Was ist AWS KMS?
AWS KMS (Key Management Service) ist ein verwalteter Service zur zentralen Verwaltung kryptografischer Schlüssel. KMS ermöglicht die Erstellung, Rotation und Kontrolle von Encryption Keys, die zum Schutz von Daten in AWS-Services und eigenen Anwendungen genutzt werden.
Der Service nutzt Hardware Security Modules (HSMs) mit FIPS-140-2-Zertifizierung; CloudHSM bietet dabei dediziertes Single-Tenant-HSM mit dem höheren Sicherheitslevel. Private Keys verlassen die HSMs nie im Klartext. KMS integriert sich mit einer großen Zahl an AWS-Services, darunter S3, EBS, RDS, DynamoDB, Lambda und Secrets Manager.
AWS KMS ist in praktisch allen AWS-Regionen verfügbar, darunter EU-Regionen für Anwendungen mit Anforderungen an Datenverarbeitung innerhalb der EU. Multi-Region Keys ermöglichen globale Ver- und Entschlüsselung mit identischer Key-ID über mehrere Regionen hinweg.
Wie funktioniert AWS KMS?
KMS basiert auf Envelope Encryption: Statt Daten direkt mit dem Master Key zu verschlüsseln (die direkte Verschlüsselung ist auf kleine Datenmengen begrenzt), generiert KMS Data Encryption Keys (DEKs), die die eigentlichen Daten verschlüsseln. Der DEK selbst wird mit dem KMS-Schlüssel verschlüsselt und zusammen mit den Daten gespeichert.
Encryption Workflow
Verschlüsselung:
- Anwendung ruft die
GenerateDataKey-API auf - KMS generiert einen Klartext-DEK und einen verschlüsselten DEK
- Anwendung verschlüsselt Daten lokal mit dem Klartext-DEK
- Anwendung speichert verschlüsselte Daten plus verschlüsselten DEK
- Der Klartext-DEK wird aus dem Speicher gelöscht
Entschlüsselung:
- Anwendung ruft die
Decrypt-API mit dem verschlüsselten DEK auf - KMS prüft Key Policy und IAM-Berechtigungen
- KMS entschlüsselt den DEK und gibt den Klartext-DEK zurück
- Anwendung entschlüsselt Daten lokal mit dem Klartext-DEK
- Der Klartext-DEK wird aus dem Speicher gelöscht
Key-Typen
Symmetrische Keys (AES-256): Standard für Daten-Encryption mit hoher Performance, unterstützen Encrypt/Decrypt/GenerateDataKey.
Asymmetrische Keys (RSA, ECC): Public/Private-Key-Paare für Sign/Verify oder Encrypt/Decrypt. Der Public Key ist exportierbar, der Private Key bleibt im KMS-HSM. Einsatz: digitale Signaturen, PKI-Integration, plattformübergreifende Verschlüsselung.
HMAC Keys: Für Hash-based Message Authentication Codes (GenerateMac, VerifyMac), etwa für API-Request-Signing oder Token-Generierung.
Key Policies und Permissions
Jeder KMS-Schlüssel hat eine Key Policy (Resource-based Policy), die festlegt, wer den Schlüssel nutzen darf. Die Key Policy ist obligatorisch, IAM-Policies können zusätzlich greifen. Grants sind temporäre, delegierbare Berechtigungen, die AWS-Services etwa beim Anhängen verschlüsselter Volumes automatisch erstellen.
Typische Anwendungsfälle
Encryption at Rest für AWS Services
KMS ist der Standard-Mechanismus für Encryption at Rest in AWS und integriert sich unter anderem mit S3 (SSE-KMS), EBS (verschlüsselte Volumes), RDS/Aurora (transparente Datenbankverschlüsselung), DynamoDB, Lambda und Secrets Manager.
Client-Side Encryption in Anwendungen
Daten lassen sich bereits in der Anwendung verschlüsseln, bevor sie an AWS-Services gesendet werden, etwa über das AWS Encryption SDK, das KMS für das Data-Key-Management nutzt und Key Caching zur Reduktion von API-Aufrufen bietet.
Compliance und regulatorische Anforderungen
KMS unterstützt Compliance-Anforderungen wie HIPAA, PCI DSS und ISO 27001 durch FIPS-zertifizierte HSMs und lückenlose CloudTrail-Audit-Logs für alle Schlüsselzugriffe.
Cross-Account Encryption
KMS-Schlüssel lassen sich über Konten hinweg teilen, etwa über ein zentrales Security-Account, das Schlüssel verwaltet, während Workload-Accounts über Cross-Account Key Policies darauf zugreifen.
Digitale Signaturen und PKI
Asymmetrische KMS-Schlüssel unterstützen Sign/Verify-Operationen ohne Export des Private Keys, etwa für Code Signing, Dokumentsignaturen oder JWT-Token-Signierung.
Multi-Region Disaster Recovery
Multi-Region Keys ermöglichen globale Ver- und Entschlüsselung mit identischen Key-IDs über mehrere Regionen, etwa für Disaster-Recovery-Szenarien ohne erneute Verschlüsselung der Daten.
Best Practices für AWS KMS
Customer Managed Keys für Produktionsdaten nutzen: AWS Managed Keys sind einfach, bieten aber keine Kontrolle über Key Policies. Für Produktionsdaten empfiehlt sich eine eigene Key Policy mit Least-Privilege-Prinzip.
Automatische Key Rotation aktivieren: Rotation läuft für Anwendungen transparent ab, da alte Schlüsselversionen für bestehende verschlüsselte Daten erhalten bleiben.
Encryption Context für Audit nutzen: Zusätzliche authentifizierte Daten (AAD), die bei Encrypt/Decrypt übereinstimmen müssen, verbessern die Nachvollziehbarkeit im CloudTrail-Log.
Key Policy Conditions einsetzen: Bedingungen wie kms:ViaService oder aws:SourceVpc schränken die Nutzung eines Schlüssels granular ein.
Separate Keys für unterschiedliche Zwecke verwenden: Trennung nach Umgebung, Service oder Datenklassifizierung reduziert den Blast Radius bei einer Kompromittierung.
Key-Nutzung kontinuierlich überwachen: CloudWatch-Metriken, CloudTrail-Logs und AWS Config helfen, ungewöhnliche Aktivitäten wie ungenutzte oder gelöschte Schlüssel frühzeitig zu erkennen.
AWS KMS vs. Alternativen
AWS KMS vs. Google Cloud KMS: Beide bieten symmetrische und asymmetrische Schlüssel mit HSM-Unterstützung und automatischer Rotation. AWS punktet mit einer sehr großen Zahl integrierter Services und einem External Key Store für On-Premises-HSMs.
AWS KMS vs. Azure Key Vault: Azure Key Vault kombiniert Key-, Secret- und Zertifikatsverwaltung in einem Dienst, während AWS diese Funktionen auf KMS, Secrets Manager und ACM aufteilt.
KMS vs. CloudHSM: KMS eignet sich für Standard-Compliance-Anforderungen mit einfacherem Management. CloudHSM ist die richtige Wahl, wenn FIPS 140-2 Level 3, ein Single-Tenant-HSM oder volle Kontrolle über den Key-Lifecycle gefordert sind – bei entsprechend höheren Kosten.
Als Multi-Cloud-Experten beraten wir Sie herstellerneutral zur optimalen Lösung für Ihre Anforderungen.
Integration mit innFactory
Als AWS Reseller unterstützt innFactory Sie bei:
Architektur-Design: Konzeption sicherer Key-Management-Architekturen mit KMS, inklusive Key-Hierarchien, Encryption-Context-Strategien und Multi-Region-Key-Design.
Migration: Sichere Migration bestehender Encryption-Lösungen zu KMS, inklusive Re-Encryption von Daten, Import eigener Keys (BYOK) und CloudHSM-Migration.
Security & Compliance: KMS-Implementierung mit Key-Policy-Design nach Least-Privilege-Prinzip, Encryption-at-Rest für sensible Daten und Audit-Trails mit CloudTrail.
Performance-Optimierung: Integration des AWS Encryption SDK mit Key Caching zur Reduktion von KMS-API-Calls sowie Monitoring zur Vermeidung von Throttling.
Kostenoptimierung: Analyse Ihrer KMS-Nutzung zur Identifikation ungenutzter Keys und Optimierung von API-Call-Mustern.
Kontaktieren Sie uns für eine unverbindliche Beratung zu AWS KMS und Encryption-Architekturen auf AWS.
Verfügbare Varianten & Optionen
AWS Managed Keys
- Automatisch erstellt und verwaltet
- Keine zusätzlichen Kosten für Key Storage
- Integration mit AWS Services
- Keine Key Policy Kontrolle
- Keine Cross-Account Nutzung
Customer Managed Keys
- Volle Kontrolle über Key Policies
- Cross-Account Zugriff möglich
- Automatische Rotation optional konfigurierbar
- CloudTrail Audit Logs
- Laufende Kosten pro Key und Monat
CloudHSM
- Dedizierte HSM-Hardware (FIPS 140-2 Level 3)
- Volle Kontrolle über Keys
- Compliance für höchste Anforderungen
- Deutlich teurer als Standard-KMS-Keys
- Komplexeres Management
Typische Anwendungsfälle
Häufig gestellte Fragen
Was ist AWS KMS?
AWS KMS (Key Management Service) ist ein verwalteter Service zur Erstellung und Kontrolle kryptografischer Schlüssel. KMS integriert sich mit einer großen Zahl von AWS-Services wie S3, EBS, RDS und Lambda für Encryption at Rest. Der Service nutzt Hardware Security Modules (HSMs) mit FIPS-140-2-Zertifizierung und ermöglicht zentrale Key-Verwaltung, Audit-Trails und granulare Zugriffskontrolle.
Was kostet AWS KMS?
Customer Managed Keys kosten eine monatliche Grundgebühr pro Schlüssel (aktuell rund 1 USD, anteilig pro Stunde berechnet), hinzu kommt eine Gebühr pro API-Request, wobei ein monatliches Freikontingent gilt. Asymmetrische Operationen sind teurer als symmetrische. AWS Managed Keys sind kostenlos. CloudHSM wird zusätzlich pro HSM und Stunde abgerechnet und ist deutlich teurer als Standard-KMS-Keys. Aktuelle Preise finden sich auf der offiziellen AWS-Preisseite.
Wie funktioniert Envelope Encryption?
Envelope Encryption ist das KMS-Grundprinzip: KMS generiert Data Encryption Keys (DEKs), die Ihre Daten verschlüsseln. Der DEK selbst wird mit dem KMS-Schlüssel verschlüsselt und neben den Daten gespeichert. Bei Entschlüsselung ruft KMS den verschlüsselten DEK ab, entschlüsselt ihn und gibt den Klartext-DEK zurück. Vorteil: Beliebig große Datenmengen lassen sich verschlüsseln, obwohl die direkte KMS-Verschlüsselung nur für kleine Datenmengen ausgelegt ist.
Was ist der Unterschied zwischen AWS Managed und Customer Managed Keys?
AWS Managed Keys (z. B. aws/s3, aws/rds) werden automatisch erstellt, wenn Sie Encryption aktivieren, und rotieren automatisch jährlich; Sie haben aber keine Kontrolle über Key Policies. Customer Managed Keys geben volle Kontrolle: eigene Key Policies, Cross-Account Access, optionale automatische Rotation und CloudTrail-Logs. Best Practice: Customer Managed Keys für Produktionsdaten mit erhöhten Anforderungen.
Wie funktioniert automatische Key Rotation?
Bei Customer Managed Keys lässt sich automatische Rotation aktivieren; standardmäßig rotiert AWS KMS das Schlüsselmaterial dann alle 365 Tage, ein individueller Rotationszeitraum ist konfigurierbar. Alte Schlüsselversionen bleiben für die Entschlüsselung bestehender Daten erhalten, sodass Rotation ohne Code-Änderungen transparent abläuft. AWS Managed Keys rotieren automatisch jährlich und sind nicht konfigurierbar; asymmetrische und HMAC-Keys unterstützen nur manuelle Rotation.
Kann ich eigene Keys importieren (BYOK)?
Ja, über Import Key Material lassen sich eigene symmetrische Schlüssel in KMS importieren, verschlüsselt mit einem von KMS bereitgestellten Public Wrapping Key. Sie können ein Ablaufdatum für das importierte Material setzen und das Material bei Bedarf löschen. Importierte Schlüssel unterstützen keine automatische Rotation und müssen extern verwaltet werden.
Hinweis: Alle Produktinformationen auf dieser Seite wurden sorgfältig zusammengestellt, sind jedoch ohne Gewähr und können veraltet oder unvollständig sein. Cloud-Services entwickeln sich schnell weiter — Funktionen, Preise, SLAs und Verfügbarkeit ändern sich laufend. Verbindliche und aktuelle Informationen finden Sie ausschließlich auf der offiziellen Produktseite von AWS (offizielle Dokumentation). Diese Seite stellt kein Angebot von AWS dar.