Sie befinden sich hier: Themen IT-Grundschutz-Kataloge. Inhalt. Dokumententitel: M 4.147 Sichere Nutzung von EFS unter Windows 2000/XP - IT-Grundschutz-Kataloge - Stand 2006
direkt zu der Navigation Servicebereich. direkt zu der Hauptnavigation. direkt zur Themennavigation. direkt zum Seiteninhalt.

M 4.147 Sichere Nutzung von EFS unter Windows 2000/XP

Verantwortlich für Initiierung: Leiter IT, IT-Sicherheitsmanagement

Verantwortlich für Umsetzung: Administrator, Benutzer

Unter Windows 2000/XP steht das Dateisystem EFS (Encrypting File System - verschlüsselndes Dateisystem) zur Verfügung, das die Verschlüsselung einzelner Dateien unterstützt, die dafür gekennzeichnet werden müssen. Die Dateiverschlüsselung mittels EFS basiert auf einem hybriden Mechanismus, der asymmetrische und symmetrische Verschlüsselungsverfahren gemischt einsetzt:

Alle zur Ver- oder Entschlüsselung benötigten Schlüssel werden von Windows 2000/XP bei der Benutzung in einem Hauptspeicherbereich abgelegt, der nicht in die Auslagerungsdatei verlagert wird. Dadurch soll gewährleistet werden, dass die Schlüssel nicht kompromittiert werden können, wenn ein unberechtigter Dritter Zugriff auf die Auslagerungsdatei erhält. Kritisch ist jedoch in diesem Zusammenhang die Verwendung des Ruhezustandes (Hibernation Modus), da hier der gesamte Hauptspeicherbereich in eine Datei gespeichert wird, die dann notwendigerweise auch das Schlüsselmaterial enthält. Daher sollte der Ruhezustand bei Verwendung von EFS nicht benutzt werden. Dies ist besonders bei Laptops wichtig.

Die Verschlüsselung mittels EFS kann jeder Benutzer pro Datei oder Verzeichnis einstellen. Über den korrekten Umgang mit EFS sollten die Benutzer geschult werden, ebenso sind sie über die potentiellen Schwächen dieser Art der Verschlüsselung zu informieren.

Durch die Nutzung von EFS wird ein Sicherheitsgewinn erzielt. Die Benutzer sollten sich allerdings darüber bewusst sein, dass trotz des Verschlüsselns von Klartextdateien ein Restrisiko besteht, dass die Daten der gelöschten Klartextdatei teilweise oder ganz wiederhergestellt werden können. Dazu ist jedoch spezielle Software und der Zugriff auf die Festplatte des jeweiligen Rechners notwendig.

Damit die mittels EFS verschlüsselten Dateien beim Verlust des privaten Schlüssels nicht vollständig verloren sind, kann eine zusätzliche Verschlüsselung des FEK mit dem öffentlichen Schlüssel des so genannten Wiederherstellungsagenten (englisch Recovery Agent) erfolgen. Dadurch ist eine Entschlüsselung der Daten auch unter dem Benutzerkonto des Wiederherstellungsagenten möglich. Prinzipiell kann ein beliebiges Benutzerkonto als Wiederherstellungsagent eingesetzt werden. Unter Windows 2000 ist die Angabe eines Wiederherstellungsagenten obligatorisch, unter Windows XP dagegen nicht. Als Standardvorgabe wird von Windows 2000 das Administratorkonto genutzt.

Beim Einsatz von EFS ist Folgendes aus Sicherheitssicht zu beachten:

EFS ist nur bei richtiger Anwendung eine kostengünstige Alternative zur Dateiverschlüsselung mit anderen Werkzeugen. EFS kann beispielsweise auf Laptops eingesetzt werden, um die fehlende physikalische Sicherheit auszugleichen, so dass Daten vor dem unbefugten Zugriff an den Betriebssystemmechanismen vorbei geschützt werden können. Der Einsatz von EFS ist jedoch nicht in jedem Fall zweckmäßig, so dass für den jeweiligen Einsatzzweck entschieden werden muss, ob EFS benutzt werden soll.

Ergänzende Kontrollfragen: