Sicherheit hat oberste Priorität, da SQL Server durch KI und Cloud-Integration immer leistungsfähiger wird. SQL Server 2025 führt Zero-Trust-Prinzipien und detaillierte Sicherheitskontrollen ein, um sicherzustellen, dass diese neuen Funktionen nicht auf Kosten von Datenschutzverletzungen oder Compliance-Problemen gehen.
Zu den wichtigsten Sicherheitsverbesserungen gehören:
Microsoft Entra (Azure AD) – Verwaltete Identitäten
SQL Server 2025 kann verwaltete Azure AD-Identitäten zur Authentifizierung bei Azure-Diensten und -Ressourcen nutzen. Das bedeutet, dass die SQL Server-Instanz anstelle der Speicherung von Benutzernamen und Passwörtern oder Zugriffsschlüsseln für Dienste wie Blob-Speicher, Event Hubs oder externe Modell-Endpunkte über eine vertrauenswürdige Identität verfügen kann – keine Einbettung von Geheimnissen in Verbindungszeichenfolgen mehr, was einen enormen Gewinn für die Sicherheit darstellt. Nehmen wir beispielsweise an, SQL muss ein Azure OpenAI-Modell aufrufen oder in ein Speicherkonto schreiben. In diesem Fall kann dies unter seiner verwalteten Identität erfolgen, wodurch fest codierte Anmeldedaten in Ihrem Code oder Ihrer Konfiguration entfallen.
Zero-Trust-Architektur
Aufbauend auf den oben genannten Punkten stellt die Version 2025 sicher, dass jede Zugriffsanfrage vollständig authentifiziert, autorisiert und verschlüsselt wird. Die Azure AD-Authentifizierung für Benutzer wurde bereits früher eingeführt; sie ist nun die Standardempfehlung, und Funktionen wie die TLS 1.3-Verschlüsselung sind standardmäßig für Verbindungen aktiviert. Die rollenbasierte Zugriffskontrolle wird auf neue Funktionen (wie externe Modelle) ausgeweitet. Dahinter steht der Gedanke, dass die Datenbank selbst innerhalb Ihres Netzwerks jede Verbindung einer strengen Überprüfung unterzieht, von einer Sicherheitsverletzung ausgeht und die Handlungsmöglichkeiten der einzelnen Komponenten einschränkt. In der Praxis geht dies einher mit Funktionen wie stets verschlüsselten Daten, der Multi-Faktor-Authentifizierung für Administratoren über Entra ID und der bereits erwähnten Nutzung verwalteter Identitäten. Dazu gehören auch eine verbesserte Protokollierung und Überwachung von KI-Aktivitäten. Wenn beispielsweise jemand versucht, ein externes Modell aufzurufen, für das er keine Berechtigung besitzt, wird dies protokolliert und blockiert.
Rollenbasierter Zugriff auf KI und Daten
SQL Server 2025 hat die Rollendefinitionen und Berechtigungen erweitert, um die KI-Integrationen abzudecken. Es gibt Kontrollmechanismen, die festlegen, wer EXTERNAL MODEL-Objekte erstellen oder ausführen darf und wer Funktionen wie das Change Data Streaming nutzen darf. Bei jedem Aufruf eines Modells kommen detaillierte Identitäts- und Überwachungsmechanismen zum Einsatz. So können DBAs beispielsweise festlegen, dass nur bestimmte Rollen eine Vektorähnlichkeitssuche für sensible Vektoren durchführen dürfen, oder dass nur das Data-Science-Team ein bestimmtes externes Modell aufrufen darf, das personenbezogene Daten zurückgibt. Jeder Aufruf eines externen Modells kann unter Berücksichtigung des Benutzerkontexts protokolliert werden. Dieses Maß an Kontrolle ist bei der Bereitstellung von KI innerhalb einer Datenbank unerlässlich, um Missbrauch oder Datenlecks zu verhindern; es entspricht den Berechtigungen für gespeicherte Prozeduren.
Stärkere Verschlüsselung und Hash-Verfahren
Hinter den Kulissen verbessert SQL 2025 die Standard-Kryptografieeinstellungen. Es wechselt bei der Verschlüsselung zu AES-256 (mit OAEP-Padding) und verwendet SHA-2/PBKDF2 mit 100.000 Iterationen für das Passwort-Hashing. Einfach ausgedrückt: Alle von SQL verschlüsselten Daten (wie Backups, Transparent Data Encryption usw.) verwenden standardmäßig modernere, sicherere Algorithmen, und gespeicherte Passwörter (wie SQL-Anmeldungen) werden auf eine Weise gehasht, die weitaus schwerer zu knacken ist. Diese Änderungen bringen SQL Server auf den neuesten Stand der Sicherheitsstandards (NIST-Richtlinien) und schützen vor Brute-Force-Angriffen.
Fortlaufende Buchführung und Datenintegrität
SQL Server 2022 wurde „Ledger“ eingeführt (blockchainähnliche, manipulationssichere Tabellen). SQL 2025 baut darauf auf und macht das Konzept noch praktischer (mit Funktionen wie der granularen Cache-Invalidierung für Ledger, sodass Berechtigungsänderungen keinen massiven Overhead erfordern). Dadurch wird sichergestellt, dass bei der Verwendung von SQL in Szenarien, in denen Datenintegrität entscheidend ist (Finanzen, Revision usw.), die KI-Funktionen diese nicht beeinträchtigen und Sie neben Ihren neuen KI-gesteuerten Datenspalten auch manipulationssichere, überprüfbare Datensätze erhalten.
Warum das wichtig ist
Die Einbindung von KI und Cloud-Konnektivität könnte neue Sicherheitsbedenken aufwerfen. Microsoft hat dies vorausgesehen und SQL Server 2025 so konzipiert, dass die Sicherheit parallel zur Funktionalität erhöht wird. Verwaltete Identitäten bedeuten weniger Geheimnisse, die Hacker oder sogar Insider stehlen können. Rollenbasierte Kontrollen sorgen dafür, dass Sie im Falle eines Missbrauchs einer KI-Funktion (beispielsweise wenn jemand versucht, über einen externen Modellaufruf große Datenmengen abzurufen) die Kontrolle behalten und die Funktion einschränken können. Der Zero-Trust-Ansatz ist in einer Welt der Hybrid-Cloud und häufiger Cyberbedrohungen von entscheidender Bedeutung: Er reduziert die Angriffsfläche, indem sichergestellt wird, dass jeder Aufruf, jede Integration oder jede Benutzeraktion überprüft wird und das Prinzip der geringsten Berechtigungen angewendet wird. Das bedeutet, dass Unternehmen die beeindruckenden KI-Funktionen von SQL 2025 nutzen können, ohne ihre Sicherheitslage zu schwächen; vielmehr werden sie diese wahrscheinlich sogar stärken. Die stärkere Verschlüsselung und das Hashing sind für Endnutzer größtenteils unsichtbar, bieten aber die Gewissheit, dass die Datenbank von Grund auf sicher ist (Compliance-Beauftragte werden es zum Beispiel zu schätzen wissen, dass Passwort-Hashes nun 100.000 Iterationen verwenden).
Da die Daten an die Modelle oder an die Dienste weitergeleitet werden, müssen Sie außerdem sicherstellen, dass eine Verschlüsselung während der Übertragung (TLS 1.3) sowie eine ordnungsgemäße Authentifizierung vorhanden sind, um Man-in-the-Middle-Angriffe und Datenlecks zu vermeiden. Der Fokus auf Zero Trust bedeutet auch, dass Sie über eine bessere Überwachung verfügen werden. Anomalien beim Datenzugriff oder beispielsweise ungewöhnliche Copilot-Abfragen können von Systemen wie „Defender for Cloud“ oder „Sentinel“ erkannt werden, die so eingerichtet werden können, dass sie die SQL Server überwachen.
Anwendungsfälle
Ihre Datenbank muss eine Azure-Funktion aufrufen, um die Wechselkurse für eine Währungsumrechnung abzurufen. In SQL 2022 hätten Sie den API-Schlüssel möglicherweise in einer Tabelle oder im Code gespeichert. Im Jahr 2025 würden Sie eine verwaltete Identität verwenden (der SQL Server würde sich bei Azure AD anmelden, wodurch er die Berechtigung zum Aufruf dieser Funktion erhalten würde), und es wären nirgendwo Geheimnisse gespeichert. Wenn jemand Lesezugriff auf Ihre Datenbank erhielte, könnte er keine Anmeldedaten finden, die er missbrauchen könnte. Ein weiterer Anwendungsfall ist die Steuerung der Nutzung eines KI-Modells. Ein Krankenhaus verfügt möglicherweise über ein externes Modell, das es zur Zusammenfassung von Patientenberichten nutzt. Mit RBAC könnten Sie das Modell so einrichten, dass es nur Ärzten (d. h. nur Personen in einer bestimmten Datenbankrolle) zur Verfügung steht, und alle Abfragen würden mit der ID des Benutzers protokolliert. Wenn ein Praktikant (der nicht in dieser Rolle ist) versuchen würde, das Modell auszuführen, würde die Datenbank den Zugriff einfach verweigern.
Ein weiteres Beispiel ist der Schutz vor Datenexfiltration: Ein KI-Modell könnte potenziell dazu missbraucht werden, Daten nach außen zu schmuggeln (da es möglicherweise Daten an eine API sendet). Da man in SQL 2025 jedoch festlegen könnte, dass „nur der Aufruf von Modell X erlaubt ist und nur aggregierte Ergebnisse zurückgegeben werden dürfen“, lässt sich dieses Risiko verringern. Die Datenbank kann zudem begrenzen, wie viele Daten ein einzelner Modellaufruf verarbeiten darf. Dies lässt sich durch Sicherheit auf Zeilenebene erreichen, ebenso wie dadurch, dass dem Benutzer der direkte Zugriff auf die Tabelle verwehrt und dieser Zugriff ausschließlich dem Modell gewährt wird, das dann eine begrenzte Verarbeitung durchführt. In beiden Fällen werden KI-Aktionen effektiv in einer Sandbox ausgeführt.
SQL Server-Lizenzen kaufen: Standard und Enterprise
Sehen Sie sich die Lizenzierungsoptionen für SQL Server Standard und Enterprise an und finden Sie die passende Lösung für die Anzahl der Kerne und die Arbeitslast Ihrer Umgebung.
SQL Server-Lizenzen kaufenVerbesserte Verschlüsselung
Die verbesserte Verschlüsselung ist zudem praxiswirksam: Sollten Ihre Backups gestohlen werden, die mit der Standardverschlüsselung von SQL 2025 erstellt wurden, sind sie sicherer als solche, die mit älteren Algorithmen verschlüsselt wurden. Und was die Passwortsicherheit angeht: Sollte jemand Ihre SQL-Anmelde-Hashes in die Hände bekommen, ist es dank der 100.000 Iterationen von PBKDF2 exponentiell schwieriger, diese zu knacken, als dies bei den älteren SHA1- oder ungesalzenen Hashes aus längst vergangenen Zeiten der Fall war.
Schließlich bedeutet „Zero Trust“, dass selbst interne Zugriffe – wie beispielsweise eine Replikation zwischen zwei Servern oder eine Verbindung von einem Anwendungsserver im selben Netzwerk – nicht implizit als vertrauenswürdig gelten; für alles sind entsprechende Tokens oder Zertifikate erforderlich. Dadurch lassen sich Insider-Bedrohungen oder Malware verhindern, die von einem Server aus problemlos in die Datenbank gelangen könnte. Microsoft integriert SQL Server eng mit Azure Arc; außerdem können Sie Sicherheitsrichtlinien für lokal und in der Cloud bereitgestellte SQL-Server einheitlich über Azure verwalten, sodass nichts übersehen wird.
Vertraue nichts, sichere alles
- Authentifizierung über verwaltete Identitäten: SQL Server kann anstelle von Passwörtern Azure AD-Identitäten für die Verbindung zu Diensten verwenden, wodurch riskante eingebettete Anmeldedaten entfallen.
- Verbesserte Verschlüsselung und RBAC: Die standardmäßigen Verschlüsselungs- und Hash-Algorithmen sind sicherer, und jede neue KI-Funktion unterliegt rollenbasierten Berechtigungen mit umfassender Protokollierung.
