· Fachbeitrag · Kanzleikommunikation
Kommunikationsverschlüsselung: Funktion und Nutzen im Kanzleialltag
von Jan Alexander Linxweiler, Wedemark
| Ob es nun Geheimdienste oder Hacker sind, Bundestrojaner, Google oder die NSA: Heutzutage unterliegen Daten, Unterhaltungen und sogar Identitäten stets der Gefahr der Überwachung, Manipulation sowie des Diebstahls. Das Mittel zur Gefahrenabwehr - auch für das sensible Informationsnetzwerk von Steuerberaterkanzleien - heißt Kommunikationsverschlüsselung. |
Gesetzliche Verschlüsselungspflichten für Unternehmer
Das Gesetz sieht für Unternehmer - und damit auch für Kanzleiinhaber - bestimmte Sicherungsmaßnahmen für den Bereich der Kommunikation vor.
Verschlüsselung nach dem Stand der Technik
Die vielfach verlangte „Verschlüsselung nach dem Stand der Technik“ ist als eher vager Begriff im juristischen Kontext stets der Auslegung zugänglich, wird aber einhellig als in der Praxis bewährte und mit hohen Sicherheitsstandards versehene Verschlüsselung angesehen. Damit sollen vor allem bereits als lückenhaft erkannte oder für die konkrete Anwendung ungeeignete Verschlüsselungstechniken ausgeschlossen werden.
Personenbezogene Daten
Sobald personenbezogene Daten betroffen sind, könnte man einen Bedarf zur Verschlüsselung annehmen. Hierfür spricht auch, dass Arbeitgebern unter anderem bei Gehalts- und Krankenkassendaten eine solche Pflicht zur Verschlüsselung obliegt. So müssen diese gem. § 41a Abs. 1 EStG, § 2 Steuerdatenübermittlungsverordnung, § 23c und § 28a Sozialgesetzbuch IV, § 2 Beitragsüberwachungsverordnung und § 16 Datenerfassungs- und Übermittlungsverordnung bei der elektronischen Meldung je nach Finanz- und Sozialbehörde bestimmte Schnittstellen oder Zertifizierungsverfahren zur Verschlüsselung verwenden.
Allerdings steht der Annahme eines generellen Verschlüsselungsbedarfs unter anderem das VG Berlin (24.5.11, 1 K 133/10, Urteil unter dejure.org) entgegen. Dieses stellt dem Verschlüsselungsbedarf eine Verhältnismäßigkeitsprüfung voran. Es entschied, dass einem Personalvermittler bei der Übersendung von Bewerberdaten per E-Mail aufgrund von Unverhältnismäßigkeit keine Verschlüsselung zuzumuten ist.
Spezialgesetzliche Regelungen
In den unterschiedlichen Bereichen der Wirtschaft und der öffentlichen Verwaltung ist eine Vielfalt an spezialgesetzlichen Regelungen zu finden. So hat z.B. die Meldung von Sicherheitsbeauftragten gem. § 7a Abs. 2 Atomrechtliche Sicherheitsbeauftragten- und Meldeverordnung verschlüsselt zu erfolgen. Bei diesen oder ähnlichen Regelungsbereichen werden sensible Schutzbereiche und ein Gemenge von Gesetzen angesprochen.
Vertragliche Verschlüsselungspflichten für Unternehmer
Im Rahmen der Kommunikation zwischen Vertragspartnern können Aspekte der Kommunikationsverschlüsselung Teil von sowohl Haupt- als auch Nebenpflichten sein.
Verschlüsselungspflichten als Teil vertraglicher Hauptpflichten
Durch eine Geheimhaltungsvereinbarung, zumeist Non-Disclosure-Agreement genannt, werden Vertragsparteien zur Geheimhaltung der Inhalte des Vertrags verpflichtet. Damit wird jedoch noch nicht unmittelbar festgelegt, ob, wann und wie eine Kommunikation zwischen den Vertragsparteien auch verschlüsselt werden muss. Nach Sinn und Zweck einer Geheimhaltungsvereinbarung ist jedoch zumindest darauf zu schließen, dass alle Informationen mit Vertragsbezug vor dem Zugriff Dritter geschützt werden sollen.
Zieht man hier eine Parallele zu den gesetzlichen Regelungen, fällt auf, dass auch im privatrechtlichen Bereich bestimmte Daten als besonders schützenswert zu erachten sind. Dazu gehören personenbezogene Daten oder Daten mit Bezug zu sicherheitsrechtlich relevanten Themen - z.B. Informationen über die nukleare Energieversorgung oder angreifbare Infrastruktur. So sollte sich die Geheimhaltungspflicht hier in einer Verschlüsselungspflicht äußern, da ansonsten keine gesicherte Kommunikation gewährleistet werden kann.
PRAXISHINWEIS | Eine ausdrückliche vertragliche Regelung ist empfehlenswert. So kann Risiken in Form von unterschiedlichen Verschlüsselungstechniken oder eines unachtsamen Umgangs mit bestehenden Verschlüsselungstechniken entgegengewirkt werden. |
Verschlüsselungspflichten als Teil vertraglicher Nebenpflichten
Sollte eine ausdrückliche vertragliche Regelung fehlen, so ist stets im Einzelfall auszulegen. Wichtig ist, dass sich die Pflicht zur Verschlüsselung immer an der übermittelten Information und nicht an der Kommunikationsform orientieren muss. So ist vom Grad der Vertraulichkeit einer Information auf deren Verschlüsselungswürdigkeit zu schließen. Auch hier fordert der technologische Fortschritt - insbesondere die Big Data-Offensive o- seinen Tribut. Durch die Akkumulation von großen - auf den ersten Blick wahrscheinlich unbedeutend erscheinenden - Daten können teilweise dezidierte Persönlichkeitsprofile erstellt werden, sodass im Endeffekt keine graduelle Abstufung in Form von Verschüsselungsklassen mehr möglich erscheint. Vielmehr erscheinen bereits relative banale Daten verschlüsselungswürdig.
Für die Praxis ergeben sich daraus folgende Richtlinien: Sensible Daten sollten stets verschlüsselt werden. Gerade Daten Dritter fallen unter den Begriff „sensibel“, ansonsten aber auch personen- oder unternehmensbezogene Daten. Sobald durch einen Kommunikationsteilnehmer eine Verschlüsselungstechnik genutzt wird, sollte auf diese eingegangen werden.
Hinweis | Trotz teilweise entgegenstehender Rechtsprechung (vgl. OLG Köln, 24.4.13, I - 16 U 106/12, Urteil unter dejure.org) kann vor dem Hintergrund der technischen Entwicklung im Software-Bereich kaum noch von einem erhöhten Mehraufwand durch Verschlüsselung ausgegangen oder dies als Gegenargument angebracht werden.
Angriffsformen auf Verschlüsselungen
Es gibt drei Kategorien von Angriffsformen auf den Verschlüsselungsschlüssel:
- Die Angriffe auf den Verschlüsselungsschlüssel, also auf das Tool, das die Verschlüsselung wieder in Klartext umwandeln kann, erfolgen meist durch die sogenannte Brute-Force-Attacke. Solche Angriffe versuchen quasi mit Gewalt, aber auf jeden Fall auf gut Glück, jede erdenkliche Variante des Schlüssels zu erraten.
- Eine andere Ausprägung der Angriffe auf Verschlüsselung versucht den Schlüssel durch Auslesen von Inhalten zu erlangen. Dabei werden, wie beim sogenannten Heartbleed-Angriff, auf Fehler in der Verschlüsselungssoftware gestützte Speicherinhalte und unter Umständen auch der Key ausgelesen.
- Auch Bedienungsfehler wie der Known-Plaintext führen dazu, dass Daten ausgelesen werden können. Hierbei würde ein Kommunikationspartner auf eine verschlüsselte E-Mail mit einer normalen E-Mail antworten, sodass potenzielle Angreifer über das Vorliegen des Klartexts und der Verschlüsselung Rückschlüsse auf den Schlüssel ziehen können.
Hinweis | Neben den Angriffen auf den Verschlüsselungsschlüssel kann auch das Verschlüsselungsverfahren selbst angegriffen werden. Dies ist zumeist dann der Fall, wenn Verschlüsselungen selbst Fehler aufweisen.
Daneben gibt es auch Angreifer, die sich die Umwelt einer Verschlüsselung zunutze machen und diese gegen die Verschlüsselung verwenden. Dabei werden der Stromverbrauch oder die Veränderungen des elektromagnetischen Felds im Zusammenhang mit den auf dem Nutzungsgerät ausgeführten Befehlen analysiert und daraus Schlüsse auf die Verschlüsselung gezogen. Dies kann jedoch nur unter sehr strengen und nahezu hermetischen Bedingungen, beispielsweise in einem Labor, durchgeführt werden.
Symmetrische Kryptografie
Bei der symmetrischen Verschlüsselung - der wohl bekanntesten Verschlüsselungsform - werden sowohl die Verschlüsselung als auch die Entschlüsselung durch ein und denselben Schlüssel vorgenommen, sodass ein Austausch dieses Schlüssels durch die Kommunikationsparteien notwendig ist. Dieses Verfahren kommt vornehmlich in Datei- oder Festplattenverschlüsselungen zum Einsatz. Hier sollen dann Daten vor dem Zugriff durch unbefugte Dritte geschützt werden - und dies vornehmlich, wenn es zum Diebstahl von Nutzungsgeräten oder der unbefugten Nutzung selbiger kommt. Ein Schlüsselaustausch kann dabei entfallen, da jeder Nutzer dieser Datei- und Festplattenverschlüsselung den Schlüssel naturgemäß selten weiterreicht. Wem gewährt man schon den Zugang zu seinem privaten Laptop oder den Zugriff auf eine Festplatte voll mit persönlichen Dokumenten, Fotos und anderen Daten?
PRAXISHINWEIS | Wichtig ist hierbei zu beachten, dass die meisten Dateiverschlüsselungen und die Kompressionssoftware stets die Möglichkeit einer Entschlüsselung durch zusätzliche Software beinhalten und so einen recht geringen Schutz bieten. Hintergrund ist die Möglichkeit, vergessene Passwörter wieder herzustellen. Demgegenüber gibt es aber auch gängige Festplattenverschlüsselungen, die einen höheren Sicherheitsstandard aufweisen. |
Asymmetrische Kryptografie
Bei der asymmetrischen Verschlüsselung wird ein öffentlich zugänglicher Schlüssel - ein Public Key - zur Verschlüsselung genutzt. Erst zur Entschlüsselung wird ein geheimer Schlüssel - ein Private Key - verwendet. Dieses Verfahren gilt aufgrund der längeren Verschlüsselung (bis zu 8192 Bit) als rechenzeitaufwendiger. Es wird zumeist bei der Ende-zu-Ende-Verschlüsselung eingesetzt. Hierbei wird eine Nachricht vor der Übertragung verschlüsselt und erst durch den Empfänger und dessen Private Key wieder entschlüsselt. So wird ein Zugriff auf Inhalte durch Dritte vermieden.
Hybride Kryptografie
Mischformen versuchen, die Vorteile von symmetrischer und asymmetrischer Verschlüsselung zu kombinieren. Es wird ein zufälliger Schlüssel für eine Nachricht generiert, der diese symmetrisch verschlüsselt. Im Anschluss wird die so verschlüsselte Nachricht dann mit dem Public Key des Empfängers verschlüsselt. Eine Entschlüsselung erfolgt über den Private Key des Empfängers. Hier wird durch den relativ kleinen Schlüssel einer symmetrischen Verschlüsselung - bis zu 512 Bit - der Rechenzeitaufwand gering gehalten.
Integrität: Prüfsummen und digitale Signatur
Während eine Verschlüsselung die Übertragung einer Nachricht schützen mag, kann jedoch versucht werden, Veränderungen an dieser Verschlüsselung vorzunehmen. Diese bezeichnet man als Integrität einer Verschlüsselung, die durch das gleichzeitige Übersenden von kryptografisch sicheren Prüfsummen sichergestellt werden kann. Anhand dieser zumeist einzigartigen Prüfsummen können Manipulationsversuche festgestellt werden. Über eine digitale Signatur können dann die Prüfsummen mit dem Private Key einer Person mitsamt der Nachricht übersandt werden. Sobald der Private Key einer Person zugeordnet werden kann, beispielsweise anhand eines E-Personalausweises, ist neben der Sicherheit auch die Integrität gewahrt.
PRAXISHINWEIS | Verschlüsselungstechnik - gerade im Bereich der Ende-zu-Ende-Verschlüsselung - ist vielfach als Open-Source-Software zu erhalten. Durch Schulungen oder Vorträge zum verständigen Umgang mit Verschlüsselungen können Fehler wie der Known-Plaintext bereits ausgemerzt werden. |
