Key Management (Schlüsselmanagement)

Definition

Key Management (Schlüsselmanagement) bezeichnet die sichere Verwaltung kryptografischer Schlüssel über deren gesamten Lebenszyklus hinweg. Dazu gehören die Erstellung, Verteilung, Speicherung, Nutzung, Rotation, Archivierung und Löschung von Schlüsseln.

Kryptografische Schlüssel werden verwendet, um Daten zu verschlüsseln, digitale Signaturen zu erzeugen oder sichere Verbindungen (z. B. TLS) aufzubauen. Ohne ein strukturiertes Key Management verlieren Verschlüsselungsmaßnahmen ihre Wirksamkeit, da kompromittierte oder falsch verwaltete Schlüssel ein erhebliches Sicherheitsrisiko darstellen.

Bedeutung für Unternehmen

In Unternehmensumgebungen schützt Key Management sensible Informationen wie Kundendaten, Finanzdaten, E-Mails oder Cloud-Daten vor unbefugtem Zugriff. Besonders relevant ist dies bei:

• Cloud-Services (z. B. Microsoft 365)
• Datenbankverschlüsselung
• VPN- und TLS-Zertifikaten
• Backup- und Storage-Systemen

Fehler im Schlüsselmanagement – etwa dauerhaft genutzte Schlüssel ohne Rotation oder ungesicherte Speicherung – können dazu führen, dass Angreifer trotz Verschlüsselung Zugriff auf vertrauliche Daten erhalten.

Praxisbeispiel

Ein mittelständisches Unternehmen speichert vertrauliche Kundendaten in einer Cloud-Anwendung. Die Daten sind verschlüsselt, jedoch werden die Schlüssel lokal in einer ungeschützten Datei abgelegt. Kommt es zu einem Systemeinbruch, können Angreifer sowohl die verschlüsselten Daten als auch die zugehörigen Schlüssel entwenden.

Ein professionelles Key Management würde hier beispielsweise Hardware-Sicherheitsmodule (HSM), regelmäßige Schlüsselrotation und klar definierte Zugriffsrechte vorsehen.

Zusammenhang mit ISO 27001 und NIS2

Sowohl ISO 27001 als auch die NIS2-Richtlinie verlangen angemessene technische und organisatorische Maßnahmen zum Schutz sensibler Informationen. Ein dokumentiertes und überprüfbares Key Management ist dabei ein zentraler Bestandteil des kryptografischen Schutzkonzepts.

Unternehmen müssen sicherstellen, dass kryptografische Verfahren nicht nur implementiert, sondern auch nachhaltig und kontrolliert betrieben werden.

‍