🏠[[Startseite ISMS]]  
📘 Kapitel:[[01. Kontext und Führung]]

🔄 **Zuletzt geändert am:** `= dateformat(this.file.mtime, "dd.MM.yyyy HH:mm:ss")`

**Version:** 1.1  
**Datum:** [Aktuelles Datum]  
**Dokumenteverantwortung:** [[IT-Verantwortliche(r)]]

---

#### 1. Zweck der Richtlinie
Diese Richtlinie legt verbindliche Vorgaben für die Verschlüsselung von Daten und Kommunikation fest, um die Vertraulichkeit, Integrität und Verfügbarkeit geschäftlicher Informationen zu gewährleisten und unbefugten Zugriff zu verhindern. Sie unterstützt die Einhaltung gesetzlicher und regulatorischer Anforderungen, einschließlich DSGVO und DSG.

#### 2. Geltungsbereich
Die Richtlinie gilt für:
- Alle Mitarbeitenden, externen Dienstleister und Partner, die mit geschäftlichen Daten oder Kommunikationssystemen von Beispiel-Unternehmen GmbH arbeiten.
- Alle Geräte und Systeme, die geschäftliche Daten speichern, verarbeiten oder übertragen.

---

## 3. Anforderungen

### **3.1 Datenverschlüsselung**
- Alle vertraulichen und sensiblen Daten müssen verschlüsselt gespeichert werden:
  - Lokale Speichermedien (z. B. Laptops, USB-Sticks, externe Festplatten),
  - Cloud-Speicher und Dateifreigaben.
- Es dürfen ausschließlich von der [[IT-Verantwortliche(r)]] freigegebene Verschlüsselungsalgorithmen verwendet werden (z. B. AES-256 oder höher).
- Datenbanken mit sensiblen Informationen müssen sowohl in Ruhe (at rest) als auch während der Übertragung (in transit) verschlüsselt werden.

### **3.2 Kommunikationsverschlüsselung**
- E-Mails mit sensiblen oder vertraulichen Informationen müssen durch unternehmensweit freigegebene Tools (z. B. PGP oder S/MIME) verschlüsselt werden.
- Datenübertragungen, die geschäftliche Informationen enthalten, müssen über sichere Kommunikationsprotokolle erfolgen:
  - HTTPS für Webkommunikation,
  - SFTP für Dateiübertragungen,
  - VPN für Fernzugriffe.
- Unsichere Protokolle (z. B. FTP, Telnet) sind verboten.

### **3.3 Geräteverschlüsselung**
- Alle Unternehmensgeräte (z. B. Laptops, Smartphones, Tablets) müssen mit einer vollständigen Festplattenverschlüsselung ausgestattet sein.
- Externe Speichermedien (z. B. USB-Sticks, SD-Karten, externe Festplatten), die geschäftliche Daten enthalten, müssen verschlüsselt werden, bevor sie genutzt oder transportiert werden.
- Für BYOD-Geräte gelten die Anforderungen der [[01.52 BYOD-Richtlinie]].

### **3.4 Verwaltung von Verschlüsselungsschlüsseln**
- Verschlüsselungsschlüssel sind nach höchsten Sicherheitsstandards zu verwalten:
  - Speicherung in genehmigten, sicheren Systemen (z. B. Hardware Security Module (HSM), Schlüsseltresore).
  - Zugriff ausschließlich für autorisierte Mitarbeitende mit dokumentierter Zugangsberechtigung.
- Schlüsselwechsel erfolgt:
  - Regelmäßig, basierend auf den Anforderungen der Verschlüsselungstechnologie,
  - Sofort bei Verdacht auf Kompromittierung.
- Der Verlust oder Missbrauch eines Schlüssels ist unverzüglich dem [[IT-Verantwortliche(r)]] zu melden.

### **3.5 Nutzung von Passwörtern**
- Passwörter, die zur Verschlüsselung verwendet werden, müssen den Vorgaben der [[01.51 Passwort-Richtlinie]] entsprechen.
- Die Speicherung von Passwörtern in ungesicherten Dateien, Notizen oder Browsern ist untersagt.
- Passwort-Manager, die durch die [[IT-Verantwortliche(r)]] freigegeben sind, sollen verwendet werden.

### **3.6 Schulung und Sensibilisierung**
- Mitarbeitende, die Verschlüsselungssysteme nutzen, erhalten jährliche Schulungen zur sicheren und effektiven Anwendung.
- Schulungsthemen umfassen:
  - Grundlagen der Verschlüsselung,
  - Praktische Anwendung in E-Mails und Datenübertragungen,
  - Verwaltung von Schlüsseln und Passwörtern.
- Neue Mitarbeitende werden im Rahmen des Onboardings in die Verschlüsselungsanforderungen eingeführt.

### **3.7 Überprüfung und Audit**
- Die Einhaltung der Verschlüsselungsrichtlinie wird regelmäßig durch Audits und Stichproben überprüft.
- Die [[IT-Verantwortliche(r)]] bewertet mindestens jährlich die Aktualität und Sicherheit der eingesetzten Verschlüsselungstechnologien und dokumentiert die Ergebnisse.
- Veraltete oder unsichere Verschlüsselungsmethoden sind unverzüglich durch aktuelle Standards zu ersetzen.

---

## 4. Überprüfung und Aktualisierung
- Diese Richtlinie wird mindestens einmal jährlich durch den/die [[IT-Verantwortliche(r)]] auf Aktualität und Wirksamkeit überprüft.
- Änderungen in gesetzlichen oder regulatorischen Anforderungen oder technologische Fortschritte führen zu einer frühzeitigen Überarbeitung.

---

🏷️ **Tags:**  
- #Verschlüsselung #Datenverschlüsselung #SichereKommunikation #ISO_Kontrolle_8_24 #ISO_Kontrolle_8_9
