.png){kind=logo}
Workloads sicher ausführen – durchgehend verschlüsselt, in jeder Cloud,
zentral gesteuert
eMCP provisioniert Confidential VMs, Kubernetes-Cluster und Datenbanken in AWS, Azure, Google Cloud und europäischen Clouds – oder auf Ihrer eigenen Hardware. Alle Workloads laufen in Ihrem Account und bleiben auch während der Verarbeitung verschlüsselt. Die benötigten Schlüssel werden nur für Umgebungen freigegeben, deren Integrität zuvor zuverlässig verifiziert wurde.
Läuft auf AWS, Azure, Google Cloud, IONOS, STACKIT und Ihrer eigenen Hardware – mit AMD SEV-SNP und Intel TDX.
Die Plattform, die Confidential Computing nutzbar macht
Moderne Server bringen die Hardware für Confidential Computing bereits mit. Die eigentliche Herausforderung liegt darin, sie über unterschiedliche Cloud-Umgebungen hinweg zuverlässig zu betreiben. eMCP führt Ihre Cloud-Umgebungen auf einer gemeinsamen Plattform zusammen: für reproduzierbare Deployments, einen konsistenten Betrieb und einen verifizierbaren Schutz der Workloads.
Das Fundament Ihrer Confidential Infrastructure
Stellen Sie Confidential VMs auf Basis gehärteter Blueprint Images, Confidential Kubernetes-Cluster mit Isolation auf Pod-Ebene und Datenbanken bereit, die auch während der Verarbeitung verschlüsselt bleiben: eMCP ermöglicht es Ihnen, alle unterstützten Clouds einheitlich anzubinden, ohne sich mit den Besonderheiten jedes einzelnen Providers auseinandersetzen zu müssen.
Vertrauen beginnt mit Verifizierung
Jeder Workload erhält eine attestierte Identität – einen kryptografischen Nachweis darüber, was tatsächlich ausgeführt wird und dass die Umgebung nicht manipuliert wurde. Secrets und Schlüssel werden erst nach erfolgreicher Verifizierung freigegeben. Wird ein Workload verändert oder in eine andere Umgebung verschoben, erhält er keinen Zugriff.
Ihre Keys. Ihre Secrets Ihre Policy.
Verwalten Sie Secrets zentral und Policy-basiert – inklusive Rotation und lückenloser Audit Trails. eMCP stellt dynamische, zeitlich begrenzte Credentials für Clouds und Datastores bereit und bietet ein elastisch skalierbares virtuelles HSM für Ihre Keys. So behalten Sie jederzeit die Kontrolle über Ihre Keys – mit Bring Your Own Key (BYOK) und Hold Your Own Key (HYOK).
Zentrale Kontrolle über alle Umgebungen
Steuern Sie Deployments, Policies, Attestierungsstatus und Nachweise über alle Umgebungen hinweg zentral über eine Konsole und API. Audit-Artefakte werden direkt aus dem laufenden Betrieb der Workloads generiert – und stehen bereit, sobald der Auditor sie benötigt.
Cloud anbinden.
Erstellen Sie in Ihrem AWS-, Azure- oder GCP-Account eine Rolle nach dem Least-Privilege-Prinzip und hinterlegen Sie die Zugangsdaten in eMCP. Alle von eMCP bereitgestellten Ressourcen verbleiben in Ihrem Account und sind jederzeit über Ihre eigene Konsole und Ihre Logs einsehbar.
Blueprint wählen.
Wählen Sie ein Confidential VM Image, Kubernetes-Cluster-Profil oder Datenbank-Pattern. Alle Blueprints sind standardmäßig sicher vorkonfiguriert – damit steht die sichere Basis bereits vor Ihrem ersten Deployment.
Sicher ausführen.
Der Workload startet im verschlüsselten Speicher, weist seine Integrität nach und erhält erst dann Zugriff auf Keys und Secrets. Anschließend verhält er sich wie jeder andere Workload – mit einem entscheidenden Unterschied: Nicht einmal die Betreiber der Infrastruktur können seine Daten einsehen.
Geschützt & verifiziert
Sechs Services,
eine Garantie
Jeder Service läuft in Ihrer Cloud, während der Verarbeitung verschlüsselt und durch Attestierung geschützt.
Gehärtete Guest-OS-Images, die auf AMD SEV-SNP- oder Arm CCA-Systemen im verschlüsselten Speicher ausgeführt werden.
Migration bestehender sensibler Anwendungen in die Cloud – ohne lange Sicherheits- und Freigabeprozesse.
Kubernetes-Cluster, in denen Pods als Confidential VMs gekapselt werden – mit Isolation auf Pod-Ebene für Multi-Tenant-Umgebungen und reduzierten Zugriffspfaden über die Control Plane.
Eine sichere, vorkonfigurierte Landing Zone für containerisierte Workloads – auch im Fall eines VMware-Exits.
Managed MariaDB und PostgreSQL, bei denen Ihre Daten auch während der Verarbeitung verschlüsselt bleiben – ergänzt um eine Confidential Container Registry.
Verarbeitung sensibler Kunden- oder Patientendaten, für die gängige Managed Databases aus Datenschutz- oder Compliance-Gründen nicht infrage kommen.
Zentrale Policies für statische Secrets, dynamische zeitlich begrenzte Credentials mit automatischem Entzug sowie hochverfügbare Vault-Cluster mit Agent-basierter Bereitstellung.
Konsolidierung verteilter Secrets aus Konfigurationsdateien und CI-Variablen in einem zentralen, über die Policy verwalteten Vault.
Schlüsselverwaltung auf HSM-Niveau
Confidential Computing – mit der Wirtschaftlichkeit einer VM. Auch im Parallelbetrieb zu bestehenden HSM-Infrastrukturen , ohne Rip-and-Replace.
Bereitstellung kundenseitig kontrollierter Keys (BYOK/HYOK), die von Regulierungsbehörden und oder Enterprise-Kunden gefordert werden.
Signing Keys und Pipeline Secrets werden ausschließlich für verifizierte Build-Umgebungen freigegeben und schützen so Ihre Software Supply Chain
Nachweis gegenüber Kunden, dass Releases ausschließlich in verifizierten Umgebungen erstellt und signiert werden.
Bereitgestellt über Buckypaper (Confidential VMs), Dyneemes (Confidential Kubernetes),
vHSM, Vault und Nitride – zentral gesteuert über eMCP.
Ihr Account. Ihre Regeln. Unsere Control Plane
eMCP stellt Ressourcen direkt auf Ihrem eigenen Cloud-Tenant bereit – mit einer von Ihnen angelegten Least-Privilege-Identity, die Sie jederzeit widerrufen können. Ihre Infrastruktur liegt damit nicht in einem vom Anbieter gehosteten Account. Das schafft klare Verantwortlichkeiten und vereinfacht die Bewertung der Plattform durch Einkauf, Audit und Security.
Klein Anfangen, zur Plattform wachsen
Confidential Computing wird selten auf einen Schlag eingeführt. Mit eMCP starten Sie Schritt für Schritt und erweitern Ihre Umgebung nach Bedarf. Dabei steuern Sie alle Stufen über dieselbe Konsole – und schützen so bereits getätigte Investments.
Die Keys zuerst
Virtual HSM und Vault für kundenseitig kontrollierte Keys und Policy-basiert verwaltete Secrets. Minimaler Einführungsaufwand, unmittelbarer Mehrwert für Audits.
Confidential VMs
Migrieren Sie einen ersten sensiblen Workload unverändert in eine Umgebung mit verschlüsseltem Speicher.
Confidential Kubernetes
Etablieren Sie Confidential-by-Default-Cluster als tragfähiges Fundament für neue und migrierte Services.
Vollständige Plattform
Datenbanken, CI/CD, AI Workloads und Multi-Cloud-Umgebungen mit einheitlichen Policies und durchgängiger Governance.
Eine Konsole für alle vier PHASEN – und eine Plattform, die mit Ihren Anforderungen wächst und bereits getätigte Investments schützt.
Workload startet
CPU prüft Code, Konfiguration und Plattformstatus
Nachweis erstellt
Hardwarebasierter Attestierungsnachweis, signiert
Policy geprüft
Nitride gleicht den Nachweis mit Ihrer Policy ab
Keys freigegeben
vHSM und Vault entsiegeln – erst jetzt, nur für diesen Workload
Workload startet
Manipuliertes Image, eingeschleuster Container oder UNBEKANNTER HOST
Nachweis erstellt
Messwert stimmt nicht mit der freigegebenen Konfiguration überein
Policy lehnt ab
Abweichung und Ursache werden im Audit Log erfasst
Keine Freigabe
Keine Keys, keine Secrets – die Daten bleiben verschlüsselt
Fragen vor dem Einstieg
Was bietet mir die kostenlose Version?
Genug für einen echten Praxistest: Stellen Sie Confidential VMs in Ihrem eigenen Cloud-Account bereit und testen Sie Konsole, Attestierung und Secret-Bereitstellung. Wenn Sie das Handling produktiver Workloads testen möchten, wechseln Sie mit unserem Team in ein klar definiertes Pilotprojekt.
Muss ich meine Anwendungen anpassen?
In der Regel nicht. Anwendungen laufen unverändert in Confidential VMs, Kubernetes oder Datenbanken. Die Bereitstellung von Secrets erfolgt über einen Agent oder Proxy und erfordert lediglich Konfigurationsanpassungen, keine Code-Änderungen.
Wie wirkt sich Confidential Computing auf die Performance aus?
Die Verschlüsselung des Arbeitsspeichers erfolgt direkt in der Hardware. Die Auswirkungen auf die Performance sind daher bei den meisten Workloads gering und hängen vom jeweiligen Workload-Profil ab.
Was unterscheidet eMCP von den Confidential VMs der Hyperscaler?
Die Hardware ist dieselbe – das Betriebsmodell nicht. Die Angebote der Hyperscaler sind an die jeweilige Cloud gebunden; die Attestierung und die Key-Freigabe müssen Sie selbst integrieren. Und: Das Key Management liegt bei genau dem Provider, vor dessen Infrastrukturzugriff Sie Ihre Workloads schützen möchten.
Wie steht es um die Hardware-Anforderungen?
Unterstützt wird jedes System mit AMD SEV-SNP oder Arm CCA, verfügbar in aktuellen Servergenerationen aller großen Cloud-Provider sowie für On-Premises-Infrastrukturen.
Was passiert, wenn die Attestierung fehlschlägt?
Der Workload erhält weder Keys noch Secrets; die fehlgeschlagene Attestierung wird im Audit Log dokumentiert. Das gehört zum Sicherheitskonzept: Eine manipulierte, veränderte oder verschobene Umgebung kann keine geschützten Daten entschlüsseln.
Können wir die eMCP vollständig On-Premises oder Air-Gapped betreiben?
Ja, die eMCP unterstützt souveräne und On-Premises-Deployments, bei denen die Control Plane vollständig innerhalb Ihrer eigenen Infrastruktur betrieben wird.
Starten Sie Ihre erste Confidential VM_
Binden Sie einen Cloud-Account an, wählen Sie einen Blueprint und erleben Sie, wie Keys erst nach erfolgreicher Attestierung freigegeben werden – ganz ohne vorher mit dem Vertrieb sprechen zu müssen.
möchten SIE erst tiefer in die Technik einsteigen? Lesen Sie unsere DoKU.
