Microsoft 365 schützt viel, aber nicht alles gleich gut. Im Community Insights Live Webinar zeigten Thales und die Schulstiftung der Erzdiözese Freiburg, wie Double Key Encryption die sensibelsten Dokumente sogar vor dem Cloud-Anbieter verschließt. Und was es braucht, damit Lehrkräfte damit im Alltag arbeiten können.
Ein zweiter Schlüssel für das, was wirklich zählt
Der Standardschutz von Microsoft 365 reicht für die meisten Daten aus, aber nicht für alle. Wo Gesundheitsdaten, Konferenzprotokolle oder persönliche Hintergründe von Kindern im Spiel sind, braucht es eine zusätzliche Ebene.
Genau darum ging es im Community Insights Live Webinar am 13. Oktober 2026. Martin Gegenleitner, Pre-Sales Consultant bei Thales, erklärte, wie Double Key Encryption (DKE) funktioniert. Michael Stuhlmüller und Florian Schwarz von der Schulstiftung der Erzdiözese Freiburg zeigten, wie sie DKE im Schulalltag einsetzen. Moderiert hat Florian Kurzmaier von LSZ Future Connections.
So funktioniert Double Key Encyption
Drei Schutzstufen in Microsoft 365
Gegenleitner unterschied drei Stufen. Ohne zusätzliche Verschlüsselung kann Microsoft grundsätzlich auf alle Daten zugreifen.
Mit Bring Your Own Key über Microsoft Purview Information Protection steuern Organisationen den Lebenszyklus ihres Schlüssels selbst. Wird der Schlüssel gelöscht, sind die zugehörigen Daten unbrauchbar. Bis dahin kann Microsoft die Inhalte aber weiter einsehen. Dienste wie Copilot oder eDiscovery funktionieren deshalb weiterhin.
Bei DKE ist Microsoft der Zugriff vollständig verwehrt. Das hat seinen Preis: Microsoft-Dienste können diese Dokumente nicht mehr verarbeiten. Gegenleitner empfahl DKE deshalb nicht für alles, sondern nur für die sensibelsten Daten. Das sind nach seiner Einschätzung etwa ein bis fünf Prozent.
Zwei Schlüssel, zwei Prüfungen
Der Office-Client verschlüsselt das Dokument mit einem eigenen symmetrischen Schlüssel. Diesen Schlüssel sichert er zuerst mit dem öffentlichen Schlüssel eines externen DKE-Dienstes. Danach legt Microsoft eine zweite Schicht darüber.
Wer das Dokument öffnen will, muss zwei Prüfungen bestehen. Microsoft prüft die Berechtigung über Entra ID. Danach prüft der DKE-Dienst die Berechtigung noch einmal eigenständig. Erst dann erhält der Client den Schlüssel zum Öffnen.
Wo der zweite Schlüssel liegen muss
Der DKE-Dienst kennt beim Entschlüsseln kurz den Klartext-Schlüssel. Er darf deshalb nicht in der Microsoft Cloud laufen, sonst verliert das Konzept seinen Sinn. Thales stellt den Dienst über den CipherTrust Manager bereit. Diese Lösung nutzt auch die Schulstiftung.
Auf Clientseite braucht es keine besondere Hardware. Nach Gegenleitners Erfahrung kommt pro Vorgang eine zusätzliche Wartezeit von etwa ein bis zwei Sekunden hinzu.
Praxis: Konferenzgeheimnis trifft Teamarbeit
Wessen Daten geschützt werden
Die Schulstiftung ist Trägerin von 14 Schulstandorten im westlichen Baden-Württemberg. Dort lernen rund 12.000 Schüler:innen bei etwa 1.000 Lehrkräften. Im Projekt EDU 360° bildet die Stiftung den Schulalltag digital ab, auch die Arbeit außerhalb des Klassenzimmers.
Stuhlmüller erklärte das an einem typischen Fall, dem Nachteilsausgleich. Dass ein Kind mehr Zeit bei Klassenarbeiten bekommt, merkt die Klasse ohnehin. Der gesundheitliche Hintergrund dazu ist dagegen hochsensibel. Geschützt werden hier die Daten meist minderjähriger Schüler:innen, die der Ablage nicht widersprechen können. Daraus leitet die Stiftung einen besonderen Schutzauftrag ab.
Vier Anforderungen, eine Lösung
Die Dokumente sind lebendig: Klassenleitungen, Fachlehrkräfte und Konferenzen arbeiten gemeinsam daran. Die Lösung musste deshalb vier Dinge leisten. Sie sollte intuitiv und kollaborativ sein. Sie sollte nur den Berechtigten Zugriff geben. Und sie sollte besonders gut geschützt sein. Diese Kombination fand die Stiftung in DKE.
Umsetzung in Teams und Purview
Alle Schulen arbeiten in einem gemeinsamen Microsoft-365-Mandanten. Für die pädagogischen Konferenzen gibt es Teams-Vorlagen mit privaten Kanälen je Jahrgang. Lehrkräfte werden dort automatisiert hinzugefügt und wieder entfernt.
Schwarz beschrieb zwei Sensitivity Labels. Das erste gilt für das Team: keine Aufzeichnung, kein Teilen, kein Download, kein Weiterleiten. Das zweite verschlüsselt einzelne Dateien mit DKE. Die Trennung ist nötig, weil DKE nur auf Dateien wirkt, nicht auf ganze Teams oder SharePoint-Seiten. Neue Dokumente entstehen aus bereits gelabelten Vorlagen.
Infrastruktur an den Schulen
Die Standorte sind über ein SD-WAN vernetzt. Zwei Hardware-Appliances an getrennten Standorten bilden mit einer virtuellen Appliance einen Cluster. Zugriff gibt es nur aus dem Schulnetz. Die Einrichtung begleitete Thales mit je einem Termin pro Standort.
Was sich im Alltag ändert
DKE-Dokumente lassen sich nur mit einem Gerät mit Office-Paket bearbeiten. Private Tablets fallen damit weg, die Stiftung stellt deshalb Dienstgeräte. Das automatische Speichern funktionierte nicht gut. Lehrkräfte müssen bewusst speichern und etwas Geduld mitbringen. Das lässt sich schulen.
Stand: Pilot an vier Standorten
Die Stiftung hat zuerst in der Geschäftsstelle getestet, dann an einer Schule und jetzt an vier Standorten. Softwareseitig sei alles vorbereitet, sagte Schwarz. Für weitere Schulen fehlt vor allem die Infrastruktur: Firewalls, standardisierte Netze und neue Geräte.
Aus der Diskussion
Digitale Souveränität heißt bewusst wählen
Für Stuhlmüller bedeutet Souveränität nicht, alles selbst zu betreiben. Es bedeutet, Anbieter bewusst auszuwählen und diese Wahl regelmäßig zu prüfen. Die Stiftung nutzt die Cloud bewusst. Was besonders schutzbedürftig ist, schützt sie innerhalb der Cloud zusätzlich, egal bei welchem Anbieter.
Gegenleitner ergänzte, dass eine Organisation dieser Größe moderne Arbeitsplätze kaum selbst hosten kann. Ein europäischer Vertrauensanker für die sensibelsten Daten komme besonders in Audits gut an.
Zentral statt verteilt
Die meisten Teilnehmer:innen gaben in einer kurzen Umfrage an, Verschlüsselung werde bei ihnen zentral gesteuert. Stuhlmüller kennt die Alternative: Früher lösten 14 Standorte dasselbe Problem auf 14 verschiedene Arten. Gegenleitner nannte das Personal als Hauptgrund für zentrale Modelle. Seiner Erfahrung nach bewährt sich ein Shared Service mit einer klar zuständigen Person.
Fragen aus dem Publikum
Ist Offline-Arbeiten möglich? Das hängt von der Konfiguration des Labels ab. Erlaubt sie Offline-Zugriff für eine bestimmte Zeit, lassen sich bereits geöffnete Dateien auch unterwegs bearbeiten. Viele Organisationen verzichten bewusst darauf.
Wirkt DKE immer nur auf einzelne Dateien? Ja. Damit das im Alltag nicht zur Hürde wird, setzt die Stiftung vor allem auf gelabelte Vorlagen.
Warum keine Open-Source-Office-Lösung? Das war eine Designentscheidung zu Projektbeginn, getroffen in enger Partnerschaft mit Microsoft.
Was bleibt
Stuhlmüller betonte: Am Anfang stand nicht DKE, sondern der Blick auf die eigenen Daten. Welche Daten sind wirklich schutzbedürftig? Die Lösung folgte erst daraus. Schwarz ergänzte den menschlichen Faktor: Wer weiß, warum Daten geschützt werden, akzeptiert auch Einschränkungen wie längere Wartezeiten.
Für Gegenleitner ist DKE ein Baustein im größeren Ganzen. Dazu gehören Awareness, das Wissen über die eigenen Daten und Prozesse und Discovery-Werkzeuge, die zeigen, wo die Daten liegen. Viele Teilnehmer:innen nahmen vor allem mit, DKE als Ergänzung zu Microsoft 365 zu prüfen.
