Verschlüsselung und Schlüsselverwaltung (Übersicht)

Welche Rolle spielt verschlüsselung beim Schutz von Kundeninhalten?

Die meisten Microsoft Business Cloud Services sind mehrinstanzenfähig, was bedeutet, dass Kundeninhalte auf derselben physischen Hardware wie andere Kunden gespeichert werden können. Um die Vertraulichkeit von Kundeninhalten zu schützen, Onlinedienste Microsoft alle ruhenden und übertragenen Daten mit einigen der stärksten und sichersten verfügbaren Verschlüsselungsprotokolle verschlüsseln.

Verschlüsselung ist kein Ersatz für starke Zugriffssteuerungen. Die Microsoft-Zugriffssteuerungsrichtlinie von Zero Standing Access (ZSA) schützt Kundeninhalte vor unbefugtem Zugriff durch Microsoft-Mitarbeiter. Verschlüsselung ergänzt die Zugriffssteuerung, indem sie die Vertraulichkeit von Kundeninhalten überall dort schützt, wo sie gespeichert sind, und indem verhindert wird, dass Inhalte während der Übertragung zwischen Microsoft Onlinedienste-Systemen oder zwischen Microsoft Onlinedienste und dem Kunden gelesen werden.

Wie verschlüsselt Microsoft Onlinedienste ruhende Daten?

Microsoft Onlinedienste alle Kundeninhalte mit einer oder mehreren Verschlüsselungsformen schützen. Microsoft-Server verwenden BitLocker, um die Datenträger mit Kundeninhalten auf Volumeebene zu verschlüsseln. Die von BitLocker bereitgestellte Verschlüsselung schützt Kundeninhalte, wenn bei anderen Prozessen oder Kontrollen (z. B. Zugriffssteuerung oder Wiederverwendung von Hardware) Fehler auftreten, die zu nicht autorisiertem physischen Zugriff auf Datenträger mit Kundeninhalten führen können.

Zusätzlich zur Verschlüsselung auf Volumeebene Onlinedienste Microsoft Verschlüsselung auf Anwendungsebene verwenden, um Kundeninhalte zu verschlüsseln. Die Dienstverschlüsselung bietet Zusätzlich zu starkem Verschlüsselungsschutz auch Rechteschutz- und Verwaltungsfunktionen. Es ermöglicht auch die Trennung zwischen Windows-Betriebssystemen und den Kundendaten, die von diesen Betriebssystemen gespeichert oder verarbeitet werden.

Wie verschlüsselt Microsoft Onlinedienste Daten während der Übertragung?

Microsoft Onlinedienste starke Transportprotokolle wie Transport Layer Security (TLS) verwenden, um zu verhindern, dass nicht autorisierte Parteien Kundendaten abhören, während sie über ein Netzwerk verschoben werden. Beispiele für Daten während der Übertragung sind E-Mail-Nachrichten, die gerade übermittelt werden, Unterhaltungen, die in einer Onlinebesprechung stattfinden, oder Dateien, die zwischen Rechenzentren repliziert werden.

Bei Microsoft Onlinedienste gelten Daten immer dann als "übertragen", wenn das Gerät eines Benutzers mit einem Microsoft-Server kommuniziert oder ein Microsoft-Server mit einem anderen Server kommuniziert.

Wie verwaltet Microsoft Onlinedienste die für die Verschlüsselung verwendeten Schlüssel?

Eine starke Verschlüsselung ist nur so sicher wie die Schlüssel, die zum Verschlüsseln von Daten verwendet werden. Microsoft verwendet eigene Sicherheitszertifikate und zugehörige Schlüssel, um TLS-Verbindungen für die Übertragung von Daten zu verschlüsseln. Für ruhende Daten werden bitLocker-geschützte Volumes mit einem vollständigen Volumeverschlüsselungsschlüssel verschlüsselt, der mit einem Volumeschlüssel master schlüssel verschlüsselt ist, der wiederum an das Trusted Platform Module (TPM) auf dem Server gebunden ist. BitLocker verwendet FIPS 140-2-konforme Algorithmen, um sicherzustellen, dass Verschlüsselungsschlüssel niemals im Klaren gespeichert oder über das Netzwerk gesendet werden.

Die Dienstverschlüsselung bietet eine weitere Verschlüsselungsebene für ruhende Kundendaten, sodass Kunden zwei Optionen für die Verwaltung von Verschlüsselungsschlüsseln haben: von Microsoft verwaltete Schlüssel oder Kundenschlüssel. Wenn Sie von Microsoft verwaltete Schlüssel verwenden, Onlinedienste Die für die Dienstverschlüsselung verwendeten Stammschlüssel automatisch generieren und sicher speichern.

Kunden mit Anforderungen zum Steuern ihrer eigenen Stammverschlüsselungsschlüssel können die Dienstverschlüsselung mit Dem Microsoft Purview-Kundenschlüssel verwenden. Mit Customer Key können Kunden ihre eigenen kryptografischen Schlüssel generieren, indem sie entweder ein lokales Hardwaredienstmodul (HSM) oder Azure Key Vault (AKV) verwenden. Kundenstammschlüssel werden in AKV gespeichert, wo sie als Stamm eines der Keychains verwendet werden können, der Kundenpostfachdaten oder -dateien verschlüsselt. Microsoft-Onlinedienstcode kann nur indirekt auf Kundenstammschlüssel für die Datenverschlüsselung zugreifen, und Microsoft-Mitarbeiter können nicht direkt auf diese zugreifen.

Verwandte externe Vorschriften und Zertifizierungen

Microsoft überprüft seine Onlinedienste regelmäßig auf Die Einhaltung externer Vorschriften und Zertifizierungen. Informationen zur Überprüfung von Steuerelementen im Zusammenhang mit der Verschlüsselung und Schlüsselverwaltung finden Sie in der folgenden Tabelle.

Azure und Dynamics 365

Microsoft 365