Always Encrypted mit Secure Enclaves – Der vollständige Leitfaden Enklaven verstehen & konfigurieren: Die Zukunft von Always Encrypted

Sie kennen Always Encrypted – aber jetzt wird es spannend: Secure Enclaves machen Schluss mit den alten Einschränkungen. Auf einmal sind LIKE, Bereichsabfragen und sogar JOIN auf verschlüsselten Spalten möglich. Aber wie funktioniert das technisch? Wie konfiguriert man eine Enklave? Und was bedeutet das für Ihre .NET-Web-App? Dieser Artikel taucht tief ein.

📌 1. Was genau ist eine Enklave? (Für .NET-Entwickler erklärt)

Stellen Sie sich eine Enklave wie einen abgeschotteten Tresorraum im Arbeitsspeicher vor. Der SQL Server kann Daten in diesen Raum laden, aber nur die Enklave selbst kann sie entschlüsseln – und das nur für die Dauer einer Berechnung. Der entscheidende Punkt: Der Entschlüsselungsschlüssel wird nie dauerhaft in der Enklave gespeichert, sondern bei jeder Abfrage vom Client sicher übergeben und nach der Abfrage verworfen.

⚙️ 2. Enklaven-Arten im Vergleich (Welche passt zu Ihrer Infrastruktur?)

🔧 3. Enklaven-Konfiguration – Schritt für Schritt (On-Premises & Azure)

-- SQL Server Configuration Manager oder T-SQL
EXEC sp_configure 'column encryption enclave type', 1; -- 1 = VBS, 2 = SGX (je nach Hardware)
RECONFIGURE;
-- Anschließend SQL Server Dienst neustarten!

# PowerShell (vereinfacht) – HGS initialisieren (auf separatem Server)
Install-WindowsFeature -Name HostGuardianService -IncludeManagementTools
Initialize-HgsServer -HgsServiceName 'HgsService' -SigningCertificatePath '.\sign.pfx' -EncryptionCertificatePath '.\enc.pfx'

// Für Azure SQL mit VBS-Enklave (Azure Attestation)
"Server=tcp:my-server.database.windows.net;Database=mydb;Authentication=Active Directory Managed Identity;Column Encryption Setting=enabled;Enclave Attestation Protocol=Azure;Enclave Attestation Url=https://sharedeus.attest.azure.net"

// Für On-Premises mit HGS
"Server=myServer;Database=Customers;Trusted_Connection=true;Column Encryption Setting=enabled;Enclave Attestation Protocol=HGS;Enclave Attestation Url=https://hgs.contoso.com/attestation"

-- In SQL Server (bevorzugt Azure Key Vault oder Windows Zertifikatsspeicher)
CREATE COLUMN MASTER KEY [CMK_Enclave]
WITH (
KEY_STORE_PROVIDER_NAME = N'AZURE_KEY_VAULT',
KEY_PATH = N'https://myvault.vault.azure.net/keys/cmk/abc123'
);

CREATE COLUMN ENCRYPTION KEY [CEK_App]
WITH VALUES
(
COLUMN_MASTER_KEY = [CMK_Enclave],
ALGORITHM = 'RSA_OAEP',
ENCRYPTED_VALUE = 0x016E... -- automatisch generiert
);

🧪 4. Enklaven testen – Funktioniert meine Abfrage wirklich?

Nach der Konfiguration können Sie in Ihrer .NET-App endlich komplexe Abfragen auf verschlüsselte Spalten ausführen:

// Bereichssuche auf verschlüsselter Geburtsdatum-Spalte (mit Enklave)
using var cmd = new SqlCommand(
"SELECT * FROM Kunden WHERE BirthDate BETWEEN @start AND @end", 
connection);
cmd.Parameters.Add("@start", SqlDbType.Date).Value = new DateTime(1980,1,1);
cmd.Parameters.Add("@end", SqlDbType.Date).Value = new DateTime(1990,12,31);
// Enklave führt Vergleich durch – Server sieht nur Chiffretext
var reader = cmd.ExecuteReader();

⚠️ 5. Risiken und Fallstricke bei Enklaven (für bestehende Apps)

📊 6. Enklaven in Azure SQL Database & Managed Instance

Für .NET-Entwickler in der Cloud vereinfacht sich vieles:

• Azure SQL Database mit VBS-Enklaven (DC-Series) – keine eigene HGS-Infrastruktur nötig, Azure Attestation ist integriert.
• Azure SQL Managed Instance unterstützt Enklaven ebenfalls, benötigt aber VNET-Integration und Konfiguration des Host Guardian Service in der verwalteten Instanz (vereinfacht).
• Connection String nutzt Attestation Protocol=Azure – der Treiber kommuniziert automatisch mit Microsoft Azure Attestation.

// Azure SQL Database – fertige Enklave
"Server=tcp:my-sqlserver.database.windows.net;Database=AppDB;Authentication=Active Directory Default;Column Encryption Setting=enabled;Enclave Attestation Protocol=Azure;Enclave Attestation Url=https://sharedweu.attest.azure.net"

🔄 7. Migration bestehender .NET-Apps auf Enklaven – Checkliste

1. Enklaven-fähige SQL-Version sicherstellen (mindestens SQL 2019 Enterprise oder Azure SQL DC).
2. Aktualisieren Sie Microsoft.Data.SqlClient auf 5.2+ (NuGet).
3. Enklave im SQL Server aktivieren (sp_configure) und Dienst neustarten.
4. Attestierungsdienst bereitstellen (HGS für On-Prem, Azure Attestation für Azure).
5. Connection Strings aller Web-Apps, Jobs und APIs anpassen (Enclave Attestation Url + Protocol).
6. Vorhandene Spalten NICHT neu verschlüsseln – Enklaven arbeiten mit bestehenden Always Encrypted-Spalten. Sie müssen nur die Abfragen testen, die vorher fehlgeschlagen sind.
7. Load-Test durchführen – Enklaven-Operationen sind rechenintensiver.