Schlüsselrotation

Schlüsselrotation bezeichnet den regelmäßigen Austausch von Verschlüsselungsschlüsseln in IT-Systemen. Dazu gehören symmetrische Schlüssel, private Schlüssel bei asymmetrischer Kryptografie sowie Signier- oder Verifikationsschlüssel. Ziel ist es, das Risiko eines Schlüsselkompromitts zu begrenzen und die Lebensdauer einzelner Schlüssel kontrolliert zu verkürzen. Üblicherweise werden Schlüssel durch Versionierung und Schlüsselidentifikatoren nachverfolgbar gemacht.

Durch Rotation wird der Nutzungszeitraum eines Schlüssels begrenzt. Alte Schlüssel können zur Entschlüsselung historischer Daten verwendet werden, solange sie sicher aufbewahrt werden, neue Daten werden jedoch mit dem neuen Schlüssel verschlüsselt. Eine klare Richtlinie für Aufbewahrung, Widerruf und sichere Löschung älterer Schlüssel ist essenziell.

Die Umsetzung erfolgt meist über ein Key Management System (KMS) oder Hardware-Sicherheitsmodule (HSMs). Diese erzeugen, verteilen, speichern, rotieren und archivieren Schlüssel, verwalten Versionen und Schlüsselabgrenzungen und protokollieren Zugriffe. Wichtige Konzepte sind Schlüsselarchive, Rotationspläne, automatisierte Schlüsselzuweisung, Schlüssel-Wrap-Mechanismen sowie strikte Zugriffskontrollen und Auditierung.

Rotationsstrategien umfassen zeitbasierte Rotation (z. B. alle 90 oder 365 Tage), ereignisbasierte Rotation (im Fall von Kompromittierung, Personalwechsel oder Sicherheitsupdates) sowie Rolling Keys, bei denen Schlüssel schrittweise durch neue Versionen ersetzt werden, während Dienste weiterlaufen. In Protokollen wie TLS oder SSH wird regelmäßig ein neues Schlüsselpaar generiert bzw. ausgetauscht.

Herausforderungen sind die Synchronisation über Systeme hinweg, Leistungs- und Infrastrukturkosten, Backups sowie die sichere Entsorgung alter Schlüssel. Typische Anwendungen finden sich bei TLS-Zertifikat- und Private-Key-Rotation, der Rotationen von Datenbank-Schlüsseln, SSH-Host- und Benutzer-Schlüsseln sowie in Cloud-KMS-Umgebungen.