Die kryptographischen Schlüssel werden ausschliesslich in AWS KMS verwaltet und sind physisch sowie logisch von den geschützten Daten getrennt. AWS KMS basiert auf einem gehärteten HSM-Backend mit FIPS 140-3 Level 3 Zertifizierung.

Im laufenden Betrieb verwenden ausschliesslich autorisierte AWS-Dienstkomponenten die Schlüssel. Eine kleine Zahl benannter Break-Glass- und Datenanalyse-Rollen verfügt zusätzlich über eine Entschlüsselungsberechtigung, beschränkt auf einen begrenzten Kreis von Engineers; jede solche Verwendung wird protokolliert und alarmiert. Dieser Zugriff wird derzeit hinter eine explizite Einzelfreigabe der technischen Leitung gestellt.

Alle Schlüsselverwendungen werden über CloudTrail protokolliert. Die jährliche automatische Rotation ist für alle KMS-Schlüssel aktiviert. AWS-Zugangsdaten werden regelmässig gemäss Sicherheitsrichtlinie rotiert, IAM-Datenbanktokens laufen nach 15 Minuten ab.