Das Symptom
Der Laptop ist verschlüsselt, das steht so in der Übersicht, die IT hat es
bestätigt, und seither herrscht Ruhe. Dann fängt sich jemand über einen Anhang
eine Schadsoftware ein, und plötzlich sind Dateien abgeflossen. Oder ein Gerät
wird aus dem Auto gestohlen – zugeklappt, nicht heruntergefahren. In beiden
Fällen kommt dieselbe fassungslose Frage: Die Platte war doch verschlüsselt.
Die „Layer 8“-Wahrheit
War sie. Und sie hat in beiden Fällen genau das getan, wofür sie gebaut ist –
nämlich nichts. Festplattenverschlüsselung beantwortet eine einzige, sehr eng
gefasste Frage: Was passiert, wenn jemand das ausgeschaltete Gerät oder den
ausgebauten Datenträger in die Hände bekommt. Das BSI definiert den Produkttyp
wörtlich über diesen Zustand – geschützt wird der Zugriff, wenn sich das Gerät
nicht im laufenden Betrieb befindet – und sagt im selben Absatz, was daraus
folgt: Schutz insbesondere bei Verlust oder Diebstahl, nicht aber unmittelbar im
laufenden Betrieb, weil die Daten dann auf Anwendungsebene im Klartext zugänglich
sind. Das ist keine Einschränkung, die jemand versteckt hat. Es ist die
Definition.
Daraus folgt das Unangenehme fast von selbst. Sobald du angemeldet bist, ist der
Datenträger entsperrt, und alles, was unter deinem Konto läuft, liest mit
denselben Rechten wie du. Eine Schadsoftware fragt nicht nach dem
Verschlüsselungsschlüssel – sie fragt das Betriebssystem nach der Datei, und das
Betriebssystem liefert. Verschlüsselung und Virenschutz lösen zwei völlig
verschiedene Probleme, und keines davon ersetzt das andere.
Der zweite Punkt ist der, an dem im Alltag tatsächlich Daten verloren gehen: der
zugeklappte Deckel. Microsoft beschreibt für BitLocker ungewöhnlich klar, dass
beim Wechsel in den Energiesparmodus laufende Programme und Dokumente im
Arbeitsspeicher bleiben und beim Aufwachen keine erneute Authentifizierung mit
PIN oder Startschlüssel verlangt wird – ein Zustand, der die Datensicherheit
gefährden könne. Im Ruhezustand dagegen wird das Laufwerk gesperrt. Der
Unterschied zwischen einem geschützten und einem ungeschützten gestohlenen Laptop
ist damit oft nur die Frage, ob jemand zugeklappt oder heruntergefahren hat. Für
Angreifer mit Zeit und Werkzeug empfiehlt Microsoft aus genau diesem Grund, das
Energiesparmanagement abzuschalten und das Gerät herunterzufahren oder in den
Ruhezustand zu versetzen, bevor es die Kontrolle einer berechtigten Person
verlässt.
Und der Vollständigkeit halber die gute Nachricht, die in der ganzen Nörgelei
untergeht: Für ihre eine Aufgabe ist die Technik hervorragend. Apple beschreibt
für FileVault, dass die internen Volumes ohne gültige Anmeldedaten oder
Wiederherstellungsschlüssel verschlüsselt bleiben, selbst wenn jemand den
Datenträger ausbaut und an einen anderen Rechner hängt. Ein verlorenes,
verschlüsseltes und heruntergefahrenes Notebook kostet ein Notebook. Dasselbe
Notebook ohne Verschlüsselung kostet alles, was darauf lag. Das ist der
Unterschied, den man für einen Klick beim Einrichten bekommt – man darf ihn nur
nicht für einen zweiten halten, den man nie bekommen hat.
Die echte, verifizierte Lösung
1000 % faktenbasiert. Jeder Befehl ist real, jeder Pfad existiert. Schritt für Schritt:
1.Nachsehen, ob überhaupt verschlüsselt wird
Erstaunlich viele Leute glauben, ihre Platte sei verschlüsselt, weil ein Kennwort beim Anmelden abgefragt wird. Ein Anmeldekennwort ist aber keine Verschlüsselung, sondern eine Tür – wer die Platte ausbaut, geht daran vorbei. Der Status lässt sich auf jedem System direkt abfragen. Unter Windows nennt die Ausgabe unter anderem Verschlüsselungsmethode, Schutzstatus und Sperrstatus.
manage-bde -status C:
2.Denselben Blick unter macOS und Linux
Unter macOS beantwortet ein Befehl die Frage, ob FileVault aktiv ist. Unter Linux zeigt lsblk die Schichtung: Steht unter einer Partition mit dem Typ crypto_LUKS ein Eintrag vom Typ crypt, ist das Dateisystem darüber die entsperrte Sicht auf einen verschlüsselten Datenträger. Beide Abfragen sind rein lesend.
fdesetup status
lsblk -o NAME,FSTYPE,TYPE,MOUNTPOINTS
3.Verstehen, was das Ergebnis bedeutet – und was nicht
Ein aktiver Status heißt: Der Datenträger ist im ausgeschalteten Zustand geschützt. Er heißt nicht, dass laufende Programme eingeschränkt wären. Das BSI trennt das sauber: Im laufenden Betrieb sind die Daten auf Anwendungsebene im Klartext zugänglich. Jede Software, die unter deinem Konto läuft – auch eine unerwünschte –, sieht deine Dateien genau so wie dein Dateimanager.
4.Den Ruhezustand statt des Energiesparmodus benutzen
Hier liegt der Unterschied, den man am leichtesten selbst herstellt. Im Energiesparmodus bleiben laufende Programme und Dokumente laut Microsoft im Arbeitsspeicher, und beim Aufwachen wird keine erneute Authentifizierung mit PIN oder Startschlüssel verlangt. Beim Ruhezustand dagegen wird das Laufwerk gesperrt. Unter Windows lässt sich der Ruhezustand in einer Eingabeaufforderung mit Administratorrechten aktivieren; der zweite Befehl zeigt, welche Zustände das Gerät überhaupt unterstützt.
powercfg /hibernate on
powercfg /availablesleepstates
5.Das Gerät vor dem Aus-der-Hand-Geben herunterfahren
Für Angreifer mit Zeit und Werkzeug und für besonders schützenswerte Arbeitsplätze nennt Microsoft als Gegenmaßnahme wörtlich, das Energiesparmanagement abzuschalten und das Gerät herunterzufahren oder in den Ruhezustand zu versetzen, bevor es die Kontrolle einer berechtigten Person verlässt. Für den Alltag heißt das schlicht: Bahnhof, Auto, Hotelzimmer, Konferenz – zuklappen ist nicht genug, herunterfahren schon. Bildschirmsperre ist Höflichkeit gegenüber Kollegen, keine Verschlüsselungsmaßnahme.
6.Die zweite Schutzschicht nicht vergessen: Sicherungskopien
Verschlüsselung schützt gegen fremden Zugriff, nicht gegen Verlust. Sie kann den Verlust sogar verschärfen, weil ein verlorener Schlüssel dieselbe Wirkung hat wie ein zerstörter Datenträger. Wer verschlüsselt, braucht deshalb zwingend beides: eine Sicherung der Daten und eine gesicherte Ablage des Wiederherstellungsschlüssels, und zwar nicht auf dem verschlüsselten Gerät selbst.
7.Ehrlich bleiben, was Verschlüsselung nicht ist
Festplattenverschlüsselung ist kein Virenschutz, kein Ersatz für Aktualisierungen und keine Zugriffskontrolle zwischen Benutzerkonten auf demselben laufenden Rechner. Sie ist eine sehr gute Antwort auf genau eine Frage: Was passiert, wenn jemand das ausgeschaltete Gerät mitnimmt. Diese Frage beantwortet sie so gut, dass sich alles Weitere lohnt – aber eben nur diese.