Verschlüsselung im Datenschutz

Definition: Verschlüsselung ist ein kryptografisches Verfahren, bei dem Daten mithilfe eines mathematischen Algorithmus und eines Schlüssels in eine unleserliche Form (Chiffrat) umgewandelt werden, die ohne den korrekten Entschlüsselungsschlüssel nicht lesbar ist. Im Datenschutzrecht ist Verschlüsselung in Art. 32 Abs. 1 lit. a DSGVO ausdrücklich als geeignete technische Schutzmaßnahme zur Gewährleistung der Datensicherheit genannt. Die DSGVO schreibt keine konkrete Verschlüsselungsmethode vor, verlangt aber, dass Unternehmen dem Stand der Technik entsprechende Maßnahmen ergreifen, um ein angemessenes Schutzniveau für personenbezogene Daten zu gewährleisten. Im Online-Marketing-Kontext ist Verschlüsselung in zwei Dimensionen relevant: erstens als Schutz von Daten bei der Übertragung (Transportverschlüsselung, z. B. HTTPS/TLS für Website-Verbindungen und E-Mail-Übertragung) und zweitens als Schutz von gespeicherten Daten (Datenverschlüsselung im Ruhezustand, englisch: encryption at rest). Verschlüsselung hat darüber hinaus direkte Auswirkungen auf die Meldepflicht bei Datenschutzverletzungen: Wenn verschlüsselte Daten in die falschen Hände geraten und der Entschlüsselungsschlüssel nicht kompromittiert wurde, muss möglicherweise keine Meldung an Betroffene erfolgen (Art. 34 Abs. 3 lit. a DSGVO), da das Risiko für die Betroffenen als gering eingestuft wird.

Erläuterung

Die Verpflichtung zur Implementierung angemessener Sicherheitsmaßnahmen ergibt sich aus Art. 32 DSGVO. Die Angemessenheit wird anhand mehrerer Faktoren beurteilt: dem Stand der Technik, den Implementierungskosten, der Art, dem Umfang, den Umständen und den Zwecken der Verarbeitung sowie der Eintrittswahrscheinlichkeit und Schwere des Risikos für die betroffenen Personen. Je sensibler die verarbeiteten Daten (z. B. Zahlungsdaten, Gesundheitsdaten, Zugangsdaten), desto höher sind die Anforderungen an die Verschlüsselungsmaßnahmen.

Die Transportverschlüsselung mittels TLS (Transport Layer Security) ist heute der absolute Mindeststandard für jede Website, die Nutzerdaten erhebt. Websites ohne HTTPS sind nicht nur ein Sicherheitsrisiko, sondern werden von Browsern aktiv als „nicht sicher" markiert, was das Vertrauen der Nutzer untergräbt und seit 2018 auch ein Ranking-Faktor in der Google-Suche ist. Formulare zur Dateneingabe (Login, Kontaktformulare, Bestellprozesse, Newsletter-Anmeldungen) auf unverschlüsselten Verbindungen stellen einen klaren Datenschutzverstoß dar.

Die Ende-zu-Ende-Verschlüsselung (E2E-Verschlüsselung) geht noch einen Schritt weiter: Hier werden Daten so verschlüsselt, dass nur Sender und Empfänger die Inhalte lesen können, nicht aber Zwischeninstanzen wie Server-Betreiber. Für geschäftliche Kommunikation mit sensiblen Inhalten (z. B. Übermittlung von Kundendaten an Partner) empfiehlt sich der Einsatz von E2E-verschlüsselten Kommunikationswegen.

Datenverschlüsselung at rest schützt gespeicherte Daten auf Festplatten, in Datenbanken und Cloud-Speichern vor unbefugtem Zugriff – insbesondere bei Diebstahl von Hardware oder unbefugtem Zugriff auf Speichersysteme. Professionelle Cloud-Anbieter bieten Encryption at Rest standardmäßig an; bei eigenen Servern oder lokalen Backups muss dies explizit konfiguriert werden.

Pseudonymisierung ist eine verwandte, aber schwächere Maßnahme: Dabei werden personenbezogene Daten so verändert, dass sie ohne Hinzuziehung einer separaten Zuordnungstabelle nicht mehr einer bestimmten Person zugeordnet werden können. Anders als bei der Anonymisierung (vollständiger und irreversibler Personenbezug wird entfernt) bleiben pseudonymisierte Daten nach DSGVO weiterhin personenbezogene Daten. Sie bieten jedoch ein erhöhtes Schutzniveau und können die Bußgeldrisiken im Falle von Datenpannen mindern.

Verschlüsselungsformen und ihre Anwendung im Marketing

• HTTPS/TLS (Transportverschlüsselung): Pflichtstandard für alle Websites; schützt Daten während der Übertragung zwischen Browser und Server vor Abhören und Manipulation.
• TLS für E-Mail (SMTP, IMAP, POP3): Verschlüsselung des E-Mail-Transports zwischen Mailservern; verhindert Abhören von E-Mails in der Übertragung, schützt aber nicht vor Zugriff auf Mailserver.
• Encryption at Rest: Verschlüsselung von Daten auf Festplatten, Datenbanken und Backups; relevant für CRM-Systeme, E-Mail-Listen und Marketing-Datenbanken.
• Ende-zu-Ende-Verschlüsselung (E2E): Nur Sender und Empfänger können Inhalte lesen; empfohlen für vertrauliche Geschäftskommunikation und Übermittlung sensibler Kundendaten.
• Datenbankfeldverschlüsselung: Selektive Verschlüsselung besonders sensibler Felder in Datenbanken (z. B. Passworthashes, Zahlungsdaten, medizinische Informationen).
• Hashing von Passwörtern: Passwörter sollten niemals im Klartext gespeichert werden, sondern als kryptografische Hashes (z. B. bcrypt, Argon2) – dies ist eine Minimalanforderung für jeden Login-Bereich.

Verschlüsselung und Datenpannen-Management

• Reduktion der Meldepflicht: Wenn bei einem Datenleck ausschließlich verschlüsselte Daten betroffen sind und der Schlüssel nicht kompromittiert wurde, kann nach Art. 34 Abs. 3 DSGVO die Benachrichtigung der Betroffenen entfallen.
• Minderung des Bußgeldrisikos: Nachgewiesene Verschlüsselungsmaßnahmen werden von Aufsichtsbehörden bei der Bußgeldbemessung strafmildernd berücksichtigt.
• Verschlüsselung bei Drittlandübermittlungen: Starke Verschlüsselung kann bei der Übermittlung von Daten in Drittländer als ergänzende Schutzmaßnahme zu Standardvertragsklauseln angeführt werden.
• Schlüsselmanagement: Verschlüsselung ist nur so stark wie das Schlüsselmanagement; Schlüssel müssen sicher gespeichert, regelmäßig rotiert und bei Mitarbeiterabgängen neu vergeben werden.