Verschlüsselung ist die Umwandlung von Daten (Klartext) in ein unlesbares Format (Chiffretext) mithilfe eines kryptographischen Schlüssels und Algorithmus – so dass nur Personen oder Systeme mit dem korrekten Entschlüsselungsschlüssel die ursprünglichen Daten wiederherstellen können. Verschlüsselung ist die wichtigste technische Maßnahme zum Schutz der Vertraulichkeit von Daten: Selbst wenn Daten abgefangen oder gestohlen werden, sind sie ohne den Schlüssel wertlos.
In Automatisierungssystemen sollten Daten sowohl bei der Übertragung (in transit) als auch bei der Speicherung (at rest) verschlüsselt sein. Unverschlüsselte API-Verbindungen, Datenbankpasswörter im Klartext oder unverschlüsselte Backup-Daten sind klassische Sicherheitslücken, die in Automatisierungsinfrastrukturen häufig vorkommen und einfach zu schließen sind.
Verschlüsselungstypen im Überblick
Symmetrisch Ein Schlüssel für Ver- und Entschlüsselung: AES-256 ist der Standard. Sehr schnell, ideal für große Datenmengen. Problem: Schlüssel muss sicher zwischen Sender und Empfänger ausgetauscht werden. Für Daten at rest.
Asymmetrisch Öffentlicher + privater Schlüssel: RSA, ECC. Mit öffentlichem Schlüssel verschlüsseln, nur privater Schlüssel entschlüsselt. Löst Schlüsselaustauschproblem. Langsamer – für Schlüsselaustausch und Signaturen.
Hybrid Kombination aus beiden: Asymmetrisch für Schlüsselaustausch, symmetrisch für Datenverschlüsselung. TLS/HTTPS nutzt dieses Prinzip. Beste Kombination aus Sicherheit und Performance.
End-to-End Nur Sender und Empfänger können entschlüsseln: Auch der Übertragungsdienstleister sieht nur verschlüsselte Daten. Für hochsensible Kommunikation. Technisch aufwändiger.
Verschlüsselung in der Automatisierungspraxis
- TLS 1.3 für alle APIs: Alle Verbindungen zwischen Automatisierungsplattform und externen Systemen ausschließlich über HTTPS/TLS – kein HTTP
- Datenbankverschlüsselung (at rest): Datenbankdateien auf Betriebssystemebene oder in der Cloud (AWS RDS Encryption, Azure Transparent Data Encryption)
- Backup-Verschlüsselung: Backup-Dateien vor dem Transport in Cloud-Storage verschlüsseln – AES-256 mit eigenem Schlüssel
- Verschlüsselte Secrets: API-Keys, Passwörter und Zertifikate in Secret-Managern gespeichert – niemals im Klartext in Konfigurationsdateien oder Workflow-Definitionen
- Verbindungszertifikate: TLS-Zertifikate regelmäßig erneuern (Let’s Encrypt automatisiert das) und auf aktuelle Verschlüsselungs-Cipher prüfen
Praxisbeispiel
Ein Automationsdienstleister prüft seine Verschlüsselungslandschaft. Bestandsaufnahme: n8n-Server kommuniziert mit externen APIs – alle Verbindungen über TLS 1.3 ✓. Datenbankpasswort in einer .env-Datei auf dem Server im Klartext hinterlegt ✗ → in AWS Secrets Manager ausgelagert. Backups werden unverschlüsselt nach S3 hochgeladen ✗ → serverseitige Verschlüsselung mit SSE-KMS aktiviert. PostgreSQL-Datenbankdateien unverschlüsselt auf Disk ✗ → RDS Encryption aktiviert (ein Klick in AWS-Konsole, minimaler Performance-Overhead). Kundendaten in Workflow-Execution-Logs teilweise im Klartext ✗ → Sensitiv-Felder (IBAN, E-Mail) werden vor dem Logging automatisch maskiert. Ergebnis: 4 Maßnahmen, die alle sicherheitskritischen Lücken schließen. Aufwand: 3 Stunden Implementierung.
