Zum Hauptinhalt springen
CENEDRIL WIKI
EN
Annex A · Technologische Kontrolle

A.8.24 — Verwendung von Kryptographie

Aktualisiert am 3 Min. Geprüft von: Cenedril-Redaktion
A.8.24 ISO 27001ISO 27002BSI CON.1

Verschlüsselung ist überall — in TLS-Verbindungen, Festplattenverschlüsselung, E-Mail-Signaturen, VPN-Tunneln, Datenbank-Encryption. Aber die Frage ist: Welche Algorithmen? Welche Schlüssellängen? Wer verwaltet die Schlüssel? Was passiert bei Schlüsselverlust? A.8.24 verlangt eine Kryptographierichtlinie, die den effektiven Einsatz von Kryptographie regelt — einschließlich des gesamten Schlüssellebenszyklus.

Kryptographie falsch eingesetzt ist schlimmer als keine Kryptographie: Sie erzeugt ein falsches Sicherheitsgefühl. Ein veralteter Algorithmus, ein Schlüssel im Klartext auf dem Server oder ein fehlendes Schlüsselbackup können den gesamten Schutz zunichtemachen.

Was verlangt die Norm?

  • Kryptographierichtlinie erstellen. Dokumentierte Regeln für den Einsatz von Verschlüsselung: Algorithmen, Schlüssellängen, Einsatzszenarien.
  • Schlüsselmanagement definieren. Den gesamten Schlüssellebenszyklus regeln: Erzeugung, Verteilung, Speicherung, Rotation, Widerruf, Vernichtung.
  • Verfahren bei Kompromittierung. Dokumentierte Schritte für den Fall, dass ein Schlüssel kompromittiert oder verloren wird.
  • Rechtliche Anforderungen beachten. Exportbeschränkungen, regulatorische Vorgaben und vertragliche Anforderungen an Kryptographie berücksichtigen.
  • Auswirkungen auf andere Kontrollen. Verschlüsselter Traffic kann Security-Monitoring erschweren — diese Wechselwirkung muss gemanagt werden.

In der Praxis

Kryptographierichtlinie mit Mindeststandards. Definiere Mindestanforderungen: TLS 1.2+ für alle Verbindungen, AES-256 für ruhende Daten, RSA-2048+ oder ECDSA-256+ für Zertifikate, SHA-256+ für Hashing. Verbiete explizit veraltete Algorithmen.

Zentrales Schlüsselmanagement aufbauen. Schlüssel gehören in einen Hardware Security Module (HSM) oder einen Secrets Manager (HashiCorp Vault, AWS KMS, Azure Key Vault). Nie auf Dateisystemen im Klartext, nie in Quellcode-Repositories, nie in Konfigurationsdateien.

Schlüsselrotation automatisieren. Zertifikate und Schlüssel regelmäßig rotieren. Automatische Rotation über ACME (Let’s Encrypt), Vault oder cloud-native Dienste verhindert abgelaufene Zertifikate und reduziert das Fenster bei Kompromittierung.

Kryptographie-Inventur durchführen. Alle Systeme auf eingesetzte Algorithmen prüfen. TLS-Scanner (testssl.sh, Qualys SSL Labs) für externe Dienste, interne Audits für Datenbank-Verschlüsselung, Festplattenverschlüsselung und Anwendungskrypto. Veraltete Algorithmen dokumentieren und ablösen.

Typische Audit-Nachweise

Auditoren erwarten bei A.8.24 typischerweise diese Nachweise:

  • Kryptographierichtlinie — dokumentierte Standards und Verbote (→ Kryptographierichtlinie im Starter Kit)
  • Kryptographieregister — Inventar aller kryptographischen Implementierungen (→ Kryptographieregister im Starter Kit)
  • Schlüsselmanagement-Dokumentation — Verfahren für den Schlüssellebenszyklus
  • TLS-Scan-Ergebnisse — Nachweis aktueller Verschlüsselungsstandards
  • Zertifikats-Übersicht — alle aktiven Zertifikate mit Ablaufdatum und Verantwortlichkeit

KPI

Anteil der kryptographischen Implementierungen gemäß Kryptographierichtlinie

Gemessen als Prozentsatz: Wie viele deiner kryptographischen Implementierungen erfüllen die in der Richtlinie definierten Mindeststandards? Ziel: 100%.

Ergänzende KPIs:

  • Anzahl der Systeme mit veralteten Algorithmen (Ziel: 0)
  • Anteil der Zertifikate mit automatisierter Rotation
  • Anzahl der abgelaufenen Zertifikate in den letzten 12 Monaten (Ziel: 0)

BSI IT-Grundschutz

A.8.24 mappt auf den BSI-Baustein für Kryptographie:

  • CON.1 (Kryptokonzept) — der Kernbaustein. Verlangt ein dokumentiertes Kryptokonzept mit Algorithmenauswahl, Schlüsselmanagement, Einsatzszenarien und regelmäßiger Überprüfung der eingesetzten Verfahren.

Verwandte Kontrollen

Quellen

Häufig gestellte Fragen

Muss ich eine eigene Kryptographierichtlinie haben?

Ja. Die Norm verlangt dokumentierte Regeln für den Einsatz von Kryptographie — einschließlich Algorithmenauswahl, Schlüssellängen, Schlüsselmanagement und Nutzungsszenarien. Die Richtlinie definiert den verbindlichen Standard für die gesamte Organisation.

Welche Algorithmen sind aktuell empfohlen?

AES-256 für symmetrische Verschlüsselung, RSA-2048+ oder ECDSA-256+ für asymmetrische, SHA-256+ für Hashing, TLS 1.2/1.3 für Transportverschlüsselung. Vermeide veraltete Algorithmen wie DES, 3DES, MD5, SHA-1, RC4 und TLS unter 1.2.

Was passiert, wenn ein kryptographischer Schlüssel kompromittiert wird?

Die Kryptographierichtlinie muss ein Verfahren für diesen Fall definieren: sofortige Schlüsselrevokation, Re-Verschlüsselung betroffener Daten, Benachrichtigung betroffener Parteien, Forensik zur Feststellung des Schadensausmasses.