30 Begriffe

Glossar verschlüsselte Cloud & Datenschutz

30 in sich geschlossene Definitionen, um Cloud-Verschlüsselung, Datenschutz und Gerichtsbarkeit ohne Marketing oder Fachjargon zu verstehen. Jeder Begriff verweist auf die ausführlichen Erläuterungen in unserer redaktionellen Basis.

#01 Zero-Knowledge-Verschlüsselung: Verschlüsselungsmodell, bei dem der Cloud-Anbieter niemals die Entschlüsselungsschlüssel besitzt. Dateien werden clientseitig vor dem Upload verschlüsselt; der Server speichert nur Chiffretext. Selbst unter einer gerichtlichen Anordnung kann der Anbieter technisch nicht auf die Klartextdaten zugreifen.
#02 Ende-zu-Ende-Verschlüsselung (E2EE): Protokoll, bei dem Daten auf dem Gerät des Absenders verschlüsselt und nur auf dem Gerät des Empfängers entschlüsselt werden. Kein Vermittler (ISP, Host) kann den Inhalt lesen. E2EE ist notwendig, aber für Zero-Knowledge nicht ausreichend: Ein Dienst kann E2EE sein und dennoch die Schlüssel serverseitig verwalten.
#03 AES-256: Symmetrischer Verschlüsselungsalgorithmus (Advanced Encryption Standard) mit 256-Bit-Schlüssel, 2001 vom NIST standardisiert. Der Industriestandard für die At-Rest-Verschlüsselung in Cloud-Diensten. 256 Bit ist das empfohlene Niveau für sensible Daten; AES-128 ist für den allgemeinen Gebrauch akzeptabel.
#04 Clientseitige Verschlüsselung: Vorgang, bei dem Daten lokal auf dem Gerät des Nutzers verschlüsselt werden, bevor sie an den Server übertragen werden. Der Schlüssel verlässt das Gerät nie. Praktisches Synonym für Zero-Knowledge, wenn auch die Schlüsselverwaltung lokal erfolgt. Gegenteil der serverseitigen Verschlüsselung.
#05 At-Rest-Verschlüsselung: Schutz von Daten, die auf einer Festplatte oder in einer Datenbank gespeichert sind. Alle seriösen Cloud-Dienste wenden sie an (AES-256), aber sie reicht nicht aus: Der Anbieter kann die Dateien weiterhin lesen, indem er auf die von ihm verwalteten Schlüssel zugreift. At-Rest-Verschlüsselung allein garantiert keine Vertraulichkeit gegenüber dem Anbieter.
#06 In-Transit-Verschlüsselung: Schutz von Daten während der Netzwerkübertragung, typischerweise über TLS 1.2 oder 1.3. Schützt vor Netzwerk-Abfangen (Man-in-the-Middle), aber nicht vor dem Anbieter selbst, der die Daten serverseitig im Klartext erhält, wenn keine clientseitige Verschlüsselung angewendet wird.
#07 Metadaten: Daten über Daten: Dateiname, Größe, Änderungszeitstempel, Zugriffshäufigkeit, Quell-IP. Selbst Zero-Knowledge-Dienste legen oft unverschlüsselte Metadaten offen. Proton Drive verschlüsselt Dateinamen separat; die meisten anderen lassen diese Informationen für den Anbieter zugänglich.
#08 CLOUD Act (USA, 2018): US-Gesetz (Clarifying Lawful Overseas Use of Data Act), das es Bundesbehörden ermöglicht, US-Unternehmen zur Herausgabe weltweit gespeicherter Daten zu zwingen, ohne den Dateneigentümer zu benachrichtigen. Gilt für Microsoft, Google und Amazon auch für deren europäische Rechenzentren.
#09 DSGVO: Datenschutz-Grundverordnung, seit Mai 2018 in der EU in Kraft. Regelt die Erhebung, Verarbeitung und Übermittlung personenbezogener Daten. Verbietet grundsätzlich Datenübermittlungen in Länder ohne angemessenes Schutzniveau - in direktem Spannungsverhältnis zum US-CLOUD-Act für transatlantische Anbieter.
#10 Five / Nine / Fourteen Eyes: Geheimdienstliche Informationsaustausch-Allianzen zwischen Ländern. Five Eyes: USA, Großbritannien, Kanada, Australien, Neuseeland. Nine Eyes ergänzt: Dänemark, Frankreich, Niederlande, Norwegen. Fourteen Eyes fügt 5 weitere hinzu (Deutschland, Belgien, Spanien, Italien, Schweden). In diesen Ländern ansässige Anbieter können gebündelten staatlichen Überwachungsanfragen unterliegen.
#11 Gerichtsbarkeit: Land des rechtlichen Sitzes des Cloud-Anbieters. Bestimmt, welches Recht für Datenzugriffsanfragen gilt (CLOUD Act für US-Unternehmen, DSG für die Schweiz, DSGVO für die EU). Die Schweiz liegt außerhalb der EU, außerhalb der 14 Eyes und unterliegt nicht dem CLOUD Act - was sie zu einer bevorzugten Gerichtsbarkeit für private Speicherdienste macht.
#12 TOFU (Trust On First Use): Vertrauensmodell, bei dem der erste von einem Kontakt empfangene öffentliche Schlüssel ohne externe Überprüfung akzeptiert wird. Verwendet in Protokollen wie Signal oder einigen SFTP-Implementierungen. Setzt einem Man-in-the-Middle-Angriff bei der ersten Verbindung aus, bevor der Schlüssel-Fingerabdruck out-of-band bestätigt wird.
#13 Konvergente Verschlüsselung: Technik, bei der derselbe Klartext immer denselben Chiffretext erzeugt, weil der Schlüssel aus einem Hash des Inhalts abgeleitet wird. Ermöglicht serverseitige Deduplizierung, ohne den Inhalt offenzulegen. Verwendet von Diensten wie MEGA. Nachteil: Ein Angreifer, der den wahrscheinlichen Inhalt kennt, kann dessen Vorhandensein durch Hash-Vergleich überprüfen.
#14 Deduplizierung: Speichertechnik, die redundante Kopien desselben Inhalts eliminiert. Senkt die Infrastrukturkosten für den Anbieter. Unvereinbar mit strikter Zero-Knowledge-Verschlüsselung (jeder Nutzer hätte einen anderen Chiffretext für dieselbe Datei), außer über konvergente Verschlüsselung - mit den damit verbundenen Einschränkungen.
#15 Sharding: Fragmentierung einer Datei in mehrere Shards, die auf verschiedene Server oder Knoten verteilt werden. Verbessert Resilienz und Leistung. Im Datenschutzkontext verhindert Sharding kombiniert mit Ende-zu-Ende-Verschlüsselung, dass ein einzelner Knoten die komplette Datei rekonstruieren kann. Wird insbesondere von Internxt verwendet.
#16 WebDAV: HTTP-Erweiterung, die die Remote-Dateiverwaltung ermöglicht (Lesen, Schreiben, Umbenennen, Löschen). Wird von Nextcloud, pCloud und anderen für die Kompatibilität mit Drittanbieter-Clients unterstützt. Erleichtert die Integration in automatisierte Workflows, fügt aber keine native Verschlüsselungsschicht hinzu.
#17 Sync vs Backup: Sync hält eine Echtzeit-Spiegelkopie aufrecht: Jede lokale Löschung wird in die Cloud repliziert. Backup bewahrt historische Versionen unabhängig von lokalen Änderungen auf. Für den Schutz vor Ransomware oder versehentlichem Löschen ist ein echtes Backup mit Versionierung unerlässlich.
#18 Versionierung: Aufbewahrung früherer Versionen einer Datei. Ermöglicht die Wiederherstellung des Zustands einer Datei vor einer Änderung, Beschädigung oder einem Ransomware-Angriff. Die Aufbewahrungsfristen variieren je nach Plan: Proton Drive bewahrt 200 Versionen, Tresorit 180 Tage, pCloud je nach Plan 15 bis 365 Tage.
#19 Lifetime-Plan: Kommerzielles Angebot, das den Zugriff auf einen Dienst für unbegrenzte Zeit gegen eine Einmalzahlung gewährt. pCloud und Internxt bieten Lifetime-Deals, die deutlich günstiger sind als ein 5-10-jähriges Abonnement. Hauptrisiko: Die finanzielle Lebensfähigkeit des Anbieters ist langfristig nicht garantiert.
#20 SOC 2: Amerikanisches Audit-Rahmenwerk (Service Organization Control 2), entwickelt vom AICPA. Bewertet fünf Kriterien: Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz. Ein SOC-2-Typ-II-Bericht (über einen Zeitraum von 6 bis 12 Monaten) ist ein Maß für die operative Reife, unterschieden von einer Verschlüsselungszertifizierung.
#21 ISO/IEC 27001: Internationale Norm für das Informationssicherheits-Management. Die ISO-27001-Zertifizierung bescheinigt, dass eine Organisation ein Informationssicherheits-Managementsystem (ISMS) gemäß den Anforderungen der Norm anwendet, geprüft von einer akkreditierten Stelle. In Europa verbreiteter als SOC 2.
#22 Unabhängiges Audit: Sicherheitsbewertung eines Systems durch einen spezialisierten Dritten (z. B. Cure53, SEC Consult, NCC Group, Trail of Bits). Ein Audit des Client-Quellcodes bestätigt die tatsächliche Implementierung der Zero-Knowledge-Verschlüsselung. Proton Drive, Tresorit und Filen haben Audit-Berichte veröffentlicht. Das Fehlen eines Audits beweist keine Unsicherheit, schränkt aber die Überprüfbarkeit ein.
#23 Open Source vs proprietär: Ein Open-Source-Client (veröffentlichter, überprüfbarer Quellcode) erlaubt es Dritten zu bestätigen, dass die angekündigte Verschlüsselung tatsächlich implementiert ist. Ein proprietärer Client erfordert Vertrauen in die Behauptungen des Anbieters oder ein Drittanbieter-Audit. Proton Drive, Internxt und Filen veröffentlichen ihren Client-Code; pCloud und Tresorit bleiben proprietär.
#24 Post-Quanten-Kryptografie: Algorithmen, die Angriffen eines Quantencomputers widerstehen sollen. Aktuelle Algorithmen (RSA, ECDSA, DH) werden anfällig, sobald Quantencomputer ausreichend leistungsfähig sind. Das NIST hat 2024 die ersten Post-Quanten-Algorithmen standardisiert (ML-KEM, ML-DSA). Proton stellt seit 2024 auf Post-Quanten-Primitive um.
#25 Schlüsselableitungsfunktion (KDF): Kryptografische Funktion, die ein Passwort (niedrige Entropie) in einen robusten Verschlüsselungsschlüssel umwandelt. Moderne KDFs (Argon2id, bcrypt, PBKDF2) verlangsamen Brute-Force-Versuche absichtlich. Die Stärke der Zero-Knowledge-Verschlüsselung hängt teilweise von der Qualität der KDF und der Komplexität des gewählten Passworts ab.
#26 Perfect Forward Secrecy (PFS): Eigenschaft eines kryptografischen Protokolls, die sicherstellt, dass die Kompromittierung eines Langzeitschlüssels keine Entschlüsselung vergangener Kommunikation erlaubt. Jede Sitzung verwendet eigene ephemere Schlüssel. Implementiert in TLS 1.3 (für alle modernen Cloud-Übertragungen verwendet), aber weniger relevant für die At-Rest-Speicherung.
#27 Schlüsselverwaltung: Gesamtheit der Verfahren zur Generierung, Speicherung, Rotation und Widerrufung kryptografischer Schlüssel. In einem Zero-Knowledge-Modell dürfen Schlüssel das Gerät des Nutzers nie im Klartext verlassen. Schlechte Schlüsselverwaltung (unverschlüsseltes Backup, Übertragung an den Server) hebt die Garantien der Verschlüsselung auf.
#28 Datenresidenz: Physischer Standort der Server, die Daten speichern. Zu unterscheiden von der rechtlichen Gerichtsbarkeit des Anbieters: Ein US-Anbieter mit Servern in Deutschland unterliegt weiterhin dem CLOUD Act. Datenresidenz ist für die DSGVO relevant (Pflicht, Daten innerhalb des EWR zu halten), ersetzt aber keine Gerichtsbarkeitsanalyse.
#29 Zero-Knowledge-Beweis (ZKP): Kryptografisches Protokoll, das es einer Partei erlaubt, Kenntnis einer Information zu beweisen, ohne die Information selbst preiszugeben. Unterscheidet sich von „Zero-Knowledge-Speicher“: ZKP-Protokolle (zk-SNARK, zk-STARK) werden in der fortgeschrittenen Kryptografie und Blockchain verwendet. Im Cloud-Speicher-Kontext bezieht sich „Zero-Knowledge“ auf das Fehlen von Schlüsseln beim Anbieter, nicht auf ein formales ZKP-Protokoll.
#30 Ransomware-Schutz: Maßnahmen, die Ransomware-Schäden über die Cloud verhindern oder begrenzen. Automatische Versionierung ist der primäre Schutz: Sie ermöglicht es, Dateien in einen Zustand vor der Infektion zurückzuversetzen. Einige Dienste (Tresorit, Proton Drive) erkennen verdächtige Massenänderungen. Sofortige Synchronisierung ohne Versionierung kann umgekehrt bösartige Verschlüsselung verbreiten.
#31 Schweizer Datenschutzgesetz (DSG/revDSG): Schweizer Bundesgesetz zum Datenschutz, 2020 revidiert und seit dem 1. September 2023 in Kraft. Gleicht sich in mehreren Punkten an die DSGVO an (Individualrechte, Rechenschaftspflicht), behält dabei Schweizer Besonderheiten bei. Die Schweiz ist kein EU-Mitglied, aber die Europäische Kommission anerkennt seit 2000 ein angemessenes Schutzniveau für Datenübermittlungen (Beschluss erneuert).

Weiterführend

E2E vs Zero-Knowledge: was das Marketing verschweigt Cloud-Speicher-Vergleichs-Quiz - 60 s Cloud-Speicher-Kostenrechner