# Löschung der Umgebung und Vernichtung der Schlüssel

Jede KeenAuth-Umgebung hat ihre eigenen Verschlüsselungsschlüssel. Wenn eine Umgebung gelöscht wird, vernichtet KeenAuth diese Schlüssel, sodass die Daten der Umgebung dauerhaft unlesbar werden, auch an Orten, an denen für eine gewisse Zeit noch eine verschlüsselte Kopie existiert, etwa in Backups. Diese Seite erläutert, was wann vernichtet wird und was erhalten bleibt. Teile, die noch nicht verfügbar sind, sind mit `planned` gekennzeichnet.

## Die Schlüsselhierarchie

Sensible Felder einer Umgebung (zum Beispiel MFA-Geheimnisse, Signaturschlüssel für Token, Verbindungs- und Webhook-Geheimnisse, personenbezogene Daten in Protokollen, Protokollarchiven und Exportdateien) werden mit Datenschlüsseln verschlüsselt. Diese Datenschlüssel werden durch den eigenen Tenant-Hauptschlüssel der Umgebung umschlossen, und der Tenant-Hauptschlüssel wird durch einen Schlüssel der KeenAuth-Zelle umschlossen, in der die Umgebung liegt. Der Zellschlüssel verlässt niemals das Schlüsselverwaltungssystem der Zelle und kann nicht exportiert werden.

- Jede Umgebung hat eigene Tenant-Hauptschlüssel, einen für jeden KeenAuth-Dienst, der verschlüsselte Daten speichert; kein Schlüssel wird zwischen Umgebungen geteilt, auch nicht zwischen Umgebungen desselben Kontos.
- Auf die eigene Verschlüsselung des Speicheranbieters wird nicht vertraut: Die Daten werden von KeenAuth verschlüsselt, bevor sie geschrieben werden.

## Was geschieht, wenn eine Umgebung gelöscht wird

1. **Zuerst werden die Schlüssel vernichtet.** Jeder Tenant-Hauptschlüssel der Umgebung wird als vernichtet markiert und sein umschlossenes Schlüsselmaterial wird gelöscht. Ein Eintrag, dass der Schlüssel existierte und vernichtet wurde, bleibt ohne den Schlüssel erhalten.
2. **Die aktiven Daten werden gelöscht.** Die Benutzer, Organisationen, Anwendungen, Sitzungen, Protokolle und sonstigen Einträge der Umgebung werden aus den Live-Datenbanken entfernt.
3. **Die E-Mail-Signaturschlüssel werden gelöscht.** Die DKIM-Signaturschlüssel der Versanddomänen der Umgebung werden im selben Schritt aus dem Schlüsselverwaltungssystem der Zelle entfernt.

Nach Schritt 1 kann kein laufendes KeenAuth-System die verschlüsselten Felder der Umgebung mehr entschlüsseln, noch bevor die Zeilen selbst entfernt sind.

## Backups und die 30-Tage-Grenze

Datenbank-Backups und Snapshots des Schlüsselverwaltungssystems können noch eine umschlossene Kopie eines vernichteten Schlüssels enthalten. Sie werden höchstens **30 Tage** aufbewahrt. Wenn das letzte Backup, das den Schlüssel enthält, abgelaufen ist, ist jede verschlüsselte Kopie der Daten der Umgebung (in Backups, Archiven und übrig gebliebenen Exportdateien) dauerhaft nicht mehr entschlüsselbar.

- Wenn ein Backup jemals wiederhergestellt wird, werden gelöschte Umgebungen erneut entfernt, bevor das wiederhergestellte System online geht (`planned`).
- Nach Ablauf der 30 Tage wird ein Löschnachweis erstellt, der die vernichteten Schlüsselversionen und das Datum auflistet, an dem das letzte Backup abgelaufen ist (`planned`).

## Rechtliche Sperre

Wenn eine Umgebung einer rechtlichen Sperre unterliegt, wird die Vernichtung der Schlüssel bis zur Aufhebung der Sperre aufgeschoben und erfolgt danach innerhalb von 24 Stunden (`planned`).

## Eine Umgebung löschen

Das Löschen und Wiederherstellen von Umgebungen über das Dashboard und die Management-API ist `planned`. Bis dahin wenden Sie sich zum Löschen einer Umgebung bitte an den KeenAuth-Support.