Kryptografiebeherrschbar machen.
Verschlüsselung wirkt nur mit einem kontrollierten Lebenszyklus. Kryptografie DCH verbindet Schutzbedarf, freigegebene Verfahren, Schlüssel und Zertifikate mit technischer Umsetzung, Überwachung und rechtzeitiger Erneuerung.
Das Verfahren allein
reicht nicht.
Ein sicherer Algorithmus kann durch falsche Nutzung, verlorene Schlüssel oder abgelaufene Zertifikate wirkungslos werden. Der Prozess steuert deshalb Zweck, Verfahren, Implementierung, Schlüsselmaterial, Zertifikate und den Übergang zu neuen kryptografischen Profilen gemeinsam.
| Objekt | Zu entscheiden | Zu überwachen | Nachweis |
|---|---|---|---|
| Schutzbedarf | Welche Vertraulichkeit, Integrität, Authentizität oder Beweiswirkung wird benötigt und wie lange? | Änderungen an Datenklasse, Bedrohung, Aufbewahrung und Nutzung. | Genehmigtes Schutzprofil mit Owner. |
| Verfahren | Welche Protokolle, Algorithmen, Parameter und Schlüssellängen sind zugelassen? | Neue Schwächen, abgekündigte Verfahren und veränderte Empfehlungen. | Versionierter Kryptostandard. |
| Schlüssel | Wie werden Schlüssel erzeugt, verteilt, geschützt, verwendet, rotiert, gesperrt und vernichtet? | Owner, Alter, Nutzung, Zugriff, Verlust und Kompromittierung. | Schlüsselinventar und Lebenszyklusereignisse. |
| Zertifikate | Welche Vertrauenskette, Laufzeit, Identität und Erneuerung gelten? | Ablauf, Fehlkonfiguration, widerrufene Vertrauensanker und unbekannte Aussteller. | Aktuelles Zertifikatsregister. |
| Implementierung | Wo und wie wird das Profil in Anwendungen, Geräten und Diensten erzwungen? | Abweichende Konfiguration, Bibliotheken, Protokolle und technische Umgehung. | Geprüfter technischer Sollzustand. |
Von der Schutzabsicht
zum erneuerbaren Zustand.
Die Kette beginnt bei Daten und Geschäftszweck. Sie endet erst, wenn abgelaufene, kompromittierte oder nicht mehr geeignete Verfahren ersetzt sind. Kryptoagilität ist dabei keine Produktfunktion, sondern die Fähigkeit, Bestand, Abhängigkeiten und Migration kontrolliert zu führen.
Klassifizieren
Daten, Dienst, Zweck, Schutzwirkung und erforderliche Schutzdauer bestimmen.
Schutzprofil
Auswählen
Verfahren, Protokoll, Parameter, Schlüssellänge und zulässige Einsatzform freigeben.
Genehmigtes Profil
Bereitstellen
Schlüssel und Zertifikate sicher erzeugen, ausgeben, speichern und einem Owner zuordnen.
Kontrollierter Bestand
Erzwingen
Kryptoprofil in Anwendung, Plattform, Gerät, Übertragung und Speicher technisch aktivieren.
Bestätigter Sollzustand
Beobachten
Ablauf, Nutzung, Drift, unsichere Verfahren, Bibliotheken und Vertrauensketten erkennen.
Bewertete Abweichung
Rotieren
Schlüssel und Zertifikate vor Ablauf erneuern, bei Verlust widerrufen und Abhängigkeiten aktualisieren.
Erneuerter Zustand
Migrieren
Veraltete Verfahren kontrolliert ersetzen und Schutzwirkung nach der Umstellung erneut prüfen.
Geprüfte Migration
Rotation allein genügt nicht. Der Prozess klärt betroffene Systeme, Daten und Vertrauensbeziehungen, widerruft Material, stellt neue Schlüssel bereit und behandelt die mögliche Offenlegung im Vorfallprozess.
Priorität erhalten Anwendungen mit langer Schutzdauer und schwer ersetzbaren Abhängigkeiten. Inventar und Kryptoagilität kommen vor einer pauschalen Umstellung. Neue Standards werden risikobasiert geprüft und eingeführt.
Architektur entscheidet.
Betrieb hält den Zustand.
Die Trennung verhindert zwei typische Fehlbilder: Der Betrieb muss ungeklärte Verfahren auswählen oder die Architektur veröffentlicht Vorgaben, ohne Bestand, Ablauf und technische Durchsetzung zu kontrollieren.
Bestimmen die Schutzwirkung. Sie verantworten Datenklasse, Geschäftszweck, Schutzdauer und akzeptierte Restabweichungen.
Genehmigt die Profile. Sie wählt Verfahren, Parameter, Protokolle und Übergangsregeln anhand von Risiko und aktuellen Empfehlungen.
Führen den Lebenszyklus. Sie erzeugen, schützen, verteilen, erneuern, widerrufen und vernichten Schlüssel und Zertifikate kontrolliert.
Überwachen Zustand und Wirkung. Sie erkennen Drift, verfolgen Ausnahmen und prüfen, ob Vorgabe, Bestand und technische Umsetzung zusammenpassen.
Vertrauen braucht
einen überprüfbaren Bestand.
Die Nachweiskette verbindet Schutzbedarf und genehmigtes Profil mit den tatsächlich eingesetzten Schlüsseln, Zertifikaten und Konfigurationen. Nur so werden Ablauf, Kompromittierung und Migration steuerbar.
Schutzprofil
Informationsobjekt oder Dienst, Schutzwirkung, Schutzdauer, Owner und genehmigte Abweichungen.
Kryptostandard
Zugelassene und gesperrte Verfahren, Protokolle, Parameter, Schlüssellängen, Gültigkeit und Quelle.
Schlüsselbestand
Typ, Zweck, Owner, Speicherort, Erzeugung, Gültigkeit, Zugriff, Rotation und Vernichtung.
Zertifikatsregister
Identität, Aussteller, Vertrauenskette, zugehöriger Dienst, Ablauf, Erneuerung und Widerrufsstatus.
Implementierungsnachweis
Aktive Protokolle und Parameter, eingesetzte Bibliothek, Konfiguration, technischer Test und festgestellte Drift.
Migrationsnachweis
Betroffene Abhängigkeiten, Übergangsprofil, Test, Rollout, Rückfallweg, Restlücke und Freigabe.
Ablauf und Alterung
werden sichtbar.
Die Anzahl ausgestellter Zertifikate ist keine Sicherheitskennzahl. Entscheidend sind unbekannte Bestände, ungeklärte Owner, bevorstehende Abläufe, nicht freigegebene Verfahren und Systeme, deren kryptografische Abhängigkeiten keinen kontrollierten Wechsel zulassen.
Kritische Dienste ohne erfasste Schlüssel, Zertifikate, Verfahren oder verantwortliche Stelle.
Zertifikate und Schlüssel, deren Erneuerung innerhalb des erforderlichen Vorlaufs nicht gesichert ist.
Aktive Protokolle, Algorithmen oder Parameter ausserhalb des genehmigten Kryptostandards.
Schlüsselmaterial mit zu breitem Zugriff, fehlender Funktionstrennung oder unvollständigem Nutzungsnachweis.
Zeit von erkannter Kompromittierung bis zu Widerruf, Ersatz und technischer Durchsetzung.
Kritische Abhängigkeiten ohne getestete Möglichkeit, Verfahren oder Vertrauensanker zu wechseln.
Schutzbedarf steuert
die Ausprägung.
Der Prozess bleibt derselbe. Branchenvorgaben können jedoch zusätzliche Anforderungen an Klassifikation, Register, Schlüsselkontrolle, Auswahlkriterien und Nachweise stellen. Eine pauschale Algorithmusliste wäre ohne Kontext und Gültigkeitsdatum gefährlich.
| Profil | Zusätzlicher Schwerpunkt | Im Prozess sichtbar | Grenze |
|---|---|---|---|
| ISO 27001 | Regeln für angemessene und wirksame Nutzung von Kryptografie und Schlüsselmanagement. | Schutzprofil, genehmigte Verfahren, Lebenszyklus, Betrieb und Wirksamkeitsprüfung. | Die Norm gibt keine universelle Algorithmusliste vor. |
| NIS2 und deutsches BSIG | Richtlinien und Verfahren für Kryptografie sowie gegebenenfalls Verschlüsselung als Risikomassnahme. | Anwendungsbereich, Risikobezug, Vorgabe, technische Umsetzung und Nachweis. | Nur für erfasste Einrichtungen und nationale Umsetzung. |
| DORA | Verschlüsselung von Daten in Ruhe und Übertragung, geschützte interne und externe Verbindungen sowie Schlüsselmanagement. | Datenklassifikation, Auswahlkriterien, Register, Schutz des Lebenszyklus und Erneuerung. | Für erfasste Finanzunternehmen, proportional zu Risiko und Funktion. |
| Deutschland | Aktuelle BSI Empfehlungen für Verfahren und Schlüssellängen sowie migrationsfähige Architekturen. | Quellenstand, freigegebene Profile, beobachtete Ablösung und geplanter Übergang. | TR 02102 ist technische Empfehlung und muss zum konkreten Einsatz passen. |
| Übergang zu quantensicheren Verfahren | Bestand, Schutzdauer und schwer ersetzbare Abhängigkeiten priorisieren. Neue NIST Standards als mögliche Zielprofile prüfen. | Kryptoinventar, Übergangsentscheid, Interoperabilitätstest, Rollout und Restlücke. | Kein pauschaler Soforttausch ohne Architektur und Risikoprüfung. |
Automatisierung braucht
eine Policy.
Werkzeuge finden Zertifikate, verwalten Schlüssel und liefern Hardware Schutz. Die fachliche Freigabe von Verfahren, Schutzprofilen und Übergängen bleibt Teil des ISMS.
KMS und Secrets ManagementSchlüssel und Geheimnisse kontrolliert speichern, verteilen, rotieren und protokollieren.Navigator öffnen →
HSMKritische Schlüssel in einer gehärteten kryptografischen Vertrauensbasis schützen.Navigator öffnen →
Empfehlungen altern.
Der Prozess bleibt.
ISO 27001 gibt den Managementrahmen. NIST beschreibt Schlüsselmanagement und aktuelle Post Quanten Standards. Das BSI veröffentlicht zeitgebundene technische Empfehlungen. DORA konkretisiert den Lebenszyklus für seinen Finanzsektor.
Kryptografie
Annex A.8.24 stützt Regeln für angemessene und wirksame Nutzung kryptografischer Verfahren sowie Schlüsselmanagement.
Schlüsselmanagement
Beschreibt Schutz, Funktionen und Lebenszyklus kryptografischen Schlüsselmaterials sowie organisatorische Fragen des Key Management.
Verfahren und Schlüssellängen
Die Version 2025 01 enthält zeitgebundene Empfehlungen für kryptografische Verfahren und Schlüssellängen.
Finanzsektor EU
Artikel 6 und 7 konkretisieren Verschlüsselung, Auswahlkriterien, Schutz der Schlüssel, Ersatz bei Verlust sowie Register und Erneuerung von Zertifikaten.
Risikomassnahme
Artikel 21 nennt Richtlinien und Verfahren für Kryptografie und gegebenenfalls Verschlüsselung im Katalog der Sicherheitsmassnahmen.
Post Quanten Standards
Die 2024 veröffentlichten Standards spezifizieren ML KEM sowie die Signaturverfahren ML DSA und SLH DSA.
Schutz bleibt
steuerbar.
Kryptografie setzt eine Schutzentscheidung um, sie ersetzt sie nicht. Der Prozess verbindet Datenklasse, Verfahren, Schlüssel und Ausnahme zu einem nachvollziehbaren Schutzprofil.
| Referenz | Beitrag zum Prozess | Grenze |
|---|---|---|
| ISO/IEC 27001:2022 | A.8.24 verlangt Regeln für die wirksame Nutzung von Kryptografie. | Definiert keine pauschal gültige Algorithmusliste. |
| NIST SP 800-57 | Strukturiert das Management kryptografischer Schlüssel über ihren Lebenszyklus. | Ersetzt keine organisationsspezifische Schlüssel- und Zugriffsentscheidung. |
| BSI TR-02102 | Gibt zeitgebundene technische Empfehlungen zu kryptografischen Verfahren. | Empfehlungen müssen gegen Schutzbedarf und Aktualität geprüft werden. |
| Inhalt | Beitrag | Weiter |
|---|---|---|
| 06 Daten | Liefert Schutzbedarf und Vorgaben für Speicherung, Übertragung und Empfänger. | Prozess öffnen → |
| 04 Architektur | Prüft Vertrauensgrenzen, Schlüsselverteilung und technische Muster. | Prozess öffnen → |
| 15 Konfiguration | Hält freigegebene Verfahren und Einstellungen im Betrieb überprüfbar. | Prozess öffnen → |
Security Tool Navigator · Werkzeuge zum Prozess
Werkzeuge nach Gebiet einordnen.
Die Werkzeugklassen dieses Prozesses sind im Security Tool Navigator nach Sicherheitsgebieten geordnet. Die Gebietsseiten zeigen Abgrenzung, Auswahlfragen für CIO und CISO und alle Werkzeugklassen im Zusammenhang.