DATA VAULT / TECHNICAL DESIGN

Verschlüsselung, Schlüsselverwaltung und Speicherung

Persönliche Daten getrennt speichern und Entschlüsselungspfade einschränken. Gestalten Sie Speicherung, Nutzung, Löschung und Wiederherstellung als einen Lebenszyklus.

DEEP DIVE

Funktionsweise und Wirkung verstehen.

Der Name eines Algorithmus allein erklärt nicht, welche Risiken reduziert werden. Beispiele zur Adressspeicherung und Lieferung veranschaulichen Schlüssel und Datenflüsse.

Daten und Verschlüsselungsschlüssel trennen

Ein Beispiel für Envelope Encryption verschlüsselt personenbezogene Daten mit einem DEK und schützt diesen mit einem KEK. Nutzen Sie authentifizierte Verschlüsselung und lehnen Sie manipulierte Daten vor der Verwendung ab.

DEK / KEK: Datenbankzugriff darf keinen Zugriff auf KMS-verwaltete Schlüssel erteilen.
nonce / authentication tag: Vermeiden Sie die Wiederverwendung von Nonces mit AES-GCM und lehnen Sie ungültige Authentifizierungstags ab.
Zusätzliche authentifizierte Daten (AAD): Binden Sie tenant_id, record_id und schema_version ein, um einen Austausch von Chiffretext zu erkennen.
Schlüsselrotation: Unterscheiden Sie das erneute Wrapping der DEKs bei einer KEK-Rotation von der erneuten Datenverschlüsselung bei einer DEK-Rotation.

CLOUD KEY MANAGEMENT

Cloud-Dienste zur sicheren Schlüsselverwahrung.

Der Vault verwaltet seinen KEK in Azure Key Vault. Trennen Sie Schlüsselrechte zum Schutz der Datenschlüssel (DEK) vom Datenbankzugriff.

Azure: Verwenden Sie Azure Key Vault. Wählen Sie Azure Managed HSM, wenn eine dedizierte HSM-Umgebung erforderlich ist.
AWS: Das aktuelle DEV-Produkt ist eine Adress-API auf Azure. E-Mail-Versand, Ausweisbilder, OCR und AWS KMS sind nicht enthalten. Allgemeine Architekturbeispiele sind keine enthaltenen Funktionen. Klären Sie Speicherort, Betrieb und zusätzliche Integrationen bei der Einführung.
Die Rolle von OneNym: Kombinieren Sie Cloud-Schlüsselverwaltung mit Regeln für Arbeitsabläufe: Wer darf welche Daten zu welchem Zweck und bis wann abrufen?

Speichern Sie Chiffretext und gewrappte DEKs statt dauerhaft gespeicherter Klartext-DEKs. Kompromittierte Schlüsselnutzungsrechte können die Entschlüsselung ermöglichen. Trennen Sie deshalb Daten-, Schlüssel- und Verwaltungszugriff.

Entschlüsselungspfade minimieren

Trennen Sie Datenbankverbindungen von der Berechtigung zur Entschlüsselung. Nur autorisierte Aktionen entschlüsseln notwendige Felder. So gelangen unnötige personenbezogene Daten nicht in Antworten, Protokolle oder Ausnahmen.

Antworten auf Feldebene: Geben Sie nur erlaubte Felder zurück, etwa die zur Lieferung benötigte Adresse.
Administrativer Zugriff: Trennen Sie Routine- und Notfallaktionen mit starker Authentifizierung, Zeitlimits und Audit-Aufzeichnungen.
Suchkonzept: Die Suche in verschlüsselten Feldern benötigt ein eigenes Konzept. Auch Such-Hashes bergen Risiken durch Abgleich und Erraten.

Löschung, Backups und Wiederherstellung

Definieren Sie die Aufbewahrung nach Zweck. Verfolgen Sie Löschungen in Quelldaten, Replikaten, Backups und bei Partnern. Wenden Sie Löschaufzeichnungen nach einer Wiederherstellung erneut an, damit gelöschte Daten nicht zurückkehren.

Löschvorgang abgeschlossen: Protokollieren Sie logische Löschung, physische Löschung und Schlüsselvernichtung gesondert.
Schlüsselvernichtung: Erwägen Sie dedizierte Schlüssel nur, wenn alle wiederherstellbaren Kopien einschließlich Backups entfernt werden können. Die Vernichtung gemeinsam genutzter Schlüssel betrifft auch andere Datensätze.
Wiederherstellungsziele: Definieren Sie RPO und RTO und testen Sie die Wiederherstellung praktisch.
Audit-Protokolle: Protokollieren Sie Akteur, Aktion, Zielreferenz, Zeitpunkt und Ergebnis. Keine personenbezogenen Daten oder rohen Tokens protokollieren.

DATA / INTEGRATION EXAMPLE

Daten- und Integrationsbeispiel

Diese Beispiele erläutern das Konzept. Feldnamen und Werte dienen der Veranschaulichung und sind keine ausführbare API-Referenz.

{
  "operation": "Vault record metadata example",
  "record": {
    "tenant_id": "tenant_a",
    "record_id": "rec_example_01",
    "schema_version": 1,
    "ciphertext": "<encrypted bytes>",
    "wrapped_dek": "<wrapped key>",
    "kek_version": "key-version-2",
    "retention_until": "<agreed retention date>",
    "status": "active"
  }
}

Dieses Beispiel erläutert die Speicherstruktur. Verwenden Sie für Nonces und Tags das Format der Kryptobibliothek. Verschlüsselung allein verhindert keinen Missbrauch legitimer Entschlüsselungsrechte.

Integration für Ihre Arbeitsabläufe.

Erfassen Sie gespeicherte Daten, Partner und erforderliche Aktionen, um Möglichkeiten zur Reduzierung der Datenexposition zu erkennen.

Besprechen Sie die technische Integration