Die Kryptografie-Richtlinie: was verschlüsseln — ohne Traktat
Die Kryptografie-Richtlinie ist das Dokument, das am häufigsten «auf Vorrat» geschrieben wird: 15 Seiten über Algorithmen, die niemand von Hand wählt. Die Norm will etwas anderes: dass die Firma bewusst entscheidet, was sie verschlüsselt, womit, und wer die Schlüssel verwaltet.
Was die Richtlinie abdecken muss
- Daten in Ruhe: Laptop-Festplatten, Datenbanken, Backups, Object Storage — was Pflicht ist (verknüpft mit der Klassifizierung);
- Daten in Bewegung: TLS für allen externen Verkehr, VPN oder Äquivalent für Administration;
- Schlüsselverwaltung: wo Schlüssel und Secrets leben (KMS, Secret Manager), wer Zugriff hat, wie rotiert wird;
- Verbote: selbstgebaute Kryptografie, veraltete Protokolle, Schlüssel im Code und in Repositories.
Die Schlüssel sind der Schmerzpunkt
Verschlüsselung ist so stark wie der Schutz des Schlüssels. In Audits fand ich Schlüssel in Git-Repos, geteilten Dokumenten und Chats. Mindesthygiene: Secrets nur im Secret Manager, Zugriff nach Rollen, Rotation nach Plan und beim Austritt von Personen mit Zugriff, Secret-Scanner im CI.
Das Format
Zwei Seiten: Prinzipien + Tabelle «Datentyp → Verschlüsselungsanforderung → Werkzeug». Konkrete Algorithmen gehören in einen technischen Standard der Engineering-Teams — aktualisierbar ohne neue Freigabe. Dasselbe Prinzip «lebender Dokumentation» wie im Artikel über das Dokumentenminimum.
Lesen Sie auch
Autor — Kyrylo Proskurnya, leitender ISO-Auditor und internationaler Experte für Managementsysteme. Ich führe Zertifizierungs- und interne Audits nach ISO 27001, ISO 9001, ISO 27701 und ISO 42001 für Unternehmen in der DACH-Region, Europa und den USA durch. Über mich · Beratung anfragen