„Bring Your Own Key“ (BYOK) kommt nach Europa

Nachdem im Frühjahr das Programm „Bring Your Own Key“ (BYOK) in Nordamerika eingeführt wurde, weiten wir BYOK nun auf Europa aus – für Organisationen, die Jamf Pro in der Jamf Cloud in Frankfurt am Main hosten.

Was ist BYOK? Wie funktioniert BYOK?

Mit „Bring Your Own Key“, auch bekannt als CMK (Customer Managed Keys), können Kunden ihre eigenen Verschlüsselungsschlüssel für die in der Jamf Cloud gespeicherten Daten bereitstellen und verwalten. Jamf verschlüsselt Daten auf Festplatten- und Anwendungsebene. BYOK geht aber noch einen Schritt weiter und legt den Verschlüsselungsschlüssel auf Anwendungsebene in Ihre Hände. Damit können Sie mithilfe Ihres eigenen Schlüsselverwaltungssystems einen Schlüssel generieren, und die Cloud-basierten Dienste von Jamf verwenden diesen Schlüssel zum Ver- und Entschlüsseln Ihrer Daten.

BYOK lässt sich in vier wichtige Managementsysteme integrieren, die Sie möglicherweise bereits einsetzen:

• Thales Ciphertrust Manager
• Google Cloud Key Management Service
• AWS Key Management Service
• Microsoft Azure Key Vault

Weitere Informationen dazu finden Sie in den technischen Details der Produktdokumentation.

Entwickelt für europäische Datenschutzanforderungen

BYOK wurde speziell für regulierte Branchen entwickelt, und für europäische Unternehmen bedeutet das meist DSGVO+ mit zusätzlichen branchenspezifischen Vorgaben. Das Thema, das wir derzeit jedoch am häufigsten mit unseren europäischen Kunden besprechen, betrifft keine einzelne Regelung. Es geht um den Unterschied zwischen Datenresidenz und Datenhoheit: Mit der Entscheidung für ein Rechenzentrum in Frankfurt legen Sie zwar fest, wo Ihre Daten gespeichert werden, aber nicht, welches Recht für das betreibende Unternehmen gilt.

BYOK schließt diese Lücke bei den Jamf Pro-Daten. Da der Verschlüsselungsschlüssel bei Ihnen und nicht bei Jamf liegt, haben wir keinen Schlüssel, den wir herausgeben könnten – selbst nicht bei einer Vorladung oder einer Anfrage nach dem US CLOUD Act. Was Jamf herausgeben kann, hängt davon ab, ob Ihre Organisation zum Zeitpunkt der Anfrage eine aktive Verbindung zu ihrem Schlüsselverwaltungssystem hat; Sie können diese Verbindung – und damit den Zugriff von Jamf auf Ihre nutzbaren Daten – jederzeit trennen. Dies baut auf einer Verpflichtung auf, die wir bereits jedem Kunden gegenüber eingehen: Wir geben keine Kundendaten an staatliche Stellen weiter, es sei denn, wir sind gesetzlich dazu verpflichtet. Soweit es uns gestattet ist, werden wir Sie darüber informieren, damit Sie direkt darauf reagieren können.

Ein paar Punkte, die dabei wichtig sind:

Jamf BYOK wird in Frankfurt gehostet.

BYOK in Europa wird von unserem Rechenzentrum in Frankfurt aus betrieben. Wenn Ihr Unternehmen seinen Sitz im Vereinigten Königreich oder anderswo in Europa hat und BYOK nutzen möchte, müssen Sie möglicherweise Ihr Jamf Cloud-Hosting in diese Region verlegen.

Derzeit erfasste Daten

Am Anfang kann dieser Dienst Daten von Jamf Pro und dere deklarativen Geräteverwaltung (DDM) schützen. Jamf plant, sein Angebot in Zukunft um weitere cloudbasierte Lösungen zu erweitern.

Es geht um Kontrolle, nicht nur um die Konformität.

Wirtschaftsprüfer und Aufsichtsbehörden legen Wert auf die Einhaltung von Vorgaben zur Konformität. Ihrem Sicherheitsteam geht es um eine grundlegendere Frage: Hat irgendjemand bei Jamf die Möglichkeit, unsere Daten ohne unser Wissen zu entschlüsseln? Was BYOK betrifft, lautet die ehrliche Antwort „nein“ – da wir den Schlüssel nicht haben, können wir ohne fortlaufenden Zugriff auf Ihre Verschlüsselungsschlüssel auch die Daten nicht entschlüsseln.

Los geht's

BYOK ist ab sofort für Neu- und Bestandskunden verfügbar, die ihre Jamf-Instanzen im Rechenzentrum der Jamf Cloud in Frankfurt hosten, ausgenommen Jamf Premium Cloud Plus- oder StateRAMP-Umgebungen. Wenden Sie sich an Ihren Jamf-Ansprechpartner, um die Voraussetzungen zu besprechen.