---
title: CMEK mit Google Cloud KMS einrichten
url: https://platform.claude.com/docs/de/manage-claude/cmek-google-cloud-kms
description: Erstelle einen Google Cloud KMS-Schlüssel, gib Anthropic Zugriff darauf und setze ihn in Claude Platform oder Claude Enterprise ein.
---

Lass Claude Code diese Funktion für dich einrichten

```text
/claude-api hilf mir, einen kundenverwalteten Verschlüsselungsschlüssel mit Google Cloud KMS zu konfigurieren
```

## Bevor du beginnst

In Claude:

* Kundenverwaltete Verschlüsselungsschlüssel (CMEK) sind [für deine Organisation aktiviert](https://platform.claude.com/docs/de/manage-claude/cmek#availability).
* Du hast deine Anthropic-Organisations-ID, die UUID ohne das Präfix `org_`. Kopiere sie unter [Organization](https://platform.claude.com/settings/organization) in der Claude Console oder unter **Organization settings > Organization and access** auf claude.ai. Wer den Schlüssel erstellt, benötigt sie.
* Du bist Organization Admin auf der Claude Platform oder Owner bzw. Primary Owner bei Claude Enterprise.
* Auf der Claude Platform hast du einen Workspace, der [Daten aufbewahrt](https://platform.claude.com/docs/de/manage-claude/cmek-data-retention#data-retention), idealerweise einen neuen, da [bestehende Daten unter dem Schlüssel von Anthropic bleiben](https://platform.claude.com/docs/de/manage-claude/cmek-how-it-works#when-your-key-takes-effect).
* Bei Claude Enterprise weißt du, [welche Funktionen deaktiviert werden oder sich ändern](https://platform.claude.com/docs/de/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed).

In Google Cloud:

* Die Cloud KMS API ist aktiviert.
* Du kannst Schlüsselbunde und Schlüssel erstellen und IAM-Richtlinien dafür festlegen (`roles/cloudkms.admin` oder gleichwertig).
* Cloud KMS-[Data Access-Audit-Logs](https://docs.cloud.google.com/logging/docs/audit/configure-data-access) (Data Read und Data Write) sind aktiviert, sodass Cloud Logging die Nutzung deines Schlüssels durch Anthropic aufzeichnet. Standardmäßig sind sie deaktiviert.
* Wenn deine Google Cloud-Organisation die domänenbeschränkte Freigabe (`constraints/iam.allowedPolicyMemberDomains`) erzwingt, blockiert diese die Zugriffsgewährung an das Dienstkonto von Anthropic. Füge eine Ausnahme auf Projektebene hinzu oder erlaube die Cloud Identity-Kunden-ID von Anthropic. Wende dich an Anthropic, um die ID zu erhalten.

## In Google Cloud: den Schlüssel erstellen

Wenn **Verify** oder **Add** fehlschlägt, findest du die [Lösungen für Google Cloud KMS](https://platform.claude.com/docs/de/manage-claude/cmek-troubleshooting#google-cloud-kms).

Diese Schritte versehen den Schlüssel mit einem Label mit deiner Anthropic-Organisations-ID in Kleinbuchstaben (`<ORGANIZATION_UUID>`) und gewähren dem Dienstkonto von Anthropic Zugriff:

```text wrap
anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com
```

Verwende nur diese Adresse, niemals eine, die per E-Mail oder Chat gesendet wurde.

Du kannst jeden Cloud KMS-Standort verwenden. Für die niedrigste Latenz verwende `us-east5` oder `us-central1`. Anthropic empfiehlt dringend HSM-Schutz.

Um einen bereits vorhandenen Schlüssel zu verwenden, [füge zuerst das Organisationslabel hinzu](https://platform.claude.com/docs/de/manage-claude/cmek-google-cloud-kms#organization-label).

<Tabs>
  <Tab title="Google Cloud Console">
    <Steps>
      <Step title="Schlüsselbund erstellen oder auswählen">
        Rufe in der Google Cloud Console die Seite [Key management](https://console.cloud.google.com/security/kms) auf. Öffne einen Schlüsselbund oder erstelle einen an einem Standort wie `us-east5`.
      </Step>

      <Step title="Schlüssel konfigurieren">
        Klicke auf **Create key** und gib einen Namen ein. Wähle diese Optionen aus:

        * **Protection level:** HSM
        * **Key material:** Generated key
        * **Purpose:** Symmetric encrypt/decrypt
        * **Algorithm:** Google symmetric key
      </Step>

      <Step title="Organisationslabel hinzufügen">
        Klicke auf **Additional settings** und dann auf **Add label**. Gib das Organisationslabel ein:

        * **Key 1:** `anthropic-org-<ORGANIZATION_UUID>`
        * **Value 1:** `true`

        Klicke auf **Create**.

        <Frame caption="Ein HSM-geschützter symmetrischer Schlüssel zum Verschlüsseln/Entschlüsseln mit dem Organisationslabel.">
          ![Google Cloud KMS-Seite Create key mit HSM-Schutz, symmetrischer Verschlüsselung/Entschlüsselung und dem auf true gesetzten Label anthropic-org.](https://platform.claude.com/docs/images/cmek/gcp-create-key-label.png)
        </Frame>
      </Step>

      <Step title="Berechtigungen des Schlüssels öffnen">
        Aktiviere auf der Detailseite des Schlüsselbunds das Kontrollkästchen neben dem Schlüssel. Öffne das Panel **Permissions** und klicke auf **Grant access**.
      </Step>

      <Step title="Dem Dienstkonto von Anthropic Zugriff auf den Schlüssel gewähren">
        Prüfe, dass **Resource** den Schlüssel anzeigt, nicht den Schlüsselbund oder das Projekt. Gib diese Werte ein:

        * **New principals:** `anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com`
        * **Role:** Cloud KMS CryptoKey Encrypter/Decrypter

        Klicke auf **Add another role** und wähle **Cloud KMS Viewer** aus. Klicke auf **Save**.

        <Frame caption="Gewähre dem Anthropic-Dienstkonto beide Rollen, beschränkt auf den Schlüssel.">
          ![Dialogfeld Grant access, in dem das Anthropic-Dienstkonto die Rollen Cloud KMS CryptoKey Encrypter/Decrypter und Viewer erhält.](https://platform.claude.com/docs/images/cmek/gcp-grant-access.png)
        </Frame>
      </Step>

      <Step title="Vollständigen Ressourcennamen des Schlüssels kopieren">
        Öffne auf der Detailseite des Schlüsselbunds das Menü **Actions** des Schlüssels und klicke auf **Copy resource name**.

        <Frame caption="Kopiere den vollständigen Ressourcennamen des Schlüssels aus dem Aktionsmenü.">
          ![Details des Google Cloud-Schlüsselbunds mit hervorgehobener Aktion Copy resource name im Aktionsmenü des Schlüssels.](https://platform.claude.com/docs/images/cmek/gcp-copy-resource-name.png)
        </Frame>
      </Step>
    </Steps>
  </Tab>

  <Tab title="gcloud CLI">
    Ersetze in jedem Befehl diese Platzhalter:

    * **`<your-project-id>`:** deine Google Cloud-Projekt-ID
    * **`<region>`:** der Standort des Schlüssels, z. B. `us-east5`
    * **`<your-keyring-name>`:** der Name des Schlüsselbunds
    * **`<your-key-name>`:** der Name des Schlüssels
    * **`<ORGANIZATION_UUID>`:** deine Anthropic-Organisations-ID in Kleinbuchstaben

    <Steps>
      <Step title="Schlüsselbund erstellen oder auswählen">
        Überspringe diesen Schritt, wenn du bereits einen Schlüsselbund hast, den du wiederverwenden möchtest.

        ```bash
        gcloud kms keyrings create <your-keyring-name> \
          --project=<your-project-id> \
          --location=<region>
        ```
      </Step>

      <Step title="Schlüssel erstellen">
        ```bash
        gcloud kms keys create <your-key-name> \
          --project=<your-project-id> \
          --location=<region> \
          --keyring=<your-keyring-name> \
          --purpose=encryption \
          --protection-level=hsm \
          --labels=anthropic-org-<ORGANIZATION_UUID>=true
        ```

        Lass für Softwareschutz `--protection-level=hsm` weg.
      </Step>

      <Step title="Dem Dienstkonto von Anthropic Zugriff auf den Schlüssel gewähren">
        Führe beide Befehle aus:

        ```bash
        gcloud kms keys add-iam-policy-binding <your-key-name> \
          --project=<your-project-id> \
          --location=<region> \
          --keyring=<your-keyring-name> \
          --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
          --role=roles/cloudkms.cryptoKeyEncrypterDecrypter
        ```

        ```bash
        gcloud kms keys add-iam-policy-binding <your-key-name> \
          --project=<your-project-id> \
          --location=<region> \
          --keyring=<your-keyring-name> \
          --member="serviceAccount:anthropic-cmek-client-us@gcp-anthropic-cmek-clients.iam.gserviceaccount.com" \
          --role=roles/cloudkms.viewer
        ```
      </Step>

      <Step title="Vollständigen Ressourcennamen des Schlüssels abrufen">
        ```bash
        gcloud kms keys describe <your-key-name> \
          --project=<your-project-id> \
          --location=<region> \
          --keyring=<your-keyring-name> \
          --format="value(name)"
        ```
      </Step>
    </Steps>
  </Tab>
</Tabs>

Wer den Schlüssel in Claude hinzufügt, benötigt seinen vollständigen Ressourcennamen in diesem Format:

```text wrap
projects/<your-project-id>/locations/<region>/keyRings/<your-keyring-name>/cryptoKeys/<your-key-name>
```

### Organisationslabel zu einem bereits vorhandenen Schlüssel hinzufügen

Die Verifizierung schlägt fehl, sofern der Schlüssel nicht das auf `true` gesetzte Label `anthropic-org-<ORGANIZATION_UUID>` mit deiner Anthropic-Organisations-ID in Kleinbuchstaben hat. Um das Label hinzuzufügen, führe Folgendes aus:

```bash
gcloud kms keys update <your-key-name> \
  --project=<your-project-id> \
  --location=<region> \
  --keyring=<your-keyring-name> \
  --update-labels=anthropic-org-<ORGANIZATION_UUID>=true
```

Die anderen Werte findest du im vollständigen Ressourcennamen des Schlüssels, und der Befehl behält vorhandene Labels bei. Springe dann zu [den Schritten, die Zugriff gewähren](https://platform.claude.com/docs/de/manage-claude/cmek-google-cloud-kms#encryption-key-setup).

## In Claude: den Schlüssel hinzufügen und anhängen

Um diesen Teil auf Claude Platform per Skript auszuführen, [verwende stattdessen die Admin API](https://platform.claude.com/docs/de/manage-claude/cmek-admin-api).

<Tabs>
  <Tab title="Claude Platform">
    <Steps>
      <Step title="Die Einstellungen für Verschlüsselungsschlüssel öffnen">
        Öffne in der Claude Console auf der Seite Data retention den Abschnitt [Encryption keys](https://platform.claude.com/settings/privacy#encryption-keys). Wenn der Abschnitt nicht angezeigt wird, wähle oben im Dropdown-Menü **Organization** aus.
      </Step>

      <Step title="Schlüssel hinzufügen">
        Klicke unter **Encryption keys** auf **Add key**. Gib einen **Display name** ein, wähle **Google Cloud KMS** aus und klicke auf **Continue**.
      </Step>

      <Step title="Ressourcennamen des Schlüssels eingeben">
        Prüfe, dass dein Schlüssel das im Dialogfeld angezeigte **Organization label** hat. Füge den vollständigen Ressourcennamen des Schlüssels in **Key resource name** ein und klicke auf **Add**.
      </Step>

      <Step title="Schlüssel verifizieren">
        Klicke in der Liste **Encryption keys** neben dem Schlüssel auf **Verify**. **Connected** wird angezeigt, wenn die Prüfung erfolgreich ist. Wenn stattdessen **Connection failed** angezeigt wird, siehe [Fehlerbehebung bei CMEK](https://platform.claude.com/docs/de/manage-claude/cmek-troubleshooting).
      </Step>

      <Step title="Schlüssel an einen Workspace anhängen">
        <Warning>
          Das Anhängen eines Schlüssels [kann nicht rückgängig gemacht werden](https://platform.claude.com/docs/de/manage-claude/cmek-key-lifecycle#what-each-action-does). Du kannst ihn nicht vom Workspace entfernen oder ersetzen. Wenn der Schlüssel gelöscht wird, kann Anthropic die Daten, die er schützt, nicht wiederherstellen.
        </Warning>

        1. Wähle oben auf der Seite Data retention den Workspace aus dem Dropdown-Menü aus.
        2. Wähle unter **Encryption key** den Schlüssel aus und klicke auf **Save**.
        3. Aktiviere das Kontrollkästchen, um zu bestätigen, dass du die CMEK-Dokumentation gelesen hast, und klicke dann auf **Confirm**.

        Du siehst **Workspace settings updated.** Sobald der Schlüssel [wirksam wird](https://platform.claude.com/docs/de/manage-claude/cmek-how-it-works#when-your-key-takes-effect), zeigt das Audit-Log deines Cloud-Anbieters die Aufrufe, die Anthropic an den Schlüssel richtet.

        Wähle in einer [ZDR-Organisation](https://platform.claude.com/docs/de/manage-claude/cmek-data-retention#zdr-organizations), nachdem du den Workspace ausgewählt hast, **Standard data retention** aus, damit **Encryption key** erscheint. Nachdem du auf **Save** geklickt hast, klicke bei den Bedingungen zur Datenaufbewahrung auf **Accept**.
      </Step>
    </Steps>
  </Tab>

  <Tab title="Claude Enterprise">
    In Claude Enterprise gilt CMEK für die gesamte Organisation, und du kannst nur einen einzigen Schlüssel hinzufügen.

    <Warning>
      Das Hinzufügen eines Schlüssels [lässt sich nicht rückgängig machen](https://platform.claude.com/docs/de/manage-claude/cmek-key-lifecycle#what-each-action-does). Du kannst ihn weder aus der Organisation entfernen noch ersetzen. Wenn der Schlüssel gelöscht wird, kann Anthropic die Daten, die er schützt, nicht wiederherstellen.
    </Warning>

    Das Hinzufügen des Schlüssels [deaktiviert oder ändert einige Funktionen](https://platform.claude.com/docs/de/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed) für alle Nutzer. Wenn du CMEK zuerst ausprobieren möchtest, verwende eine separate Organisation.

    <Steps>
      <Step title="Die Einstellungen für Verschlüsselungsschlüssel öffnen">
        Gehe zu [claude.ai > Organization settings > Data and privacy](https://claude.ai/admin-settings/data-privacy-controls) und suche **Encryption keys**.
      </Step>

      <Step title="Schlüssel hinzufügen">
        Klicke auf **Add key**. Gib einen **Display name** ein und wähle **Google Cloud KMS** aus. Aktiviere das Kontrollkästchen, um zu bestätigen, dass du die CMEK-Dokumentation gelesen hast, und klicke dann auf **Continue**.
      </Step>

      <Step title="Ressourcennamen des Schlüssels eingeben">
        Prüfe, dass dein Schlüssel das im Dialogfeld angezeigte **Organization label** hat. Füge den vollständigen Ressourcennamen des Schlüssels in **Key resource name** ein und klicke auf **Add**.
      </Step>

      <Step title="Bestätigen, dass der Schlüssel hinzugefügt wurde">
        Die Prüfung kann bis zu 30 Sekunden dauern. Wenn **Encryption key configured.** erscheint, klicke auf **Done**. Wenn stattdessen **The encryption key couldn’t be added.** erscheint, [finde die Ursache und versuche es erneut](https://platform.claude.com/docs/de/manage-claude/cmek-troubleshooting#claude-ai-add-fails).

        Dein Schlüssel schützt ab diesem Zeitpunkt geschriebene Daten. Informiere deine Benutzer darüber, [welche Funktionen sich geändert haben](https://platform.claude.com/docs/de/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed).
      </Step>
    </Steps>
  </Tab>
</Tabs>