.png){kind=logo}
Nutzen Sie Cloud und KI. Post-Quantum-sicher und DORA-konform
Betrugserkennung, Risikomodelle und GenAI brauchen Zugriff auf genau die Daten, die Banken und Versicherer am stärksten schützen müssen. Confidential Computing löst diesen Zielkonflikt technisch: Kundendaten bleiben auch während der Verarbeitung geschützt, KI läuft in attestierten Enklaven und Risikosignale lassen sich institutionsübergreifend auswerten, ohne Rohdaten offenzulegen. Auf der Cloud-Infrastruktur Ihrer Wahl, mit Schlüsseln unter eigener Kontrolle und technischer Evidenz für DORA-relevante Kontroll- und Nachweispflichten.
Wegen DORa Hier? Auf unserer DORA-seite zeigen wir, welche anforderungen Confidential Computing technisch unterstützt.
Alle drei führen zu derselben Frage: Wer kann sensible Daten während der Verarbeitung lesen – und lässt sich dies technisch kontrollieren und überprüfen?
In klassischen Architekturen haben Betreiber und deren Administratoren – oder Angreifer, die sich entsprechende Rechte verschaffen– privilegierten Zugriff auf Daten während der Verarbeitung. Confidential Computing verhindert dies, indem Workloads in hardwarebasierten Ausführungsumgebungen von der Infrastruktur isoliert werden. Über Remote Attestation lässt sich zudem prüfen, ob die vorgesehene Ausführungsumgebung und der Workload einem freigegebenen Zustand entsprechen.
Beginnen Sie mit den Workloads, die heute noch an Risiko- oder Compliance-Prüfungen scheitern. Bewähren sich die Schutzmechanismen und technischen Nachweise im Betrieb, lässt sich Confidential Computing schrittweise auf weitere Anwendungen ausweiten.
Bei kundenseitig kontrollierten Schlüsseln und attestierungsgebundener Freigabe wird Schlüsselmaterial ausschließlich für autorisierte Workloads bereitgestellt. Sensible Daten bleiben dabei während der Verarbeitung geschützt und Cloud-Administratoren, Provider und Plattformbetreiber – einschließlich enclaive – haben allein aufgrund ihrer Infrastrukturrechte keinen regulären Klartextzugriff.
Nur attestierte Workloads, deren Zustand den definierten Freigaberichtlinien entspricht. Stimmen die gemessenen Werte nicht mit der Policy überein, wird kein Schlüsselmaterial freigegeben.
Attestation-Ergebnisse und Schlüsselereignisse entstehen im laufenden Betrieb und können manipulationsgeschützt protokolliert werden. Zusammen mit definierten Policies liefern sie technische Evidenz, die sich in bestehende Kontroll- und Auditprozesse einbinden lässt.
Von der Vorgabe zur technischen Umsetzung
IKT-Risikomanagement, Exit-Strategien und kryptografische Kontrollen: enclaive unterstützt technische Maßnahmen, die sich konkreten DORA-Anforderungen und den zugehörigen RTS zuordnen lassen – wie der Schutz von Data in Use.
Art. 32 DSGVO verlangt ein dem Risiko angemessenes Schutzniveau und nennt ausdrücklich Verschlüsselung. Confidential Computing ergänzt klassische Maßnahmen um den Schutz personenbezogener Daten während der Verarbeitung.
§ 25a KWG und MaRisk verlangen ein angemessenes Risikomanagement. Confidential Computing begrenzt privilegierte Zugriffe technisch und liefert mit Remote Attestation zusätzliche Evidenz für Kontrollprozesse.
BSI und europäische Cybersicherheitsbehörden empfehlen eine risikobasierte PQC-Migrationsplanung. Krypto-agiles Key Management schafft dafür die technische Grundlage.
Each mapping is downloadable, built to be dropped into supervisory correspondence — and honest about what no product can do for you.
Was Finanzunternehmen wissen wollen
Erfüllt Confidential Computing die Verschlüsselungsanforderungen von DORA?
Die technischen Standards unter DORA adressieren Verschlüsselung für Data at Rest und Data in Transit sowie – soweit nach Risikoprofil erforderlich – auch den Schutz von Data in Use. Confidential Computing macht gerade diesen dritten Schutzbereich operativ umsetzbar. Es unterstützt die DORA-Compliance, ersetzt aber weder Governance, Resilienztests noch das IKT-Drittparteienmanagement. Mehr dazu finden Sie auf unserer DORA-Seite.
Müssen wir unsere Kernsysteme dafür neu aufbauen?
Nein, in der Regel nicht. Mit enclaives Technologie lassen sich bestehende Workloads in Confidential-Computing-Umgebungen überführen, ohne sie grundlegend neu zu entwickeln. Der konkrete Anpassungsaufwand hängt von Anwendung, Abhängigkeiten und Zielumgebung ab.
Wir nutzen bereits zertifizierte physische HSMs. Werden sie dadurch ersetzt?
Nein, sie werden um cloud-native Flexibilität erweitert. Das enclaive vHSM lässt sich mit physischen HSMs – etwa von Utimaco – verbinden, wo Richtlinien oder Zertifizierungen eine Hardware Root of Trust voraussetzen. So können Sie Ihre bestehende Schlüsselinfrastruktur für Cloud- und Confidential Workloads nutzen.
Können wir KI auf sensiblen Kundendaten betreiben?
Das hängt vom konkreten Use Case und seiner datenschutzrechtlichen Bewertung ab. Confidential AI schützt Daten und Modelle während der Verarbeitung und verhindert privilegierte Infrastrukturzugriffe. Eine Rechtsgrundlage, Modell-Governance oder gegebenenfalls eine Datenschutz-Folgenabschätzung ersetzt das nicht, kann aber dank hardwarebasierter, attestierter Schutzmechanismen den weg zum sicheren Einsatz von KI ebnen.
Wie lässt sich die proklamierte Exit-Strategie praktisch testen?
Durch eine echte Migration. Ein repräsentativer Workload wird auf einer zweiten geeigneten Infrastruktur bereitgestellt, Attestation und Schlüsselfreigabe werden geprüft und Abhängigkeiten sowie Aufwand gemessen. Provider-spezifische Managed Services bleiben dabei Teil der Exit-Planung.
Müssen wir enclaive als weiteren IKT-Drittdienstleister im DORA-Informationsregister erfassen?
Das hängt von der Vertragskonstellation ab: Beziehen Sie enclaive direkt, ist die Einordnung eine andere als bei einer Einbindung als Unterauftragnehmer eines bestehenden IKT-Dienstleisters. Das Informationsregister bleibt in jedem Fall Ihre regulatorische Pflicht. enclaive stellt die dafür erforderlichen Anbieterinformationen bereit. Bei kundenseitig kontrollierten Schlüsseln und attestierungsgebundener Freigabe lässt sich zugleich dokumentieren, dass enclaive allein aufgrund seiner Betreiberrolle keinen regulären Klartextzugriff auf Ihre Daten hat.
Können wir die Lösung vor einer Entscheidung mit einem eigenen Workload testen?
Ja. Der übliche Einstieg ist eine technische Evaluierung unter einem NDA mit einem repräsentativen Workload – gemeinsam mit Ihren Security-Architekten und auf Wunsch von Anfang an mit Ihren Prüfern. Bringen Sie idealerweise den Workload mit, der aktuell noch an Risiko- oder Compliance-Anforderungen scheitert.
Bringen Sie blockierte Projekte wieder ins Rollen
Ob Cloud-Migration, KI-Initiative oder Shared Analytics: Zeigen Sie uns, woran Ihr Vorhaben bislang scheitert. Wir zeigen Ihnen, wie Confidential Computing Sicherheits- und Compliance-Hürden technisch adressieren kann, inklusive verifizierbarer Nachweise.
