Verschlüsselung sensibler Daten: Was jetzt in eurer Vereinsdatenbank passiert

Über Verschlüsselung beim E-Mail-Versand haben wir hier schon geschrieben. Es gibt aber einen zweiten Ort, an dem Vereinsdaten liegen und der seltener besprochen wird: die Datenbank. Dort stehen Mitgliedsnamen, Geburtsdaten, Telefonnummern, Ticketverläufe. Klassischerweise stehen sie dort im Klartext, so wie bei den allermeisten Vereinsverwaltungen. Bei Mailtory ist das seit Kurzem anders. Was sich geändert hat und was ihr davon habt, erklären wir hier.

Zwei Arten von Verschlüsselung, die oft verwechselt werden

Wer sich mit dem Thema beschäftigt, stolpert schnell über zwei Begriffe, die etwas völlig Verschiedenes meinen:

• Verschlüsselung bei der Übertragung (encryption in transit): Schützt Daten auf dem Weg zwischen eurem Browser und unseren Servern. Das ist das Schloss-Symbol in der Adresszeile, bei Mailtory immer aktiv, und seit Jahren Standard im Web.
• Verschlüsselung im Ruhezustand (encryption at rest): Schützt Daten dort, wo sie dauerhaft liegen, also auf der Festplatte des Datenbankservers. Genau darum geht es in diesem Artikel.

Beide zusammen ergeben erst ein sinnvolles Bild. Die beste Transportverschlüsselung nützt wenig, wenn am Ziel alles offen herumliegt.

Was jetzt verschlüsselt ist

Wir haben uns bewusst nicht auf ein paar Alibi-Felder beschränkt, sondern die Bereiche verschlüsselt, in denen tatsächlich schützenswerte Daten stehen. Aktuell betrifft das unter anderem:

• Mitgliederdaten: Vor- und Nachname, E-Mail-Adresse, Telefonnummer, Geburtsdatum, Anschrift und interne Notizen
• Ticketsystem: Betreff, Beschreibung und sämtliche Kommentare, auch die Kontaktdaten der Personen, die ein Ticket erstellt haben
• Nachrichten: die Inhalte der über Mailtory verschickten Vereinsnachrichten
• Vereinsstammdaten: Anschrift, Ansprechpartner, Telefon- und Kontaktdaten
• Sicherheitsrelevante Geheimnisse: Zwei-Faktor-Schlüssel, Support-PINs und Webmail-Zugangsdaten
• Anmeldungen und Einwilligungen: Veranstaltungsanmeldungen, Newsletter-Verteiler, Registrierungen, digitale Unterschriften

In Summe sind das aktuell 18 Datenbereiche. Wer eine vollständige Aufstellung für sein Verarbeitungsverzeichnis braucht, bekommt sie von uns auf Anfrage.

Wie es technisch funktioniert

Wir setzen auf AES-256-GCM. Das ist kein exotisches Eigenbau-Verfahren, sondern der Standard, den auch Banken und Behörden einsetzen. Zwei Eigenschaften sind uns dabei besonders wichtig:

• Jeder Wert bekommt einen eigenen Zufallsanteil. Zwei Mitglieder, die beide "Müller" heißen, ergeben zwei völlig unterschiedliche verschlüsselte Werte. Aus der Datenbank lässt sich also nicht einmal ablesen, welche Einträge gleich sind.
• Die Verschlüsselung ist manipulationssicher (das "GCM" im Namen). Verändert jemand einen verschlüsselten Wert direkt in der Datenbank, fällt das beim Entschlüsseln sofort auf, statt stillschweigend falsche Daten zu liefern.

Der Schlüssel selbst liegt nicht in der Datenbank, sondern getrennt davon in der Serverkonfiguration. Das ist der entscheidende Punkt: Wer nur an die Datenbank käme, hätte damit noch nichts gewonnen.

Und noch ein Detail, auf das wir Wert gelegt haben: Das System ist so gebaut, dass es im Zweifel lieber abbricht als unverschlüsselt zu speichern. Sollte durch einen Konfigurationsfehler der Schlüssel fehlen, wird kein Datensatz geschrieben, statt ihn im Klartext in der Datenbank landen zu lassen. Eine Panne führt so zu einer Fehlermeldung, nicht zu einem stillen Datenleck.

Wovor das schützt, und wovor nicht

Hier wollen wir ehrlich sein, denn bei Verschlüsselung wird viel versprochen. Encryption at rest hilft konkret gegen:

• ein gestohlenes oder versehentlich offen zugängliches Datenbank-Backup
• Zugriff auf ausgemusterte oder entwendete Festplatten
• einen Angreifer, der es bis zur Datenbank schafft, aber nicht bis zur Serverkonfiguration
• versehentliche Einblicke bei Wartungsarbeiten, auch durch uns selbst

Es schützt ausdrücklich nicht gegen:

• ein übernommenes Vereinskonto. Wer sich mit gültigem Passwort anmeldet, sieht die Daten so, wie ihr sie seht, denn die Anwendung entschlüsselt sie ja genau dafür. Deshalb bleiben starke Passwörter und Zwei-Faktor-Anmeldung mindestens so wichtig wie jede Verschlüsselung.
• einen vollständig kompromittierten Server. Wer sowohl an die Datenbank als auch an die Konfiguration käme, hätte auch den Schlüssel.

Verschlüsselung im Ruhezustand ist also eine zusätzliche Schicht, kein Ersatz für alles andere. Sie sorgt dafür, dass der wahrscheinlichste Fall eines Datenlecks, nämlich ein abhandengekommenes Backup, keine lesbaren Mitgliederdaten mehr bedeutet.

Was das für die DSGVO bedeutet

Die DSGVO verlangt in Artikel 32 "geeignete technische Maßnahmen" für die Sicherheit der Verarbeitung und nennt Verschlüsselung dort ausdrücklich als Beispiel. Für euch als Verein heißt das zweierlei:

• Ihr könnt die Verschlüsselung in eurem Verarbeitungsverzeichnis als technische Maßnahme aufführen. Das ist genau die Art von Nachweis, nach der bei Prüfungen gefragt wird.
• Sollte es je zu einem Vorfall kommen, ist die Frage, ob Daten verschlüsselt waren, für die Meldepflicht von erheblicher Bedeutung. Ein Backup mit unlesbaren Daten ist rechtlich etwas anderes als eines mit einer Klartext-Mitgliederliste.

Müsst ihr etwas tun?

Nein. Die Umstellung ist im Hintergrund passiert, ihr merkt im Alltag nichts davon. Eure Mitgliederlisten sehen aus wie immer, die Suche funktioniert wie immer, es gibt keine neuen Einstellungen und keine Umgewöhnung.

Was ihr trotzdem tun solltet, hat mit Verschlüsselung nur indirekt zu tun, ist aber wirkungsvoller als jede Technik im Hintergrund: Aktiviert die Zwei-Faktor-Anmeldung, zumindest für die Vorstandskonten. Denn der Weg, über den Vereinsdaten realistischerweise abhandenkommen, ist fast nie die Datenbank, sondern ein Passwort, das jemand woanders wiederverwendet hat.

Mehr zu Datenschutz und Sicherheit bei Mailtory →