Verschlüsselung: Verschlüsselung wandelt Daten mit einem kryptografischen Verfahren so um, dass sie nur mit dem passenden Schlüssel wieder lesbar sind – ein zentrales Control zum Schutz der Vertraulichkeit in der Informationssicherheit.
Man unterscheidet symmetrische Verschlüsselung, bei der Sender und Empfänger denselben Schlüssel nutzen, und asymmetrische Verfahren mit einem öffentlichen und einem privaten Schlüssel. In der Praxis kommen beide kombiniert vor, etwa bei TLS-verschlüsselten Webverbindungen oder VPN-Tunneln. Zusätzlich wird zwischen Verschlüsselung „at rest“ (gespeicherte Daten, z. B. auf Festplatten oder in Datenbanken) und „in transit“ (Daten während der Übertragung) unterschieden.
ISO 27001:2022 fordert in Anhang A, Control 8.24, eine dokumentierte Richtlinie zum Einsatz von Kryptografie: Wann wird verschlüsselt, mit welchen Verfahren, und wie werden Schlüssel erzeugt, verteilt, aufbewahrt und im Ernstfall widerrufen? Diese Anforderung überschneidet sich inhaltlich mit den technisch-organisatorischen Maßnahmen, die Art. 32 DSGVO für personenbezogene Daten verlangt.
Neben klassischer Transportverschlüsselung gewinnt auch die Ende-zu-Ende-Verschlüsselung an Bedeutung, bei der selbst der Dienstanbieter keinen Zugriff auf die Klartextdaten hat. Für viele KMU ist bereits die konsequente Festplattenverschlüsselung mobiler Geräte wie Notebooks ein wirkungsvoller erster Schritt, da verlorene oder gestohlene Geräte damit kein Sicherheitsrisiko mehr darstellen.
Auch beim Versand sensibler Dokumente per E-Mail empfiehlt sich eine zusätzliche Verschlüsselung, da der reine E-Mail-Transport allein oft keinen ausreichenden Schutz bietet.
- Symmetrisch: ein gemeinsamer Schlüssel, schnell
- Asymmetrisch: öffentlicher/privater Schlüssel, für Schlüsselaustausch und Signaturen
- Schlüsselverwaltung ist oft die eigentliche Schwachstelle, nicht der Algorithmus
- E-Mail-Versand sensibler Dokumente erfordert meist zusätzliche Schutzmaßnahmen
Relevanz für die Zertifizierung
ISO-27001-Audits verlangen eine dokumentierte Kryptografie-Richtlinie als Nachweis zu Control 8.24 in Anhang A – ohne eine solche Richtlinie oder mit rein zufälliger, undokumentierter Verschlüsselungspraxis notiert der Auditor eine Abweichung. Unternehmen sollten festhalten, welche Datenkategorien wie verschlüsselt werden und wer für die Schlüsselverwaltung verantwortlich ist. Auch eine einfache, aber konsequent dokumentierte Verschlüsselung mobiler Endgeräte wird von Auditoren häufig als Basismaßnahme erwartet. Ein einfaches, aber konsequent angewendetes Regelwerk, wann welche Verschlüsselung verpflichtend ist, überzeugt Auditoren mehr als vereinzelte technische Insellösungen.
Häufige Fragen zu Verschlüsselung
Anhang A, Control 8.24, verlangt eine dokumentierte Richtlinie zum Einsatz von Kryptografie, nicht die Verschlüsselung jedes einzelnen Datensatzes. Das Unternehmen legt risikobasiert selbst fest, welche Datenkategorien wie verschlüsselt werden. Fehlt eine solche Richtlinie komplett, notiert der Auditor eine Abweichung. Bereits eine dokumentierte Basisregel für mobile Endgeräte reduziert dieses Risiko in der Praxis erheblich.
Bei symmetrischer Verschlüsselung nutzen Sender und Empfänger denselben Schlüssel, was schnell, aber bei der Schlüsselverteilung anfällig ist. Asymmetrische Verfahren arbeiten mit einem öffentlichen und einem privaten Schlüssel, etwa für Schlüsselaustausch und digitale Signaturen. In der Praxis werden häufig beide Verfahren kombiniert, etwa bei TLS.
Für viele KMU ist die konsequente Verschlüsselung mobiler Geräte wie Notebooks bereits ein wirkungsvoller erster Schritt, da verlorene oder gestohlene Geräte damit kein Sicherheitsrisiko mehr darstellen. Auditoren erwarten sie häufig als Basismaßnahme, zusätzlich zu einer dokumentierten Kryptografie-Richtlinie für weitere Datenkategorien.