Kryptographie: Kryptographie ist die Wissenschaft und Praxis der Datenverschlüsselung; sie schützt Informationen durch mathematische Verfahren so, dass nur befugte Personen mit dem passenden Schlüssel sie lesen oder verändern können.
Man unterscheidet symmetrische Verfahren, bei denen Sender und Empfänger denselben Schlüssel nutzen, und asymmetrische Verfahren mit öffentlichem und privatem Schlüssel, etwa bei E-Mail-Verschlüsselung oder digitalen Signaturen. In der Praxis kommen häufig hybride Systeme zum Einsatz, die die Geschwindigkeit symmetrischer mit der Schlüsselverteilung asymmetrischer Verfahren kombinieren.
- Transportverschlüsselung schützt Daten bei der Übertragung (z. B. TLS)
- Festplattenverschlüsselung schützt Daten auf Endgeräten
- Digitale Signaturen sichern die Integrität und Herkunft von Dokumenten
- Schlüsselmanagement regelt Erzeugung, Aufbewahrung und Widerruf von Schlüsseln
ISO 27001 widmet Kryptographie in Anhang A der ISO 27001:2022 mit Control 8.24 einen eigenen Themenblock: Unternehmen müssen eine dokumentierte Richtlinie zum Einsatz kryptographischer Verfahren führen, die festlegt, wann welche Verschlüsselung zum Einsatz kommt und wie Schlüssel verwaltet werden.
Ein häufiger Schwachpunkt in der Praxis ist nicht die Verschlüsselung selbst, sondern das Schlüsselmanagement: Wird ein privater Schlüssel unverschlüsselt gespeichert oder nicht rechtzeitig gesperrt, verpufft der Schutz weitgehend.
Auch die Aufbewahrung von Backup-Schlüsseln verdient besondere Aufmerksamkeit: Geht der einzige Schlüssel verloren, sind verschlüsselte Daten unwiederbringlich unlesbar, selbst für das eigene Unternehmen. Ein durchdachtes Schlüsselmanagement sieht deshalb redundante, aber ebenso gesicherte Aufbewahrungsorte vor, etwa in einem physisch getrennten Tresor oder einem spezialisierten Hardware-Sicherheitsmodul, damit Verfügbarkeit und Vertraulichkeit gleichermaßen gewahrt bleiben.
Relevanz für die Zertifizierung
Für ein ISO-27001-Zertifikat reicht es nicht, irgendeine Verschlüsselungssoftware im Einsatz zu haben – der Auditor prüft, ob eine dokumentierte Kryptographie-Richtlinie existiert, konsequent angewendet wird und zum tatsächlichen Schutzbedarf der Informationswerte passt. Betriebe, die etwa Konstruktionsdaten oder Kundendaten unverschlüsselt per E-Mail versenden, gelten hier als klassisches Nichtkonformitäts-Risiko im Audit. Eine einfache, aber konsequent gelebte Richtlinie überzeugt Auditoren häufig mehr als komplexe Technik ohne klare Regeln. Gerade kleinere Betriebe profitieren davon, auf etablierte, bereits in gängiger Standardsoftware integrierte Verschlüsselungsfunktionen zurückzugreifen, statt eigene Lösungen zu entwickeln, und so Aufwand sowie Fehlerrisiko gleichermaßen zu reduzieren, ohne auf ein angemessenes Schutzniveau für die eigenen Informationswerte verzichten zu müssen.
Häufige Fragen zu Kryptographie
Nein. Die Norm verlangt in Anhang A Control 8.24 eine dokumentierte Richtlinie zum Einsatz von Kryptographie, schreibt aber keine konkreten Algorithmen vor. Unternehmen legen selbst risikobasiert fest, welche Verfahren für welche Daten angemessen sind, und müssen diese Entscheidung im ISMS nachvollziehbar begründen und regelmäßig überprüfen.
Mindestens: welche Datenkategorien verschlüsselt werden müssen, welche Verfahren dafür zulässig sind, wie Schlüssel erzeugt, gespeichert und im Bedarfsfall widerrufen werden, sowie Verantwortlichkeiten für das Schlüsselmanagement. Auditoren prüfen typischerweise stichprobenartig, ob die gelebte Praxis der dokumentierten Richtlinie tatsächlich entspricht. Wichtig ist zusätzlich, diese Vorgaben regelmäßig auf neue gesetzliche oder technische Entwicklungen hin zu überprüfen.
Bei symmetrischer Verschlüsselung nutzen Sender und Empfänger denselben geheimen Schlüssel, was schnell, aber bei der Schlüsselverteilung riskant ist. Asymmetrische Verfahren arbeiten mit einem öffentlichen und einem privaten Schlüssel, sind sicherer bei der Verteilung, aber rechenintensiver. In der Praxis werden meist hybride Kombinationen beider Verfahren eingesetzt.