OneDrive vs. verschlüsselte Dateiübertragung: Was ist sicherer?

OneDrive ist sicherer als das Senden von Dateien per unverschlüsselter E-Mail oder FTP, aber es ist nicht Ende-zu-Ende-verschlüsselt. Microsoft hält die Schlüssel, was bedeutet, dass der Konzern Ihre Dateien für Inhaltsscans, eDiscovery und rechtmäßige Zugangsanfragen gemäß dem US CLOUD Act und dem Stored Communications Act entschlüsseln kann. Dedizierte verschlüsselte Dateiübertragungsdienste wie HexaTransfer, Tresorit Send und Proton Drive Send verschlüsseln Dateien clientseitig mit AES-256-GCM, sodass der Anbieter nur Geheimtext speichert. Für nicht-sensible Zusammenarbeit gewinnt OneDrives Komfort. Für regulierte Daten nach HIPAA, DSGVO Artikel 32 oder PCI DSS 4.0 ist ein E2EE-Übertragungsdienst materiell sicherer.

Wie OneDrive tatsächlich verschlüsselt

OneDrive verschlüsselt Dateien im Ruhezustand mit dateiindividuellen AES-256-Schlüsseln, die ihrerseits durch einen Content Encryption Key im Microsoft Key Store verschlüsselt sind, der durch einen Hauptschlüssel in Azure Key Vault geschützt wird. Es ist eine sorgfältig konstruierte Kette, und im Transit wird durchgehend TLS 1.3 mit modernen Cipher Suites eingesetzt. Microsofts Dokumentation ist ungewöhnlich transparent über die Architektur.

Das alles ist nicht Ende-zu-Ende-verschlüsselt. Microsoft hält die Schlüssel auf jeder Ebene. SharePoint (das OneDrive for Business zugrunde liegt) führt Inhaltsscans, DLP-Richtlinienauswertung und Malware-Erkennung gegen Klartext durch. Diese Funktionen sind wertvoll — und unvereinbar mit E2EE by Design.

Microsofts Double Key Encryption (DKE)

Microsoft-365-E5-Kunden können Double Key Encryption aktivieren, das einen kundenseitig gehaltenen Schlüssel zusätzlich zu Microsofts Schlüssel hinzufügt. Um eine DKE-geschützte Datei zu entschlüsseln, müssen Microsofts Schlüssel und Ihr lokaler Schlüssel (bereitgestellt von einem kundenbetriebenen DKE-Dienst) kombiniert werden. Microsoft allein kann nicht entschlüsseln; dazu wird Ihr Schlüsseldienst benötigt.

DKE ist echte E2EE für den Teilbereich der Dateien, die Sie ausdrücklich schützen. Der Einrichtungsaufwand ist real: E5-Lizenzierung (ca. 57 $/Nutzer/Monat), Betrieb des DKE-Dienstes, Verwaltung der Schlüsselrotation, Schulung der Nutzenden für die Schaltfläche „Schützen" in Office. Für große Organisationen mit vertraulichen Verträgen ist das verhältnismäßig. Für die meisten kleineren Unternehmen ist es überdimensioniert.

Was dedizierte verschlüsselte Übertragungsdienste anders machen

HexaTransfer, Tresorit Send und Proton Drive Send implementieren alle dasselbe Architekturmuster: Die Verschlüsselung erfolgt im Browser des Senders vor dem Upload. Der symmetrische Schlüssel (AES-256-GCM) wird clientseitig erzeugt. Der Server speichert nur Geheimtext. Der Schlüssel gelangt zum Empfänger separat — in einem URL-Fragment, einem Passwort oder einem vorab ausgetauschten öffentlichen Schlüssel.

Kein Microsoft-Schlüssel, kein Azure Key Vault, keine Notwendigkeit, dass der Anbieter an der Entschlüsselung beteiligt ist. Das Bedrohungsmodell verschiebt sich: Statt dem Anbieter zu vertrauen, vertrauen Sie nur den Endpunkten und dem Schlüsselübertragungskanal. Für viele regulierte Szenarien ist das genau die Haltung, die Prüfer sehen möchten.

Vergleich: OneDrive vs. dedizierter E2EE-Transfer

| Eigenschaft | OneDrive for Business | OneDrive + DKE | HexaTransfer | |---|---|---|---| | Verschlüsselung im Ruhezustand | AES-256 (MS-verwaltet) | AES-256 (MS + Kunde) | AES-256-GCM (clientseitig) | | Anbieter sieht Klartext | Ja | Nein | Nein | | Einrichtungsaufwand | Keiner | Hoch (E5 + DKE-Dienst) | Keiner | | Kosten pro Nutzer | 5–22 €/Monat | ca. 57 €+/Monat | Kostenlos | | Maximale Dateigröße | 250 GB | 250 GB | 10 GB | | Aufbewahrung | Dauerhaft | Dauerhaft | 7 Tage | | Admin-Prüfprotokoll | Ja | Ja | Minimal | | BAA verfügbar | Ja | Ja | Anbieterabhängig |

Sicherheit je nach Szenario

Für ein gemeinsames Mitarbeiterlaufwerk mit Onboarding-Dokumenten ist OneDrive in Ordnung — der Inhalt ist nicht sensibel und Kollaboration ist gefragt. Für eine Marketingbibliothek ist OneDrive in Ordnung. Für eine Auftragnehmer-SOW-PDF, die per OneDrive-Link versendet wird, ist OneDrive wahrscheinlich ausreichend, wenngleich ein passwortgeschützter Link besser ist als ein anonymer.

Für einen Forensikbericht zu einer Datenpanne, der an externe Anwälte gesendet wird, ist ein E2EE-Übertragungsdienst materiell sicherer. Für Patientenbilder (DICOM-Dateien), die zwischen Kliniken gesendet werden, ist ein E2EE-Dienst mit HIPAA BAA die verteidigungsfähige Wahl. Für M&A-Due-Diligence-Dokumente ist ein E2EE-Dienst mit kompartimentiertem Zugang Standardpraxis. Für anwaltliches Arbeitsprodukt, das an die Gegenseite gesendet wird, schützt E2EE gleichzeitig vor Abhören auf Leitungsebene und vor Kompromittierung auf Anbieterebene.

Der CLOUD-Act-Vorbehalt

Der US Clarifying Lawful Overseas Use of Data Act (2018) erlaubt US-Strafverfolgungsbehörden, die Herausgabe von Daten zu erzwingen, die US-Anbieter halten, unabhängig davon, wo diese physisch gespeichert sind. OneDrive-Daten, die in Irland gehostet werden, unterliegen weiterhin US-Verfahren. Das ist für nicht-amerikanische Organisationen relevant: Ein deutsches Unternehmen, das EU-Kundendaten auf OneDrive speichert, befindet sich in einem Jurisdiktionskonflikt, wenn ein US-Beschluss eintrifft.

E2EE-Übertragungsdienste, bei denen der Anbieter nicht entschlüsseln kann, umgehen das direkt. Ein CLOUD-Act-Beschluss gegen einen Anbieter, der nur Geheimtext speichert, liefert genau Geheimtext. Einige Dienste (Proton, Tresorit) haben ihren Hauptsitz außerhalb der US-Jurisdiktion, was eine weitere Schutzschicht bietet.

Praktische Hybridstrategie

Die meisten Organisationen, die Microsoft 365 betreiben, sollten OneDrive nicht aufgeben — es ist zu eng mit Teams, Outlook und Windows verflochten. Stattdessen ergänzen Sie einen E2EE-Übertragungsdienst für sensible externe Übertragungen. Der Workflow: Die Arbeitsdatei in OneDrive für die Bearbeitung speichern, eine finale Version exportieren und per HexaTransfer oder Tresorit Send an den externen Empfänger senden. Die OneDrive-Kopie verbleibt bei Ihnen unter Microsofts Schlüsselverwaltung; die externe Zustellung ist E2EE.

Das bewahrt Microsofts DLP-, eDiscovery- und Aufbewahrungswerkzeuge für die interne Compliance, während das schwächste Glied geschlossen wird — die externe Übertragung, bei der Klartextzugriff durch den Anbieter am meisten zählt.

Was Ihre Risikoabschätzung fragen sollte

Drei Fragen zeigen, ob OneDrive allein sicher genug ist. Erstens: Würde das Lesen dieser Datei durch einen Microsoft-Mitarbeitenden regulatorische oder Wettbewerbsschäden verursachen? Wenn ja, wechseln Sie zu DKE oder einem E2EE-Dienst. Zweitens: Würde ein US-Regierungsbeschluss an Microsoft für diese Datei ein rechtliches Problem nach einem nicht-US-amerikanischen Gesetz (DSGVO, PIPL, LGPD) schaffen? Wenn ja, ist E2EE sicherer. Drittens: Handelt es sich um eine einmalige Übertragung oder eine laufende Zusammenarbeit? Wenn einmalig, ist ein E2EE-Übertragungsdienst operativ einfacher als die Konfiguration von DKE.

Für den einmaligen E2EE-Versand: Auf hexatransfer.com testen — kostenlos, ohne Konto, bis 10 GB.