Nov. 2025
Schweizer Guidance hat die Messlatte erhöht: Anbieterzugriff auf Schlüssel ist für sensible bzw. gesetzlich vertrauliche Daten in M365 nicht mehr akzeptabel.
US CLOUD Act
Hosting in der Schweiz/EU beseitigt extraterritoriale Zugriffsrisiken nicht, wenn der Anbieter eine US-Entität ist.
Double Key Encryption
Den entscheidenden Schlüssel ausserhalb von Microsoft halten und so Anbieterzugriff ausschliessen – bei erhaltener M365-Usability.
Warum „Standard“-Verschlüsselung in Microsoft 365 nicht mehr genügt
Schweizer Guidance macht das Entscheidungskriterium klar (Quelle): Wenn der Cloud-Anbieter technisch auf Entschlüsselungsschlüssel zugreifen kann, ist das Schutzniveau für sensible Personendaten oder Daten mit gesetzlicher Geheimhaltungspflicht nicht ausreichend.
Genau dieser Punkt betrifft typische Microsoft-365-Deployments, bei denen Verschlüsselung letztlich von Schlüsseln abhängt, die Microsoft betreiben kann – selbst wenn „customer-managed“-Optionen aktiviert sind.
Grenzen der Microsoft-Standardverschlüsselung
In „Standard“-Microsoft-365-Setups hängt der Schutz letztlich von Schlüsseln ab, die innerhalb der operativen Kontrolle von Microsoft verbleiben. Damit gibt es keine strikte technische Trennung zwischen den verschlüsselten Daten und der Fähigkeit, sie zu entschlüsseln – der Anbieter kann einen Weg zum Klartextzugriff behalten, was für sensible und gesetzlich vertrauliche Kategorien in der Schweiz problematisch ist.
Konforme Architektur: Double Key Encryption (DKE) mit souveränem externem Schlüssel
Double Key Encryption (DKE) wird als Beispiel für wirksame Verschlüsselung gegenüber dem Anbieter genannt. DKE arbeitet mit zwei getrennten Schlüsseln:
Ein Schlüssel wird von Microsoft verwaltet (in Azure Key Vault)
Ein zweiter Schlüssel liegt bei der Verwaltung in einer externen, souveränen Infrastruktur
Für die Entschlüsselung werden beide Schlüssel gleichzeitig benötigt. Da Microsoft nur einen Schlüssel besitzt, kann Microsoft die Daten nicht im Klartext lesen.
Bei einem CLOUD-Act-Anordnungsfall kann Microsoft verschlüsselte Daten herausgeben – sie bleiben ohne den zweiten, ausserhalb von Microsoft gehaltenen Schlüssel unlesbar.
DKE schafft eine strikte technische Trennung zwischen verschlüsselten Daten und dem entscheidenden Entschlüsselungsschlüssel.
Vorteile für Schweizer öffentliche Stellen
Compliance und operative Effizienz in Microsoft 365 zusammenbringen.
Schlüsselhoheit ohne Anbieter
Der entscheidende Schlüssel bleibt ausserhalb von Microsoft – kein Klartextzugriff durch den Anbieter.
Regulatorische Robustheit
Ausrichtung auf die erhöhten Anforderungen seit 2025 für sensible und gesetzlich vertrauliche Daten.
M365-Funktionalität erhalten
Microsoft-365-Workflows beibehalten und gleichzeitig die kryptografische Kontrolle stärken.