Publikation von Christoph Puppe
Kammer der Schlüssel: Key Management in Public Clouds
Verschlüsselung ist wie Magie: Richtig angewendet soll sie alles sicher machen, auch in der öffentlichen Cloud. Doch jede Verschlüsselung ist nur so gut wie der Schutz der Schlüssel, und den besten bieten Hardwaresicherheitsmodule (HSM): gegen Manipulation gesicherte Hardware, die Schlüssel erzeugt, verwahrt und signiert. Der Artikel vergleicht die Angebote von AWS, Google, Microsoft, Equinix, Thales, Townsend und Utimaco anhand von Cloud-HSM, Bring Your Own Key, APIs wie PKCS #11 und KMIP, Protokollierung und Zertifizierung. Die Betriebsmodelle unterscheiden sich deutlich: AWS integriert HSM-Partitionen in seinen Key Management Service und erlaubt 3500 Schlüssel pro Cluster, Google reserviert Mandanten auf Cavium-HSMs, Azure Key Vault erreicht FIPS 140-2 Level 2 und erst mit dem Dedicated-HSM Level 3. Die Grenzen benennt der Text ebenso deutlich: Das Quorum-Prinzip der On-Premises-HSMs beherrschen die Cloud-Varianten meist nicht, keines der Angebote war nach der deutschen VSA zertifiziert, und ob Daten im Speicher des Anbieters wirklich verschlüsselt lagen, kann der Kunde prinzipiell nicht nachweisen; er muss hoffen, dass die C5-Auditoren verifizieren statt abzuschreiben. Wichtig bleibt der Vertrauensanker: Der Signaturschlüssel einer eigenen Zertifizierungsstelle entsteht im HSM oder wandert per BYOK verschlüsselt dorthin und verlässt es nie. Das Fazit: Ein Cloud-HSM schafft eine zentrale Schlüsselverwaltung mit klaren Prozessen und ermöglicht den Cloud-Einsatz oft erst, weil viele Sicherheitsstandards den Schutzbedarf verschlüsselter Daten deutlich reduzieren. Wer die Kontrolle behalten will, muss Authentifizierung und Schlüsselverwaltung regelmäßig kontrollieren.