Bring Your Own Key

Wenn Firmen Daten bei einem Online-Anbieter speichern, liegen diese Daten meist verschlüsselt dort. Verschlüsseln heißt: Der Text wird nach einem festen Rechenverfahren unlesbar gemacht. Zurück in den lesbaren Zustand kommt man nur mit einem bestimmten geheimen Code, dem Schlüssel. Normalerweise verwaltet der Anbieter diesen Schlüssel selbst. Bei Bring Your Own Key ist es anders: Der Kunde erzeugt den Schlüssel, bewahrt ihn auf und gibt dem Anbieter nur zeitweise Zugriff darauf. Die englische Abkürzung dafür ist BYOK.

Warum Firmen die Schlüssel nicht abgeben wollen

Wer den Schlüssel hat, hat die Macht über die Daten. Solange der Anbieter beide Teile besitzt, also die verschlüsselten Daten und den Schlüssel, muss man ihm voll vertrauen. Ein unehrlicher Mitarbeiter könnte hineinschauen. Auch eine Behörde könnte den Anbieter zur Herausgabe zwingen, ohne dass der Kunde davon erfährt. Mit BYOK bleibt diese Entscheidung beim Kunden.

Für Banken, Krankenhäuser und Behörden ist das oft eine Vorschrift, keine Vorliebe. Sie müssen nachweisen, wer wann welche Daten lesen konnte. Ein selbst verwalteter Schlüssel liefert diesen Nachweis, weil jede Nutzung protokolliert wird. Deshalb ist BYOK in Ausschreibungen und Verträgen häufig ein Ausschlusskriterium: Kann ein Anbieter es nicht, fliegt er aus dem Rennen.

Es gibt noch einen praktischen Vorteil. Löscht der Kunde seinen Schlüssel, sind die Daten beim Anbieter dauerhaft unlesbar, auch alte Sicherungskopien. Fachleute nennen das Krypto-Löschung. Man muss dem Anbieter also nicht glauben, dass er wirklich gelöscht hat.

Der Schlüsseltresor und wer ihn öffnet

Der Kunde legt seinen Schlüssel in einen besonders gesicherten Speicher. Meist ist das ein spezielles Gerät, ein Hardware-Sicherheitsmodul. Es ist so gebaut, dass der Schlüssel es nie im Klartext verlässt. Man schickt Daten hinein und bekommt sie verschlüsselt zurück. Der Schlüssel selbst bleibt drinnen.

Braucht der Anbieter Zugriff auf eine Datei, fragt seine Software beim Schlüsseltresor des Kunden an. Der Tresor prüft die Berechtigung und liefert eine Freigabe für genau diesen Vorgang. Danach ist die Erlaubnis wieder weg. Der Kunde kann diesen Zugang jederzeit sperren, dann steht der Dienst still. Genau diese Notbremse ist der Kern von BYOK.

Ein häufiger Irrtum: BYOK sei dasselbe wie Ende-zu-Ende-Verschlüsselung. Das stimmt nicht. Bei BYOK muss der Anbieter die Daten im Betrieb kurzzeitig entschlüsseln, sonst könnte er sie nicht verarbeiten. Ein strengerer Ansatz heißt Hold Your Own Key, dabei verlässt der Schlüssel das Haus des Kunden nie. Je strenger die Variante, desto unbequemer der Alltag.

BYOK bei Cloud-Anbietern und KI-Diensten

Am häufigsten trifft man den Begriff bei Cloud-Diensten, also gemieteter Rechenleistung und Speicher im Internet. Große Anbieter wie Amazon, Microsoft und Google bieten BYOK für ihre Speicher- und Datenbankdienste an. Auch Anbieter von Firmensoftware wie Salesforce oder Slack verkaufen es, meist in teureren Tarifen. In Preislisten steht es oft unter Begriffen wie Enterprise Key Management.

Neu ist das Thema bei KI-Diensten. Wer ein Sprachmodell auf eigene Verträge oder Patientenakten ansetzt, schickt sehr sensible Texte in ein fremdes Rechenzentrum. BYOK ist hier ein Verkaufsargument, mit dem Anbieter zögernde Großkunden gewinnen wollen. In Wirtschaftsmeldungen erscheint es deshalb oft, wenn ein KI-Unternehmen einen Vertrag mit einer Bank oder Versicherung verkündet.

Man sollte das Versprechen aber genau lesen. Manche Anbieter nennen es BYOK, obwohl sie eine Kopie des Schlüssels behalten. Entscheidend ist die Frage, ob der Kunde den Zugriff allein und sofort abschalten kann. Nur dann bringt der eigene Schlüssel wirklich einen Sicherheitsgewinn.