BYOK (Bring Your Own Key)
BYOK bedeutet, dass ein Kunde den geheimen Code zum Ver- und Entschlüsseln seiner Daten selbst verwaltet, statt ihn dem Anbieter zu überlassen. Wer den Schlüssel abschaltet, macht die gespeicherten Daten für den Anbieter unlesbar.
Wenn ein Unternehmen Daten bei einem Online-Dienst speichert, liegen diese dort meist verschlüsselt. Verschlüsseln heißt: Der Text wird nach einem festen Rechenverfahren unleserlich gemacht. Zurückverwandeln kann ihn nur, wer den passenden geheimen Code besitzt, den sogenannten Schlüssel. Normalerweise erzeugt und verwahrt der Anbieter diesen Schlüssel selbst. BYOK steht für « Bring Your Own Key », also « bring deinen eigenen Schlüssel mit ». Der Kunde erzeugt den Schlüssel dann selbst und behält die Kontrolle darüber.
Warum Firmen den Schlüssel nicht abgeben wollen
Wer den Schlüssel besitzt, kann die Daten lesen. Verwahrt der Anbieter ihn, muss der Kunde ihm schlicht vertrauen. Bei Urlaubsfotos ist das egal. Bei Patientenakten, Konstruktionsplänen oder Kundendatenbanken ist es das nicht. BYOK verschiebt diese Vertrauensfrage: Der Anbieter speichert die Daten, kann sie aber ohne Mitwirkung des Kunden nicht entschlüsseln.
Ein zweiter Grund ist rechtlicher Natur. Viele europäische Firmen dürfen personenbezogene Daten nur unter strengen Auflagen bei Anbietern aus den USA speichern. Behörden dort können unter bestimmten Bedingungen Herausgabe verlangen. Liegt der Schlüssel in Frankfurt und nicht beim Anbieter, hilft dem Anbieter der Zugriff auf die Festplatte wenig. Prüfer und Datenschutzbeauftragte fragen deshalb regelmäßig nach BYOK.
Der dritte Grund ist der Notausgang. Löscht oder sperrt der Kunde seinen Schlüssel, sind alle damit geschützten Daten sofort unbrauchbar. Fachleute nennen das Krypto-Löschung. Das ist deutlich schneller und zuverlässiger, als Millionen Dateien einzeln zu löschen und auf allen Sicherungskopien nachzuhalten.
Wo der Schlüssel tatsächlich liegt
In der Praxis erzeugt der Kunde den Schlüssel in einem eigenen Schlüsseltresor. Das ist ein spezialisierter Dienst oder ein gehärtetes Gerät, das Schlüssel speichert und ihre Nutzung protokolliert. Braucht der Anbieter Zugriff auf Daten, fragt sein System bei diesem Tresor an. Der Tresor prüft die Anfrage und antwortet mit Ja oder Nein. Der Schlüssel selbst verlässt den Tresor idealerweise nie.
Meist arbeiten dabei zwei Ebenen zusammen. Die eigentlichen Daten werden mit einem Datenschlüssel verschlüsselt, der beim Anbieter liegt. Dieser Datenschlüssel wird seinerseits mit dem Kundenschlüssel verschlüsselt. Man kann sich das wie ein Schließfach vorstellen: Der Anbieter hat den Schlüssel zum Fach, aber der steckt in einem zweiten Kästchen, das nur der Kunde öffnet. Das spart Rechenzeit, denn nur das kleine Kästchen muss über den Tresor laufen.
Ein verbreiteter Irrtum ist, BYOK schließe den Anbieter komplett aus. Das stimmt nicht. Während der Verarbeitung müssen die Daten im Arbeitsspeicher des Anbieters entschlüsselt vorliegen. Ein Anbieter mit sehr schlechten Absichten oder ein Angreifer in dessen System könnte sie in diesem Moment mitlesen. BYOK schützt zuverlässig gegen Zugriff auf ruhende Daten und liefert eine lückenlose Protokollspur. Für mehr braucht es zusätzliche Technik wie abgeschottete Rechenbereiche.
BYOK bei Cloud-Diensten und KI-Anbietern
Alle großen Cloud-Anbieter bieten BYOK an, meist über ihre eigenen Schlüsselverwaltungsdienste. Bei Microsoft heißt das Angebot Azure Key Vault, bei Amazon AWS KMS, bei Google Cloud KMS. Auch Dienste wie Salesforce, Slack oder Dropbox haben entsprechende Optionen für Geschäftskunden. Diese Funktionen stecken fast immer in den teureren Unternehmenstarifen.
Im KI-Bereich hat der Begriff eine zweite Bedeutung bekommen. Viele Werkzeuge lassen den Nutzer seinen eigenen API-Schlüssel eintragen. Das ist ein Zugangscode für einen Sprachmodell-Anbieter wie OpenAI oder Anthropic. Die Anfragen laufen dann über das Konto des Nutzers, und er zahlt direkt beim Modellanbieter. Auch das nennen Anbieter BYOK, obwohl es hier um Abrechnung und Zugang geht und nicht um Verschlüsselung.
In Nachrichten taucht BYOK meist im Zusammenhang mit digitaler Souveränität auf. Gemeint ist die Frage, wer am Ende die Kontrolle über Daten und Systeme hat. Behörden und Konzerne in Europa nennen BYOK oft als Bedingung für Verträge mit amerikanischen Anbietern. Eine strengere Variante heißt HYOK, für « Hold Your Own Key »: Dabei verlässt der Schlüssel die eigene Infrastruktur überhaupt nicht mehr.
