Anforderungen an durchgängige Verschlüsselung

Die stärkste Verschlüsselung hilft wenig, wenn sie nicht überall dort greift, wo sie notwendig ist. In der Praxis haben viele Verschlüsselungs-Konzepte gefährliche Lücken. Hinterfragen Sie daher die Wirksamkeit der Verschlüsselung regelmäßig.

Was sagt die DSGVO zur Verschlüsselung?

Stellen Sie sich vor, ein mobiles Speichermedium, auf dem ein Nutzer personenbezogene Daten gespeichert hatte, geht verloren. Hatte der Nutzer die Daten verschlüsselt, sind die Aussichten gut, dass der Dieb oder unehrliche Finder die Daten nicht missbrauchen kann.

Aus diesem Grund sagt etwa die Datenschutz-Grundverordnung (DSGVO), dass es unter Umständen nicht nötig ist, die Person, die von einer Datenschutz-Verletzung betroffen ist, zu benachrichtigen.

Voraussetzung ist, dass „der Verantwortliche geeignete technische und organisatorische Sicherheits-Vorkehrungen getroffen hat und diese Vorkehrungen auf die von der Verletzung betroffenen personenbezogenen Daten angewandt wurden, insbesondere solche, durch die die personenbezogenen Daten für alle Personen, die nicht zum Zugang zu den personenbezogenen Daten befugt sind, unzugänglich gemacht werden, etwa durch Verschlüsselung“.

Auch an anderen Stellen wie in Art. 32 (Sicherheit der Verarbeitung) betont die DSGVO, wie wichtig die Verschlüsselung ist.

Worauf müssen Sie bei Verschlüsselung & DSGVO achten?

Allerdings müssen Sie genau hinschauen:

• So entfällt bei Datenschutz-Verletzungen die Verpflichtung, die betroffene Person zu benachrichtigen, nur, wenn der Nutzer oder das Unternehmen die Schutzmaßnahmen tatsächlich angewandt haben.
• Daher stellt sich etwa die Frage, ob die Daten nicht nur im Firmennetzwerk verschlüsselt waren, sondern auch auf dem mobilen Speichermedium.
• In der Praxis sieht es leider so aus, dass Daten, die an einer Stelle verschlüsselt vorliegen, oft an einer anderen Stelle unverschlüsselt zu finden sind.

Warum sind viele Verschlüsselungskonzepte lückenhaft?

Es gibt viele Gründe, warum ein Verschlüsselungs-Konzept nicht greift:

• Die Verschlüsselungs-Lösungen sind zu kompliziert.
• Die digitalen Schlüssel sind nicht richtig geschützt.
• Die Verschlüsselung erfolgt nicht als Ende-zu-Ende-Verschlüsselung.
• Die verschlüsselten Daten sind ungewollt an bestimmten Stellen und zu gewissen Zeiten unverschlüsselt.

Möchten Sie dafür sorgen, dass ein Unternehmen sein Verschlüsselungs-Konzept optimiert  – und das ist bei vielen Unternehmen nötig –, denken Sie an die räumlichen und zeitlichen Lücken. Sind Dateien auf dem Desktop-PC verschlüsselt, muss das auf mobilen Endgeräten ebenso der Fall sein.

Welche Stolpersteine gibt es?

Doch die lückenlose Verschlüsselung ist nicht einfach. Denn viele Lösungen arbeiten nur auf einer bestimmten Plattform, etwa auf einem Windows-PC, auf einem Android-Smartphone oder in einer bestimmten Cloud.

Speichert ein Nutzer die Daten auf verschiedenen Endgeräten, müssen auch unterschiedliche Verschlüsselungs-Lösungen zum Einsatz kommen.

Ein weiteres Problem, das Unternehmen gern übersehen: Bewahren sie verschlüsselte Daten für eine längere Zeit auf, kann die Verschlüsselung mit der Zeit unsicher werden. Die Stärke der Verschlüsselung muss also so weit reichen, dass die Verschlüsselung im geplanten Aufbewahrungszeitraum nicht unsicher wird.

Unsicherheitsfaktor Quantencomputer

Hier spielen die sogenannten Quantencomputer eine wichtige Rolle. Das sind besonders leistungsstarke Computer, die in Zukunft einer Verschlüsselung gefährlich werden könnten.

Quantencomputer sind eine immer realer werdende Bedrohung für die heutige Verschlüsselung (Public-Key-Kryptografie) und somit für die Sicherheit digitaler Infrastrukturen, so das Bundesamt für Sicherheit in der Informationstechnik (BSI).

Eine verlässliche Prognose, ob und wann sich diese Bedrohung manifestiert, ist schwierig. Die bisher existierenden Quantencomputer stellen noch keine Bedrohung für die heute verwendeten kryptografischen Verfahren dar. Es könnte aber jederzeit zu technologischen Entwicklungssprüngen kommen.

Aus Sicht des BSI steht die Frage, ob oder wann es Quantencomputer geben wird, nicht mehr im Vordergrund. Abhängig vom Anwendungsfall sollte frühzeitig und kontinuierlich im Rahmen eines maßvollen Risikomanagements abgewogen werden, ob und wann ein Umstieg auf Quantencomputer-resistente Verfahren erfolgen soll.

Insbesondere für Informationen mit langfristigem Schutzbedarf sollten Verantwortliche die Bedrohung durch Quantencomputer berücksichtigen.

Denn es besteht die Gefahr, dass Cyberkriminelle verschlüsselte Informationen auf Vorrat sammeln und später mithilfe eines Quantencomputers entschlüsseln können. Um  Geheimnisse langfristig zu schützen, kann es also nötig sein, zeitnah zu handeln.

Checkliste: Hilfe bei der Lücken-Suche

Machen Sie sich als Datenschutzbeauftragte oder Datenschutzbeauftragter zusammen mit der IT-Leitung auf die Lückensuche. Hinterfragen Sie, ob die Verschlüsselung tatsächlich an jedem Ort und zu jeder Zeit greift, auch wenn die Daten „wandern“ und /oder wenn sie lange aufbewahrt werden sollen.

Wandern die Daten, muss die Verschlüsselung mitwandern. Sollen die Daten lange gespeichert werden, muss die Verschlüsselung  langfristig schützen. Die Checkliste hilft Ihnen bei dieser Kontrolle.

Download: Checkliste zur durchgehenden Verschlüsselung