Verschlüsselung im Unternehmen – Was die DSGVO verlangt

Verschlüsselung ist die eine Maßnahme, die Art. 32 DSGVO ausdrücklich beim Namen nennt. Nicht als Option -- als konkretes Beispiel für ein angemessenes Schutzniveau. Trotzdem verschlüsseln viele KMU ihre Daten nicht oder nur lückenhaft. Die Folge: Bei einer Datenpanne drohen nicht nur Bußgelder, sondern auch die aufwendige Benachrichtigung aller Betroffenen.

Dieser Artikel zeigt Ihnen, welche Daten Sie verschlüsseln sollten, welche Methoden es gibt und wie Sie als KMU pragmatisch vorgehen.

Was Art. 32 DSGVO fordert

Art. 32 DSGVO verpflichtet Verantwortliche und Auftragsverarbeiter, technische und organisatorische Maßnahmen zu treffen, die ein dem Risiko angemessenes Schutzniveau gewährleisten. Der Gesetzestext nennt dabei zwei Maßnahmen ausdrücklich: Pseudonymisierung und Verschlüsselung.

Das bedeutet nicht, dass Verschlüsselung in jedem Fall verpflichtend ist. Aber es bedeutet, dass Aufsichtsbehörden bei einer Prüfung erwarten, dass Sie sich mit Verschlüsselung beschäftigt haben -- und gute Gründe nennen können, wenn Sie in bestimmten Bereichen darauf verzichten.

Der Maßstab ist: Stand der Technik, Implementierungskosten, Art und Umfang der Verarbeitung und die Schwere des Risikos für die betroffenen Personen. Für KMU heißt das: Sie müssen nicht die gleiche Infrastruktur wie ein Konzern aufbauen. Aber die Grundlagen müssen stimmen.

Das BSI bestätigt in seinem IT-Grundschutz-Kompendium: Verschlüsselung gehört zum Stand der Technik. Wer darauf verzichtet, muss das begründen können.

Welche Daten müssen verschlüsselt werden?

Nicht alle Daten brauchen den gleichen Schutz. Die Faustregel: Je sensibler die Daten, desto zwingender die Verschlüsselung.

Datenkategorie	Verschlüsselung	Begründung
Gesundheitsdaten (Art. 9 DSGVO)	Pflicht (de facto)	Besondere Kategorien, hohes Risiko
Biometrische Daten	Pflicht (de facto)	Besondere Kategorien, nicht änderbar
Finanzdaten (Bankverbindungen, Gehälter)	Dringend empfohlen	Hohes Missbrauchsrisiko
Personalakten	Dringend empfohlen	Umfangreiche personenbezogene Daten
Kundenstammdaten	Empfohlen	Personenbezogene Daten, Schutzbedarf je nach Umfang
Geschäftliche E-Mails	Empfohlen	Oft personenbezogene Inhalte
Öffentlich zugängliche Daten	Optional	Geringes Risiko für Betroffene

Für Arztpraxen und andere Gesundheitsdienstleister gilt: Verschlüsselung von Patientendaten ist keine Option, sondern Pflicht. Gleiches gilt für Unternehmen, die im Bewerbungsprozess sensible Personaldaten verarbeiten.

Die drei Verschlüsselungsebenen

Verschlüsselung wirkt auf drei Ebenen. Für einen umfassenden Schutz sollten Sie alle drei berücksichtigen.

1. Verschlüsselung im Ruhezustand (at rest): Schützt gespeicherte Daten auf Festplatten, in Datenbanken, auf USB-Sticks und in Backups. Wenn ein Laptop gestohlen wird oder ein Server physisch kompromittiert wird, bleiben die Daten unlesbar. Methode: AES-256 über BitLocker (Windows), FileVault (Mac) oder LUKS (Linux).
2. Transportverschlüsselung (in transit): Schützt Daten während der Übertragung über Netzwerke. Ohne Transportverschlüsselung können Angreifer den Datenverkehr mitlesen. Methode: TLS 1.3 für Webverkehr (HTTPS), TLS für E-Mail-Verschlüsselung, VPN für Remote-Zugriffe.
3. Ende-zu-Ende-Verschlüsselung (E2E): Schützt Daten vom Absender bis zum Empfänger. Selbst der Server-Betreiber kann die Inhalte nicht lesen. Methode: S/MIME oder PGP für E-Mails, Signal-Protokoll für Messaging. Besonders relevant für vertrauliche Kommunikation mit Mandanten, Patienten oder Geschäftspartnern.

Symmetrisch vs. asymmetrisch: Die Methoden im Überblick

Sie müssen kein Kryptografie-Experte sein, aber die Grundbegriffe sollten Sie kennen -- spätestens, wenn Sie mit Ihrem IT-Dienstleister über die richtige Lösung sprechen.

Symmetrische Verschlüsselung (AES): Ein Schlüssel für Ver- und Entschlüsselung. Schnell und effizient, deshalb Standard für große Datenmengen. AES-256 gilt als praktisch unknackbar und wird vom BSI empfohlen. Herausforderung: Der Schlüssel muss sicher übertragen und gespeichert werden.

Asymmetrische Verschlüsselung (RSA, ECC): Zwei Schlüssel -- ein öffentlicher zum Verschlüsseln, ein privater zum Entschlüsseln. Langsamer als AES, aber ideal für den sicheren Schlüsselaustausch und digitale Signaturen. Basis für TLS, S/MIME und PGP.

In der Praxis werden beide Methoden kombiniert: Asymmetrische Verschlüsselung für den sicheren Schlüsselaustausch, symmetrische Verschlüsselung für die eigentlichen Daten. Das ist der Standard, den TLS, HTTPS und die meisten VPN-Lösungen verwenden.

Der Datenpannen-Vorteil: Warum Verschlüsselung sich auszahlt

Hier wird es für Geschäftsführer interessant. Art. 34 DSGVO schreibt vor, dass bei einer Datenpanne alle betroffenen Personen benachrichtigt werden müssen -- es sei denn, die Daten waren wirksam verschlüsselt.

Das bedeutet konkret: Wenn ein Laptop mit Kundendaten gestohlen wird und die Festplatte per BitLocker verschlüsselt war, entfällt in der Regel die Pflicht zur Einzelbenachrichtigung. Sie müssen den Vorfall trotzdem intern dokumentieren und gegebenenfalls der Aufsichtsbehörde innerhalb von 72 Stunden melden. Aber die aufwendige -- und rufschädigende -- Benachrichtigung aller Betroffenen können Sie sich sparen.

Laut PwC waren 89 % der deutschen Unternehmen in den letzten drei Jahren von Datendiebstahl betroffen. Verschlüsselung ist damit keine theoretische Vorsichtsmaßnahme, sondern eine praktische Schadensbegrenzung für den Fall, der statistisch wahrscheinlich ist.

Checkliste: Verschlüsselung für KMU

• Laptops und mobile Geräte: BitLocker (Windows) oder FileVault (Mac) aktivieren. Alle Geräte, die das Büro verlassen, müssen vollverschlüsselt sein.
• E-Mail-Verschlüsselung: Mindestens TLS für die Transportverschlüsselung. Für vertrauliche Inhalte S/MIME oder PGP als Ende-zu-Ende-Lösung.
• Cloud-Speicher: Prüfen Sie, ob Ihr Anbieter Daten im Ruhezustand verschlüsselt (die meisten tun es). Für besonders sensible Daten: clientseitige Verschlüsselung mit Tools wie Cryptomator.
• Backups: Verschlüsselte Backups sind Pflicht. Ein unverschlüsseltes Backup auf einer externen Festplatte ist eine Datenpanne wartend darauf, zu passieren.
• Datenbanken: Transparent Data Encryption (TDE) für SQL-Datenbanken. Zusätzlich: Verschlüsselung sensibler Felder auf Anwendungsebene.
• USB-Sticks: Nur verschlüsselte USB-Sticks erlauben oder den USB-Zugang zentral sperren.
• Schlüsselmanagement: Dokumentieren Sie, wo Schlüssel gespeichert sind, wer Zugriff hat und wie sie rotiert werden. Ein verlorener Schlüssel bedeutet verlorene Daten.

Post-Quanten-Kryptografie: Was auf KMU zukommt

Quantencomputer werden in absehbarer Zeit in der Lage sein, gängige asymmetrische Verschlüsselungsverfahren wie RSA zu brechen. Das betrifft KMU nicht heute -- aber die Weichen werden jetzt gestellt.

Das NIST hat 2024 die ersten post-quantensicheren Standards veröffentlicht. Software-Hersteller beginnen, diese in ihre Produkte zu integrieren. Für KMU bedeutet das: Bei der nächsten Erneuerung von TLS-Zertifikaten oder VPN-Lösungen auf Produkte achten, die post-quantensichere Algorithmen unterstützen.

Akuter Handlungsbedarf besteht für Unternehmen, die Daten langfristig speichern (z.B. Gesundheitsdaten, Archivdaten). Diese Daten könnten heute abgefangen und in zehn Jahren entschlüsselt werden -- das sogenannte "Harvest now, decrypt later"-Szenario.

Häufig gestellte Fragen

Ist Verschlüsselung nach DSGVO Pflicht?

Art. 32 DSGVO nennt Verschlüsselung ausdrücklich als geeignete Schutzmaßnahme. Eine absolute Pflicht für alle Daten besteht nicht -- der Gesetzgeber hat bewusst einen flexiblen Rahmen gewählt. Aber bei personenbezogenen Daten mit hohem Risiko (Gesundheitsdaten, Finanzdaten) ist Verschlüsselung de facto Standard. Aufsichtsbehörden erwarten, dass Unternehmen sich mit Verschlüsselung befasst haben und begründen können, wo sie darauf verzichten.

Welche Daten müssen verschlüsselt werden?

Besondere Kategorien nach Art. 9 DSGVO -- Gesundheitsdaten, biometrische Daten, Daten zur religiösen oder politischen Überzeugung -- sollten immer verschlüsselt werden. Finanzdaten und Personalakten sind ebenfalls dringend empfohlen. Für alle anderen personenbezogenen Daten richtet sich die Verschlüsselungspflicht nach der individuellen Risikoanalyse.

Was ist der Unterschied zwischen Verschlüsselung im Ruhezustand und bei der Übertragung?

Verschlüsselung im Ruhezustand (at rest) schützt gespeicherte Daten auf Festplatten, in Datenbanken und Backups. Transportverschlüsselung (in transit) schützt Daten während der Übertragung über Netzwerke, etwa per TLS bei E-Mails oder HTTPS bei Websites. Für umfassenden Schutz brauchen Sie beides.

Welche Verschlüsselungsmethode eignet sich für KMU?

AES-256 ist der Standard für Verschlüsselung im Ruhezustand -- unterstützt von BitLocker, FileVault und allen gängigen Datenbanken. Für E-Mails: TLS als Minimum, S/MIME oder PGP für Ende-zu-Ende-Schutz. Für Cloud-Daten: clientseitige Verschlüsselung mit Tools wie Cryptomator. Der BSI IT-Grundschutz bietet eine gute Orientierung für die Auswahl.

Was passiert bei einer Datenpanne mit verschlüsselten Daten?

Wenn personenbezogene Daten bei einer Datenpanne wirksam verschlüsselt waren, kann die Pflicht zur Einzelbenachrichtigung der Betroffenen nach Art. 34 DSGVO entfallen. Sie müssen den Vorfall trotzdem intern dokumentieren und der Aufsichtsbehörde innerhalb von 72 Stunden melden. Aber die aufwendige Benachrichtigung aller Betroffenen -- und den damit verbundenen Reputationsschaden -- können Sie vermeiden.