Schlüsselhoheit

Fast jeder Cloud-Anbieter wirbt mit Verschlüsselung. Fast jeder verschlüsselt auch tatsächlich — im Transport und im Ruhezustand, meist nach dem Stand der Technik. Die Angabe sagt trotzdem wenig, solange eine zweite Frage offen ist: Wer hat den Schlüssel?

Denn Verschlüsselung schützt nicht gegen den, der entschlüsseln darf.

Die drei Stufen

Schlüssel beim Anbieter. Der Normalfall. Der Anbieter erzeugt, verwahrt und benutzt den Schlüssel. Das schützt gegen den Diebstahl von Datenträgern und gegen Angreifer, die den Speicher erreichen. Gegen eine Anordnung an den Anbieter schützt es nicht, denn der Adressat kann liefern.

Schlüssel vom Kunden, verwahrt beim Anbieter. Häufig als Bring Your Own Key vermarktet. Sie erzeugen den Schlüssel und übergeben ihn. Das verbessert die Nachvollziehbarkeit und erlaubt es Ihnen, den Zugriff zu widerrufen. In dem Moment, in dem eine Anordnung kommt, ist die Lage dieselbe wie auf Stufe eins.

Schlüssel außerhalb der Reichweite des Anbieters. Im eigenen Rechenzentrum, in einem Hardware-Sicherheitsmodul oder bei einem Treuhänder, der einer anderen Rechtsordnung unterliegt. Erst hier kann der Anbieter die Daten nicht lesbar machen — und erst hier wird aus einer Herausgabe die Übergabe unbrauchbarer Blöcke.

Warum das rechtlich zählt

Der Europäische Datenschutzausschuss führt Verschlüsselung ausdrücklich als ergänzende Maßnahme im Sinne von Schrems II — allerdings mit einer Bedingung, die oft überlesen wird: Der Schlüssel muss dem Zugriff im Empfängerland entzogen sein.

Genau daran scheitern die ersten beiden Stufen. Sie sind Betriebssicherheit, nicht Übermittlungsschutz. Für die Prüfung, die Sie ohnehin dokumentieren müssen, ist das der Unterschied zwischen einer wirksamen und einer unwirksamen Maßnahme.

Der Preis, den niemand gern nennt

Schlüsselhoheit kostet Funktionen. Eine serverseitige Volltextsuche braucht lesbare Daten. Vorschaubilder, automatische Kategorisierung, Dublettenerkennung, maschinelle Auswertung und ein großer Teil der Integrationen ebenfalls.

Deshalb ist die vernünftige Antwort selten „alles auf Stufe drei". Sie lautet: klassifizieren, und die höchste Stufe für die Kategorien reservieren, bei denen ein Zugriff wirklich schadet — Personalakten, Konstruktionsdaten, Mandantenunterlagen, Verhandlungsstände.

Was in den Vertrag gehört

Wer den Schlüssel erzeugt, wo er liegt, wer ihn benutzen darf und unter welchen Bedingungen. Dazu ein Notfallverfahren: Was passiert, wenn Ihr Schlüsselverwalter ausfällt? Ohne diese Regelung tauschen Sie ein Zugriffsrisiko gegen ein Verfügbarkeitsrisiko — und das zweite trifft Sie mit deutlich höherer Wahrscheinlichkeit.

Der Zusammenhang mit den Nachbarbegriffen ist einfach: Datenresidenz beantwortet, wo die Daten liegen. Schlüsselhoheit beantwortet, wer sie lesen kann. Die zweite Frage ist die wirksamere.