Bundesamt für Sicherheit in der Informationstechnik

M 4.29 Einsatz eines Verschlüsselungsproduktes für tragbare IT-Systeme

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Benutzer

Um zu verhindern, dass aus einem trotz aller Vorsichtsmaßnahmen gestohlenen tragbaren IT-System schutzbedürftige Daten ausgelesen werden können, sollte ein Verschlüsselungsprogramm eingesetzt werden. Mit Hilfe der marktgängigen Produkte ist es möglich, einzelne Dateien, bestimmte Bereiche oder die ganze Festplatte so zu verschlüsseln, dass nur derjenige, der über den geheimen Schlüssel verfügt, in der Lage ist, die Daten zu lesen und zu gebrauchen.

Die Sicherheit der Verschlüsselung hängt dabei von drei verschiedenen Punkten zentral ab:

  • Der verwendete Verschlüsselungsalgorithmus muss so konstruiert sein, dass es ohne Kenntnis des verwendeten Schlüssels nicht möglich ist, den Klartext aus dem verschlüsselten Text zu rekonstruieren. Nicht möglich bedeutet dabei, dass der erforderliche Aufwand zum Brechen des Algorithmus bzw. zum Entschlüsseln in keinem Verhältnis steht zum dadurch erzielbaren Informationsgewinn.
  • Der Schlüssel ist geeignet zu wählen. Nach Möglichkeit sollte ein Schlüssel zufällig erzeugt werden. Wenn es möglich ist, einen Schlüssel wie ein Passwort zu wählen, sollten die diesbezüglichen Regeln aus M 2.11 Regelung des Passwortgebrauchs beachtet werden.
  • Der Verschlüsselungsalgorithmus (das Programm), der verschlüsselte Text und die Schlüssel dürfen nicht zusammen auf einem Datenträger gespeichert werden. Es bietet sich an, den Schlüssel einzeln aufzubewahren. Dies kann dadurch geschehen, dass er auf einer Pappkarte in Form einer Scheckkarte aufgeschrieben und anschließend wie eine Scheckkarte im Portemonnaie aufbewahrt wird. Die kryptographischen Schlüssel sollten auf einem auswechselbaren Datenträger wie z. B. auf Diskette, Chipkarte oder USB-Stick gespeichert werden und getrennt vom tragbaren IT-System aufbewahrt werden (z. B. in der Brieftasche).

Eine Verschlüsselung kann online oder offline vorgenommen werden. Online bedeutet, dass sämtliche Daten der Festplatte (bzw. einer Partition) verschlüsselt werden, ohne dass der Benutzer dies aktiv veranlassen muss. Eine Offline-Verschlüsselung wird explizit vom Benutzer initiiert. Er muss dann auch entscheiden, welche Dateien verschlüsselt werden sollen. Zur Auswahl und Nutzung von kryptographischen Verfahren sollte auch Baustein B 1.7 Kryptokonzept beachtet werden.

Für den Bereich der öffentlichen Verwaltung kann das BSI für den Einsatz auf stationären und tragbaren PCs ein Offline-Verschlüsselungsprogramm unter gewissen Randbedingungen zur Verfügung stellen, das den Sicherheitsanforderungen im Bereich des normalen Schutzbedarfs genügt.

Prüffragen:

  • Wird ein Verschlüsselungsalgorithmus eingesetzt, der ohne Kenntnis des verwendeten Schlüssels keine Möglichkeit zur Rekonstruktion des Klartextes zulässt?

  • Werden die verwendeten Schlüssel zufällig erzeugt? (Alternativ sind die Regeln aus M 2.11 Regelung des Passwortgebrauchs zu beachten)

  • Werden Daten und Schlüssel getrennt aufbewahrt?

Stand: 13. EL Stand 2013