Zum Hauptinhalt springen
Alle Maßnahmen

Maßnahme · ISO 27001

Kryptografie und Schlüssel sicher verwalten

Passende Schutzverfahren auswählen, technisch einrichten und Schlüssel von der Erzeugung bis zur sicheren Aussonderung beherrschen.

Verantwortlich: IT-Betrieb mit verantwortlicher SicherheitsrolleFachlich geprüft am

Vorhandene Unterlagen nutzen

Die gemeinsamen Vorgaben stehen in der Betriebsrichtlinie. Konkrete Profile, Zertifikate und Schlüsselbezüge bleiben in der vorhandenen Dienst- oder Schlüsselverwaltung; geheime Schlüssel gehören nicht in ein gewöhnliches Inventar.

Was du konkret tun musst

  1. 1

    Schutz und freigegebenes Profil festlegen

    Bestimme, wo Vertraulichkeit, Integrität oder Authentizität geschützt werden müssen. Nutze geeignete aktuelle Herstellerprofile und anerkannte Fachvorgaben für Verfahren, Parameter und notwendige Dauer; prüfe rechtliche sowie vertragliche Anforderungen und grenzüberschreitenden Einsatz. Lege Verantwortung und zulässige Verfahren an einer führenden Stelle fest. Beziehe Speicherung, Übertragung, mobile Geräte und Auswirkungen auf andere Schutzfunktionen ein.

  2. 2

    Schlüssellebenszyklus einrichten

    Verwende sichere Erzeugung und Ausgabe, geschützte Verteilung und Speicherung sowie angemessen begrenzten Zugriff. Prüfe Authentizität öffentlicher Schlüssel und Zertifikate. Regle Aktivierung, Erneuerung, Wiederherstellung, Sicherung, Archivierung, Widerruf und Vernichtung einschließlich kompromittierter Schlüssel und zulässiger Herausgabeanforderungen. Protokolliere die wesentlichen Verwaltungshandlungen und schütze geheime oder private Schlüssel vor Offenlegung, Verlust und Veränderung.

  3. 3

    Verfahren und Störfälle prüfen

    Vergleiche die reale Konfiguration mit dem freigegebenen Profil. Prüfe Berechtigungen, Ablauf und benötigte Erneuerung von Zertifikaten. Erprobe bei entsprechendem Bedarf Wiederherstellung und Widerruf mit geeignetem Testmaterial, ohne produktive Schlüssel offenzulegen. Bearbeite Fehler im bestehenden Betriebs- oder Vorfallvorgang und überprüfe Profile bei relevanten Änderungen und neuen Erkenntnissen.

Praxisbeispiel

Beispiel aus dem Betrieb

Fiktives Beispiel: Ein Dienst nutzt ein Zertifikat und verschlüsselte Sicherungen. Der Betrieb prüft Erneuerung und gesicherten Zugriff auf benötigtes Wiederherstellungsmaterial.

Schlüsselverlust vorbereiten
FestlegungDie befugte Vertretung kann das geeignete Ersatz- oder Wiederherstellungsverfahren ausführen, während der normale Asseteintrag nur den geschützten Ablageverweis enthält.
NachweisGeprüfte Rolle, Profilstand und Wiederherstellungsergebnis im vorhandenen Betriebsnachweis.

Ergebnis festhalten

  • Freigegebenes aktuelles Profil, Zuständigkeit und abgegrenzter Schlüsselbezug.
  • Tatsächliche sichere Konfiguration und geprüfte benötigte Lebenszyklusschritte.

Häufige Fehler bei der Umsetzung

Schlüssel zusammen mit den geschützten Daten offen ablegen

Trenne Zugriffsrechte und sichere Ablage passend zum Risiko. Der Inventareintrag benennt den geschützten Bezug, nicht das Geheimnis.

Bezug zur Anforderung

Die Zuordnungen zeigen, zu welchen Anforderungen diese Maßnahme beiträgt.

Controls und Standards ansehen
  • A.8.24 · Einsatz von Kryptographie

    Der Ablauf verbindet bedarfsgerechte wirksame Verfahren, Rechts- und Vertragsanforderungen, sichere Implementierung und den vollständigen passenden Schlüssellebenszyklus.

Vorlagen für die Umsetzung

Quellen und weiterführende Informationen