Ein kryptografischer Schlüssel ist ein geheimer Wert – eine Bitfolge –, mit dem ein Verschlüsselungsalgorithmus Daten ver- und entschlüsselt; wer den Schlüssel besitzt, kann die geschützten Informationen lesen.
Wie kryptografische Schlüssel funktionieren
Moderne Verschlüsselung folgt dem Kerckhoffs-Prinzip: Der Algorithmus ist öffentlich, die Sicherheit hängt allein davon ab, dass der Schlüssel geheim bleibt. Es gibt zwei Hauptarten von Schlüsseln:
- Symmetrische Schlüssel – ein gemeinsames Geheimnis für Ver- und Entschlüsselung, etwa ein AES-Schlüssel mit 128 oder 256 Bit.
- Schlüsselpaare der Public-Key-Kryptografie – ein öffentlicher Schlüssel, der frei weitergegeben werden darf, und ein privater, der geheim bleiben muss; RSA-Schlüssel haben typischerweise 2048 Bit oder mehr, Schlüssel auf Basis elliptischer Kurven 256 Bit.
Die Schlüssellänge bestimmt die Widerstandskraft gegen Brute Force: Alle 2^128 möglichen AES-Schlüssel durchzuprobieren, übersteigt die Fähigkeiten jedes Computers. Schlüssel werden mit einem kryptografisch sicheren Zufallszahlengenerator erzeugt oder mit Funktionen wie PBKDF2 oder Argon2 aus einem Passwort abgeleitet.
Warum Schlüsselmanagement wichtig ist
Starke Algorithmen nützen nichts, wenn Schlüssel abfließen. Typische Probleme sind in Quellcode oder Firmware fest einprogrammierte Schlüssel (CWE-321), Schlüssel direkt neben den verschlüsselten Daten, in öffentliche Repositories eingecheckte Schlüssel oder Schlüssel im Arbeitsspeicher, wo Malware sie auslesen kann. 2023 nutzte die Gruppe Storm-0558 einen gestohlenen Microsoft-Signaturschlüssel für Verbraucherkonten, um Tokens zu fälschen und auf E-Mails von US-Regierungsbehörden zuzugreifen – eine Mahnung, dass ein einziger Schlüssel Tausende Konten öffnen kann. Ransomware wiederum setzt darauf, dass das Opfer den Schlüssel des Angreifers nicht hat.
Best Practices
- Einen Schlüssel-Lebenszyklus befolgen – Erzeugung, Speicherung, Rotation, Widerruf und Vernichtung –, wie in NIST SP 800-57 beschrieben.
- Schlüssel in Hardware ablegen: HSMs, Cloud-Schlüsselverwaltungsdienste oder ein TPM.
- Schlüssel von den geschützten Daten trennen und begrenzen, wer sie nutzen darf.
- Schlüssel regelmäßig und sofort nach einem Kompromittierungsverdacht rotieren.
