Das Symptom
Der Rechner ist ausgefallen, gestohlen oder von einem Trojaner erwischt worden. Die Sicherung ist da, vollständig, unbeschädigt, jede Nacht sauber gelaufen. Nur lässt sie sich nicht öffnen. Das Kennwort für das Archiv stand im Passwortmanager auf dem defekten Rechner. Der BitLocker-Wiederherstellungsschlüssel lag als Textdatei auf dem verschlüsselten Laufwerk. Das Time-Machine-Kennwort kannte nur der Schlüsselbund des Macs, den es nicht mehr gibt.
Die „Layer 8“-Wahrheit
Verschlüsselung verwandelt einen Datenverlust in einen zweiten Datenverlust, wenn man den Schlüssel dorthin legt, wo die Daten liegen. Das ist keine Randbeobachtung, sondern eine der Gefährdungen, die das BSI im Baustein zum Datensicherungskonzept ausdrücklich aufführt: Wird die Datensicherung verschlüsselt und ist bei einem Datenverlust auch der Schlüssel zum Entschlüsseln betroffen, können die Daten nicht wiederhergestellt werden – und genau das sei der Fall, wenn nicht daran gedacht wurde, den Schlüssel getrennt aufzubewahren.
Der Satz beschreibt eine sehr menschliche Bewegung. Man verschlüsselt, weil man verantwortungsvoll ist. Dann braucht man den Schlüssel täglich, also legt man ihn dorthin, wo er bequem erreichbar ist – auf den Rechner. Von da an schützen Sicherung und Schlüssel einander gegenseitig gegen nichts: Beide hängen an demselben Gerät, und dessen Ausfall war der einzige Grund, warum es die Sicherung überhaupt gibt. Die Kette hat zwei Glieder, und beide liegen auf demselben Tisch.
Wie es richtig geht, kann man bei den Herstellern abschauen, weil die es selbstverständlich so machen. Microsoft beschreibt das BitLocker-Wiederherstellungskennwort als 48-stellige Zahl und nennt drei vorgesehene Aufbewahrungsorte: als Textdatei speichern, ausdrucken oder in Microsoft Entra ID beziehungsweise im Active Directory hinterlegen. Alle drei haben eines gemeinsam – sie liegen nicht auf dem Laufwerk, das der Schlüssel aufsperrt. Für einen Haushalt ohne Verzeichnisdienst bleibt davon die altmodischste Variante, und sie ist völlig ausreichend: Ausdrucken und in den Ordner legen, in dem auch die Versicherungsunterlagen liegen.
Der zweite, seltener bedachte Teil betrifft nicht den Schlüssel, sondern das Schloss. Ein Schlüssel nützt nichts, wenn das Programm fehlt, das ihn versteht. Das BSI empfiehlt deshalb, eine Kopie der eingesetzten Softwarelösung zusammen mit den zugehörigen kryptografischen Schlüsseln an einem sicheren Ort zu hinterlegen, damit sich auch nach längerer Zeit noch auf die verschlüsselten Sicherungen zugreifen lässt – und stellt im selben Zusammenhang klar, dass der Schlüssel selbstverständlich anders gesichert werden muss als das Programm. Wer sein Archiv mit einem Nischenwerkzeug in einer bestimmten Version erzeugt hat, sollte deshalb Name, Version und Bezugsquelle mit auf den Zettel schreiben. Das kostet drei Zeilen und erspart in fünf Jahren eine unlösbare Suche.
Und dann bleibt der Punkt, an dem die meisten Vorsorgen scheitern, obwohl alles richtig gemacht wurde: Der notierte Schlüssel wurde nie benutzt. Ein Zahlendreher im Ausdruck, ein Kennwort, das seit dem letzten Wechsel nicht mehr stimmt, ein zweites Geheimnis, an das niemand gedacht hat – all das sieht bis zum Ernstfall aus wie eine vollständige Vorsorge. Die Prüfung dauert zehn Minuten: eine Datei aus der verschlüsselten Sicherung zurückholen, ausschließlich mit dem, was auf dem Papier steht. Erst danach ist der Zettel ein Schlüssel und nicht nur eine Notiz.