Der unverzichtbare Verschlüsselungs-Guide für kleine Unternehmen

Ein kleines Unternehmen benötigt Verschlüsselung an vier Stellen: auf Mitarbeitergeräten (FileVault auf dem Mac, BitLocker unter Windows 11 Pro), im Cloud-Speicher (Google Workspace CSE, Microsoft 365 mit Verschlüsselung im Ruhezustand, Cryptomator für BYOC), in der E-Mail (S/MIME über Microsoft 365 E3 oder ProtonMail Business) und bei Dateiübertragungen an Kunden (HexaTransfer, Tresorit Send, SwissTransfer). Die monatlichen Gesamtkosten für ein 10-köpfiges Team liegen je nach gewählten Diensten zwischen 80 und 300 Euro. Sie brauchen keinen CISO, um das umzusetzen – nur ein Wochenende und eine Checkliste.

Der gesetzliche Mindeststandard, den die meisten kleinen Unternehmen übersehen

Die DSGVO gilt für jedes Unternehmen, das Daten von EU-Bürgern verarbeitet – unabhängig von der Unternehmensgröße. Es gibt keine Ausnahme für Kleinunternehmen, lediglich reduzierte Dokumentationspflichten gemäß Artikel 30 Absatz 5 für Organisationen unter 250 Mitarbeitern. Das Bundesdatenschutzgesetz (BDSG) ergänzt und konkretisiert die DSGVO für Deutschland. PCI DSS 4.0 gilt, sobald Sie Kreditkartendaten berühren.

Verschlüsselung ist in den meisten dieser Regelwerke nicht explizit vorgeschrieben, aber sie ist der kostengünstigste Safe-Harbor-Mechanismus schlechthin. Gemäß DSGVO Artikel 34 Absatz 3 Buchstabe a entfällt die Benachrichtigungspflicht für Betroffene, wenn die Daten zum Zeitpunkt der Verletzung verschlüsselt waren. Diese Rechnung allein rechtfertigt oft bereits die Investition in die Werkzeuge.

Geräteverschlüsselung: Kostenlos und unverzichtbar

FileVault (macOS) und BitLocker (Windows 11 Pro) sind kostenlos und auf den meisten neuen Geräten standardmäßig aktiviert. Beide verwenden AES-XTS-128 oder AES-XTS-256. Ihre Aufgabe ist es, sicherzustellen, dass dies auch tatsächlich auf jedem Laptop aktiv ist:

macOS: Systemeinstellungen → Datenschutz & Sicherheit → FileVault
Windows: Einstellungen → Datenschutz & Sicherheit → Geräteverschlüsselung
Linux: LUKS2 mit cryptsetup, typischerweise bei der Installation konfiguriert

Speichern Sie Wiederherstellungsschlüssel in einem Passwort-Manager oder einem 1Password-Teams-Tresor, nicht in einer Tabelle oder auf einem Klebezettel. Ein gestohlener, unverschlüsselter Laptop mit Kunden-Personendaten löst eine vollständige DSGVO-Artikel-33-Meldepflicht innerhalb von 72 Stunden aus – nebst möglichen Bußgeldern und Reputationsschäden.

Cloud-Speicher: Anbieter-Verschlüsselung vs. clientseitige Verschlüsselung

Google Workspace, Microsoft 365 und Dropbox Business verschlüsseln Daten im Ruhezustand (AES-256) und in der Übertragung (TLS 1.3). Die Schlüssel halten jedoch diese Anbieter. Eine Beschlagnahme, ein ungetreuer Mitarbeiter oder eine Anbieterpanne legt Klartextdaten offen. Für die meisten kleinen Unternehmen ist diese anbieterseitige Verschlüsselung ausreichend – Ihr Bedrohungsmodell sind wahrscheinlich Ransomware und verlorene Laptops, keine staatlichen Akteure.

Wechseln Sie für regulierte Daten zur clientseitigen Verschlüsselung. Google Workspace Client-Side Encryption (CSE) ermöglicht die Integration eines Thales- oder Fortanix-KMS, sodass Google nur Chiffretext speichert. Microsoft bietet Double Key Encryption (DKE) in der E5-Stufe. Unterhalb dieses Preispunkts bietet Cryptomator (5 Euro einmalig für Mobile, Desktop kostenlos) eine transparente AES-256-GCM-Verschlüsselung für jeden Cloud-Dienst.

E-Mail-Verschlüsselung ohne technischen Doktortitel

Für kleine Unternehmen gibt es drei praktische Optionen:

ProtonMail Business (ca. 8 €/Nutzer/Monat): E2EE standardmäßig zwischen ProtonMail-Nutzern, passwortgeschützte Nachrichten für externe Empfänger, PGP-Export für fortgeschrittene Nutzer.
Microsoft 365 Message Encryption (in E3 enthalten): Web-Portal-basierte verschlüsselte E-Mail für externe Empfänger, S/MIME innerhalb des Tenants.
Tutanota Business (3 €/Nutzer/Monat): EU-basiert, E2EE für Betreff und Inhalt, Kalender und Kontakte inklusive.

Für vertragsrelevante Kommunikation mit Rechtsanwälten oder Steuerberatern sind entweder ProtonMail oder S/MIME über M365 ausreichend. Die Falle ist, reguläre Gmail-Konten für sensible Dinge zu nutzen und auf TLS zu hoffen – das reicht nicht, da Gmail selbst jede Nachricht lesen kann.

Dateiübertragungen an Kunden

E-Mail-Anhangsgrenzen (25 MB bei Gmail, 20 MB bei Outlook.com) zwingen jedes Unternehmen früher oder später zu einer Dateiübertragungslösung. Die Optionen, die Sie compliant halten:

HexaTransfer: clientseitiges AES-256-GCM, 10 GB pro Übertragung, kein Konto erforderlich, 7-Tage-Ablauf. Das kostenlose Tier deckt die meisten Anforderungen kleiner Unternehmen ab.
Tresorit Send: E2EE, 5-GB-Free-Tier, unbegrenzt im Business-Plan (ab 14 €/Nutzer/Monat).
SwissTransfer: 50 GB pro Übertragung, optionaler E2EE-Modus, gehostet von Infomaniak in der Schweiz.
WeTransfer Pro: 20 GB, Passwortschutz, aber nicht Ende-zu-Ende-verschlüsselt – Dateien sind für WeTransfer-Server lesbar.

Für DSGVO-konforme Workflows prüfen Sie, wo die Server des Anbieters stehen – Artikel 44 DSGVO schränkt Übermittlungen außerhalb des EWR ein, sofern keine spezifischen Schutzmaßnahmen vorliegen.

Passwort-Management ist Teil des Verschlüsselungs-Stacks

Jedes Verschlüsselungstool hängt von einem Geheimnis ab: einem Gerätepasswort, einem Tresor-Master-Schlüssel, einem gemeinsamen Übertragungspasswort. Wenn Mitarbeiter Sommer2025! für jeden Dienst verwenden, ist die Kryptographie wirkungslos. Führen Sie 1Password Teams (ca. 8 €/Nutzer/Monat), Bitwarden Business (ca. 6 €/Nutzer/Monat) oder Dashlane Business ein, bevor Sie alles andere einrichten. Alle drei verwenden AES-256-GCM lokal mit PBKDF2- oder Argon2id-Schlüsselableitung.

Erzwingen Sie MFA (TOTP-Apps, WebAuthn oder Hardware-YubiKeys für ca. 50 € das Stück) zumindest für Admin-Konten, idealerweise überall. Ein gestohlenes Passwort ohne MFA ist der Weg, über den 80 % der Unternehmenseinbrüche tatsächlich erfolgen – keine exotische Kryptoanalyse.

Ein realistischer 30-Tage-Rollout

Woche 1: Alle Laptops prüfen, FileVault/BitLocker verifizieren, dokumentieren, wer was verwaltet. Woche 2: Passwort-Manager einführen und gemeinsame Anmeldedaten aus Tabellen migrieren. Woche 3: Eine verschlüsselte E-Mail-Lösung und einen verschlüsselten Dateiübertragungsdienst auswählen, das Team in beidem schulen. Woche 4: Eine einseitige Datenhandhabungsrichtlinie schreiben, die festlegt, welches Tool für welchen Dateityp zu verwenden ist, und eine Tischübung durchführen, bei der man so tut, als wäre ein Laptop gestohlen worden. Quartalsweise überprüfen.

Kostenübersicht für 10 Personen

| Ebene | Produkt | Monatlich | |---|---|---| | Geräte | FileVault / BitLocker | 0 € | | Passwort-Manager | 1Password Teams | ~80 € | | Cloud + E-Mail | Google Workspace Business Standard | ~144 € | | Verschlüsselte E-Mail (5 Führungskräfte) | ProtonMail Business | ~40 € | | Dateiübertragung | HexaTransfer (kostenlos) | 0 € | | MFA-Hardware (einmalig, amortisiert) | YubiKey 5 | ~42 € | | Gesamt | | ~306 € |

Ohne ProtonMail liegen Sie unter 270 € – weniger als eine Stunde Incident-Response-Beratung. Für den Dateiübertragungsbereich testen Sie hexatransfer.com – kostenlos, kein Konto erforderlich, maximal 10 GB.