Wenn Verschlüsselung ruhender Daten nicht möglich ist: Ein CISO-Leitfaden für belastbare kompensierende Kontrollen

Die Audit-Feststellung landete mit dem vertrauten Nachdruck auf dem Schreibtisch von CISO Sarah Chen. Eine kritische, umsatzrelevante Legacy-Datenbank – das operative Herzstück der Fertigungslinie des Unternehmens – unterstützte keine moderne Verschlüsselung ruhender Daten. Die zugrunde liegende Architektur war zehn Jahre alt, und der Hersteller hatte Sicherheitsaktualisierungen längst eingestellt. Der Auditor stufte dies zu Recht als wesentliches Risiko ein. Die Empfehlung lautete: „Alle sensiblen ruhenden Daten mit branchenüblichen Algorithmen verschlüsseln.“

Für Sarah war das nicht nur ein technisches Problem, sondern eine Krise für die Aufrechterhaltung des Geschäftsbetriebs. Ein Upgrade des Systems hätte monatelange Ausfallzeiten und Kosten in Millionenhöhe bedeutet – für die Geschäftsleitung keine Option. Eine große Menge sensiblen geistigen Eigentums unverschlüsselt zu belassen, war jedoch ein inakzeptables Risiko und eine klare Abweichung vom Informationssicherheitsmanagementsystem (ISMS) des Unternehmens.

Dieses Szenario entspricht der Realität der Cybersicherheit: Perfekte Lösungen sind selten, und Compliance lässt sich nicht pausieren. Es tritt auf, wenn kritische Backup-Dateien auf Legacy-Systemen gespeichert werden, wenn ein zentraler SaaS-Anbieter „technische Einschränkungen“ geltend macht oder wenn Hochleistungsanwendungen unter dem Overhead von Verschlüsselung nicht mehr stabil funktionieren. Die Lehrbuchantwort „einfach verschlüsseln“ prallt häufig auf eine komplexe Betriebsrealität.

Was also geschieht, wenn die primäre, geforderte Kontrolle nicht zur Verfügung steht? Man akzeptiert das Risiko nicht einfach. Man baut eine intelligentere und resilientere Verteidigung mit kompensierenden Kontrollen auf. Dabei geht es nicht um Ausreden, sondern um den Nachweis eines reifen, risikobasierten Sicherheitsmanagements, das auch einer strengen Auditprüfung standhält.

Warum Verschlüsselung ruhender Daten eine Anforderung mit hoher Tragweite ist

Verschlüsselung ruhender Daten ist eine grundlegende Kontrolle in allen modernen Sicherheitsrahmenwerken, darunter ISO/IEC 27001:2022, GDPR Article 32, NIS2, DORA und NIST SP 800-53 SC-28. Ihr Zweck ist einfach, aber wesentlich: gespeicherte Daten unlesbar zu machen, wenn physische oder logische Schutzmaßnahmen versagen. Ein verlorenes Backup-Band oder ein gestohlener Server mit unverschlüsselten Daten ist nicht nur ein technischer Fehler, sondern häufig eine meldepflichtige Datenschutzverletzung.

Die Risiken sind eindeutig und erheblich:

• Diebstahl oder Verlust portabler Medien wie USB-Laufwerke und Backup-Bänder.
• Datenexposition durch nicht verwaltete, vergessene oder veraltete Geräte.
• Unmöglichkeit, native Festplatten- oder Datenbankverschlüsselung in bestimmten SaaS-, Cloud-, OT- oder Legacy-Kontexten anzuwenden.
• Risiken bei der Datenwiederherstellung, wenn Verschlüsselungsschlüssel verloren gehen oder falsch verwaltet werden.

Diese Anforderungen sind nicht nur technischer Natur, sondern auch regulatorisch relevant. GDPR Article 32 und DORA Articles 5 and 10 erkennen Verschlüsselung ausdrücklich als „geeignete technische Maßnahme“ an. NIS2 definiert sie als Grundlage für die Sicherstellung der Integrität von Systemen und Informationen. Wenn diese primäre Verteidigung nicht umsetzbar ist, liegt die Nachweispflicht bei der Organisation: Sie muss belegen, dass ihre alternativen Maßnahmen gleichermaßen wirksam sind.

Vom einzelnen Kontrollkästchen zur mehrschichtigen Verteidigung

Die reflexartige Reaktion auf eine Audit-Feststellung wie die von Sarah ist häufig Panik. Ein gut strukturiertes ISMS antizipiert solche Situationen jedoch. Sarahs erster Schritt war nicht der Anruf beim Infrastrukturteam, sondern das Öffnen der Richtlinie zu kryptografischen Kontrollen ihrer Organisation, eines Dokuments auf Basis der Enterprise-Vorlagen von Clarysec. Sie navigierte direkt zu einer Klausel, die die Grundlage ihrer Strategie bildete.

Gemäß der Richtlinie zu kryptografischen Kontrollen beschreibt Abschnitt 7.2.3 ausdrücklich den Prozess zur Festlegung von:

„Spezifischen anzuwendenden kompensierenden Kontrollen“

Diese Klausel ist für einen CISO besonders wertvoll. Sie erkennt an, dass ein Einheitsansatz für Sicherheit nicht tragfähig ist, und stellt einen freigegebenen Weg zur Risikobehandlung bereit. Die Richtlinie steht nicht isoliert. Wie in Klausel 10.5 festgelegt, ist sie unmittelbar mit der Richtlinie zur Datenklassifizierung und Kennzeichnung verknüpft, die „die Klassifizierungsstufen (z. B. Vertraulich, regulierte Daten) definiert, die spezifische Verschlüsselungsanforderungen auslösen.“

Diese Verknüpfung ist entscheidend. Die Daten in der Legacy-Datenbank waren als „Vertraulich“ klassifiziert; deshalb wurde die fehlende Verschlüsselung beanstandet. Sarahs Auftrag war damit klar: eine so robuste Schicht aus kompensierenden Kontrollen aufzubauen, dass das Expositionsrisiko auf ein akzeptables Maß reduziert wird.

Aufbau einer belastbaren Strategie mit dem Zenith Blueprint

Verschlüsselung ist ein Grundpfeiler moderner Sicherheit. Doch wie Clarysecs Zenith Blueprint: 30-Schritte-Roadmap für Auditoren in Schritt 21 erläutert, geht es bei Maßnahme 8.24 Kryptografieeinsatz nicht darum, Verschlüsselung schlicht „einzuschalten“. Vielmehr geht es darum, „Kryptografie in Design, Richtlinien und Lebenszyklusmanagement der Organisation einzubetten.“

Wenn ein Teil des Designs – hier die Legacy-Datenbank – nicht mitzieht, müssen Richtlinie und Lebenszyklusaspekte dies kompensieren. Sarahs Team nutzte dieses Rahmenwerk, um eine mehrschichtige Verteidigung zu entwerfen, die darauf ausgerichtet war, die Daten niemals aus ihrem sicheren, wenn auch unverschlüsselten, Container entweichen zu lassen.

Kompensierende Kontrolle 1: Data Loss Prevention (DLP)

Wenn die Daten an ihrem Speicherort nicht verschlüsselt werden können, muss sichergestellt werden, dass sie diesen Ort nicht verlassen. Sarahs Team implementierte eine Data-Loss-Prevention-Lösung (DLP) als digitalen Schutzposten. Das war keine einfache Netzwerkregel, sondern eine ausgereifte, inhaltsbezogene Kontrolle.

Mithilfe von Clarysecs Zenith Controls: Leitfaden für frameworkübergreifende Compliance konfigurierte das Team das DLP-System auf Basis der Leitlinien zu ISO/IEC 27001:2022 Maßnahme 8.12 Verhinderung von Datenlecks. Die Regeln wurden unmittelbar aus 5.12 Classification of information abgeleitet. Alle Daten, die den Schemata der als „Vertraulich“ klassifizierten Informationen in der Legacy-Datenbank entsprachen, wurden automatisch für die Übertragung per E-Mail, Web-Upload oder sogar per Kopieren und Einfügen in andere Anwendungen blockiert.

Wie Zenith Controls erläutert:

„Data Loss Prevention (DLP) hängt grundlegend von präziser Datenklassifizierung ab. Maßnahme 5.12 stellt sicher, dass Daten entsprechend ihrer Sensitivität gekennzeichnet werden … DLP ist eine spezialisierte Form der kontinuierlichen Überwachung, die auf Datenbewegungen ausgerichtet ist … 8.12 kann Verschlüsselungsrichtlinien für Daten durchsetzen, die die Organisation verlassen, sodass sie selbst bei Exfiltration für unbefugte Parteien unlesbar bleiben.“

Diese Kontrolle ist in mehreren Rahmenwerken anerkannt und lässt sich GDPR Art. 32, NIS2 Art. 21, DORA Art. 10 und NIST SP 800-53 SI-4 zuordnen. Durch ihre Umsetzung schuf Sarahs Team eine starke Schutzschicht, die sicherstellte, dass die unverschlüsselten Daten isoliert blieben.

Kompensierende Kontrolle 2: Datenmaskierung für Nichtproduktivnutzung

Eines der größten Risiken für Legacy-Daten ist ihre Nutzung in anderen Umgebungen. Das Entwicklungsteam benötigte regelmäßig Daten aus dem Fertigungssystem, um neue Anwendungsfunktionen zu testen. Ihnen unverschlüsselte, vertrauliche Daten bereitzustellen, kam nicht infrage.

Hier griff Sarah auf Schritt 20 des Zenith Blueprint zurück, der 8.11 Data masking behandelt. Der Leitfaden weist darauf hin, dass Auditoren gezielt fragen werden: „Verwenden Sie jemals echte personenbezogene Daten in Testsystemen? Falls ja, wie werden diese geschützt?“

Entsprechend dieser Leitlinie implementierte Sarahs Team ein strenges Verfahren zur Datenmaskierung. Jeder vom Entwicklungsteam angeforderte Datenexport musste einen automatisierten Prozess durchlaufen, der sensible Felder pseudonymisierte oder anonymisierte. Kundennamen, proprietäre Formeln und Produktionskennzahlen wurden durch realistische, aber künstliche Daten ersetzt. Diese einzelne Kontrolle eliminierte eine große Angriffsfläche und stellte sicher, dass sensible Daten ihre streng kontrollierte Produktivumgebung nie in ihrer ursprünglichen Form verließen.

Kompensierende Kontrolle 3: Gehärtete physische und logische Kontrollen

Nachdem Datenabfluss und Nichtproduktivnutzung adressiert waren, konzentrierte sich die letzte Verteidigungsebene auf das System selbst. Auf Grundlage der Prinzipien aus 7.10 Storage media in Zenith Controls behandelte Sarahs Team den physischen Server als Hochsicherheits-Asset. Zwar wird 7.10 häufig mit Wechselmedien verbunden, doch seine Prinzipien für Lebenszyklusmanagement und physische Sicherheit sind vollständig übertragbar.

Wie Zenith Controls hierzu feststellt:

„ISO/IEC 27002:2022 enthält in Klausel 7.10 umfassende Leitlinien für die sichere Verwaltung von Speichermedien über ihren gesamten Lebenszyklus hinweg. Der Standard empfiehlt Organisationen, ein Verzeichnis aller Wechselmedien zu führen …“

Nach dieser Logik wurde der Server in ein eigenes, verschlossenes Rack im Rechenzentrum verlagert, auf das nur zwei namentlich benannte leitende Ingenieure Zugriff hatten. Physischer Zugriff erforderte eine Anmeldung und wurde per CCTV überwacht. Netzseitig wurde der Server in ein segmentiertes „Legacy“-VLAN gestellt. Die Firewall-Regeln wurden nach dem Default-Deny-Prinzip konfiguriert; nur eine einzige explizite Regel erlaubte die Kommunikation vom benannten Anwendungsserver über einen bestimmten Port. Diese starke Isolation reduzierte die Angriffsfläche erheblich und machte die unverschlüsselten Daten faktisch unsichtbar und unzugänglich.

Im Audit bestehen: Eine belastbare Strategie aus mehreren Perspektiven darstellen

Als der Auditor zur Nachprüfung zurückkehrte, präsentierte Sarah keine Ausreden. Sie legte einen umfassenden Risikobehandlungsplan vor – einschließlich Dokumentation, Protokollen und Live-Demonstrationen der kompensierenden Kontrollen ihres Teams. Ein Audit ist kein einzelnes Ereignis, sondern ein Gespräch aus unterschiedlichen Blickwinkeln; ein CISO muss auf jeden davon vorbereitet sein.

Die Perspektive des ISO/IEC 27001-Auditors: Der Auditor wollte die operative Wirksamkeit sehen. Sarahs Team demonstrierte, wie das DLP-System eine nicht autorisierte E-Mail blockierte, zeigte die Ausführung des Datenmaskierungsskripts und legte physische Zutrittsprotokolle vor, die mit Arbeitstickets abgeglichen waren.

Die GDPR- und Datenschutzperspektive: Der Auditor fragte, wie Datenminimierung durchgesetzt wird. Sarah zeigte die automatisierten Skripte zur sicheren Löschung zwischengespeicherter Daten und den Pseudonymisierungsprozess für alle Daten, die das Produktivsystem verlassen, in Übereinstimmung mit GDPR Article 25 (Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen). Die Richtlinie zu kryptografischen Kontrollen – KMU weist dem Datenschutzbeauftragten ausdrücklich die Verantwortung zu, „sicherzustellen, dass Verschlüsselungskontrollen mit den Datenschutzpflichten nach Article 32 des GDPR übereinstimmen.“

Die NIS2/DORA-Perspektive: Diese Perspektive fokussiert auf operative Resilienz. Sarah legte Ergebnisse von Backup- und Wiederherstellungstests für das isolierte System sowie Sicherheitsnachweise des Herstellers zur Legacy-Software vor und demonstrierte damit proaktives Risikomanagement gemäß NIS2 Article 21 und DORA Article 9.

Die NIST/COBIT-Perspektive: Ein Auditor, der diese Rahmenwerke verwendet, achtet auf Governance und Kennzahlen. Sarah präsentierte das aktualisierte Risikoregister mit der formalen Akzeptanz des Restrisikos (COBIT APO13). Sie ordnete DLP NIST SP 800-53 SI-4 (System Monitoring), die Netzwerksegmentierung SC-7 (Boundary Protection) und die Zugriffskontrollen AC-3 und AC-4 zu. Damit belegte sie, dass SC-28 (Protection of Information at Rest) zwar nicht unmittelbar erfüllt wurde, jedoch ein gleichwertiges Kontrollset vorhanden war.

Wichtige Auditnachweise für kompensierende Kontrollen

Um ihre Strategie wirksam zu vermitteln, bereitete Sarahs Team Nachweise vor, die auf typische Prüfungserwartungen zugeschnitten waren.

Indem Sarah diese unterschiedlichen Perspektiven vorwegnahm, verwandelte sie eine mögliche Nichtkonformität in einen Nachweis der Informationssicherheitsreife.

Eine praxisnahe Zusammenfassung für Ihr nächstes Audit

Um die Strategie klar und belastbar darzustellen, erstellte Sarahs Team eine Übersichtstabelle im Risikobehandlungsplan. Diesen Ansatz kann jede Organisation übernehmen.

Frameworkübergreifende Compliance auf einen Blick

Eine starke Strategie mit kompensierenden Kontrollen ist über alle wesentlichen Rahmenwerke hinweg belastbar. Clarysecs Zenith Controls stellt die Zuordnungsmatrix bereit, damit Ihre Schutzmaßnahmen übergreifend verstanden und akzeptiert werden.

Fazit: Machen Sie Ihr schwächstes Glied zur Stärke

Die Geschichte der nicht verschlüsselbaren Legacy-Datenbank ist keine Geschichte des Scheiterns. Sie ist ein Beispiel für reifes, intelligentes Risikomanagement. Indem Sarahs Team die einfache Antwort „geht nicht“ nicht akzeptierte, verwandelte es eine erhebliche Schwachstelle in einen Nachweis seiner Defense-in-Depth-Strategie. Es zeigte, dass Sicherheit nicht darin besteht, ein einzelnes Kästchen mit der Aufschrift „Verschlüsselung“ abzuhaken. Entscheidend ist, das Risiko zu verstehen und eine durchdachte, mehrschichtige und auditierbare Verteidigung zu schaffen, die es wirksam mindert.

Auch Ihre Organisation wird unweigerlich ihre eigene Version dieser Legacy-Datenbank haben. Wenn Sie sie finden, betrachten Sie sie nicht als Hindernis. Betrachten Sie sie als Gelegenheit, ein resilienteres und belastbareres Sicherheitsprogramm aufzubauen.

Bereit, Ihr eigenes belastbares, auditfähiges Kontrollrahmenwerk aufzubauen? Beginnen Sie mit der richtigen Grundlage.

• Überprüfen Sie Ihr Richtlinienökosystem mit den umfassenden Richtlinien-Toolkits von Clarysec.
• Nutzen Sie The Zenith Blueprint: 30-Schritte-Roadmap für Auditoren als Leitfaden für Ihre Umsetzung.
• Verwenden Sie Zenith Controls: Leitfaden für frameworkübergreifende Compliance, damit Ihre Schutzmaßnahmen aus jeder Prüfungsperspektive standhalten.

Kontaktieren Sie Clarysec für einen maßgeschneiderten Workshop oder eine vollständige frameworkübergreifende Compliance-Bewertung. Denn in der heutigen regulatorischen Landschaft ist Vorbereitung die Kontrolle, auf die es ankommt.

Referenzen:

• Richtlinie zu kryptografischen Kontrollen
• Richtlinie zu kryptografischen Kontrollen – KMU
• Richtlinie zur Datenklassifizierung und Kennzeichnung
• Zenith Blueprint: 30-Schritte-Roadmap für Auditoren
• Zenith Controls: Leitfaden für frameworkübergreifende Compliance