Verschlüsselung ist nicht gleich Verschlüsselung

Datenverschlüsselung in der Cloud

Daten in Cloud-Diensten zu verschlüsseln ist weitaus schwieriger. Die Datenverarbeitung findet beim Diensteanbieter statt. Das heißt, eine echte Ende-zu-Ende-Verschlüsselung ist beinahe unmöglich falls der Diensteanbieter dies nicht explizit unterstützt.

Ich möchte hier zwei konkrete Klassen von Ende-zu-Ende-Verschlüsselung definieren:

• Klasse 1: "Echte" Ende-zu-Ende-Verschlüsselung
  Die Daten werden auf dem Endgerät des Anwenders verschlüsselt. Der zur Verschlüsselung genutzte Schlüssel wird lokal auf dem Endgerät erzeugt und gespeichert. Ein Upload des Schlüssels in die Cloud erfolgt nicht. Der Anwender muss zur Vermeidung von Datenverlusten selbst für ein Schlüssel-Backup sorgen. Die eigentlichen Daten werden vor dem Upload in die Cloud durch das Endgerät verschlüsselt, entsprechend erfolgt die Entschlüsselung nur auf dem Gerät.

• Klasse 2: Passwortbasierte Ende-zu-Ende-Verschlüsselung
  Der Dienst erzeugt den zur Verschlüsselung genutzten Schlüssel direkt oder indirekt aus dem Passwort des Anwenders. Das Passwort wird nicht gespeichert, sondern beim Login in die Applikation wird nach Industriestandards durch eine sichere Hashwert-Berechnung der Verschlüsselungsschlüssel wiederhergestellt. Die Ver- und Entschlüsselung der Daten erfolgt in der Applikation auf dem Server des Diensteanbieters. Da das Passwort und die Daten erst auf dem Server verschlüsselt werden, ist eine funktionierende Transportverschlüsselung (HTTPS) erforderlich.

Sollten Sie der Verschlüsselung der Klasse 2 vertrauen, ist die Frage nach dem Fall des Passwortverlustes zusätzlich interessant. Ist es dem Anbieter möglich, Ihre Daten auch bei Passwortverlust wiederherzustellen, so erfolgt eine zusätzliche Verschlüsselung Ihrer Daten mit einem Masterkey oder einer vergleichbaren Lösung. Hierfür gibt es verschiedene Implementierungsmöglichkeiten, die die Stärke der Verschlüsselung massiv abschwächen können.