Wer die Schlüssel hält, entscheidet über die Daten.

Gespeichert wird mit Hüllverschlüsselung. Ein Datenschlüssel verschlüsselt die Daten, etwa mit AES-256 im Betrieb Galois/Counter (NIST SP 800-38D). Ein Schlüsselverschlüsselungsschlüssel umhüllt den Datenschlüssel (NIST SP 800-38F), und dieser steht in einem Schlüsselspeicher, dessen Wurzel das Hardware-Sicherheitsmodul nie verlässt.

Der Nutzen liegt im Wechsel: Wird der übergeordnete Schlüssel getauscht, müssen nur die umhüllten Datenschlüssel neu umhüllt werden, nicht die Daten selbst. Datenschlüssel gelten je Mandant und je Datenart, damit der Verlust eines Schlüssels nicht alles öffnet.

Wurzelschlüssel liegen in einem Hardware-Sicherheitsmodul, das Schlüssel nicht herausgibt und Operationen in sich ausführt. Üblich sind Module nach FIPS 140-3; die Anbindung geschieht über PKCS #11 oder KMIP. Der Schlüsselspeicher läuft in einem eigenen Verwaltungsbereich mit eigenen Rollen. Wer den Datenspeicher betreibt, hat damit keinen Zugriff auf die Schlüssel, und eine Sicherungsdatei allein ist ohne die Schlüssel wertlos.

Jede Nutzung eines Schlüssels steht im Verlauf: welche Identität, zu welchem Zweck, zu welcher Zeit. Das Protokoll enthält keine Schlüssel und keine Klartexte.

Drei Arten sind vorgesehen. Verwaltet der Betreiber die Schlüssel, ist das am einfachsten und setzt Vertrauen in den Betreiber voraus. Bei bereitgestellten Schlüsseln erzeugt die Organisation den Schlüssel selbst, übergibt ihn dem System und kann ihn sperren. Bei gehaltenen Schlüsseln verlässt der Schlüssel die Organisation nie: Das System fragt für jede Entschlüsselung bei ihrem Schlüsselspeicher an und liest nichts, wenn die Antwort ausbleibt.

Gelten besondere Anforderungen, etwa im abgeschotteten Netz, liegen die Schlüssel im Netz selbst. Der Entzug eines Schlüssels macht die damit geschützten Daten unlesbar. Das lässt sich als Löschverfahren nutzen, wenn ein Schlüssel nur für diese Daten gilt, und gehört dann in das Löschkonzept.

Jeder Schlüssel hat eine Gültigkeitsdauer, die sich nach seinem Zweck richtet (NIST SP 800-57 Teil 1 nennt sie Kryptoperiode). Der planmäßige Wechsel erzeugt eine neue Version. Neue Daten werden mit ihr geschützt, alte Datenschlüssel werden im Hintergrund umgehüllt, und die vorige Version bleibt zum Entschlüsseln bestehen, bis keiner mehr auf sie zeigt. Bei Verdacht auf Abfluss wird sofort gewechselt und die alte Version gesperrt.

Schlüssel für Signaturen und Prüfwerte, etwa die der Nachweise von KALKÜL, behalten ihren öffentlichen Teil mit Gültigkeitszeitraum, damit auch ältere Nachweise prüfbar bleiben. Die Wahl der Verfahren und Schlüssellängen folgt der Technischen Richtlinie TR-02102 des BSI.

Ein Wurzelschlüssel hat eine Sicherung, die die Organisation selbst festlegt. Eine verbreitete Form ist das Teilen des Schlüssels auf mehrere Träger nach dem Verfahren von Shamir, sodass eine festgelegte Mindestzahl zusammenkommen muss. Erzeugung und Wiederherstellung laufen als Zeremonie mit mehreren Personen und Protokoll.

Ob es einen Wiederherstellungsweg überhaupt geben soll, ist eine Entscheidung der Organisation: Ohne Weg bedeutet der Verlust den Verlust der Daten, mit Weg ist die Sicherung selbst schutzbedürftig. Beide Wege sind zulässig, keiner geschieht stillschweigend. Das Vorgehen bei Verlust und bei Kompromittierung wird vor dem Betrieb geübt.