Drei Ebenen, drei Aufgaben
Logische Mandantentrennung beschränkt Abfragen und Aktionen auf die jeweilige Organisation. Ein Data Encryption Key (DEK) verschlüsselt Inhalte. Ein Key Encryption Key (KEK) schützt wiederum den Datenschlüssel. Dieses Prinzip wird häufig als Envelope Encryption bezeichnet.
Mandantenspezifische DEKs können den Wirkungsbereich eines Schlüsselverlusts begrenzen. Sie ersetzen keine Berechtigungsprüfung: Ein Dienst mit Zugriff auf mehrere Schlüssel muss weiterhin jede Anfrage dem richtigen Mandanten zuordnen.
Rotation ist ein Ablauf, kein Schalter
Bei einer Rotation muss feststehen, mit welcher Schlüsselversion neue Daten verschlüsselt werden und wie ältere Inhalte lesbar bleiben. Je nach Architektur werden Datenschlüssel neu verpackt oder die Inhalte selbst erneut verschlüsselt. Backups, Wiederholungsversuche und Wiederherstellung gehören zum Plan.
Ein regelmäßiger Wechsel ohne Inventar kann Daten unlesbar machen. NIST beschreibt deshalb Schlüsselverwaltung als Lebenszyklus: Erzeugung, Verteilung, Nutzung, Sicherung, Ablösung und sichere Stilllegung.
Was das für AI Link bedeutet
AI Link trennt Organisationszugriffe und nutzt AES-256-GCM für gespeicherte Geheimnisse. Eine automatische Rotation individueller Mandantenschlüssel ist damit nicht gleichzusetzen. Die hier erklärte DEK/KEK-Architektur ist ein Sicherheitskonzept, keine Zusage einer bereits verfügbaren individuellen Schlüsselverwaltung.
Anforderungen an eigene Schlüssel, Hardware-Sicherheitsmodule oder kundenseitig verwaltete Schlüssel werden in einer passenden Betriebsarchitektur konkretisiert. Maßgeblich sind die vor dem Einsatz dokumentierten Leistungen für die jeweilige Umgebung.
Quellen & Vertiefung
Originalpublikationen, Herstellerdokumentation und weiterführende Informationen zu den erläuterten Begriffen und Zahlen.