--- title: Fehlerbehebung bei CMEK url: https://platform.claude.com/docs/de/manage-claude/cmek-troubleshooting description: Finde die Ursache und Lösung für eine CMEK-Fehlermeldung, eine fehlgeschlagene Verifizierung oder einen unerwarteten Log-Eintrag. --- **Verify** in der Claude Console, **Add** auf claude.ai und der Validate-Aufruf der Admin API führen alle dieselbe Prüfung aus. Wenn sie fehlschlägt (**Connection failed** in der Claude Console), sieh dir die Ursachen für [AWS KMS](https://platform.claude.com/docs/de/manage-claude/cmek-troubleshooting#aws-kms), [Google Cloud KMS](https://platform.claude.com/docs/de/manage-claude/cmek-troubleshooting#google-cloud-kms) oder [Azure Key Vault](https://platform.claude.com/docs/de/manage-claude/cmek-troubleshooting#azure-key-vault) an. Wenn eine Funktion nicht mehr funktioniert, könnte es eine sein, die durch „customer-managed encryption keys“ (kundenverwaltete Verschlüsselungsschlüssel), oder CMEK, deaktiviert wird. Prüfe die [Claude Platform-Liste](https://platform.claude.com/docs/de/manage-claude/cmek-coverage-claude-platform#turned-off-or-changed) oder die [Claude Enterprise-Liste](https://platform.claude.com/docs/de/manage-claude/cmek-coverage-claude-enterprise#turned-off-or-changed). Wenn nichts davon passt, kontaktiere dein Anthropic-Account-Team. ## Anfragen schlagen nach der Einrichtung fehl ### `cmek_key_disabled` ```text wrap Customer-managed encryption key is disabled or revoked. Re-enable the key to restore access. ``` Dieser 400-Fehler bedeutet, dass dein Schlüsselverwaltungsdienst den Aufruf von Anthropic abgelehnt hat. Prüfe diese Ursachen in dieser Reihenfolge: 1. Der Schlüssel ist deaktiviert. 2. Anthropics Zugriff auf den Schlüssel wurde entfernt. [Deine Einrichtungsseite](https://platform.claude.com/docs/de/manage-claude/cmek#set-it-up) zeigt den Zugriff, den Anthropic benötigt. 3. Bei AWS KMS [listet die Schlüsselrichtlinie Workspaces auf](https://platform.claude.com/docs/de/manage-claude/cmek-aws-kms-workspaces), aber nicht diesen. 4. Bei AWS KMS blockiert eine IP-Bedingung [Anthropics ausgehende IP-Adressen](https://platform.claude.com/docs/de/api/ip-addresses#outbound-ip-addresses). Behebe die Ursache. [Zwei Einschränkungen gelten](https://platform.claude.com/docs/de/manage-claude/cmek-key-lifecycle#restore-access), wenn der Zugriff wiederhergestellt ist. ### `cmek_key_network_blocked` ```text wrap The request to your key management service was blocked by its network access controls (for example, a KMS firewall or IP allowlist). Verify that your KMS network rules allow requests from Anthropic's published IP addresses, or contact Anthropic support if your configuration looks correct. ``` Dies ist ein 400-Fehler. Der Schlüssel selbst ist möglicherweise intakt. Erlaube [Anthropics veröffentlichte IP-Adressen](https://platform.claude.com/docs/de/api/ip-addresses) in den Netzwerkregeln deines Schlüsselverwaltungsdienstes. ### `cmek_key_unreachable` ```text wrap The workspace's customer-managed encryption key could not be reached. Try again shortly. If this continues, check that the key is available in your key management service, or contact Anthropic support. ``` Dieser 503-Fehler bedeutet, dass [Anthropic deinen Schlüssel nicht erreichen konnte](https://platform.claude.com/docs/de/manage-claude/cmek-key-lifecycle#unreachable-key). Wiederhole die Anfrage. ## Verifizierung schlägt fehl: AWS KMS | Ursache | Lösung | | ----------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Falsche Organisations-ID | Die `org_uuid`-Bedingung muss [deine Anthropic-Organisations-ID](https://platform.claude.com/docs/de/manage-claude/cmek-aws-kms#prerequisites) auflisten, die UUID ohne das Präfix `org_`. | | Ein Workspace fehlt in der Richtlinie | Eine `compartment_uuid`-Bedingung muss [die Compartment-ID](https://platform.claude.com/docs/de/manage-claude/cmek-aws-kms-workspaces) jedes Workspace auflisten, an den der Schlüssel angehängt ist. | | Zugriff über IAM statt über die Schlüsselrichtlinie gewährt | Anthropics Rolle benötigt Zugriff in [der Schlüsselrichtlinie selbst](https://platform.claude.com/docs/de/manage-claude/cmek-aws-kms#key-policy). | Um die Schlüsselrichtlinie auszugeben, führe Folgendes aus: ```bash aws kms get-key-policy \ --region \ --key-id \ --policy-name default ``` ### Ein Schlüssel, der bereits Daten schützt Wenn du [die Richtlinie eines Schlüssels ersetzt](https://platform.claude.com/docs/de/manage-claude/cmek-aws-kms-workspaces#replace-the-key-policy), der bereits Daten schützt, füge diese Richtlinienanweisung hinzu, damit Anthropic diese Daten weiterhin entschlüsseln kann. Liste in ihrer Bedingung die Compartment-ID jedes Workspace auf, an den der Schlüssel angehängt ist oder war. ```json { "Sid": "AllowAnthropicCMEKDecryptExistingData", "Effect": "Allow", "Principal": { "AWS": "arn:aws:iam::915198916910:role/anthropic-cmek-client-us" }, "Action": "kms:Decrypt", "Resource": "*", "Condition": { "StringEquals": { "kms:EncryptionContext:anthropic:compartment_uuid": [""] } } } ``` ## Verifizierung schlägt fehl: Google Cloud KMS | Ursache | Lösung | | ---------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Falsches Organisationslabel | Der Schlüssel benötigt das [Organisationslabel](https://platform.claude.com/docs/de/manage-claude/cmek-google-cloud-kms#organization-label) mit deiner Anthropic-Organisations-ID in Kleinbuchstaben. | | Domänenbeschränkte Freigabe | Diese Organisationsrichtlinie blockiert die Berechtigung für Anthropics Dienstkonto. [Füge eine Ausnahme hinzu](https://platform.claude.com/docs/de/manage-claude/cmek-google-cloud-kms#prerequisites). | | Deaktivierte oder vernichtete Schlüsselversion | Die primäre Version des Schlüssels muss aktiviert sein. | Um die Berechtigung zu prüfen, führe Folgendes aus: ```bash gcloud kms keys get-iam-policy \ --project= \ --location= \ --keyring= ``` ## Verifizierung schlägt fehl: Azure Key Vault | Ursache | Lösung | | ------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Falscher Organisations-Tag | Die aktuelle Version des Schlüssels benötigt den [Organisations-Tag](https://platform.claude.com/docs/de/manage-claude/cmek-azure-key-vault#organization-tag). | | Rollenzuweisung noch nicht wirksam | Bis eine neue Rollenzuweisung wirksam wird, kann es einige Minuten dauern. Warte und versuche es dann erneut. | | Die Netzwerkregeln des Vault blockieren Anthropic | Prüfe die Regeln anhand der [Vault-Einstellungen, die Anthropic benötigt](https://platform.claude.com/docs/de/manage-claude/cmek-azure-key-vault#check-your-vault-configuration). | ## Anhängen schlägt auf Claude Platform on AWS fehl Claude Platform on AWS hat keinen **Verify**-Schritt, daher zeigt sich ein Problem mit dem Schlüssel, wenn du ihn anhängst. | Ursache | Lösung | | ------------------------------------ | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Abweichende Schlüsselrichtlinie | Gib die Schlüsselrichtlinie mit dem [`get-key-policy`-Befehl](https://platform.claude.com/docs/de/manage-claude/cmek-troubleshooting#aws-kms) aus und vergleiche sie mit der [Richtlinie auf der Einrichtungsseite](https://platform.claude.com/docs/de/manage-claude/cmek-claude-platform-on-aws#prepare-the-key-policy). | | Abweichende Bedingung | Jede `EncryptionContext`- oder `aws:SourceArn`-Bedingung muss diesen Workspace einschließen. | | Zustand oder Standort des Schlüssels | Der Schlüssel muss aktiviert, Single-Region und im selben AWS-Konto und in derselben Region wie der Workspace sein. | | Fehlende Berechtigungen | Der Principal, mit dem du angemeldet bist, benötigt `kms:DescribeKey`, `kms:Encrypt` und `kms:Decrypt` für den Schlüssel. | Wenn das Anhängen weiterhin fehlschlägt, suche das abgelehnte `kms:`-Ereignis in CloudTrail im Konto des Schlüssels. Es zeigt den aufrufenden Principal und bei kryptografischen Aufrufen den Verschlüsselungskontext. Behebe die Ursache und klicke dann erneut auf **Save**. ## Anhängen oder Hinzufügen eines Schlüssels wird abgelehnt ### Der Workspace bewahrt keine Daten auf ```text wrap CMEK keys can only be attached to workspaces in this organization that have inference data retention enabled. ``` [Deine Organisation verwendet Null-Datenaufbewahrung (ZDR)](https://platform.claude.com/docs/de/manage-claude/cmek-data-retention#zdr-organizations), und ein Schlüssel benötigt einen Workspace, der Daten aufbewahrt. Stelle den Workspace zuerst auf **Standard data retention** um. ### Der Workspace hat keine Einstellung Encryption key Nur [ein Workspace, der Daten aufbewahrt](https://platform.claude.com/docs/de/manage-claude/cmek-data-retention#data-retention), hat diese Einstellung, wähle also zuerst **Standard data retention** für den Workspace aus. Der Standard-Workspace einer ZDR-Organisation kann nicht umgestellt werden, verwende daher einen anderen. ### Es gibt keinen Abschnitt Encryption keys Wähle in der Claude Console im Dropdown-Menü oben auf der Seite Data retention die Option **Organization** aus. Wenn der Abschnitt weiterhin fehlt, umfasst deine Rolle ihn nicht oder CMEK ist für deine Organisation nicht aktiviert. Dein Anthropic-Account-Team aktiviert CMEK. ### Der Workspace hat bereits einen Schlüssel ```text wrap This workspace already has a different external key attached. ``` Der Schlüssel eines Workspace kann nicht ersetzt werden, also [erstelle einen neuen Workspace](https://platform.claude.com/docs/de/manage-claude/cmek-key-lifecycle#change-keys) für einen anderen Schlüssel. ### Das Hinzufügen eines Schlüssels auf claude.ai schlägt fehl ```text wrap The encryption key couldn’t be added. ``` Die Prüfung deines Schlüssels ist fehlgeschlagen. Finde die Ursache für [AWS KMS](https://platform.claude.com/docs/de/manage-claude/cmek-troubleshooting#aws-kms), [Google Cloud KMS](https://platform.claude.com/docs/de/manage-claude/cmek-troubleshooting#google-cloud-kms) oder [Azure Key Vault](https://platform.claude.com/docs/de/manage-claude/cmek-troubleshooting#azure-key-vault). Um es erneut zu versuchen, klicke noch einmal auf **Add key**. Das Dialogfeld öffnet sich mit deinen vorherigen Angaben. Aktiviere das Kontrollkästchen, klicke auf **Continue** und dann auf **Add**. ## Erwartete Fehler in CloudTrail Auf Claude Platform und Claude Enterprise prüft Anthropic den Schlüssel, wann immer du ihn verifizierst, ihn an einen Workspace anhängst oder ihn auf claude.ai ansiehst. Jede Prüfung fügt CloudTrail vier erwartete Access-Denied-Fehler hinzu. Um sie herauszufiltern, gleiche alle drei Werte ab: * `requestParameters.encryptionContext.associatedData`: `Y21lay12YWxpZGF0aW9u` * `userIdentity.accountId`: `915198916910` * `resources.ARN`: `arn:aws:kms:::key/` Der erste Wert allein reicht nicht aus, da jeder Aufrufer ihn setzen kann.