Festplattenverschlüsselung schützt Daten bei Verlust des Geräts, indem sie einen Datenträger vollständig verschlüsselt, mit dem Ziel, dass aus dem System zumindest in abgeschaltetem Zustand keine vertraulichen Informationen ausgelesen werden können.
Auf einen Blick
Eine Festplattenverschlüsselung schützt sensible Daten besonders bei Verlust oder Diebstahl, nicht aber unmittelbar im laufenden Betrieb.
Verschlüsselt wird ein ganzer Datenträger oder eine Festplattenpartition.
Verschlüsselung auf Dateiebene verschlüsselt dagegen einzelne Dateien und Ordner.
Was ist Festplattenverschlüsselung?
Eine Festplattenverschlüsselung ist nach dem BSI ein Produkttyp, der einen Datenträger verschlüsselt, um den Zugriff auf sensible Daten zu verhindern, wenn sich das Gerät nicht im laufenden Betrieb befindet. Nach der Studie SiSyPHuS zu Windows 10 ist das besonders dann relevant, wenn die physische Sicherheit nicht mehr gewährleistet werden kann, etwa bei Diebstahl des Geräts.
Verliert ein Außendienstmitarbeiter eines Versicherers seinen ausgeschalteten Laptop, schützt die Festplattenverschlüsselung gespeicherte Kundendaten, sofern der Schlüssel für Unbefugte unzugänglich bleibt. Ein unter DORA fallender Versicherer regelt nach Artikel 6 der delegierten DORA-Verordnung zum IKT-Risikomanagement in seiner Richtlinie für Verschlüsselung und kryptografische Kontrollen die Verschlüsselung gespeicherter oder gerade übermittelter Daten und baut dabei auf einer genehmigten Datenklassifizierung und der IKT-Risikobewertung auf. Artikel 32 Absatz 1 DSGVO verlangt von Verantwortlichem und Auftragsverarbeiter geeignete technische und organisatorische Maßnahmen für ein dem Risiko angemessenes Schutzniveau, und zwar unter Berücksichtigung des Stands der Technik, der Implementierungskosten und weiterer in diesem Absatz genannter Umstände; zu diesen Maßnahmen gehört gegebenenfalls unter anderem die Verschlüsselung personenbezogener Daten.
Wie funktioniert Festplattenverschlüsselung?
Eine Festplattenverschlüsselung verschlüsselt eine Festplattenpartition, damit nicht im Klartext auf das Dateisystem zugegriffen werden kann. Für den Zugriff auf die sensiblen Daten ist eine Autorisierung des Nutzers erforderlich. Nach der Studie SiSyPHuS zu Windows 10 sollte das Verschlüsselungsprogramm vor dem Start des Betriebssystems eine Benutzer-Authentisierung durchführen, die sogenannte Prä-Boot-Authentisierung, um zu verhindern, dass Teile des kryptographischen Materials zur Entschlüsselung der Festplatte in den Arbeitsspeicher geladen und dort potenziell ausgelesen werden können.
Unter der Voraussetzung, dass ein Angreifer keine Abbilder des Festplattenzustandes zu mehreren verschiedenen Zeitpunkten miteinander kombinieren kann, bietet XTS-AES nach der Technischen Richtlinie TR-02102-1 relativ gute Sicherheitseigenschaften und gute Effizienz; bei SSDs enthält der aktuelle Zustand laut TR-02102-1 jedoch immer auch Information über gewisse frühere Zustände des Speichermediums. Hardwareseitige Verschlüsselung schützt nach OWASP gegen den physischen Diebstahl des Servers, bietet aber keinen Schutz, wenn ein Angreifer den Server aus der Ferne kompromittiert. MITRE ATT&CK nennt als Maßnahme, Festplatten- oder Dateiverschlüsselung zu nutzen, um sensible Daten auf Geräten zu sichern.
Festplattenverschlüsselung im Vergleich
| Kriterium | Festplattenverschlüsselung | Verschlüsselung | Verschlüsselung auf Dateiebene |
|---|---|---|---|
| Was wird verschlüsselt? | Ein ganzer Datenträger, eine Festplatte oder eine Partition | Daten, die gespeichert sind oder gerade übermittelt werden, und, soweit erforderlich, Daten, die gerade verwendet werden | Einzelne Dateien und Ordner |
| Wer erhält Zugriff? | Der Nutzer nach einer Autorisierung | Nur Befugte | Bei dem Windows-Dateisystem EFS nur der Benutzer, der die Objekte verschlüsselt hat; weiteren Computerbenutzern lässt sich der Zugriff explizit gewähren |
| Wo liegt die Grenze? | Nicht unmittelbar im laufenden Betrieb, da die Daten auf Anwendungsebene im Klartext zugänglich sind | Durch unzureichendes Schlüsselmanagement könnten bei Angriffen unverschlüsselte Informationen offengelegt werden | Einzelne Dateien oder Ordner sind kein Betrachtungsgegenstand des BSI-Anforderungsprofils zur Festplattenverschlüsselung |
Wann schützt Festplattenverschlüsselung die Daten und wann nicht?
| Situation | Worauf es ankommt |
|---|---|
| Gerät verloren, gestohlen oder im Betrieb | Eine Festplattenverschlüsselung schützt sensible Daten besonders bei Verlust oder Diebstahl, nicht aber unmittelbar im laufenden Betrieb, da die Daten im laufenden Betrieb auf Anwendungsebene im Klartext zugänglich sind. |
| Zugriff durch andere Nutzer desselben Computers | Die Verschlüsselung einer ganzen Partition zielt nicht darauf ab, Daten vor dem Zugriff anderer Nutzer des Computers zu schützen, sondern die Daten bei Verlust des Computers vor den Zugriffen Fremder zu bewahren. |
| Gerät aufbewahrt oder transportiert | Das BSI-Anforderungsprofil VS-AP-0008 geht davon aus, dass geeignete organisatorische oder technische Maßnahmen der Umgebung durchsetzen, dass das Gerät mit der Festplattenverschlüsselung außerhalb des unmittelbaren Betriebs nur im vollständig ausgeschalteten Zustand (Power State >= S4) aufbewahrt und transportiert wird. |
| Gerät manipuliert (z. B. Keylogger) | Laut BSI-Anforderungsprofil VS-AP-0008 können Angriffe, die Hardware oder Software auf dem Gerät manipulieren (Beispiel: Keylogger), nicht durch das Produkt Festplattenverschlüsselung selbst verhindert werden. |
Schutz im Ernstfall
Vorbeugen
- Bei erhöhtem Schutzbedarf sollten nach dem IT-Grundschutz des BSI (SYS.2.1) mindestens die schutzbedürftigen Dateien sowie ausgewählte Dateisystembereiche oder besser die gesamten Datenträger verschlüsselt werden, wenn vertrauliche Informationen auf den Clients gespeichert sind, und der Zugriff auf das genutzte Schlüsselmaterial muss angemessen geschützt sein.
- Der eingesetzte Verschlüsselungsschlüssel sollte zufällig generiert sein und sicher aufbewahrt werden.
- Verschlüsselt werden sollten nicht nur die Betriebssystem- und Daten-Partitionen, sondern idealerweise die gesamte Festplatte.
- Für Festplattenverschlüsselungen zum Schutz von Daten, die als „VS-NUR FÜR DEN DIENSTGEBRAUCH“ eingestuft sind, verlangt das BSI-Anforderungsprofil VS-AP-0008, dass organisatorische oder technische Maßnahmen der Umgebung durchsetzen, dass das Gerät außerhalb des unmittelbaren Betriebs nur im vollständig ausgeschalteten Zustand (Power State >= S4) aufbewahrt und transportiert wird.
- Vor der Aktivierung der Festplattenverschlüsselung sollte ein Konzept zur Sicherung bzw. Wiederherstellung entwickelt werden, um den vollständigen Verlust der lokalen Daten zu verhindern, falls der Entschlüsselungsschlüssel verloren wird.
- Bei erhöhtem Schutzbedarf und wenn vertrauliche Informationen auf den Clients gespeichert werden, sollten nach dem Baustein SYS.2.1 die Benutzer darüber aufgeklärt werden, wie sie sich bei Verlust eines Authentisierungsmittels zu verhalten haben.
Beispiele aus der Praxis
- Läuft ein Gerät und sind die Daten auf Anwendungsebene im Klartext zugänglich, schützt die Festplattenverschlüsselung hier nicht unmittelbar.
- Nutzen mehrere Personen denselben Computer, zielt eine Festplattenverschlüsselung auf den Verlust des Computers und nicht auf den Schutz vor den anderen Nutzern.
- Verliert ein Außendienstmitarbeiter eines Versicherers seinen ausgeschalteten Laptop, könnte die Festplattenverschlüsselung gespeicherte Kundendaten schützen, sofern der Schlüssel für Unbefugte unzugänglich bleibt.