Schutzmaßnahmen
Verschlüsselung
Was ist Verschlüsselung?
Verschlüsselung wandelt lesbare Daten mit einem geheimen Schlüssel in eine unlesbare Form um, die nur mit diesem Schlüssel wieder lesbar wird. Im Betrieb schützt sie Daten auf Notebooks, Mobiltelefonen und externen Festplatten sowie den Datenverkehr auf dem Weg durch das Internet.
Verschlüsselung wirkt an zwei Stellen, die für einen Betrieb zählen. Erstens bei gespeicherten Daten, also auf der Festplatte des Notebooks, auf dem Diensthandy, auf dem USB-Stick, auf der externen Sicherungsplatte. Zweitens bei übertragenen Daten, also auf dem Weg durch das Internet, erkennbar am https in der Adresszeile des Browsers, an einer VPN-Verbindung, also einer verschlüsselten Verbindung in das Firmennetz, oder an der gesicherten Übertragung zwischen Mailservern.
Der greifbarste Fall ist das verlorene Notebook. Ohne Festplattenverschlüsselung lässt sich die Festplatte ausbauen und an einem anderen Rechner auslesen. Das Windows-Kennwort hält davon niemanden ab, weil es allein die Anmeldung am Betriebssystem schützt. Ist die Festplattenverschlüsselung aktiv, bleiben die Daten für den Finder unlesbar. Unter Windows heißt die Funktion in den Pro-Versionen BitLocker, unter macOS FileVault. Auf aktuellen Mobiltelefonen ist die Verschlüsselung ab Werk aktiv, sobald ein Gerätecode gesetzt ist.
Die Datenschutz-Grundverordnung nennt die Verschlüsselung personenbezogener Daten in Artikel 32 ausdrücklich als eine mögliche technische Maßnahme. Sie hat außerdem eine sehr praktische Folge. Nach Artikel 34 Absatz 3 lit. a DSGVO kann die Benachrichtigung der betroffenen Personen bei einer Verletzung des Schutzes personenbezogener Daten entfallen, wenn die Daten durch geeignete Maßnahmen wie Verschlüsselung für Unbefugte unzugänglich gemacht wurden. Die Meldung an die Datenschutzbehörde nach Artikel 33 DSGVO bleibt davon unberührt.
Verschlüsselung steht und fällt mit dem Umgang mit den Schlüsseln. Der Wiederherstellungsschlüssel einer Festplattenverschlüsselung gehört an einen sicheren Ort außerhalb des verschlüsselten Geräts, etwa in den Passwortmanager der Geschäftsführung oder in den Safe. Geht er verloren, sind die Daten auch für Sie dauerhaft unlesbar. Bei verschlüsselten Sicherungen gilt dasselbe: Der Schlüssel muss auch dann verfügbar sein, wenn genau der Server ausgefallen ist, auf dem er gelegen hat.
Der erste sinnvolle Schritt ist eine Liste aller Geräte, die das Betriebsgelände verlassen: Notebooks, Diensthandys, Tablets, externe Festplatten, USB-Sticks. Auf jedem davon wird die Verschlüsselung aktiviert und der Status festgehalten. Der IT-Check erhebt, welche Geräte verschlüsselt sind, wo die Wiederherstellungsschlüssel liegen und ob die Übertragungswege abgesichert sind. Diese Erhebung hilft zugleich bei der Dokumentation der technischen und organisatorischen Maßnahmen nach der DSGVO.
Alle Begriffe der Wissensdatenbank
Hinweis: Dieser Eintrag gibt den Stand nach bestem Wissen wieder und dient der allgemeinen Orientierung. Er ersetzt keine Rechtsberatung. Maßgeblich ist immer die geltende Fassung bei der zuständigen Stelle, etwa dsb.gv.at, nis.gv.at oder onlinesicherheit.gv.at.
Vom Begriff zur Praxis
Wie steht Ihr Betrieb wirklich da?
Der IT-Check prüft Ihre IT in 8 Prüfbereichen mit über 100 Prüfpunkten und liefert einen dokumentierten Befund mit priorisiertem Maßnahmenplan. Ab 1.299 € exkl. USt. Das Erstgespräch dauert 20 Minuten. Es entstehen keine Kosten.