Erfahren Sie, was Bring Your Own Key (BYOK)-Verschlüsselung ist, wie sie funktioniert und warum Unternehmen sie verwenden, um die Kontrolle über Cloud-Daten zu behalten. Vollständiger BYOK-Leitfaden.
Wenn Unternehmen sensible Daten auf Cloud-Plattformen migrieren, stehen sie vor einer entscheidenden Frage: Wer kontrolliert die Verschlüsselungsschlüssel, die diese Daten schützen? Standardmässig generieren, speichern und verwalten Cloud-Anbieter diese Schlüssel – das heisst, sie enthalten das kryptografische Äquivalent Ihres Master-House-Schlüssels. Für Organisationen, die mit regulierten Daten, Finanzunterlagen oder geistigem Eigentum umgehen, stellt diese Vereinbarung ein inakzeptables Risiko dar. Bring Your Own Key Encryption schliesst diese grundlegende Kontrolllücke, indem es Unternehmen ermöglicht, ihre eigenen Verschlüsselungsschlüssel zu generieren und zu verwalten und gleichzeitig die Cloud-Infrastruktur zu nutzen.
Der IBM Cost of a Data Breach Report 2023 ergab, dass Unternehmen mit einem hohen Mass an Verschlüsselung und Schlüsselverwaltungspraktiken durchschnittlich 1,4 Millionen US-Dollar pro Datenschutzverletzung einsparten. Dennoch sind viele Unternehmen weiterhin unsicher, wie BYOK tatsächlich funktioniert, ob es Compliance-Anforderungen erfüllt und wie es sich von der Cloud-nativen Schlüsselverwaltung unterscheidet. Dieser Leitfaden bietet einen vollständigen technischen und strategischen Überblick über BYOK und hilft Sicherheitsverantwortlichen zu verstehen, wann und wie sie es effektiv umsetzen können.
Die BYOK-Verschlüsselung (Bring Your Own Key) ist ein Cloud-Sicherheitsmodell, das es Unternehmen ermöglicht, ihre eigenen Verschlüsselungsschlüssel zu generieren, zu kontrollieren und zu verwalten, anstatt sich ausschliesslich auf die vom Cloud-Dienstanbieter generierten Schlüssel zu verlassen. Das Konzept entstand, als Unternehmen damit begannen, sensible Workloads in die öffentliche Cloud-Infrastruktur zu migrieren und feststellten, dass sie aufgrund der Standardverschlüsselungsoptionen keinen echten Schlüsselbesitz mehr hatten.
In einer BYOK-Architektur generiert der Kunde Hauptverschlüsselungsschlüssel mithilfe seiner eigenen Hardware-Sicherheitsmodule (HSMs) oder Schlüsselverwaltungssysteme. Diese Schlüssel werden dann in den Schlüsselverwaltungsdienst des Cloud-Anbieters importiert, wo sie Daten innerhalb dieser Umgebung verschlüsseln und entschlüsseln. Entscheidend ist, dass die Organisation eine Kopie des Schlüsselmaterials behält und die Kontrolle über den Lebenszyklus des Schlüssels behält – einschliesslich Rotation, Widerruf und Zerstörung.
Standard-Verschlüsselung hält Schlüssel innerhalb der Infrastruktur des Cloud-Anbieters. Externes Schlüsselmanagement (BYOK) verschiebt das Root-Schlüsselmaterial in Infrastruktur, die Sie kontrollieren, außerhalb der Reichweite des Anbieters.
BYOK basiert auf einem Prozess namens Key Wrapping. Wenn Sie Ihren Schlüssel in eine Cloud-Plattform importieren, wird Ihr Schlüssel (der Zielschlüssel) mit einem separaten Verpackungsschlüssel verschlüsselt, der vom Cloud-Dienst bereitgestellt wird. Dies schützt Ihr Schlüsselmaterial während des Transports. Nach dem Import befindet sich Ihr Schlüssel in der HSM-Infrastruktur des Cloud-Anbieters, wurde jedoch unter Ihrer Kontrolle generiert.
Der Standard-BYOK-Workflow folgt diesen Schritten:
Für die Sicherheitsplanung ist es wichtig, die Grenzen von BYOK zu verstehen. BYOK garantiert, dass Sie das Schlüsselmaterial generiert haben und kann den Zugriff durch Löschen des Schlüssels widerrufen. Es garantiert nicht, dass der Cloud-Anbieter nach dem Import nicht auf Ihren Schlüssel zugreifen kann – in den meisten Implementierungen hat die Infrastruktur des Anbieters während kryptografischer Vorgänge Zugriff auf den unverpackten Schlüssel.
Diese Unterscheidung ist für die Compliance und Risikobewertung von grosser Bedeutung. BYOK verbessert Ihren Kontrollstatus im Vergleich zu vom Anbieter generierten Schlüsseln, erreicht jedoch nicht das gleiche Mass an Isolation wie fortschrittlichere Ansätze wie Double Key Encryption (DKE) oder External Key Management (EKM), bei denen der Anbieter niemals über verwendbares Schlüsselmaterial verfügt.
Jede grosse Cloud-Plattform implementiert BYOK anders, mit unterschiedlichen Kontrollebenen, unterstützten Algorithmen und Integrationsmustern. Das Verständnis dieser plattformspezifischen Architekturen hilft Unternehmen bei der Planung realistischer Bereitstellungen.
Azure Key Vault unterstützt BYOK durch seine Schlüsselimportfunktion. Organisationen generieren RSA-HSM- oder EC-HSM-Schlüssel lokal und importieren sie in die HSM-gestützte Ebene von Key Vault. Azure verwendet ein Key Exchange Key (KEK)-System, bei dem Microsoft einen öffentlichen RSA-Schlüssel bereitstellt, der Ihren Zielschlüssel für den sicheren Import umschliesst.
Nach dem Import können Schlüssel Azure Storage, Azure SQL-Datenbank, Azure Disk Encryption und andere Dienste schützen. Die Implementierung von Microsoft verwaltet den Schlüssel innerhalb von FIPS 140-2 Level 2 oder Level 3 HSMs (je nach Stufe), aber die Infrastruktur von Microsoft kann für Verarbeitungsvorgänge auf den Schlüssel zugreifen.
AWS Key Management Service (KMS) implementiert BYOK über seinen benutzerdefinierten Schlüsselspeicher und importierte Schlüsselmaterialfunktionen. Kunden können symmetrische 256-Bit-Schlüssel in KMS importieren, die dann durch die HSM-Infrastruktur von AWS geschützt werden. AWS bietet auch die CloudHSM-Integration für Unternehmen an, die dedizierte Single-Tenant-Hardware benötigen.
Das AWS-Modell erfordert, dass Kunden ihr Schlüsselmaterial extern aufbewahren, da AWS importierte Schlüssel löscht, wenn der Kunde dies wünscht. Während der aktiven Nutzung führt AWS KMS jedoch alle kryptografischen Vorgänge aus – das bedeutet, dass die AWS-Infrastruktur den unverschlüsselten Schlüssel verarbeitet.
Die Google Cloud Platform bietet BYOK über Cloud KMS mit vom Kunden verwalteten Verschlüsselungsschlüsseln (CMEK). Google bietet ausserdem Cloud HSM für die hardwaregestützte Schlüsselspeicherung und External Key Manager (EKM) für Schlüssel, die niemals in die Infrastruktur von Google gelangen.
Die EKM-Option stellt einen bedeutenden Schritt über das herkömmliche BYOK hinaus dar, da kryptografische Vorgänge ausserhalb der Google-Umgebung stattfinden. Diese Architektur entspricht besser den tatsächlichen Anforderungen an die Datensouveränität.
Unternehmens-SaaS-Plattformen haben ihre eigenen BYOK-Modelle implementiert. Salesforce Shield umfasst eine Schlüsselverwaltungsfunktion, mit der Kunden Verschlüsselungsschlüssel für vertrauliche Felder und Dateien steuern können. Microsoft 365 bietet sowohl Kundenschlüssel (BYOK für von Microsoft verwaltete Verschlüsselung) als auch Doppelschlüsselverschlüsselung (bei der Microsoft niemals verwendbares Schlüsselmaterial bereithält).
Diese SaaS-Implementierungen unterscheiden sich erheblich in ihren Sicherheitseigenschaften. Microsoft 365 Customer Key beispielsweise verarbeitet Daten für die meisten Vorgänge immer noch mit von Microsoft zugänglichen Schlüsseln – nur DKE bietet echte externe Schlüsselkontrolle.
Die Wahl zwischen BYOK und Cloud-nativem Schlüsselmanagement bringt Kompromisse in Bezug auf Kontrolle, Compliance, betriebliche Komplexität und Kosten mit sich. Sicherheitsverantwortliche müssen diese Faktoren anhand ihres spezifischen Risikoprofils und der gesetzlichen Anforderungen bewerten.
| Aspekt | Cloud-natives KMS | BYOK | Externe Schlüsselverwaltung |
|---|---|---|---|
| Schlüsselgenerierung | Anbieter | Kunde | Kunde |
| Schlüsselaufbewahrung | Anbieter-HSM | Anbieter-HSM | Kundengesteuert |
| Kryptografische Operationen | Anbieter | Anbieter | Kunden- oder Fremddienstleistung |
| Schlüsselzugriff während der Verarbeitung | Anbieter hat Zugriff | Anbieter hat Zugriff | Der Anbieter hat möglicherweise keinen Zugriff |
| Widerrufskontrolle | Vom Kunden initiiert | Vom Kunden initiiert | Sofortige Kundenkontrolle |
| Audit-Sichtbarkeit | Anbieterprotokolle | Anbieterprotokolle + Kundenprotokolle | Volle Sichtbarkeit für den Kunden |
Der grundlegende Unterschied zwischen BYOK und nativer Verschlüsselung liegt in der Herkunft und Lebenszykluskontrolle. Mit cloudnativem KMS vertrauen Sie dem Anbieter vollkommen – er generiert, speichert und verwendet die Schlüssel. Mit BYOK überprüfen Sie die Schlüsselgenerierung, vertrauen aber dennoch dem Anbieter hinsichtlich der Speicherung und Nutzung. Nur durch die externe Schlüsselverwaltung entfällt der Anbieterzugriff vollständig.
Regulierungsrahmen unterscheiden zunehmend zwischen Verschlüsselung, die vom Anbieter kontrollierte Schlüssel verwendet, und Verschlüsselung, die vom Kunden kontrolliert wird. Artikel 32 der DSGVO verlangt geeignete technische Massnahmen für den Datenschutz – und die Regulierungsbehörden haben begonnen zu fragen, ob die von Anbietern gehaltenen Schlüssel diesem Standard genügen, wenn der Anbieter Zugriffsanfragen ausländischer Behörden unterliegt.
BYOK Cloud Security liefert dokumentierte Beweise dafür, dass Ihr Unternehmen die Verschlüsselungsschlüssel generiert hat, was einige Prüfanforderungen erfüllt. Bei Frameworks wie TISAX (Automobilindustrie) oder FINMA (Schweizer Finanzdienstleistungen) verlangen Prüfer jedoch möglicherweise den Nachweis, dass nicht einmal der Cloud-Anbieter auf Schlüsselmaterial zugreifen kann – was Unternehmen dazu drängt, sich DKE oder externen Schlüsselverwaltungsarchitekturen zuzuwenden.
BYOK führt betriebliche Verantwortlichkeiten ein, die das cloudnative KMS automatisch übernimmt:
Diese Anforderungen erfordern qualifiziertes Personal und ausgereifte Prozesse. Organisationen ohne etablierte kryptografische Betriebsfähigkeiten stehen vor einer erheblichen Lernkurve.
BYOK ermöglicht geografische Schlüsselsouveränität: Ihre Verschlüsselungsschlüssel können an bestimmte Rechtsgebiete verankert werden und stellen sicher, dass grenzüberschreitende Datenzugriffsanfragen nicht die kryptografische Wurzel Ihrer Daten erreichen können.
Datensouveränität – das Konzept, dass Daten den Gesetzen und Governance-Strukturen der Gerichtsbarkeit unterliegen, in der sie sich befinden – ist zu einem Hauptgrund für die Einführung von BYOK geworden. Drei sich überschneidende Kräfte machen dies für europäische Unternehmen immer dringlicher.
Das Schrems-II-Urteil von 2020 machte den EU-US-Datenschutzschild ungültig und sorgte für Unsicherheit hinsichtlich der Datenübertragung an US-Cloud-Anbieter. Das EU-US-Datenschutzrahmenwerk (2023) bietet zwar eine neue Rechtsgrundlage, seine langfristige Stabilität bleibt jedoch ungewiss. Noch grundlegender ist, dass US-Gesetze, einschliesslich des CLOUD Act, US-Regierungsbehörden erlauben, Unternehmen mit Hauptsitz in den USA zur Herausgabe von Daten zu zwingen, die überall auf der Welt gespeichert sind.
Für Organisationen, die an die DSGVO, NIS2 oder branchenspezifische Vorschriften wie DORA (Finanzdienstleistungen) gebunden sind, stellt dies ein echtes rechtliches Risiko dar. Wenn ein US-amerikanischer Cloud-Anbieter sowohl über Ihre Daten als auch über Ihre Verschlüsselungsschlüssel verfügt, könnte eine US-amerikanische Rechtsordnung theoretisch den Zugriff erzwingen – unabhängig davon, wo die Daten physisch gespeichert sind.
BYOK bietet eine teilweise Abhilfe, indem es sicherstellt, dass Sie die Schlüsselgenerierung kontrollieren und nachweisen können, dass die Verschlüsselung unter Ihrer Kontrolle implementiert wurde. Da der Anbieter jedoch während der Verarbeitung immer noch auf den Schlüssel zugreift, genügt BYOK allein möglicherweise nicht den strengen Interpretationen der Datensouveränität.
Die meisten Unternehmen arbeiten auf mehreren Cloud-Plattformen – Azure für Produktivität, AWS für Infrastruktur, Salesforce für CRM. Jede Plattform verfügt über ein eigenes Schlüsselverwaltungssystem, wodurch eine fragmentierte Steuerungsebene entsteht. Durch die zentrale Verwaltung von Cloud-Verschlüsselungsschlüsseln über ein externes KMS können Unternehmen eine konsistente Richtliniendurchsetzung und Prüfprotokolle in allen Umgebungen aufrechterhalten.
Dieser einheitliche Ansatz bietet mehrere Vorteile:
Die Lage der Schweiz ausserhalb der EU und ihr starker verfassungsmässiger Schutz der Privatsphäre machen sie zu einer attraktiven Gerichtsbarkeit für wichtige Verwaltungsinfrastrukturen. Das Schweizer Recht erkennt keine Datenzugriffsanordnungen ausländischer Regierungen an und das Land verfügt über kein Äquivalent zum US-amerikanischen CLOUD Act.
Organisationen, die ihre Schlüsselverwaltungssysteme in der Schweiz hosten – oder in der Schweiz betriebene Schlüsselverwaltungsdienste nutzen – fügen eine rechtliche Schutzebene hinzu, die rein technische Kontrollen nicht bieten können.
Bestimmte Branchen sind mit regulatorischen Anforderungen konfrontiert, die BYOK-Vorteile zu unternehmenskritischen statt optionalen Vorteilen machen. Das Verständnis dieser branchenspezifischen Treiber hilft bei der Priorisierung der Umsetzung.
Der im Januar 2025 in Kraft getretene Digital Operational Resilience Act (DORA) verlangt von EU-Finanzunternehmen die Implementierung eines umfassenden IKT-Risikomanagements – einschliesslich expliziter Anforderungen an Verschlüsselung und Schlüsselverwaltung. Artikel 9 des DORA schreibt vor, dass Unternehmen eine starke Verschlüsselung für ruhende und übertragene Daten mit geeigneten Schlüsselverwaltungskontrollen implementieren.
Schweizer Finanzinstitute sind mit Auflagen der FINMA konfrontiert, die explizit auf Cloud-Outsourcing-Risiken eingehen. Das FINMA-Rundschreiben 2018/3 verpflichtet Banken, sicherzustellen, dass Cloud-Anbieter nicht auf unverschlüsselte Kundendaten zugreifen können – ein Standard, den BYOK allein je nach Umsetzung möglicherweise nicht erfüllt.
Die HIPAA-Sicherheitsregel verlangt, dass betroffene Unternehmen eine Verschlüsselung für elektronisch geschützte Gesundheitsinformationen (ePHI) implementieren. Während HIPAA keine spezifischen Schlüsselverwaltungsarchitekturen vorschreibt, hat das Amt für Bürgerrechte betont, dass die Verschlüsselung nur dann wirksam ist, wenn die Schlüssel ordnungsgemäss geschützt sind.
Gesundheitsorganisationen erkennen zunehmend, dass die von Anbietern gehaltenen Schlüssel ein Haftungsrisiko darstellen. Kommt es zu einem Verstoss und stellen die Ermittler fest, dass der Cloud-Anbieter einseitig Zugriff auf die Schlüssel hatte, drohen der Gesundheitsorganisation zusätzliche Strafen wegen unzureichender Sicherheitsvorkehrungen.
Das TISAX-Framework der Automobilindustrie (basierend auf ISO 27001) umfasst spezifische Kontrollen zur Informationssicherheit. Automobilhersteller und Zulieferer, die Prototypendaten, technische Spezifikationen oder Informationen zu vernetzten Fahrzeugen verarbeiten, benötigen häufig eine TISAX-Zertifizierung.
TISAX-Bewertungen untersuchen Verschlüsselungspraktiken im Detail, einschliesslich der Frage, wer das Schlüsselmaterial kontrolliert und ob Unbefugte auf Schlüssel zugreifen könnten. Grosse deutsche Automobilhersteller haben damit begonnen, von ihren Zulieferern den Nachweis einer BYOK- oder gleichwertigen Schlüsselkontrolle zu verlangen.
BYOK-Bereitstellungen stossen häufig auf Hindernisse, die Projekte verzögern oder die Sicherheitsergebnisse gefährden. Das Antizipieren dieser Herausforderungen ermöglicht eine realistischere Planung.
Für die ordnungsgemässe BYOK-Implementierung ist FIPS 140-2 (oder FIPS 140-3) validierte Hardware für die Schlüsselgenerierung erforderlich. Lokale HSMs wie Thales Luna oder Entrust nShield erfordern erhebliche Kapitalkosten, spezielle Fähigkeiten und laufende Wartung. Cloud-HSM-Dienste (Azure Dedicated HSM, AWS CloudHSM) reduzieren die betriebliche Belastung, führen jedoch eigene Abhängigkeiten ein.
Organisationen ohne bestehende HSM-Infrastruktur stehen vor einer wichtigen Entscheidung: Investieren Sie in Hardware vor Ort, übernehmen Sie Cloud-HSM-Dienste oder arbeiten Sie mit einem Anbieter für verwaltete Schlüsselverwaltung zusammen. Jeder Weg hat unterschiedliche Auswirkungen auf Kosten, Kontrolle und Compliance.
BYOK überträgt die Verantwortung für das Key Lifecycle Management auf den Kunden. Dazu gehört:
Kryptografische Operationen erhöhen die Latenz. Wenn Schlüssel extern verwaltet werden, erfordert jeder Verschlüsselungs- oder Entschlüsselungsvorgang möglicherweise einen Roundtrip zum Schlüsselverwaltungssystem. Bei Workloads mit hohem Durchsatz kann sich dies auf die Anwendungsleistung auswirken.
Ebenso wichtig ist die Verfügbarkeit. Wenn Ihr Schlüsselverwaltungssystem nicht erreichbar ist, können Cloud-Anwendungen die Daten nicht entschlüsseln. Dadurch entsteht ein Single Point of Failure, der durch Redundanz und geografische Verteilung behoben werden muss.
Der Erfolg von BYOK hängt von qualifiziertem Personal und ausgereiften Prozessen ab. Organisationen brauchen:
Viele Unternehmen unterschätzen diese Anforderungen und führen zu Implementierungen, die eine Compliance-Dokumentation erstellen, ohne tatsächliche Sicherheitsverbesserungen zu bewirken.
Die Auswahl des richtigen BYOK-Ansatzes erfordert eine systematische Bewertung Ihrer Anforderungen, Risikotoleranz und betrieblichen Fähigkeiten.
Beginnen Sie mit der Beantwortung dieser grundlegenden Fragen:
Untersuchen Sie bei der Bewertung von BYOK-Lösungen und Managed-Key-Management-Anbietern Folgendes:
| Kriterium | Zu stellende Fragen |
|---|---|
| Schlüsselgenerierung | Unterstützt der Anbieter die HSM-gestützte Schlüsselgenerierung? Welche Zertifizierungsstufen werden unterstützt (FIPS 140-2, FIPS 140-3)? |
| Schlüsselaufbewahrung | Wo werden Schlüsselmaterialien aufbewahrt? Ist es kundengesteuert oder anbietergesteuert? Können Schlüssel in Ihrem eigenen HSM gespeichert werden? |
| Multi-Cloud-Unterstützung | Lässt sich die Lösung in alle Ihre Cloud-Plattformen integrieren (Azure, AWS, GCP, Salesforce, Microsoft 365)? |
| Audit und Protokollierung | Werden alle wichtigen Vorgänge protokolliert? Können Protokolle in Ihr SIEM exportiert werden? Sind Protokolle manipulationssicher? |
| Compliance-Dokumentation | Stellt der Anbieter Compliance-Berichte bereit (SOC 2, ISO 27001)? Wurden sie anhand der DORA- oder TISAX-Anforderungen bewertet? |
| Wichtige Lebenszyklusautomatisierung | Automatisiert die Lösung Rotation, Ablaufwarnungen und Widerrufsworkflows? |
| Gerichtsstand | Wo ist der Anbieter eingetragen? Welche Gesetze regeln ihre Datenzugriffspflichten? Haben sie Niederlassungen in der Schweiz oder in der EU? |
| Support und SLA | Welche Verfügbarkeitsgarantien gibt es für den Schlüsselverwaltungsdienst? Wie lange ist die Reaktionszeit bei Vorfällen? |
Für Organisationen mit den strengsten Souveränitätsanforderungen reicht das traditionelle BYOK möglicherweise nicht aus. Externe Schlüsselverwaltungslösungen (EKM), bei denen der Cloud-Anbieter niemals über verwendbares Schlüsselmaterial verfügt, bieten stärkere Garantien als standardmässige BYOK-Implementierungen.
Der Ansatz von DuoKey kombiniert externes Schlüsselmanagement mit Multi-Party Computation (MPC)-Technologie und stellt so sicher, dass keine einzelne Partei – einschliesslich DuoKey selbst – zu irgendeinem Zeitpunkt über das vollständige Schlüsselmaterial verfügt. Diese Architektur behebt die grundlegende Einschränkung des Standard-BYOK: dass der Cloud-Anbieter während der Verarbeitung auf Ihren Schlüssel zugreifen kann.
Für Organisationen, die den schweizerischen Finanzvorschriften (FINMA), den Zertifizierungsanforderungen der Automobilindustrie (TISAX) oder strengen DSGVO-Interpretationen unterliegen, bietet dieser Grad der kryptografischen Trennung einen überprüfbaren Beweis dafür, dass Cloud-Anbieter nicht auf unverschlüsselte Daten zugreifen können – selbst unter gesetzlicher Zwang.
Die Bring-Your-Own-Key-Verschlüsselung stellt eine deutliche Verbesserung gegenüber der Cloud-nativen Schlüsselverwaltung dar, ist jedoch keine vollständige Lösung für die Herausforderungen der Datensouveränität. Das Verständnis seiner Grenzen hilft Organisationen, fundierte Entscheidungen zu treffen:
Organisationen, die BYOK ernst nehmen – indem sie es mit einer geeigneten HSM-Infrastruktur, dokumentierten Prozessen und zentraler Aufsicht umsetzen – erreichen eine bedeutende Risikominderung und eine stärkere Compliance-Haltung. Diejenigen, die es als eine Checkbox-Übung betrachten, erhalten eine Compliance-Dokumentation ohne echte Sicherheitsverbesserung.
Die Entscheidung, über BYOK hinaus auf externes Schlüsselmanagement umzusteigen, hängt von Ihren spezifischen gesetzlichen Verpflichtungen, Ihrer Risikotoleranz und der Sensibilität der von Ihnen geschützten Daten ab. Für die meisten Unternehmen ist BYOK der richtige Ausgangspunkt. Für diejenigen, die unter den anspruchsvollsten Souveränitätsanforderungen arbeiten, ist dies der erste Schritt zu einer umfassenderen kryptografischen Kontrollarchitektur.
Geschrieben von
DuoKey
Ähnliche Ressourcen
Sagen Sie uns, wo Kontrolle heute schwierig ist. Wir helfen Ihnen, den nächsten praktischen Schritt zu finden.
