🏠[[Startseite ISMS]]  
📘 Kapitel:[[02. Risikoanalyse und Maßnahmen]]

🔄 **Zuletzt geändert am:** `= dateformat(this.file.mtime, "dd.MM.yyyy HH:mm:ss")`

**Version:** 1.1  
**Datum:** [Aktuelles Datum]  
**Dokumenteverantwortung:** [[IT-Verantwortliche(r)]]

---

## 1. Zweck des Dokuments
Dieses Dokument beschreibt die kryptografischen Maßnahmen der Beispiel-Unternehmen GmbH. Ziel ist es, sensible Daten vor unbefugtem Zugriff zu schützen und die Vertraulichkeit, Integrität und Verfügbarkeit zu gewährleisten. Es definiert Anforderungen an die Datenverschlüsselung, Standards und die sichere Verwaltung kryptografischer Schlüssel.

## 2. Verknüpfung mit ISMS-Richtlinien
Die kryptografischen Maßnahmen basieren auf:
- [[01.57 Verschlüsselungsrichtlinie]]
- [[01.51 IT-Sicherheitsrichtlinie]]

---

## 3. Verschlüsselungsrichtlinien

### 3.1 Datenverschlüsselung
- **Im Ruhezustand (Data at Rest)**:
  - Alle sensiblen Daten, die auf lokalen Speichermedien oder Servern gespeichert sind, müssen mit AES-256 verschlüsselt werden.
  - Cloud-Dienste dürfen nur verwendet werden, wenn die gespeicherten Daten serverseitig oder clientseitig verschlüsselt sind.
- **Bei der Übertragung (Data in Transit)**:
  - Datenübertragungen erfolgen ausschließlich über verschlüsselte Verbindungen (z. B. HTTPS, TLS 1.2+).
  - Der Einsatz von unsicheren Protokollen wie FTP ist untersagt.

### 3.2 Verschlüsselungsstandards
- Verwendete Verschlüsselungsalgorithmen müssen den aktuellen Sicherheitsstandards entsprechen:
  - **Symmetrische Verschlüsselung**: AES-256.
  - **Asymmetrische Verschlüsselung**: RSA mit einer Schlüssellänge von mindestens 2048 Bit.
  - **Hashing-Algorithmen**: SHA-256 oder besser.
- **Regelmäßige Überprüfung**:
  - Alle genutzten Algorithmen und Protokolle werden jährlich auf ihre Sicherheit geprüft.

---

## 4. Schlüsselverwaltung

### 4.1 Erstellung und Verwaltung von Schlüsseln
- Kryptografische Schlüssel werden ausschließlich mit vom Unternehmen genehmigten Tools generiert.
- Die Erstellung, Verteilung und Speicherung erfolgt gemäß den Standards der [[01.57 Verschlüsselungsrichtlinie]].

### 4.2 Schlüsselrotation
- Symmetrische und asymmetrische Schlüssel müssen mindestens alle **12 Monate** gewechselt werden.
- Alte Schlüssel werden gemäß den Protokollen sicher gelöscht.

### 4.3 Zugriff und Schutz
- Der Zugriff auf kryptografische Schlüssel ist auf die [[IT-Verantwortliche(r)]] und autorisierte Personen beschränkt.
- Schlüssel müssen in einer **Hardware Security Module (HSM)** oder einer gleichwertig sicheren Lösung gespeichert werden.

---

## 5. Überprüfung und Optimierung

### 5.1 Überprüfung der Verschlüsselung
- Jährliche Audits stellen sicher, dass alle eingesetzten Verschlüsselungsmethoden den aktuellen Anforderungen entsprechen.
- Die Einhaltung der Standards wird durch externe oder interne Sicherheitsprüfungen validiert.

### 5.2 Optimierung
- Bei Schwachstellen in Verschlüsselungsverfahren oder neuen technischen Möglichkeiten (z. B. Quantencomputing) wird die Verschlüsselungsstrategie umgehend angepasst.

---

## 6. Verantwortlichkeiten

- **[[IT-Verantwortliche(r)]]**:
  - Umsetzung und Überwachung der kryptografischen Maßnahmen.
  - Verwaltung und Schutz kryptografischer Schlüssel.
- **[[Geschäftsführung]]**:
  - Freigabe der Verschlüsselungsstrategie und Budgetierung erforderlicher Sicherheitslösungen.

---

## 7. Verknüpfte Dokumente
- [[01.57 Verschlüsselungsrichtlinie]]
- [[01.51 IT-Sicherheitsrichtlinie]]

---

🏷️ **Tags:**  
- #ISO_Kontrolle_A_10  #Verschlüsselung_kryptografische_Maßnahmen  
- #Schlüsselmanagement_Schutz_Datenintegrität
