Homomorphe Verschlüsselung – Grundlagen

Organisationen, die Daten in Cloud-Umgebungen speichern, stehen vor einem grundlegenden Problem: Um Berechnungen mit verschlüsselten Daten durchzuführen, müssen Cloud-Service-Provider (CSPs) diese zunächst entschlüsseln und damit den Klartext Umgebungen preisgeben, die die Organisation nicht vollständig kontrolliert. Homomorphe Verschlüsselung (HE) löst dieses Problem, indem sie Berechnungen direkt auf dem Chiffretext ermöglicht , sodass der CSP die zugrundeliegenden Daten niemals einsehen kann. Empfohlene Vorgehensweise: Evaluieren Sie PHE (Partielle HE) für Anwendungsfälle, die lediglich Addition oder Multiplikation erfordern; evaluieren Sie FHE (Vollständige HE) für beliebige Berechnungsanwendungen unter Berücksichtigung des aktuellen Leistungsverlusts (10⁶-mal langsamer als die Berechnung mit Klartext); und prüfen Sie, ob datenschutzfreundliche Alternativen wie sichere Enklaven oder differentielle Privatsphäre Ihre Anforderungen kostengünstiger erfüllen.

Kurzantwort: Was ist homomorphe Verschlüsselung und warum ist sie wichtig?

Homomorphe Verschlüsselung (HE) ist ein Verschlüsselungsverfahren, bei dem Berechnungen auf einem Chiffretext ein verschlüsseltes Ergebnis liefern, das, entschlüsselt mit dem entsprechenden privaten Schlüssel, dem Ergebnis derselben Berechnungen auf dem ursprünglichen Klartext entspricht. Die algebraische Eigenschaft lässt sich formal wie folgt ausdrücken: HE(a + b) = HE(a) + HE(b) und HE(a * b) = HE(a) * HE(b). Dank dieser Eigenschaft kann ein Cloud-Anbieter Analysen, maschinelles Lernen oder Datenbankabfragen auf Daten durchführen, die während der gesamten Berechnung verschlüsselt bleiben, und das verschlüsselte Ergebnis an den Dateneigentümer zurückgeben, der als Einziger über den privaten Schlüssel zur Entschlüsselung verfügt. Dies ist relevant, da es die Einhaltung von Vorschriften wie DSGVO , PCI DSS , HIPAA und FIPS ermöglicht , selbst wenn sensible Daten von Drittanbieter-Infrastrukturen verarbeitet werden.

Warum Standardverschlüsselung das Cloud-Computing-Problem nicht lösen kann

Standardverschlüsselung schützt Daten im Ruhezustand und während der Übertragung. Wenn ein Unternehmen verschlüsselte Daten an einen Cloud-Anbieter sendet und deren Verarbeitung anfordert, muss der Anbieter die Daten entschlüsseln. Dadurch entsteht ein strukturelles Vertraulichkeitsproblem: Der Klartext wird während der Verarbeitung in der Umgebung des Cloud-Anbieters offengelegt und kann dort für dessen Systeme, Mitarbeiter oder einen Angreifer, der die Infrastruktur des Anbieters kompromittiert hat, einsehbar sein.

Diese Einschränkung begrenzt, welche Aufgaben Organisationen an Cloud-Anbieter delegieren können, wenn es sich um sensible Daten handelt. Gesundheitsorganisationen können Analysen von Patientendaten nicht delegieren, ohne dabei geschützte Gesundheitsdaten (PHI) offenzulegen. Finanzinstitute können cloudbasiertes maschinelles Lernen nicht auf Transaktionsdaten anwenden, ohne Konto- und Verhaltensdaten preiszugeben. Organisationen, die Anforderungen an den Datenstandort oder die Datensouveränität unterliegen, sehen sich hinsichtlich der Berechnungen, die in Cloud-Umgebungen außerhalb ihrer Gerichtsbarkeit durchgeführt werden dürfen, Beschränkungen ausgesetzt.

Homomorphe Verschlüsselung löst dieses Problem direkt: Der Cloud-Anbieter empfängt lediglich den Chiffretext, führt Berechnungen damit unter Nutzung der homomorphen Eigenschaften des Verfahrens durch und gibt ein verschlüsseltes Ergebnis zurück. Der Anbieter speichert zu keinem Zeitpunkt Klartextdaten. Die Organisation entschlüsselt das Ergebnis mit ihrem privaten Schlüssel, der niemals ihre Kontrolle verlässt.

Was ist homomorphe Verschlüsselung?

Homomorphe Verschlüsselung ermöglicht Berechnungen, während die Daten verschlüsselt bleiben. Der Begriff „homomorph“ stammt aus der Mathematik: Eine Verschlüsselungsfunktion E ist homomorph bezüglich einer Operation *, wenn E(a) * E(b) = E(a * b) gilt. Das bedeutet, dass die Operation auf die verschlüsselten Werte angewendet werden kann und dasselbe Ergebnis liefert wie die Anwendung auf die Klartextwerte vor der Verschlüsselung.

Wie andere asymmetrische Verschlüsselungsverfahren verschlüsselt HE Daten mithilfe eines öffentlichen Schlüssels. Das verschlüsselte Ergebnis (Chiffretext) kann nur mit dem zugehörigen privaten Schlüssel entschlüsselt werden. Einzigartig ist jedoch, dass während der Verschlüsselung definierte mathematische Operationen auf den Chiffretext angewendet werden können und das Ergebnis der Entschlüsselung dem Ergebnis der Anwendung dieser Operationen auf den ursprünglichen Klartext entspricht.

Die Addition und Multiplikation von Klartextwerten entspricht der entsprechenden Operation auf ihren Chiffretexten. Jede berechenbare Funktion lässt sich als Kombination aus Addition und Multiplikation ausdrücken; dies ist die Grundlage für die Behauptung der vollständig homomorphen Verschlüsselung, beliebige Berechnungen auf verschlüsselten Daten zu ermöglichen.

Arten der homomorphen Verschlüsselung

Homomorphe Verschlüsselungsverfahren werden danach klassifiziert, welche Operationen sie auf dem Chiffretext unterstützen:

1. Partielle homomorphe Verschlüsselung (PHE): PHE unterstützt entweder Addition oder Multiplikation auf Chiffretext, aber nicht beides. PHE-Verfahren sind für bestimmte Anwendungsfälle effizient und praktisch. Das RSA-Kryptosystem ist multiplikativ homomorph: RSA(a) * RSA(b) = RSA(a * b) mod n. Das Paillier-Kryptosystem ist additiv homomorph. PHE ist heutzutage praktikabel und wird in Anwendungen wie elektronischen Wahlen (wo die Stimmenauszählung nur Addition erfordert) und bestimmten datenschutzfreundlichen Datenbankabfragen eingesetzt.
2. Etwas homomorphe Verschlüsselung (SHE): SHE unterstützt sowohl Addition als auch Multiplikation, jedoch nur für eine begrenzte Anzahl von Operationen, bevor das durch jede Operation verursachte Rauschen so stark anwächst, dass die Entschlüsselung fehlschlägt. SHE ermöglicht ausdrucksstärkere Berechnungen als PHE, begrenzt aber die Schaltungstiefe. Es ist ein Vorläufer von FHE und wird in Anwendungen eingesetzt, bei denen die Anzahl der Operationen im Voraus begrenzt werden kann.
3. Vollständig homomorphe Verschlüsselung (FHE): Es unterstützt eine unbegrenzte Anzahl von Additionen und Multiplikationen auf dem Chiffretext. Craig Gentry schlug 2009 das erste plausible FHE-Schema auf Basis von Gitterkryptographie vor. FHE-Schemata nutzen eine Bootstrapping-Operation, um den Chiffretext aufzufrischen und angesammeltes Rauschen zu eliminieren, wodurch unbegrenzte Berechnungen möglich werden. FHE ist die allgemeinste und leistungsfähigste Form der HE, und die aktive Forschung verbessert ihre praktische Leistungsfähigkeit rasant.

Aktuelle FHE-Programme und Bibliotheken

Seit Gentrys Veröffentlichung im Jahr 2009 wurden mehrere FHE-Verfahren entwickelt, die jeweils für unterschiedliche Berechnungsarten optimiert sind:

Schema	Am besten geeignet,	Vorgangstyp	Erhältlich in
BGV (Brakerski-Gentry-Vaikuntanathan)	Ganzzahlarithmetik; verschlüsselte Datenbankoperationen	SIMD-artige Stapelverarbeitung von Ganzzahlen	HElib; OpenFHE
BFV (Brakerski-Fan-Vercauteren)	Exakte Ganzzahlarithmetik; Stimmenauszählung; verschlüsselte Suche	Ring Learning With Errors (RLWE)-basierte Ganzzahloperationen	Microsoft-Siegel; OpenFHE
CKKS (Cheon-Kim-Kim-Song)	Näherungsweise Arithmetik reeller Zahlen; maschinelles Lernen inferenz	Näherungsarithmetik (nützlich für die Inferenz neuronaler Netze)	Microsoft SEAL; HElib; OpenFHE
TFHE (Fast FHE over the Torus)	Auswertung boolescher Schaltungen; Vergleichsoperationen	Schnelles Gatter-für-Gatter-Bootstrapping; bitweise Operationen	OpenFHE; TFHE-Bibliothek

Anwendungen der homomorphen Verschlüsselung

1. Analyse von Gesundheitsdaten: Ein Krankenhaus kann verschlüsselte Patientendaten an ein Forschungsinstitut oder einen Analysedienstleister senden. Dieser führt statistische Analysen oder maschinelle Lernmodelle auf den verschlüsselten Daten durch und sendet das verschlüsselte Ergebnis zurück. Das Krankenhaus entschlüsselt dieses Ergebnis. Das Forschungsinstitut erhält dabei zu keinem Zeitpunkt Zugriff auf die geschützten Gesundheitsdaten (PHI) der Patienten. Somit werden die HIPAA-Anforderungen auch dann erfüllt, wenn die Berechnung außerhalb der Umgebung des Krankenhauses erfolgt.
2. Verschlüsselte Datenbanken: Eine Datenbank, die verschlüsselte Datensätze speichert, kann Anfragen beantworten, ohne die Datenbank zu entschlüsseln. Mithilfe von PHE oder FHE wertet das Datenbanksystem Anfrageprädikate anhand verschlüsselter Werte aus und gibt verschlüsselte, übereinstimmende Datensätze zurück. Dies minimiert das Risiko eines Datenlecks: Gestohlener Chiffretext kann nicht ohne den privaten Schlüssel des Clients abgefragt werden. Standardmäßige Datenbankverschlüsselung unterstützt keine Anfragen an verschlüsselte Werte ohne vorherige Entschlüsselung.
3. Abruf privater Informationen (PIR): Ein Client kann einen Datensatz aus einer Datenbank abrufen, ohne dass der Datenbankserver erfährt, welcher Datensatz abgerufen wurde. Der Client sendet eine verschlüsselte Anfrage; der Server wertet diese homomorph aus und gibt ein verschlüsseltes Ergebnis zurück. Dies ist besonders wertvoll für datenschutzrelevante Abfragen, beispielsweise um zu prüfen, ob ein Passwort in einer Datenbank mit bekannten Sicherheitslücken kompromittiert wurde.
4. Cloud-Computing auf sensiblen Daten: Organisationen können Rechenprozesse an Cloud-Infrastrukturen auslagern, ohne dem Cloud-Anbieter Zugriff auf Klartextdaten zu gewähren. Die Daten werden vor dem Upload mit einem HE-Verfahren verschlüsselt; die Berechnung erfolgt mit dem Chiffretext; das Ergebnis wird verschlüsselt zurückgegeben und von der Organisation entschlüsselt. Der Cloud-Anbieter fungiert dabei als nicht vertrauenswürdige Rechenumgebung. Dies ermöglicht die Einhaltung von Datensouveränitäts- und Vertraulichkeitsanforderungen auch bei der Nutzung von Cloud-Infrastrukturen von Drittanbietern.
5. Maschinelles Lernen mit privaten Daten: Mit CKKS (das approximative Arithmetik unterstützt) lassen sich maschinelle Lernverfahren auf verschlüsselten Eingaben ausführen. Ein medizinisches Diagnosemodell kann beispielsweise einen verschlüsselten Symptomvektor eines Patienten auswerten und eine verschlüsselte Klassifizierung zurückgeben, ohne dass der Anwender die Patientendaten und der Patient die Modellparameter einsehen kann. Dies wird aktiv für datenschutzfreundliche KI-Anwendungen eingesetzt.

Abwägungen zwischen Leistung und Interoperabilität

Die größte praktische Einschränkung von FHE ist der Rechenaufwand. Aktuelle FHE-Implementierungen sind mindestens 10⁶-mal langsamer als vergleichbare Klartextberechnungen für allgemeine Zwecke. Das bedeutet, dass Operationen, die im Klartext Millisekunden benötigen, in FHE Hunderte von Sekunden dauern können. Wichtige Faktoren, die die HE-Leistung bestimmen:

Faktor	Auswirkung auf die Leistung	Mitigation
HE-Programmtyp	FHE (mit Bootstrapping) ist am langsamsten; PHE und SHE sind schneller, aber in den unterstützten Operationen eingeschränkt.	Wählen Sie die minimale HE-Leistung, die für den Anwendungsfall benötigt wird: Verwenden Sie PHE, wenn nur Addition oder nur Multiplikation erforderlich ist.
Polynommodulgrad	Ein größerer Modulus ermöglicht mehr Operationen vor Erreichen der Rauschgrenze, erhöht aber die Chiffretextgröße und die Operationszeit.	Größenparameter auf das für die Berechnungstiefe erforderliche Minimum festlegen.
SIMD-Batching	Viele HE-Verfahren unterstützen das Zusammenfassen mehrerer Klartexte zu einem einzigen Chiffretext (Batching), wodurch sich die Kosten pro Element amortisieren.	Die Berechnung sollte nach Möglichkeit Stapelverarbeitung nutzen.
Hardware-Beschleunigung	GPU-beschleunigte HE-Bibliotheken bieten eine 10- bis 100-fache Beschleunigung gegenüber reinen CPU-Implementierungen für entsprechende Schemata.	Evaluierung von GPU-beschleunigten FHE-Bibliotheken (Intel HEXL, cuFHE) für Produktionsumgebungen
Bootstrapping-Frequenz	Bootstrapping (die FHE-Rauschunterdrückungsoperation) ist die teuerste Operation in FHE	Minimieren Sie das Bootstrapping, indem Sie die Berechnung so strukturieren, dass die minimale Schaltkreistiefe genutzt wird.

Für die meisten aktuellen Produktionsanwendungen ist PHE oder SHE praktischer als FHE. Sichere Enklaven (Trusted Execution Environments wie Intel SGX) bieten einen alternativen Ansatz für Cloud-Computing mit sensiblen Daten und deutlich geringerem Leistungsaufwand, allerdings mit einem anderen Vertrauensmodell (Vertrauen in die Bestätigung des Hardwareherstellers statt in kryptografische Berechnungen). Differenzielle Privatsphäre bietet statistische Datenschutzgarantien für aggregierte Analysen mit minimalem Leistungsaufwand, schützt aber keine einzelnen Datensätze. Die Wahl zwischen HE, sicheren Enklaven und differenzieller Privatsphäre hängt vom jeweiligen Datenschutzbedrohungsmodell, der Art der Berechnung und dem akzeptablen Leistungsaufwand ab.

Bereitstellungsbeispiele

Private Finanzrisikoberechnung: Ein Finanzinstitut möchte, dass ein externer Risikoanalysedienstleister Kreditrisikobewertungen für sein Kundenportfolio berechnet, ohne dabei Kontodaten offenzulegen. Mithilfe des Paillier-Kryptosystems (PHE, additiv homomorph) verschlüsselt das Institut die relevanten Finanzkennzahlen jedes Kunden. Der Analysedienstleister berechnet gewichtete Summen der verschlüsselten Daten (ausschließlich Additionen) und gibt das verschlüsselte Ergebnis zurück. Das Institut entschlüsselt das Ergebnis, um die Risikobewertungen zu erhalten. Der Dienstleister erhält niemals die einzelnen Kontowerte. Dieser Anwendungsfall ist heutzutage praktikabel, da er lediglich Additionen erfordert, die PHE effizient unterstützt.

Verschlüsselte Stichwortsuche in einer Cloud-Datenbank: Eine Organisation speichert verschlüsselte Dokumente in einer Cloud-Datenbank und muss Dokumente abrufen, die einem bestimmten Stichwort entsprechen, ohne dem Cloud-Anbieter das Stichwort oder den Inhalt nicht übereinstimmender Dokumente preiszugeben. Mithilfe eines durchsuchbaren Verschlüsselungsverfahrens (das PHE-Eigenschaften mit strukturierter Indizierung kombiniert) sendet die Organisation ein verschlüsseltes Abfragetoken für das Stichwort. Die Cloud-Datenbank wertet das Abfragetoken anhand verschlüsselter Indexeinträge aus und gibt übereinstimmende verschlüsselte Dokumentreferenzen zurück. Die Organisation entschlüsselt die Referenzen, um die Zieldokumente abzurufen. Der Cloud-Anbieter erfährt lediglich, welche Chiffretexte übereinstimmen, nicht aber das Stichwort oder den Dokumentinhalt.

ML-Inferenz auf verschlüsselten Gesundheitsdaten mit CKKS: Ein KI-Anbieter im Gesundheitswesen stellt ein Diagnosemodell bereit, das das Patientenrisiko anhand klinischer Merkmale klassifiziert. Mithilfe von CKKS FHE verschlüsselt die Gesundheitseinrichtung den Merkmalsvektor des Patienten und sendet ihn an den KI-Anbieter. Dieser berechnet die Inferenz des neuronalen Netzes auf dem verschlüsselten Vektor mittels approximativer Arithmetik (der nativen Operation von CKKS) und gibt die verschlüsselte Klassifizierung zurück. Die Einrichtung entschlüsselt die Klassifizierung, um das Diagnoseergebnis zu erhalten. Der KI-Anbieter hat keinen Zugriff auf die klinischen Daten des Patienten, und die Einrichtung erhält keine Zugriff auf die Modellgewichte. Diese Art der Implementierung wird derzeit im Gesundheitswesen und im Finanzdienstleistungssektor für anspruchsvolle, datenschutzrelevante Inferenzanwendungen erprobt.

Einschränkungen und aktuelle Nachteile

• Rechenaufwand: Die Berechnung mit FHE ist für allgemeine Operationen mindestens 10⁶-mal langsamer als die Berechnung mit Klartext. Obwohl Hardwarebeschleunigung dies verbessert hat, bleibt FHE für latenzkritische Anwendungen und für Berechnungen auf großen Datensätzen, die viele sequentielle Operationen erfordern, unpraktisch.
• Schaltungstiefenbegrenzungen (SHE/FHE ohne Bootstrapping): Jede homomorphe Operation führt zu Rauschen im Chiffretext. Ohne Bootstrapping ist die Anzahl der Operationen, die auf einem Chiffretext durchgeführt werden können, bevor er unentschlüsselbar wird, begrenzt. Bootstrapping erweitert diese Grenze, ist aber selbst rechenaufwändig und verlängert die Gesamtverarbeitungszeit erheblich.
• Beschränkung auf einen einzigen Schlüssel für gemeinsam genutzte Datenbanken: Standardmäßige HE-Verfahren verschlüsseln Daten mit einem öffentlichen Schlüssel; nur der Inhaber des zugehörigen privaten Schlüssels kann die Ergebnisse entschlüsseln. Bei einer Datenbank, auf die mehrere unabhängige Benutzer mit jeweils unterschiedlichen privaten Schlüsseln zugreifen, wäre für jeden Benutzer eine separate verschlüsselte Kopie der Daten erforderlich, was bei größeren Datenmengen unpraktisch wird. Es gibt zwar FHE-Verfahren mit mehreren Schlüsseln, diese erhöhen jedoch die Komplexität und den Aufwand zusätzlich.
• Komplexität der Implementierung: Die Wahl des richtigen HE-Schemas, der Parametergrößen und der Berechnungsstruktur erfordert fundierte kryptografische Kenntnisse. Eine Fehlkonfiguration der Parameter (z. B. ein zu kleiner Modulus oder Polynomgrad) kann dazu führen, dass das Rauschen den Chiffretext überlagert oder die Sicherheit unter das erforderliche Niveau sinkt. Open-Source-Bibliotheken sind zwar immer benutzerfreundlicher, aber ihre korrekte Implementierung ist nach wie vor komplexer als die von Standard-Kryptografiebibliotheken.
• Näherungsarithmetische Einschränkungen von CKKS: CKKS unterstützt Berechnungen mit reellen Zahlen, liefert aber keine exakten, sondern nur Näherungsergebnisse. Für Anwendungen, die exakte Ganzzahlarithmetik erfordern (z. B. Finanzberechnungen mit präzisen Werten), ist CKKS ungeeignet; stattdessen sollten BGV oder BFV verwendet werden.

Wie Verschlüsselungsberatung helfen kann

• Verschlüsselungsberatungsdienste: UNSERE Verschlüsselungsberatung Wir prüfen, ob homomorphe Verschlüsselung für Ihren Anwendungsfall die richtige Lösung ist oder ob Alternativen wie sichere Enklaven, differentielle Privatsphäre oder Tokenisierung Ihre Anforderungen an Datenschutz und Leistung besser erfüllen. Wir entwickeln datenschutzfreundliche Rechenarchitekturen, die sowohl kryptografisch sicher als auch betrieblich umsetzbar sind.
• Beratungsleistungen im Bereich Compliance: UNSERE Compliance-Beratungsdienste Organisationen dabei zu verstehen, wie HE und alternative datenschutzwahrende Ansätze die Compliance-Anforderungen gemäß DSGVO, HIPAA, PCI DSS und FIPS erfüllen, einschließlich der Dokumentationsanforderungen für Aufsichtsbehörden, die möglicherweise mit HE-basierten Compliance-Architekturen nicht vertraut sind.
• CBOM Secure: CBOM Secure Er ermittelt vorhandene kryptografische Implementierungen in Ihrer Umgebung und liefert das notwendige Inventar, um zu beurteilen, ob aktuelle Verschlüsselungsansätze sensible Daten an Drittumgebungen weitergeben und ob HE als Ersatz oder Ergänzung evaluiert werden sollte.
• HSM als Dienstleistung: HE-Systeme, die Public-Key-Verschlüsselung verwenden, erfordern eine sichere Verwaltung des privaten Entschlüsselungsschlüssels. HSM als Service bietet FIPS 140-3 validierten Hardware-Speicher für die in HE-Implementierungen verwendeten privaten Schlüssel und gewährleistet so, dass der private Schlüssel (und die Fähigkeit zur Entschlüsselung von HE-Ergebnissen) auch dann nicht kompromittiert werden kann, wenn die Cloud- oder Anwendungsinfrastruktur angegriffen wird.

Fazit

Homomorphe Verschlüsselung löst ein Problem, das herkömmliche Verschlüsselung nicht bewältigen kann: Wie kann ein Dritter sinnvolle Berechnungen mit sensiblen Daten durchführen, ohne jemals Zugriff auf den Klartext zu erhalten? PHE ist heute für Anwendungsfälle mit nur einem Operationstyp praktikabel. FHE ermöglicht beliebige Berechnungen mit verschlüsselten Daten und wird trotz des aktuellen Leistungsverlusts bereits produktiv für sensible Anwendungen mit hohem Datenwert im Gesundheitswesen, im Finanzwesen und im Bereich maschinelles Lernen eingesetzt.

Für die meisten Organisationen, die homomorphe Verschlüsselung (HE) evaluieren, gilt folgender Entscheidungsrahmen: Wenn Sie eine bestimmte, begrenzte Berechnung an einen Dritten delegieren müssen, ohne Klartext preiszugeben, prüfen Sie, ob Format Preserving Encryption (PHE) oder Secure Enclaves Encryption (SHE) diese Art von Berechnung unterstützen. Ist eine beliebige Berechnung erforderlich, bewerten Sie Format Preserving Encryption (FHE) hinsichtlich des Leistungsaufwands und vergleichen Sie es mit Alternativen wie sicheren Enklaven und differenzieller Privatsphäre. Die richtige Architektur hängt vom jeweiligen Bedrohungsmodell, der Art der Berechnung, der Sensibilität der Daten und dem Leistungsbudget ab. Wenn Sie Beratung benötigen, ob homomorphe Verschlüsselung oder ein anderer datenschutzwahrender Ansatz für Ihren Anwendungsfall geeignet ist, wenden Sie sich an Encryption Consulting . Weitere Informationen finden Sie unter Format Preserving Encryption und in unserem Blog zum Vergleich von Datensicherheit und Datenschutz.

Häufig gestellte Fragen

Was ist homomorphe Verschlüsselung?

Homomorphe Verschlüsselung (HE) ermöglicht Berechnungen direkt auf dem Chiffretext. Das entschlüsselte Ergebnis entspricht dem Ergebnis, das durch die gleichen Operationen auf dem ursprünglichen Klartext erzielt worden wäre. Dadurch kann ein Cloud-Anbieter verschlüsselte Daten verarbeiten und ein verschlüsseltes Ergebnis zurückgeben, ohne jemals den zugrunde liegenden Klartext einzusehen.

Worin besteht der Unterschied zwischen PHE und FHE?

Die partielle homomorphe Verschlüsselung (PHE) unterstützt entweder die Addition oder die Multiplikation des Chiffretextes, jedoch nicht beides. Sie ist für bestimmte Anwendungsfälle praktisch und effizient. Die vollständig homomorphe Verschlüsselung (FHE) unterstützt beide Operationen in unbegrenzter Kombination und ermöglicht so beliebige Berechnungen mit verschlüsselten Daten. Allerdings ist sie derzeit für den allgemeinen Gebrauch 10⁶-mal langsamer als die Berechnung von Klartext.

Warum kann für Cloud-Computing keine Standardverschlüsselung verwendet werden?

Standardmäßige Verschlüsselung erfordert die Entschlüsselung der Daten, bevor Berechnungen damit durchgeführt werden können. Dadurch werden Klartextdaten während der Verarbeitung in der Umgebung des Cloud-Anbieters offengelegt, was zu Compliance- und Vertraulichkeitsproblemen bei sensiblen Daten führt. HE (High-Environment) umgeht die Notwendigkeit der Entschlüsselung, indem es Berechnungen direkt auf dem Chiffretext ermöglicht.

Wie langsam ist die vollständig homomorphe Verschlüsselung im Vergleich zur Standardverschlüsselung?

Die Berechnung mit FHE ist mindestens 10⁶-mal langsamer als die entsprechende Berechnung mit Klartext. Eine Operation, die im Klartext 1 Millisekunde benötigt, kann mit FHE bis zu 1,000 Sekunden dauern. Hardwarebeschleunigung (GPU-basierte FHE) verringert diese Lücke für geeignete Verfahren deutlich, und die Leistung wird durch laufende Forschung kontinuierlich verbessert.

Was sind die wichtigsten praktischen Anwendungsgebiete der homomorphen Verschlüsselung?

PHE wird heute für elektronische Wahlen, datenschutzkonforme Datenbankabfragen und bestimmte Finanzberechnungen eingesetzt. FHE wird derzeit für verschlüsselte ML-Inferenz auf Gesundheitsdaten, den Abruf vertraulicher Informationen und Cloud-Computing auf regulierten Daten erprobt. CKKS-basiertes FHE ist aufgrund seiner Unterstützung für approximative Arithmetik reeller Zahlen am praktikabelsten für ML-Inferenz.

Welche Hochschulprogramme und Bibliotheken gibt es heute im Wesentlichen?

BGV und BFV werden für die Arithmetik ganzer Zahlen verwendet; CKKS für approximative Berechnungen mit reellen Zahlen (ML-Inferenz); TFHE für die Auswertung Boolescher Schaltungen. Zu den Bibliotheken gehören Microsoft SEAL (BFV und CKKS), HElib (BGV und CKKS) und OpenFHE (BGV, BFV, CKKS, TFHE und FHEW). Alle sind Open Source und weisen unterschiedliche Reifegrade im Produktiveinsatz auf.