Ein digitaler Tresor ist nur so vertrauenswürdig wie seine Kryptografie und sein Schlüsselmodell. Marketingseiten sprechen oft von „Bank-Verschlüsselung“; Käufer sollten fragen, was verschlüsselt wird, wann und wer entschlüsseln kann.
Dieser Leitfaden erklärt die Techniken, denen Sie bei der Bewertung eines digitalen Tresors begegnen — in einfacher Sprache für IT- und Unternehmensverantwortliche. Für den Produktkontext siehe Hypervault-Sicherheit und wer die Verschlüsselungsschlüssel hält.
Auf einen Blick
- Symmetrische Verschlüsselung (z. B. AES) schützt große Datenmengen effizient.
- Asymmetrische Verschlüsselung hilft beim Schlüsselaustausch und bei der Identität.
- Hybride Designs kombinieren beides — üblich in modernen Tresoren.
- Zero-Knowledge bedeutet, dass der Anbieter Ihre Tresorinhalte nicht lesen kann.
Verschlüsselung im Ruhezustand, bei der Übertragung — und in Nutzung
| Zustand | Was es bedeutet | Warum es wichtig ist |
|---|---|---|
| In Übertragung | Daten, die sich zwischen Ihrem Gerät und dem Dienst bewegen | Verhindert Abhören im Netzwerk (typischerweise TLS) |
| Im Ruhezustand | Daten, die auf Servern / Festplatten gespeichert sind | Schützt vor Diebstahl von Speicher oder beiläufigem Serverzugriff |
| In Nutzung | Daten, während ein Nutzer damit arbeitet | Schwierigeres Problem; Tresore minimieren die Exposition durch clientseitige Kryptografie und kurzlebige Sitzungen |
Ein ernsthafter Tresor verschlüsselt im Ruhezustand und bei der Übertragung. Zero-Knowledge-Architekturen gehen weiter: Chiffretext wird mit Schlüsseln verschlüsselt, die aus Geheimnissen abgeleitet werden, die nur der Kunde kontrolliert, sodass der Anbieter den Tresor nicht öffnen kann.
Symmetrische Verschlüsselung
Symmetrische Kryptografie verwendet einen Schlüssel zum Ver- und Entschlüsseln. Algorithmen wie AES-256 sind schnell und gut untersucht — ideal zum Verschlüsseln von Tresor-Items und Dateien.
Der schwierige Teil ist nicht AES selbst; es ist, den Schlüssel geheim zu halten, ihn bei Bedarf zu rotieren und niemals Klartext-Schlüssel in Logs oder Support-Kanälen zu verschicken.
Asymmetrische Verschlüsselung
Asymmetrische (Public-Key-)Kryptografie verwendet ein Schlüsselpaar: einen öffentlichen Schlüssel zum Verschlüsseln oder Verifizieren, einen privaten Schlüssel zum Entschlüsseln oder Signieren. Sie ist langsamer für große Datenmengen, aber hervorragend für:
- den Aufbau von Vertrauen zwischen Parteien;
- das Einhüllen (Schützen) symmetrischer Schlüssel;
- sichere Freigabemodelle, ohne immer ein gemeinsames Geheimnis neu zu verteilen.
Digitale Tresore nutzen im Hintergrund oft asymmetrische Techniken beim Einladen von Nutzern oder beim Austausch verschlüsselter Payloads.
Hybride Verschlüsselung (was die meisten Tresore tatsächlich tun)
In der Praxis nutzen Tresore ein hybrides Modell:
- Einen starken symmetrischen Schlüssel für das Item oder die Tresordaten erzeugen.
- Die Massendaten mit AES (oder ähnlich) verschlüsseln.
- Diesen Schlüssel mit asymmetrischer Kryptografie oder Schlüsselableitung aus dem Master-Geheimnis des Nutzers / organisatorischen Schlüsseln schützen.
So erhalten Sie Geschwindigkeit für große Datenmengen und eine sicherere Schlüsselverteilung für Personen und Geräte.
Fragen zum Schlüsselmanagement, die Sie jedem Anbieter stellen sollten
Verschlüsselungsversprechen sind unvollständig ohne Antworten auf:
- Wer kann entschlüsseln? Nur Sie? Ihre Admins? Der Support des Anbieters?
- Wo werden Schlüssel abgeleitet oder gespeichert? Clientseitig, HSM, Anbieter-KMS?
- Was passiert, wenn jemand das Unternehmen verlässt? Können Sie Zugriff widerrufen, ohne alles neu zu verschlüsseln?
- Wo werden Daten gehostet? EU-Datenstandort ist für viele Hypervault-Kunden wichtig, die die DSGVO-Konformität bewerten (DSGVO-Compliance).
Hypervault ist um Zero-Knowledge-Prinzipien herum gebaut: Wir sind so konzipiert, dass wir keine Möglichkeit haben, Ihre Tresorinhalte zu lesen. Das ist ein bewusster Kompromiss zugunsten der Kundenkontrolle — passend dazu, wie EU-Teams Passwort-Manager und Tresore nach Branchenvorfällen bewerten.
Verschlüsselung allein reicht nicht
Selbst starke Kryptografie versagt, wenn:
- Nutzer schwache Master-Passwörter wiederverwenden;
- MFA optional ist und übersprungen wird;
- zu weit gefasste Ordnerberechtigungen ein „jeder kann alles öffnen“ wiederherstellen;
- Geheimnisse trotz Tresor weiterhin in E-Mails eingefügt werden.
Kombinieren Sie Verschlüsselung mit Zugriffskontrolle, MFA und Hygiene. Unsere Digital-Shield-Funktionen helfen Teams, Passwortstärke und Tresor-Hygiene im Alltag zu verbessern.
Weiterführende Artikel
- Risiken ohne digitalen Tresor
- Digitaler Tresor vs. traditionelle Speicherlösungen
- Einen digitalen Tresor warten
- Den richtigen digitalen Tresor-Plan wählen
- Wer hält die Verschlüsselungsschlüssel
- Warum Ihr Unternehmen einen digitalen Tresor braucht
Häufig gestellte Fragen
Reicht AES-256 für einen digitalen Unternehmens-Tresor aus?
AES-256 ist eine starke, branchenübliche Wahl für die Massenverschlüsselung. Ob es ausreicht, hängt von der Implementierung, der Schlüsselverwahrung und den umgebenden Kontrollen (MFA, Zugriffsprüfungen) ab — nicht allein vom Algorithmusnamen.
Was bedeutet Zero-Knowledge für die Verschlüsselung?
In einem Zero-Knowledge-Tresormodell kann der Dienstanbieter Ihre gespeicherten Geheimnisse nicht entschlüsseln. Ver- und Entschlüsselung erfolgen unter Schlüsseln, die Sie kontrollieren. Das stärkt die Privatsphäre und reduziert den anbieterseitigen Lesezugriff bei Sicherheitsvorfällen oder behördlichen Anfragen an Anbietersysteme.
Brauchen wir noch TLS, wenn Daten im Ruhezustand verschlüsselt sind?
Ja. TLS schützt Daten auf dem Übertragungsweg. Verschlüsselung im Ruhezustand schützt gespeicherte Kopien. Sie brauchen beides.
Wie hängt das mit der DSGVO zusammen?
Die DSGVO erwartet angemessene technische Maßnahmen für personenbezogene Daten. Verschlüsselung und sorgfältige Schlüsselkontrolle sind anerkannte Schutzmaßnahmen, aber die Compliance hängt weiterhin von Ihrer Rechtsgrundlage, Verträgen und Prozessen ab — nicht allein von der Kryptografie.
Fazit
Verschlüsselung in digitalen Tresoren ist meist eine hybride Kombination bewährter Algorithmen plus eine klare Aussage darüber, wer die Schlüssel hält. Bevorzugen Sie Anbieter, die Zero-Knowledge (oder gleichwertige) Designs, EU-Hosting-Optionen und operative Zugriffskontrollen erklären — nicht nur Buzzwords.
Sehen Sie sich Hypervault-Sicherheit an, testen Sie eine 14-tägige Testphase, oder lesen Sie weiter mit warum Ihr Unternehmen einen digitalen Tresor braucht.
