Verschlüsselung

Das BSI spricht seine Empfehlungen in der Technischen Richtlinie TR-02102-1, Version 2026-01 vom 23. Januar 2026, ausdrücklich nur bis Ende 2032 aus – jede Prognose über sechs bis sieben Jahre hinaus gilt dort als unzuverlässig. Für die klassischen Schlüsseleinigungsverfahren RSA, DH und ECDH endet die Empfehlung für den alleinigen Einsatz bereits Ende 2031. Daraus folgt eine Bauanforderung, die das BSI Kryptoagilität nennt: Das System muss das Verfahren wechseln können, ohne neu gebaut zu werden.

Die Benachrichtigung der betroffenen Personen. Artikel 34 Absatz 3 Buchstabe a DSGVO nennt Verschlüsselung ausdrücklich als Vorkehrung, die Daten für Unbefugte unzugänglich macht und die Benachrichtigung damit entbehrlich werden lässt. Die Meldung an die Aufsichtsbehörde binnen 72 Stunden nach Artikel 33 Absatz 1 DSGVO entfällt dagegen nur, wenn ein Risiko für die Betroffenen unwahrscheinlich ist. Beide Erleichterungen setzen voraus, dass der Schlüssel nicht mit abgeflossen ist.

Ja, solange irgendwo ein Schlüssel existiert. Verschlüsselte Personendaten sind pseudonymisiert im Sinne von Artikel 4 Nummer 5 DSGVO, und Erwägungsgrund 26 rechnet Daten, die sich mit Zusatzwissen wieder zuordnen lassen, ausdrücklich den personenbezogenen Daten zu. Auskunft, Löschung, Verzeichnis der Verarbeitungstätigkeiten und Auftragsverarbeitungsvertrag gelten damit unverändert weiter. Anonym wird ein Datensatz erst, wenn niemand mehr über den Schlüssel verfügt – bis dahin mindert Verschlüsselung das Risiko, nicht die Pflichten.

Nein. Verschlüsselung schützt die Vertraulichkeit, nicht die Verfügbarkeit: Ein Erpressungstrojaner verschlüsselt seinerseits und macht die Daten unbrauchbar, gleich ob sie vorher verschlüsselt lagen. Wirksam ist allein eine Kopie, die der Angreifer von seinem Zugang aus nicht erreicht. Eines leistet Verschlüsselung dennoch: Sie entzieht der zweiten Stufe solcher Angriffe – der Drohung, die abgezogenen Daten zu veröffentlichen – die Grundlage, sofern der Schlüssel unerreichbar blieb.

Bei normalem Risiko ja: Die Datenschutzkonferenz verlangt in ihrer Orientierungshilfe zum E-Mail-Versand eine obligatorische Transportverschlüsselung. Stellt der Bruch der Vertraulichkeit ein hohes Risiko dar – Gesundheitsangaben, Bewerbungen, Kontodaten –, fordert sie zusätzlich Ende-zu-Ende-Verschlüsselung und eine qualifizierte Transportverschlüsselung. Die Einstufung des Risikos ist damit die eigentliche Entscheidung, und sie gehört dokumentiert, statt dem Mailprogramm überlassen zu werden.