Verschlüsselung vs. Kryptografie: Was ist der Unterschied (und warum ist das wichtig?)

Durch Verschlüsselung sind Daten vor neugierigen Blicken geschützt. Aber was ist mit Kryptografie? Ist das nur ein anderer Name für dasselbe Konzept?

Nicht ganz. Obwohl diese Begriffe häufig synonym verwendet werden, sind sie nicht identisch. Hier erfahren Sie, was jeder Begriff in der Praxis bedeutet, wie er in der Cybersecurity verwendet wird und warum der Unterschied wichtig ist. 

Was ist Verschlüsselung?

Bei der Verschlüsselung werden lesbare Informationen mithilfe eines Schlüssels in unlesbare Informationen umgewandelt. Lesbare Informationen werden auch als Klartext bezeichnet, während unlesbare Informationen als Chiffretext bezeichnet werden. Sobald Daten verschlüsselt sind, sind sie effektiv „gesperrt“ – nur jemand mit dem richtigen Schlüssel kann das Schloss öffnen und die Daten entschlüsseln. 

Hier ist ein Beispiel.

Bob möchte Susan per E-Mail ein Update zu dem sensiblen Projekt senden, an dem sie arbeiten. Seine Botschaft ist einfach: „Phase 1 ist abgeschlossen.“ Wenn er diese Nachricht ohne Verschlüsselung sendet, ist es Angreifern möglich, die Unterhaltung digital abzuhören und seine Nachricht zu lesen. 

Durch die Verschlüsselung wird Bobs Nachricht scheinbar zu Kauderwelsch. Mithilfe eines Verschlüsselungs-Keys lautet die Nachricht nun: „2gnew Ln aog noaglss.“ Es ist zu beachten, dass der Chiffretext nicht dieselbe Länge wie das Original haben muss. Susan empfängt die Nachricht und wandelt sie mithilfe ihres Entschlüsselungs-Keys wieder in Klartext um. 

Es gibt zwei gängige Ansätze zur Verschlüsselung: symmetrisch und asymmetrisch.

Bei der symmetrischen Verschlüsselung ist der Key zum Verschlüsseln und Entschlüsseln von Nachrichten derselbe. Das bedeutet, dass es immer vertraulich behandelt werden muss. Die symmetrische Verschlüsselung ist einfach und schnell, birgt jedoch Risiken, wenn Keys versehentlich weitergegeben oder gestohlen werden.

Bei der asymmetrischen Verschlüsselung werden zwei unterschiedliche Keys verwendet. Zum Verschlüsseln der Daten wird ein öffentlicher Keys verwendet. Dieser Key kann frei weitergegeben werden, da er ausschließlich dazu dient, Klartext in Chiffretext umzuwandeln. Private Keys werden zum Entschlüsseln von Daten verwendet und müssen geheim gehalten werden.

Eines der gängigsten symmetrischen Frameworks ist der Advanced Encryption Standard (AES), der drei verschiedene Schlüssellängen verwendet: 128, 192 und 256 Bit. Je mehr Bits, desto schwieriger ist der Key zu knacken. Theoretisch würde es Millionen von Jahren dauern, bis ein Computer einen 256-Bit-Key knackt. 

Was ist Kryptografie?

Kryptografie ist das Fachgebiet, das sich mit sicherer Kommunikation befasst. Es umfasst drei große Bereiche: Vertraulichkeit, Integrität und Authentifizierung.

Vertraulichkeit: Dieser Aspekt der Kryptografie konzentriert sich auf die Verschleierung des Inhalts einer Nachricht. Verschlüsselung fällt unter diese Rubrik. 

Integrität: Die Datenintegrität gewährleistet, dass Originalnachrichten unverändert bleiben. Dies wird erreicht, indem die Nachricht selbst vor Manipulation oder Veränderung geschützt wird. In der Praxis könnte dies in Form von geschützten Unternehmensnetzwerken oder virtuellen privaten Netzwerken (VPNs) erfolgen, die digitales Abhören verhindern. 

Authentifizierung: Bei der Authentifizierung geht es um Identität. Ist der Absender der Nachricht der, der er vorgibt zu sein? Ist die Person, die versucht, auf die Nachricht zuzugreifen, der beabsichtigte Empfänger? Auf der Absenderseite verwenden fortschrittliche E-Mail-Schutz-Tools KI-Algorithmen, um potenzielle Bedrohungen zu erkennen und zu eliminieren. Auf der Empfängerseite können Lösungen wie die Multifaktor-Authentifizierung (MFA) bei der Überprüfung von Nutzeridentitäten helfen. 

Wie wirkt sich Verschlüsselung auf die Cybersecurity aus?

Ohne wirksame Verschlüsselung können Unternehmen finanzielle, geistige und persönliche Daten verlieren. 

Denken Sie an das jüngste Durchsickern von mehr als 184 Millionen Nutzer-Zugangsdaten. Die in einer öffentlich zugänglichen Datenbank gespeicherten Zugangsdaten decken alles ab, von Google- und Apple-Anmeldungen bis hin zu Anmeldungen für staatliche Dienste und Videospielplattformen. 

Der gemeinsame Nenner? Keine Verschlüsselung. Sobald sie sich in der Datenbank befanden – die selbst nicht passwortgeschützt war –, gab es für die Cyberkriminellen keine Hindernisse mehr, sich die gewünschten Daten anzueignen und diese zum Kompromittieren von Konten zu verwenden. Glücklicherweise wurde das Datenleck von Sicherheitsforschern gefunden, bevor bösartige Akteure darauf zugreifen konnten, und die Datenbank ist jetzt offline.

Selbst wenn die Datenbank verschlüsselt wäre, wäre die Security dadurch jedoch nicht garantiert. Mit der Weiterentwicklung der Technologien werden Angreifer immer geschickter darin, Schwachstellen in Verschlüsselungsprozessen zu finden und auszunutzen. Beispielsweise verwenden ältere Methoden wie der Data Encryption Standard kleinere Schlüssellängen, die sie für Angreifer anfällig machen.

Die Kryptographieforschung hilft dabei, neue Verschlüsselungsmethoden zu entdecken und zu testen. Zum Beispiel hat NIST kürzlich seinen ersten Satz quantenresistenter Verschlüsselungsalgorithmen veröffentlicht. Dies ist eine Reaktion auf die rasante Entwicklung von Quantencomputern, die möglicherweise die Zeit verkürzen können, die zum Brechen aktueller Standards wie AES 256 erforderlich ist. 

Warum ist der Unterschied wichtig?

Angesichts der Überschneidung zwischen Verschlüsselung und Kryptografie ist es keine Überraschung, dass die Begriffe oft verwechselt werden. Im Allgemeinen hat dies nur minimale Auswirkungen auf das Ergebnis der Cybersecurity. Solange die Daten geschützt sind, ist die Terminologie weniger wichtig.

Der Unterschied liegt in der Entwicklung neuer Lösungen und Security-Techniken. Obwohl die Verschlüsselung eine Schlüsselkomponente einer wirksamen Verteidigung darstellt, ist sie nur ein Teil eines größeren Ganzen. Allein verhindert sie, dass Angreifer auf sensible Daten zugreifen können, löst jedoch keine Probleme hinsichtlich Integrität oder Authentizität. 

Für Unternehmen stellt die Verschlüsselung die erste Verteidigungslinie dar: Selbst wenn Daten gestohlen werden, bleiben sie unbrauchbar. Integrität und Authentifizierung tragen unterdessen dazu bei, einen ganzheitlichen Ansatz für Cybersecurity zu schaffen, der das Gesamtrisiko reduziert.