Datensicherheit
Verschlüsselung: Was deine Daten wirklich schützt
Zwei Zustände, ein kritischer Faktor: unterwegs, im Speicher, und die Schlüssel dazu.
„Verschlüsselt“ steht in jeder Anbieter-Broschüre. Ob dahinter Substanz steckt, entscheiden drei Fragen: Was schützt die Daten unterwegs? Was schützt sie im Speicher? Und wer kontrolliert die Schlüssel? Dieser Beitrag erklärt die Konzepte so, dass du die Antworten jedes Anbieters einordnen kannst.
Verschlüsselung bei AI Link
Unterwegs. TLS 1.3 auf jeder Verbindung, ältere Protokolle sind abgeschaltet.
Im Speicher. AES-256 für Datenbanken, Dateien und Backups.
Schlüssel. Getrennt verwaltet, zugriffskontrolliert und regelmäßig rotiert.
Konkret dokumentiert in den TOMs, die jede Kundin und jeder Kunde mit dem AVV erhält.
Kurz erklärt
Was leistet Verschlüsselung, und was nicht?
Verschlüsselung macht Daten für alle unlesbar, die den Schlüssel nicht haben: TLS 1.3 schützt die Übertragung, AES-256 den Speicher. Sie schützt aber nicht vor dem, der legitim entschlüsseln kann, und nicht vor dem KI-Modell, das eine Anfrage im Klartext braucht. Deshalb gehört sie in ein Schichtenmodell mit Anonymisierung und Zugriffskontrolle, und ihre Qualität steht und fällt mit der Schlüsselverwaltung.
Die Grundlagen
Vier Konzepte, die du kennen solltest
Mehr braucht es nicht, um jede Verschlüsselungs-Aussage einzuordnen.
Unterwegs: Transportverschlüsselung
TLS 1.3 schützt Daten auf dem Weg zwischen Browser und Server. Niemand auf der Strecke, kein WLAN-Betreiber und kein Netzknoten, kann mitlesen oder unbemerkt verändern.
Im Speicher: Verschlüsselung at rest
AES-256 verschlüsselt Daten dort, wo sie liegen: Datenbanken, Dateispeicher, Backups. Ein gestohlener Datenträger oder ein kopiertes Backup bleibt damit unlesbar.
Die eigentliche Frage: Schlüsselverwaltung
Verschlüsselung ist nur so gut wie der Umgang mit den Schlüsseln: wer erzeugt sie, wo liegen sie, wie oft rotieren sie, wer kann sie benutzen? Hier trennt sich Substanz von Marketing.
Ende-zu-Ende vs. Punkt-zu-Punkt
Ende-zu-Ende heißt: nur Absender und Empfänger können entschlüsseln, nicht einmal der Betreiber. Punkt-zu-Punkt schützt jede Teilstrecke, aber der Server sieht Klartext, was für Server-Funktionen wie Suche oder KI auch nötig ist. Wichtig ist, dass ein Anbieter ehrlich sagt, was er tut.
Substanz erkennen
Marketing-Verschlüsselung vs. benannte Verfahren
Der Unterschied liegt nicht im Ob, sondern im Wie konkret.
- Transportverschlüsselung
- „Sichere Übertragung“
- Speicherverschlüsselung
- „Daten sind verschlüsselt“
- Schlüsselverwaltung
- Keine Angabe
- Backups
- Oft vergessen
- Nachweis
- „Vertrau uns“
- Transportverschlüsselung
- TLS 1.3, HSTS erzwungen
- Speicherverschlüsselung
- AES-256 für Datenbank, Dateien und Backups
- Schlüsselverwaltung
- Benannt: Erzeugung, Aufbewahrung, Rotation
- Backups
- Verschlüsselt und mit Löschkonzept
- Nachweis
- TOMs im AVV, prüfbar dokumentiert
Die Prüfliste
Sechs Fragen an jeden Anbieter
Stell sie wörtlich so. An der Präzision der Antworten erkennst du, wie ernst es der Anbieter meint.
Welches TLS-Protokoll?
TLS 1.3 ist Stand der Technik; TLS 1.0 und 1.1 gelten seit Jahren als gebrochen. Ein Anbieter, der die Version nicht nennt, hat sie meist nicht im Griff.
Was genau ist at rest verschlüsselt?
Nur die Datenbank, oder auch Dateispeicher, Suchindizes, Queues und Backups? Jede unverschlüsselte Kopie ist eine offene Flanke.
Wo liegen die Schlüssel?
Getrennt von den Daten, mit klarer Zugriffskontrolle und Rotation. Schlüssel neben den Daten aufzubewahren ist, als klebte der Tresorcode am Tresor.
Wie laufen Updates und Rotation?
Algorithmen altern. Gute Anbieter rotieren Schlüssel regelmäßig, verabschieden schwache Cipher-Suiten und dokumentieren beides.
Wer kann entschlüsseln?
Verschlüsselung schützt nicht vor dem, der den Schlüssel hat. Entscheidend ist, welche Rollen und Prozesse Zugriff auf Klartext haben und ob das protokolliert wird.
Gibt es Belege?
Zertifizierungen, Audits, Penetrationstests. Verschlüsselung, die nur in der Werbebroschüre vorkommt, ist keine Schutzmaßnahme, sondern ein Versprechen.
Verwandte Themen
Tiefer einsteigen
Verschlüsselung ist eine Schicht. Diese Beiträge zeigen die anderen.
PII-Anonymisierung
Der Schutz, den Verschlüsselung nicht leisten kann: Daten maskieren, bevor ein Modell sie sieht.
Hosting in Deutschland
Warum der Rechtsraum des Betreibers mitentscheidet, was Verschlüsselung am Ende wert ist.
DSGVO-konforme KI
Wie Verschlüsselung, Anonymisierung und Hosting zusammen eine belastbare Grundlage ergeben.
Häufige Fragen
Häufige Fragen zur Verschlüsselung
Von AES-256 bis Quantencomputer: die Fragen, die uns am häufigsten erreichen.
Was bedeutet AES-256 eigentlich?
AES ist der Advanced Encryption Standard, das weltweit etablierte Verfahren für symmetrische Verschlüsselung; 256 bezeichnet die Schlüssellänge in Bit. Ein Schlüsselraum von 2 hoch 256 ist mit heutiger und absehbarer Technik nicht durchprobierbar. Praktisch scheitern Angriffe deshalb nie am Algorithmus, sondern an schlechter Schlüsselverwaltung oder Lücken drumherum.
Reicht TLS nicht aus?
TLS schützt nur den Transportweg. Sobald Daten auf dem Server ankommen, liegen sie ohne Speicherverschlüsselung im Klartext, und ein kopiertes Backup oder ein ausgebauter Datenträger wäre lesbar. Erst die Kombination aus Transport- und Speicherverschlüsselung deckt beide Angriffsflächen ab.
Kann der Hosting-Anbieter meine Daten lesen?
Bei reiner Infrastruktur-Verschlüsselung technisch ja, wenn er die Schlüssel kontrolliert; deshalb gehören Schlüsselverwaltung und Zugriffskonzept in jede Anbieterprüfung. Relevant ist auch der Rechtsraum des Betreibers: ein US-Mutterkonzern kann per CLOUD Act zur Herausgabe verpflichtet werden, samt Schlüsseln. Mehr dazu im Beitrag über Hosting in Deutschland.
Schützt Verschlüsselung meine Daten vor dem KI-Modellanbieter?
Nein, und das ist der am häufigsten übersehene Punkt: eine KI-Anfrage muss beim Modell im Klartext ankommen, sonst kann es sie nicht verarbeiten. Was der Modellanbieter nicht sehen soll, muss vorher raus, genau dafür gibt es die PII-Anonymisierung. Verschlüsselung und Anonymisierung lösen zwei verschiedene Probleme und ersetzen einander nicht.
Was ist mit Quantencomputern?
Für symmetrische Verfahren wie AES-256 gelten Quantenangriffe als beherrschbar (der Grover-Algorithmus halbiert effektiv die Schlüssellänge, 128 Bit Restsicherheit bleiben). Handlungsbedarf entsteht zuerst bei asymmetrischen Verfahren im Schlüsselaustausch; dafür standardisiert die Branche gerade Post-Quanten-Kryptografie, die in TLS bereits Einzug hält.
Wie macht es AI Link?
Transport ausschließlich über TLS 1.3, Speicherung und Backups mit AES-256 verschlüsselt, Schlüssel getrennt verwaltet und rotiert, alles in deutschen Rechenzentren. Die Details stehen in den TOMs, die jede Kundin und jeder Kunde mit dem AVV bekommt, konkret genug, um sie zu prüfen.
Sicherheit im Produkt
Sieh dir an, wie AI Link verschlüsselt.
TLS 1.3, AES-256 und dokumentierte TOMs, in deutschen Rechenzentren.