M 4.147 Sichere Nutzung von EFS unter Windows

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Benutzer, Administrator

Unter Windows steht ab Version 2000 das Dateisystem EFS (Encrypting File System - verschlüsselndes Dateisystem) zur Verfügung, das die Verschlüsselung einzelner Dateien unterstützt, die dafür gekennzeichnet werden müssen. Die Dateiverschlüsselung mittels EFS basiert auf einem hybriden Mechanismus, der asymmetrische und symmetrische Verschlüsselungsverfahren gemischt einsetzt:

Alle zur Ver- oder Entschlüsselung benötigten Schlüssel werden von Windows während der Benutzung in einem Hauptspeicherbereich abgelegt, der nicht in die Auslagerungsdatei verlagert wird. Dadurch soll gewährleistet werden, dass die Schlüssel nicht kompromittiert werden können, wenn ein unberechtigter Dritter Zugriff auf die Auslagerungsdatei erhält. Kritisch ist in diesem Zusammenhang die Verwendung des Ruhezustandes (Hibernation Modus), da der gesamte Hauptspeicherbereich in eine Datei gespeichert wird, die dann notwendigerweise auch das Schlüsselmaterial enthält. Aus diesem Grund sollte der Ruhezustand bei Verwendung von EFS unter Windows-Versionen vor Windows Vista und Windows Server 2008 nicht verwendet werden. Dies ist besonders bei mobilen Systemen wichtig. Der ab Windows Vista verfügbare hybride Standbymodus sollte aus dem gleichen Grund nicht verwendet werden. Dieser speziell für Desktop-Systeme entwickelte Energiesparmodus speichert wie der Ruhezustand den Inhalt des Arbeitsspeichers auf die Festplatte, bevor das System in den Standby-Zustand versetzt wird. Clientseitig ab Windows Vista und serverseitig ab Server 2008 kann als Abhilfe die Auslagerungsdatei verschlüsselt werden: Computerkonfiguration | Windows Einstellungen | Sicherheitseinstellungen | Richtlinien für öffentliche Schlüssel | Verschlüsselndes Dateisystem. Klick mit der rechten Maustaste und Wahl von Eigenschaften im dann angezeigten Menü aktivieren.

Die Verschlüsselung mittels EFS kann jeder Benutzer pro Datei oder Verzeichnis einstellen. Über den korrekten Umgang mit EFS sollten die Benutzer geschult werden, ebenso sind sie über die potenziellen Schwächen dieser Art der Verschlüsselung zu informieren.

Durch die Nutzung von EFS wird ein Sicherheitsgewinn erzielt. Die Benutzer sollten sich allerdings bewusst sein, dass trotz des Verschlüsselns von Klartextdateien ein Restrisiko besteht, dass die Daten der gelöschten Klartextdatei teilweise oder ganz wiederhergestellt werden können. Dazu ist jedoch spezielle Software und der Zugriff auf die Festplatte des jeweiligen Rechners notwendig.

Damit die mittels EFS verschlüsselten Dateien beim Verlust des privaten Schlüssels nicht vollständig verloren sind, kann eine zusätzliche Verschlüsselung des FEK mit dem öffentlichen Schlüssel des so genannten Wiederherstellungsagenten (englisch Recovery Agent) erfolgen. Dadurch ist eine Entschlüsselung der Daten auch unter dem Benutzerkonto des Wiederherstellungsagenten möglich. Prinzipiell kann ein beliebiges Benutzerkonto als Wiederherstellungsagent eingesetzt werden. Unter Windows 2000 ist die Angabe eines Wiederherstellungsagenten obligatorisch, unter Windows ab Version XP dagegen nicht. Als Standardvorgabe wird von Windows 2000 das Administratorkonto genutzt.

Beim Einsatz von EFS ist Folgendes aus Sicherheitssicht zu beachten:

Ab Windows Vista / Server 2003 bietet sich alternativ oder ergänzend zu EFS der Einsatz der Festplattenverschlüsselung BitLocker an (siehe M 4.337 Einsatz von BitLocker Drive Encryption ). Dies gilt insbesondere für mobile Rechner (siehe M 2.442 Einsatz von Windows Vista und Windows 7 auf mobilen Systemen ).

Prüffragen: