> For the complete documentation index, see [llms.txt](https://docs.kiloiot.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.kiloiot.io/kilo-docs-de/kilo-iot-server/reports/key-vault.md).
# Key Vault
Speichern Sie LoRaWAN DevEUI/AppKey- und MIOTY EP EUI/Network Key-Paare verschlüsselt, mit Suche und Seitenzugriffskontrolle.
Key Vault bietet Ihrer Organisation einen verschlüsselten Speicherort, um LoRaWAN- und Mioty-EUI-Schlüsselpaarungen mit Zugriffskontrolle zu speichern.
Jedes Gerät, das Sie in Betrieb nehmen, trägt ein Paar Funk-Zugangsdaten: eine Kennung und ein Geheimnis. Für LoRaWAN ist dieses Paar das **DevEUI** und die **AppKey**. Für MIOTY ist es das **EP EUI** und die **Netzwerkschlüssel**. Ohne beide Hälften kann ein Gerät nicht in ein Netzwerk provisioniert werden. Ob die geheime Hälfte später aus einem Gerät wieder ausgelesen werden kann, hängt vollständig vom Hersteller ab — manche Modelle geben sie über eine kabelgebundene UART-Verbindung preis, viele nicht — und all das ist ohnehin nicht praktikabel, sobald das Gerät montiert und versiegelt ist.
Key Vault speichert diese Paare auf Organisationsebene, sodass die Zugangsdaten das Gerät, den Installateur und die Bereitstellung überdauern. Es handelt sich um einen Organisationsdatensatz darüber, welche Schlüssel jedes Gerät hat, unabhängig davon, ob dieses Gerät derzeit registriert, online oder überhaupt noch im Feld ist.
***
## Warum das wichtig ist
Funk-Zugangsdaten landen oft an den ungünstigsten Orten. Sie befinden sich auf einem Aufkleber in der Box, werden einmal in ein Bereitstellungsformular eingetippt, und danach sind die einzigen Exemplare, an die man schnell herankommt, ein Etikett am Gerät, die Tabelle eines Dienstleisters oder ein Anbieterportal, das jemand anderes kontrolliert.
Das funktioniert, bis es nicht mehr funktioniert:
* Ein Inbetriebnahmeteam rollt über drei Wochen 400 Sensoren an neun Standorten aus und übergibt die Bereitstellung dann an Ihr Betriebsteam. Der Papierkram kommt nicht mit.
* Ein Auftrag eines Dienstleisters endet. Sein Laptop, seine Tabelle und sein Login zum Anbieterportal enden mit ihm.
* Ein Sensor fällt vier Jahre in einer zehnjährigen Batterielaufzeit aus. Das Ersatzgerät muss provisioniert werden, und das ursprüngliche Schlüsselformular lag in einem Ordner in einem Werksbüro, das inzwischen umgenutzt wurde.
* Ein Gerät wird auf ein anderes Netzwerk neu provisioniert und benötigt die erneute Eingabe seines AppKey — ein Schlüssel, den niemand dokumentiert hat, weil die erste Bereitstellung "einfach funktioniert hat."
* Ein Prüfer fragt, wie Gerätedaten gespeichert werden und wer sie einsehen kann, und die ehrliche Antwort umfasst einen Aktenschrank.
Key Vault ersetzt all das durch einen einzigen verschlüsselten Speicher innerhalb der Organisation, der die Bereitstellung bereits besitzt und nach demselben Zugriffsmodell wie jede andere Seite verwaltet wird.
> **Key Vault ist nicht dasselbe wie API-Schlüssel.** API-Schlüssel authentifizieren *Integrationen* zum Kilo IoT Server — ein Reporting-Skript, eine CI-Pipeline, ein Lagersystem — und werden unter [Einstellungen → API-Schlüssel](/kilo-docs-de/kilo-iot-server/settings/api-keys.md)verwaltet. Key Vault speichert die *Funk-Zugangsdaten Ihrer physischen Geräte*. Die beiden überschneiden sich nie.
***
## Navigation
Öffnen Sie die Seitenleiste und gehen Sie zu **Datensätze & Berichte** → **Key Vault**.
Wenn Sie noch nichts gespeichert haben, begrüßt Sie die Seite mit einem Leerzustand:
> **Verwalten Sie Ihre Gerätedaten immer noch auf Papier?**
Klicken Sie auf **Fügen Sie Ihr erstes Schlüsselpaar hinzu** um zu beginnen.
***
## Was ein Schlüsselpaar enthält
Jeder Eintrag enthält zwei Felder:
| Feld | Was es enthält | Form |
| ------------------------------ | ---------------------------------------------------------------------------------------------------------- | -------------- |
| **EUI** *(DevEUI / EP EUI)* | Die eindeutige Kennung des Geräts — der DevEUI für ein LoRaWAN-Gerät, der EP EUI für einen MIOTY-Endpoint. | 16 Hex-Zeichen |
| **AppKey / Netzwerkschlüssel** | Das Geheimnis des Geräts — der AppKey für LoRaWAN, der Netzwerkschlüssel für MIOTY. | 32 Hex-Zeichen |
Beide Felder verwenden unabhängig vom Protokoll dasselbe Formular, sodass eine gemischte LoRaWAN- und MIOTY-Bereitstellung alle ihre Zugangsdaten an einem Ort behält.
Die Werte werden verschlüsselt gespeichert. Nur Nutzer mit Zugriff auf die Key-Vault-Seite können sie wieder lesen.
***
## Ein Schlüsselpaar hinzufügen
1. Gehen Sie zu **Datensätze & Berichte** → **Key Vault**.
2. Klicken Sie auf **Schlüsselpaar hinzufügen**.
3. Geben Sie im **EUI** Feld den DevEUI des Geräts (LoRaWAN) oder den EP EUI (MIOTY) ein — 16 Hex-Zeichen.
4. Geben Sie im **AppKey / Netzwerkschlüssel** Geben Sie im Feld den AppKey (LoRaWAN) oder den Netzwerkschlüssel (MIOTY) ein — 32 Hex-Zeichen.
5. Klicken Sie auf **Speichern**.
Sie sehen die Bestätigung **"Schlüsselpaar im Tresor gespeichert"** und der Eintrag erscheint in der Liste.
### Wenn das Speichern blockiert ist
Das Formular prüft beide Hälften, bevor es einen Eintrag akzeptiert:
| Meldung | Was das bedeutet |
| --------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| *"EUI ist unvollständig."* | Der EUI ist kürzer als 16 Hex-Zeichen. Prüfen Sie, ob beim Einfügen etwas abgeschnitten wurde oder ein Zeichen fehlt. |
| *"AppKey / Netzwerkschlüssel ist unvollständig."* | Der Schlüssel ist kürzer als 32 Hex-Zeichen. |
| *"Geben Sie vor dem Speichern im Tresor sowohl EUI als auch AppKey / Netzwerkschlüssel ein."* | Eines der beiden Felder ist leer. Ein Tresor-Eintrag ist nur als Paar sinnvoll — ein einzelner EUI stellt nichts wieder her. |
| *"Schlüsselpaar konnte nicht gespeichert werden"* | Das Speichern wurde nicht abgeschlossen. Wenn beide Felder korrekt formatiert sind, siehe [Grenzen](#limits) unten — eine Organisation, die ihr Eintragslimit erreicht hat, kann keine neuen Paare speichern. |
Doppelte Einträge werden abgelehnt: Die gleiche Kombination aus EUI und Schlüssel kann innerhalb einer Organisation nicht zweimal gespeichert werden, sodass das erneute Eingeben eines bereits erfassten Paars keine zweite Kopie erzeugt.
***
## Einen Schlüssel aus dem Geräteformular hinzufügen
Der zuverlässigste Moment, einen Schlüssel zu erfassen, ist der Moment, in dem Sie ihn ohnehin vor sich haben — während Sie das Gerät konfigurieren.
Das Geräteformular enthält eine **In den Tresor hinzufügen** Schaltfläche, die das Paar direkt von dem Gerät speichert, das Sie konfigurieren. Bei einem LoRaWAN-Gerät wird der AppKey gespeichert; bei einem MIOTY-Gerät der Netzwerkschlüssel. Kein erneutes Eintippen, kein separater Weg zur Tresor-Seite, kein Übertragungsfehler.
Diese Gewohnheit lohnt sich für Ihren Inbetriebnahmeprozess: Wer den Schlüssel in das Geräteformular eingibt, klickt in derselben Sitzung auch auf **In den Tresor hinzufügen** . Für den vollständigen Ablauf der Geräteanmeldung siehe [Geräte registrieren](/kilo-docs-de/kilo-iot-server/devices/registering-devices.md).
***
## Ein Schlüsselpaar finden
Verwenden Sie **Suche nach EUI oder AppKey / Netzwerkschlüssel** oberhalb der Liste. Die Suche findet Übereinstimmungen auch bei Teilwerten, sodass Sie nicht die vollen 16 oder 32 Zeichen benötigen — die letzten paar Zeichen von einem Geräteetikett reichen normalerweise aus, um einen Eintrag zu finden.
* Die Suche erfordert mindestens **2 Zeichen**. Darunter zeigt die Seite *"Geben Sie mindestens 2 Zeichen ein, um zu suchen."* oder *"Weiter tippen, um zu suchen"* — die Liste wird erst gefiltert, wenn Sie das Minimum erreicht haben.
* Wenn nichts übereinstimmt, sehen Sie **"Keine Schlüsselpaarungen gefunden"** mit *"Versuchen Sie eine andere Suche nach EUI oder AppKey / Netzwerkschlüssel."* Erweitern Sie die Suche, indem Sie Zeichen entfernen: Ein Teilstring aus der Mitte eines EUI findet genauso gut Übereinstimmungen wie ein Präfix, daher trifft ein kürzeres Fragment eher als ein längeres mit einem Tippfehler.
Die Suche nach Schlüsselwerten und nicht nur nach dem EUI ist in umgekehrter Richtung nützlich — wenn Sie einen Schlüssel aus einem Bereitstellungsdatensatz haben und herausfinden müssen, zu welchem Gerät er gehört.
***
## Ein Schlüsselpaar bearbeiten
Korrigieren Sie einen Eintrag, wenn ein Gerät neu mit einem Schlüssel versehen wurde oder wenn bei einem fehlgeschlagenen Join ein Übertragungsfehler auffällt.
1. Suchen Sie den Eintrag, verwenden Sie die Suche, wenn die Liste lang ist.
2. Öffnen Sie **Schlüsselpaar bearbeiten**.
3. Aktualisieren Sie den **EUI**, den **AppKey / Netzwerkschlüssel**, oder beides. Es gilt dieselbe Validierung — 16 Hex-Zeichen und 32 Hex-Zeichen, beide Felder sind erforderlich.
4. Klicken Sie auf **Speichern**.
Sie sehen **"Schlüsselpaar aktualisiert"**. Wenn die Aktualisierung nicht abgeschlossen wird, meldet die Seite **"Schlüsselpaar konnte nicht aktualisiert werden"** — stellen Sie sicher, dass beide Felder vollständig und korrekt formatiert sind, und versuchen Sie es dann erneut.
***
## Ein Schlüsselpaar löschen
Entfernen Sie Einträge für Hardware, die nicht mehr im Einsatz ist — Geräte, die außer Betrieb genommen, an den Anbieter zurückgegeben oder verloren wurden.
1. Suchen Sie den Eintrag.
2. Wählen Sie Löschen.
3. Bestätigen Sie in der Eingabeaufforderung: *"Sind Sie sicher, dass Sie dieses Schlüsselpaar löschen möchten?"*
Sie sehen **"Schlüsselpaar gelöscht"**. Wenn das Löschen nicht abgeschlossen wird, meldet die Seite **"Schlüsselpaar konnte nicht gelöscht werden"**; versuchen Sie es erneut, und wenn das Problem bestehen bleibt, bestätigen Sie, dass Sie weiterhin Bearbeitungszugriff auf die Seite haben.
Das Löschen ist der Punkt ohne Rückkehr für eine Zugangsdaten. Sobald ein Paar aus dem Tresor entfernt ist und das physische Etikett von der Hardware verschwunden ist, ist der Schlüssel auf der Plattform nirgendwo mehr wiederherstellbar. Löschen Sie ihn, wenn das Gerät tatsächlich außer Betrieb ist — nicht, um eine Liste aufzuräumen, die Sie stattdessen durchsuchen können.
***
## Zugriffskontrolle
Key Vault hat seine eigene **Key Vault** Seitenberechtigung, die unabhängig von jeder anderen Oberfläche festgelegt wird. Der Zugriff eines Nutzers auf Geräte, Dashboards oder Konnektoren sagt nichts über seinen Zugriff auf den Tresor aus — Sie gewähren ihn bewusst.
Das ist der eigentliche Zweck, Zugangsdaten auf einer Seite statt in einer Tabelle zu speichern. Die Personen, die Schlüssel lesen müssen — Inbetriebnahmeingenieure, die Betriebsleitung, die Ersatzgeräte verwaltet — erhalten Zugriff. Alle anderen sehen die Seite überhaupt nicht.
Legen Sie die Berechtigung fest, wenn Sie einen Nutzer einladen oder den Zugriff eines bestehenden Mitglieds bearbeiten. Siehe [Zugriff verwalten](/kilo-docs-de/kilo-iot-server/account/managing-access.md) für Hinweise, wie Sie die Berechtigungen eines bestehenden Mitglieds ändern, und [Rollen und Seitenzugriff](/kilo-docs-de/kilo-iot-server/account/roles-and-page-access.md) für Hinweise, wie Seitenberechtigungen plattformweit funktionieren.
Da sich der Zugriff auf Zugangsdaten zu prüfen lohnt, kombinieren Sie die Berechtigung mit dem [Audit Trail](/kilo-docs-de/kilo-iot-server/reports/audit-trail.md), der aufzeichnet, wer Zugriff auf die Seiten Ihrer Organisation erhalten oder verweigert bekam und wann.
***
## Grenzen
Jede Organisation kann eine feste Anzahl von Schlüsselpaaren speichern. Wenn das Limit erreicht ist, schlägt das Speichern eines neuen Paars fehl und ein Administrator muss ungenutzte Einträge entfernen — außer Betrieb genommene Hardware, zurückgegebene Geräte, Duplikate aus einer Migration — bevor neue Paare hinzugefügt werden können.
Wenn **"Schlüsselpaar konnte nicht gespeichert werden"** bei einem korrekt formatierten Eintrag erscheint, ist das Eintragslimit als Erstes zu prüfen.
***
## Tipps und bewährte Praktiken
* **Bei der Inbetriebnahme erfassen, nicht danach.** Das Zeitfenster, in dem sich ein Schlüssel leicht erfassen lässt, ist der Moment, in dem er im Bereitstellungsformular steht. Verwenden Sie **In den Tresor hinzufügen** im Geräteformular, und der Tresor füllt sich von selbst, während die Bereitstellung ausgerollt wird. Das spätere Rekonstruieren von Schlüsseln bedeutet, zurück zum Etikett zu gehen — oder zu dem, was der Hersteller an Rücklesung unterstützt — auf Hardware, die bereits installiert ist.
* **Machen Sie es zu einem Punkt im Leistungsumfang des Installateurs.** Wenn Dienstleister Ihre Standorte in Betrieb nehmen, gehört "Geräteschlüssel in Key Vault erfasst" zusammen mit der Geräteanmeldung und den Signalprüfungen zu den Abnahmekriterien. Die Übergabe ist der Zeitpunkt, an dem Wissen am günstigsten zu übertragen und am wahrscheinlichsten zu verlieren ist.
* **Beschränken Sie die Seite bewusst.** Gewähren Sie Key-Vault-Zugriff nur den Rollen, die Hardware bereitstellen, und lassen Sie es für alle anderen standardmäßig bei Kein Zugriff. Eine großzügige Freigabe verwandelt einen kontrollierten Speicher wieder in eine gemeinsame Tabelle.
* **Beim Außerbetriebnehmen ausmisten, nicht aus dem Impuls heraus.** Löschen Sie einen Eintrag, wenn das Gerät den Dienst verlässt, und behandeln Sie das Eintragslimit als Anlass, ausgemusterte Hardware zu prüfen, statt einen aktiven Bestand auszudünnen.
* **Drehen Sie um, was die Hardware zulässt.** Wenn ein Gerät eine Neuvergabe von Schlüsseln unterstützt, rotieren Sie die Zugangsdaten nach dem Zeitplan Ihrer Sicherheitsrichtlinie — etwa nachdem ein Auftrag eines Dienstleisters abgeschlossen ist — und aktualisieren Sie den Tresoreintrag im selben Vorgang, damit Datensatz und Hardware nie auseinanderlaufen.
* **Nach Fragmenten suchen.** Zwei Zeichen reichen aus, um mit dem Filtern zu beginnen. Die letzten vier Zeichen von einem Geräteetikett abzulesen, ist schneller und deutlich weniger fehleranfällig, als alle sechzehn abzutippen.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://docs.kiloiot.io/kilo-docs-de/kilo-iot-server/reports/key-vault.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
