Was ist Verschlüsselung?

Einfach erklärt

Verschlüsselung macht Daten für alle unlesbar, die den passenden Schlüssel nicht haben. Man kann es sich wie einen Brief in einer verschlossenen Kassette vorstellen: Wer sie unterwegs abfängt oder aus dem Regal stiehlt, sieht nur die Kassette. Für Ihren Betrieb ist wichtig, an welcher Stelle verschlüsselt wird und wer den Schlüssel hat.

Drei Arten, die man unterscheiden sollte

• Unterwegs (Transport): Die Verbindung zwischen Ihrem Gerät und dem Server ist verschlüsselt, im Browser erkennbar an HTTPS. Am Ziel kommen die Daten wieder lesbar an.
• Gespeichert (ruhende Daten): Die Festplatte von Laptop, Smartphone oder Server ist verschlüsselt. Geht ein Laptop verloren, kommt der Finder nicht an die Daten.
• Ende-zu-Ende: Nur Absender und Empfänger können lesen, der Anbieter dazwischen nicht. Das bieten manche Messenger und für E-Mail Verfahren wie S/MIME.

Was Sie tun können

• Geräteverschlüsselung auf allen Laptops einschalten: BitLocker unter Windows, FileVault auf dem Mac. Bei Smartphones gehört eine Bildschirmsperre mit Code dazu.
• Den Wiederherstellungsschlüssel sicher und getrennt vom Gerät ablegen. Ohne ihn sind die Daten auch für Sie verloren, etwa nach einem Hardwaretausch.
• Bei Cloud-Diensten fragen, wer die Schlüssel verwaltet.

Ihr IT-Dienstleister kann die Verschlüsselung zentral einschalten und die Schlüssel sichern. Die Selbstauskunft im IT-Sicherheitscheck fragt nach verschlüsselten Laptops und Smartphones.

Gut zu wissen: Wirbt ein Cloud-Dienst mit Verschlüsselung, fragen Sie nach, wer den Schlüssel hält. Hält ihn der Anbieter, schützt die Verschlüsselung etwa vor dem Diebstahl von Festplatten im Rechenzentrum, nicht vor dem Anbieter selbst.

Was Verschlüsselung nicht kann

Sie schützt nicht vor jemandem, der sich mit gültigem Passwort anmeldet. Im entsperrten Konto sieht ein Angreifer alles im Klartext. Auch gegen Ransomware hilft sie nicht: Die Täter verschlüsseln Ihre Daten einfach ein zweites Mal.

Drei Ebenen

TLS 1.3 ist seit Juli 2026 in RFC 9846 beschrieben, das RFC 8446 ablöst. TLS 1.0 und 1.1 sind seit RFC 8996 (2021) abgekündigt. Welche Algorithmen und Schlüssellängen das BSI empfiehlt, steht in der Technischen Richtlinie TR-02102. Die DSGVO nennt Verschlüsselung in Art. 32 Abs. 1 lit. a ausdrücklich als mögliche Maßnahme zum Schutz personenbezogener Daten.

Der schwierige Teil ist selten der Algorithmus, sondern die Schlüsselverwaltung: Wer erzeugt, sichert, tauscht und widerruft Schlüssel? Wer kommt im Notfall an sie heran? Bei BitLocker ist das etwa das 48-stellige Wiederherstellungskennwort, das zentral in Entra ID oder Active Directory gesichert werden sollte.

Bei Microsoft 365 sind ruhende Daten standardmäßig mit von Microsoft verwalteten Schlüsseln verschlüsselt, unter anderem mit BitLocker in den Rechenzentren. Eigene Schlüssel sind mit Zusatzfunktionen wie Customer Key möglich.

Typische Fehler

• Wiederherstellungsschlüssel nicht gesichert. BitLocker verlangt ihn etwa nach einem Firmware-Update, einem Tausch der Hauptplatine oder wenn die Platte in einen anderen Rechner wandert.
• „Verschlüsselt“ heißt nur Transport. Eine Mail, die per TLS zwischen Servern läuft, liegt auf jedem beteiligten Server lesbar.
• Veraltete Protokolle aktiv, etwa TLS 1.0 für ein altes Gerät.
• Schlüssel neben den Daten. Das Backup ist verschlüsselt, das Passwort steht im Skript daneben.
• Ende-zu-Ende versprochen, Anbieter verwaltet die Schlüssel. Dann ist es Transport- und Speicherverschlüsselung.

Prüfen

manage-bde -status C:                       # Windows: BitLocker-Status
fdesetup status                             # macOS: FileVault
lsblk -o NAME,FSTYPE,MOUNTPOINT             # Linux: Partitionen vom Typ crypto_LUKS
echo | openssl s_client -connect ihre-firma.de:443 -tls1_3 2>/dev/null | grep -E "Protocol|Cipher"