overview
DuoKey für Office 365 Customer Key
Integrieren Sie sich nahtlos in das Microsoft-Verschlüsselungsframework, um Ihre Verschlüsselungsschlüssel zu kontrollieren, regulatorische Verpflichtungen zu erfüllen und Daten vor unbefugtem Zugriff zu schützen.
Erhöhung der Datensicherheit in Office 365 durch fortschrittliche Schlüsselverwaltung
Microsoft Office 365 Customer Key ermöglicht es Ihnen, Ihre Root-Verschlüsselungsschlüssel bereitzustellen, zu kontrollieren und zu verwalten, die zur Verschlüsselung Ihrer ruhenden Daten in Office 365 verwendet werden. Mit DuoKey für Office 365 Customer Key erhalten Sie erweiterte Funktionen zur Schlüsselverwaltung unter Verwendung der Multi-Party-Computation-Technologie (MPC), die keinen Single Point of Failure sowie eine verbesserte Sicherheitslage gewährleistet.
Warum DuoKey für Office 365 Customer Key?
Erhöhte Kontrolle und Compliance
Verwalten Sie Ihre Root-Verschlüsselungsschlüssel, um Compliance-Anforderungen zu erfüllen, die Vereinbarungen zur Schlüsselverwaltung mit dem Cloud-Dienstanbieter voraussetzen.
Robuste Verschlüsselung
Arbeitet zusammen mit den nativen Verschlüsselungsmechanismen von Office 365 wie BitLocker und Service-Verschlüsselung, um eine zusätzliche Sicherheitsschicht zu bieten.
Flexibilität bei der Schlüsselverwaltung
Verwalten Sie Verschlüsselungsschlüssel sowohl lokal als auch in der Cloud und decken Sie so alle ruhenden Daten umfassend ab.
Wichtige Funktionen
Umfassende Verschlüsselungsabdeckung
DuoKey erweitert die Verschlüsselungsfunktionen über verschiedene Office 365-Anwendungen hinweg:
- Exchange Online (Postfachdaten)
- SharePoint Online (Sites und Dokumente)
- OneDrive for Business (persönliche Dateien)
- Microsoft Teams (Chats, Dateien und Aufzeichnungen)
Nahtlose Integration in Office 365
Integriert sich in Office 365, ohne die native Benutzererfahrung zu verändern, und erhält Leistung und Funktionalität, während die Sicherheit verbessert wird.
Erweiterte Funktionen zur Schlüsselverwaltung
Multi-Party Computation (MPC): Anders als traditionelle Schlüsselverwaltungsdienste nutzt DuoKey MPC, um die Sicherheit zu erhöhen, indem Teile des Verschlüsselungsschlüssels über mehrere Standorte verteilt werden, was keinen Single Point of Failure gewährleistet.
Kein alleiniger Zugriff
Keine einzelne Partei hat vollständigen Zugriff auf die Verschlüsselungsschlüssel.
Schutz vor Insider-Bedrohungen
Verbesserter Schutz vor Insider-Bedrohungen.
Sichere Vorgänge
Kryptografische Vorgänge werden durchgeführt, ohne Schlüssel offenzulegen.
Compliance-fähig
Erfüllt strenge Compliance-Anforderungen.
Wettbewerbsvorteil
Über traditionelle HSM-Lösungen hinaus
DuoKey bietet robustere Datenschutzfunktionen als traditionelle HSMs, indem es Organisationen ermöglicht, die vollständige Kontrolle über ihre Verschlüsselungsschlüssel zu behalten.
Multi-Party Computation
Verteilte Schlüsselvorgänge ohne einzelnen Kompromittierungspunkt.
Erweitertes Audit
Erweiterte Audit- und Monitoring-Funktionen.
Flexible Bereitstellung
Bereitstellungsoptionen in der Cloud oder lokal.
Regulatorische Compliance
DSGVO, HIPAA, SOC 2 und branchenspezifische Vorschriften.
Integration mit Microsoft-Verschlüsselungstechnologien
| Technologie | Ebene | Beschreibung |
|---|---|---|
| BitLocker | Datenträgerebene | Verschlüsselung auf Datenträgerebene für physische Sicherheit |
| SSE (Service Encryption) | Dienstebene | Verschlüsselung auf Dienstebene innerhalb der Rechenzentren |
| Customer Key | Anwendungsebene | Verschlüsselung auf Anwendungsebene mit kundenseitig kontrollierten Schlüsseln |
DuoKey fügt eine zusätzliche Ebene der Schlüsselverwaltungskontrolle hinzu und stellt sicher, dass Ihre Daten selbst dann geschützt bleiben, wenn eine Ebene kompromittiert wird.
Technischer Prozess für den BYOK-Import
Der Bring-Your-Own-Key-Prozess (BYOK) ist eine umfassende Methode für Kunden, ihre Verschlüsselungsschlüssel innerhalb von Microsoft Office 365 zu importieren und zu kontrollieren, wodurch eine verbesserte Datensicherheit und Compliance gewährleistet wird.
BYOK-Prozess für Office 365 Customer Key
Offline-Schlüsselgenerierung
Der Prozess beginnt mit der Generierung des Ziel-Customer-Keys auf einer Offline-Maschine. Dieser Schlüssel kann RSA (Rivest-Shamir-Adleman), EC (Elliptic Curve) oder AES (Advanced Encryption Standard) sein. Der Schlüssel wird mit dem MRZ15-Algorithmus verschlüsselt, um während des Transports zusätzliche Sicherheit zu gewährleisten.
Online-Generierung des Key Exchange Key (KEK)
Zwei RSA-KEKs werden online über die DuoKey-Automatisierung und die Azure Graph API erstellt. Diese KEKs werden sicher in zwei Azure Key Vaults gespeichert, bei denen es sich um Azure Premium HSM-gestützte Schlüsselverwaltungsdienste handelt.
Öffentlichen KEK-Schlüssel abrufen
Die öffentlichen Schlüssel der im vorherigen Schritt generierten KEKs werden abgerufen und in den nächsten Schritten zur Absicherung des Verschlüsselungsprozesses verwendet.
Erstellung eines temporären AES-Schlüssels
Ein temporärer 256-Bit-AES-Schlüssel wird online generiert, der zur Verschlüsselung des Customer Keys während der Übertragung verwendet wird, um dessen Vertraulichkeit und Integrität zu gewährleisten.
Temporären AES-Schlüssel verschlüsseln
Der temporäre AES-Schlüssel wird anschließend mit den RSA-KEKs aus Schritt 3 sicher umschlossen (Wrapping), wobei der RSA_PKCS_OAEP-Algorithmus für eine robuste Verschlüsselung eingesetzt wird.
Customer Key umschließen (Wrapping)
Der Customer Key wird mit dem in Schritt 4 generierten AES-Schlüssel unter Verwendung des CKM_AES_KEY_WRAP_PAD-Algorithmus umschlossen. Dieser Schritt sichert den Customer Key, bevor er in den Azure Key Vault hochgeladen wird.
Verschlüsselten Sitzungsschlüssel und verschlüsselte Nachricht kombinieren
Die verschlüsselten Ausgaben aus Schritt 5 und Schritt 6 werden zu einem sicheren Nachrichtenpaket kombiniert, das sowohl den verschlüsselten Schlüssel als auch die verschlüsselten Daten enthält und bereit für die sichere Übertragung oder Speicherung ist.
BYOK-Datei für den Import generieren
Es wird eine BYOK-Datei im JSON-Format erstellt, die alle erforderlichen Parameter und verschlüsselten Schlüssel aus den vorherigen Schritten enthält. Diese Datei ist bereit, in den Azure Key Vault importiert zu werden, und ermöglicht die sichere Verwendung von Customer Keys innerhalb von Microsoft Office 365-Umgebungen.
Überlegungen zu Sicherheit und Compliance
Datensouveränität und Kontrolle
Kunden behalten die volle Kontrolle über ihre Schlüssel und gewährleisten so die Einhaltung lokaler Gesetze und Vorschriften zur Datensouveränität.
Erhöhte Sicherheit
Kunden erzeugen und verwahren die Stammschlüssel ausserhalb von Microsoft, autorisieren ihre Nutzung in Azure Key Vault und können diese Autorisierung widerrufen.
Auditing und Compliance
Unterstützt detaillierte Audit-Funktionen, die es Organisationen ermöglichen, Schlüsselnutzung und -zugriff im Sinne der Compliance zu überwachen.
So funktioniert Office 365 Customer Key
Verschlüsselungsarchitektur
Office 365 verwendet einen mehrschichtigen Verschlüsselungsansatz:
Service-Verschlüsselungsschicht
Microsoft verschlüsselt ruhende Daten mit Service-Verschlüsselungsschlüsseln (von Microsoft verwalteter Schlüssel).
Customer-Key-Schicht
Ihre Customer Keys verschlüsseln die Service-Verschlüsselungsschlüssel (Ihr Customer Key von DuoKey).
BitLocker-Schicht
Zusätzliche Verschlüsselung auf Datenträgerebene für physische Sicherheit.
Datenverschlüsselungsprozess
User Data (Plaintext)
|
[Layer 1: Service Encryption]
| (Microsoft-managed key)
Service-Encrypted Data
|
[Layer 2: Customer Key Encryption]
| (Your Customer Key from DuoKey)
Customer Key-Encrypted Data
|
[Layer 3: BitLocker Encryption]
| (Disk-level encryption)
Fully Encrypted Data at Rest
Schlüsselhierarchie
Customer Key (Your control via DuoKey)
|
Data Encryption Policy (DEP)
|
Intermediate Keys
|
Per-mailbox/per-file Keys
|
Encrypted User Data
Anwendungsfälle
Szenario: Müssen Finanzvorschriften einhalten, die Kontrolle über Datenzugriff und Schlüsselverwaltung erfordern.
Lösung: DuoKey ermöglicht es Finanzorganisationen, ihre eigenen Schlüssel zu verwalten, wodurch die Sicherheit erhöht und die Einhaltung von DSGVO, SOX, PCI DSS und Basel III gewährleistet wird.
Vorteile:
- Kontrolle über kryptografische Schlüssel gegenüber Auditoren nachweisen
- Anforderungen an die Datenresidenz erfüllen
- Sofortige Schlüsselwiderrufsfunktionen
- Vollständiger Audit-Trail von Schlüsselvorgängen
Unterstützte Office 365-Workloads
Exchange Online
Verschlüsselung von Postfachdaten, Verschlüsselung von Archivpostfächern und Verschlüsselung von durch die Exchange-Suche indizierten Daten.
SharePoint Online und OneDrive
Dokumentbibliotheken, Listen und Listenelemente, Site-Inhalte, Suchindizes und persönliche OneDrive-Dateien.
Microsoft Teams
Chat-Nachrichten und Unterhaltungen, in Teams-Kanälen geteilte Dateien, Besprechungsaufzeichnungen und Teams-Site-Inhalte.
Skype for Business
Unterhaltungsverlauf, geteilte Dateien und Besprechungsinhalte.
Multi-Party-Computation-Technologie (MPC)
DuoKey nutzt die MPC-Technologie, um erhöhte Sicherheit für Ihre Office 365 Customer Keys zu bieten.
So funktioniert MPC
Schlüsselaufteilung
Ihr Customer Key wird mathematisch in mehrere Shares aufgeteilt.
Verteilte Speicherung
Shares werden an separaten, isolierten Standorten gespeichert.
Threshold-Vorgänge
Eine Mindestanzahl von Shares (Threshold) ist für Vorgänge erforderlich.
Kein einzelner Zugriffspunkt
Keine einzelne Partei kann den vollständigen Schlüssel abrufen oder rekonstruieren.
MPC-Vorteile
Kein Single Point of Failure
Selbst wenn ein Standort kompromittiert wird, bleibt Ihr Schlüssel sicher.
Erweiterte Zugriffssteuerung
Mehrere Parteien müssen für Schlüsselvorgänge zusammenarbeiten.
Kryptografische Vorgänge
Werden durchgeführt, ohne jemals den vollständigen Schlüssel offenzulegen.
Compliance-Vorteil
Weist Auditoren erweiterte Sicherheitskontrollen nach.
Schlüsselwiderruf und Datenwiederherstellung
Sofortiger Schlüsselwiderruf
Der Widerruf von Schlüsseln verhindert sofort, dass Microsoft Ihre Daten entschlüsseln kann. Benutzer verlieren den Zugriff auf ihre Postfächer, Dateien und Teams-Daten, bis die Schlüssel wiederhergestellt sind.
Schlüssel deprovisionieren
Entfernen Sie Customer Keys aus dem Azure Key Vault.
Sofortige Wirkung
Microsoft verliert innerhalb von Stunden den Zugriff zur Entschlüsselung Ihrer Daten.
Datenschutz
Ihre Daten bleiben verschlüsselt und unzugänglich.
Availability Key
Microsoft unterhält einen Availability Key als Backup-Mechanismus. Er wird nur in bestimmten Szenarien verwendet (z. B. bei Nichtverfügbarkeit von Schlüsseln), gewährt Microsoft keinen routinemäßigen Zugriff auf Ihre Daten und unterliegt strengen Zugriffskontrollen und Auditing.
Schlüsselwiederherstellung
Customer Keys wiederherstellen
Stellen Sie Customer Keys im Azure Key Vault wieder her.
DEP aktualisieren
Aktualisieren Sie die Data Encryption Policy (DEP).
Dienstwiederherstellung
Der Dienst erlangt automatisch den Zugriff zur Entschlüsselung der Daten wieder.
Voraussetzungen
Voraussetzungen
- Office 365 Enterprise E5-Lizenz (oder E5 Compliance-Add-on)
- Exchange Online Plan 2
- SharePoint Online Plan 2
- OneDrive for Business Plan 2
- Globale Administratorrolle für die Konfiguration
- Azure-Abonnement
- Azure Key Vault Premium (HSM-gestützt) in zwei Regionen
- Entsprechende Azure Active Directory-Berechtigungen
- Ressourcengruppe für die Key Vault-Bereitstellung
- Zugriff auf die DuoKey-Plattform
- DuoKey Cockpit für Office 365 Customer Key konfiguriert
- Gültige DuoKey-Lizenz
- HTTPS-Konnektivität zwischen Office 365 und Azure Key Vault
- Ausgehende Konnektivität von Office 365-Diensten
- Ordnungsgemäße Firewall- und Proxy-Konfigurationen
Leistungsüberlegungen
Auswirkung auf die Benutzererfahrung
Customer Key-Vorgänge sind so konzipiert, dass sie minimale Auswirkungen auf Endbenutzer haben. Verschlüsselung und Entschlüsselung erfolgen transparent ohne spürbare Leistungseinbußen. Die Schlüsselverwaltung erfolgt als Hintergrundvorgang.
Zeitrahmen der Erstverschlüsselung
| Workload | Zeitrahmen | Hinweise |
|---|---|---|
| Postfächer | 24-48 Stunden pro DEP | Abhängig von der Postfachgröße |
| SharePoint/OneDrive | Mehrere Tage bis Wochen | Abhängig vom Datenvolumen |
| Teams | Folgt dem SharePoint-Zeitrahmen | Daten werden in SharePoint gespeichert |
Laufende Vorgänge
- Echtzeit-Verschlüsselung für neue Inhalte
- Unterstützung für automatische Schlüsselrotation
- Kontinuierliche Hintergrundverschlüsselung für unverschlüsselte Inhalte
Monitoring und Auditing
DuoKey-Audit-Protokolle
Schlüsselzugriffsversuche, erfolgreiche/fehlgeschlagene Vorgänge, administrative Änderungen und Compliance-Berichte.
Office 365-Audit-Protokolle
DEP-Zuweisungen, Schlüsselnutzung, administrative Aktionen und Sicherheitsvorfälle.
Integrationspunkte
Azure Monitor, Office 365 Security and Compliance Center, DuoKey Cockpit und SIEM-Integration.
Kontingente und Grenzwerte
Grenzwerte für Office 365 Customer Key
| Ressource | Grenzwert |
|---|---|
| Maximale Anzahl DEPs pro Tenant | 50 |
| Umfang der DEP-Zuweisung | Mehrere Postfächer/Sites pro DEP |
| Minimale Schlüsselgröße | 2048-Bit-RSA-Schlüssel |
| Schlüsselaktualisierungsvorgänge | Unterliegen dem Azure Key Vault-Throttling |
Grenzwerte für Azure Key Vault
| Ressource | Grenzwert |
|---|---|
| Schlüssel pro Vault | 25.000 |
| Vorgänge pro 10 Sekunden | Variiert je nach Schlüsseltyp und Vorgang |
| Regionsspezifische Kontingente | Gelten pro Azure-Region |
Best Practices
Schlüsselverwaltung
Offline-Backups pflegen, regelmäßige Schlüsselrotation planen, Least-Privilege-Zugriff implementieren und Schlüssel in verschiedenen Azure-Regionen speichern.
Sicherheit
MFA für Administratorzugriff fordern, separate Azure-Tenants verwenden, umfassende Protokollierung aktivieren und Incident-Response-Verfahren entwickeln.
Operational Excellence
DEP-Zuweisungen in Nicht-Produktionsumgebungen testen, detaillierte Runbooks pflegen, strukturierten Änderungsprozessen folgen und IT-Mitarbeiter schulen.
Vergleich mit anderen Lösungen
Customer Key vs. Standardverschlüsselung
| Funktion | Standardmäßige Service-Verschlüsselung | Customer Key |
|---|---|---|
| Schlüsselkontrolle | Microsoft verwaltet | Kunde verwaltet |
| Schlüsselstandort | Microsoft-Rechenzentren | Azure Key Vault (des Kunden) |
| Compliance | Standard-Compliance | Erhöhte Compliance (Datensouveränität) |
| Schlüsselwiderruf | Nicht möglich | Sofortige Widerrufsmöglichkeit |
| Audit-Kontrolle | Microsoft-Audit-Protokolle | Kunden-Audit-Protokolle + Microsoft-Protokolle |
| Kosten | Enthalten | Zusätzliche Lizenzierung erforderlich |
Customer Key vs. Customer Lockbox
| Funktion | Customer Key | Customer Lockbox |
|---|---|---|
| Zweck | Kontrolle über Verschlüsselungsschlüssel | Genehmigung von Zugriffsanfragen |
| Umfang | Verschlüsselung ruhender Daten | Zugriff durch Microsoft-Support |
| Implementierung | Technische Einrichtung erforderlich | Administrativer Genehmigungsworkflow |
| Auswirkung auf Compliance | Erhöhter Datenschutz | Erhöhte Zugriffs-Governance |
Erste Schritte
Erste Schritte
Überprüfen Sie Voraussetzungen und Ersteinrichtung.
Betriebsleitfaden
Erfahren Sie mehr über die alltägliche Schlüsselverwaltung.
Best Practices
Befolgen Sie die Richtlinien zu Sicherheit und Operational Excellence.
Fehlerbehebung
Ausführliche Hinweise zur Fehlerbehebung finden Sie im Leitfaden zur Fehlerbehebung.
Support
Für technischen Support oder Fragen zu DuoKey für Office 365 Customer Key:
- E-Mail: [email protected]
- Dokumentation: DuoKey-Support
- Microsoft-Dokumentation: Service Encryption with Customer Key