Deswegen ist die Verschlüsselung von Daten so wichtig für deren Schutz

Zuletzt aktualisiert am 1. Juni 2026

Im Umgang mit sensiblen und personenbezogenen Daten ist deren Verschlüsselung immer wieder ein zentrales und viel diskutiertes Thema in der IT-Sicherheit und im Datenschutz. Um zu zeigen, wie wichtig die konsequente Verschlüsselung von Daten für deren wirksamen Schutz ist, muss gar nicht an dramatische Hackerangriffe durch staatliche Akteure oder professionelle Cyberkriminelle gedacht werden. Die tatsächlich gefährlichen Szenarien sind oft viel alltäglicher, ereignen sich häufiger als vermutet und treten weltweit in erstaunlicher Regelmäßigkeit auf.

Datenpanne nach zu viel Alkohol – Ein realer Vorfall aus Japan

Nachdem ein Mitarbeiter eines IT-Dienstleisters in Japan nach Feierabend noch eine Gaststätte besuchte und dort erheblich über den Durst trank, endete dieser vermeintlich harmlose Abend in einer schwerwiegenden Datenpanne mit weitreichenden Konsequenzen. Der alkoholisierte Mitarbeiter verlor auf dem Nachhauseweg seine Arbeitstasche mitsamt einem USB-Stick, auf dem die vollständigen persönlichen Daten aller 460.000 Einwohner der japanischen Stadt Amagasaki gespeichert waren – darunter Namen, Adressen, Geburtsdaten, Steuerinformationen und Bankverbindungen. Die Tasche wurde zwar nach mehrtägiger intensiver Suche wiedergefunden, aber der Vorfall machte internationale Schlagzeilen und verdeutlichte auf drastische Weise, wie schnell und einfach sensible Daten in falsche Hände geraten können.

Dieser Fall zeigt eindrücklich: Datenverluste geschehen häufig nicht durch sophistizierte Hackerangriffe, sondern durch ganz alltägliche menschliche Unachtsamkeit, Nachlässigkeit oder schlicht Pech. Verlorene oder gestohlene Laptops, vergessene USB-Sticks, liegen gelassene Smartphones mit Zugang zu Firmendaten – all diese Szenarien ereignen sich täglich tausendfach in Unternehmen auf der ganzen Welt. Umso wichtiger ist es, dass die auf solchen mobilen Datenträgern gespeicherten Informationen durch eine starke und zeitgemäße Verschlüsselung geschützt sind, sodass ein physischer Verlust des Geräts nicht automatisch auch zu einem Verlust der Vertraulichkeit der darauf gespeicherten Daten führt.

Was bedeutet Verschlüsselung und wie funktioniert sie?

Verschlüsselung – in der Fachsprache auch als Kryptographie oder Encryption bezeichnet – ist ein mathematisches Verfahren, bei dem lesbare Daten (sogenannter Klartext) mithilfe eines kryptographischen Algorithmus und eines geheimen Schlüssels in eine nicht lesbare und für Unbefugte nicht verwertbare Form (den sogenannten Chiffretext) umgewandelt werden. Nur wer über den richtigen Entschlüsselungsschlüssel verfügt, kann die Daten wieder in ihre ursprüngliche lesbare Form zurückverwandeln und den Inhalt lesen oder verarbeiten.

Es gibt grundsätzlich zwei verschiedene Hauptarten der Verschlüsselung, die in der Praxis zum Einsatz kommen. Bei der symmetrischen Verschlüsselung wird derselbe geheime Schlüssel sowohl zum Verschlüsseln als auch zum Entschlüsseln der Daten verwendet. Bekannte und in der Praxis weit verbreitete symmetrische Verschlüsselungsverfahren sind beispielsweise AES (Advanced Encryption Standard) mit Schlüssellängen von 128, 192 oder 256 Bit. Bei der asymmetrischen Verschlüsselung hingegen wird ein mathematisch zusammengehöriges Schlüsselpaar verwendet, bestehend aus einem öffentlichen Schlüssel zum Verschlüsseln und einem privaten geheimen Schlüssel zum Entschlüsseln. RSA und elliptische Kurven-Kryptographie (ECC) sind die bekanntesten und am weitesten verbreiteten asymmetrischen Verfahren.

Verschlüsselung als Pflicht nach der DSGVO

Die Datenschutz-Grundverordnung nennt die Verschlüsselung in Art. 32 Abs. 1 lit. a DSGVO ausdrücklich und explizit als eine der empfohlenen technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten. Zwar schreibt die DSGVO die Verschlüsselung nicht in jedem einzelnen Fall zwingend als absolute Pflicht vor, sie wird aber regelmäßig und nachdrücklich als geeignete und angemessene Schutzmaßnahme empfohlen. In vielen praktischen Konstellationen – insbesondere bei der Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO wie Gesundheitsdaten, biometrischen Daten oder Daten über die politische oder religiöse Überzeugung – wird die Verschlüsselung von den Datenschutzaufsichtsbehörden als wichtig und quasi-verpflichtend angesehen.

Art. 34 Abs. 3 lit. a DSGVO sieht außerdem eine wichtige und in der Praxis äußerst relevante Erleichterung für Unternehmen vor, die eine wirksame Verschlüsselung einsetzen: Kommt es trotz aller Vorsichtsmaßnahmen zu einer Datenpanne im Sinne einer Verletzung des Schutzes personenbezogener Daten, müssen die betroffenen Personen dann nicht individuell benachrichtigt werden, wenn die kompromittierten Daten durch Verschlüsselung oder andere geeignete Maßnahmen für Unbefugte vollständig unzugänglich gemacht wurden. Dies kann Unternehmen im Ernstfall erhebliche Kosten, organisatorischen Aufwand und vor allem schwerwiegenden Reputationsschaden ersparen, der mit einer öffentlichen Benachrichtigung über einen Datenschutzvorfall zwangsläufig einhergeht.

Verschiedene Einsatzbereiche der Verschlüsselung im Unternehmensalltag

Verschlüsselung sollte in einem modernen und datenschutzbewussten Unternehmen an verschiedenen kritischen Stellen konsequent und durchgängig zum Einsatz kommen. Die wichtigsten Einsatzbereiche umfassen mehrere Ebenen der IT-Infrastruktur und des täglichen Geschäftsbetriebs.

Verschlüsselung ruhender Daten (Data at Rest)

Alle auf Festplatten, Solid-State-Drives, USB-Sticks, externen Speichermedien und in der Cloud gespeicherten sensitiven Daten sollten mit einer vollständigen Datenträgerverschlüsselung (Full Disk Encryption) geschützt werden. Gängige und bewährte Lösungen hierfür sind beispielsweise BitLocker für Windows-Betriebssysteme, FileVault für Apple macOS, LUKS für Linux-Systeme sowie VeraCrypt als plattformübergreifende Open-Source-Alternative. Besonders wichtig ist die konsequente Verschlüsselung aller mobilen Datenträger und Geräte, die das Unternehmen verlassen können – also Laptops, Smartphones, Tablets und tragbare Speichermedien.

Verschlüsselung übertragener Daten (Data in Transit)

Daten, die über Netzwerke wie das Internet, WLAN-Verbindungen oder unternehmensinterne Netzwerke übertragen werden, sollten laufend durch Transportverschlüsselung geschützt werden. Der bekannteste und am weitesten verbreitete Standard hierfür ist TLS (Transport Layer Security), der beispielsweise bei HTTPS-Verbindungen im Web, bei verschlüsselter E-Mail-Übertragung per SMTPS und bei VPN-Verbindungen für den sicheren Fernzugriff auf Unternehmensnetzwerke zum Einsatz kommt. Die Verwendung veralteter und als unsicher geltender Protokollversionen wie TLS 1.0 und TLS 1.1 sollte deaktiviert werden.

Ende-zu-Ende-Verschlüsselung für besonders sensible Kommunikation

Für besonders vertrauliche und schützenswerte Kommunikation empfiehlt sich die Nutzung einer Ende-zu-Ende-Verschlüsselung (E2EE), bei der die Nachricht bereits auf dem Gerät des Absenders verschlüsselt und erst auf dem Gerät des Empfängers wieder entschlüsselt wird. Auch der Betreiber des verwendeten Kommunikationsdienstes kann die Inhalte nicht mitlesen. Verbreitete Lösungen für Ende-zu-Ende-verschlüsselte Kommunikation sind beispielsweise Signal, der E-Mail-Standard PGP/GPG und S/MIME für verschlüsselte geschäftliche E-Mail-Kommunikation.

Häufige Fehler und Versäumnisse bei der Verschlüsselung

Trotz der offensichtlichen Bedeutung der Verschlüsselung für den wirksamen Datenschutz begehen Unternehmen in der Praxis immer wieder dieselben vermeidbaren Fehler, die den Schutz der Verschlüsselung vollständig oder teilweise zunichtemachen können. Einer der häufigsten und schwerwiegendsten Fehler ist die Verwendung veralteter oder als unsicher bekannter Verschlüsselungsalgorithmen. Ältere Verfahren wie DES oder RC4 gelten seit langem als gebrochen und bieten keinen ausreichenden Schutz mehr gegen moderne Angriffsmethoden und Rechenkapazitäten.

Ein weiterer häufig beobachteter kritischer Fehler liegt im unsachgemäßen Management der Verschlüsselungsschlüssel. Wenn der geheime Schlüssel zusammen mit den verschlüsselten Daten auf demselben Gerät oder Datenträger gespeichert wird, ist die Verschlüsselung praktisch wertlos – vergleichbar mit einem verschlossenen Tresor, an dem der Schlüssel außen am Griff hängt. Professionelles und sicheres Schlüsselmanagement erfordert eine getrennte und physisch gesicherte Aufbewahrung der Schlüssel, regelmäßige Schlüsselrotation, sichere Verfahren für die Schlüsselverteilung und klare organisatorische Prozesse für den Umgang mit Schlüsseln.

Schließlich wird die Verschlüsselung in vielen Unternehmen schlicht nicht konsequent und flächendeckend genug eingesetzt. Einzelne Geräte, bestimmte Datenbanken, E-Mail-Kommunikation oder Cloud-Speicher werden aus Bequemlichkeit, Unwissenheit oder wegen vermeintlicher Performance-Einbußen nicht verschlüsselt und bilden so gefährliche Schwachstellen in der ansonsten möglicherweise soliden Sicherheitsarchitektur des Unternehmens.

Verschlüsselung und Datenschutz-Folgenabschätzung

Im Rahmen einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO spielt die Verschlüsselung eine zentrale und prominente Rolle bei der Bewertung und Minimierung der Risiken für die Rechte und Freiheiten der betroffenen Personen. Die Aufsichtsbehörden erwarten, dass Unternehmen bei der Verarbeitung besonders schützenswerter oder umfangreicher personenbezogener Datenbestände den Einsatz von Verschlüsselungstechnologien systematisch prüfen und dokumentieren. Wird auf die Verschlüsselung verzichtet, muss dies nachvollziehbar und überzeugend begründet werden.

Fazit: Verschlüsselung als wichtige Grundlage des Datenschutzes

Verschlüsselung ist eine der wirksamsten, am besten erforschten und zugleich vergleichsweise kostengünstigen Maßnahmen zum vollständigen Schutz personenbezogener Daten – sowohl gegen externe Angriffe durch Hacker und Cyberkriminelle als auch gegen alltägliche Risiken wie den Verlust oder Diebstahl von Geräten und Datenträgern. Die DSGVO nennt die Verschlüsselung aus gutem Grund ausdrücklich als empfohlene Schutzmaßnahme und knüpft an ihren konsequenten Einsatz wichtige rechtliche Erleichterungen im Falle einer Datenpanne. Unternehmen, die Verschlüsselung konsequent und nach dem Stand der Technik in allen relevanten Bereichen ihrer IT-Infrastruktur und ihrer Geschäftsprozesse einsetzen, schützen damit nicht nur die ihnen anvertrauten personenbezogenen Daten, sondern minimieren gleichzeitig ihr eigenes rechtliches und finanzielles Risiko erheblich.

Aktuelle Entwicklungen und Post-Quanten-Kryptographie

Die Verschlüsselungstechnologie entwickelt sich kontinuierlich weiter, und Unternehmen sollten auch zukünftige Entwicklungen im Blick behalten. Eine der größten Herausforderungen der kommenden Jahre ist die sogenannte Post-Quanten-Kryptographie. Leistungsfähige Quantencomputer, die derzeit in verschiedenen Labors und Unternehmen weltweit entwickelt werden, könnten in der Lage sein, die heute gängigen asymmetrischen Verschlüsselungsverfahren wie RSA und elliptische Kurven-Kryptographie in überschaubarer Zeit zu brechen. Das US-amerikanische National Institute of Standards and Technology (NIST) hat bereits mehrere quantenresistente Verschlüsselungsalgorithmen standardisiert, die als Nachfolger der bisherigen Verfahren dienen sollen. Unternehmen sollten im Rahmen ihrer langfristigen IT-Sicherheitsstrategie bereits heute beginnen, den Übergang zu quantenresistenten Verschlüsselungsverfahren vorzubereiten und ihre kryptographische Infrastruktur entsprechend zu planen und schrittweise umzustellen. Auch die deutschen Datenschutzaufsichtsbehörden erwarten zunehmend, dass Unternehmen beim Einsatz von Verschlüsselungstechnologien den aktuellen Stand der Technik berücksichtigen und ihre Maßnahmen regelmäßig an neue Bedrohungen und technologische Entwicklungen anpassen.

Als externer Datenschutzbeauftragter beraten wir Sie vollständig zur datenschutzkonformen Implementierung von Verschlüsselungslösungen in Ihrem Unternehmen – kontaktieren Sie uns für eine unverbindliche Erstberatung.