Verschlüsselung
Verschlüsselung wandelt lesbare Daten mit einem geheimen Schlüssel in einen unverständlichen Chiffretext um, den nur befugte Empfänger wieder entschlüsseln können. Im ERP-Kontext schützt sie sensible Kunden-, Zahlungs- und Belegdaten bei der Übertragung und Speicherung vor unbefugtem Zugriff.
Verschlüsselung ist ein Verfahren, das lesbare Informationen (Klartext) mithilfe eines geheimen Schlüssels in eine unverständliche Form (Chiffretext) umwandelt, sodass nur wer den passenden Schlüssel besitzt die Daten wieder in den Ursprungszustand zurückführen kann. Fällt der Chiffretext in falsche Hände – etwa bei einem abgefangenen Datenstrom oder einem gestohlenen Datenträger – bleibt er ohne Schlüssel wertlos. Verschlüsselung beantwortet damit die Frage „Wie stelle ich sicher, dass nur Befugte meine Daten lesen können?" und ist ein Grundpfeiler der Informationssicherheit.
Im ERP-Umfeld hat Verschlüsselung besonderes Gewicht, weil das System hochsensible Daten bündelt: Kunden- und Lieferantenstammdaten, Bankverbindungen, Zahlungsinformationen, Kalkulationen, Verträge und steuerrelevante Belege. Diese Daten bewegen sich ständig – zwischen Browser und Server, zwischen ERP und Onlineshop, zwischen Anwendung und Datenbank – und liegen zugleich dauerhaft gespeichert vor. Verschlüsselung schützt sie in beiden Zuständen und ist damit eine technische Voraussetzung, um Datenschutz- und Compliance-Pflichten überhaupt erfüllen zu können.
Auf einen Blick
- Verschlüsselung = Umwandlung von Klartext in Chiffretext mit geheimem Schlüssel
- Schützt Daten „in transit" (Übertragung) und „at rest" (Speicherung)
- Symmetrisch (ein Schlüssel) vs. asymmetrisch (Schlüsselpaar)
- Sicherheit hängt am Schlüssel, nicht am geheim gehaltenen Verfahren
- Im ERP Pflichtbaustein für DSGVO, PCI DSS und ISO 27001
Wie Verschlüsselung funktioniert: Schlüssel, Algorithmus und Chiffretext
Eine Verschlüsselung besteht immer aus drei Bestandteilen: dem Klartext (den Ausgangsdaten), einem Algorithmus (der mathematischen Vorschrift) und einem Schlüssel (einer geheimen Zeichenfolge). Der Algorithmus verrechnet Klartext und Schlüssel zu einem Chiffretext, der ohne den passenden Schlüssel nicht zurückgerechnet werden kann. Entscheidend ist das sogenannte Kerckhoffs-Prinzip: Die Sicherheit darf allein vom Geheimhalten des Schlüssels abhängen, nicht vom Geheimhalten des Verfahrens. Etablierte Algorithmen wie AES oder RSA sind deshalb öffentlich bekannt und millionenfach geprüft – ihre Stärke liegt in der Schlüssellänge und der mathematischen Komplexität.
Man unterscheidet Verschlüsselung von verwandten, aber anderen Techniken. Beim Hashing wird aus Daten ein fester Prüfwert berechnet, der sich bewusst nicht zurückrechnen lässt – geeignet für Passwörter oder Integritätsprüfungen, nicht für Daten, die wieder lesbar werden sollen. Bei der Tokenisierung wird ein sensibler Wert durch einen Platzhalter ersetzt, dessen Zuordnung getrennt verwahrt wird. Verschlüsselung dagegen ist reversibel: Mit dem richtigen Schlüssel wird aus dem Chiffretext wieder exakt der Ursprungsklartext.
Symmetrische und asymmetrische Verfahren
Bei der symmetrischen Verschlüsselung nutzen Sender und Empfänger denselben Schlüssel zum Ver- und Entschlüsseln. Das ist sehr schnell und eignet sich für große Datenmengen (z. B. AES für eine ganze Datenbank), erfordert aber, dass beide Seiten den Schlüssel sicher austauschen. Bei der asymmetrischen Verschlüsselung existiert ein Schlüsselpaar: ein öffentlicher Schlüssel zum Verschlüsseln, den jeder kennen darf, und ein privater Schlüssel zum Entschlüsseln, der geheim bleibt. Das löst das Austauschproblem, ist aber rechenintensiver. In der Praxis kombiniert man beides (hybride Verschlüsselung): Der langsame asymmetrische Teil sichert nur den Austausch eines symmetrischen Sitzungsschlüssels, mit dem dann die eigentlichen Daten schnell verschlüsselt werden – genau so arbeitet auch TLS im Hintergrund.
Verschlüsselung „in transit" und „at rest"
In der Praxis unterscheidet man zwei Schutzzustände. Verschlüsselung „in transit" (bei der Übertragung) schützt Daten auf dem Weg durch Netzwerke – umgesetzt vor allem über TLS, erkennbar am „https" und dem Schloss-Symbol im Browser. Ohne sie könnte ein Angreifer den Datenverkehr zwischen Nutzer und ERP oder zwischen zwei Systemen mitlesen oder manipulieren. Jede seriöse API-Anbindung, jede Schnittstelle zum Shopsystem und jeder Login läuft heute über TLS.
Verschlüsselung „at rest" (im Ruhezustand) schützt gespeicherte Daten – auf Festplatten, in Datenbanken, in Backups. Wird ein Server, eine Platte oder ein Backup-Band gestohlen, bleiben die Daten ohne Schlüssel unlesbar. Umgesetzt wird das über Festplatten- oder Datenbankverschlüsselung, teils bis auf Feld- oder Spaltenebene für besonders sensible Angaben wie Bankdaten. Erst beide Zustände zusammen ergeben durchgängigen Schutz: Eine perfekt verschlüsselte Übertragung nützt wenig, wenn die Daten danach im Klartext auf einem ungeschützten Server liegen.
Ende-zu-Ende-Verschlüsselung
Ein Sonderfall ist die Ende-zu-Ende-Verschlüsselung: Hier werden Daten bereits beim Absender verschlüsselt und erst beim endgültigen Empfänger wieder entschlüsselt – kein System dazwischen, auch nicht der übertragende Dienstleister, kann sie im Klartext einsehen. Für ERP-Betreiber ist das dort relevant, wo Daten über mehrere Zwischenstationen wandern und selbst der Plattformbetreiber keinen Zugriff haben soll.
Warum Verschlüsselung im ERP-System wichtig ist
Ein ERP-System ist die zentrale Datendrehscheibe eines Unternehmens und damit ein lohnendes Angriffsziel. Verschlüsselung senkt das Risiko in mehreren Schichten: Sie schützt die Kommunikation zwischen Anwendern und Server, sichert Schnittstellen und API-Aufrufe zu Shops, Marktplätzen und Zahlungsdienstleistern und bewahrt gespeicherte Bestände selbst dann, wenn eine andere Schutzmaßnahme versagt. Sie greift damit ineinander mit Berechtigungskonzepten, Zwei-Faktor-Authentifizierung und einem durchdachten Backup – Verschlüsselung ersetzt keine dieser Maßnahmen, sondern ergänzt sie.
Wie viel ein Unternehmen selbst leisten muss, hängt vom Betriebsmodell ab. Bei einem Cloud-ERP im SaaS-Modell übernimmt der Anbieter Verschlüsselung „in transit" und „at rest" im Rechenzentrum; Details stehen in den Sicherheits- und Auftragsverarbeitungs-Vereinbarungen und werden oft über Zertifizierungen wie ISO 27001 nachgewiesen. Bei On-Premise-Betrieb oder eigenem Hosting liegt die Verantwortung beim Unternehmen – inklusive Konfiguration von TLS, Datenbankverschlüsselung und vor allem des Schlüsselmanagements, also der sicheren Erzeugung, Aufbewahrung, Rotation und Vernichtung von Schlüsseln. Ein verlorener Schlüssel macht Daten unwiederbringlich unlesbar, ein kompromittierter Schlüssel hebt den gesamten Schutz auf.
Verschlüsselung und Compliance im DACH-Raum
Verschlüsselung ist im DACH-Raum nicht nur gute Praxis, sondern rechtlich untermauert. Die DSGVO nennt Verschlüsselung in Artikel 32 ausdrücklich als geeignete technische Maßnahme zum Schutz personenbezogener Daten. Ein positiver Nebeneffekt: Sind Daten bei einer Panne wirksam verschlüsselt und der Schlüssel nicht kompromittiert, kann die Pflicht zur Benachrichtigung Betroffener entfallen, weil kein hohes Risiko entsteht. Für Unternehmen ist Verschlüsselung damit auch ein Instrument zur Haftungsbegrenzung.
Wer Kartenzahlungen verarbeitet, unterliegt zusätzlich dem PCI-DSS-Standard, der Verschlüsselung von Karten- und Übertragungsdaten verbindlich vorschreibt. Der BSI-IT-Grundschutz und die ISO 27001 verankern Verschlüsselung als festen Baustein eines Informationssicherheits-Managements. Wichtig für die Praxis: Verschlüsselte Daten müssen mit den steuerlichen Aufbewahrungspflichten und den GoBD vereinbar bleiben – gespeicherte Belege dürfen zwar verschlüsselt liegen, müssen aber über die gesamte Aufbewahrungsfrist lesbar wiederherstellbar sein. Ein durchdachtes, dokumentiertes Schlüsselmanagement ist deshalb Teil einer sauberen Verfahrensdokumentation.
Praxisbeispiel
Beispiel: Gestohlenes Notebook mit ERP-Zugang
Bei einem mittelständischen Großhändler wird das Notebook eines Außendienstmitarbeiters aus dem Auto gestohlen. Auf dem Gerät sind ein lokaler ERP-Client, zwischengespeicherte Kundenlisten mit Umsätzen und ein Exportfile mit Bankverbindungen. Weil die Festplatte vollständig verschlüsselt ist und der Zugang zusätzlich per Zwei-Faktor-Authentifizierung gesichert war, sind die Daten für den Dieb unlesbar – ohne den Schlüssel und das zweite Faktor-Merkmal bleibt das Gerät eine leere Hülle.
Die IT sperrt den Zugang aus der Ferne und dreht die betroffenen Schlüssel und Passwörter. Weil nachweisbar kein Klartext abgeflossen ist, muss der Vorfall zwar dokumentiert, die betroffenen Kunden aber nicht einzeln benachrichtigt werden. Ohne Festplattenverschlüsselung hätte derselbe Diebstahl eine meldepflichtige Datenpanne mit erheblichem Reputations- und Haftungsrisiko ausgelöst.
Häufige Fragen
Passende Leistungen
Fragen zu Verschlüsselung in deinem ERP-Projekt?
Wir beraten herstellerunabhängig – und setzen es auf Wunsch selbst um.