Verschlüsselung ruhender Daten (Encryption at Rest) ist der Schutz gespeicherter Daten durch Verschlüsselung, sodass eine Datei auf einem Handy, Laptop, USB-Stick oder Server ohne den richtigen Schlüssel unlesbar ist.
„Ruhend“ heißt nur „nicht in Bewegung“. Dein Passscan in einem Ordner ruht. Derselbe Scan als E-Mail-Anhang, unterwegs durchs Internet, ist „in Übertragung“. Sicherheitsleute achten auf den Unterschied, weil die Bedrohungen verschieden sind: Jemand, der eine Verbindung abfängt, ist das eine Problem, jemand, der ein verlorenes Handy oder einen gestohlenen Laptop aufhebt, das andere.
Das Handy ist der Ort, an dem deine Versicherungskarte, dein Mietvertrag und die Fotos deiner Steuererklärung landen, und Handys gehen verloren. Verschlüsselung ruhender Daten ist das Schloss an dieser Schublade.
Was Verschlüsselung ruhender Daten ist
Das NIST, die US-Normungsbehörde, definiert Verschlüsselung als die Umwandlung lesbarer Daten, Klartext genannt, in eine Form, Chiffretext genannt, die die ursprüngliche Bedeutung der Daten verbirgt, damit sie nicht bekannt werden oder genutzt werden können. Ist die Umwandlung umkehrbar, heißt die Umkehrung Entschlüsselung. Der Schlüssel macht sie umkehrbar: kein Schlüssel, kein Lesen.
Der NIST-Leitfaden zur Speicherverschlüsselung auf Endgeräten, SP 800-111, beschreibt sie als Einsatz von Verschlüsselung und Authentifizierung, um Zugriff auf gespeicherte Informationen und deren Nutzung zu beschränken. Er nennt drei übliche Ansätze: Verschlüsselung der ganzen Festplatte, Verschlüsselung von Volumes und virtuellen Laufwerken sowie Verschlüsselung von Dateien oder Ordnern. Die richtige Wahl hängt laut Leitfaden vor allem von der Art des Speichers ab, davon, wie viel Information zu schützen ist, wo der Speicher aufbewahrt wird und welche Bedrohungen du abwehren willst.
Apples Ansatz auf dem iPhone ist die Variante auf Dateiebene. Apples Sicherheitsleitfaden sagt, Data Protection ordnet jede Datei einer Klasse zu, und ob auf eine Datei zugegriffen werden kann, hängt davon ab, ob die Schlüssel dieser Klasse entsperrt wurden. Jedes Mal, wenn auf dem Datenvolume eine Datei erstellt wird, erzeugt Data Protection dafür einen neuen 256-Bit-Schlüssel und übergibt ihn einer Hardware-Verschlüsselungseinheit, die die Datei beim Schreiben in den Flash-Speicher verschlüsselt.
Wie es aussieht
Verschlüsselung ruhender Daten ist nichts, was du siehst. Sie zeigt sich an ein paar Stellen, und die Tabelle unten trennt, was sie abdeckt, von dem, was nicht.
| Situation | Durch Verschlüsselung ruhender Daten abgedeckt? | Was du prüfst |
|---|---|---|
| Handy im gesperrten Zustand verloren oder gestohlen | Ja, genau dafür ist sie gemacht | Starken Code und kurze automatische Sperre verwenden |
| Handy entsperrt weitergegeben | Nein | Kurze automatische Sperre; Face ID für sensible Apps |
| Datei gemailt oder hochgeladen | Nein (das ist Verschlüsselung bei der Übertragung) | Sicheren Link oder verschlüsselten Anhang verwenden |
| Laptop-Festplatte ausgebaut und anderswo gelesen | Ja, mit aktivierter Festplattenverschlüsselung | In den Systemeinstellungen prüfen, dass sie aktiv ist |
| Cloud-Backup oder Synchronisierung | Hängt vom Anbieter und den Einstellungen ab | Die Beschreibung des Anbieters lesen, was verschlüsselt wird |
| Papierausdruck | Nein | Schreddern (Schreddern) |
Die ehrliche Grenze ist die zweite Zeile. Verschlüsselung ruhender Daten schützt gespeicherte Daten vor jemandem, der das Gerät oder den Speicher hat, aber nicht den Schlüssel. Gegen jemanden, der schon in einer entsperrten Sitzung ist, oder gegen eine Person, der du die Datei gegeben hast, richtet sie nichts aus.
Was du aufbewahrst und wie lange
Verschlüsselung ist kein Dokument, es gibt also nichts abzuheften. Was sich aufzubewahren lohnt, sind die Gewohnheit und ein paar Fakten.
- Dein Code und deine Wiederherstellungsdaten. Wenn du den Schlüssel verlierst, können verschlüsselte Daten für immer weg sein. Bewahre Wiederherstellungsdaten an einem sicheren, getrennten Ort auf, etwa in deinem digitalen Notfallordner.
- Ein verschlüsseltes Backup. Verschlüsselung ersetzt keins. Siehe wichtige Dokumente sichern.
- Eine Notiz, wo sensible Dateien liegen und welche Apps sie schützen. Wie lange du die Dokumente selbst aufbewahrst, ist eine andere Frage: siehe Aufbewahrung von Dokumenten.
Ein Tipp, den man kennen sollte: Manche Formate sind dafür gebaut, in Jahrzehnten noch lesbar zu sein, und verbieten Verschlüsselung in der Datei. PDF/A, der Archivstandard für PDF, ist eines. Die übliche Antwort ist, den Speicher zu schützen, nicht die Datei.
Wo Paperlock hineinpasst: Seine Dokumente werden mit iOS Data Protection verschlüsselt auf dem Handy gespeichert, und die App legt darüber eine Sperre mit Face ID oder Code. Das ist dieselbe Schicht für ruhende Daten wie oben beschrieben, plus ein Schloss für den Fall des entsperrten Handys.