---
title: CMEK mit Azure Key Vault einrichten
url: https://platform.claude.com/docs/de/manage-claude/cmek-azure-key-vault
description: Erstelle einen Schlüssel in Azure Key Vault, gewähre Anthropic Zugriff auf deinen Schlüssel und verwende ihn in Claude Platform oder Claude Enterprise.
---

Lass Claude Code diese Funktion für dich einrichten

```text
/claude-api hilf mir, einen kundenverwalteten Verschlüsselungsschlüssel mit Azure Key Vault zu konfigurieren
```

## Bevor du beginnst

In Claude:

* Kundenverwaltete Verschlüsselungsschlüssel (CMEK) sind [für deine Organisation aktiviert](https://platform.claude.com/docs/de/manage-claude/cmek#availability).
* Du hast deine Anthropic-Organisations-ID, die UUID ohne das Präfix `org_`. Kopiere sie unter [Organization](https://platform.claude.com/settings/organization) in der Claude Console oder unter **Organization settings > Organization and access** auf claude.ai. Wer den Schlüssel erstellt, benötigt sie.
* Du bist Organization Admin auf der Claude Platform oder Owner bzw. Primary Owner bei Claude Enterprise.
* Auf der Claude Platform hast du einen Workspace, der [Daten aufbewahrt](https://platform.claude.com/docs/de/manage-claude/cmek-data-retention#data-retention), idealerweise einen neuen, da [bestehende Daten unter dem Schlüssel von Anthropic bleiben](https://platform.claude.com/docs/de/manage-claude/cmek-how-it-works#when-your-key-takes-effect).
* Bei Claude Enterprise weißt du, [welche Funktionen deaktiviert werden oder sich ändern](https://platform.claude.com/docs/de/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed).

In Azure:

* Du kannst Schlüssel in deinem Key Vault erstellen und RBAC-Rollen darauf zuweisen.
* Du kannst Service Principals in deinem Entra-Tenant erstellen (Application Administrator, Cloud Application Administrator oder eine gleichwertige benutzerdefinierte Rolle).
* Der Vault hat eine Diagnoseeinstellung für die Log-Kategorie `AuditEvent`. Ohne eine solche Einstellung hinterlassen die Schlüsseloperationen, die Anthropic mit deinem Schlüssel durchführt, keinen Eintrag im Audit-Log.

## In Azure: Schlüssel erstellen

Nach einem fehlgeschlagenen **Verify** oder **Add** findest du die [Lösungen für Azure Key Vault](https://platform.claude.com/docs/de/manage-claude/cmek-troubleshooting#azure-key-vault).

Mit diesen Schritten gewährst du der mandantenfähigen Anwendung von Anthropic Zugriff auf deinen Schlüssel:

* **Name:** `anthropic-cmek-client-us`
* **Client ID:** `8635ae1a-3e5d-44e8-a4ed-e0f614466f87`

Verwende nur diese Client-ID und diesen Namen, niemals solche, die dir per E-Mail oder Chat zugesendet werden. Die Anwendung fordert keine Microsoft-Graph-Berechtigungen an.

### Vault prüfen

Für die geringste Latenz verwende einen Vault in `northcentralus` oder `eastus2`. Führe zuerst Folgendes in der Azure CLI oder in Cloud Shell aus:

```bash
az keyvault show --name <your-vault-name> \
  --query "{rbac:properties.enableRbacAuthorization, purge:properties.enablePurgeProtection, pub:properties.publicNetworkAccess, net:properties.networkAcls.defaultAction, ipRules:properties.networkAcls.ipRules, uri:properties.vaultUri, tenantId:properties.tenantId}"
```

| Feld    | Muss sein                                                                                                                                                         |
| ------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| `rbac`  | `true`                                                                                                                                                            |
| `purge` | `true`. Wenn der Wert `false` oder `null` ist, aktiviere zuerst den Löschschutz (Purge Protection). Du kannst ihn danach nicht wieder deaktivieren.               |
| `pub`   | `"Enabled"`. Private Endpoints werden nicht unterstützt.                                                                                                          |
| `net`   | `"Allow"`, oder `"Deny"` mit den [ausgehenden IP-Adressen von Anthropic](https://platform.claude.com/docs/de/api/ip-addresses#outbound-ip-addresses) in `ipRules` |

Kopiere `uri` (die Vault-URI) und `tenantId`.

### Schlüssel erstellen und Zugriff gewähren

Auf dieser Seite steht `<ORGANIZATION_UUID>` für deine [Anthropic-Organisations-ID](https://platform.claude.com/docs/de/manage-claude/cmek-azure-key-vault#prerequisites) in Kleinbuchstaben. Um einen Schlüssel zu verwenden, den du bereits hast, [füge zuerst das Organisations-Tag hinzu](https://platform.claude.com/docs/de/manage-claude/cmek-azure-key-vault#organization-tag).

<Tabs>
  <Tab title="Azure portal">
    <Steps>
      <Step title="Service Principal von Anthropic erstellen">
        Öffne Cloud Shell über die obere Navigationsleiste des Portals. Führe diesen Befehl aus:

        ```bash
        az ad sp create --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87
        ```

        Wenn der Service Principal bereits existiert, fahre mit dem nächsten Schritt fort.
      </Step>

      <Step title="Prüfen, ob der Service Principal existiert">
        Gehe zu **Microsoft Entra ID > Enterprise applications** und entferne den Standardfilter für den Anwendungstyp. Suche nach `anthropic-cmek-client-us`.

        <Frame caption="Der Service Principal anthropic-cmek-client-us in den Entra-Unternehmensanwendungen.">
          ![Übersicht der Microsoft-Entra-Unternehmensanwendung anthropic-cmek-client-us mit ihrer Application ID und Object ID.](https://platform.claude.com/docs/images/cmek/azure-service-principal.png)
        </Frame>
      </Step>

      <Step title="Die Seite Create a key öffnen">
        Öffne deinen Key Vault und wähle **Keys** aus. Klicke auf **Generate/Import**.
      </Step>

      <Step title="Einen RSA-Schlüssel in deinem Vault erstellen">
        Lege diese Werte fest:

        * **Name:** ein Name für den Schlüssel
        * **Key type:** RSA
        * **RSA key size:** 3072 oder größer

        Klicke auf den Link neben **Tags**.
      </Step>

      <Step title="Das Organisations-Tag hinzufügen">
        Gib diese Werte ein:

        * **Tag Name:** `anthropic-org-<ORGANIZATION_UUID>`
        * **Tag Value:** `true`

        Klicke auf **OK** und dann auf **Create**.

        <Frame caption="Erstelle einen RSA-Schlüssel mit 3072 Bit oder mehr, bei dem das Tag anthropic-org-<ORGANIZATION_UUID> auf true gesetzt ist.">
          ![Die Seite Create a key in Azure Key Vault mit RSA, Schlüsselgröße 3072 und dem auf true gesetzten Tag anthropic-org.](https://platform.claude.com/docs/images/cmek/azure-create-key-tag.png)
        </Frame>
      </Step>

      <Step title="Die zulässigen Operationen einschränken">
        Öffne den neuen Schlüssel und dann seine aktuelle Version. Deaktiviere unter **Permitted operations** alle Kontrollkästchen außer **Wrap Key** und **Unwrap Key**. Klicke auf **Save**.

        <Frame caption="Beschränke die zulässigen Operationen auf Wrap Key und Unwrap Key. Die Schlüsselversion zeigt das Organisations-Tag.">
          ![Schlüsselversion in Azure Key Vault mit 1 Tag und auf Wrap Key und Unwrap Key beschränkten Permitted operations.](https://platform.claude.com/docs/images/cmek/azure-permitted-operations-tag.png)
        </Frame>
      </Step>

      <Step title="Die Zugriffssteuerung des Schlüssels öffnen">
        Öffne den Schlüssel selbst, nicht den Vault. Wähle seinen Tab **Access control (IAM)** aus und klicke auf **Add > Add role assignment**.
      </Step>

      <Step title="Die Rolle auswählen">
        Wähle auf dem Tab **Role** die Rolle **Key Vault Crypto User** aus. Klicke auf **Next**.
      </Step>

      <Step title="Service Principal von Anthropic hinzufügen">
        Klicke auf dem Tab **Members** auf **Select members**. Suche nach `anthropic-cmek-client-us` und wähle ihn aus. Klicke auf **Select** und dann auf **Next**.
      </Step>

      <Step title="Überprüfen und zuweisen">
        Klicke auf dem Tab **Review + assign** auf **Review + assign**.
      </Step>
    </Steps>
  </Tab>

  <Tab title="Azure CLI">
    <Steps>
      <Step title="Service Principal von Anthropic erstellen">
        ```bash
        az ad sp create --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87
        ```

        Kopiere das Feld `id` aus der Ausgabe.

        Wenn der Befehl mit einem „already exists“-Fehler beendet wird, hol dir die `id` stattdessen mit diesem Befehl:

        ```bash
        az ad sp show --id 8635ae1a-3e5d-44e8-a4ed-e0f614466f87 --query id -o tsv
        ```
      </Step>

      <Step title="Einen RSA-Schlüssel in deinem Vault erstellen">
        ```bash
        az keyvault key create \
          --vault-name <your-vault-name> \
          --name <your-key-name> \
          --kty RSA --size 3072 \
          --ops wrapKey unwrapKey \
          --tags anthropic-org-<ORGANIZATION_UUID>=true
        ```

        Ersetze die Platzhalter:

        * **`<your-vault-name>`:** der Name deines Key Vault
        * **`<your-key-name>`:** ein Name für den Schlüssel
        * **`<ORGANIZATION_UUID>`:** deine Anthropic-Organisations-ID in Kleinbuchstaben

        Für einen HSM-gestützten Schlüssel verwende `--kty RSA-HSM`.
      </Step>

      <Step title="Dem Service Principal von Anthropic Zugriff auf deinen Schlüssel gewähren">
        ```bash
        VAULT_ID=$(az keyvault show --name <your-vault-name> --query id -o tsv)

        az role assignment create \
          --role "Key Vault Crypto User" \
          --assignee-object-id <sp-object-id> \
          --assignee-principal-type ServicePrincipal \
          --scope "${VAULT_ID}/keys/<your-key-name>"
        ```

        Ersetze die Platzhalter:

        * **`<your-vault-name>`:** der Name deines Key Vault
        * **`<sp-object-id>`:** der `id`-Wert aus dem ersten Schritt
        * **`<your-key-name>`:** der Name des Schlüssels
      </Step>
    </Steps>
  </Tab>
</Tabs>

Wer den Schlüssel in Claude hinzufügt, benötigt die Vault-URI, den Schlüsselnamen und die Tenant-ID.

### Das Organisations-Tag zu einem Schlüssel hinzufügen, den du bereits hast

Ohne das Organisations-Tag schlägt die Verifizierung fehl. Der Schlüssel muss ein RSA-Schlüssel mit 3072 Bit oder mehr sein.

Anstatt einen Schlüssel zu erstellen, führe diesen Befehl in der Azure CLI oder in Cloud Shell aus. Er beschränkt den Schlüssel auf `wrapKey` und `unwrapKey`. Außerdem überschreibt er die Tags der aktuellen Version. Gib daher alle Tags, die du behalten möchtest, in `--tags` als `name=value` an.

```bash
az keyvault key set-attributes \
  --vault-name <your-vault-name> \
  --name <your-key-name> \
  --ops wrapKey unwrapKey \
  --tags anthropic-org-<ORGANIZATION_UUID>=true
```

Die Schritte für den Service Principal und die Rollenzuweisung sind trotzdem erforderlich.

## In Claude: Schlüssel hinzufügen und anhängen

Um diesen Teil auf Claude Platform per Skript auszuführen, [verwende stattdessen die Admin API](https://platform.claude.com/docs/de/manage-claude/cmek-admin-api).

<Tabs>
  <Tab title="Claude Platform">
    <Steps>
      <Step title="Die Einstellungen für Verschlüsselungsschlüssel öffnen">
        Öffne in der Claude Console auf der Seite Data retention den Abschnitt [Encryption keys](https://platform.claude.com/settings/privacy#encryption-keys). Wenn der Abschnitt nicht angezeigt wird, wähle oben im Dropdown-Menü **Organization** aus.
      </Step>

      <Step title="Den Schlüssel hinzufügen">
        Klicke unter **Encryption keys** auf **Add key**. Gib einen **Display name** ein, wähle **Azure Key Vault** aus und klicke auf **Continue**.
      </Step>

      <Step title="Die Schlüsseldetails eingeben">
        Prüfe, ob dein Schlüssel das im Dialogfeld angezeigte **Organization tag** hat. Gib **Vault URI**, **Key name** und **Tenant ID** ein, lass **Client ID** leer und klicke auf **Add**.
      </Step>

      <Step title="Schlüssel verifizieren">
        Klicke in der Liste **Encryption keys** neben dem Schlüssel auf **Verify**. **Connected** wird angezeigt, wenn die Prüfung erfolgreich ist. Wenn stattdessen **Connection failed** angezeigt wird, siehe [Fehlerbehebung bei CMEK](https://platform.claude.com/docs/de/manage-claude/cmek-troubleshooting).
      </Step>

      <Step title="Den Schlüssel an einen Workspace anhängen">
        <Warning>
          Das Anhängen eines Schlüssels [kann nicht rückgängig gemacht werden](https://platform.claude.com/docs/de/manage-claude/cmek-key-lifecycle#what-each-action-does). Du kannst ihn nicht vom Workspace entfernen oder ersetzen. Wenn der Schlüssel gelöscht wird, kann Anthropic die Daten, die er schützt, nicht wiederherstellen.
        </Warning>

        1. Wähle oben auf der Seite Data retention den Workspace aus dem Dropdown-Menü aus.
        2. Wähle unter **Encryption key** den Schlüssel aus und klicke auf **Save**.
        3. Aktiviere das Kontrollkästchen, um zu bestätigen, dass du die CMEK-Dokumentation gelesen hast, und klicke dann auf **Confirm**.

        Du siehst **Workspace settings updated.** Sobald der Schlüssel [wirksam wird](https://platform.claude.com/docs/de/manage-claude/cmek-how-it-works#when-your-key-takes-effect), zeigt das Audit-Log deines Cloud-Anbieters die Aufrufe, die Anthropic an den Schlüssel richtet.

        Wähle in einer [ZDR-Organisation](https://platform.claude.com/docs/de/manage-claude/cmek-data-retention#zdr-organizations), nachdem du den Workspace ausgewählt hast, **Standard data retention** aus, damit **Encryption key** erscheint. Nachdem du auf **Save** geklickt hast, klicke bei den Bedingungen zur Datenaufbewahrung auf **Accept**.
      </Step>
    </Steps>
  </Tab>

  <Tab title="Claude Enterprise">
    In Claude Enterprise gilt CMEK für die gesamte Organisation, und du kannst nur einen einzigen Schlüssel hinzufügen.

    <Warning>
      Das Hinzufügen eines Schlüssels [lässt sich nicht rückgängig machen](https://platform.claude.com/docs/de/manage-claude/cmek-key-lifecycle#what-each-action-does). Du kannst ihn weder aus der Organisation entfernen noch ersetzen. Wenn der Schlüssel gelöscht wird, kann Anthropic die Daten, die er schützt, nicht wiederherstellen.
    </Warning>

    Das Hinzufügen des Schlüssels [deaktiviert oder ändert einige Funktionen](https://platform.claude.com/docs/de/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed) für alle Nutzer. Wenn du CMEK zuerst ausprobieren möchtest, verwende eine separate Organisation.

    <Steps>
      <Step title="Die Einstellungen für Verschlüsselungsschlüssel öffnen">
        Gehe zu [claude.ai > Organization settings > Data and privacy](https://claude.ai/admin-settings/data-privacy-controls) und suche **Encryption keys**.
      </Step>

      <Step title="Den Schlüssel hinzufügen">
        Klicke auf **Add key**. Gib einen **Display name** ein und wähle **Azure Key Vault** aus. Aktiviere das Kontrollkästchen, um zu bestätigen, dass du die CMEK-Dokumentation gelesen hast, und klicke dann auf **Continue**.
      </Step>

      <Step title="Die Schlüsseldetails eingeben">
        Prüfe, ob dein Schlüssel das im Dialogfeld angezeigte **Organization tag** hat. Gib **Vault URI**, **Key name** und **Tenant ID** ein, lass **Client ID** leer und klicke auf **Add**.
      </Step>

      <Step title="Bestätigen, dass der Schlüssel hinzugefügt wurde">
        Die Prüfung kann bis zu 30 Sekunden dauern. Wenn **Encryption key configured.** erscheint, klicke auf **Done**. Wenn stattdessen **The encryption key couldn’t be added.** erscheint, [finde die Ursache und versuche es erneut](https://platform.claude.com/docs/de/manage-claude/cmek-troubleshooting#claude-ai-add-fails).

        Dein Schlüssel schützt ab diesem Zeitpunkt geschriebene Daten. Informiere deine Benutzer darüber, [welche Funktionen sich geändert haben](https://platform.claude.com/docs/de/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed).
      </Step>
    </Steps>
  </Tab>
</Tabs>