Behalte die Kontrolle: Warum eigenes Key Management in der Cloud unverzichtbar ist

Der Begriff „Bring your own device“ ist mittlerweile in aller Munde. Die Konzepte „Bring your own Key“ und „Hold your own Key“ sind hingegen noch relativ unbekannt. Im Folgenden werden wir auf die Begriffe weiter eingehen und beleuchten, warum ein eigenes Key Management für Organisationen des öffentlichen Sektors unverzichtbar ist. 

Die Sicherheit von Daten in der Cloud hat sich als eine der zentralen Säulen moderner IT-Strategien etabliert. Für CISOs aus dem öffentlichen Bereich ist es unerlässlich, dass die in der Cloud gespeicherten sensiblen Informationen durch robuste Sicherheitsmaßnahmen geschützt sind. Das Key Management spielt hierbei eine entscheidende Rolle, da es die Grundlage für starke Datenverschlüsselung und Zugriffskontrollen bildet.

Die Nutzung von Cloud Services ohne ein externes, vom Cloud Service Provider unabhängiges Key Management birgt vielfältige Herausforderungen und Risiken. Ohne direkte Kontrolle über die Verschlüsselungsschlüssel sind Organisationen potenziellen Sicherheitsverletzungen ausgesetzt, die zu Datenverlust, Compliance-Verstößen und erheblichen Reputationsschäden führen können. Darüber hinaus erfordern gesetzliche Bestimmungen wie der US Cloud Act und die DSGVO eine sorgfältige Handhabung personenbezogener und sensibler Daten. Dies kann ohne externes Key Management nur schwer gewährleistet werden.

Im Folgenden wird erläutert, wie eigenständige Management der Schlüssel sowohl die Sicherheit erhöht als auch die Einhaltung regulatorischer Anforderungen unterstützt.

Der Begriff Key Management bezeichnet die Handhabung kryptografischer Schlüssel innerhalb einer Organisation. Die Verschlüsselung und Entschlüsselung von Daten ist ein wichtiger Aspekt des Datenschutzes. Dazu werden kryptografische Schlüssel verwendet, deren Verwaltung ein wesentlicher Bestandteil eines effektiven Key Management-Systems ist. Ein effektives Key Management-System (KMS) stellt sicher, dass die genannten Schlüssel sicher erzeugt, gespeichert, verteilt, angewendet und schließlich gelöscht oder archiviert werden.

Eine Organisation hat die Möglichkeit, die Verwaltung von Verschlüsselungsschlüsseln innerhalb des Systems oder der Anwendung, die die Schlüssel verwendet, einzurichten. Dies wird als internes Key Management bezeichnet. Bei der Auslagerung der Verwaltung der Schlüssel außerhalb des Systems spricht man von externem Key Management. Externes Key Management kann jedoch auf verschiedene Varianten betrieben werden.

• Bring your own key (BYOK): Bei BYOK behält die Organisation die Kontrolle über die Erzeugung und Verwaltung der Verschlüsselungsschlüssel, gibt sie jedoch an einen externen Dienstanbieter weiter. Die Organisation generiert die Schlüssel selbst und lädt sie anschließend in die Systeme oder Dienste des Anbieters hoch, die für die Verschlüsselung von Daten verwendet werden.
• Hold your own key (HYOK): Bei HYOK behält die Organisation nicht nur die Kontrolle über die Erzeugung und Verwaltung der Verschlüsselungsschlüssel, sondern behält auch die physische Kontrolle über die Schlüssel. Die Verschlüsselung und Entschlüsselung erfolgt ausschließlich durch die Organisation, wobei der externe Dienstanbieter keinerlei Zugriff auf die Schlüssel hat.

Der wesentliche Unterschied zwischen den beiden Herangehensweisen besteht darin, dass bei HYOK auch die physische Kontrolle des Schlüssels bei der Organisation liegt. HYOK bietet Ihnen die höchste Stufe an Kontrolle und Sicherheit. Das Risiko auf potenziellen Datenmissbrauch wird durch diesen Ansatz stark minimiert, da der Dienstanbieter nie in der Lage ist, auf die Daten zuzugreifen, selbst wenn er physischen Zugriff auf die Speichermedien hat.

Im nächsten Abschnitt werden wir auf weitere mögliche Risiken ohne eigenes und ausgelagertes Key Management eingehen und diese beleuchten.

Zugriff durch den US Cloud Act
Die Nutzung externer Cloud-Dienste ohne externes Key Management erhöht das Risiko, dass vertrauliche Daten durch staatliche Überwachungsmaßnahmen eingesehen werden können. Der US Cloud Act ermöglicht amerikanischen Behörden den Zugriff auf Daten, die von US-Unternehmen gespeichert werden, unabhängig davon, ob diese Daten auf Servern innerhalb oder außerhalb der USA liegen. Für europäische Organisationen bedeutet dies, dass Informationen, die durch US-Cloud-Anbieter ohne adäquates Key Management verwaltet werden, potenziell zugänglich sind. Dies wirft erhebliche Datenschutzbedenken auf.

Risiken durch Datenmissbrauch und Datenschutzverletzungen
Ohne eigenes, extern gestaltetes Key Management besteht ein erhöhtes Risiko des Datenmissbrauchs, da die Schlüssel zur Entschlüsselung der Daten nicht vollständig unter der Kontrolle der Organisation stehen. Dies kann zu Datenschutzverletzungen führen, wenn beispielsweise unautorisierte Dritte Zugang zu den Schlüsseln erlangen. Solche Verletzungen können nicht nur zu finanziellen Bußgeldern führen, sondern auch das Vertrauen von Kunden und Partnern nachhaltig beeinträchtigen.

Nachdem hier die Risiken beleuchtet wurden und deutlich geworden ist, wie wichtig ein eigenes funktionierendes Key Management System (KMS) ist, werden wir als nächstes auf die Vorteile eines eigenen Key Management eingehen.

Das eigene Key Management bietet mehrere Vorteile gegenüber der Abhängigkeit von den Standardverschlüsselungsdiensten, die von Cloud-Anbietern zur Verfügung gestellt werden:
 

• Compliance Konform: Organisationen haben die Möglichkeit, Verschlüsselungspolicies und -verfahren an spezifischen Anforderungen und Compliance-Vorgaben anzupassen. Dies ist insbesondere für den öffentlichen Sektor von entscheidender Bedeutung, um die Einhaltung der DSGVO zu gewährleisten oder um die Vorgaben der NIS2-Richtlinie zu erfüllen.
• Maßgeschneiderte Lösung: Eigene KMS ermöglichen eine maßgeschneiderte Sicherheitsstrategie, die speziell auf die Bedürfnisse und Sicherheitsanforderungen der Organisation zugeschnitten ist. Dies ist oft nicht möglich, wenn man sich auf die Standard-Tools und -Protokolle von Cloud-Anbietern verlässt.
• Schutz vor unbefugtem Zugriff durch Dritte: Die Verwendung eines eigenen Key Managements ermöglicht es Organisationen, ihre Daten vor potenziellen Bedrohungen durch unbefugten Zugriff Dritter zu schützen. Selbst bei einem erfolgreichen Angriff auf die Cloud sind die Daten ohne den entsprechenden Schlüssel nutzlos. Dies erhöht die Sicherheit Ihrer Daten, insbesondere in Umgebungen, in denen ein höheres Risiko für Datenlecks oder Angriffe besteht.
• Trennung von Berechtigungen: Sind die Berechtigungsstrukturen in der Cloud schon recht feingranular, so ist es möglich durch eigenes Key Management die Schlüsselhoheit über zentrale Sicherheitsschlüssel auf einen kleinen Nutzerkreis zu reduzieren.
  
  Die Implementierung eines eigenen Key Managements durch Organisationen ermöglicht die Aufrechterhaltung einer robusten Sicherheitslage, die sowohl flexible als auch kompatible Lösungen in Bezug auf EU-Datenschutzstandards bietet. Als nächstes werden wir darauf eingehen, was passieren kann, wenn kein eigenes Key Management implementiert wurde.

• Ein bekanntes Beispiel ist der Vorfall bei einem großen internationalen Unternehmen, bei dem Hacker Zugriff auf die unzureichend gesicherten Daten eines Hyperscaler-Cloud-Anbieters erlangten und sensible Daten veröffentlichten. Dies führte zu erheblichen Schäden wie Vertrauensverlust in die Sicherheitsmaßnahmen des Unternehmens und hohen Schadenersatzzahlungen.
• Ein weiterer Fall betrifft die Kompromittierung persönlicher Daten von Millionen von Nutzern einer Gesundheitsplattform. Die Schlüssel wurden in einer öffentlichen Cloud ohne angemessenes Management gespeichert. Die daraus resultierende Verletzung der Datenschutzbestimmungen führte zu empfindlichen Strafen und rechtlichen Konsequenzen.
   

Anhand dieser Beispiele wird deutlich, dass die Risiken bei Verzicht auf ein eigenes Key Management weitreichend sein können. Sie unterstreichen die Notwendigkeit für Organisationen, insbesondere im öffentlichen Sektor, eine eigenständige und sichere Schlüsselverwaltung zu implementieren, um die Sicherheit und Vertraulichkeit ihrer Daten zu gewährleisten.

• Zusätzliche Verschlüsselung: Bei Magenta Security Key Management.ID kommt eine doppelte Verschlüsselungstechnik zum Einsatz. Dabei werden die Daten zunächst mit einem Schlüssel verschlüsselt, der dann selbst wieder mit einem zweiten Schlüssel verschlüsselt wird. Diese Methode erhöht die Sicherheit der Daten erheblich, da selbst im Falle einer Kompromittierung eines Schlüssels die Daten ohne den zweiten Schlüssel nicht entschlüsselt werden können.
   
• Compliance mit DSGVO und anderen relevanten Regulierungen: Das System ist so konzipiert, dass es vollständig mit der Europäischen Datenschutz-Grundverordnung (DSGVO) sowie anderen relevanten Sicherheitsstandards und Regulierungen übereinstimmt. Es gewährleistet, dass alle Datenschutzanforderungen erfüllt sind, indem es eine sichere Speicherung und Handhabung der Schlüssel innerhalb der EU sicherstellt.

• Erhöhte Cloudsicherheit: Durch die zusätzliche Verschlüsselung durch Magenta Security Key Management.ID schützen sich Organisationen vor dem Datenmissbrauch im Falle eines Einbruchs in die Hyperscaler-Cloud
• Flexibilität und Skalierbarkeit: Magenta Security Key Management.ID bietet eine flexible und skalierbare Lösung, die sich leicht an die wachsenden Sicherheitsanforderungen von Organisationen anpassen lässt.
• DSGVO Konformität durch unser Trust Center: Die Lösung unterstützt die DSGVO-Konformität durch die Verwaltung ihrer zentralen Datenschlüssel der Hyperscaler-Clouds in unserem in Deutschland betriebenen Trust Center.
• Multicloud-Schlüsselverwaltung: Mit unserer Lösung können Organisationen das Management kryptografischer Schlüssel für mehrere Clouds und Technologien (AWS, GCP, KMIP, NAE) an einer zentralen Stelle durchführen.
• BYOK und HYOK: Mit unserer Lösung ist sowohl die Methode BYOK als auch HYOK möglich, welche wir ersten Abschnitt beschrieben haben.
   

Mit Magenta Security Key Management.ID bieten wir eine technische Lösung, die die sichere und effiziente Gestaltung von Cloud-Operationen ermöglicht. Gleichzeitig erfüllen wir die rechtlichen Anforderungen zum Schutz sensibler Daten.

Die Landschaft der Cloud-Sicherheit unterliegt einem rasanten Wandel. Dieser wird durch die zunehmende Verbreitung von Cloud-Technologien sowie die wachsende Komplexität von Cyber-Bedrohungen angetrieben. Ein wichtiger Trend in diesem Bereich ist die zunehmende Adoption von Multi-Cloud-Strategien. Diese bieten Unternehmen zwar Flexibilität, bergen jedoch auch neue Sicherheitsherausforderungen. In diesem Kontext gewinnt ein eigenes und externes Key Management zunehmend an Bedeutung, da es die Sicherheit über verschiedene Cloud-Plattformen hinweg zentralisiert und standardisiert.

Weiterhin gewinnt das Konzept des Zero Trust, bei dem grundsätzlich keinem Zugriff ohne Verifizierung vertraut wird, an Bedeutung. Key Management spielt hier eine zentrale Rolle, indem es sicherstellt, dass Zugriffsrechte und Verschlüsselungsprotokolle strikt durchgesetzt werden. Auch Technologien wie Künstliche Intelligenz und maschinelles Lernen werden zunehmend eingesetzt, um Key Management-Systeme intelligenter zu machen und automatisierte Entscheidungen über Schlüsselrotationen und -erneuerungen zu treffen.

Ein eigenes Key Management ist mehr als nur eine technische Sicherheitsmaßnahme. Es ist eine strategische Investition, die wesentlich zur Resilienz, Compliance und Wettbewerbsfähigkeit eines Unternehmens beiträgt. Die Gewährleistung der Kontrolle und Sicherheit kritischer Daten ist für Unternehmen von zentraler Bedeutung, um das Vertrauen von Kunden und Partnern zu gewinnen und gleichzeitig regulatorischen Anforderungen gerecht zu werden.

Die Telekom Security zählt zu den größten IT-Dienstleistern für den öffentlichen Sektor in Deutschland. In zahlreichen Projekten haben wir erfolgreich mit dem Bundesamt für Sicherheit in der Informationstechnik zusammengearbeitet. Auf diese Weise konnten wir umfangreiche Erfahrungen in der Digitalisierung und Absicherung des öffentlichen Sektors sammeln.

Speziell im Bereich Public Key Infrastructure (PKI) und Key Management sind wir seit Jahren tätig und stellen mit unserem Trust Center unter anderem die Echtheit aller elektronischen Tickets des ÖPNV in Deutschland sicher. Selbstverständlich stellen wir Ihnen unsere Expertise auf Anfrage zur Verfügung. Bei weiterem Interesse an dem Thema Identity Security können Sie sich gerne unser Whitepaper anschauen, um einen umfassenden Überblick zu bekommen.