Ist DynamoDB verschlüsselt?

Ja. Alle DynamoDB-Daten sind standardmäßig im Ruhezustand verschlüsselt, mit Verschlüsselungsschlüsseln, die im AWS Key Management Service (KMS) gespeichert sind, und die Verschlüsselung kann nicht deaktiviert werden. Du wählst den Schlüsseltyp — einen AWS owned key (der Standard, kostenlos), einen AWS managed key oder einen Customer managed key — und Daten während der Übertragung werden mit HTTPS/TLS geschützt.

Was die Verschlüsselung im Ruhezustand abdeckt

Die Verschlüsselung gilt für alles, was eine verschlüsselte Tabelle auf dauerhaften Medien speichert: die Tabelle selbst einschließlich ihres Primärschlüssels, Local und Global Secondary Indexes, Streams, Global Tables und Backups. Beachte, dass, wenn deine Tabelle einen Sort Key hat, einige der Sort Keys, die Range-Grenzen markieren, im Klartext in den Tabellen-Metadaten gespeichert werden.

Die drei Schlüsseloptionen

AWS owned key — der Standard. Von DynamoDB besessen und verwaltet, ohne zusätzliche Kosten.
AWS managed key — in deinem Konto gespeichert und von AWS KMS verwaltet (KMS-Gebühren fallen an).
Customer managed key — von dir erstellt, besessen und rotiert, mit voller Kontrolle über den Zugriff (KMS-Gebühren fallen an).

Du kannst jederzeit über die Konsole, CLI oder API zwischen Schlüsseltypen wechseln.

Es ist transparent für deine Anwendung

DynamoDB entschlüsselt Daten transparent, wenn du sie liest. Du änderst keinen Code, um mit einer verschlüsselten Tabelle zu arbeiten, Abfragen funktionieren unverändert, und die Latenz bleibt im selben einstelligen Millisekundenbereich. Für den durchgängigen Schutz einzelner Attributwerte, bevor sie deine Anwendung verlassen, bietet AWS außerdem clientseitige Verschlüsselung über das AWS Database Encryption SDK.

Tiefer einsteigen

Backups sind ebenfalls verschlüsselt — sieh, wie sie funktionieren, im Leitfaden zu Backups & PITR, schätze Tabellenkosten (KMS wird separat abgerechnet) mit dem Preisrechner und lade DynoTable herunter, um deine verschlüsselten Tabellen zu durchsuchen — die Entschlüsselung wird von AWS übernommen, bevor die Daten irgendeinen Client erreichen.

Referenzen

Zuletzt verifiziert am 2026-07-13 gegen die oben verlinkte offizielle AWS-Dokumentation.