DataEncryption.
Encryption schützt Daten bei Speicherung, Übertragung oder Verarbeitung mit kryptografischen Verfahren. Die Plattformwahl beginnt nicht beim Algorithmus, sondern beim Schutzobjekt, der Anwendung, der Schlüsselzuständigkeit und der Frage, wo Klartext technisch noch entstehen darf.
Marktbild: hoch und stark segmentiert. Dreizehn Werkzeuge reichen von transparenter Datenbankverschlüsselung über Datei- und SaaS-Schutz bis zu anwendungsnaher Kryptografie.
Der Ort der Verschlüsselung entscheidet.
Storage-, Datenbank-, Datei-, Feld- und Anwendungsebene schützen gegen unterschiedliche Angreifer. Eine verschlüsselte Festplatte hilft wenig, wenn ein kompromittierter Dienst Daten regulär entschlüsseln darf.
Prüfe Schutzebene, Bedrohungsmodell, Schlüsseltrennung, BYOK oder HYOK, Mandantentrennung, Format- und Sucherhalt, Latenz, Rotation, Recovery, Protokollierung, Cloud- und On-Premises-Abdeckung sowie kryptografische Agilität.
Dreizehn Werkzeuge im Vergleich.
Datenverschlüsselung wird einerseits von breiten Plattformen angeboten, die Datei-, Datenbank- und Anwendungsverschlüsselung mit eigener Schlüsselverwaltung bündeln (Thales CipherTrust, IBM Guardium Data Encryption, Fortanix). Formaterhaltende Feldverschlüsselung ist bei datenzentrierten Anbietern wie OpenText Voltage (seit 31.01.2023 mit Micro Focus bei OpenText) und comforte verbreitet, häufig zusammen mit Tokenisierung. Für Entwickler stehen Bibliotheken und Dienste für Verschlüsselung auf Anwendungsebene bereit, teils Open Source (AWS Encryption SDK, Google Tink), teils als Dienst einer Secrets-Plattform (HashiCorp Vault, seit 28.02.2025 Teil von IBM). Anbieter mit DACH-Bezug decken vor allem Dateiverschlüsselung (Utimaco, Cryptomator) und die Verschlüsselung von SaaS-Daten mit Schlüsseln beim Kunden (eperi) ab.
Datei: Datei/Ordner · Datenbank: Datenbank/TDE · Feld: Feld- oder Anwendungsebene · BYOK/HYOK: eigene Schlüssel für Cloud · FPE: formaterhaltende Verschlüsselung · Schlüssel: Schlüsselverwaltung integriert · Open Source: OSI-Open-Source-Lizenz. ● = auf offizieller Hersteller- oder Projektseite beschrieben, – = nicht belegt (nicht zwingend nicht vorhanden). Auswahl nicht abschliessend, keine Rangliste. Stand: Oktober 2026.
CipherTrust Transparent Encryption und Application Data Protection (CipherTrust Data Security Platform)
Thales Group
Transparent Encryption schützt Dateien, Verzeichnisse und Volumes mit Zugriffskontrolle und Audit-Protokoll, unabhängig von Anwendung oder Datenbank; für SAP HANA und Teradata gibt es eigene Varianten mit Blockverschlüsselung.
Das SDK Application Data Protection schützt einzelne Felder per API mit Verschlüsselung, Tokenisierung, Maskierung und formaterhaltenden Verfahren ohne Schemaänderung.
CipherTrust Cloud Key Manager unterstützt BYOK und teils HYOK für AWS, Azure, Google, Salesforce, Microsoft 365 und OCI.
Schlüssel und Richtlinien liegen zentral im CipherTrust Manager, laut Thales FIPS 140-3 Level 3; Agenten auf Dateisystem- oder Geräteebene.
Deckt Datei-, Datenbank- und Feldverschlüsselung samt Cloud-Schlüsselsteuerung mit einer zentralen Verwaltung ab.
Umfang verteilt sich auf mehrere separat lizenzierte Produkte; HYOK nicht für alle Clouds (für Azure nur BYOK gelistet).
IBM Guardium Data Encryption
IBM Corporation
Verschlüsselt strukturierte Datenbanken, unstrukturierte Dateien und Cloud-Speicher mit Kontrolle privilegierter Zugriffe und Zugriffsprotokoll.
Ergänzend formaterhaltende Tokenisierung, dynamische Maskierung und Batch-Transformation für statische Maskierung.
Cloud Key Management mit BYOK und automatischer Rotation; Schlüsselverwaltung für Drittsysteme über KMIP.
Die Module werden zentral über CipherTrust Manager (früher Data Security Manager) verwaltet und können lokale oder Cloud-HSM einbinden.
Datei- und Datenbankverschlüsselung mit Schlüsselverwaltung aus einer Produktfamilie, anschlussfähig an das Guardium-Portfolio.
Feldverschlüsselung auf Anwendungsebene und formaterhaltende Verschlüsselung auf der Produktseite nicht ausdrücklich beschrieben.
Fortanix Data Security Manager
Fortanix, Inc.
Schützt einzelne Dateisysteme auf einem Host über die Festplattenverschlüsselung hinaus; Schlüssel für TDE von Oracle, SQL Server und MongoDB.
Tokenisierung als formaterhaltende Verschlüsselung ohne zentrale Token-Datenbank.
BYOK im Multicloud Key Management; Anbindung an AWS KMS External Key Store und Google External Key Manager.
Schlüssel in HSM, laut Fortanix FIPS 140-2 Level 3 validiert, wahlweise On-Premises oder als SaaS.
Verbindet Verschlüsselung, Tokenisierung und HSM-gestützte Schlüsselverwaltung in einer Plattform.
Feldverschlüsselung auf Anwendungsebene auf der Produktseite nicht direkt beschrieben; HYOK nicht genannt.
OpenText Voltage SecureData
OpenText Corporation
Schützt strukturierte Datenfelder datenzentriert, mit Integrationen für AWS, Azure, Google Cloud, Databricks, Hadoop, Snowflake, Teradata und Trino.
Formaterhaltende Verschlüsselung nach NIST FF1, zustandslose Tokenisierung ohne Token-Datenbank und formaterhaltender Hash.
Daten bleiben laut OpenText auch in der Cloud geschützt, ohne dort entschlüsselt zu werden.
Zustandslose Schlüsselverwaltung leitet Schlüssel nach Authentisierung und Autorisierung gegen eine zentrale Richtlinie ab.
Formaterhaltender Feldschutz, der Schemas und Anwendungen weitgehend unverändert lässt.
Keine Datei- oder Datenbankverschlüsselung im engeren Sinn; SaaS-Betrieb für SecureData nicht genannt.
comforte SecurDPS (Data Security Platform)
comforte
Schützt Datenelemente in Anwendungen und Datenflüssen über ihren Lebenszyklus, im Ruhezustand, in Bewegung und in Verwendung.
Methoden: Verschlüsselung, formaterhaltende Verschlüsselung, Tokenisierung, formaterhaltender Hash und Maskierung.
Anbindung per API; tiefe Integration in Kubernetes und VMware, Data-Security-as-Code für DevOps.
Sitz in Wiesbaden (DE); Zugriffe lassen sich über RBAC aus dem Unternehmens-IAM steuern und werden protokolliert.
Feldschutz mit mehreren Verfahren in einer Plattform, mit Anbieter aus dem DACH-Raum.
Keine Datei- oder Datenbankverschlüsselung belegt; Produktseite nennt SecurDPS nicht namentlich, Details stammen aus Herstellerbeiträgen.
Baffle Data Protection (Baffle Shield)
Baffle, Inc.
Verschlüsselt Datenbanken auf Feld- oder Datensatzebene sowie Dateien; SQL- und NoSQL-Proxy.
AES-256, formaterhaltende Verschlüsselung und längen- und typerhaltende Tokenisierung; rollenbasierte Zugriffskontrolle.
Baffle Shield arbeitet als SQL/NoSQL-Proxy, laut Hersteller ohne Änderungen am Anwendungscode.
Baffle Manager bindet vorhandene Schlüsselverwaltungen an; BYOK als Funktion genannt.
Feldverschlüsselung in Datenbanken ohne Codeänderung über einen Proxy.
Keine eigene Schlüsselverwaltung, sondern Anbindung externer Key Manager; Liste unterstützter Datenbanken auf der Seite nicht vollständig.
Ubiq Platform
Ubiq Security, Inc.
Verschlüsselung auf Anwendungs- und Feldebene, bevor Daten gespeichert werden; zusätzlich Schutz einzelner Datenbankwerte.
Formaterhaltende Verschlüsselung und vaultlose Tokenisierung, auch für Kartendaten.
Anbindung an Oracle, PostgreSQL, MongoDB, AWS RDS MySQL, Azure Postgres sowie Snowflake, BigQuery, Databricks und Redshift.
Schutz läuft laut Hersteller in der Kundenumgebung entlang der unterstützten Datenpfade.
Entwicklernahe Feld- und formaterhaltende Verschlüsselung mit breiter Datenplattform-Anbindung.
Schlüsselverwaltung, BYOK und Betriebsmodell auf der Startseite nicht beschrieben.
eperi sEcure
eperi GmbH
Verschlüsselt Daten in Microsoft 365 (Exchange, OneDrive, SharePoint, Teams u. a.), HubSpot, ServiceNow, Trello sowie in eigenen Webanwendungen.
Funktionserhaltende Verschlüsselung, bei der die gewohnten Funktionen der Anwendungen erhalten bleiben sollen.
AnyApp und SDK für eigene Integrationen.
Schlüssel und Verschlüsselungsprozess bleiben laut eperi beim Kunden; Sitz in Pfungstadt (DE).
Schutz von SaaS-Daten gegen Zugriff des Cloud-Anbieters mit Schlüsseln beim Kunden.
Abdeckung auf die unterstützten Anwendungen begrenzt; On-Premises-Betrieb auf der Seite nicht genannt.
u.trust LAN Crypt (inkl. LAN Crypt Cloud)
Utimaco
Transparente Datei- und Ordnerverschlüsselung nach Rollen und Gruppen; Regeln je Ordner oder Dateityp.
Zugriff über Schlüsselbund des Benutzers; Security Officers steuern Zugriffe, ein Master Security Officer delegiert.
Clients für Windows (inkl. Terminalserver), macOS, Android und iOS; Unterstützung für OneDrive; Cloud-Variante mit Entra-ID-Anbindung.
Richtlinien und Schlüssel werden zentral verwaltet und als zertifikatsgeschützte Richtliniendateien verteilt.
Rollenbasierte Dateiverschlüsselung mit zentral verteilten Richtlinien, als Software oder Cloud-Dienst.
Nur Dateien und Ordner; bei der Cloud-Variante ist der Hostingort auf der Pressemitteilung nicht genannt.
Cryptomator (inkl. Cryptomator Hub)
Skymatic (Cryptomator)
Clientseitige Verschlüsselung von Dateien und Dateinamen in Tresoren, z. B. in Dropbox, Google Drive oder OneDrive.
AES mit 256 Bit, Schlüsselableitung mit scrypt, authentisierte Verschlüsselung der Dateiinhalte.
Desktop für Windows, macOS und Linux; Cryptomator Hub für zentrale Zugriffsverwaltung im Team mit Anbindung an Identitätsverwaltung.
Verschlüsselung erfolgt lokal, bevor Daten in die Cloud gelangen; Quellcode offen einsehbar.
Offene, prüfbare Dateiverschlüsselung für beliebige Cloud-Speicher.
Nur Dateien; zentrale Verwaltung erst mit Hub, Unternehmensfunktionen deutlich schmaler als bei Plattformen.
HashiCorp Vault (Transit und Transform Secrets Engine)
HashiCorp (IBM)
Transit bietet Verschlüsselung als Dienst für Anwendungen; Vault speichert die Daten nicht, nur die Schlüssel.
AES-GCM, ChaCha20-Poly1305, konvergente Verschlüsselung für Suchen über verschlüsselte Felder; Transform ergänzt FPE nach FF3-1.
Import bestehender Schlüssel per Wrapping-Schlüssel; Enterprise mit Managed Keys und PQC-Signaturtypen (ML-DSA, SLH-DSA).
Schlüssel bleiben in Vault; FIPS-140-3-Modus verfügbar, dort sind einzelne Algorithmen nicht zertifiziert.
Anwendungsverschlüsselung per API ohne Schlüssel im Anwendungscode.
Formaterhaltende Verfahren nur mit Enterprise-Modul ADP-Transform; keine Datei- oder Datenbankverschlüsselung.
AWS Encryption SDK
Amazon Web Services, Inc.
Clientseitige Verschlüsselung beliebiger Datenobjekte mit eigenem Datenschlüssel je Objekt.
Datenschlüssel werden unter einem oder mehreren Wrapping-Schlüsseln verschlüsselt, z. B. AWS-KMS-Schlüssel oder Schlüssel aus einem eigenen HSM.
Implementierungen für C, .NET, Java, JavaScript, Python, Rust, Go und CLI, untereinander interoperabel.
Benötigt kein AWS-Konto, ausser bei Nutzung von AWS KMS; einzelne Sprachversionen setzen ein AWS SDK voraus.
Kostenlose, interoperable Bibliothek für Envelope-Verschlüsselung in eigenen Anwendungen.
Nicht interoperabel mit anderen Bibliotheken; Schlüsselverwaltung muss extern gelöst werden.
Tink
Google LLC
Plattformübergreifende Kryptobibliothek für Verschlüsselung in eigenen Anwendungen.
Primitive u. a. AEAD, deterministisches AEAD, Streaming AEAD, MAC, hybride Verschlüsselung und Signaturen.
Einstieg sieht die Wahl eines KMS vor; konkrete KMS-Anbindungen in der Übersicht nicht genannt.
Von Google-Kryptografen entwickelt und gepflegt; läuft lokal in der Anwendung.
Sichere, schwer falsch zu verwendende Krypto-APIs als offener Baustein.
Reine Bibliothek ohne Richtlinien, Verwaltung oder Audit; Integration und Schlüsselbetrieb liegen beim Anwender.
Weitere Anbieter
Kurz eingeordnet, ausserhalb der Vergleichsmatrix.
- Protegrity Data Protection Platform: Verschlüsselung und FPE als Methoden genannt, Schwerpunkt Tokenisierung; dort aufgeführt
- Microsoft Purview Information Protection / Double Key Encryption: labelbasierter Schutz; Schwerpunkt Rights Management
- Virtru Data Security Platform: Datei- und E-Mail-Verschlüsselung mit persistenten Richtlinien; Schwerpunkt Rights Management
- Broadcom Symantec Endpoint Encryption: Festplatten- und Wechselmedienverschlüsselung am Endpunkt; ausserhalb des Zuschnitts Datei/Datenbank/Feld
- Native TDE der Datenbankhersteller (z. B. Oracle Advanced Security, SQL Server TDE): Funktion der Datenbank, kein eigenständiges Produkt der Klasse
- Entrust KeyControl: Schwerpunkt Schlüsselverwaltung; unter Key Management und HSM zu führen
- Daten sind verschlüsselt, Anwendung und Betreiber besitzen aber denselben unbeschränkten Schlüsselzugriff.
- Rotation ist konfiguriert, alte Daten oder Backups bleiben jedoch an nicht verfügbare Schlüssel gebunden.
- Ein proprietäres Format verhindert Migration, Suche oder kontrollierte Wiederherstellung.
Wähle ein reales Schutzobjekt und simuliere Datenbankadministrator, kompromittierte Anwendung und verlorenen Schlüsselzugriff. Prüfe Klartextpfade, Rotation, Recovery, Performance und vollständige Protokollierung.
Key Management steuert den Lebenszyklus der Schlüssel. HSM schützt besonders kritische Schlüsseloperationen. Rights Management bindet Nutzungsvorgaben dauerhaft an Dokumente.
Security Tool Navigator · Gebiet 08
Im Gebiet Data Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet Data Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.