Weltweite Verschlüsselungsvorschriften für Daten im Jahr 2026

Verschlüsselungsvorschriften unterscheiden sich 2026 erheblich je nach Rechtsraum. Die EU verlangt „geeignete technische Maßnahmen" (DSGVO Artikel 32), wobei AES-256 allgemein als Mindeststandard anerkannt wird. Die USA schichten sektorspezifische Regeln übereinander: HIPAA für das Gesundheitswesen, PCI DSS 4.0 für Zahlungen, GLBA Safeguards Rule für das Finanzwesen sowie einen Flickenteppich aus Landesgesetzen unter Führung von CCPA/CPRA. Chinas PIPL (Artikel 38-43) verhängt Exportkontrollen für grenzüberschreitende Übertragungen. Indiens DPDPA (2023) trat 2025 in Kraft. Brasiliens LGPD spiegelt die DSGVO. Einige Rechtsräume – Großbritannien, Australien, Frankreich – haben gesetzliche Zugriffsanforderungen eingeführt, die mit Ende-zu-Ende-Verschlüsselung in Konflikt geraten.

Europäische Union: DSGVO setzt den globalen Maßstab

DSGVO Artikel 32 verlangt „Pseudonymisierung und Verschlüsselung personenbezogener Daten" als geeignete Sicherheitsmaßnahme. Sie ist nicht strikt verpflichtend, aber funktional so – Artikel 34 Absatz 3 Buchstabe a erlässt die Benachrichtigungspflicht der Betroffenen, wenn die Daten durch Verschlüsselung „unzugänglich" gemacht wurden. Die Leitlinien 01/2021 des Europäischen Datenschutzausschusses (EDSA) klären, dass AES-256 oder Ähnliches der erwartete Mindeststandard ist. Der BfDI hat diese Einschätzung in deutschen Stellungnahmen mehrfach bekräftigt.

Artikel 44 und Kapitel V schränken Übermittlungen außerhalb des EWR ein. Nach Schrems II (C-311/18) erfordern Standardvertragsklauseln ergänzende Maßnahmen – typischerweise Ende-zu-Ende-Verschlüsselung, bei der der Empfänger die Schlüssel kontrolliert, sodass US-Anbieter keinen Klartext unter FISA-702-Anfragen liefern können. Das EU-US-Datenschutzrahmenwerk von 2023 hat einige transatlantische Datenflüsse wiederhergestellt, steht aber auf rechtlich unsicherem Boden.

Die NIS2-Richtlinie (wirksam seit Oktober 2024) weitet ähnliche Verschlüsselungserwartungen auf mittlere und große Betreiber wesentlicher Dienste aus – Energie, Verkehr, Gesundheit, digitale Infrastruktur.

Vereinigte Staaten: Sektor für Sektor

Es gibt kein einheitliches US-Bundesdatenschutzgesetz mit einheitlichen Verschlüsselungsanforderungen. Stattdessen:

HIPAA Security Rule (45 CFR 164.312(a)(2)(iv) und (e)(2)(ii)): Verschlüsselung von ePHI ist „addressable", also erforderlich, es sei denn, das Covered Entity dokumentiert nachvollziehbar, warum nicht. OCR-Audits behandeln es in der Praxis als verpflichtend.
PCI DSS 4.0 (vollständige Durchsetzung ab März 2025): Anforderung 3.5.1 verlangt, PAN unlesbar zu machen; Anforderung 4.2.1 fordert starke Kryptographie über offene Netze (TLS 1.2 Minimum, TLS 1.3 bevorzugt).
GLBA Safeguards Rule (16 CFR Part 314), aktualisiert 2023: Verschlüsselung von Kundendaten in der Übertragung und im Ruhezustand mit spezifischen Sanktionen für Finanzinstitute.
SEC Regulation S-P Amendments (2024): Breach-Benachrichtigung innerhalb von 30 Tagen für Broker-Dealer und Berater.

Dazu kommt die staatliche Ebene: CCPA/CPRA (Kalifornien), CDPA (Virginia), CPA (Colorado), CTDPA (Connecticut), UCPA (Utah) und weitere 14 Staaten mit aktiven Gesetzen in 2026. Die meisten zitieren „angemessene Sicherheit" – was Klägeranwälte als „Sie haben nicht verschlüsselt, also haben Sie versagt" interpretieren.

Vereinigtes Königreich: UK GDPR und Investigatory Powers Act

Das UK GDPR spiegelt EU-GDPR Artikel 32. Die Besonderheit ist der Investigatory Powers Act 2016 in der Fassung von 2024, der dem Home Office erlaubt, Technical Capability Notices auszustellen, die Anbieter verpflichten, den „elektronischen Schutz" von Kommunikation zu entfernen. Das steht im Widerspruch zu E2EE – Apple zog Anfang 2025 vorübergehend iCloud Advanced Data Protection aus dem UK-Markt zurück, ein Fall der weiterhin anhängig ist.

China: PIPL und Kryptographiegesetz

Das Gesetz zum Schutz persönlicher Daten (PIPL, wirksam ab November 2021) stellt durch Artikel 38-43 strenge Verschlüsselungsanforderungen für grenzüberschreitende Datenübertragungen. Chinas Kryptographiegesetz (2020) kategorisiert Algorithmen als „Kern-", „Allgemein-" und „kommerzielle Kryptographie" – kommerzielle Kryptographie, die die meisten geschäftlichen Dateiübertragungsverschlüsselungen umfasst, erfordert eine Typzertifizierung für in China verkaufte Produkte. SM2, SM3 und SM4 (chinesische nationale Algorithmen) sind für bestimmte Behörden- und kritische Infrastruktur-Anwendungen vorgeschrieben.

Indien: DPDPA tritt in Kraft

Das Digital Personal Data Protection Act (DPDPA), im August 2023 verabschiedet und durch Regeln von 2025 operationalisiert, verlangt „angemessene Sicherheitsvorkehrungen" (Abschnitt 8(5)). Die Entwurfsregeln vom Januar 2025 nennen Verschlüsselung als grundlegende Erwartung. Grenzüberschreitende Übertragungen sind erlaubt, außer in Länder, die die Regierung ausdrücklich sperrt – ein „Whitelist-but-open"-Ansatz, der sich von GDPRs allgemeinem Verbot unterscheidet.

Brasilien, Kanada, Australien

Brasiliens LGPD (Gesetz 13.709/2018) entspricht der DSGVO weitgehend, wobei ANPD-Leitlinien Verschlüsselung als erwartete Artikel-46-Schutzmaßnahme behandeln. Kanadas PIPEDA verlangt „der Sensitivität angemessene Sicherheitsvorkehrungen" – Rechtsprechung und OPC-Leitlinien stellen Verschlüsselung für die meisten regulierten Daten als Standard dar. Quebecs Gesetz 25 (vollständig wirksam ab September 2024) fügt explizite Breach-Benachrichtigungs- und grenzüberschreitende Regeln hinzu.

Australiens Privacy Act 1988 wird aktiv reformiert; die Änderungen von 2024 führten eine gesetzliche Datenschutztort ein. Der Telecommunications and Other Legislation Amendment (Assistance and Access) Act 2018 erlaubt verpflichtende technische Unterstützung, die E2EE faktisch bricht – wie im UK eine anhaltende Spannung.

Rechtsraum-Überblick

| Region | Primärrecht | Verschlüsselungsstandpunkt | Grenzüberschreitende Regel | |---|---|---|---| | EU | DSGVO Art. 32 | AES-256 erwartet | Kapitel V / SCCs | | USA Gesundheit | HIPAA 164.312 | Addressable = verpflichtend | Entf. | | USA Zahlungen | PCI DSS 4.0 | Erforderlich 3.5.1 | Entf. | | UK | UK GDPR + IPA | Erforderlich; Lawful-Access-Spannung | Adequacy-Entscheidungen | | China | PIPL + Kryptogesetz | Erforderlich; SM-Algos für Behörden | Sicherheitsbewertung | | Indien | DPDPA | Angemessene Schutzmaßnahmen | Blacklist-Modell | | Brasilien | LGPD | Erwartet Art. 46 | ANPD-Aufsicht | | Kanada | PIPEDA / Gesetz 25 | In der Praxis erforderlich | Quebec explizit | | Australien | Privacy Act 1988 | Erwartet; AAA-Spannung | Einzelfall |

Das Problem des gesetzlichen Zugriffs

Der UK IPA 2016, Australiens AAA 2018 und Frankreichs Projet de Loi Narcotrafic (eingeführt 2025) enthalten alle Bestimmungen, die Anbieter verpflichten, Kommunikation auf rechtmäßige Anordnung zu entschlüsseln. Das kollidiert mit der DSGVO-Anforderung nach unzugänglichen Daten und mit E2EE-Systemen, bei denen Anbieter technisch nicht entschlüsseln können. Wie dieser Konflikt gelöst wird – durch technische Umgehungen, jurisdiktionelle Arbitrage oder echten Rechtswandel – ist die bestimmende Kryptographiepolitikfrage des Jahres 2026.

Was das in der Praxis bedeutet

Für ein multinationales kleines oder mittelständisches Unternehmen ist der praktische Weg: alles mit AES-256-GCM im Ruhezustand und TLS 1.3 in der Übertragung verschlüsseln, Schlüssel in einer Jurisdiktion aufbewahren, der Sie vertrauen, Auftragsverarbeitungsverträge mit jedem Auftragsverarbeiter schließen und Dateiübertragungs- sowie E-Mail-Anbieter wählen, die ihre kryptographische Architektur und ihre Subpoena-Response-Richtlinien veröffentlichen. Compliance bedeutet nicht, die eine „richtige" Verordnung zu finden – es geht darum, eine Haltung aufzubauen, die unter dem strengsten anwendbaren Regime vertretbar ist.

Für den Dateiübertragungsbereich: Testen Sie hexatransfer.com – kostenlos, kein Konto erforderlich, maximal 10 GB.