Encryption

Verschlüsselung wandelt lesbare Informationen, den Klartext, mithilfe eines Algorithmus und eines geheimen Werts, des Schlüssels, in eine unlesbare Form um, den Geheimtext. Der Algorithmus ist öffentlich und gut geprüft, der Schlüssel ist das einzige Geheimnis. Wer den richtigen Schlüssel hat, kehrt den Vorgang um, alle anderen sehen nur Rauschen.

Sie ist das wichtigste technische Mittel, um die Vertraulichkeit zu wahren, wenn man dem Medium nicht trauen kann: einem gestohlenen Laptop, einem kopierten Backup, einem Kabel in einem fremden Gebäude. Deshalb steht sie im Zentrum von Programmen zum Datenschutz, und Vorschriften zu personenbezogenen und Zahlungsdaten, von der DSGVO bis zum PCI DSS, nennen sie regelmäßig als Schutzmaßnahme.

Unabhängig vom Produkt wiederholt sich derselbe Ablauf: Ein Schlüssel und ein Algorithmus sperren die Daten, und derselbe Ablauf in umgekehrter Richtung öffnet sie.

1. 1

   Algorithmus und Schlüssel wählen

   Verwenden Sie einen standardisierten, gut geprüften Algorithmus wie AES und einen Schlüssel aus einer starken Zufallsquelle.

2. 2

   Verschlüsseln

   Der Algorithmus verknüpft den Klartext mit dem Schlüssel, meist mit einem neuen Zufallswert pro Nachricht, und erzeugt den Geheimtext.

3. 3

   Speichern oder senden

   Der Geheimtext kann auf einem Datenträger liegen oder durchs Internet reisen. Ohne den Schlüssel verrät er nichts über den Inhalt.

4. 4

   Entschlüsseln

   Wer den richtigen Schlüssel besitzt, kehrt den Vorgang um und erhält die Daten zurück, ein falscher Schlüssel liefert nur unlesbaren Datenmüll.

Weil starke Algorithmen öffentlich sind, scheitert Verschlüsselung meist an den Schlüsseln und nicht an der Mathematik. Sie beseitigt das Risiko nicht, sondern verlagert es von den Daten auf den Schlüssel, der deshalb einen eigenen Lebenszyklus braucht:

• Erzeugen Sie Schlüssel mit einer vertrauenswürdigen Zufallsquelle und einem Standardwerkzeug.
• Bewahren Sie Schlüssel getrennt von den geschützten Daten auf, in einer Schlüsselverwaltung oder einem Hardwaremodul.
• Begrenzen Sie, wer und was jeden Schlüssel nutzen darf, und protokollieren Sie jede Nutzung.
• Wechseln Sie Schlüssel nach Zeitplan und bei jedem Verdacht auf Offenlegung.
• Sichern Sie Schlüssel und legen Sie ein Wiederherstellungsverfahren fest, denn ein verlorener Schlüssel macht Daten dauerhaft unlesbar.
• Vernichten Sie Schlüssel, wenn Daten verschwinden sollen: Das Löschen des Schlüssels kann Daten unwiederbringlich machen, eine Methode namens kryptografisches Löschen.

Verschlüsselung wirkt auf mehreren Ebenen, und jede beantwortet eine andere Bedrohung. Festplatten- und Dateiverschlüsselung schützen ruhende Daten, die Transportverschlüsselung schützt Daten in Bewegung.

Verschlüsselung schützt Daten vor Menschen ohne Schlüssel. Gegen Menschen mit Schlüssel hilft sie nicht: Ein Mitarbeiter, der eine verschlüsselte Datei öffnet, sieht sie im Klartext und kann sie in derselben Sitzung an ein privates Postfach schicken. Darum ergänzt Verschlüsselung Data Loss Prevention (DLP), statt es zu ersetzen, und darum verlässt Datenabfluss das Unternehmen oft über einwandfrei verschlüsselte Kanäle.

Außerdem wirkt sie in beide Richtungen. Ransomware nutzt dieselben Verfahren, um die Dateien eines Opfers zu sperren, und weit verbreitete Public-Key-Algorithmen wie RSA oder Verfahren auf Basis elliptischer Kurven könnten von einem ausreichend großen Quantencomputer gebrochen werden, weshalb Normungsgremien bereits Post-Quanten-Algorithmen veröffentlicht haben.

Der Großteil des Webverkehrs ist verschlüsselt, ein Agent, der ihn ignorierte, würde also die meisten Übertragungen übersehen. In der Anexet-Konsole erlauben die Einstellungen zum Abfangen des Netzwerkverkehrs dem Agenten, Serverzertifikate durch solche zu ersetzen, die von einer vertrauenswürdigen Stammzertifizierungsstelle ausgestellt sind, damit verschlüsselter Webverkehr im Rahmen der Überwachung des Webverkehrs analysiert werden kann. Das Zertifikat lässt sich automatisch erzeugen oder ist das eigene des Unternehmens, und ein Host-Filter nimmt ausgewählte Websites aus.

Verschlüsselung wird oft mit Verfahren verwechselt, die ebenfalls das Aussehen von Daten verändern, aber anders funktionieren. Hashing ist eine Einbahnstraße, Kodierung wie Base64 ist nur ein Formatwechsel, und Datenmaskierung ersetzt Werte für Tests oder Anzeigen. Nur Verschlüsselung verbindet Umkehrbarkeit mit einem geheimen Schlüssel.

Fangen Sie bei den Daten an, nicht beim Werkzeug: Klären Sie, was sensibel ist und wo es liegt, und verschlüsseln Sie dann die Speicher und Kanäle, die es enthalten, mit Standardalgorithmen und einer Schlüsselverwaltung. Halten Sie fest, wer für jeden Schlüssel verantwortlich ist und wie er gewechselt und wiederhergestellt wird. Prüfen Sie zuletzt, was nach dem Entschlüsseln geschieht, denn auch berechtigte Nutzer brauchen weiterhin Kontrolle.