Ohne Verschlüsselung keine sichere Datenübertragung im Internet. Doch welche Verfahren sind sicher genug für Ihre Firmendaten? Erfahren Sie hier, was eine hybride Verschlüsselung ist und welche Stärken und Schwächen sie hat.
E-Mails, Kundendaten und auch Ihre letzte Online-Bestellung beim Lieferanten: Im Internet werden jeden Tag viele Milliarden vertraulicher Daten versendet. Damit Passwörter und Codeschlüssel nicht in falsche Hände geraten, gibt es verschiedene Verschlüsselungsarten. Die hybride Verschlüsselung kombiniert gleich mehrere.
Die hybride Verschlüsselung ist eine im Internet und vielen anderen Datennetzen verbreitete Verschlüsselung, die mehrstufig arbeitet und dabei unterschiedliche Verschlüsselungsverfahren verwendet.
Üblicherweise kombiniert sie je ein symmetrisches und ein asymmetrisches Verschlüsselungsverfahren, um von deren jeweiligen Stärken zu profitieren. Theoretisch gibt es dabei sehr viele mögliche Paarungen. In der Praxis haben sich jedoch bestimmte Kombinationen etabliert.
Zusammen mit dem Internetprotokoll http für Internetseiten bildet TLS das verschlüsselte Übertragungsprotokoll https, über das heute mehr als 95 Prozent aller Webseiten verschlüsselt übertragen werden. Jedes Mal, wenn Sie in Ihrem Browser das Schlosssymbol für eine solche sichere https-Webverbindung sehen, nutzen sie also auch das hybride TLS-Protokoll.
Auch IPsec, eine Sammlung mehrerer Verschlüsselungsprotokolle für das Internet, greift beim Aufbau sogenannter Virtual Private Networks (VPN) auf eine mehrstufige hybride Verschlüsselung zurück. Ein solches VPN können Sie beispielsweise verwenden, um aus Ihrem Homeoffice heraus über das öffentliche Internet eine sichere verschlüsselte Verbindung mit Ihrem Firmennetz aufzubauen.
Lookout: Die Sicherheitslösung für mobile Endgeräte
Schützen Sie Ihre gemeinschaftlich genutzten mobilen Endgeräte ganz einfach mit der Lookout-App vor Cyber-Angriffen.
Installieren Sie einfach die Lookout-App auf allen mobilen Geräten Ihres Unternehmens. Oder integrierten Sie Lookout Advanced in Ihre bestehenden Unified Endpoint Management-Lösungen (UEM) und steuern somit den einfachen Roll-Out in Ihrer mobilen Flotte.
Moderne Computersysteme ermöglichen dank ihrer hohen Rechenleistung inzwischen eine sehr leistungsfähige Verschlüsselung von Texten und auch Bild- und Tondaten – sogar in Echtzeit. Aktuelle symmetrische Verschlüsselungsverfahren arbeiten hierbei mit einer mehrstufigen Verschlüsselung und teilweise sehr langen Codeschlüsseln, sodass diese Verfahren auch durch Häufigkeitsanalysen nicht mehr zu knacken sind.
Bei einer Häufigkeitsanalyse suchen Codebrecher gezielt nach Zeichen, die in einem verschlüsselten Text besonders häufig zu finden sind. Da in deutschen Texten die Buchstaben E, N und I am häufigsten vorkommen, entsprechen die drei häufigsten Zeichen eines einfach verschlüsselten Dokumentes mit hoher Wahrscheinlichkeit diesen drei Buchstaben des unverschlüsselten Originaltextes. Aktuelle Verschlüsselungsverfahren berücksichtigen dies und verschlüsseln die Buchstaben bei jedem Vorkommen im Text anders.
Ein viel gravierenderes Problem jeglicher Verschlüsselung ist allerdings das sogenannte Schlüsselaustauschproblem. Hierunter verstehen Kryptograph:innen die Notwendigkeit, vor jeder verschlüsselten Übertragung zuerst den eigentlichen Codeschlüssel im Klartext an den:die Empfänger:in zu übermitteln.
Im Internet, wo theoretisch jede Verbindung von Dritten mitgelesen werden kann, gibt es hierfür jedoch keinen sicheren Übertragungsweg. Eine separate Übermittlung des Schlüssels in einem versiegelten Umschlag, wie sie früher häufig genutzt wurde, scheidet aus praktischen und zeitlichen Gründen meist aus.
Daher kombinieren hybride Verschlüsselungsverfahren die symmetrische Verschlüsselung mit einer vorherigen asymmetrischen Verschlüsselung, die ausschließlich für die Übertragung von Codeschlüsseln genutzt wird. Denn bei asymmetrischen Verfahren gibt es kein Schlüsselaustauschproblem.
Asymmetrische Verschlüsselungsverfahren heißen deswegen so, weil sie ihre Inhalte nicht mit ein und demselben Codeschlüssel ver- und entschlüsseln, sondern immer ein Paar aus zwei zusammenhängenden Schlüsseln verwenden. Das Erzeugen solcher Codeschlüssel ist rechenaufwändig und basiert unter anderem auf der Kombination zweier Primzahlen.
Wird ein Dokument mit einem asymmetrischen Schlüssel aus einem solchen Paar verschlüsselt, so kann es nur mit dem jeweils anderen zugehörigen Codeschlüssel wieder entschlüsselt werden. Die Verschlüsselung ist somit asymmetrisch, weil sie zwei verschiedene Schlüssel für die Ver- und Entschlüsselung nutzt.
In der Praxis funktioniert die hybride Verschlüsselung über das Internet wie folgt: Kommunikationspartner:in 1 erzeugt auf dem eigenen Computer ein asymmetrisches Schlüsselpaar und sendet einen der beiden Schlüssel, den sogenannten „öffentlichen Schlüssel“ über das Internet an Kommunikationspartner:in 2.
Dieser Schlüssel könnte unterwegs theoretisch von Dritten mitgelesen werden. Doch das ist keine Gefahr, denn der andere Schlüssel, der sogenannte „private Schlüssel“ verbleibt sicher auf dem Computer von Kommunikationspartner:in 1.
Nun nutzt Kommunikationspartner:in 2 diesen öffentlichen Schlüssel, um damit einen dritten Schlüssel zu kodieren und sendet diese verschlüsselte Information an Kommunikationspartner:in 1.
Einzig Kommunikationspartner:in 1 ist nun in der Lage, mit dem geheim gehaltenen privaten Schlüssel das Datenpaket wieder zu entschlüsseln und daraus den dritten Schlüssel zu entnehmen. Beide Seiten verfügen ab diesem Zeitpunkt also über einen sicher ausgetauschten dritten Schlüssel, den sie jetzt verwenden können, um damit weitere Dokumente verschlüsselt auszutauschen.
Der große Vorteil der asymmetrischen Verschlüsselung ist also, dass Kommunikationspartner:innen auch über das Internet eine sicher verschlüsselte Verbindung aufbauen können, ohne dass sie zuvor zu irgendeinem Zeitpunkt den privaten Codeschlüssel zum Entschlüsseln übermitteln müssen.
In einem mehrstufigen Verfahren tauschen Kommunikationspartner:innen zuerst mithilfe einer asymmetrischen Verschlüsselung öffentliche Schlüssel aus, um damit einen Codeschlüssel (Sitzungsschlüssel) für die symmetrische Verschlüsselung zu übertragen.
Der dritte Schlüssel ist ein symmetrischer Schlüssel. Mit diesem können die beiden Seiten also im weiteren Verlauf der Kommunikation ihre Inhalte sowohl ver-, als auch auf der Gegenseite wieder entschlüsseln. Dieser Schlüssel wird auch als Sitzungsschlüssel (englisch: session key) bezeichnet, weil er nur für diese eine Sitzung (Verbindung) neu erzeugt und anschließend nicht mehr verwendet wird.
Theoretisch könnte man die gesamte Kommunikation auch mithilfe asymmetrischer Schlüsselpaare weiterführen, indem beide Seiten jeweils öffentliche Schlüssel der Gegenseite für die Informationen verwenden, die sie versenden wollen.
Allerdings sind asymmetrische Verfahren zu langsam, um damit größere Dokumente oder gar Videodateien in Echtzeit zu verschlüsseln. Mit symmetrischen Schlüsseln ist dies hingegen kein Problem. Sie sind je nach verwendetem Algorithmus um das bis zu tausendfache schneller als asymmetrische Verfahren. Daher erfolgt der weitere Datenaustausch im Kommunikationsverlauf üblicherweise mithilfe des symmetrischen dritten (Sitzungs-)Schlüssels.
Authentifizierung im Internet
Asymmetrische Verfahren bieten noch einen weiteren Vorteil: Sie können nämlich auch für die Authentifizierung von Kommunikationspartner:innen genutzt werden. Hierzu wird der öffentliche Schlüssel einer Person einmalig bei einer Zertifizierungsstelle hinterlegt. Diese Stelle zertifiziert den öffentlichen Schlüssel dann als echt.
Hierfür prüft die Zertifizierungsstelle beispielsweise Personaldokumente des:der Antragsteller:in oder nutzt ein Netzwerk aus Personen und Institutionen, die sich untereinander kennen und die Authentizität ihrer öffentlichen Schlüssel gegenseitig bestätigen (sogenanntes „Web of Trust“). Einige Systeme verzichten auch ganz auf Zertifizierungsstellen und setzen ausschließlich auf das Web of Trust.
Eine Person oder Organisation kann ihren öffentlichen Schlüssel von einer Zertifizierungsstelle bestätigen lassen und so Dokumente im Internet veröffentlichen, die später eindeutig dieser Person oder Organisation zugeordnet werden können. Selbst eine Manipulation eines Dokumentes durch Dritte würde hierbei auffallen.
Unterzeichnet nun eine Person oder Organisation mit ihrem privaten Schlüssel digital ein Dokument und versendet es über das Internet, so lässt sich mithilfe des öffentlichen Schlüssels überprüfen, ob diese Person oder Organisation tatsächlich Absender:in des Dokumentes ist. Denn nur der:die Inhaber:in des privaten Schlüssels kann Informationen so digital unterzeichnen, dass der zugehörige öffentliche Schlüssel die Echtheit der Unterschrift bestätigt. Damit ist die Herkunft eines Dokumentes eindeutig belegbar.
Einige hybride Verfahren nutzen die asymmetrische Verschlüsselung daher auch, um zuerst die Identität der Gegenseite zu überprüfen, bevor sie per symmetrischer Verschlüsselung Inhalte mit dieser Gegenseite austauschen. So können Banken und Onlineshops beispielsweise sicherstellen, dass sie sensible Daten nur an ihre Kund:innen übermitteln.
Nicht immer werden zwingend Zertifizierungsstellen zur Authentifizierung benötigt. Oft werden auch andere Sicherheitsmechanismen wie die 2-Faktor-Authentifizierung mit Schlüsselpaaren kombiniert, um die Identität von Kund:innen zu überprüfen.
Microsoft Defender für Unternehmen
Mittelständische Unternehmen sind anfällig für Cyber-Bedrohungen. Sie haben weniger Ressourcen und meist wenige IT-Fachkräfte. Hybrides Arbeiten vergrößert diese Angriffsfläche. Wir helfen Ihnen – mit dem Microsoft Defender für Unternehmen.
Schutz vor Ransomware, Phishing und anderen Bedrohungen
Optimal für IT-Admins in kleinen und mittleren Unternehmen
In Microsoft 365 Business Premium als zusätzlicher Schutz für Office-Anwendungen bereits enthalten
Hybride Verschlüsselungsverfahren kombinieren die Vorteile der asymmetrischen und der symmetrischen Verschlüsselung:
Kommunikationsparter:innen können Codeschlüssel auch über öffentliche Netze sicher miteinander austauschen und so das Schlüsselaustauschproblem vermeiden.
Personen und Organisationen können sich mit mithilfe ihrer Schlüsselpaarung untereinander sicher authentifizieren.
Mithilfe der symmetrische Verschlüsselungskomponente können auch große Datenmengen in Echtzeit verschlüsselt und übertragen werden.
Die hybride Verschlüsselung ist sehr kostengünstig und nahezu alle Browser sowie Web- und E-Mailserver unterstützen sie. Sie wird deshalb inzwischen bei der Mehrzahl der Datenübertragungen im Internet genutzt.
Mittels hybrider Verschlüsselung werden auch verteilte Authentifizierungsverfahren möglich: Nutzer:innen etablieren beispielsweise über ein rechenaufwendiges asymmetrisches Verfahren eine sichere Verbindung. Nach Erhalt des Sitzungsschlüssels wird die Kommunikation dann symmetrisch über leistungsschwächere Endgeräte des „Internet of Things“ (IoT) weitergeführt, deren Rechenleistung für eine asymmetrischen Verschlüsselung nicht ausreichen würde.
Schützen Sie Ihr Unternehmen
Cyberangriffe gehören zu den größten Geschäftsrisiken in Deutschland. Viele dieser Angriffe starten mit Phishing-Attacken über mobile Endgeräte. Attacken auf Ihr Unternehmen können schwerwiegende Folgen für Ihre Produktivität und Ihren geschäftlichen Erfolg haben:
Datenmanipulation, -verlust und -diebstahl
Enorme finanzielle Schäden
Verlust von Vertrauen Ihrer Kund:innen und Partner
Praxisbeispiele für den Einsatz hybrider Verschlüsselung
Weil die hybride Verschlüsselung so viele Vorteile bietet, ist sie inzwischen längst zum Regelfall für die sichere Kommunikation im Internet geworden. Neben den beiden bereits eingangs erwähnten Verfahren https (mit TLS-Verschlüsselung) und IPsec gibt es hierfür noch weitere Beispiele:
So nutzt das bereits 1991 von Phil Zimmermann entwickelte Verschlüsselungsprogramm Pretty Good Privacy (PGP) für E-Mails und andere Nachrichtenformate asymmetrische Verschlüsselung beim Schlüsseltausch und der Authentifizierung sowie eine symmetrische Verschlüsselung für den eigentlichen Nachrichtenverkehr. Da PGP heute nicht mehr quelloffen und kostenlos verfügbar ist, sondern nach mehreren Firmenübernahmen in andere Produkte des Herstellers Symantic integriert ist, gibt es inzwischen zahlreiche Alternativen ähnlicher Machart, beispielsweise GnuPGP.
Für bekannte Mailprogramme wie Thunderbird, Apple Mail und K9 stehen außerdem Plugins zur Verfügung, um die Verschlüsselung im kostenfreien OpenPGP-Format zu integrieren.
Auch das von vielen E-Mail-Programmen und -servern verwendete Verschlüsselungsverfahren Secure/Multipurpose Internet Mail Extensions (S/MIME) arbeitet mit einer asymmetrischen Verschlüsselung, die üblicherweise mit symmetrischen Verfahren kombiniert wird. Da hier ausschließlich sogenannte vertrauenswürdige Zertifizierungsstellen (CA) die Schlüsselpaare und Zertifikate ausgestellt werden, empfiehlt das Bundesamt für Sicherheit in der Informationstechnik (BSI) S/MIME auch für den Gebrauch in Unternehmen und Behörden.
Die hier genannten asymmetrischen Verfahren, die für Schlüsselaustausch und Authentifizierung genutzt werden, gelten allgemein als sehr sicher. Sie erzeugen ihre Schlüsselpaare mithilfe mathematischer Verfahren, die mit herkömmlichen Rechenoperationen nicht in vertretbarer Zeit rückrechenbar sind. Voraussetzung hierfür ist allerdings die Verwendung mindestens 1024 Bit langer Schlüsselpaare.
Technisch bedingt stehen bei der asymmetrischen Verschlüsselung nicht alle mit den 1024 Bit darstellbaren Schlüssel auch tatsächlich zur Verfügung, weshalb asymmetrische Schlüssel länger sein müssen als vergleichbar sichere symmetrische Schlüssel.
Die bekannten asymmetrischen Verfahren werden heute als „pragmatisch sicher“ bezeichnet. Das bedeutet, dass sie bisher in der Praxis nicht geknackt wurden. Allerdings sind sie nicht quantensicher. Sie könnten somit in Zukunft entschlüsselt werden, sobald entsprechende Quantencomputer verfügbar sind, die diese Rückwärtsberechnungen voraussichtlich sehr schnell erledigen können. Außerdem besteht immer ein Restrisiko, dass neue mathematische Rechenwege gefunden werden, mit denen Schlüssel schneller rückrechenbar werden.
Nicht zuletzt sind bei einigen Kryptographiesystemen die Zertifizierungsverfahren selbst kompromittiert, sprich: Sie setzen aus Kosten- oder Bequemlichkeitsgründen lediglich auf eine gegenseitige Zertifizierung der Nutzer:innen. Ein solches Web of Trust ohne zentrale Instanz bietet jedoch keinen hinreichenden Schutz beispielsweise gegen Verwendung gestohlener Mailadressen, weshalb Datenschutzexpert:innen davon ausgehen, dass mittlerweile große Teil des Web of Trust aus gefälschten Identitäten bestehen.
Hier kommt die hybride Verschlüsselung ohne ausreichende Zertifizierung an Grenzen. Sie sollten daher misstrauisch werden, wenn potenzielle Geschäftspartner beispielsweise Geldgeschäfte über hybride Verschlüsselungsverfahren abwickeln möchten, ohne dass dahinter ein etablierter und bekannt sicherer Standard steht.
Empfohlener externer Inhalt
Hier ist ein Video-Inhalt von YouTube. Er ergänzt die Informationen auf dieser Seite. Sie können ihn mit einem Klick anzeigen und wieder ausblenden.
Ich bin einverstanden, dass externe Inhalte angezeigt werden. So können personenbezogene Daten an Drittplattformen übermittelt werden. Mehr in unserer Datenschutzerklärung.
Das Wichtigste zu hybrider Verschlüsselung in Kürze
Eine Kombination aus symmetrischer und asymmetrischer Verschlüsselung wird als hybride Verschlüsselung bezeichnet.
Hybride Verschlüsselung kombiniert die Vorteile beider Verschlüsselungsarten und ermöglicht so eine sichere Schlüsselübertragung mit hohen Verschlüsselungsraten.
Mit entsprechend zuverlässigen Zertifizierungsstellen im Hintergrund erlaubt die hybride Verschlüsselung eine sichere Authentifizierung auch über das Internet.
Viele Kommunikationsprotokolle im Internet wie das Aufrufen von Webseiten per https, der Aufbau von VPN mittels IPsec oder die E-Mail-Zertifizierung unter S/MIME setzen auf eine hybride Verschlüsselung.
Allianz für Cyber-Sicherheit erklärt: Strategien und Maßnahmen
Know-how und Erfahrungsaustausch sind wichtig, damit deutsche Unternehmen gut gegen die wachsenden Bedrohungen durch Wirtschaftskriminalität und Cyberkrieg gewappnet sind. Die Allianz für Cyber-Sicherheit hat dafür eine kooperative Plattform geschaffen. Sie bietet neben aktuellen Informationen, Toolkits und Seminaren auch Beratung und Hilfe bei der Bewältigung von Sicherheitsvorfällen. Wie Ihr Unternehmen davon profitieren kann, erfahren Sie hier.
Die Allianz für Cyber-Sicherheit (ACS) ist eine Initiative des Bundesamtes für Sicherheit in der Informationstechnik (BSI). Sie wurde in Zusammenarbeit mit dem Branchenverband der deutschen Informations- und Telekommunikationsbranche BITKOM ins Leben gerufen. Ziel der ACS ist es, deutsche Unternehmen, Behörden und Organisationen besser vor Cyberangriffen zu schützen.
Ein Fokus der ACS liegt darauf, den Austausch und die Kooperation zwischen IT-Verantwortlichen zu fördern, das Sicherheitsbewusstsein in Unternehmen zu schärfen und dafür relevante Informationen zur Verfügung zu stellen. Zudem arbeitet die Allianz daran, globale Cyber-Bedrohungen besser zu verstehen, um diese abzuwehren. Dies betrifft auch Risiken, die Lieferketten mit sich bringen können.
So wichtig sind Security-Awareness-Trainings für Unternehmen
Die Cybergefahren nehmen für Unternehmen immer mehr zu. Im Jahr 2023 waren über die Hälfte der deutschen Unternehmen einer Cyberattacke ausgesetzt – Tendenz steigend. Unzureichende Sicherheitsmaßnahmen in der IT sind eine Schwachstelle, die Angreifer:innen ausnutzen. Daneben setzen die Kriminellen vor allem auf den Faktor Mensch, denn Unwissenheit und Fahrlässigkeit ebnen häufig den Weg für Datendiebstahl und Erpressung. Mit Security-Awareness-Trainings können Sie dieses Risiko in Ihrem Unternehmen signifikant reduzieren. Denn nur eine geschulte Belegschaft erkennt Gefahren im digitalen Raum rechtzeitig.
Viele Führungskräfte erwarten nach einer repräsentativen Befragung des Branchenverbands Bitkom zukünftig sogar einen Anstieg von Cyberattacken auf ihr Unternehmen. Ihre Cybersecurity-Strategie sollte deshalb zwei Standbeine haben: technische Maßnahmen und geschulte Mitarbeiter:innen. So verhindern Sie, dass aus einem unbedachten Klick auf einen vermeintlich harmlosen Link plötzlich ein Millionenschaden entsteht.
Was genau Security-Awareness-Trainings sind, welche Inhalte sie vermitteln und welche Schulungsform die beste für Ihr Unternehmen ist, erfahren Sie in diesem Artikel.
Unternehmen schützen ihre Daten effizient mit inkrementellen Back-ups. Diese Methode spart Zeit und Speicherplatz in Ihrer IT-Infrastruktur. Entdecken Sie, wie inkrementelle Back-ups funktionieren und welche Vorteile sie Ihrem Unternehmen bieten.
Datensicherungen sind unverzichtbar, aber oft zeitaufwendig. Inkrementelle Back-ups bieten hier eine smarte Lösung. Sie sichern nur die Daten, die sich seit Ihrem letzten Back-up geändert haben. Wie Sie dadurch Speicherplatz sparen und den Sicherungsprozess erheblich beschleunigen, erfahren Sie in diesem Artikel.
Wächst ein Unternehmen, so wächst meist auch das Firmennetz. Doch nach welchem Prinzip vergeben Sie am besten die Zugriffsrechte für Ihre Mitarbeiter:innen? Vielleicht haben Sie schon einmal von Role Based Access Control (RBAC) gehört.
Das Rechtemanagement in Computernetzen ist immer eine Gratwanderung. Zu viele Rechte für alle gefährden die Netzwerksicherheit und können im schlimmsten Fall die Ausbreitung von Malware begünstigen. Zu wenige Rechte behindern hingegen Ihre Mitarbeiter:innen bei der täglichen Arbeit und führen zu vermehrten Anfragen bei Ihrer Unternehmens-IT. Gibt es das ideale Modell für die Rechtevergabe in Firmennetzen?
Next Generation Firewalls (NGFWs) gehen über die Funktionen herkömmlicher Firewalls weit hinaus und bieten mehr Schutz für Unternehmensnetzwerke. Erfahren Sie hier, wie NGFWs mit neuen Filterfunktionen und anwendungsbezogene Datenanalysen auch komplexe Malware und Cyberbedrohungen erkennen – und in Echtzeit abwehren.
IT-Umgebungen von Unternehmen sind zunehmend auf lokale Rechenzentren sowie private, hybride und Multi-Cloud-Umgebungen verteilt. Mitarbeiter:innen nutzen betriebliche und private Geräte und arbeiten häufig von verschiedenen Standorten aus. Klassische Betriebsgrenzen erweitern sich. Reaktive Sicherheitsmaßnahmen reichen da nicht aus, auch weil Cyberkriminelle immer raffinierter vorgehen, auch mithilfe künstlicher Intelligenz (KI).
Firewalls der nächsten Generation verfügen über verbesserte Filterfunktionen durch Deep Packet Inspection (DPI) und können selbst ausgeklügelte Angriffe abwehren. Sie können auch Bedrohungen identifizieren, die sich im autorisierten Datenverkehr verstecken.
