Welche Dienste bietet Microsoft Azure an?

Microsoft Azure ist die Cloud-Computing-Plattform von Microsoft und bietet bedarfsgerechte Rechen-, Speicher-, Datenbank-, Netzwerk- und Sicherheitsdienste. Der Schwerpunkt der Datensicherheitslösungen liegt auf der Verwaltung von Cloud-Schlüsseln über Azure Key Vault, Managed HSM und Azure Cloud HSM.

Microsoft Azure bietet ein breites Spektrum an Cloud-Diensten, mit denen Unternehmen Anwendungen entwickeln, bereitstellen und verwalten können, ohne über eigene physische Infrastruktur zu verfügen. Azure basiert auf dem globalen Netzwerk von Microsoft-Rechenzentren und zählt neben Amazon Web Services und Google Cloud Platform zu den drei größten öffentlichen Cloud-Anbietern. Zum Schutz von Daten speichern und verwalten die zentralen Sicherheitsdienste von Azure kryptografische Schlüssel.

Wichtige Erkenntnisse

• Azure Key Management bietet drei Hauptoptionen: Azure Key Vault (mandantenfähig), Managed HSM (Einzelmandantenpool) und Azure Cloud HSM (Einzelmandantencluster, Nachfolger von Dedicated HSM).
• Azure Key Vault Standard schützt Schlüssel in Software gemäß FIPS 140-2 Level 1; Key Vault Premium und Managed HSM verwenden FIPS 140-3 Level 3 validierte Marvell LiquidSecurity HSMs.
• Azure Dedicated HSM wird eingestellt: Ab August 2025 werden keine neuen Kunden mehr aufgenommen, der volle Support läuft bis zum 31. Juli 2028. Nachfolger ist Azure Cloud HSM.
• Key Vault unterstützt RSA-Schlüssel mit 2048, 3072 und 4096 Bit sowie EC-Kurven P-256, P-384, P-521 und P-256K. Symmetrische (AES-)Schlüssel werden im Managed HSM unterstützt.
• Mit Bring Your Own Key (BYOK) können Sie einen Schlüssel lokal generieren und ihn in Azure Wrapped importieren, sodass der Schlüssel während der Übertragung niemals im Klartext offengelegt wird.

Was ist Microsoft Azure?

Microsoft Azure ist eine Cloud-Computing-Plattform, die Rechenleistung, Speicher, Datenbanken, maschinelles Lernen, Netzwerkfunktionen und Sicherheit als On-Demand-Dienste über das Internet bereitstellt.

Anstatt eigene Server zu kaufen und zu betreiben, mieten Unternehmen Azure-Ressourcen und zahlen nur für die tatsächliche Nutzung. Azure ist weltweit verfügbar, verfügt über zahlreiche Compliance-Zertifizierungen und bedient Kunden vom kleinen Team bis zum Großkonzern. Dieser Artikel konzentriert sich auf die Datensicherheitsdienste von Azure, insbesondere auf die Optionen für das Cloud-Schlüsselmanagement, mit denen kryptografische Schlüssel gespeichert und geschützt werden.

Azure Cloud Key Management Services

Azure bietet drei primäre Dienste zum Speichern und Verwalten kryptografischer Schlüssel an, die sich hauptsächlich in Mandantenfähigkeit und Sicherheitsniveau unterscheiden.

Service	Mietverhältnis	FIPS-Validierung	Am besten geeignet,
Azure Key Vault (Standard)	Mandantenfähig	FIPS 140-2 Level 1 (softwaregeschützte Schlüssel)	Allgemeine Geheimnisse, Zertifikate und softwaregeschützte Schlüssel
Azure Key Vault (Premium)	Mandantenfähig	FIPS 140-3 Level 3 (HSM-geschützte Schlüssel)	HSM-gestützte Schlüssel ohne Hardwareverwaltung
Verwaltetes HSM	Pool für Einzelmieter	FIPS 140-3 Stufe 3	Regulierte Arbeitslasten, die die alleinige Kontrolle eines dedizierten HSM-Pools erfordern
Azure Cloud HSM	Single-Tenant-Cluster	FIPS 140-3 Stufe 3	Nachfolger des dedizierten HSM; volle administrative Kontrolle mit privater Konnektivität

Key Vault Premium und Managed HSM laufen auf Marvell LiquidSecurity HSM-Hardware; Microsoft wählte im August 2025 dieselbe LiquidSecurity-Familie für Azure Cloud HSM aus. Microsoft hat außerdem Azure Integrated HSM eingeführt, das von Microsoft entwickelte HSM-Chips direkt in VM-Hostserver einbettet, um eine lokale, manipulationssichere Schlüsselverwaltung zu gewährleisten.

Azure Key Vault: Schlüssel, Geheimnisse und Zertifikate

Azure Key Vault ist ein mandantenfähiger Dienst, der kryptografische Schlüssel, Geheimnisse und Zertifikate für Cloud-Anwendungen schützt.

Key Vault ist in zwei Stufen verfügbar. Die Standardstufe schützt Schlüssel mit Software und ist nach FIPS 140-2 Level 1 validiert. Die Premiumstufe schützt Schlüssel mit nach FIPS 140-3 Level 3 validierten Marvell LiquidSecurity HSMs. Neuere HSM-geschützte Schlüsselversionen nutzen die FIPS 140-3 Level 3 Plattform (intern als HSM-Plattform 2 bezeichnet); einige ältere Premium-Schlüsselversionen verwenden möglicherweise noch die ältere FIPS 140-2 Level 2 Plattform. Im Attribut „hsmPlatform“ eines Schlüssels können Sie überprüfen, welche Plattform ihn schützt.

Key Vault unterstützt die folgenden Schlüsseltypen und Operationen:

• RSA-Schlüsselgrößen: 2048, 3072 und 4096 Bit.
• Elliptische Kurventypen: P-256, P-384, P-521 und P-256K (SECP256K1).
• Verschlüsselung / Schlüsselkapselung: Microsoft empfiehlt RSA-OAEP-256. Die älteren Standards RSA-OAEP und RSA1_5 (RSA PKCS#1 v1.5) werden nur aus Gründen der Abwärtskompatibilität beibehalten.
• Unterzeichnung und Verifizierung: RS256/RS384/RS512, PS256/PS384/PS512 und ECDSA (ES256, ES256K, ES384, ES512).
• Symmetrische (AES-)Schlüssel: Unterstützt in Managed HSM, nicht in Standard Key Vault.

Key Vault automatisiert auch die Verwaltung des Zertifikatslebenszyklus , einschließlich der Registrierung und Verlängerung bei öffentlichen Zertifizierungsstellen. Es fungiert selbst nicht als Zertifizierungsstelle.

Managed HSM und Azure Cloud HSM

Managed HSM und Azure Cloud HSM sind Single-Tenant-Dienste für Organisationen, die die alleinige Kontrolle über dedizierte, nach FIPS 140-3 Level 3 validierte Hardware benötigen.

Managed HSM ist ein vollständig verwalteter, hochverfügbarer Single-Tenant-Pool. Sie erhalten die administrative Kontrolle über Ihre Schlüssel durch lokale rollenbasierte Zugriffskontrolle, während Microsoft die Hardwarewartung übernimmt. Der Dienst ist so konzipiert, dass Microsoft und seine Agenten keinen Zugriff auf Ihre Schlüssel haben, die für Microsoft-Systeme niemals im Klartext sichtbar sind. Managed HSM unterstützt RSA-, EC- und symmetrische Schlüssel (AES/Oct-HSM); die verwendeten 256-Bit-AES-Schlüssel sind quantenresistent.

Azure Cloud HSM ist ein HSM-Cluster für einen einzelnen Mandanten und der allgemein verfügbare Nachfolger von Azure Dedicated HSM. Es bietet schnelle Bereitstellung, integrierte Redundanz über Zonen hinweg und private Konnektivität, während der Kunde die volle Kontrolle über die Schlüssel behält.

Wichtig: Azure Dedicated HSM wird eingestellt. Microsoft nimmt seit August 2025 keine neuen Kunden mehr für Azure Dedicated HSM an und bietet Support für Bestandskunden bis zum 31. Juli 2028. Neukunden sollten stattdessen Azure Cloud HSM, Managed HSM oder Azure Key Vault wählen. Vorhandene Schlüssel können nicht direkt von Dedicated HSM migriert werden, da die Schlüsselexportrichtlinie von Thales Luna HSM verhindert, dass private Schlüssel das Modul verlassen. Daher müssen neue Schlüssel im Nachfolgedienst erstellt werden.

Bring Your Own Key (BYOK) in Azure

Mit Bring Your Own Key (BYOK) können Sie einen Schlüssel in Ihrem eigenen Hardware-Sicherheitsmodul generieren und in Azure importieren, wodurch Sie die Kontrolle über die Schlüsselgenerierung behalten.

Bei BYOK wird der Schlüssel vor der Übertragung verschlüsselt (umhüllt), sodass er auf dem Weg zu Azure niemals im Klartext vorliegt. Nach dem Import in Azure Key Vault Premium oder Managed HSM verbleibt der Schlüssel innerhalb der FIPS 140-3 Level 3 HSM-Grenzen und kann für alltägliche kryptografische Operationen verwendet werden. BYOK ist in regulierten Branchen üblich, in denen das Unternehmen nachweisen muss, dass es das Schlüsselmaterial selbst generiert hat. Weitere Informationen zu Terminologie und Prozess finden Sie unter „Was ist BYOK?“.

Azure-Schlüsselverwaltung und Post-Quanten-Kryptographie

Die von Azure geschützten symmetrischen Schlüssel sind bereits quantenresistent, die RSA- und elliptischen Kurvenschlüssel, auf die die meisten Workloads angewiesen sind, jedoch nicht.

Ein großer Quantencomputer, der Shors Algorithmus ausführt, würde RSA und ECC, die asymmetrischen Algorithmen hinter den meisten Azure-Schlüsseln und -Zertifikaten, knacken. AES-256 bleibt sicher, da Grovers Algorithmus die effektive Sicherheit nur halbiert und somit eine Post-Quanten-Sicherheit von etwa 128 Bit verbleibt. Das NIST veröffentlichte seine ersten Post-Quanten-Standards im August 2024: ML-KEM (FIPS 203) für die Schlüsselkapselung sowie ML-DSA (FIPS 204) und SLH-DSA (FIPS 205) für Signaturen. Organisationen, die Schlüssel in Azure speichern, sollten erfassen, wo RSA und ECC verwendet werden, um die Migration zu diesen Algorithmen zu planen, sobald die Cloud-Unterstützung verfügbar ist.

Wie Verschlüsselungsberatung hilft

Die Cloud-Datenschutzdienste von Encryption Consulting unterstützen Sie bei der Konzeption und dem Betrieb des Schlüsselmanagements in Azure, einschließlich Azure Key Vault, Managed HSM und dem Wechsel von Azure Dedicated HSM zu Azure Cloud HSM. Unser Team berät Sie zu FIPS 140-3 Level 3-Konfiguration, BYOK, Schlüsselrotation und Zugriffskontrolle, damit Ihre Cloud-Schlüssel stets unter Ihrer Kontrolle bleiben. Wir analysieren außerdem, wo RSA und ECC in Ihrer gesamten Umgebung eingesetzt werden, um Ihnen die Planung einer Post-Quantum-Migration zu erleichtern. Unsere Dienstleistungen basieren auf ISO/IEC 27001:2022- und SOC 2-zertifizierten Verfahren.

Häufig gestellte Fragen

Was ist Microsoft Azure in einfachen Worten?

Microsoft Azure ist die Cloud-Computing-Plattform von Microsoft. Sie vermietet Rechenleistung, Speicherplatz, Datenbanken, Netzwerk- und Sicherheitsdienste über das Internet, sodass Unternehmen Anwendungen entwickeln und betreiben können, ohne eigene physische Server zu besitzen. Azure nutzt das globale Netzwerk von Microsoft-Rechenzentren und konkurriert mit Amazon Web Services und der Google Cloud Platform. Für die Datensicherheit speichern und schützen die Schlüsselverwaltungsdienste (Azure Key Vault, Managed HSM und Azure Cloud HSM) kryptografische Schlüssel.

Worin besteht der Unterschied zwischen Azure Key Vault, Managed HSM und Azure Cloud HSM?

Azure Key Vault ist ein mandantenfähiger Dienst: Die Standard-Tarifstufe schützt Schlüssel softwareseitig (FIPS 140-2 Level 1), während die Premium-Tarifstufe FIPS 140-3 Level 3-validierte HSMs nutzt. Managed HSM ist ein mandantenfähiger, FIPS 140-3 Level 3-zertifizierter Pool, den Sie selbst verwalten. Azure Cloud HSM ist ein mandantenfähiger HSM-Cluster und der Nachfolger des eingestellten Azure Dedicated HSM. Key Vault Premium und Managed HSM laufen auf Marvell LiquidSecurity-Hardware, die Microsoft im August 2025 auch für Azure Cloud HSM ausgewählt hat.

Welches FIPS-140-Level hat Azure Key Vault?

Azure Key Vault Standard ist nach FIPS 140-2 Level 1 validiert, da es Schlüssel softwareseitig schützt. Azure Key Vault Premium und Managed HSM verwenden nach FIPS 140-3 Level 3 validierte Marvell LiquidSecurity HSMs. Neue HSM-geschützte Schlüssel nutzen die FIPS 140-3 Level 3 Plattform, während einige ältere Premium-Schlüsselversionen möglicherweise noch auf der älteren FIPS 140-2 Level 2 Plattform laufen. Sie können das Attribut „hsmPlatform“ eines Schlüssels überprüfen, um festzustellen, welche Plattform ihn schützt.

Unterstützt Azure Key Vault das Bringen eigener Schlüssel (BYOK)?

Ja. Azure unterstützt Bring Your Own Key (BYOK). Damit können Sie einen Schlüssel in Ihrem eigenen lokalen HSM generieren und ihn in Azure Key Vault Premium oder Managed HSM importieren. Der Schlüssel wird während der Übertragung verschlüsselt (gekapselt), sodass er niemals im Klartext angezeigt wird, und anschließend innerhalb der Azure-HSM-Grenzen gespeichert. BYOK gibt Ihnen die Kontrolle über die Schlüsselgenerierung und ermöglicht Ihnen gleichzeitig die Nutzung von Azure-Diensten für Ihre täglichen kryptografischen Operationen.

Ist Azure Dedicated HSM noch verfügbar?

Azure Dedicated HSM wird eingestellt. Microsoft nimmt seit August 2025 keine neuen Kunden mehr an und bietet bestehenden Kunden Support bis zum 31. Juli 2028. Der Nachfolger ist Azure Cloud HSM, ein Single-Tenant-HSM-Cluster mit FIPS 140-3 Level 3-Zertifizierung. Neukunden sollten stattdessen Azure Cloud HSM, Managed HSM oder Azure Key Vault evaluieren. Vorhandene Schlüssel können aufgrund von Exportbeschränkungen von Thales Luna nicht direkt von Dedicated HSM migriert werden.

Welche Schlüsseltypen und Algorithmen unterstützt Azure Key Vault?

Azure Key Vault unterstützt RSA-Schlüssel mit 2048, 3072 und 4096 Bit sowie elliptische Kurvenschlüssel auf den Basistypen P-256, P-384, P-521 und P-256K. Symmetrische Schlüssel (AES) werden in Managed HSM, nicht aber im Standard-Key-Vault unterstützt. Für die Verschlüsselung empfiehlt Microsoft RSA-OAEP-256; die älteren Standards RSA-OAEP und RSA1_5 werden nur aus Gründen der Abwärtskompatibilität beibehalten. Zum Signieren werden RS256/RS384/RS512, PS256/PS384/PS512 und ECDSA (ES256, ES256K, ES384, ES512) unterstützt.

Schützen Sie Ihre Daten in der Cloud

Sind Sie bereit, Ihr Azure-Schlüsselmanagement optimal zu gestalten? Informieren Sie sich über Cloud Data Protection Services oder sprechen Sie mit einem Berater für Verschlüsselungsberatung.