Azure Managed HSM 2026: Externe Schlüssel für AKS
Azure Managed HSM kann Schlüssel jetzt in Ihrem eigenen HSM außerhalb von Microsoft halten. Was das für AKS-Disks, etcd und Teams in Frankfurt bedeutet.
TL;DR
Azure Managed HSM unterstützt seit dem 16. Oktober 2026 allgemein verfügbar externe Schlüssel: Der Key Encryption Key liegt in Ihrem eigenen HSM außerhalb der Microsoft-Infrastruktur. Für AKS greift das bei Node-Disks und Persistent Volumes über Disk Encryption Sets. Für etcd-Secrets dokumentiert Microsoft Managed HSM bisher nicht. Der Betrieb von HSM und Proxy liegt bei Ihnen.
Was hat Microsoft geändert?
Microsoft hat External Key Management (EKM) für Managed HSM in allen öffentlichen Azure-Regionen freigegeben, also auch in Germany West Central. Azure-Dienste verschlüsseln weiter selbst, das Ein- und Auspacken des Datenschlüssels läuft aber über einen EKM-Proxy zu Ihrem HSM. Die Preview startete im Juli 2026.
Die Eckdaten aus Azure-Update und Learn-Übersicht, Stand 17.10.2026:
| Merkmal | Externer Schlüssel | Managed-HSM-Schlüssel |
|---|---|---|
| Ort des Schlüssels | Ihr HSM außerhalb von Microsoft | HSM in Azure (FIPS 140-3 Level 3) |
| SLA | keine Ende-zu-Ende-SLA | Managed-HSM-SLA |
| Geo-Replikation | nein | ja |
| Backup und Restore | nein | ja |
| Anbindung | Internet mit mTLS, Private Link (Preview) | von Azure verwaltet |
| Aufpreis pro Operation | keiner | keiner |
Gelistet sind sieben HSM-Hersteller, darunter Utimaco, Securosys, Thales und Eviden. Das Update spricht von Freischaltung über das Microsoft-Account-Team, die Learn-Doku von einer automatisch genehmigten Registrierung pro Subscription.
Was bedeutet das für AKS-Cluster?
Für AKS betrifft die Neuerung vor allem Disks. Die CMK-Übersicht führt AKS, Managed Disks und PostgreSQL Flexible Server mit Managed-HSM-Unterstützung. Die Container Registry unterstützt nur Key Vault. Für etcd-Secrets per KMS nennen beide AKS-Anleitungen nur Key Vault.
| AKS-Baustein | Managed HSM laut Doku | Hinweis |
|---|---|---|
| OS-Disks der Nodes | ja (Disk Encryption Set) | nur bei Cluster-Erstellung setzbar |
| Persistent Volumes (Azure Disk) | ja (StorageClass mit diskEncryptionSetID) |
gilt nur für neue PVCs |
| etcd-Secrets (KMS) | k. A. | Doku nennt nur Key Vault, neue KMS-Variante ist Preview ab 1.33 |
| Azure Container Registry | nein | nur Key Vault |
Der kritische Punkt ist die Verfügbarkeit. Laut Disk-Doku fahren VMs automatisch herunter, wenn ihr Schlüssel deaktiviert wird; Disk-I/O scheitert nach etwa einer Stunde. Ausfälle Ihres HSM oder Proxys zählen nicht gegen die SLAs der Azure-Dienste. Ihr Node-Pool hängt damit an Ihrer eigenen HSM-Infrastruktur.
Was kostet das in Frankfurt?
Microsoft berechnet für externe Schlüssel nichts zusätzlich, es gilt der normale Managed-HSM-Preis. Die Azure Retail Prices API nennt am 17.10.2026 für einen HSM Pool Standard B1 in Germany West Central 2,8159 € pro Stunde, netto als Listenpreis. Bei 730 Stunden sind das 2.055,61 € pro Monat.
Hinzu kommen eigenes HSM, Herstellerlizenz und Proxy-Betrieb. Die AKS-Gebühr selbst bleibt unverändert, siehe AKS-Profil.
Was sollten Teams in Deutschland jetzt tun?
Prüfen Sie zuerst, ob eine Vorgabe Sie wirklich zu Schlüsseln außerhalb von Microsoft zwingt. Microsoft selbst nennt EKM eine letzte Option für rechtliche oder vertragliche Pflichten. Gegen den CLOUD Act hilft es nur für Daten at rest; Microsoft bleibt ein US-Konzern.
az feature register --namespace Microsoft.KeyVault --name MHSM_EKM
az aks create -g <rg> -n <cluster> \
--node-osdisk-diskencryptionset-id <des-id> --node-osdisk-type Managed- Vorgabe klären: reicht ein Managed-HSM-Schlüssel oder braucht es physischen HSM-Besitz?
- HSM-Hersteller mit hochverfügbarem Proxy wählen und Ausfallszenarien testen.
- Neue Cluster mit Disk Encryption Set aufsetzen, da OS-Disks sich nachträglich nicht umstellen lassen.
- etcd-Secrets separat bewerten, bis Microsoft Managed HSM für KMS dokumentiert.
Wer Schlüsselhoheit ohne US-Mutter sucht, vergleicht im Überblick souveräne Cloud Anbieter oder im Beitrag zur Delos Cloud.
FAQ
Ist External Key Management in Germany West Central verfügbar?
Ja. Microsoft gibt die Funktion für alle öffentlichen Azure-Regionen frei. Ausgenommen sind nur Azure Government und Azure China. Managed HSM und Disks müssen in derselben Region liegen.
Was kostet ein externer Schlüssel zusätzlich?
Microsoft verlangt keinen Aufpreis pro Operation. Sie zahlen den Managed HSM Pool, in Frankfurt am 17.10.2026 2,8159 € pro Stunde netto, plus eigenes HSM, Herstellerlizenz und Proxy-Betrieb.
Externer Schlüssel vs Managed-HSM-Schlüssel: was passt?
Ohne harte Vorgabe zum physischen HSM-Besitz passt der Managed-HSM-Schlüssel, weil er SLA, Geo-Replikation und Backup mitbringt. Der externe Schlüssel passt, wenn Recht oder Vertrag verlangen, dass der Schlüssel nie in Microsoft-Infrastruktur liegt.
Kann ich bestehende AKS-Cluster umstellen?
Nur teilweise. OS-Disks mit eigenem Schlüssel gehen nur bei der Cluster-Erstellung. Neue Persistent Volumes erhalten den Schlüssel über eine StorageClass; bestehende Disks müssen Sie dafür abhängen und umschlüsseln.
Schützt das vor dem CLOUD Act?
Teilweise. Daten auf Disks sind ohne Ihren Schlüssel nicht lesbar. Laufende Workloads verarbeiten Daten aber entschlüsselt in Azure, und Microsoft bleibt ein US-Unternehmen.
Quellen
- Azure Updates: External key management for Azure Key Vault Managed HSM, 16.10.2026
- Microsoft Learn: Managed HSM external key management
- Microsoft Learn: Dienste mit customer-managed keys
- Microsoft Learn: CMK für Azure Disks in AKS
- Microsoft Learn: Server-side encryption of Azure managed disks
- Microsoft Learn: KMS data encryption in AKS (Preview)
- Azure Retail Prices API, abgerufen 17.10.2026
Quellen
- Azure Updates: Generally Available: External key management for Azure Key Vault Managed HSM (16.10.2026) (abgerufen 17. Oktober 2026)
- Microsoft Learn: What is Managed HSM external key management? (abgerufen 17. Oktober 2026)
- Microsoft Learn: Services that support customer-managed keys in Azure (abgerufen 17. Oktober 2026)
- Microsoft Learn: Use a customer-managed key to encrypt Azure managed disks in AKS (abgerufen 17. Oktober 2026)
- Microsoft Learn: Server-side encryption of Azure managed disks (abgerufen 17. Oktober 2026)
- Microsoft Learn: Enable KMS data encryption in AKS (Preview) (abgerufen 17. Oktober 2026)
- Azure Retail Prices API (Key Vault HSM Pool, Germany West Central, EUR) (abgerufen 17. Oktober 2026)