Mac verlangt den FileVault-Wiederherstellungsschlüssel
Der Mac will nach dem Neustart einen Schlüssel, das Anmeldekennwort greift nicht? Was FileVault wirklich tut und wo der Schlüssel liegen kann.
Aufwand:
ca. 40 Min.
Voraussetzung:
Zweites Gerät mit Internetzugang, Externes Backup-Medium, Zugangsdaten des iCloud-Kontos
Gilt für:
macOS auf Apple Silicon, macOS auf Intel-Macs mit APFS
Das Symptom
Nach einem Update oder einem gewöhnlichen Neustart bleibt der Mac beim
Anmeldefenster stehen und will ein Kennwort — nur greift das Kennwort nicht, das
seit Jahren funktioniert. Manchmal steht dort auch unmissverständlich, es werde
ein Wiederherstellungsschlüssel erwartet. Im Team fragt reihum jeder jeden, wo
dieser Schlüssel liegen könnte. Niemand weiß es, und niemand erinnert sich, je
einen bekommen zu haben.
Die „Layer 8“-Wahrheit
FileVault ist keine Zusatzfunktion, die irgendwo eingeschaltet wurde, um zu
nerven. Sie ist die Vollverschlüsselung des Laufwerks. Apple beschreibt den
Mechanismus nüchtern: Jedes APFS-Volume bekommt ohnehin einen
Volume-Verschlüsselungsschlüssel, Inhalte und Metadaten werden damit
verschlüsselt, und dieser Schlüssel wird seinerseits in einen weiteren Schlüssel
eingepackt — der bei eingeschaltetem FileVault durch die Kombination aus
Benutzerkennwort und der Hardware-Kennung des Geräts geschützt ist. Die
Schlüsselverwaltung läuft dabei komplett in der Secure Enclave; der Prozessor
bekommt die Schlüssel nie direkt zu sehen.
Daraus folgt alles Weitere. Das Anmeldekennwort ist nicht bloß eine Türklinke,
sondern Teil des Schlosses. Und weil ein einzelnes vergessenes Kennwort sonst
sofort das Ende wäre, erzeugt macOS beim Einschalten von FileVault einen zweiten
Weg hinein: den Wiederherstellungsschlüssel, laut Apple eine Folge aus 24
zufälligen Zahlen und Buchstaben. Wer ihn beim Einrichten an das iCloud-Konto
gekoppelt hat, findet ihn über den synchronisierten Schlüsselbund wieder. Wer die
lokale Variante gewählt hat, hat ihn einmal angezeigt bekommen — und die
Verantwortung gleich mit.
Die unbequeme Konsequenz steht bei Apple im Klartext: Wer das Anmeldekennwort
vergisst, es nicht zurücksetzen kann und den Wiederherstellungsschlüssel
ebenfalls nicht mehr hat, kommt nicht mehr hinein, und die Dateien sind dauerhaft
verloren. Das ist kein Drama und keine Strafe, sondern schlicht die Definition von
funktionierender Verschlüsselung: Ein Notausgang, den der Hersteller im Zweifel
aufschließen könnte, wäre ein Notausgang, den auch ein Dieb suchen würde. Die
Sicherheit, die man beim Einschalten wollte, ist genau die Sicherheit, die jetzt
im Weg steht.
Der Fehler auf Schicht 8 liegt deshalb nicht am Tag des Neustarts, sondern am Tag
der Aktivierung: an dem Klick, mit dem jemand die Schlüsselablage bestätigt hat,
ohne sie zu notieren. Wer noch Zugriff auf seinen Mac hat, sollte die zehn
Minuten investieren und nachsehen, wo sein Schlüssel liegt — solange die Frage
noch theoretisch ist.
Die echte, verifizierte Lösung
1000 % faktenbasiert. Jeder Befehl ist real, jeder Pfad existiert. Schritt für Schritt:
1.
Ruhe bewahren und die Frage richtig lesen
Erst prüfen, wonach der Mac wirklich fragt. Ein Feld für ein normales Kennwort am Anmeldefenster ist etwas anderes als ein Feld, das einen langen Zeichenblock erwartet. Auch die Tastaturbelegung ist ein echter Kandidat: Die Anmeldung nach einem Neustart kann eine andere Belegung aktiv haben als der laufende Betrieb, und ein y statt z im Kennwort reicht für eine Fehlermeldung. Kennwort langsam und einmal im sichtbaren Benutzernamensfeld tippen, um die Belegung zu kontrollieren.
2.
Den Schlüssel am Anmeldefenster ansetzen
Apple nennt zwei Stellen, an denen der Wiederherstellungsschlüssel akzeptiert wird: in recoveryOS und am Anmeldefenster, dort über die Tastenkombination Umschalt-Wahl-Return anstelle des Benutzerkennworts. Der Schlüssel besteht aus 24 Zeichen; Bindestriche in der Anzeige sind Lesehilfe, keine Geheimnisse.
Umschalt (Shift) + Wahl (Option) + Return
3.
Im iCloud-Schlüsselbund nachsehen
Wurde der Mac mit iCloud-Schlüsselbund eingerichtet, wandert der Wiederherstellungsschlüssel laut Apple mit den übrigen Kennwörtern in die Synchronisierung. Auf einem zweiten Apple-Gerät mit demselben Konto in der Kennwörter-App nach einem Eintrag zu FileVault suchen. Der genaue Name der App und der Einstellungspfad hängen von der macOS- beziehungsweise iOS-Version ab — Apple hat beides zwischen den Versionen umbenannt, also nach dem Begriff suchen statt nach einem auswendig gelernten Pfad.
4.
Alle analogen Ablagen abklopfen
Wer FileVault ohne iCloud eingeschaltet hat, bekam den Schlüssel genau einmal angezeigt, mit der Aufforderung, ihn sicher zu verwahren. In der Praxis heißt das: Ausdruck im Ordner, Foto in der Fotomediathek, Notiz im Passwortmanager, Zettel im Safe, Übergabeprotokoll der IT. Bei Firmengeräten kann die Geräteverwaltung den Schlüssel hinterlegt haben — dort zuerst fragen, bevor irgendjemand über Neuinstallation nachdenkt.
5.
Auf einem noch laufenden Mac den Status prüfen
Läuft der Mac noch und geht es nur um die Vorsorge, zeigt fdesetup, ob FileVault aktiv ist und ob überhaupt ein persönlicher Wiederherstellungsschlüssel existiert. Beide Abfragen sind rein lesend und ändern nichts.
fdesetup status
sudo fdesetup haspersonalrecoverykey
6.
Achtung: Erst hier wird es unwiderruflich
Warnung — dieser Schritt bedeutet vollständigen und endgültigen Datenverlust. Sind Anmeldekennwort und Wiederherstellungsschlüssel beide nicht mehr beschaffbar, gibt es laut Apple keinen Weg zurück an die Daten; sie sind dauerhaft verloren. Bleibt nur, das Laufwerk in recoveryOS über das Festplattendienstprogramm zu löschen und macOS neu zu installieren. Das ist der letzte Schritt, nicht der zweite: vorher jede Ablage aus den Schritten davor zweimal durchgehen und, wenn vorhanden, ein älteres Time-Machine-Backup an einem anderen Rechner sichten.
7.
Danach sofort vorsorgen
Nach der Wiederherstellung FileVault bewusst neu einrichten und dabei die Ablage des Schlüssels aktiv entscheiden: entweder an das iCloud-Konto koppeln oder den Schlüssel notieren und außerhalb des Macs verwahren. Ein Schlüssel, der nur auf dem verschlüsselten Laufwerk liegt, ist kein Schlüssel, sondern ein Witz. Zusätzlich ein laufendes Backup einrichten — Verschlüsselung schützt vor fremdem Zugriff, nicht vor dem eigenen Gedächtnis.
Häufige Fragen (FAQ)
?Was ist dieser Wiederherstellungsschlüssel überhaupt?
Ein 24-stelliger Ersatzschlüssel, den macOS beim Einschalten von FileVault erzeugt. Apple beschreibt ihn wörtlich als „a sequence of 24 random numbers and letters“. Er ist kein zweites Kennwort, das man sich ausdenkt, sondern ein zufälliger Zeichenblock, der zusätzlich zum Anmeldekennwort das Laufwerk aufsperren kann. Am Anmeldefenster lässt er sich laut Apple mit Umschalt-Wahl-Return statt des Benutzerkennworts eingeben, und in recoveryOS steht er ebenfalls als Weg offen.
?Wo kann der Schlüssel liegen, wenn ihn niemand notiert hat?
Es gibt drei übliche Ablagen. Erstens der iCloud-Schlüsselbund: Apple schreibt, bei dessen Nutzung werde der Wiederherstellungsschlüssel zusammen mit den übrigen Benutzerkennwörtern synchronisiert. Zweitens der lokale Weg ohne iCloud — dann hat macOS den Schlüssel beim Einschalten einmalig angezeigt und erwartet, dass jemand ihn an einem sicheren Ort verwahrt. Drittens Firmengeräte: Bei verwalteten Macs kann die Geräteverwaltung des Unternehmens den Schlüssel hinterlegen (Escrow). Bei einem Dienstgerät ist die IT also die erste Adresse, nicht die letzte.
?Wenn Kennwort und Schlüssel beide weg sind — ist das wirklich endgültig?
Ja. Apple formuliert es ohne Hintertür: Wer FileVault einschaltet, danach das Anmeldekennwort vergisst, es nicht zurücksetzen kann und auch den Wiederherstellungsschlüssel vergisst, kann sich nicht mehr anmelden — „your files and settings will be lost forever“. Das ist keine Kulanzfrage und kein Support-Fall. Die Daten liegen mit einem Schlüssel verschlüsselt, den ohne diese Eingaben niemand hat, auch Apple nicht. Übrig bleibt dann nur das Löschen und Neuaufsetzen des Laufwerks.
Belege
Diese Seite ist gegen die folgenden Primärquellen geprüft – Hersteller, Standard oder Gesetzestext. Wer es nicht glaubt, muss es nicht: Da steht, wo es nachzulesen ist.
Nach einem BIOS-Update oder Hardwaretausch fragt Windows den 48-stelligen BitLocker-Schlüssel? Das ist Schutz, kein Defekt — der Schlüssel liegt im Konto.