BYOK (Bring Your Own Key)

Ausführliche Erklärung

Bei der klassischen Cloud-Nutzung generiert und verwaltet der Cloud-Anbieter sowohl die Verschlüsselungsschlüssel als auch die verschlüsselten Daten selbst. Das ist zwar komfortabel, bedeutet aber auch, dass der Anbieter letztlich die Kontrolle über den Zugang zu den Daten hat. BYOK ändert diese Situation: Das Unternehmen erzeugt die kryptografischen Schlüssel selbst – typischerweise in einer sicheren Umgebung wie einem Hardware Security Module (HSM) – und lädt sie dann verschlüsselt in den Key Management Service (KMS) des Cloud-Anbieters hoch. Dort werden die Schlüssel für die Verschlüsselung und Entschlüsselung der Cloud-Daten verwendet.

Für KMU ist BYOK besonders relevant, wenn sensible Daten in Cloud-Plattformen wie Microsoft Azure, AWS oder Google Cloud gespeichert werden. BYOK bietet erhöhte Kontrolle über die eigenen Daten und unterstützt die Einhaltung von Compliance-Anforderungen wie DSGVO, HIPAA oder branchenspezifischen Vorgaben. Unternehmen können bei Bedarf den Zugriff auf ihre Daten widerrufen, indem sie den Schlüssel deaktivieren oder löschen – eine sogenannte Kill-Switch-Funktion. Allerdings verbleiben die Schlüssel nach dem Upload in der Infrastruktur des Cloud-Anbieters, wodurch dieser theoretisch Zugriff darauf haben kann, etwa bei behördlichen Anordnungen.

Abzugrenzen ist BYOK von HYOK (Hold Your Own Key): Bei HYOK verlassen die Schlüssel die eigene Infrastruktur niemals, die Verschlüsselung erfolgt komplett außerhalb der Cloud-Umgebung. HYOK bietet maximale Kontrolle, ist jedoch technisch aufwendiger. BYOK stellt einen Mittelweg dar zwischen der Bequemlichkeit anbietergesteuerter Verschlüsselung und der vollständigen Kontrolle durch HYOK.