Reifegrad · Schutz sensibler Daten und fortgeschrittene Kryptografie

Dieser Referenzrahmen bewertet, wie eine Organisation ihre sensiblen Daten identifiziert, klassifiziert und schützt, sowie den Umgang mit den kryptografischen Mechanismen, die sie absichern. Er umfasst die Datenklassifizierung, die Verschlüsselung im Ruhezustand, während der Übertragung und bei der Nutzung, die Verwaltung des Lebenszyklus von Schlüsseln und Secrets, Anonymisierungs- und Pseudonymisierungstechniken, die sichere Weitergabe an Dritte sowie die Antizipation kryptografischer Entwicklungen. Es handelt sich nicht um eine technische Konfigurationsprüfung, sondern um eine Bewertung der Management- und Governance-Praktiken.

In der Praxis sind diese Themen schwer zu steuern, weil das Wissen verteilt ist. Über Verschlüsselung entscheiden die Infrastrukturteams, über Klassifizierung die Fachbereiche, über Schlüssel teils externe Administratoren. Drei Fragen genügen, um die Lücke aufzudecken: Wissen Sie, welche Datenbanken sensible Daten enthalten, und seit wann wurde dieses Inventar nicht mehr überprüft? Wer kann technisch auf einen Produktionsschlüssel zugreifen, und wird dieser Zugriff protokolliert? Was geschieht, wenn ein Dienstleister sowohl die verschlüsselten Daten als auch die Schlüssel besitzt?

Ein Kontexthinweis ist angebracht. Der Übergang zur Post-Quanten-Kryptografie ist im Gange: Sicherheitsbehörden, darunter die ANSSI, empfehlen die Hybridisierung der Mechanismen und den Aufbau eines kryptografischen Inventars zur Vorbereitung der Migrationen. Damit verschiebt sich das Thema vom technischen Register hin zu einem Transformationsprogramm, mit einem zu erstellenden Inventar, zu qualifizierenden Lieferantenabhängigkeiten und einer mehrjährigen, zu finanzierenden Trajektorie. Viele Organisationen haben von dem Thema Kenntnis genommen, ohne mit dem Inventar begonnen zu haben, das die Voraussetzung dafür ist.

Die Reifegradanalyse beantwortet eine andere Frage als ein Konformitätsaudit. Das Audit schließt mit einer Abweichung oder einer Konformität gegenüber einer Anforderung. Die Analyse verortet jede Praxis auf einer progressiven Skala und benennt die konkrete Maßnahme, die zum nächsten Niveau führt: von einer dokumentierten zu einer angewandten Klassifizierung, von einer manuellen zu einer automatisierten und protokollierten Schlüsselrotation. Das Ergebnis ist kein Urteil, sondern eine bezifferte Trajektorie, vergleichbar zwischen Business Units und im Zeitverlauf.

In Datamensio ist der Referenzrahmen sofort einsatzbereit und anpassbar. Die KI passt die Themenfelder an, formuliert die Fragen entsprechend Ihrem internen Vokabular um, verfeinert die Niveaus nach der CMMI-Logik oder erstellt eine Variante auf Basis Ihrer Sicherheitsrichtlinie und Ihrer bestehenden kryptografischen Standards.