Verschlüsselung
Gerade mit der immer stärkere werdenden Verbreitung von Laptops hat das Thema Festplattenverschlüsselung in den letzten Jahren deutlich an Aufmerksamkeit gewonnen. Denn was vielen BenutzerInnen langsam klar wird: Hat jemand einmal direkten Zugriff auf den Rechner - etwa durch einen Diebstahl - so nützen all die Login-Passwörter rein gar nichts mehr.
Zugriff
Schließlich haben AngreiferInnen damit auch direkten Zugriff auf die Festplatte und können so alle darauf gespeicherten Daten kinderleicht einsehen. Von sensiblen Mails bis zu privaten Fotos - alles liegt auf dem Präsentierteller bereit. Die Frage des verwendeten Betriebssystems, also ob Windows, Linux, Mac OS X oder etwas ganz anderes zum Einsatz kommt, macht hier prinzipiell keinen Unterschied.
Abhilfe
Eine Erkenntnis, die wohl bei vielen alles andere als ein wohlig-warmes Sicherheitsgefühl zurücklässt. Und eine, die nach Abhilfe schreit, damit wäre der Moment gegeben, wo die Festplattenverschlüsselung die Bühne betritt. Stark vereinfacht gesagt, funktioniert diese so: Über eine Passphrase und/oder ein Keyfile werden die Daten durch einen speziellen Algorithmus gejagt, der alle Inhalte verschlüsselt auf der Platte speichert. Wer nun die Passphrase nicht kennt und/oder das Keyfile nicht besitzt kann mit den Daten auf einer solcherart geschützten Platte rein gar nichts anfangen.
Truecrypt
So weit, so einleuchtend, braucht es also nur mehr eine Software, die diese Aufgabe einfach, sicher und schnell erledigt. Und hier drängt sich zunehmend Truecrypt auf.
Vorteile
Das Programm hat nämlich eine ganze Reihe von Vorteilen gegenüber den meisten anderen Lösungen in diesem Bereich: So ist es nicht nur kostenlos erhältlich, der Code ist auch als Open Source freigegeben. Dies ist vor allem deswegen wichtig, da damit - zumindest theoretisch - von allen überprüft werden kann, ob die Software auch keine Hintertüren besitzt. Immerhin sollen Dinge wie Zentralpasswörter, mit denen dann die Daten erst recht wieder entschlüsselt werden können, schon bei diversen "Sicherheitsprogrammen" vorgekommen sein.
Plattform
Ein weiterer Vorteil von Truecrypt ist, dass die Software mittlerweile Cross-Plattform-fähig ist. Mit Versionen für Windows, Linux und Mac OS X kann die gleiche verschlüsselte Platte so unter verschiedenen Betriebssystemen genutzt werden.
Einfach
Vor allem EinsteigerInnen werden sich darüber freuen, dass Truecrypt viel Wert auf eine möglichst einfach Benutzbarkeit legt. Ein grafischer Wizard führt durch alle wichtigen Aufgaben, erläuternde Texte erleichtern dabei die Auswahl erheblich. Und wem das an Informationen noch nicht reicht, der kann in der exzellenten Online-Dokumentation weiteren Details nachspüren.
Klick
Das Einrichten einer frischen verschlüsselten Disk besteht somit primär aus dem Klicken auf den "Weiter"-Knopf. Nur selten ist wirkliche Interaktion von den BenutzerInnen gefragt, oft kann man auch den Default-Einstellungen soweit vertrauen.
Disk
Die gebräuchlichste Anwendung ist wohl das Einrichten einer einzelnen verschlüsselten Disk, in der dann sensible Materialien gezielt abgelagert werden. Truecrypt kann dafür entweder eine echte Partition auf der Platte verwenden, oder auch einfach eine File-Disk einsetzen, bei der alle Daten in einem einzigen großen File landen.
Auswahl
Bei der Einrichtung kann zwischen verschiedenen Verschlüsselungsalgorithmen und Hashes gewählt werden. Als Default-Einstellung hat man hier AES mit einer Schlüssellänge von 256 Bit und RIPEMD-160 gewählt, eine Lösung, die auf absehbare Zeit als sicher angesehen wird.
Zu leicht
Wie immer gilt allerdings: Jede Verschlüsselung ist nur so gut wie das verwendete Passwort. Wer Name von LebensabschnittspartnerIn, die Lieblingsfernsehsendung oder andere leicht zu erratende Begriffe verwendet, braucht sich nicht zu wundern, wenn der ganze Aufwand vergeblich war.
Empfehlung
Um gegen Wörterbuch- oder "Brute Force"-Angriffe - also dem mehr oder weniger zufälligen, automatisierten Ausprobieren von gewissen Begriffen oder Zeichenfolgen - sicher zu sein, empfiehlt Truecrypt eine zufällige Folge aus zumindest 20 Groß- und Kleinbuchstaben, Sonderzeichen und Zahlen. Mag nicht ganz einfach zu merken sein, dafür sollte das dann aber gegen solcherlei Attacken immun sein.
Auswahl
Wer einem einzelnen Verschlüsselungsalgorithmus alleine nicht vertraut, hat bei Truecrypt auch die Möglichkeit mehrere davon miteinander zu kombinieren, also etwa Serpent-Twofish-AES zu verwenden. Das geht dann freilich zunehmend auf die Schreibe- und Lesegeschwindigkeit des Systems, immerhin braucht das stete Ver- und Entschlüsseln ja auch so seine Rechenkraft.
Benchmark
Um dies zu verdeutlichen hat Truecrypt einen kleinen Benchmark eingebaut, mit dem sich die zu erwartenden Werte in diesem Bereich ermitteln lassen. Allgemein sei aber gesagt: Mit einem halbwegs aktuellen System und "einfacher" Verschlüsselung ist der Performance-Unterschied im Rechner-Alltag so gut wie nicht zu bemerken.
Verbindung
Ist eine Platte einmal angelegt, lässt sie sich kinderleicht wieder öffnen. Einfach im Interface Datei oder Partition öffnen und mit einem Laufwerksbuchstaben / Slot verbinden. Anschließend kann auf das verschlüsselte Volume wie auf eine "normales" Laufwerk im Dateimanager zugegriffen werden.
Automatisch
Wer will kann einzelne Devices zu einer Liste von Favoriten hinzufügen, um sie in Zukunft schneller wieder zur Hand zu haben. Auf Wunsch kann Truecrypt auch gleich beim Systemstart automatisch aufgerufen werden, dafür festgelegte Disks werden nach der Eingabe des Passworts dann jedesmal gleich eingehängt. Umgekehrt werden auf Wunsch die verschlüsselten Platten beim Ausloggen oder auch bei der Aktivierung des Screensavers automatisch wieder geschlossen.
Keyfiles
Über das Interface des Programmes kann die verwendete Passphrase im Nachhinein wieder verändert werden. Wer will kann später auch noch ein Keyfile hinzufügen (oder auch wieder entfernen). Dabei handelt es sich um eine Datei, ohne der sich das Volume - auf Wunsch - nicht öffnen lässt.
Auswahl
Ob das ein von Truecrypt erstelltes Zufallsfile oder das eigenen Lieblingsbild ist, ist dabei egal. Der Vorteil: Wer Zugriff auf einen bestimmten Rechner hat, braucht sowohl Passphrase als auch Keyfile um an die Daten heranzukommen.
Disclaimer
Ein kleiner Nachtrag noch zum Thema "Passwort nachträglich verändern": Für den Fall, dass jemand anderer die eigene Passphrase kennt, empfehlen die EntwicklerInnen explizit nicht, diese einfach umzuändern. Statt dessen sollen die BenutzerInnen lieber eine gänzlich neue Disk mit frischer Passphrase anlegen und die Dateien dort hineinkopieren. (wer an den Gründen / technischen Erläuterungen dazu interessiert ist, folge diesem Link)
Reisende
Eine interessante Funktion von Truecrypt ist der sogenannte "Traveler Mode". Für diesen kann eine abgespeckte Version der Software auf einen USB-Stick - oder ein anderes externes Medium - gespeichert werden.
Automatismus
Auf Wunsch kann diese dann beim Einhängen automatisch aufgerufen und nach Eingabe der Passphrase eine ebenfalls auf dem Datenträger gespeicherte Crypto-File-Disk eingehängen. Optimal um auch auf fremden Rechnern auf die eigenen sensiblen Daten zugreifen zu können. Eine Einschränkung gibt es allerdings: Der verwendet Account muss Admin-Berechtigungen haben, damit das Einhängen auch funktioniert.
Hidden
Eine vor allem für fortgeschrittene BenutzerInnen spannende Möglichkeit ist die, "hidden volumes" zu erstellen - konzeptuell eine Art High-Security-Bereich in der ohnehin schon verschlüsselten Platte. Die Idee dahinter: Innerhalb einer Truecrypt-Disk wird einfach noch eine zweite Platte angelegt. Aus der Art, wie die Verschlüsselung funktioniert, ergibt sich ein bedeutender Vorteil: Selbst wenn jemand den Schlüssel / die Passphrase für die äußere Truecrypt-Platte hat, ist es praktisch unmöglich das "hidden volume" zu entdecken bzw es von "normalem" Datenmüll zu unterscheiden. Und wo nicht bekannt ist, dass etwas da ist, kann auch die Herausgabe der Passphrase nur schwerlich erzwungen werden.
Praxis
Für die BenutzerInnen sieht das in der Praxis dann so aus: Für das "normale" verschlüsselt Volume und das "hidden" Volume gibt es jeweils eine eigene Passphrase. Je nachdem welche davon bei der entsprechenden Abfrage angegeben wird, entscheidet darüber, welcher Teil der Platte eingehängt wird.
Probleme und Lösungen
Die Verschlüsselung von einzelnen Festplattenbereichen bzw. die Verwendung von File-Disks hat aber auch einen entscheidenden Nachteil: Betriebssysteme und Anwendungen neigen dazu, jede Menge temporäre Dateien anzulegen und über die Festplatte zu verteilen. Da nutzt dann das schönste verschlüsselte Volumen nichts, wenn die Daten auch ganz offen im Backup-Ordner von Word nachzulesen sind.
System
Wer sich mit solchen Problematiken nicht herumschlagen will, oder überhaupt ein gesteigertes Sicherheitsbedürfnis hat, für den empfiehlt sich eine andere Funktion von Truecrypt: Seit der Version 5.0 kann die Software auch ein vollständiges Windows-System (XP/Vista/2003) zu verschlüsseln.
Migration
Die Einrichtung der "System Encryption" erfolgt erneut über einen Wizard. Besonders erfreulich: Nicht nur, dass die Software bestehende Installationen auf ein sicheres Dateisystem konvertieren kann, dieses ist auch im laufenden Betrieb möglich. Wer will kann den Konvertierungsvorgang gar in der Mitte anhalten oder das System später wieder auf ein unverschlüsseltes zurückverwandeln.
Rescue
Noch vor der eigentlichen Konvertierung der Daten erstellt Truecrypt eine "Rescue Disk" an. Für den Fall dass einmal die Header-Informationen der verschlüsselten Platte beschädigt werden (etwa bei einem Virenbefall), soll sich so ein System dann mit der Rettungs-Disk - und der zugehörigen Passphrase, versteht sich - trotzdem booten lassen.
Test
Ebenfalls noch vor der Umwandlung des Filesystems führt Truecrypt einen "Pretest" durch. Bei diesem wird in einer Art Trockentest überprüft, ob das Einhängen der verschlüsselten Systemplatte auch korrekt funktioniert, in selten Fällen macht hier manchmal das BIOS Probleme.
Aufpassen
Truecrypt achtet bei der Einrichtung der "System Encryption" auch darauf, dass nicht unabsichtlich "hidden volumes" überschrieben werden. Auf Multi-Boot-Systeme nimmt man ebenso Rücksicht. Um ganz sicher zu gehen, dass auch keine der alten Daten nach der Konvertierung mehr eingesehen werden können, ist es auch möglich diese in mehreren Durchgängen zu "wipen". Dies soll dem Problem entgegenwirken, dass über den Restmagnetismus einer Platte theoretisch noch alte Datenbestände rekonstruiert werden können. Das Wipen bietet hier durch vielfaches Überschreiben mit zufälligen Daten Abhilfe, die Konvertierung dauert dann aber erheblich länger.
Start
Ist das System einmal gänzlich verschlüsselt, wird beim Hochfahren künftig immer nach der eigenen Passphrase gefragt, ohne diese ist hier bereits wieder Schluss mit dem Zugriff auf den betreffenden Rechner. Was Truecrypt im Bereich Systemverschlüsselung derzeit allerdings noch fehlt, ist die Möglichkeit ein externes Keyfile zur zusätzlichen Absicherung zu verwenden.
OS
Auch wenn bisher vornehmlich von der Windows-Version die Rede war, so sei doch noch einmal darauf hingewiesen, dass es Truecrypt auch für Linux und Mac OS X gibt. Beide Versionen können dabei mittlerweile auch mit einem grafischen Interface für Betrieb und Konfiguration aufwarten. Alternativ lässt sich das Ganze aber ebenfalls über die Kommandozeile steuern.
Basis
Das Anlegen von verschlüsselten (File-)Disks kann hierbei genau so einfach wie unter Windows vorgenommen werden, auch das Einhängen funktioniert weitgehend automatisch. Erfreulich auch die Integration mit den jeweiligen Betriebssystemen, so gibt es unter Linux ein Icon in der Notification Area, über das die wichtigsten Funktionen erreicht werden können, unter Mac OS X geht dies über das Panel.
Einschränkungen
Allerdings gibt es bei beiden Betriebssystemen im Vergleich zur Windows-Ausgabe auch einige wichtige Einschränkungen: So lassen sich über das grafische Tool verschlüsselte Platten lediglich mit FAT32 formatieren, die Einrichtung von nativen Dateisystemen geht nur über die Kommandozeile. Auch NTFS wird hier nicht unterstützt.
Möglichkeiten
Auch gibt es bei beiden Versionen weder den Traveler Mode noch eine eingebaute Funktion zur Systemverschlüsselung. Entsprechend werden hier viele wohl doch lieber zu den eingesessen Lösungen wie dmcrypt (Linux) oder FileVault (Mac OS X) greifen.
Fazit
Für den gezielten Austausch von sensiblen Daten über einen verschlüsselten USB-Stick eignen sich aber alle Varianten von Truecrypt hervorragend. Und vor allem: Auf diese Weise wird eine wichtige Hürde genommen, die des verwendeten Betriebssystems.
Anmerkung
Zum Schluss noch eine Anmerkung zur prinzipiellen Sicherheit von Truecrypt: In den letzten Wochen sind Berichte aufgetaucht, die eine Methode zeigen, mit der es theoretisch möglich ist, die Festplattenverschlüsselung auszutricksen, bzw. an die Daten doch heran zu kommen.
Hintergrund
Diese ist allerdings nicht ohne weiteres zu bewerkstelligen - sie beinhaltet unter anderem die Kühlung des Hauptspeichers - und setzt vor allem eines voraus: Dass ein entwendeter Rechner eingeschalten oder im Suspend ist. Wer den eigenen Computer immer nach der Benutzung vollständig herunterfährt, ist hiervon also nicht betroffen, da sich der nötige Speicherinhalt nach kurzer Zeit verflüchtigt. (Andreas Proschofsky)