Das Testat umfasst insgesamt 21 Cloud-Dienste und deckt damit weit mehr als die klassische Infrastruktur ab. Neben Compute, Netzwerk und Storage gehören auch Managed-Plattformdienste, Entwicklungsumgebungen und Anwendungen zum Geltungsbereich.

Doch WX-ONE geht einen Schritt weiter: Mit OpenBao als C5-testiertem Managed Service und dem hauseigenen WX1-Keyagent verbindet das Unternehmen geprüftes Cloud-Computing mit einer Technologie, die eines der grundlegenden Vertrauensprobleme der Public Cloud adressiert: Wer kontrolliert tatsächlich, wann und unter welchen Bedingungen Daten entschlüsselt werden können?

C5 als Fundament – nicht als Endpunkt

Der C5-Kriterienkatalog des BSI hat sich zu einem wichtigen Maßstab für die Bewertung der Sicherheit von Cloud-Diensten entwickelt. Das Testat erleichtert Unternehmen die Nachweisführung gegenüber internen und externen Prüfern, Aufsichtsbehörden und öffentlichen Auftraggebern.

Besonders relevant ist dies für regulierte Branchen. Im Gesundheitswesen verlangt § 393 SGB V für die Verarbeitung von Sozial- und Gesundheitsdaten durch bestimmte Leistungserbringer und Kranken- und Pflegekassen grundsätzlich einen aktuellen C5-Nachweis oder einen gesetzlich anerkannten gleichwertigen Sicherheitsnachweis.

„Ein C5-Testat ist für uns kein Schlusspunkt, sondern das Fundament“, erklärt Tobias Gurtzick, Geschäftsführer der WizardTales GmbH. „Unsere Kunden bekommen damit einen unabhängig geprüften Nachweis über die Sicherheit unserer Cloud. Aber Compliance allein schützt noch keine Daten vor jedem denkbaren Zugriff. Deshalb entwickeln wir Technologien, die unseren Kunden nicht nur vertraglich, sondern auch technisch und kryptografisch mehr Kontrolle ermöglichen.“

21 Dienste im Geltungsbereich – vom virtuellen Server bis zur fertigen Anwendung

Der Geltungsbereich des Testats umfasst 21 Dienste der WX-ONE Cloud. Darunter befinden sich sowohl grundlegende Infrastrukturkomponenten als auch vollständig verwaltete Plattform- und Anwendungsdienste.

Zum geprüften Portfolio gehören unter anderem:

• Cloud-Infrastruktur: Compute, Object Storage, Block Storage und Cold Archive zur langfristigen Datenarchivierung.
• Managed-Plattformdienste: Kubernetes, PostgreSQL, OpenSearch und Valkey sowie Managed IDP für Identitäts- und Zugriffsmanagement.
• GitLab Professional und Enterprise: als speziell bereitgestellte C5-Editionen für Softwareentwicklung, CI/CD und DevOps.
• OpenBao: als vollständig verwalteter Dienst für Secrets, kryptografische Schlüssel und Zertifikate.
• Infinity OpenCloud: als Cloud-Dateiablage mit Ende-zu-Ende-verschlüsselten Tresoren.
• Element: für Ende-zu-Ende-verschlüsselte Kommunikation auf Basis des offenen Matrix-Protokolls.
• Stellwerk: als quelloffene Platform-Engineering-Lösung zur richtlinienbasierten Bereitstellung und Verteilung von Workloads über mehrere Cloud-Umgebungen.

WX-ONE verfolgt dabei einen integrierten Ansatz: Infrastruktur, Plattformdienste und Anwendungen werden auf einer Cloud-Plattform betrieben, deren wesentliche technische Komponenten das Unternehmen selbst entwickelt und kontrolliert.

Damit können Kunden nicht nur einzelne Infrastrukturleistungen, sondern auch umfangreiche Anwendungslandschaften innerhalb des definierten C5-Geltungsbereichs aufbauen.

OpenBao als Managed Service: Schlüsselverwaltung ohne Betriebsaufwand

Ein zentraler Bestandteil des erweiterten Security-Portfolios ist OpenBao.

Der quelloffene Secrets-Manager wird unter dem Dach der Linux Foundation entwickelt und ist aus einem Fork von HashiCorp Vault hervorgegangen. WX-ONE stellt OpenBao als vollständig automatisierten, hochverfügbaren Managed Service bereit, der ebenfalls zum Geltungsbereich des C5-Testats gehört.

Unternehmen können damit kryptografische Schlüssel, Zertifikate und sensible Zugangsdaten zentral verwalten, ohne selbst die darunterliegende Betriebsinfrastruktur aufbauen und warten zu müssen.

Zum Funktionsumfang zählen unter anderem die Transit-Engine für kryptografische Operationen, der Aufbau einer eigenen Public-Key-Infrastruktur mit Certificate Authority, die sichere Bereitstellung von Secrets für Anwendungen und CI/CD-Pipelines sowie dynamisch generierte Datenbankzugangsdaten mit begrenzter Gültigkeit.

Seine besondere Bedeutung entfaltet OpenBao jedoch im Zusammenspiel mit einer weiteren Eigenentwicklung von WX-ONE: dem WX1-Keyagent.

Confidential Encryption: Aus komplexer Technologie wird ein fertiges Produkt

Die Verschlüsselung gespeicherter Daten und verschlüsselte Netzwerkverbindungen gehören längst zum Standard moderner Cloud-Infrastrukturen. Während der eigentlichen Verarbeitung liegen Daten jedoch häufig im Klartext im Arbeitsspeicher vor.

Genau hier setzt Confidential Computing an.

WX-ONE nutzt hierfür AMD SEV-SNP, eine hardwarebasierte Technologie zur Isolation virtueller Maschinen. Sie ermöglicht es, den Arbeitsspeicher vertraulicher Workloads gegenüber bestimmten Zugriffen aus der Host-Infrastruktur zu schützen.

Ergänzt wird diese Isolation durch Remote Attestation. Dabei kann kryptografisch überprüft werden, ob eine virtuelle Maschine tatsächlich in einer erwarteten und vertrauenswürdigen Umgebung ausgeführt wird.

Erst wenn die definierten Sicherheitsbedingungen erfüllt sind, werden die erforderlichen kryptografischen Schlüssel freigegeben.

So leistungsfähig diese Technologie ist, so komplex war bislang häufig ihre praktische Umsetzung. Unternehmen mussten Attestierungsverfahren, Schlüsselmanagement und die Integration in ihre Workloads eigenständig realisieren.

Mit dem hauseigenen WX1-Keyagent macht WX-ONE diese Technologie zu einem direkt nutzbaren Produkt.

Der WX1-Keyagent übernimmt die Integration zwischen Confidential-Computing-Umgebung, kryptografischer Attestation und Schlüsselverwaltung. Gemeinsam mit OpenBao als Managed Service entsteht eine einsatzbereite Lösung, mit der Unternehmen Confidential Encryption kostengünstig und ohne umfangreiche eigene Spezialkenntnisse nutzen können.

Kunden benötigen damit weder eine selbst entwickelte Attestierungsinfrastruktur noch eine aufwendig betriebene Schlüsselmanagement-Plattform, um die wesentlichen Sicherheitsvorteile von Confidential Encryption zu nutzen.

Für Unternehmen mit eigener kryptografischer Infrastruktur ist bereits der nächste Integrationsschritt vorgesehen: Der WX1-Keyagent soll künftig auch Hardware-Sicherheitsmodule (HSM) über die standardisierte PKCS#11-Schnittstelle unterstützen.

Damit wird Confidential Encryption nicht auf die Nutzung von OpenBao beschränkt bleiben, sondern sich auch in bestehende kundeneigene Schlüsselverwaltungsarchitekturen integrieren lassen.

BYOK und HYOK: Wem der Schlüssel gehört, ist nicht die entscheidende Frage

Mit seiner Confidential-Encryption-Technologie positioniert sich WX-ONE zugleich in einer zunehmend wichtigen Debatte um tatsächliche Datensouveränität.

Cloud-Anbieter werben häufig mit Konzepten wie Bring Your Own Key (BYOK) oder Hold Your Own Key (HYOK). Beide Ansätze können die Kontrolle über kryptografische Schlüssel verbessern und wichtige organisatorische Anforderungen erfüllen.

Doch die eigentliche Sicherheitsfrage bleibt häufig unbeantwortet: Was nützt die Hoheit über einen Schlüssel, wenn der Cloud-Anbieter weiterhin technisch in der Lage ist, die damit geschützten Daten während ihrer Verarbeitung einzusehen?

„Wenn der Kunde den Schlüssel hält, der Provider aber entschlüsselt, hat der Kunde vielleicht die Schlüsselverwaltung unter Kontrolle – aber noch lange nicht seine Daten“, sagt Gurtzick. „Wir halten es für falsch, beides gleichzusetzen. Entscheidend ist nicht allein, wem ein Schlüssel gehört, sondern wer unter welchen Bedingungen entschlüsseln kann und ob sich diese Bedingungen unabhängig überprüfen lassen.“

Confidential Encryption setzt an dieser Stelle an. Durch die Verbindung hardwarebasierter Isolation mit kryptografischer Attestation kann die Freigabe von Schlüsseln an überprüfbare Eigenschaften der Ausführungsumgebung gebunden werden.

Das reduziert die notwendige Vertrauensabhängigkeit gegenüber dem Cloud-Betreiber und geht damit über die reine Verwaltung von Schlüsseln hinaus.

„Wir wollen unseren Kunden keine vermeintliche Sicherheit verkaufen, die am Ende nur auf dem Versprechen des Anbieters beruht“, ergänzt Gurtzick. „Unser Anspruch ist es, die technischen Voraussetzungen dafür zu schaffen, dass der Kunde selbst kontrollieren kann, wann seine Daten entschlüsselt werden dürfen.“

Die Grenzen klassischer BYOK- und HYOK-Ansätze sowie die technischen Möglichkeiten von Confidential Encryption wird WX-ONE in einer weiteren Veröffentlichung ausführlicher behandeln.

Transparenz auch für Unternehmen in der Evaluierungsphase

Das vollständige C5-Testat stellt WX-ONE sowohl bestehenden Kunden als auch ausdrücklich interessierten Unternehmen zur Verfügung, die den Einsatz der Cloud-Plattform evaluieren.

Die Bereitstellung erfolgt unter einer Vertraulichkeitsvereinbarung (NDA).

Damit erhalten auch potenzielle Kunden bereits vor einer Beauftragung Einblick in den tatsächlichen Prüfungsumfang und die dokumentierten Sicherheitsmaßnahmen.

Über WX-ONE

WX-ONE ist die Public-Cloud-Plattform der WizardTales GmbH mit Sitz in Ratingen. Das Unternehmen entwickelt wesentliche Bestandteile seiner Cloud-Architektur selbst und betreibt Cloud-Regionen in Deutschland und Indien.

Zum Portfolio gehören Compute, Storage, Netzwerk und Kubernetes sowie umfangreiche Managed Services für Datenbanken, Softwareentwicklung, Kommunikation und IT-Sicherheit. Einen technologischen Schwerpunkt bilden Confidential Computing und Confidential Encryption.

WX-ONE verbindet leistungsfähige Cloud-Infrastruktur mit dem Anspruch, Datensouveränität nicht nur organisatorisch, sondern auch technisch überprüfbar zu machen.

Weitere Informationen: https://wx1.de

Pressekontakt

WizardTales GmbH
Kokkolastraße 5
40882 Ratingen

Tobias Gurtzick, Geschäftsführer
E-Mail: presse@wx1.de
Telefon: +49 2102 5655540
Website: https://wx1.de

Stichwörter: C5, C5-Testat, BSI, WX-ONE, WizardTales, OpenBao, Secrets Management, Confidential Computing, Confidential Encryption, WX1-Keyagent, BYOK, HYOK, Cloud-Sicherheit, digitale Souveränität