Microsoft hat das externe Schlüsselmanagement (External Key Management) für Azure Managed HSM in die Public Preview überführt. Damit können Organisationen Verschlüsselungsschlüssel außerhalb der Azure-Infrastruktur verwalten und dennoch nahtlos in Azure-Dienste einbinden. Für Unternehmen mit strengen Compliance- oder Souveränitätsanforderungen ist das eine relevante Erweiterung.
Was ist neu?
Azure Key Vault Managed HSM (Hardware Security Module – ein physisch gesichertes Hardwaremodul zur Schlüsselverwaltung) bietet bereits heute starke Kontrolle über Verschlüsselungsschlüssel: single-tenant, FIPS 140-3 Level 3 zertifiziert, ohne Microsoft-Zugriff auf das Schlüsselmaterial. Soweit bekannt.
Die Neuerung in der Public Preview geht einen Schritt weiter: Schlüssel können nun von einem externen HSM-System verwaltet werden – also von einem System, das der Kunde vollständig selbst betreibt, etwa on-premises oder bei einem anderen Anbieter. Azure Managed HSM agiert dabei als Brücke zwischen dem externen Schlüsselmaterial und den Azure-Diensten, die dieses Material nutzen sollen.
Das Szenario ist besonders relevant für Branchen wie Finanzdienstleistungen, Gesundheitswesen oder öffentliche Verwaltung, wo regulatorische Vorgaben vorschreiben, dass kryptografisches Schlüsselmaterial das eigene Rechenzentrum nie verlässt – oder zumindest nicht in einer Cloud-Infrastruktur eines Drittanbieters gespeichert wird.
Merksatz: External Key Management bedeutet nicht, dass Azure keinen Zugriff auf die verschlüsselten Daten hat – es bedeutet, dass die Schlüssel selbst außerhalb von Azure liegen und Azure nur mit expliziter Freigabe des externen Systems operieren kann.
Was bedeutet das für Azure-Admins?
In meinen Azure-Kursen taucht das Thema Schlüsselverwaltung regelmäßig auf – und regelmäßig ist die Frage: „Was, wenn wir die Schlüssel wirklich selbst halten müssen?“ Bisher war die Antwort oft ein Kompromiss. Das ändert sich jetzt graduell.
Konkret sollten Administratoren folgende Punkte auf dem Radar haben:
| Aspekt | Bisherige Situation | Mit External Key Management (Preview) |
|---|---|---|
| Schlüsselspeicherort | Azure Managed HSM (single-tenant) | Externes HSM, vollständig kundenkontrolliert |
| Microsoft-Zugriff | Kein Zugriff auf Schlüsselmaterial | Kein Zugriff – Schlüssel nie in Azure |
| Compliance-Szenarien | FIPS 140-3 Level 3 in Azure | Eigenes HSM + Azure-Integration möglich |
| Verfügbarkeit | GA | Public Preview |
Praxistipp: Da es sich noch um eine Public Preview handelt, gilt das übliche Vorgehen: nicht produktiv einsetzen, bis GA erreicht ist – aber jetzt ist der richtige Zeitpunkt, die Integration in einer Testumgebung zu evaluieren, insbesondere wenn externe Compliance-Audits bevorstehen.
Wer das Thema Azure-Sicherheitsarchitektur grundlegend auffrischen möchte, findet in meinen Azure-Kursen entsprechende Module zu Key Vault, Managed HSM und Zero-Trust-Architekturen.
Die vollständigen technischen Details zur neuen Funktion finden Sie in der Originalankündigung bei Azure Blog.