Datenstandort Schweiz

Verschlüsselung bei Cloud-Tools: Was «verschlüsselt» wirklich bedeutet

Für: Entscheider in Kanzlei, Treuhand, Gesundheitswesen und KMU, die Anbieteraussagen einordnen wollen.

Kurz erklärt

Drei Arten von Verschlüsselung schützen vor drei verschiedenen Dingen: Transportverschlüsselung (TLS) schützt Daten unterwegs vor Mitlesen im Netz. Speicherverschlüsselung (at Rest) schützt Datenträger vor Diebstahl. Ende-zu-Ende-Verschlüsselung schützt vor dem Anbieter selbst — ist bei Werkzeugen, die Daten verarbeiten (suchen, sortieren, berechnen), aber kaum möglich. Entscheidend ist, wer die Schlüssel hält und wer damit auf Klartext zugreifen kann.

Jeder Anbieter ist «verschlüsselt». Der Satz ist wahr und sagt fast nichts, weil Verschlüsselung immer die Frage beantwortet: wovor? Wer diese Frage stellt, unterscheidet Marketing von Schutz — und versteht, warum ein Projekttool mit Suche und Berichten nicht dasselbe versprechen kann wie ein verschlüsselter Messenger.

Die drei Arten

Unterschiedliche Verfahren, unterschiedliche Bedrohungen:

In Transit (TLS/HTTPS): Der Weg zwischen Browser und Server ist verschlüsselt. Schützt vor Mitlesen im WLAN, beim Provider, unterwegs. Standard bei jedem seriösen Dienst — und ein Anbieter ohne HTTPS ist disqualifiziert.
At Rest: Datenbank und Dateien liegen verschlüsselt auf den Datenträgern. Schützt vor physischem Diebstahl und Entsorgungsfehlern. Der Anbieter kann die Daten trotzdem lesen — er hat den Schlüssel, sonst könnte er den Dienst nicht betreiben.
Ende-zu-Ende (E2E): Nur Sender und Empfänger können lesen; der Anbieter sieht Chiffrat. Schützt vor dem Anbieter und vor Behördenzugriff beim Anbieter. Funktioniert für Nachrichten und Dateien — nicht für Systeme, die Daten serverseitig verarbeiten (Suche, Filter, Auslastungsberechnung, Rechnungen).

Warum ein Projekttool nicht E2E sein kann

Eine Volltextsuche über Aufgaben, eine Auslastungs-Heatmap, ein Bankabgleich — all das braucht den Klartext auf dem Server. Ende-zu-Ende würde bedeuten, dass jede Berechnung im Browser stattfindet und der Server nichts versteht. Für ein kollaboratives Werkzeug mit Berichten ist das praktisch nicht umsetzbar. Die ehrliche Aussage lautet deshalb: in Transit und at Rest verschlüsselt, Zugriff des Anbieters technisch möglich, organisatorisch beschränkt und protokolliert. Ein Anbieter, der für ein solches Werkzeug «Zero Knowledge» verspricht, verspricht zu viel.

Die entscheidende Frage: Wer hat die Schlüssel?

Bei at-Rest-Verschlüsselung hält der Anbieter (oder sein Cloud-Betreiber) die Schlüssel. Das ist normal. Die Frage ist, wer damit umgehen darf: Ist der Zugriff auf Kundendaten durch Personal des Anbieters auf Support-Fälle beschränkt, protokolliert, mit Vier-Augen-Prinzip? Steht das im AVV? Flenio speichert Datenbank und Dateien at Rest verschlüsselt (Supabase, Zürich), überträgt ausschliesslich über TLS und beschränkt den Zugriff auf Kundendaten auf begründete Support-Fälle. Integrations-Tokens (bexio, Microsoft, Google) werden zusätzlich anwendungsseitig verschlüsselt abgelegt.

Häufige Fragen

Reicht «verschlüsselt» für das Berufsgeheimnis?

Verschlüsselung ist eine von mehreren Massnahmen. Entscheidend ist der faktische Zugriff — siehe die Seite zum Anwaltsgeheimnis. Transport und Speicher verschlüsselt plus beschränkter, protokollierter Zugriff ist der Standard, den Standesorganisationen als angemessen ansehen.

Was ist mit Verschlüsselung durch den Kunden (BYOK)?

Bring Your Own Key gibt dem Kunden Kontrolle über den Speicherschlüssel — der Anbieter braucht aber weiterhin Zugriff zur Laufzeit. Es erhöht die Kontrolle über den Datenzugriff nach Vertragsende, ändert am Betrieb wenig. Für KMU meist überdimensioniert.

Wie erkenne ich Marketing?

An Superlativen ohne Angabe der Ebene — Formulierungen wie «militärisch» oder «unknackbar», Prozentzahlen, die vollständige Sicherheit versprechen. Seriöse Angaben nennen Verfahren (TLS 1.2+, AES-256 at Rest), die Ebene, die sie schützen, und ihre Grenzen.