Double Key Encryption

Was ist Double Key Encryption?

Double Key Encryption (DKE) ist ein von Microsoft angebotener Zusatzdienst für Microsoft 365, der es ermöglichen soll streng vertrauliche Daten mittels Doppelschlüsselverschlüsselung zu schützen, um so spezielle Anforderungen (wie zum Beispiel die DSGVO) umsetzen zu können. Somit soll der Zugriff von Drittanbieter auf die Daten verhindert werden.

Rechtliche Probleme bei der Nutzung von Microsoft 365

Seit dem der Privacy Shield am 16.07.2020 durch den Europäischen Gerichtshof aufgehoben wurde, ist eine auf diesen gestützte Weiterleitung und Verarbeitung von personenbezogenen Daten nicht mehr möglich. Zur Weiterleitung von entsprechenden Daten in Drittländer insbesondere in solche die als „Unsicher“ im Sinne der DSGVO gelten bedarf es der Beachtung der Artt. 44 ff. DSGVO. Danach ist eine solche Übermittlung nur zulässig, wenn ein Angemessenheitsbeschluss gemäß Art. 46 DSGVO besteht oder geeignete Garantie gemäß Art. 46 DSGVO (z.B. Standarddatenschutzklauseln) oder entsprechende Ausnahmen (z.B.  nach Art. 49 DSGVO greifen.

Entscheidende Rolle im Zusammenhang mit der Übermittlung von Daten in die USA spielen die amerikanischen Gesetze insbesondere der CLOUD ACT sowie der PATRIOT ACT für die Bewertung der Konformität mit der DSGVO. Im Rahmen dieser Gesetzgebung bestehen maßgebliche Zugriffsrechte der US-amerikanischen Behörden auf entsprechenden Daten, sodass sich schon der Wissenschaftliche Dienst des Deutschen Bundestages mit dieser Frage beschäftigte und weitreichende Zugriffsrechte und ein dadurch entstehendes Spannungsverhältnis zur DSGVO sah.

Ein ähnlicher Schluss ergibt sich aus einem von der Datenschutzkonferenz beauftragtem Rechtsgutachten, welches den US-Behörde erhebliche Zugriffsmöglichkeiten sowie Herausgabeansprüche ausweist.

Darunter fällt auch die Nutzung von Microsoft 365 insbesondere dann, wenn personenbezogenen Daten im Rahmen von Microsoft 365 verarbeitet und gespeichert werden (z.B. Kundenanschreiben mit Anschrift und weiteren Daten in der One-Cloud).

Microsoft hat seinen Sitz in den USA und unterliegt somit den oben genannten Zugriffsrechten der US-Behörden, welche sich auch auf die jeweiligen Tochterfirmen in anderen Ländern erstrecken. Microsoft hat überdies Zugriff auf alle Daten, die über Cloud-Dienste verarbeitet und gespeichert werden. Hier setzt nun die Lösung mittels Double Key Encryption Dienst von Microsoft an. Somit soll der Zugriff durch Dritte (z.B. US-Behörden) unmöglich gemacht werden.

Wie funktioniert Double Key Encryption?

Bei der von Microsoft angebotenen Double Key Encryption werden zur Verschlüsselung der Daten zwei Schlüssel verwendet und somit eine doppelte Verschlüsselung erzielt. Die Besonderheit besteht darin, dass ein Schlüssel beim Cloudanbieter verbleibt und der andere Schlüssel lokal auf einem eigenen Schlüsselverwaltungsserver oder in der Cloud gehostet werden kann. Die Verschlüsselung findet in der Cloud über einen in der Azure Key Vault abgelegten Encryption Key statt.

Vor- und Nachteile von Double Key Encryption

Die Double Key Encryption erhöht die Datensicherheit und ermöglicht eine Nutzung der Microsoft 365 Dienste laut Microsoft im Rahmen von rechtlichen Bestimmungen (wie z.B. die DSGVO). Daran geknüpft sind jedoch erhebliche Funktionseinschränkungen. Unter anderem sind folgende Dienste nicht mehr nutzbar:
• Transportregeln, einschließlich Anti-Schadsoftware und Spam, die Sichtbarkeit in der Anlage erfordern
• Microsoft Delve
• eDiscovery
• Inhaltssuche und -indizierung
• Exchange Active Sync
• macOS Support
• Office Online incl. Collaboration
• Office Web-Apps, einschließlich Funktionen für die gemeinsame Dokumenterstellung
Darüber hinaus sind PDFs nicht verschlüsselbar und die Nutzung ist auf Windows beschränkt. Somit ist eine Ansicht von Dokumenten im Rahmen von DKE nicht auf IOS- und Android-Geräten möglich. Ebenfalls ist die Nutzung von DKE nicht mit MS Teams möglich, allerdings besteht hier eine Ende-zu-Ende-Verschlüsselungsoption.
Alle externen Anwendungen oder Dienste, die nicht über das Microsoft Information Protection Software Development Kit (MIP SDK) in DKE integriert sind, können keine Aktionen für die verschlüsselten Daten ausführen. Jedenfalls ist für die Integration von DKE Microsoft Azure nötig. Dadurch besteht keine Möglichkeit außerhalb der Microsoft 365 Welt Dokumente zu öffnen/zu bearbeiten.
Somit ergibt sich keine Möglichkeit der Bearbeitung oder Ansicht der Daten innerhalb der Cloud. Eine Bearbeitung der Dateien lässt sich nur nach erfolgreicher kompletter Entschlüsselung vornehmen.
Mit der Einrichtung von dem DKE-Dienst gehen entsprechende Lizenzkosten einher. So bedarf es zur Implementierung von DKE folgender Lizenzen:
• Microsoft 365 E5
• Azure Information Protection
• Microsoft Office Apps for Enterprise Version 2009 oder höher
• Azure Information Protection Unified Labeling Client Version 2.7.93.0
Weitere Kosten können entstehen, wenn ein Schlüsselverwaltungsserver (KMS/HMS) oder eine entsprechende Cloud-Lösung genutzt werden soll.

Fazit

Mit dem Double Key Encryption Dienst biete Microsoft eine weitere Variante zur Verschlüsselungsthematik an. Allerdings gehen durch diese Art der Verschlüsselung viele Funktion und Features verloren. Des Weiteren ist die Implementierung von DKE sehr umfangreich.

Hinsichtlich der Lizenzierung und der Kosten entsteht zudem eine zusätzliche Belastung, sodass letztlich DKE zwar eine weitere Option jedoch keinen echten Mehrwert zu anderen Verschlüsselungsmethoden wie zum Beispiel Hold your own Key (bei der vor dem Upload in die Cloud mittels eigenem Schlüssel die Daten verschlüsselt werden) bietet.