Was ist Multi-Cloud-Schlüsselverwaltung?

Multi-Cloud-Schlüsselmanagement ist die Praxis, Verschlüsselungsschlüssel über zwei oder mehr Cloud-Anbieter hinweg von einem zentralen System aus zu steuern, sodass Schlüsselerstellung, Speicherung, Rotation, Zugriffsrichtlinien und Auditierung unabhängig davon, in welcher Cloud die Daten gespeichert sind, konsistent bleiben.

Multi- Cloud-Schlüsselmanagement nutzt eine zentrale Plattform, um Verschlüsselungsschlüssel für Cloud-Anbieter wie AWS, Microsoft Azure und Google Cloud zu generieren, zu speichern, zu rotieren und zu verwalten. Anstatt die jeweiligen Schlüsseldienste der Anbieter separat zu betreiben, verwalten Teams alle Schlüssel über eine einzige Konsole. Dies senkt die Betriebskosten und gewährleistet eine konsistente kryptografische Kontrolle über alle Clouds hinweg.

Wichtige Erkenntnisse

• Die Multi-Cloud-Schlüsselverwaltung zentralisiert die Kontrolle über Verschlüsselungsschlüssel in AWS, Azure und Google Cloud und ersetzt drei separate native Schlüsseldienste durch eine einheitliche Richtlinie, ein einheitliches Zugriffsmodell und einen einheitlichen Prüfpfad.
• BYOK (Bring Your Own Key) importiert Ihren Schlüssel in den Schlüsseldienst des Cloud-Anbieters; HYOK (Hold Your Own Key) bewahrt den Schlüssel in einem Hardware-Sicherheitsmodul auf, das Sie kontrollieren, und gibt das Schlüsselmaterial niemals an den Anbieter weiter.
• Alle drei großen Cloud-Anbieter unterstützen die externe Schlüsselverwaltung: AWS External Key Store (XKS), Azure Key Vault Managed HSM (in der Vorschauphase) und Google Cloud External Key Manager (Cloud EKM).
• Die FIPS-Validierung variiert je nach Stufe: AWS KMS ist nach FIPS 140-3 Level 3 validiert, Azure Managed HSM ist nach FIPS 140-3 Level 3 validiert und Google Cloud HSM ist nach FIPS 140-2 Level 3 validiert. Wählen Sie die Stufe, die Ihren regulatorischen Anforderungen entspricht.
• Ein einheitliches Schlüssel- und Algorithmeninventar für jede Cloud ist der Ausgangspunkt für die Migration zu den Post-Quanten-Standards, die das NIST im August 2024 veröffentlicht hat: FIPS 203, 204 und 205.

Wie die Schlüsselverwaltung in Multi-Cloud-Umgebungen funktioniert

Die Multi-Cloud-Schlüsselverwaltung platziert eine Steuerungsebene vor den nativen Schlüsseldiensten jedes Cloud-Anbieters, sodass die Schlüssel überall den gleichen Lebenszyklus durchlaufen.

1. Verbinde die Wolken: Die Plattform authentifiziert sich gegenüber dem jeweiligen nativen Schlüsselverwaltungsdienst des Anbieters (AWS KMS, Azure Key Vault, Google Cloud KMS) unter Verwendung des Zugriffsmodells dieses Anbieters.
2. Eine Richtlinie festlegen: Wichtige Rotationspläne, Zugriffsregeln und Funktionstrennungsmechanismen werden einmal definiert und auf alle verbundenen Clouds angewendet.
3. Wählen Sie das Vertrauensmodell: Entscheiden Sie für jeden Schlüssel, ob er vom Cloud-Anbieter generiert wird, ob Sie ihn importieren (BYOK) oder ob er in einem externen HSM verbleibt, das Sie kontrollieren (HYOK).
4. Bedienung über eine Konsole: Schlüssel erstellen, rotieren, deaktivieren und widerrufen sowie ein einheitliches Audit-Protokoll abrufen, ohne sich bei jedem Anbieter separat anmelden zu müssen.
5. Cloud-Daten verschlüsseln: Cloud-Dienste nutzen diese Schlüssel, um ruhende Daten durch vom Kunden verwaltete Verschlüsselungsschlüssel zu schützen, während die Steuerungsebene jeden Vorgang aufzeichnet.

Die meisten Cloud-Anbieter verwenden Envelope-Verschlüsselung: Ein lokaler Datenverschlüsselungsschlüssel (DEK) verschlüsselt die Daten, und ein im Schlüsseldienst gespeicherter Schlüsselverschlüsselungsschlüssel (KEK) verschlüsselt den DEK. Multi- Cloud-Schlüsselmanagement sorgt für die einheitliche Verwendung dieser KEKs über alle Anbieter hinweg.

Native KMS vs BYOK vs HYOK

Die zentrale Entscheidung beim Multi-Cloud-Schlüsselmanagement ist, wer das Schlüsselmaterial generiert und verwahrt: der Cloud-Anbieter oder Sie selbst.

Modell	Wer besitzt den Schlüssel?	Kontrollebene	Am besten geeignet,
Native KMS	Der Cloud-Anbieter generiert und speichert den Schlüssel	Anbietergesteuert; geringster operativer Aufwand	Allgemeine Arbeitslasten ohne strenge Regeln zur Schlüsselhoheit
BYOK	Sie generieren den Schlüssel und importieren ihn anschließend in den Schlüsseldienst des Anbieters.	Sie steuern die Generierung; der Anbieter speichert und verwendet den Schlüssel weiterhin.	Nachweis der Kontrolle über den wichtigsten Ursprung für die Einhaltung der Vorschriften
HYOK	Der Schlüssel verbleibt in einem externen HSM, das Sie betreiben; der Anbieter erhält ihn niemals.	Höchste Priorität; der Anbieter kann das Schlüsselmaterial weder einsehen noch exportieren.	Regulierte Daten, deren Schlüssel physisch außerhalb der Cloud aufbewahrt werden müssen

HYOK wird über externe Key-Store-Proxys implementiert. AWS nennt dies einen externen Key Store (XKS), der AWS-KMS-Anfragen an einen von Ihnen betriebenen externen Key-Manager weiterleitet. Azure Key Vault Managed HSM bietet zusätzlich eine externe Key-Verwaltung (derzeit in der Vorschauphase), die Schlüsselmaterial in Ihrem eigenen HSM außerhalb der Azure-Rechenzentren speichert. Google Cloud bietet den Cloud External Key Manager (Cloud EKM), mit dem Cloud KMS Schlüssel eines Drittanbieter-Key-Managers verwenden kann.

Vergleich der Schlüsselverwaltung von Cloud-Anbietern

Jede der großen Cloud-Plattformen bietet einen nativen Schlüsseldienst, eine dedizierte HSM-Ebene und einen externen Schlüsselspeicher an, validiert jedoch auf unterschiedlichen FIPS-Ebenen und verwendet unterschiedliche APIs.

Capability	AWS	Microsoft Azure	Cumolocity
Nativer Schlüsseldienst	AWS-KMS	Azure Key Vault	Cloud KMS
Dediziertes HSM	AWS CloudHSM	Key Vault Managed HSM	Cloud-HSM
Höchste FIPS-Validierung	KMS: FIPS 140-3 Level 3; CloudHSM: FIPS 140-3 Level 3	Verwaltetes HSM: FIPS 140-3 Level 3	Cloud-HSM: FIPS 140-2 Level 3
Externer Schlüsselspeicher (HYOK)	Externer Schlüsselspeicher (XKS)	Managed HSM externe Schlüsselverwaltung (Vorschau)	Cloud External Key Manager (Cloud EKM)
BYOK-Import	Ja	Ja	Ja (Schlüsselimport)

Diese Unterschiede sind der Grund für die Notwendigkeit des Multi-Cloud-Schlüsselmanagements. Die manuelle Verwaltung von drei verschiedenen APIs, drei Richtlinienmodellen und drei Audit-Formaten führt zu Kosten und Inkonsistenzen. Eine einheitliche Steuerungsebene normalisiert alle drei.

Warum Multi-Cloud-Schlüsselverwaltung wichtig ist

Die Verwaltung von Schlüsseln in Multi-Cloud-Umgebungen ist deshalb wichtig, weil die Verschlüsselung nur so stark ist wie die Kontrolle über ihre Schlüssel, und diese Kontrolle zerfällt, sobald Daten über verschiedene Anbieter verteilt werden.

• Datensicherheit: Die Schlüssel unterliegen einer einheitlichen Richtlinie, unabhängig davon, in welcher Cloud die Daten gespeichert werden. Daher wird eine schwache Standardeinstellung bei einem Anbieter nicht zum schwächsten Glied.
• Kundenbindung: Vorschriften wie z DatenschutzPCI DSS und HIPAA fordern nachweisbare Kontrolle über kryptografische Schlüssel. Ein einziger Audit-Trail über verschiedene Clouds hinweg ist wesentlich einfacher zu dokumentieren als drei.
• Wichtigste Souveränitätsrechte: HYOK-Modelle speichern wichtige Daten auf Hardware, die Sie kontrollieren, sodass der Cloud-Anbieter weder darauf zugreifen noch sie exportieren kann. Dies erfüllt die Anforderungen an Datenresidenz und Datensouveränität.
• Geschäftskontinuität: Zentralisiertes Schlüsselmanagement bedeutet, dass ein Ausfall eines einzelnen Anbieters Sie nicht von den Schlüsseln ausschließt, die Sie für den Zugriff auf Daten in anderen Clouds benötigen.
• Krypto-Agilität: Ein einziges Inventar an Schlüsseln und Algorithmen ermöglicht es, die Kryptographie konsistent zu rotieren oder zu ersetzen, was die Grundlage für die Post-Quanten-Bereitschaft bildet.

Multi-Cloud-Schlüsselverwaltung und Post-Quantum-Bereitschaft

Die Multi-Cloud-Schlüsselverwaltung ist der Punkt, an dem die Migration nach der Quantentechnologie beginnt, denn man kann keine Kryptographie migrieren, die man nicht sehen kann.

Ein Quantencomputer, der Shors Algorithmus ausführt, kann die RSA- und Elliptische-Kurven-Schlüssel knacken, die heute die meisten Cloud-Daten schützen. Das NIST veröffentlichte im August 2024 seine ersten Post-Quanten-Standards: FIPS 203 (ML-KEM, Schlüsselkapselung), FIPS 204 (ML-DSA, digitale Signaturen) und FIPS 205 (SLH-DSA, Hash-basierte Signaturen). Die CNSA-2.0-Richtlinie der NSA zielt auf quantenresistente Algorithmen für nationale Sicherheitssysteme der USA ab. AES-256 bleibt sicher, da Grovers Algorithmus dessen effektives Sicherheitsniveau nur halbiert.

Der erste praktische Schritt ist ein zentrales, maßgebliches Verzeichnis aller Schlüssel, Algorithmen und Schlüssellängen, die in all Ihren Clouds verwendet werden. Eine zentrale Schlüsselverwaltungsplattform erstellt genau dieses Verzeichnis und bildet daher die Grundlage jedes glaubwürdigen Post-Quantum-Plans.

Wie Verschlüsselungsberatung hilft

Die Cloud-Datenschutzdienste von Encryption Consulting unterstützen Sie bei der Konzeption und dem Betrieb Ihres Schlüsselmanagements in AWS, Azure und Google Cloud. Unser Team analysiert Ihre Anforderungen an Datenresidenz und Compliance, wählt die optimale Kombination aus nativem KMS, BYOK und HYOK für jede Arbeitslast aus und integriert externe Schlüsselspeicher wie AWS XKS, Azure Managed HSM und Google Cloud EKM. Die HSM-Dienste von Encryption Consulting verankern diese Schlüssel anschließend in FIPS-konformer Hardware. Alle Projekte entsprechen den Standards ISO/IEC 27001:2022 und SOC 2.

Häufig gestellte Fragen

Was ist Multi-Cloud-Schlüsselverwaltung in einfachen Worten?

Multi-Cloud-Schlüsselmanagement ist ein zentrales System zum Erstellen, Speichern, Rotieren und Verwalten von Verschlüsselungsschlüsseln für mehrere Cloud-Anbieter wie AWS, Microsoft Azure und Google Cloud. Anstatt sich bei jedem Anbieter separat bei dessen Schlüsseldienst anzumelden, verwalten Sie alle Schlüssel über eine zentrale Konsole mit einheitlichen Richtlinien, Zugriffskontrollen und Protokollierung für alle Ihre Clouds.

Worin besteht der Unterschied zwischen BYOK und HYOK?

BYOK (Bring Your Own Key) bedeutet, dass Sie Ihren Schlüssel selbst generieren und in den Schlüsselverwaltungsdienst des Cloud-Anbieters importieren. Der Anbieter speichert und verwendet das Schlüsselmaterial weiterhin. HYOK (Hold Your Own Key) bedeutet, dass der Schlüssel niemals in die Cloud gelangt: Er verbleibt in einem von Ihnen kontrollierten Hardware-Sicherheitsmodul, und die Cloud greift bei jeder kryptografischen Operation darauf zu. HYOK bietet mehr Souveränität; BYOK ist einfacher zu handhaben.

Unterstützen AWS, Azure und Google Cloud die externe Schlüsselverwaltung?

Ja. AWS bietet External Key Store (XKS) an, der AWS-KMS-Operationen an einen externen Schlüsselmanager weiterleitet. Azure Key Vault Managed HSM bietet zusätzlich externes Schlüsselmanagement (derzeit in der Vorschauphase), wobei Schlüsselmaterial in Ihrem eigenen HSM außerhalb von Azure-Rechenzentren gespeichert wird. Google Cloud bietet Cloud External Key Manager (Cloud EKM), mit dem Cloud KMS Schlüssel eines Drittanbieter-Schlüsselmanagers verwenden kann. Alle drei unterstützen das HYOK-Modell.

Welches FIPS-Level erfüllen Cloud-Key-Management-Dienste?

Das hängt vom gewählten Tarif ab. AWS KMS und AWS CloudHSM sind nach FIPS 140-3 Level 3 validiert. Azure Key Vault Managed HSM ist ebenfalls nach FIPS 140-3 Level 3 validiert. Google Cloud HSM ist nach FIPS 140-2 Level 3 validiert, während die Software-Schlüssel von Cloud KMS ein nach FIPS 140-3 Level 1 validiertes Modul verwenden. Wählen Sie den Tarif passend zu Ihren regulatorischen Anforderungen und gehen Sie nicht davon aus, dass der Standardtarif diese erfüllt.

Warum sollte man eine Multi-Cloud-Schlüsselverwaltungslösung anstelle des jeweiligen nativen KMS jeder Cloud verwenden?

Native Schlüsseldienste unterscheiden sich hinsichtlich APIs, Richtlinienmodellen, Schlüsselrotationsverhalten und Auditformaten. Ihre separate Verwaltung verursacht daher zusätzliche Betriebskosten und inkonsistente Kontrollen. Eine Multi-Cloud-Schlüsselmanagementlösung bietet eine zentrale Richtlinien-Engine, einen einheitlichen Audit-Trail und eine zentrale Plattform zur Durchsetzung der Aufgabentrennung über alle Anbieter hinweg. Sie unterstützt zudem Krypto-Agilität und ermöglicht die konsistente Rotation oder Migration von Algorithmen im Zuge der Einführung neuer Post-Quanten-Standards.

Hilft die Schlüsselverwaltung in mehreren Clouds bei der Vorbereitung auf die Zeit nach der Quantencomputer-Ära?

Ja. Zentralisiertes Schlüsselmanagement bietet Ihnen ein einziges Verzeichnis der in allen Clouds verwendeten Schlüssel und Algorithmen – die Grundlage für jede Post-Quanten-Migration. Das NIST veröffentlichte seine ersten Post-Quanten-Standards im August 2024 (FIPS 203, 204 und 205), und CNSA 2.0 zielt auf quantenresistente Algorithmen für US-amerikanische nationale Sicherheitssysteme ab. Kryptografie, die man nicht einsehen kann, lässt sich nicht migrieren. Ein zentrales, maßgebliches Schlüsselverzeichnis macht den Übergang daher beherrschbar.

Schützen Sie Ihre Daten in jeder Cloud

Sind Sie bereit, Ihre Verschlüsselungsschlüssel unter einer einheitlichen Richtlinie zusammenzuführen? Informieren Sie sich über Cloud-Datenschutzdienste oder sprechen Sie mit einem Berater für Verschlüsselungsberatung.