--- title: CMEK mit AWS KMS einrichten url: https://platform.claude.com/docs/de/manage-claude/cmek-aws-kms description: Erstelle einen AWS-KMS-Schlüssel, gewähre Anthropic Zugriff darauf und verwende ihn in Claude Platform oder Claude Enterprise. --- Lass Claude Code diese Funktion für dich einrichten ```text /claude-api hilf mir, einen kundenverwalteten Verschlüsselungsschlüssel mit AWS KMS zu konfigurieren ``` Wenn die Seitenleiste deiner Claude Console **Account managed by AWS** anzeigt, folge stattdessen [CMEK auf Claude Platform on AWS einrichten](https://platform.claude.com/docs/de/manage-claude/cmek-claude-platform-on-aws). ## Bevor du beginnst In Claude: * Kundenverwaltete Verschlüsselungsschlüssel (CMEK) sind [für deine Organisation aktiviert](https://platform.claude.com/docs/de/manage-claude/cmek#availability). * Du hast deine Anthropic-Organisations-ID, die UUID ohne das Präfix `org_`. Kopiere sie unter [Organization](https://platform.claude.com/settings/organization) in der Claude Console oder unter **Organization settings > Organization and access** auf claude.ai. Wer den Schlüssel erstellt, benötigt sie. * Du bist Organization Admin auf der Claude Platform oder Owner bzw. Primary Owner bei Claude Enterprise. * Auf der Claude Platform hast du einen Workspace, der [Daten aufbewahrt](https://platform.claude.com/docs/de/manage-claude/cmek-data-retention#data-retention), idealerweise einen neuen, da [bestehende Daten unter dem Schlüssel von Anthropic bleiben](https://platform.claude.com/docs/de/manage-claude/cmek-how-it-works#when-your-key-takes-effect). * Bei Claude Enterprise weißt du, [welche Funktionen deaktiviert werden oder sich ändern](https://platform.claude.com/docs/de/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed). In AWS: * Du kannst AWS-KMS-Schlüssel erstellen und ihre Schlüsselrichtlinien festlegen (`kms:CreateKey` und `kms:PutKeyPolicy`). * Jede IP-Beschränkung für den Zugriff auf AWS KMS lässt die [ausgehenden IP-Adressen von Anthropic](https://platform.claude.com/docs/de/api/ip-addresses#outbound-ip-addresses) zu. ## In AWS: den Schlüssel erstellen Nach einem fehlgeschlagenen **Verify** oder **Add** findest du die [Lösungen für AWS KMS](https://platform.claude.com/docs/de/manage-claude/cmek-troubleshooting#aws-kms). ### Die Schlüsselrichtlinie schreiben Diese Richtlinie gewährt der IAM-Rolle von Anthropic Zugriff auf deinen Schlüssel. Verwende nur die auf dieser Seite veröffentlichte Rollen-ARN, niemals eine, die per E-Mail oder Chat gesendet wurde. Kopiere die Richtlinie in einen Texteditor: ```json key-policy.json { "Version": "2012-10-17", "Statement": [ { "Sid": "AccountRootAdmin", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam:::root" }, "Action": "kms:*", "Resource": "*" }, { "Sid": "AllowAnthropicCMEKCrypto", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us" }, "Action": ["kms:Encrypt", "kms:Decrypt"], "Resource": "*", "Condition": { "StringEquals": { "kms:EncryptionContext:anthropic:org_uuid": [""] } } }, { "Sid": "AllowAnthropicCMEKDescribe", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us" }, "Action": "kms:DescribeKey", "Resource": "*" } ] } ``` Ersetze `` durch deine [AWS-Konto-ID](https://docs.aws.amazon.com/IAM/latest/UserGuide/console-account-id.html) und `` durch deine [Anthropic-Organisations-ID](https://platform.claude.com/docs/de/manage-claude/cmek-aws-kms#prerequisites). Behalte die Bedingung `kms:EncryptionContext:anthropic:org_uuid` bei, sonst schlägt die Verifizierung fehl. Du kannst den [Schlüssel auch auf bestimmte Workspaces beschränken](https://platform.claude.com/docs/de/manage-claude/cmek-aws-kms-workspaces), indem du ihre Compartment-IDs auflistest. Wenn du die Richtlinie für einen Schlüssel ersetzt, der bereits Claude-Daten schützt, [füge eine weitere Richtlinienanweisung hinzu](https://platform.claude.com/docs/de/manage-claude/cmek-troubleshooting#existing-data). ### Den Schlüssel erstellen Du kannst den Schlüssel in jeder kommerziellen AWS-Region erstellen. Für die geringste Latenz verwende `us-east-2`. Um einen Schlüssel zu verwenden, den du bereits in AWS KMS hast, [ersetze seine Schlüsselrichtlinie](https://platform.claude.com/docs/de/manage-claude/cmek-aws-kms-workspaces#replace-the-key-policy). Öffne die [AWS KMS-Konsole](https://console.aws.amazon.com/kms) und wechsle zur Region für den Schlüssel. Gehe zu **Customer managed keys** und klicke auf **Create key**. Stelle sicher, dass diese Optionen ausgewählt sind: * **Key type:** Symmetric * **Key usage:** Encrypt and decrypt * **Advanced options > Key material origin:** KMS * **Advanced options > Regionality:** Single-Region key Klicke auf **Next**. ![AWS KMS-Schritt Configure key mit ausgewähltem Schlüsseltyp Symmetric, Schlüsselverwendung Encrypt and decrypt und Single-Region key.](https://platform.claude.com/docs/images/cmek/aws-configure-key.png) Gib einen **Alias** für den Schlüssel ein, etwa `anthropic-cmek`. Klicke auf **Next**. ![AWS KMS-Schritt Add labels mit dem Alias anthropic-cmek und der Beschreibung Anthropic CMEK.](https://platform.claude.com/docs/images/cmek/aws-add-labels.png) Wähle keine Schlüsseladministratoren aus. Deine Schlüsselrichtlinie gibt deinem AWS-Konto bereits die volle Administratorkontrolle. Klicke auf **Next**. ![AWS KMS-Schritt Define key administrative permissions mit einer Liste der IAM-Rollen, die den Schlüssel verwalten können.](https://platform.claude.com/docs/images/cmek/aws-admin-permissions.png) Wähle keine Schlüsselbenutzer aus und füge unter **Other AWS accounts** nichts hinzu. Deine Schlüsselrichtlinie gewährt bereits den erforderlichen Zugriff. Klicke auf **Next**. Klicke auf **Edit**. Ersetze die gesamte Richtlinie durch deine Schlüsselrichtlinie und klicke dann auf **Next**. Klicke auf **Finish**. Öffne unter **Customer managed keys** den neuen Schlüssel und kopiere seinen ARN. Wer den Schlüssel in Claude hinzufügt, benötigt ihn. Speichere deine Schlüsselrichtlinie als `key-policy.json` und erstelle dann den Schlüssel. Ersetze `` durch die Region des Schlüssels. ```bash aws kms create-key \ --region \ --description "Anthropic CMEK" \ --key-usage ENCRYPT_DECRYPT \ --policy file://key-policy.json ``` Kopiere `KeyMetadata.Arn` aus der Ausgabe. Wer den Schlüssel in Claude hinzufügt, benötigt den ARN. Jede Prüfung des Schlüssels in Claude fügt CloudTrail vier erwartete Access-denied-Fehler hinzu. Du kannst [sie herausfiltern](https://platform.claude.com/docs/de/manage-claude/cmek-troubleshooting#cloudtrail). ## In Claude: den Schlüssel hinzufügen und anhängen Um diesen Teil auf Claude Platform per Skript zu erledigen, [verwende stattdessen die Admin API](https://platform.claude.com/docs/de/manage-claude/cmek-admin-api). Öffne in der Claude Console auf der Seite Data retention den Abschnitt [Encryption keys](https://platform.claude.com/settings/privacy#encryption-keys). Wenn der Abschnitt nicht angezeigt wird, wähle oben im Dropdown-Menü **Organization** aus. Klicke unter **Encryption keys** auf **Add key**. Gib einen **Display name** ein, wähle **AWS KMS** aus und klicke auf **Continue**. Prüfe, ob deine [Schlüsselrichtlinie](https://platform.claude.com/docs/de/manage-claude/cmek-aws-kms#key-policy) die im Dialogfeld angezeigte **Organization ID for the key policy** enthält. Füge die Schlüssel-ARN in **KMS key ARN** ein und klicke auf **Add**. Klicke in der Liste **Encryption keys** neben dem Schlüssel auf **Verify**. **Connected** wird angezeigt, wenn die Prüfung erfolgreich ist. Wenn stattdessen **Connection failed** angezeigt wird, siehe [Fehlerbehebung bei CMEK](https://platform.claude.com/docs/de/manage-claude/cmek-troubleshooting). Das Anhängen eines Schlüssels [kann nicht rückgängig gemacht werden](https://platform.claude.com/docs/de/manage-claude/cmek-key-lifecycle#what-each-action-does). Du kannst ihn nicht vom Workspace entfernen oder ersetzen. Wenn der Schlüssel gelöscht wird, kann Anthropic die Daten, die er schützt, nicht wiederherstellen. 1. Wähle oben auf der Seite Data retention den Workspace aus dem Dropdown-Menü aus. 2. Wähle unter **Encryption key** den Schlüssel aus und klicke auf **Save**. 3. Aktiviere das Kontrollkästchen, um zu bestätigen, dass du die CMEK-Dokumentation gelesen hast, und klicke dann auf **Confirm**. Du siehst **Workspace settings updated.** Sobald der Schlüssel [wirksam wird](https://platform.claude.com/docs/de/manage-claude/cmek-how-it-works#when-your-key-takes-effect), zeigt das Audit-Log deines Cloud-Anbieters die Aufrufe, die Anthropic an den Schlüssel richtet. Wähle in einer [ZDR-Organisation](https://platform.claude.com/docs/de/manage-claude/cmek-data-retention#zdr-organizations), nachdem du den Workspace ausgewählt hast, **Standard data retention** aus, damit **Encryption key** erscheint. Nachdem du auf **Save** geklickt hast, klicke bei den Bedingungen zur Datenaufbewahrung auf **Accept**. In Claude Enterprise gilt CMEK für die gesamte Organisation, und du kannst nur einen einzigen Schlüssel hinzufügen. Das Hinzufügen eines Schlüssels [lässt sich nicht rückgängig machen](https://platform.claude.com/docs/de/manage-claude/cmek-key-lifecycle#what-each-action-does). Du kannst ihn weder aus der Organisation entfernen noch ersetzen. Wenn der Schlüssel gelöscht wird, kann Anthropic die Daten, die er schützt, nicht wiederherstellen. Das Hinzufügen des Schlüssels [deaktiviert oder ändert einige Funktionen](https://platform.claude.com/docs/de/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed) für alle Nutzer. Wenn du CMEK zuerst ausprobieren möchtest, verwende eine separate Organisation. Gehe zu [claude.ai > Organization settings > Data and privacy](https://claude.ai/admin-settings/data-privacy-controls) und suche **Encryption keys**. Klicke auf **Add key**. Gib einen **Display name** ein und wähle **AWS KMS** aus. Aktiviere das Kontrollkästchen, um zu bestätigen, dass du die CMEK-Dokumentation gelesen hast, und klicke dann auf **Continue**. Prüfe, ob deine [Schlüsselrichtlinie](https://platform.claude.com/docs/de/manage-claude/cmek-aws-kms#key-policy) die im Dialogfeld angezeigte **Organization ID for the key policy** enthält. Füge die Schlüssel-ARN in **KMS key ARN** ein und klicke auf **Add**. Die Prüfung kann bis zu 30 Sekunden dauern. Wenn **Encryption key configured.** erscheint, klicke auf **Done**. Wenn stattdessen **The encryption key couldn’t be added.** erscheint, [finde die Ursache und versuche es erneut](https://platform.claude.com/docs/de/manage-claude/cmek-troubleshooting#claude-ai-add-fails). Dein Schlüssel schützt ab diesem Zeitpunkt geschriebene Daten. Informiere deine Benutzer darüber, [welche Funktionen sich geändert haben](https://platform.claude.com/docs/de/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed).