Bearbeiten von „Daten-Verschlüsselung in der Cloud“

== Daten-Verschlüsselung in der Cloud ==

Verschlüsselung ist der wichtigste Schutzmechanismus, um die Vertraulichkeit und Integrität von Informationen sicherzustellen. In der Cloud-Architektur unterscheiden wir grundsätzlich zwischen zwei Zuständen von Daten, die jeweils unterschiedliche Schutzmaßnahmen erfordern.

=== 1. Encryption in Transit (Datenübertragung) ===
'''Encryption in Transit''' schützt Daten, während sie sich über ein Netzwerk bewegen – sei es über das öffentliche Internet oder innerhalb des internen Cloud-Netzwerks.

* '''Ziel:''' Schutz vor "Man-in-the-Middle"-Angriffen und Abhören der Kommunikation.
* '''Technologien:''' 
** '''TLS (Transport Layer Security):''' Der Standard für HTTPS-Verbindungen. 
** '''mTLS (Mutual TLS):''' In Service Meshes üblich; hier authentifizieren sich sowohl Client als auch Server gegenseitig durch Zertifikate.
** '''IPsec:''' Häufig genutzt für VPN-Verbindungen zwischen On-Premise-Rechenzentren und der Cloud.



=== 2. Encryption at Rest (Ruhende Daten) ===
'''Encryption at Rest''' schützt Daten, die dauerhaft auf einem Speichermedium liegen (Festplatten, Objektspeicher, Datenbanken).

* '''Ziel:''' Schutz der Daten bei physischem Diebstahl der Hardware oder unbefugtem Zugriff auf die Speicherschicht.
* '''Ebenen der Verschlüsselung:'''
** '''Full Disk Encryption (FDE):''' Verschlüsselung der gesamten physikalischen oder virtuellen Festplatte.
** '''Application Level Encryption:''' Die Anwendung verschlüsselt sensible Felder (z. B. Kreditkartennummern) selbst, bevor sie in die Datenbank geschrieben werden.
** '''Transparent Data Encryption (TDE):''' Datenbank-Feature, bei dem Dateien automatisch beim Schreiben verschlüsselt und beim Lesen entschlüsselt werden.

=== 3. Schlüsselmanagement (KMS) ===
Verschlüsselung ist nur so sicher wie die Aufbewahrung der kryptografischen Schlüssel. Cloud-Anbieter bieten hierfür '''Key Management Services (KMS)''' an:

* '''Customer Master Keys (CMK):''' Der Hauptschlüssel, der oft in einem Hardware Security Module (HSM) sicher aufbewahrt wird.
* '''Envelope Encryption:''' Ein Verfahren, bei dem Daten mit einem Datenschlüssel verschlüsselt werden und dieser Datenschlüssel wiederum mit einem Master-Key verschlüsselt wird. Dies optimiert die Performance bei großen Datenmengen.



=== 4. Vergleich der Zustände ===

{| class="wikitable"
! Merkmal !! Encryption in Transit !! Encryption at Rest
|-
| '''Wann?''' || Während der Bewegung (Netzwerk). || Während der Speicherung (Disk/DB).
|-
| '''Primäre Bedrohung''' || Abfangen von Paketen (Sniffing). || Unbefugter Zugriff auf Datenträger.
|-
| '''Werkzeug''' || SSL/TLS Zertifikate. || AES-256, KMS, Disk Encryption.
|}

=== 5. Zusammenfassung ===
Eine moderne Cloud-Strategie verfolgt den "Zero Trust"-Ansatz: Daten werden an jedem Punkt verschlüsselt. Während TLS die "Röhre" schützt, durch die Daten fließen, sorgt die Verschlüsselung At-Rest dafür, dass die Daten selbst dann wertlos sind, wenn sie in die falschen Hände geraten.

'''Zusammenfassend:''' Verschlüsselung ist in der Cloud heute kein optionales Feature mehr, sondern durch regulatorische Anforderungen (wie DSGVO) und technische Best Practices der Standard für jede Applikation.