Zwei Vorhängeschlösser vor blauem Hintergrund in einem weißen Rahmen. Das linke Vorhängeschloss ist geöffnet, das rechte geschlossen.
Security

Hybride Verschlüsselung erklärt – so kommunizieren Sie sicher in Datennetzen

Ohne Verschlüsselung keine sichere Datenübertragung im Internet. Doch welche Verfahren sind sicher genug für Ihre Firmendaten? Erfahren Sie hier, was eine hybride Verschlüsselung ist und welche Stärken und Schwächen sie hat.

E-Mails, Kundendaten und auch Ihre letzte Online-Bestellung beim Lieferanten: Im Internet werden jeden Tag viele Milliarden vertraulicher Daten versendet. Damit Passwörter und Codeschlüssel nicht in falsche Hände geraten, gibt es verschiedene Verschlüsselungsarten. Die hybride Verschlüsselung kombiniert gleich mehrere.

Inhaltsverzeichnis

Was ist hybride Verschlüsselung?

Die hybride Verschlüsselung ist eine im Internet und vielen anderen Datennetzen verbreitete Verschlüsselung, die mehrstufig arbeitet und dabei unterschiedliche Verschlüsselungsverfahren verwendet.
Üblicherweise kombiniert sie je ein symmetrisches und ein asymmetrisches Verschlüsselungsverfahren, um von deren jeweiligen Stärken zu profitieren. Theoretisch gibt es dabei sehr viele mögliche Paarungen. In der Praxis haben sich jedoch bestimmte Kombinationen etabliert.
Zu den bekanntesten davon gehören Transport Layer Security (TLS) und dessen heute nicht mehr genutzter Vorgänger Secure Sockets Layer (SSL).
Zusammen mit dem Internetprotokoll http für Internetseiten bildet TLS das verschlüsselte Übertragungsprotokoll https, über das heute mehr als 95 Prozent aller Webseiten verschlüsselt übertragen werden. Jedes Mal, wenn Sie in Ihrem Browser das Schlosssymbol für eine solche sichere https-Webverbindung sehen, nutzen sie also auch das hybride TLS-Protokoll.
Auch IPsec, eine Sammlung mehrerer Verschlüsselungsprotokolle für das Internet, greift beim Aufbau sogenannter Virtual Private Networks (VPN) auf eine mehrstufige hybride Verschlüsselung zurück. Ein solches VPN können Sie beispielsweise verwenden, um aus Ihrem Homeoffice heraus über das öffentliche Internet eine sichere verschlüsselte Verbindung mit Ihrem Firmennetz aufzubauen.
Unkenntlicher Computerhacker tippt auf einem Smartphone

Lookout: Die Sicherheitslösung für mobile Endgeräte

Schützen Sie Ihre gemeinschaftlich genutzten mobilen Endgeräte ganz einfach mit der Lookout-App vor Cyber-Angriffen.

Installieren Sie einfach die Lookout-App auf allen mobilen Geräten Ihres Unternehmens. Oder integrierten Sie Lookout Advanced in Ihre bestehenden Unified Endpoint Management-Lösungen (UEM) und steuern somit den einfachen Roll-Out in Ihrer mobilen Flotte.

Wie funktioniert hybride Verschlüsselung?

Moderne Computersysteme ermöglichen dank ihrer hohen Rechenleistung inzwischen eine sehr leistungsfähige Verschlüsselung von Texten und auch Bild- und Tondaten – sogar in Echtzeit. Aktuelle symmetrische Verschlüsselungsverfahren arbeiten hierbei mit einer mehrstufigen Verschlüsselung und teilweise sehr langen Codeschlüsseln, sodass diese Verfahren auch durch Häufigkeitsanalysen nicht mehr zu knacken sind.
Bei einer Häufigkeitsanalyse suchen Codebrecher gezielt nach Zeichen, die in einem verschlüsselten Text besonders häufig zu finden sind. Da in deutschen Texten die Buchstaben E, N und I am häufigsten vorkommen, entsprechen die drei häufigsten Zeichen eines einfach verschlüsselten Dokumentes mit hoher Wahrscheinlichkeit diesen drei Buchstaben des unverschlüsselten Originaltextes. Aktuelle Verschlüsselungsverfahren berücksichtigen dies und verschlüsseln die Buchstaben bei jedem Vorkommen im Text anders.
Ein viel gravierenderes Problem jeglicher Verschlüsselung ist allerdings das sogenannte Schlüsselaustauschproblem. Hierunter verstehen Kryptograph:innen die Notwendigkeit, vor jeder verschlüsselten Übertragung zuerst den eigentlichen Codeschlüssel im Klartext an den:die Empfänger:in zu übermitteln.
Im Internet, wo theoretisch jede Verbindung von Dritten mitgelesen werden kann, gibt es hierfür jedoch keinen sicheren Übertragungsweg. Eine separate Übermittlung des Schlüssels in einem versiegelten Umschlag, wie sie früher häufig genutzt wurde, scheidet aus praktischen und zeitlichen Gründen meist aus.
Daher kombinieren hybride Verschlüsselungsverfahren die symmetrische Verschlüsselung mit einer vorherigen asymmetrischen Verschlüsselung, die ausschließlich für die Übertragung von Codeschlüsseln genutzt wird. Denn bei asymmetrischen Verfahren gibt es kein Schlüsselaustauschproblem.
Asymmetrische Verschlüsselungsverfahren heißen deswegen so, weil sie ihre Inhalte nicht mit ein und demselben Codeschlüssel ver- und entschlüsseln, sondern immer ein Paar aus zwei zusammenhängenden Schlüsseln verwenden. Das Erzeugen solcher Codeschlüssel ist rechenaufwändig und basiert unter anderem auf der Kombination zweier Primzahlen.
Wird ein Dokument mit einem asymmetrischen Schlüssel aus einem solchen Paar verschlüsselt, so kann es nur mit dem jeweils anderen zugehörigen Codeschlüssel wieder entschlüsselt werden. Die Verschlüsselung ist somit asymmetrisch, weil sie zwei verschiedene Schlüssel für die Ver- und Entschlüsselung nutzt.
In der Praxis funktioniert die hybride Verschlüsselung über das Internet wie folgt: Kommunikationspartner:in 1 erzeugt auf dem eigenen Computer ein asymmetrisches Schlüsselpaar und sendet einen der beiden Schlüssel, den sogenannten „öffentlichen Schlüssel“ über das Internet an Kommunikationspartner:in 2.
Dieser Schlüssel könnte unterwegs theoretisch von Dritten mitgelesen werden. Doch das ist keine Gefahr, denn der andere Schlüssel, der sogenannte „private Schlüssel“ verbleibt sicher auf dem Computer von Kommunikationspartner:in 1.
Nun nutzt Kommunikationspartner:in 2 diesen öffentlichen Schlüssel, um damit einen dritten Schlüssel zu kodieren und sendet diese verschlüsselte Information an Kommunikationspartner:in 1.
Einzig Kommunikationspartner:in 1 ist nun in der Lage, mit dem geheim gehaltenen privaten Schlüssel das Datenpaket wieder zu entschlüsseln und daraus den dritten Schlüssel zu entnehmen. Beide Seiten verfügen ab diesem Zeitpunkt also über einen sicher ausgetauschten dritten Schlüssel, den sie jetzt verwenden können, um damit weitere Dokumente verschlüsselt auszutauschen.
Der große Vorteil der asymmetrischen Verschlüsselung ist also, dass Kommunikationspartner:innen auch über das Internet eine sicher verschlüsselte Verbindung aufbauen können, ohne dass sie zuvor zu irgendeinem Zeitpunkt den privaten Codeschlüssel zum Entschlüsseln übermitteln müssen.
Grafische Darstellung einer mehrstufigen, hybrid verschlüsselten Datenübertragung
In einem mehrstufigen Verfahren tauschen Kommunikationspartner:innen zuerst mithilfe einer asymmetrischen Verschlüsselung öffentliche Schlüssel aus, um damit einen Codeschlüssel (Sitzungsschlüssel) für die symmetrische Verschlüsselung zu übertragen.
Der dritte Schlüssel ist ein symmetrischer Schlüssel. Mit diesem können die beiden Seiten also im weiteren Verlauf der Kommunikation ihre Inhalte sowohl ver-, als auch auf der Gegenseite wieder entschlüsseln. Dieser Schlüssel wird auch als Sitzungsschlüssel (englisch: session key) bezeichnet, weil er nur für diese eine Sitzung (Verbindung) neu erzeugt und anschließend nicht mehr verwendet wird.
Theoretisch könnte man die gesamte Kommunikation auch mithilfe asymmetrischer Schlüsselpaare weiterführen, indem beide Seiten jeweils öffentliche Schlüssel der Gegenseite für die Informationen verwenden, die sie versenden wollen.
Allerdings sind asymmetrische Verfahren zu langsam, um damit größere Dokumente oder gar Videodateien in Echtzeit zu verschlüsseln. Mit symmetrischen Schlüsseln ist dies hingegen kein Problem. Sie sind je nach verwendetem Algorithmus um das bis zu tausendfache schneller als asymmetrische Verfahren. Daher erfolgt der weitere Datenaustausch im Kommunikationsverlauf üblicherweise mithilfe des symmetrischen dritten (Sitzungs-)Schlüssels.

Authentifizierung im Internet

Asymmetrische Verfahren bieten noch einen weiteren Vorteil: Sie können nämlich auch für die Authentifizierung von Kommunikationspartner:innen genutzt werden. Hierzu wird der öffentliche Schlüssel einer Person einmalig bei einer Zertifizierungsstelle hinterlegt. Diese Stelle zertifiziert den öffentlichen Schlüssel dann als echt.
Hierfür prüft die Zertifizierungsstelle beispielsweise Personaldokumente des:der Antragsteller:in oder nutzt ein Netzwerk aus Personen und Institutionen, die sich untereinander kennen und die Authentizität ihrer öffentlichen Schlüssel gegenseitig bestätigen (sogenanntes „Web of Trust“). Einige Systeme verzichten auch ganz auf Zertifizierungsstellen und setzen ausschließlich auf das Web of Trust.
Grafische Darstellung von Zertifizierung und Nutzung öffentlicher Schlüssel für die Authentifizierung
Eine Person oder Organisation kann ihren öffentlichen Schlüssel von einer Zertifizierungsstelle bestätigen lassen und so Dokumente im Internet veröffentlichen, die später eindeutig dieser Person oder Organisation zugeordnet werden können. Selbst eine Manipulation eines Dokumentes durch Dritte würde hierbei auffallen.
Unterzeichnet nun eine Person oder Organisation mit ihrem privaten Schlüssel digital ein Dokument und versendet es über das Internet, so lässt sich mithilfe des öffentlichen Schlüssels überprüfen, ob diese Person oder Organisation tatsächlich Absender:in des Dokumentes ist. Denn nur der:die Inhaber:in des privaten Schlüssels kann Informationen so digital unterzeichnen, dass der zugehörige öffentliche Schlüssel die Echtheit der Unterschrift bestätigt. Damit ist die Herkunft eines Dokumentes eindeutig belegbar.
Einige hybride Verfahren nutzen die asymmetrische Verschlüsselung daher auch, um zuerst die Identität der Gegenseite zu überprüfen, bevor sie per symmetrischer Verschlüsselung Inhalte mit dieser Gegenseite austauschen. So können Banken und Onlineshops beispielsweise sicherstellen, dass sie sensible Daten nur an ihre Kund:innen übermitteln.
Nicht immer werden zwingend Zertifizierungsstellen zur Authentifizierung benötigt. Oft werden auch andere Sicherheitsmechanismen wie die 2-Faktor-Authentifizierung mit Schlüsselpaaren kombiniert, um die Identität von Kund:innen zu überprüfen.
Microsoft Defender für Unternehmen

Microsoft Defender für Unternehmen

Mittelständische Unternehmen sind anfällig für Cyber-Bedrohungen. Sie haben weniger Ressourcen und meist wenige IT-Fachkräfte. Hybrides Arbeiten vergrößert diese Angriffsfläche. Wir helfen Ihnen – mit dem Microsoft Defender für Unternehmen.

  • Schutz vor Ransomware, Phishing und anderen Bedrohungen
  • Optimal für IT-Admins in kleinen und mittleren Unternehmen
  • In Microsoft 365 Business Premium als zusätzlicher Schutz für Office-Anwendungen bereits enthalten

Das sind die Vorteile

Hybride Verschlüsselungsverfahren kombinieren die Vorteile der asymmetrischen und der symmetrischen Verschlüsselung:
  • Kommunikationsparter:innen können Codeschlüssel auch über öffentliche Netze sicher miteinander austauschen und so das Schlüsselaustauschproblem vermeiden.
  • Personen und Organisationen können sich mit mithilfe ihrer Schlüsselpaarung untereinander sicher authentifizieren.
  • Mithilfe der symmetrische Verschlüsselungskomponente können auch große Datenmengen in Echtzeit verschlüsselt und übertragen werden.
  • Die hybride Verschlüsselung ist sehr kostengünstig und nahezu alle Browser sowie Web- und E-Mailserver unterstützen sie. Sie wird deshalb inzwischen bei der Mehrzahl der Datenübertragungen im Internet genutzt.
  • Mittels hybrider Verschlüsselung werden auch verteilte Authentifizierungsverfahren möglich: Nutzer:innen etablieren beispielsweise über ein rechenaufwendiges asymmetrisches Verfahren eine sichere Verbindung. Nach Erhalt des Sitzungsschlüssels wird die Kommunikation dann symmetrisch über leistungsschwächere Endgeräte des „Internet of Things“ (IoT) weitergeführt, deren Rechenleistung für eine asymmetrischen Verschlüsselung nicht ausreichen würde.
Ein Mann sitzt an einem Schreibtisch und blickt auf den Bildschirm eines Laptops.

Schützen Sie Ihr Unternehmen

Cyberangriffe gehören zu den größten Geschäftsrisiken in Deutschland. Viele dieser Angriffe starten mit Phishing-Attacken über mobile Endgeräte. Attacken auf Ihr Unternehmen können schwerwiegende Folgen für Ihre Produktivität und Ihren geschäftlichen Erfolg haben:

  • Datenmanipulation, -verlust und -diebstahl
  • Enorme finanzielle Schäden
  • Verlust von Vertrauen Ihrer Kund:innen und Partner

Praxisbeispiele für den Einsatz hybrider Verschlüsselung

Weil die hybride Verschlüsselung so viele Vorteile bietet, ist sie inzwischen längst zum Regelfall für die sichere Kommunikation im Internet geworden. Neben den beiden bereits eingangs erwähnten Verfahren https (mit TLS-Verschlüsselung) und IPsec gibt es hierfür noch weitere Beispiele:
So nutzt das bereits 1991 von Phil Zimmermann entwickelte Verschlüsselungsprogramm Pretty Good Privacy (PGP) für E-Mails und andere Nachrichtenformate asymmetrische Verschlüsselung beim Schlüsseltausch und der Authentifizierung sowie eine symmetrische Verschlüsselung für den eigentlichen Nachrichtenverkehr. Da PGP heute nicht mehr quelloffen und kostenlos verfügbar ist, sondern nach mehreren Firmenübernahmen in andere Produkte des Herstellers Symantic integriert ist, gibt es inzwischen zahlreiche Alternativen ähnlicher Machart, beispielsweise GnuPGP.
Für bekannte Mailprogramme wie Thunderbird, Apple Mail und K9 stehen außerdem Plugins zur Verfügung, um die Verschlüsselung im kostenfreien OpenPGP-Format zu integrieren.
Auch das von vielen E-Mail-Programmen und -servern verwendete Verschlüsselungsverfahren Secure/Multipurpose Internet Mail Extensions (S/MIME) arbeitet mit einer asymmetrischen Verschlüsselung, die üblicherweise mit symmetrischen Verfahren kombiniert wird. Da hier ausschließlich sogenannte vertrauenswürdige Zertifizierungsstellen (CA) die Schlüsselpaare und Zertifikate ausgestellt werden, empfiehlt das Bundesamt für Sicherheit in der Informationstechnik (BSI) S/MIME auch für den Gebrauch in Unternehmen und Behörden.
Die hier genannten asymmetrischen Verfahren, die für Schlüsselaustausch und Authentifizierung genutzt werden, gelten allgemein als sehr sicher. Sie erzeugen ihre Schlüsselpaare mithilfe mathematischer Verfahren, die mit herkömmlichen Rechenoperationen nicht in vertretbarer Zeit rückrechenbar sind. Voraussetzung hierfür ist allerdings die Verwendung mindestens 1024 Bit langer Schlüsselpaare.
Technisch bedingt stehen bei der asymmetrischen Verschlüsselung nicht alle mit den 1024 Bit darstellbaren Schlüssel auch tatsächlich zur Verfügung, weshalb asymmetrische Schlüssel länger sein müssen als vergleichbar sichere symmetrische Schlüssel.
Die bekannten asymmetrischen Verfahren werden heute als „pragmatisch sicher“ bezeichnet. Das bedeutet, dass sie bisher in der Praxis nicht geknackt wurden. Allerdings sind sie nicht quantensicher. Sie könnten somit in Zukunft entschlüsselt werden, sobald entsprechende Quantencomputer verfügbar sind, die diese Rückwärtsberechnungen voraussichtlich sehr schnell erledigen können. Außerdem besteht immer ein Restrisiko, dass neue mathematische Rechenwege gefunden werden, mit denen Schlüssel schneller rückrechenbar werden.
Nicht zuletzt sind bei einigen Kryptographiesystemen die Zertifizierungsverfahren selbst kompromittiert, sprich: Sie setzen aus Kosten- oder Bequemlichkeitsgründen lediglich auf eine gegenseitige Zertifizierung der Nutzer:innen. Ein solches Web of Trust ohne zentrale Instanz bietet jedoch keinen hinreichenden Schutz beispielsweise gegen Verwendung gestohlener Mailadressen, weshalb Datenschutzexpert:innen davon ausgehen, dass mittlerweile große Teil des Web of Trust aus gefälschten Identitäten bestehen.
Hier kommt die hybride Verschlüsselung ohne ausreichende Zertifizierung an Grenzen. Sie sollten daher misstrauisch werden, wenn potenzielle Geschäftspartner beispielsweise Geldgeschäfte über hybride Verschlüsselungsverfahren abwickeln möchten, ohne dass dahinter ein etablierter und bekannt sicherer Standard steht.
Empfohlener externer Inhalt
Hier ist ein Video-Inhalt von YouTube. Er ergänzt die Informationen auf dieser Seite.
Sie können ihn mit einem Klick anzeigen und wieder ausblenden.
Ich bin einverstanden, dass externe Inhalte angezeigt werden. So können personenbezogene Daten an Drittplattformen übermittelt werden. Mehr in unserer  Datenschutzerklärung.
Datenschutzerklärung

Das Wichtigste zu hybrider Verschlüsselung in Kürze

  • Eine Kombination aus symmetrischer und asymmetrischer Verschlüsselung wird als hybride Verschlüsselung bezeichnet.
  • Hybride Verschlüsselung kombiniert die Vorteile beider Verschlüsselungsarten und ermöglicht so eine sichere Schlüsselübertragung mit hohen Verschlüsselungsraten.
  • Mit entsprechend zuverlässigen Zertifizierungsstellen im Hintergrund erlaubt die hybride Verschlüsselung eine sichere Authentifizierung auch über das Internet.
  • Viele Kommunikationsprotokolle im Internet wie das Aufrufen von Webseiten per https, der Aufbau von VPN mittels IPsec oder die E-Mail-Zertifizierung unter S/MIME setzen auf eine hybride Verschlüsselung.
Das könnte Sie auch interessieren:
Security
Drei Menschen sitzen vor einem Notebook und zeigen sich etwas auf dem Bildschirm.

Web Application Firewalls (WAF) einfach erklärt

Eine Web Application Firewall (WAF) schützt Unternehmen vor Angriffen auf ihre Web-Anwendungen. Ohne eine WAF-Lösung könnten Cyberkriminelle über Schwachstellen in das gesamte Unternehmensnetzwerk eindringen. Erfahren Sie hier, was moderne WAFs alles können und warum Sie auch Ihre Web-Apps in die Sicherheitsstrategie mit einbeziehen müssen. Unternehmen nutzen eine Vielzahl webbasierter Anwendungen, also interaktive Online-Dienste, die über den Browser abrufbar sind. Web-Apps sind sehr praktisch: Sie sind überall zugänglich und funktionieren plattformunabhängig auf vielen Geräten. Gleichzeitig sind Web-Anwendungen aber auch ein beliebtes Ziel von Hackern. Ganz gleich, ob Sie als Unternehmen Ihre Webanwendungen nur im Intranet oder über öffentlich zugängliche Websites nutzen, sollten Sie den Webdatenverkehr kontinuierlich auf Bedrohungen überwachen. Web Application Firewalls wehren Internetbedrohungen ab und bieten in einigen Fällen auch KI, Automatisierung und Machine-Learning-Funktionen, um den sich ständig ändernden Angriffsmethoden noch effizienter zu begegnen.

Telefon

Digitalisierungs-Beratung

Sie haben Fragen zur Digitalisierung? Jetzt kostenlos beraten lassen. Montag-Freitag von 8-18 Uhr, außer an Feiertagen.

0800 505 4539

Hilfe und Service

Montag bis Freitag von 8 bis 20 Uhr, außer an Feiertagen.

0800 172 1234
Online
Vor Ort