Prüfprogramm Kryptografie und Schlüsselmanagement.
Wie Sie prüfen, ob Verschlüsselung nach einem Konzept mit anerkannten Verfahren eingesetzt wird und Schlüssel und Zertifikate über ihren gesamten Lebenszyklus geschützt sind.
Stand: 13. Oktober 2026 · Muster, keine Rechtsberatung
Muster als PDF herunterladen 8 Seiten, ohne Anmeldung
Als Excel-Vorlage herunterladen mit Spalten für Ergebnis und Bemerkung, ohne Anmeldung
Prüfungsziel
Die Prüfung beurteilt, ob die Organisation den Einsatz kryptografischer Verfahren in einem Kryptokonzept regelt, nur anerkannte Verfahren und Schlüssellängen verwendet und Daten bei Übertragung und Speicherung nach ihrem Schutzbedarf verschlüsselt. Sie beurteilt außerdem, ob Schlüssel und Zertifikate von der Erzeugung bis zur Vernichtung kontrolliert verwaltet werden und ob die Organisation auf künftige Wechsel der Verfahren vorbereitet ist.
Geltungsbereich
- Verschlüsselung von Daten bei Übertragung und Speicherung in Anwendungen, Datenbanken, Datenträgern und Sicherungen
- Schlüsselverwaltung einschließlich Hardware-Sicherheitsmodulen, Schlüsseltresoren und Cloud-Schlüsseldiensten
- Interne und externe Zertifikate sowie eine eigene Public-Key-Infrastruktur, soweit vorhanden
- Nicht Gegenstand: die kryptografische Analyse einzelner Algorithmen
Prüfprogramm
| Nr. | Kriterium | Fundstelle | Prüfhandlung | Erwartete Nachweise |
|---|---|---|---|---|
| 1 | Ein Kryptokonzept legt fest, wo und wie kryptografische Verfahren eingesetzt werden, und ist freigegeben. | NIS2-Richtlinie Art. 21 Abs. 2 lit. h; § 30 Abs. 2 Nr. 8 BSIG; BSI CON.1 | Kryptokonzept lesen, Freigabe und Aktualität prüfen und mit den eingesetzten Systemen abgleichen. | Kryptokonzept mit Freigabevermerk |
| 2 | Zulässige Algorithmen und Schlüssellängen orientieren sich an anerkannten Empfehlungen; veraltete Verfahren sind ausgeschlossen. | BSI TR-02102-1 | Liste zulässiger Verfahren mit aktuellen Empfehlungen vergleichen und auf drei Systemen die tatsächlichen Einstellungen auslesen. | Liste zulässiger Verfahren, Konfigurationsauszüge |
| 3 | Ein Verzeichnis der eingesetzten kryptografischen Verfahren, Schlüssel und Zertifikate wird geführt. | BSI CON.1; ISO/IEC 27001:2022 Anhang A 8.24 | Verzeichnis ansehen und mit einer Stichprobe aus Anwendungen und Schnittstellen auf Vollständigkeit prüfen. | Kryptoinventar, Zertifikatsliste |
| 4 | Daten werden bei der Übertragung über Netze verschlüsselt; die TLS-Konfiguration entspricht den Vorgaben. | BSI TR-02102-2; ISO/IEC 27001:2022 Anhang A 8.24 | Externe und interne Dienste mit einem Prüfwerkzeug auf Protokollversionen und Verfahren testen. | Prüfergebnisse der TLS-Konfiguration, Maßnahmen zu Abweichungen |
| 5 | Gespeicherte Daten werden nach Schutzbedarf und Risikobewertung verschlüsselt, auch in Sicherungen. | ISO/IEC 27001:2022 Anhang A 8.24; DORA Art. 9 Abs. 4 lit. d | Für drei Datenbestände mit hohem Schutzbedarf die Verschlüsselung von Datenbank, Speicher und Sicherung nachvollziehen. | Schutzbedarfsfeststellung, Konfiguration der Verschlüsselung |
| 6 | Für Schlüssel ist der Lebenszyklus geregelt: Erzeugung, Verteilung, Speicherung, Wechsel, Sperrung und Vernichtung. | ISO/IEC 27001:2022 Anhang A 8.24; BSI CON.1 | Regelung lesen und für zwei Schlüssel den Lebenszyklus mit Datum des letzten Wechsels nachvollziehen. | Regelung zum Schlüsselmanagement, Protokolle des Schlüsselwechsels |
| 7 | Schlüssel werden geschützt gespeichert, etwa in Hardware-Sicherheitsmodulen oder Schlüsseltresoren, mit eng begrenztem Zugriff. | DORA Art. 9 Abs. 4 lit. d; ISO/IEC 27001:2022 Anhang A 8.24 | Speicherorte der Schlüssel erfragen, nach Schlüsseln im Quellcode oder in Konfigurationsdateien suchen lassen und Zugriffsrechte prüfen. | Berechtigungsauszug des Schlüsseltresors, Ergebnis der Suche nach eingebetteten Schlüsseln |
| 8 | Zertifikate werden zentral überwacht, rechtzeitig erneuert und bei Kompromittierung gesperrt. | ISO/IEC 27001:2022 Anhang A 8.24 | Überwachung der Ablaufdaten vorführen lassen und Ausfälle durch abgelaufene Zertifikate der letzten zwölf Monate erfragen. | Zertifikatsübersicht mit Ablaufdaten, Erneuerungsprotokolle, Vorfallliste |
| 9 | Aufgaben in der Schlüsselverwaltung sind getrennt; kritische Vorgänge erfordern das Vier-Augen-Prinzip. | ISO/IEC 27001:2022 Anhang A 5.3 | Rollen in der Schlüsselverwaltung und Protokolle kritischer Vorgänge wie der Erzeugung von Hauptschlüsseln prüfen. | Rollenkonzept, Protokolle mit zwei Beteiligten |
| 10 | Schlüssel sind gesichert, sodass verschlüsselte Daten und Sicherungen wiederhergestellt werden können. | BSI CON.1; ISO/IEC 27001:2022 Anhang A 8.13 | Sicherung der Schlüssel erläutern lassen und den letzten Wiederherstellungstest verschlüsselter Daten ansehen. | Konzept zur Schlüsselsicherung, Protokoll des Wiederherstellungstests |
| 11 | Rechtliche Vorgaben zum Einsatz und zur Ausfuhr kryptografischer Verfahren sind berücksichtigt. | ISO/IEC 27001:2022 Anhang A 5.31 | Prüfen, ob für Standorte und Reisen außerhalb der EU rechtliche Einschränkungen ermittelt wurden. | Rechtskataster, Regelung für Auslandsstandorte |
| 12 | Die Organisation plant den Wechsel auf neue Verfahren, auch mit Blick auf quantensichere Kryptografie. | BSI TR-02102-1 | Erfragen, ob Systeme mit langlebigen Daten und fest eingebauten Verfahren erfasst sind und ein Plan für den Wechsel besteht. | Analyse der Kryptoagilität, Migrationsplan |
Unterlagen zur Anforderung
- Kryptokonzept
- Liste zulässiger Verfahren und Schlüssellängen
- Kryptoinventar und Zertifikatsübersicht
- Prüfergebnisse der TLS-Konfiguration
- Regelung zum Schlüsselmanagement mit Rollen
- Berechtigungsauszug der Schlüsseltresore oder Hardware-Sicherheitsmodule
- Protokoll des letzten Wiederherstellungstests verschlüsselter Daten
- Planung zum Wechsel kryptografischer Verfahren
Typische Feststellungen
- Ein Kryptokonzept fehlt oder nennt Verfahren, die nicht mehr empfohlen werden.
- Schlüssel und Kennwörter liegen im Quellcode oder in Konfigurationsdateien.
- Zertifikate laufen unbemerkt ab und verursachen Ausfälle.
- Interne Dienste akzeptieren veraltete Protokollversionen.
- Sicherungen sind verschlüsselt, der Schlüssel ist aber nicht gesondert gesichert.
- Es gibt keine Übersicht, welche Systeme bei einem Wechsel der Verfahren betroffen wären.
Hinweis zu Fundstellen
Die Fundstellen verweisen auf Gesetze, Verordnungen und Standards, damit Sie die Anforderung im Original nachlesen können. Normtexte sind nicht abgedruckt. Kriterien und Prüfhandlungen sind eigene Formulierungen und ersetzen weder den Wortlaut der Vorschriften noch eine Rechtsberatung. Ob und in welchem Umfang eine Vorschrift für Ihre Organisation gilt, klären Sie vor der Prüfung.
Das vollständige Paket
Dieses Muster zeigt Ziel, Prüfzeilen und Unterlagen auf einer Seite. Zu Ihrem konkreten Prüfthema erstellt ProAuditMap das vollständige Paket: Prüfungsplan, Prüfprogramm je Prüfdimension, Unterlagenkatalog, Interviewleitfäden, Zeitplan, Kommunikation und Berichtsvorlage. Sie prüfen den Entwurf, geben ihn frei und exportieren nach Excel und Word.
Konto anlegen Vollständiges Beispielpaket ansehen Preise ansehen