AKTUELL
Microsoft Sovereign Cloud bekommt neue Zugriffs- und Schlüsselkontrollen
Der Speicherort von Cloud-Daten sagt noch wenig darüber aus, wer ein System warten darf und wo dessen Verschlüsselungsschlüssel liegen. Microsoft hat am 20. Oktober einen Ausbau der Microsoft Sovereign Cloud vorgestellt, der genau diese Fragen adressiert. Für Kunden in der EU und der Europäischen Freihandelsassoziation EFTA werden zusätzliche Kontrollen für bestimmte Fernzugriffe eingeführt. Daneben ist die externe Schlüsselverwaltung mit Azure Managed HSM allgemein verfügbar. Das geht aus der offiziellen Ankündigung hervor.
Die Änderungen richten sich vor allem an Behörden, Unternehmen mit sensiblen Daten und Betreiber kritischer Anwendungen. Sie betreffen mehrere Ebenen des Cloudbetriebs: die Aufsicht über Wartungszugriffe, die Kontrolle über Schlüsselhardware und die Möglichkeit, Anwendungen in eigener Infrastruktur zu betreiben. Die einzelnen Funktionen haben allerdings unterschiedliche Verfügbarkeitsstände.
Microsoft Sovereign Cloud ergänzt die europäische Aufsicht
Mit Data Guardian soll ein vertrauenswürdiger EU-Partner bestimmte Fernzugriffe von Microsoft-Technikern auf erfasste Produktivsysteme beaufsichtigen. Die dafür zuständigen Personen sind in Europa ansässig. Nach Microsofts technischer Beschreibung der Public Cloud umfasst diese Aufsicht entsprechende Umgebungen von Azure, Microsoft 365 und Dynamics 365 in EU- und EFTA-Regionen.
Ergänzend startet das Production Touch Ledger gestaffelt. Es soll Zugriffe und dabei ausgeführte Aktionen so protokollieren, dass nachträgliche Manipulationen erkennbar werden. Bestehende Verfahren wie zeitlich begrenzte Administratorrechte und Customer Lockbox bleiben daneben relevant. Customer Lockbox ermöglicht bei bestimmten Zugriffen auf Kundendaten eine Zustimmung des Kunden.
Die neuen Instrumente erfüllen damit unterschiedliche Aufgaben: Ein Zugriffsverfahren regelt die Berechtigung, Data Guardian ergänzt die Aufsicht während des Zugriffs, das Ledger liefert anschließend nachvollziehbare Aufzeichnungen. Microsoft beschreibt eine Einführung für definierte Systeme und Zugriffsarten; eine bereits flächendeckende Abdeckung sämtlicher Dienste lässt sich daraus nicht ableiten.
Der externe Schlüssel schützt weitere Schlüssel
Bei External Key Management bleibt ein übergeordneter Verschlüsselungsschlüssel in einem Hardware-Sicherheitsmodul außerhalb der Microsoft-Infrastruktur. Kunden können diese Hardware selbst oder über einen beauftragten Anbieter betreiben. Azure Managed HSM übernimmt weiterhin die Azure-seitige Anbindung und Berechtigungsprüfung.
Der technische Ablauf ist genauer als die verkürzte Vorstellung, alle Cloud-Daten würden nun ausschließlich außerhalb von Azure entschlüsselt. Der externe Schlüssel schützt die eigentlichen Datenschlüssel. Benötigt ein unterstützter Azure-Dienst einen solchen Datenschlüssel, wird die entsprechende Operation über eine vom Kunden oder dessen HSM-Anbieter betriebene Vermittlungskomponente an die externe Hardware weitergereicht. Der freigegebene Datenschlüssel gelangt zurück zum Azure-Dienst, der die Daten verarbeitet.
Die aktuelle Produktdokumentation stellt ausdrücklich klar, dass die eigentliche Datenverschlüsselung beim Azure-Dienst bleibt. Ein extern gehaltener übergeordneter Schlüssel macht daraus folglich keine Ende-zu-Ende-Verschlüsselung, bei der der Dienstanbieter grundsätzlich keine lesbaren Inhalte verarbeiten kann. Die Funktion unterstützt zudem nur passende Dienste mit der entsprechenden Managed-HSM-Anbindung.
Mehr Kontrolle bringt zusätzliche Betriebsverantwortung
Die externe Schlüsselverwaltung ist allgemein verfügbar. Die Anbindung der Vermittlungskomponente über Azure Private Link befindet sich dagegen weiterhin in der Vorschau. Vor dem Einsatz ist außerdem eine Freischaltung für das jeweilige Azure-Abonnement erforderlich.
Für den laufenden Betrieb ist die Verfügbarkeit der externen Komponenten entscheidend. Fallen Schlüsselhardware, Vermittlungskomponente oder deren Verbindung aus, können abhängige Anwendungen den Zugriff auf verschlüsselte Daten verlieren, obwohl die Azure-Dienste selbst funktionieren.
Microsoft grenzt das in seiner Dokumentation zur geteilten Verantwortung ausdrücklich ab: Die eigenen Dienste bleiben im jeweiligen Leistungsumfang abgesichert. Ausfälle, die auf kundenseitig betriebene externe Komponenten zurückgehen, werden aber nicht den Verfügbarkeitszusagen der betroffenen Azure-Dienste zugerechnet. Hochverfügbarkeit, Wiederherstellung und Betreuung dieser Komponenten liegen beim Kunden beziehungsweise seinem Betreiber.
Die grundsätzliche Abwägung zwischen lokaler Datenhaltung und Cloudbetrieb zeigt sich hier an einer besonders sensiblen Stelle: Mehr unmittelbare Kontrolle verlangt eine belastbare eigene Betriebsorganisation.
Lokaler Betrieb wird ebenfalls ausgebaut
Parallel erweitert Microsoft seine auf Azure Local aufbauende Sovereign Private Cloud. Vertrauliche virtuelle Maschinen sind dort allgemein verfügbar. Sie sollen Daten während der Verarbeitung durch hardwareverschlüsselten Arbeitsspeicher und zusätzliche Isolation schützen.
Andere Erweiterungen folgen später. Foundry Local auf Azure Local und GitHub Enterprise Local sollen zur Konferenz Microsoft Ignite allgemein verfügbar werden. Für DocumentDB und Blob Storage auf Azure Local ist dort zunächst eine öffentliche Vorschau vorgesehen. Auch der Übergang einer verbundenen Azure-Local-Umgebung in einen vollständig getrennten Betrieb wird als Vorschaufunktion angekündigt. Diese Unterschiede nennt Microsoft im Detailbeitrag zur Private Cloud.
Entscheidend bleibt die konkrete Anwendung
Ein neues Sovereign Control Panel soll künftig im Azure-Portal bündeln, welche Kontrollen vorhanden sind, wo Anforderungen verfehlt werden und welche Maßnahmen daraus folgen. Die öffentliche Vorschau ist für Microsoft Ignite angekündigt. Die Funktionsbeschreibung des Kontrollzentrums unterscheidet Bestandsaufnahme, Durchsetzung von Vorgaben und Behebung erkannter Abweichungen.
Für deutsche Organisationen wird damit die Prüfung einzelner Anwendungen wichtiger als ein pauschales Cloudetikett. Europäische Aufsicht, externe Schlüssel und lokaler Betrieb beantworten jeweils andere Anforderungen. Vor einer Umstellung müssen deshalb Dienstunterstützung, regionale Abdeckung, Freischaltung und Wiederherstellung zusammenpassen. Besonders die Schlüsselverwaltung sollte auch bei einem Ausfall der eigenen Infrastruktur beherrschbar bleiben.
Stand der Recherche: 20. Oktober 2026, 11:52 Uhr MESZ.
Hauptquellen
- Microsoft: Ankündigung zum Ausbau der Sovereign Cloud
- Microsoft: Neue Funktionen der Sovereign Public Cloud
- Microsoft Learn: Funktionsweise und Verfügbarkeit der externen Schlüsselverwaltung
- Microsoft Learn: Verfügbarkeitszusagen und geteilte Verantwortung
- Microsoft: Erweiterungen der Sovereign Private Cloud
Transparenzhinweis: Der Beitrag beruht auf Microsofts Ankündigung und technischer Dokumentation. gadgetChecks hat die Funktionen, Zugriffsprotokolle und Ausfallszenarien nicht selbst getestet. Die beschriebenen Schutzwirkungen sind Herstellerangaben.
Technik-Deals im Überblick
Ausgewählte Angebote und zeitlich begrenzte Preisaktionen rund um Technik und Gadgets.
Mehr auf gadgetChecks
Entdecke mehr bei gadgetChecks
gadgetChecks Technik
Tests, Kaufberatung, Technik-News, Ratgeber, Streaming und aktuelle Angebote.
Technikmagazin öffnenWas sich für dich ändert
Regeln, Fristen, Kosten und Warnungen mit ihren konkreten Folgen für Verbraucher.
Alltag Aktuell öffnenGames, Plattformen und Deals
Aktuelle Meldungen zu Releases, Konsolen, PC Gaming, Mobile, Studios und Abos.
Gaming öffnenProdukte, Angebote und Ideen
Neues für Küche, Reinigung, Wohnen, Garten und Balkon – verständlich und praktisch eingeordnet.
Zuhause öffnenPflege, Kosmetik und Geräte
Produkte und Wissen für Frauen und Männer – ehrlich getestet und verständlich eingeordnet.
Gepflegt öffnenTraining, Ernährung und Supplements
Sport, Ausrüstung und Nahrungsergänzung – verständlich erklärt und kritisch eingeordnet.
Sport & Supplements öffnen
