Kryptografische Schlüssel-Hoheit (BYOK / HYOK)

Unter Kryptografischer Schlüssel-Hoheit werden die beiden Konzepte BYOK (Bring Your Own Key) und HYOK (Hold Your Own Key) zusammengefasst. Sie regeln, wer in Cloud- und Hybrid-Umgebungen die tatsächliche Gewalt über die Verschlüsselungsschlüssel besitzt. Während bei der Standard-Cloud-Verschlüsselung sowohl die Daten als auch die Schlüssel beim Cloud-Anbieter liegen, trennen BYOK und HYOK die reine Speicherinfrastruktur von der Schlüsselverwaltung.

Bei BYOK erzeugt das Unternehmen seinen Schlüssel zwar im eigenen Haus, lädt ihn zur laufenden Nutzung jedoch in den Schlüssel-Tresor des Cloud-Providers hoch. Bei HYOK (Hold Your Own Key) verlässt der Schlüssel das eigene Rechenzentrum zu keinem Zeitpunkt: Daten werden bereits vor dem Hochladen lokal verschlüsselt, sodass der Cloud-Anbieter technisch niemals Klartext zu Gesicht bekommt.

Warum der Unterschied zwischen BYOK und HYOK in der Praxis entscheidend ist

Für Unternehmen, die trotz strenger Geheimhaltungsanforderungen externe Cloud-Ressourcen für Backups, Archivierung oder verteilte Standorte nutzen möchten, entscheidet das Schlüsselmodell über den tatsächlichen Schutzgrad.

Solange der Schlüssel bei BYOK im Arbeitsspeicher des Cloud-Anbieters liegt, schützt das Verfahren zwar vor einfachen Festplattendiebstählen im Rechenzentrum, verhindert aber keinen technischen Zugriff durch den Plattformbetreiber selbst. Erst mit HYOK bleibt der Cloud-Provider ein reiner Speicher-Dienstleister ohne Einsichtsmöglichkeit: Wird der lokale Schlüssel im eigenen Haus gesperrt, sind die Daten in der Cloud augenblicklich unlesbar (sogenanntes Crypto-Shredding).

Der Zielkonflikt im Alltag: Komfortfunktionen vs. echte Verschlüsselung

Viele Unternehmen buchen kostenpflichtige „Customer Managed Key“-Optionen bei großen Cloud-Anbietern in dem Glauben, der Anbieter könne die Daten damit nicht mehr einsehen. Tatsächlich benötigt eine Cloud-Datenbank oder ein Cloud-Office-Dienst den Schlüssel im Klartext, sobald auf dem Server eine Volltextsuche, eine Sortierung oder eine KI-Auswertung stattfinden soll.

Echtes HYOK eignet sich daher vor allem für Dateiablagen, Objektspeicher, Backups und vertrauliche Dokumentenräume, bei denen die Ver- und Entschlüsselung auf dem Client oder einem eigenen Gateway vor Ort erfolgt.

3 Schritte für ein souveränes Schlüsselmanagement

• Datenbestände nach Schutzbedarf einteilen: Setzen Sie HYOK gezielt für hochvertrauliche Dokumente (Forschung & Entwicklung, Finanzen, Personal, Geschäftsführung) sowie für ausgelagerte Cloud-Backups ein.
• Zentralen eigenen Schlüssel-Tresor aufbauen: Nutzen Sie quelloffene Key-Management-Systeme wie OpenBao oder HashiCorp Vault im eigenen Rechenzentrum, um Schlüssel lebenszyklusweit zu verwalten und regelmäßig zu rotieren.
• Clientseitige Verschlüsselung vor Cloud-Uploads nutzen: Verschlüsseln Sie Offsite-Backups (z. B. mit Proxmox Backup Server, Restic oder Borg) immer bereits auf dem eigenen Server, bevor die Datenpakete zu einem externen Speicher übertragen werden.