Datenverschlüsselung

Was ist Datenverschlüsselung

Datenverschlüsselung ist der Prozess der Umwandlung von Informationen (Klartext) in eine verschlüsselte Form (Chiffretext) mithilfe mathematischer Algorithmen und Schlüssel. Das Hauptziel der Verschlüsselung ist die Gewährleistung der Vertraulichkeit von Daten bei Speicherung und Übertragung, sodass die Informationen selbst bei Abfangen oder unbefugtem Zugriff für Angreifer unlesbar bleiben. Verschlüsselung ist ein grundlegendes Element des Informationsschutzes und wird in allen modernen Informationssystemen eingesetzt: von Smartphones bis zu Unternehmensservern und Cloud-Plattformen. Ohne Verschlüsselung ist eine sichere Datenübertragung im Internet, E-Commerce, Online-Banking, sicherer Dokumentenverkehr, medizinische Informationssysteme und staatliche Dienste nicht vorstellbar. Verschlüsselung wird in VPN-Verbindungen, im TLS/SSL-Protokoll (Websiteschutz), bei der Festplattenverschlüsselung (Full Disk Encryption), in Datenbanken, E-Mail, Messengern (Ende-zu-Ende-Verschlüsselung) und Dateispeicherung eingesetzt. In Russland wird die Verschlüsselung durch das Bundesgesetz Nr. 149-FZ „Über Informationen, Informationstechnologien und Informationsschutz“ und die Anforderungen des FSB Russlands an die Verwendung von Kryptografischen Informationsschutzmitteln (KIS) geregelt.

Arten der Verschlüsselung

Es gibt drei Hauptarten der Verschlüsselung, die jeweils eigene Merkmale, Vorteile und Anwendungsbereiche haben. Symmetrische Verschlüsselung — verwendet einen Schlüssel zum Ver- und Entschlüsseln von Daten. Beide Parteien (Sender und Empfänger) müssen denselben Schlüssel besitzen, der sicher übertragen werden muss. Die symmetrische Verschlüsselung zeichnet sich durch hohe Geschwindigkeit aus, was sie ideal für die Verschlüsselung großer Datenmengen macht. Hauptalgorithmen: AES (Advanced Encryption Standard) mit einer Schlüssellänge von 128, 192 oder 256 Bit, GOST 28147-89 „Magma“ (russischer Standard mit 256-Bit-Schlüssel), GOST R 34.12-2015 „Kusnetschik“ (moderner russischer Blockchiffre), ChaCha20 (beliebt in mobilen Anwendungen). Asymmetrische Verschlüsselung — verwendet ein Schlüsselpaar: einen öffentlichen Schlüssel zum Verschlüsseln und einen privaten Schlüssel zum Entschlüsseln. Der öffentliche Schlüssel kann frei verteilt werden, der private Schlüssel muss geheim gehalten werden. Die asymmetrische Verschlüsselung ist langsamer als die symmetrische, daher wird sie zur Verschlüsselung kleiner Datenmengen verwendet: Schlüsselaustausch, Erzeugung elektronischer Signaturen, Authentifizierung. Hauptalgorithmen: RSA (Rivest-Shamir-Adleman), ECDSA (Elliptic Curve Digital Signature Algorithm), GOST R 34.10-2012 (russischer Standard für elektronische Signaturen auf Basis elliptischer Kurven). Hybride Verschlüsselung — eine Kombination aus symmetrischer und asymmetrischer Verschlüsselung, die die Vorteile beider Methoden nutzt. Bei der hybriden Verschlüsselung wird ein Sitzungsschlüssel (ein zufällig erzeugter symmetrischer Verschlüsselungsschlüssel) mit einem asymmetrischen Algorithmus verschlüsselt, die Daten selbst werden mit einem symmetrischen Algorithmus unter Verwendung dieses Sitzungsschlüssels verschlüsselt. Dieser Ansatz wird in den Protokollen TLS/SSL, PGP, S/MIME und vielen anderen verwendet. Die Russische Föderation hat nationale Verschlüsselungsstandards, die vom FSB Russlands genehmigt wurden: GOST R 34.11-2012 („Stribog“) für Hashing, GOST R 34.10-2012 für elektronische Signaturen, GOST 28147-89 („Magma“) und GOST R 34.12-2015 („Kusnetschik“) für Blockverschlüsselung. Diese Algorithmen sind in staatlichen Informationssystemen und beim Schutz von KII-Objekten verpflichtend anzuwenden.

Verwaltung von Verschlüsselungsschlüsseln

Die Sicherheit jedes kryptografischen Algorithmus hängt direkt von der Zuverlässigkeit der Schlüsselverwaltung ab. Der Schlüssellebenszyklus umfasst mehrere Phasen: Erzeugung — die Erstellung eines kryptografisch starken Schlüssels mithilfe zertifizierter Zufallszahlengeneratoren; Verteilung — die sichere Übertragung des Schlüssels zwischen den Parteien (mithilfe asymmetrischer Verschlüsselung oder geschützter Kanäle); Speicherung — der Schutz von Schlüsseln vor unbefugtem Zugriff mithilfe von Hardware-Sicherheitsmodulen (HSM), Token (JaCarta, Rutoken) oder Smartcards; Verwendung — die Anwendung des Schlüssels zum Ver- oder Entschlüsseln von Daten; Rotation — der periodische Schlüsselwechsel zur Minimierung von Kompromittierungsrisiken (empfohlen mindestens einmal pro Jahr); Vernichtung — die sichere Löschung von Schlüsseln nach Ablauf ihrer Gültigkeitsdauer. Für große Organisationen wird die Verwendung von Schlüsselverwaltungssystemen (KMS — Key Management Service) empfohlen, die den Schlüssellebenszyklus automatisieren, zentrale Speicherung, Zugriffskontrolle und Prüfung gewährleisten. In staatlichen Systemen muss die Schlüsselverwaltung mithilfe zertifizierter KIS-Werkzeuge erfolgen.

Anwendung der Verschlüsselung im Unternehmensumfeld

Die Anwendung der Verschlüsselung im Unternehmensumfeld umfasst alle Ebenen des Informationsschutzes. Verschlüsselung von Datenübertragungskanälen — die Verwendung von VPN-Protokollen (IPsec, OpenVPN, WireGuard) und Firewalls mit Verschlüsselungsunterstützung zum Schutz von Daten bei der Übertragung über offene Netze (Internet). Festplattenverschlüsselung (FDE — Full Disk Encryption) — die Verwendung von BitLocker (Windows), FileVault (macOS), LUKS (Linux) oder russischen Lösungen (CryptoPro EFS, ViPNet Disk) zum Verschlüsseln aller Daten auf der Festplatte, was Informationen im Falle eines physischen Diebstahls des Geräts schützt. Datenbankverschlüsselung — der Schutz von Daten auf der Ebene von Tabellen, Spalten oder der gesamten Datenbank mithilfe integrierter DBMS-Mechanismen (Oracle TDE, MS SQL TDE, PostgreSQL pgcrypto) oder externer Lösungen. E-Mail-Verschlüsselung — die Verwendung der Protokolle S/MIME, PGP/GPG zum Verschlüsseln des Inhalts von E-Mails und Anhängen. Datei- und Ordnerververschlüsselung — die selektive Verschlüsselung einzelner Dateien oder Ordner mithilfe von EFS (Encrypting File System) oder Lösungen von Drittanbietern. Verschlüsselung von Cloud-Speichern — die Verwendung von clientseitiger Verschlüsselung (vor dem Hochladen in die Cloud) oder serverseitiger Verschlüsselung, die vom Cloud-Anbieter bereitgestellt wird.

Russische Standards und Gesetzgebung

Die Russische Föderation hat nationale Verschlüsselungsstandards, die in staatlichen Informationssystemen und an KII-Objekten verpflichtend anzuwenden sind. GOST 28147-89 „Magma“ — ein klassischer russischer Blockchiffre mit einer Blockgröße von 64 Bit und einem 256-Bit-Schlüssel, der zum Schutz von Informationen in Systemen verwendet wird, die Kompatibilität mit älteren Lösungen erfordern. GOST R 34.12-2015 „Kusnetschik“ — ein moderner Blockchiffre mit einer Blockgröße von 128 Bit und einem 256-Bit-Schlüssel, empfohlen für Neuentwicklungen. GOST R 34.10-2012 — ein Algorithmus zur Erzeugung und Prüfung elektronischer Signaturen auf Basis elliptischer Kurven, der für qualifizierte elektronische Signaturen verwendet wird. GOST R 34.11-2012 „Stribog“ — ein Hashing-Algorithmus zur Prüfung der Datenintegrität und in elektronischen Signaturen. Alle KIS-Werkzeuge, die diese Algorithmen implementieren, müssen vom FSB Russlands zertifiziert sein und über die entsprechende Bescheinigung verfügen. Für kommerzielle Organisationen, die nicht mit Staatsgeheimnissen arbeiten, ist die Verwendung internationaler Algorithmen (AES, RSA) zulässig, aber bei der Arbeit mit personenbezogenen Daten wird empfohlen, zertifizierte KIS-Werkzeuge zu verwenden. Produkte des Unternehmens Fintech, wie SINTEZM-T, implementieren russische kryptografische Algorithmen und gewährleisten die Einhaltung der Anforderungen der Regulierungsbehörden.