Verschlüsselung und Schlüsselverwaltung (Übersicht)

Welche Rolle spielt die Verschlüsselung beim Schutz von Kundeninhalten?

Die meisten Microsoft Business-Clouddienste sind mandantenfähig, was bedeutet, dass Kundeninhalte möglicherweise auf derselben physischen Hardware wie andere Kunden gespeichert werden. Um die Vertraulichkeit von Kundeninhalten zu schützen, verschlüsseln Microsoft-Onlinedienste alle ruhenden Daten sowie Daten während der Übertragung mit einigen der stärksten und sichersten Verschlüsselungsprotokolle, die es gibt.

Verschlüsselung ist kein Ersatz für starke Zugriffssteuerungen. Die Microsoft-Zugriffssteuerungsrichtlinie "Zero Standing Access" (ZSA) schützt Kundeninhalte vor dem nicht autorisierten Zugriff durch Microsoft-Mitarbeiter. Die Verschlüsselung ergänzt die Zugriffskontrolle, indem sie die Vertraulichkeit von Kundeninhalten schützt, unabhängig davon, wo sie gespeichert werden, und indem verhindert wird, dass Inhalte während der Übertragung zwischen den Microsoft Online Services-Systemen oder zwischen Microsoft Online Services und dem Kunden gelesen werden.

Wie verschlüsseln Microsoft-Onlinedienste ruhende Daten?

Microsoft-Onlinedienste schützen alle Kundeninhalte mit einer oder mehreren Formen der Verschlüsselung. Microsoft-Server verwenden BitLocker, um die Laufwerke mit Kundeninhalten auf Volumeebene zu verschlüsseln. Die von BitLocker bereitgestellte Verschlüsselung schützt Kundeninhalte, wenn Fehler in anderen Prozessen oder Kontrollen (z. B. Zugriffssteuerung oder Recycling von Hardware) auftreten, die zu einem nicht autorisierten physischen Zugriff auf Datenträger mit Kundeninhalten führen könnten.

Zusätzlich zur Verschlüsselung auf Volumeebene verwenden die Microsoft-Onlinedienste die Verschlüsselung auf Anwendungsebene, um Kundeninhalte zu verschlüsseln. Die Dienstverschlüsselung bietet Rechteschutz und Verwaltungsfunktionen zusätzlich zum starken Verschlüsselungsschutz. Außerdem ermöglicht es eine Trennung zwischen Windows-Betriebssystemen und den Kundendaten, die von diesen Betriebssystemen gespeichert oder verarbeitet werden.

Wie verschlüsseln Microsoft-Onlinedienste Daten während der Übertragung?

Microsoft-Onlinedienste verwenden starke Transportprotokolle wie Transport Layer Security (TLS), um zu verhindern, dass Unbefugte Kundendaten abhören, während sie sich über ein Netzwerk bewegen. Beispiele für Daten während der Übertragung sind E-Mail-Nachrichten, die gerade zugestellt werden, Unterhaltungen, die in einer Onlinebesprechung stattfinden, oder Dateien, die zwischen Rechenzentren repliziert werden.

Bei Microsoft-Onlinediensten werden Daten immer dann als "übertragen" betrachtet, wenn das Gerät eines Benutzers mit einem Microsoft-Server oder ein Microsoft-Server mit einem anderen Server kommuniziert.

Wie verwalten Microsoft-Onlinedienste die für die Verschlüsselung verwendeten Schlüssel?

Eine starke Verschlüsselung ist nur so sicher wie die Schlüssel, die zum Verschlüsseln von Daten verwendet werden. Microsoft verwendet eigene Sicherheitszertifikate und zugehörige Schlüssel, um TLS-Verbindungen für Daten während der Übertragung zu verschlüsseln. Für ruhende Daten werden BitLocker-geschützte Volumes mit einem vollständigen Volumeverschlüsselungsschlüssel verschlüsselt, der wiederum mit einem Volumehauptschlüssel verschlüsselt ist, der wiederum an das Trusted Platform Module (TPM) auf dem Server gebunden ist. BitLocker verwendet FIPS 140-2-konforme Algorithmen, um sicherzustellen, dass Verschlüsselungsschlüssel niemals gespeichert oder unverschlüsselt über das Netzwerk gesendet werden.

Die Dienstverschlüsselung bietet eine weitere Verschlüsselungsebene für ruhende Kundendaten, sodass Kunden zwei Optionen für die Verwaltung von Verschlüsselungsschlüsseln haben: von Microsoft verwaltete Schlüssel oder Kundenschlüssel. Wenn Sie von Microsoft verwaltete Schlüssel verwenden, generieren die Microsoft-Onlinedienste automatisch die Stammschlüssel, die für die Dienstverschlüsselung verwendet werden, und speichern diese sicher.

Kunden, die ihre eigenen Stammverschlüsselungsschlüssel steuern müssen, können die Dienstverschlüsselung mit Microsoft Purview-Kundenschlüssel verwenden. Mit Customer Key können Kunden ihre eigenen kryptografischen Schlüssel generieren, indem sie entweder ein lokales Hardware-Servicemodul (HSM) oder Azure Key Vault (AKV) verwenden. Kundenstammschlüssel werden in AKV gespeichert, wo sie als Stamm eines der Schlüsselbunds verwendet werden können, der die Daten oder Dateien des Kundenpostfachs verschlüsselt. Der Microsoft-Onlinedienstcode kann nur indirekt auf Kundenstammschlüssel zur Datenverschlüsselung zugreifen, und Microsoft-Mitarbeiter können nicht direkt darauf zugreifen.

Zugehörige externe Vorschriften und Zertifizierungen

Microsoft überprüft seine Onlinedienste regelmäßig auf die Einhaltung externer Vorschriften und Zertifizierungen. Informationen zur Überprüfung von Kontrollen im Zusammenhang mit Verschlüsselung und Schlüsselverwaltung finden Sie in der folgenden Tabelle.

Azure und Dynamics 365

Microsoft 365