Definition Bring Your Own Key (BYOK) Was ist BYOK (Bring Your Own Key)?

Bring Your Own Key beschreibt ein Konzept zur verschlüsselten Speicherung von Daten auf der Plattform eines Cloud-Anbieters. Nicht der Anbieter generiert und verwaltet das hierfür notwendige Schlüsselmaterial, sondern der User beziehungsweise der Kunde. BYOK bietet ein erhöhtes Sicherheitsniveau. Für noch mehr Sicherheit sind Konzepte wie BYOE (Bring Your Own Encryption) oder HYOK (Hold Your Own Key) einsetzbar.

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

FTAPI Software GmbH

Wörtlich übersetzt bedeutet Bring Your Own Key (BYOK) "Bring deinen eigenen Schlüssel mit". BYOK beschreibt ein Konzept, bei dem Daten auf der Plattform eines Cloud-Anbieters verschlüsselt gespeichert werden. Die Verschlüsselung und Entschlüsselung der Daten führt der Cloud-Anbieter durch. Das benötigte Schlüsselmaterial generiert und verwaltet der Kunde oder der User selbst. Im Vergleich zu der Schlüsselverwaltung durch den Cloud-Provider entsteht ein höheres Sicherheitsniveau. Die Verschlüsselungssoftware und den Verschlüsselungsalgorithmus verantwortet weiterhin der Cloud-Anbieter.

Um die Daten zu entschlüsseln oder zu verschlüsseln, muss der Schlüssel mit einer sicheren Methode in die Systeme des Anbieters geladen werden. Unter Umständen ist es möglich, dass sich die verwendeten Schüssel dort auslesen lassen. Zudem besteht die Möglichkeit für den Anbieter, sich eine Art Masterschlüssel für das verwendete Verschlüsselungsverfahren zu generieren. In einigen Lösungen kommen zur Verbesserung der Sicherheit Hardware Security Module (HSM) zum Einsatz, in denen die kryptographischen Schlüssel sicher gespeichert bleiben. Sie verlassen die Sicherheitsgrenze des HSM nicht und sind extern nicht einsehbar. Zahlreiche Cloud-Anbieter stellen Möglichkeiten zur Nutzung des BYOK-Konzepts zur Verfügung, interpretieren das Konzept technisch aber teilweise unterschiedlich.

Abgrenzung von BYOK zu BYOE (Bring Your Own Encryption) und HYOK (Hold Your Own Key)

Neben Bring Your Own Key gibt es weitere Konzepte für die Verschlüsselung von Daten in Cloud-Umgebungen. Teilweise verwenden Cloud-Anbieter die Konzepte als Marketingbegriffe und interpretieren sie technisch unterschiedlich.

Bring Your Own Encryption geht einen Schritt weiter als BYOK. Das Konzept sieht vor, nicht nur die Schlüssel selbst zu generieren und zu verwalten, sondern auch die anzuwendenden kryptographischen Verschlüsselungsverfahren vorzugeben und zu managen. Der Kunde hat die Möglichkeit, spezifische Algorithmen einzusetzen und übt die Kontrolle über diese aus.

Noch mehr Kontrolle und Sicherheit bietet das Konzept Hold Your Own Key (HYOK). Bei diesem Verfahren verbleibt der Schlüssel vollständig beim User beziehungsweise beim Kunden und verlässt niemals dessen Umgebung. Er wird von der Cloud isoliert generiert und verwendet. Der Cloud-Anbieter erhält keinen Zugang und damit keine Kenntnis über das Schlüsselmaterial. Mit HYOK lassen sich Daten bereits vor dem Eintritt in die Cloud und vor der Ablage auf einer Cloud-Plattform verschlüsseln. Trotz Nutzung von Cloud-Umgebungen sind höchste Sicherheitsstandards für Daten realisierbar. Da Cloud-Anwendungen aufgrund des eingeschränkten Zugangs zu unverschlüsselten Daten nur bedingt funktionsfähig sind, kommt das HYOK für ausgewählte Anwendungsszenarien wie für Cloud-Backups oder die sichere Speicherung und Archivierung von Dokumenten zum Einsatz.

Vorteile und Schwachstellen von Bring Your Own Key

Bring Your Own Key bietet im Vergleich zur Schlüsselgenerierung und Verwaltung durch den Cloud-Anbieter ein etwas höheres Sicherheitsniveau für Cloud-Daten. Allerdings hat das BYOK-Konzept einige Schwachstellen. Die Verschlüsselung der Daten findet auf den Servern des Cloud-Betreibers statt. Das Schlüsselmaterial muss dort hin transferiert und in den Speicher der Server geladen werden. Unter Umständen lässt es sich von dort über einen Speicher-Dump auslesen. Darüber hinaus hat der Cloud-Anbieter durch die Kontrolle der Verschlüsselungsalgorithmen die Möglichkeit, sich eine Art Masterschlüssel für das verwendete Verschlüsselungsverfahren zu generieren.

(ID:47387064)