratorzustimmung erteilen
8. Schritt 5: Vertraulichkeitsbezeichnung in Purview erstellen
9. Schritt 6: Bezeichnungsrichtlinie veröffentlichen
10. Schritt 7: Bezeichnung in Microsoft 365 anwenden
11. Zero-Trust-Zugriffskontrolle hinzufügen
12. Schlüssel rotieren, ohne Ihre Bezeichnungen anzutasten
13. Pilotphase vor dem Rollout
14. Fehlerbehebung
15. Quellen

Double Key Encryption (DKE) ist der einzige Schutzmodus in Microsoft 365, bei dem Microsoft Ihre Inhalte nicht entschlüsseln kann, weil einer der beiden Schlüssel die Microsoft-Cloud nie erreicht. Die Schwierigkeit lag bisher stets im Betrieb dieses zweiten Schlüssels. Microsofts Antwort darauf ist ein .NET-Beispielprojekt, das Sie selbst kompilieren, auf IIS oder App Service hosten, an einen Schlüsselspeicher anbinden und dauerhaft am Laufen halten müssen.

DuoKey ersetzt all das. Der zweite Schlüssel liegt im MPC-Vault von DuoKey, der DKE-Endpunkt wird über einen Assistenten in DuoKey Cockpit bereitgestellt, und jede Entschlüsselungsanfrage durchläuft eine Zero-Trust-Richtlinie, die Sie selbst steuern. Dieser Leitfaden folgt denselben sieben Schritten wie die DuoKey-DKE-Dokumentation: von einem leeren Cockpit-Tenant bis zu einem geschützten Word-Dokument.

So funktioniert DuoKey DKE

Zum Öffnen eines DKE-Dokuments werden beide Schlüssel benötigt. Microsoft hält den einen in Azure RMS, Sie halten den anderen im MPC-Vault von DuoKey.

Wenn ein Benutzer in Word, Excel, PowerPoint, Outlook oder Adobe Acrobat eine DKE-Vertraulichkeitsbezeichnung anwendet:

1. Der Office-Client verschlüsselt den Inhalt mit einem Schlüssel, der durch Ihren DuoKey-Schlüssel (Schlüssel 2) geschützt ist. Dieser wird von Ihrem DuoKey-DKE-Endpunkt abgerufen.
2. Das Ergebnis wird anschließend zusätzlich mit Microsofts Azure-RMS-Schlüssel (Schlüssel 1) geschützt.
3. Zum Öffnen des Dokuments benötigt der Client beide. Azure RMS prüft die Rechte des Benutzers; DuoKey prüft das Identitätstoken des Benutzers und Ihre Zugriffsrichtlinie, bevor Schlüssel 2 entpackt wird.

Der Schlüssel von DuoKey liegt nie vollständig auf einer einzelnen Maschine vor. Er ist auf unabhängige MPC-Knoten verteilt, und das Entpacken wird gemeinsam berechnet. Weder Microsoft noch DuoKey-Mitarbeitende noch ein Angreifer, der einen Knoten kompromittiert, können ihn daher wiederherstellen. Den vollständigen Ablauf sehen Sie live auf der Detailseite jedes Services in Cockpit:

Ein laufender DKE-Service in DuoKey Cockpit: Health-Checks, GetKey- und Decrypt-Zähler, Cache-Dauer und der durchgängige Ablauf Microsoft 365 → Azure RMS → Zero Trust → Cockpit → Vault.

Warum Sie den Key-Service nicht selbst hosten sollten

Microsoft dokumentiert DKE mit einem Referenz-Schlüsselspeicher, den Sie selbst aufbauen. Für ein Testlabor funktioniert das. In der Produktion wird jedoch jeder einzelne Baustein zu Ihrem Problem.

Wenn der Key-Service zwingend innerhalb Ihres eigenen Perimeters bleiben muss, kann DuoKey Cockpit auch On-Premises oder auf OpenShift betrieben werden: Die folgenden Einrichtungsschritte bleiben dieselben.

Bevor Sie beginnen

Microsoft-Seite

• Eine Lizenzierung, die Microsoft Purview Information Protection mit DKE umfasst, etwa Microsoft 365 E5 oder E5 Compliance, für jeden Benutzer, der DKE-Inhalte schützt oder öffnet.
• Microsoft 365 Apps for Enterprise (Desktop) auf den Client-Rechnern. Office für das Web und die mobilen Apps können DKE-geschützte Dateien nicht öffnen.
• Einen Global Administrator (oder eine gleichwertige Rolle) für die einmalige Administratorzustimmung in Schritt 4.
• Einen Compliance Administrator, der Vertraulichkeitsbezeichnungen in Purview erstellt und veröffentlicht.
• Ihre Entra-ID-Tenant-ID (Entra Admin Center → Übersicht).

DuoKey-Seite

• Zugriff auf Ihren DuoKey-Cockpit-Tenant unter cockpit.duokey.cloud (oder unter Ihrer On-Premises-Cockpit-URL).
• Mindestens einen Vault in Cockpit, der den DKE-Schlüssel aufnimmt.

Netzwerk

• Ausgehendes HTTPS (443) von den Client-Rechnern zu Ihrem DuoKey-DKE-Endpunkt, zu login.microsoftonline.com und zu den Azure-RMS-Endpunkten (*.aadrm.com, *.protection.outlook.com). Die vollständige Liste finden Sie auf der Seite zur URL-Whitelist.
• Nehmen Sie diese Hosts von der SSL-Inspektion aus. Ein Proxy, der TLS abfängt, unterbricht den DKE-Handshake.

Schritt 1: Bei DuoKey Cockpit anmelden

Melden Sie sich unter cockpit.duokey.cloud an. Wenn Sie mehrere Tenants verwalten, wählen Sie denjenigen aus, dem die Microsoft-365-Schlüssel gehören sollen. Alles Weitere, also Schlüssel, Services und Zugriffsrichtlinien, ist diesem Tenant zugeordnet.

Schritt 2: DKE-Schlüssel erstellen

1. Öffnen Sie den Tab Keys und klicken Sie auf New Key.
2. Wählen Sie den Vault aus, der den Schlüssel aufnehmen soll.
3. Wählen Sie RSA-2048. Der Microsoft-DKE-Client erfordert RSA-2048 und akzeptiert kein RSA-4096.
4. Geben Sie dem Schlüssel einen aussagekräftigen Namen, der Zweck und Vertraulichkeitsstufe erkennen lässt, zum Beispiel key-confidential-finance oder key-topsecret-hr.
5. Prüfen Sie die Angaben und klicken Sie auf Generate the Key.

Cockpit erzeugt das Schlüsselpaar innerhalb des Vaults, weist ihm eine eindeutige External ID zu und aktiviert es. Der private Schlüssel wird niemals exportiert.

Schritt 3: DKE-Service bereitstellen

Der DKE-Service ist der HTTPS-Endpunkt, den Office aufruft, um den öffentlichen Schlüssel abzurufen und Entschlüsselungen anzufordern. Öffnen Sie in Cockpit DKE 365 und klicken Sie auf Deploy new service. Der Assistent umfasst fünf Bildschirme:

1. Key. Wählen Sie den Vault und den RSA-2048-Schlüssel aus Schritt 2. Cockpit führt eine Vorabprüfung durch (Gültigkeit des Schlüssels, Erreichbarkeit des Backends und ein Wrap/Unwrap-Roundtrip), bevor Sie fortfahren können.
2. Service. Geben Sie einen Namen und eine Beschreibung ein, belassen Sie den Algorithmus bei RSA-OAEP-256 und legen Sie die Cache-Dauer fest: wie viele Stunden der vorherige Schlüssel nach einer Rotation weiterhin Anfragen bedient (Standard: 24).
3. Identity. Wählen Sie Ihren Identitätsanbieter und geben Sie Ihre Azure-Tenant-ID, Client-ID und Audience ein. Cockpit nutzt diese Angaben, um die Entra-ID-App-Registrierung automatisch bereitzustellen. Lassen Sie die Tenant-ID in der Produktion nicht leer: Ohne sie läuft der Service in einem permissiven Testmodus.
4. Access control. Binden Sie optional bereits jetzt eine Zugriffsrichtlinie an (Sie können auch später eine hinzufügen, siehe Zero Trust), und aktivieren Sie optional mTLS als zusätzliche Transportprüfung bei Entschlüsselungsaufrufen.
5. Review. Prüfen Sie die Zusammenfassung und klicken Sie auf Deploy.

Der Service startet im Status Provisioned. Aktivieren Sie ihn: Er wechselt in den Status Running, und falls noch keine Entra-ID-App existiert, legt Cockpit sie für Sie an.

Öffnen Sie anschließend die Detailseite des Services und kopieren Sie seine DKE Access URL. Sie sieht folgendermaßen aus:

https://<service-id>.duokey365.com/dke/<key-id>

Sie müssen sie nicht von Hand zusammensetzen. Diese URL fügen Sie in Schritt 5 in die Purview-Bezeichnung ein.

Schritt 4: Administratorzustimmung erteilen

Der DKE-Service ist eine Entra-ID-Anwendung außerhalb Ihres Tenants. Daher muss ein Global Administrator ihr einmalig zustimmen. Dadurch kann Office im Namen Ihrer Benutzer Tokens für den DuoKey-Endpunkt anfordern.

1. Öffnen Sie in Cockpit Ihren DKE-Service, klicken Sie auf Edit und gehen Sie weiter bis zum Abschnitt Service API. Kopieren Sie die Azure DKE Client Id.
2. Setzen Sie die Zustimmungs-URL mit Ihrer Tenant-ID und dieser Client-ID zusammen:

https://login.microsoftonline.com/<tenant-id>/adminconsent?client_id=<azure-dke-client-id>

3. Öffnen Sie sie in einem Browser, während Sie als Global Administrator angemeldet sind, und klicken Sie auf Accept. Bei Erfolg werden Sie zur Anmeldeseite von Cockpit weitergeleitet.
4. Optionale Prüfung: Der Service erscheint nun im Entra Admin Center unter Enterprise applications, unter dem Namen, den Sie ihm gegeben haben.

Schritt 5: Vertraulichkeitsbezeichnung in Purview erstellen

Navigieren Sie im Microsoft-Purview-Portal zu Information Protection → Sensitivity labels → Create a label.

1. Name und Beschreibung. Zum Beispiel Highly Confidential - DuoKey DKE, mit einer für Benutzer sichtbaren Beschreibung, die erklärt, wann die Bezeichnung zu verwenden ist.
2. Bereich. Wählen Sie Files und Emails. DKE gilt nicht für Besprechungen, Gruppen oder Websites.
3. Schutzeinstellungen. Wählen Sie ausschließlich Control access.
4. Zugriffskontrolle.
   • Weisen Sie den Benutzern oder Gruppen, die diese Inhalte öffnen dürfen, Berechtigungen mit der passenden Stufe zu (Viewer, Reviewer, Co-Author, Co-Owner).
   • Legen Sie den Offlinezugriff fest. Wählen Sie Never für die sensibelsten Inhalte (Personalakten, Quellcode, Finanzergebnisse): Ein Benutzer, dem der Zugriff entzogen wurde, kann dann keine zwischengespeicherte Kopie erneut öffnen. Wählen Sie Always nur für weniger sensible Inhalte; Benutzer behalten den Zugriff bis zu 30 Tage nach Entzug ihrer Rechte.
   • Aktivieren Sie Use Double Key Encryption und fügen Sie die DKE Access URL aus Schritt 3 genau so ein, wie sie in Cockpit angezeigt wird.
5. Inhaltskennzeichnung (optional). Fügen Sie eine Kopfzeile, Fußzeile oder ein Wasserzeichen hinzu, damit Benutzer erkennen, dass das Dokument DKE-geschützt ist.
6. Überprüfen und auf Create label klicken.

Schritt 6: Bezeichnungsrichtlinie veröffentlichen

Eine Bezeichnung ist für Benutzer unsichtbar, bis eine Richtlinie sie veröffentlicht.

1. Wählen Sie auf der Seite Sensitivity labels Ihre neue Bezeichnung aus und klicken Sie auf Publish label. Sie können mehrere Bezeichnungen in einer Richtlinie veröffentlichen.
2. Richten Sie die Richtlinie zunächst auf eine Pilotgruppe aus, nicht auf alle Benutzer.
3. Aktivieren Sie Users must provide a justification to remove a label or lower its classification.
4. Benennen Sie die Richtlinie und übermitteln Sie sie.

Die Veröffentlichung dauert je nach Größe Ihres Tenants einige Minuten bis mehrere Stunden. Benutzer müssen ihre Office-Apps neu starten, um die neue Bezeichnung zu sehen; gelegentlich ist eine vollständige Abmeldung oder ein Neustart der Arbeitsstation erforderlich.

Schritt 7: Bezeichnung in Microsoft 365 anwenden

1. Öffnen Sie ein Dokument in Word (oder Excel, PowerPoint, Outlook).
2. Klicken Sie im Menüband Start auf Sensitivity und wählen Sie Ihre DuoKey-DKE-Bezeichnung aus.
3. Das Dokument wird sofort verschlüsselt, mit der Bezeichnung gekennzeichnet und kann nur von Benutzern geöffnet werden, die sowohl durch die Bezeichnung berechtigt als auch durch Ihre DuoKey-Zugriffsrichtlinie zugelassen sind.

Zurück in Cockpit erhöht sich der GetKey-Zähler des Services, wenn die Bezeichnung angewendet wird, und der Decrypt-Zähler jedes Mal, wenn ein berechtigter Benutzer die Datei öffnet. Adobe Acrobat mit Unterstützung für Microsoft Purview Information Protection kann dieselbe Bezeichnung auf PDFs anwenden und nutzt dabei denselben DuoKey-Service.

Zero-Trust-Zugriffskontrolle hinzufügen

Jede Entschlüsselungsanfrage wird von der Policy Engine von DuoKey ausgewertet, bevor Schlüssel 2 freigegeben wird.

Purview entscheidet, wer Rechte an einem Dokument hat. DuoKey ergänzt bei jeder Entschlüsselung eine zweite, unabhängige Entscheidung, die unter Ihrer Kontrolle steht und nicht unter der von Microsoft. Eine Cockpit-Zugriffsrichtlinie kombiniert mehrere Dimensionen:

• Wer: bestimmte Benutzer oder Gruppen des Identitätsanbieters.
• Wo: zugelassene und gesperrte Länder, IP-Bereiche.
• Wann: Geschäftszeiten oder Datumsfenster.

Eine typische DKE-Entschlüsselungsrichtlinie lässt nur Mitglieder der Zielgruppe der Bezeichnung zu, aus den Ländern Ihres Unternehmens und während der Geschäftszeiten, und sperrt sanktionierte Länder vollständig. Erstellen Sie sie in Cockpit unter Access policies und binden Sie sie anschließend an den Service (DKE 365 → Actions → Edit → Access control). Sie gilt ab der nächsten Entschlüsselungsanfrage; eine Änderung der Bezeichnung ist nicht nötig. Wenn Sie den Zugriff vollständig unterbinden müssen, blockiert das Deaktivieren oder Stoppen des Services jede neue Entschlüsselungsanfrage für Dokumente, die mit seinem Schlüssel geschützt sind (abgesehen von zwischengespeicherten Offlinelizenzen, siehe Schritt 5). Ausgearbeitete Beispiele finden Sie unter Zero-Trust-Zugriffskontrolle für Microsoft 365.

Schlüssel rotieren, ohne Ihre Bezeichnungen anzutasten

Seit Cockpit 2.0.8 identifiziert die Bezeichnungs-URL den Service und nicht einen bestimmten Schlüssel. Die Rotation ist ein einziger Klick auf Rotate key auf der Service-Seite:

• Neue Dokumente werden mit dem neuen Schlüssel verschlüsselt. Die Purview-Bezeichnung ändert sich nicht.
• Der vorherige Schlüssel wandert als decrypt-only in die Schlüsselhistorie des Services, sodass bestehende Dokumente lesbar bleiben.
• Sobald kein Dokument mehr einen alten Schlüssel benötigt, kann ein Administrator ihn außer Dienst stellen. Ein außer Dienst gestellter Schlüssel kann wiederhergestellt werden.
• Das Umbenennen eines Schlüssels ändert für Office nichts, da URLs IDs enthalten und keine Namen.

Pilotphase vor dem Rollout

DKE verändert das Verhalten geschützter Dateien: Sie werden von der Microsoft-Suche nicht indiziert, eDiscovery kann sie nicht lesen, und Office für das Web sowie die mobilen Apps können sie nicht öffnen. Führen Sie eine Pilotphase mit echten Benutzern durch, bevor Sie die Bezeichnung breit veröffentlichen. Das DuoKey-DKE-Pilotprogramm umfasst:

• Erstellen, Bearbeiten und Teilen auf Desktop und Laptop;
• das Verhalten auf Smartphones und Tablets, damit Benutzer wissen, was sie erwartet;
• externes Teilen und B2B-Zusammenarbeit;
• Widerruf: einen Benutzer entfernen, eine Richtlinie deaktivieren und bestätigen, dass der Zugriff endet;
• Audit: Abgleich der Cockpit-Protokolle mit den von Benutzern ausgeführten Aktionen.

Beschränken Sie die DKE-Bezeichnung auf Inhalte, die sie wirklich benötigen (M&A-Unterlagen, anwaltlich geschützte Dokumente, regulierte personenbezogene Daten, Geschäftsgeheimnisse), und verwenden Sie für die alltägliche Zusammenarbeit die Standardbezeichnungen von Purview.

Fehlerbehebung

Für clientseitige Details aktivieren Sie das MSIP-Logging (%LOCALAPPDATA%\Microsoft\MSIP\Logs) und reproduzieren das Problem. Der vollständige DKE-Leitfaden zur Fehlerbehebung behandelt jeden Fall Schritt für Schritt.

Nächste Schritte

Sie verfügen jetzt über einen kundenseitig gehaltenen Schlüssel, der Microsoft-365-Inhalte schützt, von DuoKey bereitgestellt wird, Ihrer eigenen Zugriffsrichtlinie unterliegt und sich rotieren lässt, ohne Purview anzutasten. Um eine Pilotphase für Ihren Tenant zu planen, sprechen Sie mit unserem Team oder erfahren Sie mehr über DuoKey für Microsoft 365.

Quellen

• DuoKey: Getting started with DuoKey DKE
• DuoKey: Create key and DKE web service
• DuoKey: Deploy the DKE service
• DuoKey: Provide admin consent
• DuoKey: Create sensitivity label
• DuoKey: Access policies
• DuoKey: DKE troubleshooting guide
• Microsoft Learn: Double Key Encryption