Glossarbegriff
BYOK / HYOK (Bring/Hold Your Own Key)
Auch: Bring Your Own Key, Hold Your Own Key, Customer Managed Keys
Schlüssel-Management-Modelle in Cloud-Umgebungen: BYOK bedeutet, der Kunde bringt seinen eigenen Schlüssel in den Cloud-KMS ein. HYOK bedeutet, der Schlüssel verlässt nie die Kunden-Infrastruktur, nur die Operationen werden bei Bedarf an den KMS delegiert.
BYOK ist der häufigere Modus: der Kunde generiert einen Master-Schlüssel im eigenen HSM, importiert ihn in den Cloud-KMS (Azure Key Vault, AWS KMS, GCP KMS) und hat die Kontrolle über Lifecycle (Rotation, Revocation).
HYOK ist strikter: der Schlüssel verlaesst die Kunden-Infrastruktur nie. Stattdessen exportiert die Cloud die zu verschlüsselnden Daten an einen externen KMS-Dienst des Kunden, dort werden Operationen ausgeführt. Latenz und Verfügbarkeit sind kritisch.
In der Praxis
Für Sovereign-Cloud-Entscheidungen ist die Tiefe von BYOK/HYOK ein Dealbreaker. EU Data Boundary plus BYOK ist Standard für regulierte Workloads; HYOK ist Pflicht für höchstvertrauliche Workloads, wenn Cloud-Personal selbst nicht entschlüsseln darf.
Verwandte Begriffe
Sovereign cloud
A cloud deployment model that guarantees operational, legal and technical control of data and workloads within a specific jurisdiction (typically the EU). Sovereign cloud answers the concern that hyperscaler deployments remain exposed to foreign jurisdiction, primarily the US CLOUD Act.
Compliance mapping
The explicit link between a decision (vendor, architecture, control) and the specific regulatory articles, controls or standards it satisfies. Without compliance mapping, a memo cannot be defended under audit against a named clause.
Dealbreaker
A hard requirement that immediately disqualifies an option if not met, independent of weighted scoring. Dealbreakers enforce non-negotiable constraints (EU hosting, specific certifications, data residency) and prevent weak options from winning on aggregate scores.
BaFin DORA-Aufsichtsmitteilung
Veröffentlichungen der BaFin zur Auslegung und Erwartung der DORA-Anwendung in Deutschland. Stand 2025/2026 ergehen die wichtigsten Hinweise als Aufsichtsmitteilungen, Merkblätter und Fachartikel im BaFin-Journal, nicht als klassisches Rundschreiben.
BAIT
Rundschreiben der BaFin, das die Anforderungen an die IT-Aufstellung von Kreditinstituten konkretisiert. Präzisiert MaRisk AT 7.2 für IT-Strategie, Informationssicherheit, Benutzerberechtigungen, Projektmanagement, Anwendungsentwicklung und IT-Outsourcing.
BCM
Disziplin zur Aufrechterhaltung kritischer Geschäftsprozesse bei Störungen. Standards: ISO 22301, BSI-Standard 200-4. Im Finanzsektor durch BAIT/VAIT und DORA Art. 11 verpflichtend.
BSI C5
Prüfkatalog des BSI für Cloud-Dienste, der eine Mindest-Sicherheitsbasis und Transparenzpflichten definiert. Wird über ein C5-Testat durch unabhängige Wirtschaftsprüfer nachgewiesen. De-facto-Standard für Cloud-Beschaffung im deutschen Markt.
AI Act Konformitätsbewertung
Verfahren zur Feststellung, dass ein Hochrisiko-KI-System die Anforderungen des EU AI Act erfüllt, bevor es in Verkehr gebracht oder in Betrieb genommen wird. Pflicht für alle Anhang-III-Hochrisiko-Systeme ab 2. Dezember 2027 (verschoben vom ursprünglichen 2. August 2026 durch den Digital Omnibus, Verordnung (EU) 2026/1744).