Souveränität und Verschlüsselung Wie Hyperscaler Kundendaten in Sovereign Clouds verschlüsseln

Anbieter zum Thema

Insider Research

netfiles GmbH

Cloudgermany.de GmbH

Verschlüsselung wird als zentraler Baustein für die Erreichung einer digitalen Souveränität im Cloud Computing gesehen, allerdings nur dann, wenn Schlüssel- sowie Identitäts- und Zugriffsmanagement in der eigenen Hand liegen. Wie sieht dies bei den Hyperscalern und ihren Angeboten im Bereich Sovereign Cloud aus?

Digitale Souveränität und die Cloud

„Für eine sichere Digitalisierung benötigen wir Digitale Souveränität“, erklärt das Bundesamt für Sicherheit in der Informationstechnik (BSI). Darunter versteht das BSI „die Fähigkeiten und Möglichkeiten von Individuen und Institutionen, ihre Rolle(n) in der digitalen Welt selbstständig, selbstbestimmt und sicher ausüben zu können“.

Nutzt man „internationale Produkte“, müssen diese technisch so angepasst oder eingebettet werden, dass ein sicherer und selbstbestimmter Einsatz möglich wird, so das BSI. Ziel ist es demnach, eine unkontrollierte technische Steuerung durch Akteure außerhalb der EU sowie Datenabfluss technisch unmöglich zu machen.

Ein wesentlicher Baustein dafür sind kryptographische Verfahren. Sie schützen vor Datenabflüssen an Dritte und auch vor dem Zugriff des Providers selbst, wenn Schlüssel- sowie Identitäts- und Zugriffsmanagement in der eigenen Hand liegen. Die Daten liegen damit zu jedem Zeitpunkt verschlüsselt vor und nur der Kunde hat die notwendigen Schlüssel, um sie lesbar zu machen, wie das BSI erläutert.

Doch wie steht es um das Schlüsselmanagement in der Cloud?

Was die Hyperscaler sagen und anbieten

Digitale Souveränität ist nicht schwarz-weiß, sondern ein Spektrum, das Entscheidungen ermöglicht, erklärt zum Beispiel Microsoft: „Während für globale Finanzinstitute beispielsweise Verschlüsselung und regulatorische Compliance im Vordergrund stehen, legen andere Branchen möglicherweise den Fokus auf vollständige Autonomie über ihre digitale Infrastruktur und operative Unabhängigkeit. Behörden wiederum bestehen in vielen Fällen auf transparente, nachvollziehbare Kontrolle über Zugriffe.“

Offensichtlich ist „providerunabhängige Verschlüsselung“ ein möglicher Baustein in Richtung digitaler Souveränität, aber nicht alles. Trotzdem ist der Blick auf die Umsetzung des Schlüsselmanagements für die Cloud-Sicherheit wichtig. So spielt es für Confidential Cloud Computing eine zentrale Rolle, bei dem insbesondere auch Providerzugriffe auf die Cloud-Daten der Kunden selbst während der Verarbeitung verhindert werden sollen.

Zu den „souveränen Lösungen“ von Microsoft, die europäische Organisationen unterstützen sollen, gehört auch External Key Management zur Erweiterung von Azure Managed HSM: Die Verschlüsselung unter der vollen Kontrolle der Kunden bietet eine zusätzliche Garantie für Datenschutz, so Microsoft. Bei der externen Schlüsselverwaltung können demnach Kunden Azure mit Schlüsseln verbinden, die auf ihrem eigenen Hardware-Sicherheitsmodul (HSM) vor Ort oder bei einem vertrauenswürdigen Drittanbieter gespeichert sind. Microsoft arbeitet mit HSM-Herstellern wie Futurex, Thales und Utimaco zusammen.

Auch bei Google gibt es einen Cloud External Key Manager: Die Kunden bestimmen demnach die Position und Verteilung ihrer extern verwalteten Schlüssel. Extern verwaltete Schlüssel werden laut Google nie im Cache von Google Cloud oder direkt dort gespeichert. Stattdessen kommuniziert Cloud EKM bei jeder Anfrage direkt mit dem Partner für die externe Schlüsselverwaltung. Die Kunden verwalten den Zugriff auf ihre extern verwalteten Schlüssel in ihrem externen Schlüsselmanager. Kunden können einen extern verwalteten Schlüssel in Google Cloud erst verwenden, wenn sie dem Google Cloud-Projekt Zugriff auf den Schlüssel in ihrem externen Schlüsselverwaltungssystem gewähren. Sie können die erteilten Zugriffsrechte jederzeit entziehen.

AWS bietet externe Schlüsselspeicher-Proxy („XKS-Proxy“) als kundeneigene und -verwaltete Softwareanwendung, die die gesamte Kommunikation zwischen AWS KMS (Key Management Service) und dem externen Schlüsselmanager vermittelt. XKS-Proxy übersetzt generische AWS KMS-Anfragen in ein Format, das der anbieterspezifische externe Schlüsselmanager versteht, so AWS. Für einen externen Schlüsselspeicher ist ein externer Schlüsselspeicher-Proxy erforderlich. Jedem externen Schlüsselspeicher ist ein externer Schlüsselspeicher-Proxy zugeordnet. AWS KMS kann keine externen Schlüssel erstellen, löschen oder verwalten, wie AWS betont. Das kryptografische Schlüsselmaterial verlässt demnach niemals den externen Schlüsselmanager. Die gesamte Kommunikation zwischen AWS KMS und dem externen Schlüsselmanager wird über den externen Schlüsselspeicher-Proxy vermittelt.

Was die Datenschützer zu bedenken geben

Mit Blick auf Confidential Cloud Computing, mit dem Providerzugriffe auf Cloud-Daten auch während der Verarbeitung verhindert werden sollen, unterstreichen auch die Datenschutzaufsichtsbehörden die Bedeutung eines providerunabhängigen Schlüsselmanagements: „Tatsächliche Geheimhaltung vor dem Cloud-Betreiber (als Organisation) ist nur gewährleistet, wenn die Daten zu jedem Zeitpunkt so verschlüsselt sind, dass der Cloud-Betreiber den zur Entschlüsselung notwendigen Schlüssel nicht in Erfahrung bringen oder nutzen kann“.

„Pssst…vertraulich!“

Cloud Computing mit Laufzeit-Verschlüsselung

Die Datenschützer geben zu bedenken: Ein besonderes Augenmerk sollte hier auf die Übergänge zwischen den verschiedenen „Verschlüsselungsdomänen“ gelegt werden, etwa der Übergang von „data-at-rest“ zu „data-in-use“. Wenn bei solchen Übergängen ein Wechsel der eingesetzten Schlüssel vorgenommen würde, und zu diesem Zweck eine kurzzeitige Entschlüsselung der Daten stattfinde, lägen die Daten möglicherweise kurzzeitig in unverschlüsselter Form vor.

Wie sicher die Schlüssel sind und wie providerunabhängig damit die Verschlüsselung ist, kommt also immer auf die genauen Sicherheitsprozesse an. Cloud-Betreiber müssen aus Sicht der Datenschützer nachweisen, dass sie zu keinem Zeitpunkt die Möglichkeit haben, die Verschlüsselung zu manipulieren (z. B. durch Machine-in-the-Middle-Angriffe oder den Austausch eines Nutzenden-Schlüssels durch einen selbst gewählten Schlüssel).

Die Hyperscaler stellen dar, wie sie die Sicherheit eines externen Schlüsselmanagements von ihrer Seite her gewährleisten wollen. Gefragt sind aber auch die Betreiber oder Hersteller des externen Schlüsselmanagements und die Kunden selbst. Nur wenn alle beteiligten Stellen bei dem Schlüsselmanagement technisch, organisatorisch und rechtlich für die unabhängige Verschlüsselung sorgen (können), kann die Verschlüsselung auch ihren Beitrag zum Confidential Computing und zur digitalen Souveränität leisten.

(ID:50640978)