Verschlüsselung schützt personenbezogene Daten nur dort, wo sie tatsächlich wirkt. Eine verschlüsselte Festplatte verhindert nicht, dass ein angemeldeter Benutzer eine ungeschützte Datei exportiert. Ein geschützter Webzugang sagt wenig darüber aus, ob Administratoren, ein externer Support oder ein gestohlenes Anwendungskonto die Inhalte lesen können. Deshalb beginnt die Auswahl mit einem Datenfluss und endet mit einer geprüften Schlüsselverantwortung.
Das folgende Vorgehen liefert eine ausfüllbare Entscheidung für einen konkreten Prozess. Es ergänzt die technische Auswahl von Verfahren um Empfänger, Betriebszustände, Wiederherstellung und Nachweise. Als durchgehendes, fiktives Beispiel dient ein Beratungsunternehmen, das vertrauliche Kundenunterlagen über ein Portal annimmt und ausgewählten Mitarbeitern bereitstellt.
Schutzbedarf und Angreifer zuerst festlegen
Artikel 32 DSGVO nennt Verschlüsselung als mögliche geeignete Maßnahme innerhalb einer risikobezogenen Sicherheitsentscheidung. Daraus folgt weder ein für jede Verarbeitung identischer Algorithmus noch eine allgemeine Ausnahme für vermeintlich harmlose Daten. Art, Umfang, Umstände und Zwecke sowie Risiken, Stand der Technik und Implementierungskosten gehören in die Beurteilung.
Im Beispiel werden Verträge, finanzielle Angaben und gelegentlich besonders vertrauliche Anlagen übermittelt. Die Projektleitung unterscheidet drei Szenarien: Verlust eines ausgeschalteten Laptops, Zugriff auf eine kopierte Sicherung und Übernahme eines gültigen Portalbenutzers. Für jedes Szenario wird eine eigene Schutzwirkung erwartet. Die Dokumentation behauptet nicht, Festplattenverschlüsselung löse alle drei Probleme.
Die Einstufung nennt außerdem die notwendige Dauer der Vertraulichkeit. Eine Angebotsnotiz, deren wirtschaftlicher Inhalt bald überholt ist, und eine dauerhaft sensible Beratungsakte haben unterschiedliche Planungshorizonte. Fachliche Aufbewahrung und technische Schutzdauer werden im Löschkonzept zusammengeführt. Verschlüsselung ist kein Grund, Unterlagen ohne Zweck länger aufzubewahren.
Den vollständigen Datenweg erfassen
Der Datenfluss beginnt auf dem Endgerät des Kunden und führt über Portal, Anwendung, Datenbank, Suchindex und Sicherung bis zu einem späteren Export. Auch temporäre Dateien, Vorschauen, Fehlermeldungen und Supportpakete gehören dazu. Ein Systemdiagramm mit nur einer beschrifteten Datenbank lässt diese Kopien unsichtbar.
| Station im Beispiel | Wer benötigt Klartext? | Geplante Schutzentscheidung |
|---|---|---|
| Upload vom Kunden | Kunde und Portalverarbeitung | Authentisierter, geschützter Transport; kein ungeschützter Ausweichkanal |
| Projektspeicher | Zugeordnete Berater | Verschlüsselter Speicher plus projektbezogene Berechtigungen |
| Suchindex | Suchdienst innerhalb des Projekts | Nur erforderliche Inhalte; gleiche Zugriffstrennung wie Dokumente |
| Sicherung | Wiederherstellungsteam im freigegebenen Fall | Eigener Schlüsselzugriff und getrennte Administration |
| Download auf Laptop | Zuständiger Berater | Verwaltetes Gerät, geschützter Datenträger, begrenzte lokale Kopien |
| Supportanalyse | Technischer Support | Zunächst technische Metadaten statt vollständiger Kundenakten |
Diese Tabelle ist eine ausgefüllte Entwurfsentscheidung, kein Nachweis ihrer Umsetzung. Zu jeder Zeile gehört ein Verantwortlicher, der die tatsächliche Konfiguration und einen geeigneten Prüfbeleg liefern kann. Die Referenz im Verzeichnis der Verarbeitungstätigkeiten verbindet den technischen Datenweg mit dem fachlichen Zweck.
Transport, Datenträger und Anwendung auseinanderhalten
Transportverschlüsselung schützt eine Verbindung zwischen ihren jeweiligen Endpunkten. Wird sie an einem vorgeschalteten Dienst beendet, muss der folgende interne Abschnitt separat betrachtet werden. Das Projektteam prüft deshalb nicht nur die öffentliche Adresse, sondern auch Verbindungen zu Speicher, Suchdienst, Administrationsoberfläche und Sicherungssystem.
Datenträgerverschlüsselung ist besonders relevant, wenn Geräte oder Speichermedien abhandenkommen. Ihre Wirkung hängt vom Zustand ab: Ein ausgeschaltetes, gesperrtes Gerät und ein laufender Rechner mit offener Sitzung sind keine gleichwertigen Vorfälle. Wiederherstellungsschlüssel dürfen nicht ungeschützt auf demselben Gerät liegen. Ein Prüfprotokoll sollte den tatsächlichen Schutzstatus erfassen und nicht bloß bestätigen, dass eine passende Funktion installiert ist.
Anwendungsbezogene Verschlüsselung kann bestimmte Inhalte zusätzlich abschirmen. Wer jedoch über die Anwendung regulär entschlüsseln darf, bleibt ein möglicher Zugangsweg. Muss der Dienst Inhalte durchsuchen oder bearbeiten, entstehen Klartextzustände, die zur zugesagten Architektur passen müssen. Eine Aussage wie „auch der Anbieter kann nichts lesen“ verlangt eine nachvollziehbare Betrachtung aller Schlüssel, Wiederherstellungswege und Endpunkte.
Für die Auswahl konkreter kryptografischer Verfahren sind technische Referenzen getrennt heranzuziehen. Der BSI-Baustein CON.1 Kryptokonzept, Edition 2023 behandelt organisatorische Rahmenbedingungen und Schlüsselmanagement. Die Einordnung der TR-02102 betrifft die technische Auswahl. Eine solche Empfehlung wird durch ihre Nennung nicht zu einer pauschalen gesetzlichen Pflicht für jedes deutsche Unternehmen.
Einen Schlüsselverantwortlichen benennen
Im Beispiel verantwortet die IT-Leitung den Schlüssellebenszyklus; die Fachabteilung bestimmt, welche Personen welche Dokumente benötigen. Der Portaladministrator darf Konten betreiben, erhält aber nicht automatisch die Befugnis, Sicherungsschlüssel zu exportieren. Die Geschäftsleitung benennt eine Stellvertretung für Ausfälle. Damit ist Verantwortung einer Funktion zugeordnet, ohne sämtliche Befugnisse bei einer Person zu sammeln.
Ein Schlüsselverzeichnis enthält eine Kennung, Verwendungszweck, geschützten Datenbestand, Erzeugungsdatum, zugelassene Benutzer oder Dienste, Speicherort, Wiederherstellungsverfahren und zuständige Rolle. Der Schlüsselwert selbst gehört dort nicht hinein. Auch Passwörter, private Schlüssel und Wiederherstellungscodes werden nicht als Anhänge an gewöhnliche Tickets verteilt.
Ein verwalteter Schlüsseldienst kann die Umsetzung unterstützen. Die Auswahlentscheidung prüft jedoch, welche Administratoren entschlüsseln oder Berechtigungen ändern können, wie diese Handlungen protokolliert werden und ob Schlüssel außerhalb des vorgesehenen Bereichs nutzbar sind. Die Bezeichnung „kundeneigener Schlüssel“ beantwortet diese Fragen allein nicht. Ein Auftragsverarbeiter kann trotz einer solchen Option technisch Zugriff auf lesbare Daten erhalten.
Wechsel, Verlust und Wiederherstellung praktisch entscheiden
Das Unternehmen legt im Beispiel fest: Bei vermuteter Offenlegung eines privaten Schlüssels wird dessen weitere Verwendung gesperrt, der betroffene Datenumfang untersucht und ein Ersatz aus einer vertrauenswürdigen Umgebung erzeugt. Ein bloßer Personalwechsel führt zur Entziehung persönlicher Berechtigungen; ob zusätzlich Schlüssel gewechselt werden müssen, hängt von deren tatsächlicher Kenntnis und Exportmöglichkeit ab.
Ein regelmäßiger Wechsel kann Teil des Konzepts sein, wird aber nicht als ausnahmslose jährliche DSGVO-Vorgabe dargestellt. Für jeden Schlüsseltyp zählt, welches Ereignis einen Wechsel auslöst, ob vorhandene Daten erneut geschützt werden müssen und wie alte Sicherungen lesbar bleiben. Ein neuer Schlüssel für künftige Schreibvorgänge schützt bereits entwendete ältere Kopien nicht rückwirkend.
Bei der Wiederherstellung darf die einzige Schlüsselkopie nicht im ausgefallenen System liegen. Das Unternehmen wählt für seine Sicherungen einen getrennt verwahrten Wiederherstellungszugang, dessen Nutzung zwei benannte Rollen freigeben. Der Test stellt eine ausgewählte Akte in einer isolierten Umgebung wieder her und prüft Vollständigkeit, Lesbarkeit und Zugriffsrechte. Die genaue Übung wird mit der 3-2-1-Sicherung und Wiederherstellung abgestimmt.
Exporte und Empfänger verbindlich regeln
Im Beratungsprozess war der häufigste Umweg bisher eine per E-Mail versandte Arbeitskopie. Die neue Entscheidung sieht stattdessen einen zeitlich begrenzten, personenbezogen zugeordneten Portalzugang vor. Vor Freigabe bestätigt der zuständige Berater Empfänger und Dokumentumfang. Eine Fehlzuordnung wird durch Verschlüsselung an den falschen berechtigten Empfänger nicht geheilt.
Ist ausnahmsweise ein verschlüsseltes Dateipaket erforderlich, vereinbart das Team einen getrennten, überprüften Weg für das Geheimnis und dokumentiert den Empfängerabgleich. Es prüft vorab, ob der Empfänger das Verfahren sicher bedienen kann. Eine Anleitung, die mangels praktischer Nutzbarkeit regelmäßig umgangen wird, ist keine belastbare Schutzmaßnahme.
Für externe Dienstleister gehören Zugriff, Unterstützung bei Schlüsselverlust, Unterauftragnehmer und Rückgabe oder Löschung in die konkrete Leistungsbeschreibung. Die Auftragsverarbeitungsvereinbarung ersetzt dabei weder den technischen Nachweis noch eine gegebenenfalls erforderliche Prüfung von Drittlandzugriffen.
Abnahme anhand von fünf nachvollziehbaren Versuchen
Vor dem Betrieb führt das Beispielunternehmen eine kleine, dokumentierte Abnahme durch. Erstens zeigt ein Testkonto ohne Projektzuordnung, dass es keinen Inhalt lesen kann. Zweitens wird ein Export kontrolliert und sein Ablageort geprüft. Drittens wird eine Sicherung unabhängig vom Produktivkonto wiederhergestellt. Viertens wird einem ausgeschiedenen Administrator der Zugriff entzogen und die Sperre tatsächlich geprüft. Fünftens wird ein fehlgeschlagener Schlüsselzugriff so gemeldet, dass jemand reagieren kann.
Zu jedem Versuch stehen Erwartung, beobachtetes Ergebnis, Datum und offene Abweichung im Protokoll. Das Team verwendet dafür Testunterlagen. Wo reale Daten für einen Wiederherstellungsnachweis nötig sind, begrenzt es Umfang, Personen und Aufbewahrung der Testkopie. Ein grünes Statussymbol ohne nachvollziehbaren Versuch wird nicht als Abnahme übernommen.
Was Verschlüsselung bei einer Datenpanne verändert
Bei einem verlorenen Datenträger werden Schutzstatus, Betriebszustand, Schlüsselzugang und tatsächliche betroffene Kopien ermittelt. Die Ausnahme von der individuellen Benachrichtigung nach Artikel 34 Absatz 3 Buchstabe a setzt insbesondere voraus, dass geeignete angewandte Maßnahmen die betroffenen Daten für Unbefugte unverständlich machen. Das ist keine allgemeine Befreiung von der Untersuchung oder Dokumentation.
Eine kompromittierte Anwendung mit Entschlüsselungsbefugnis oder der Verlust der einzigen lesbaren Kopie verlangt eine andere Bewertung. Auch Verfügbarkeitsschäden können Menschen treffen. Die Entscheidung über Benachrichtigung betroffener Personen bleibt deshalb von der Feststellung „Speicher verschlüsselt“ getrennt. Das fertige Kryptokonzept benennt den Schutz, seine Grenzen und den nächsten verantwortlichen Handlungsschritt.
Für eine Arztpraxis muss neben der technischen Absicherung feststehen, welche Patientengeheimnisse ein IT-Dienstleister zur Wartung überhaupt benötigt. Der Wartungsauftrag mit Verpflichtung nach § 203 StGB verbindet diese Erforderlichkeit mit konkreten Zugriffsrechten und dem Ende des Supportzugangs.