Das verschlüsselnde Dateisystem (Encrypting File System, EFS) ist eine Dateiverschlüsselungstechnologie zum Speichern verschlüsselter Dateien auf Volumes mit dem Dateisystem NTFS. Verschlüsselte Dateien können nicht verwendet werden, sofern der Benutzer keinen Zugriff auf die erforderlichen Schlüssel zum Entschlüsseln der Daten hat.

Sie müssen die verschlüsselte Datei nicht manuell entschlüsseln, bevor Sie sie verwenden können. Sie können die Datei wie gewohnt öffnen und ändern. Nachdem Sie eine Datei oder einen Ordner einmal verschlüsselt haben, arbeiten Sie damit wie mit jeder anderen Datei bzw. jedem Ordner.

EFS ähnelt der Verwendung von Berechtigungen für Dateien und Ordner. Mit beiden Methoden können Sie den Zugriff auf Daten einschränken. Ein Eindringling, der sich unautorisierten physikalischen Zugriff auf Ihre verschlüsselten Dateien verschafft, wird jedoch davon abgehalten, diese zu lesen. Wenn der Eindringling versucht, die verschlüsselte Datei oder den Ordner zu öffnen oder zu kopieren, wird ihm der Zugriff verweigert. Berechtigungen für Dateien und Ordner schützen dagegen nicht vor unautorisiertem physikalischen Zugriff.

Sie ver- und entschlüsseln einen Ordner oder eine Datei, indem Sie die Verschlüsselungseigenschaften dafür festlegen. Dies geschieht ebenso wie bei anderen Attributen, z. B. für schreibgeschützte, komprimierte oder versteckte Dateien. Wenn Sie einen Ordner verschlüsseln, werden alle in darin enthaltenen Dateien und Unterordner automatisch verschlüsselt. Es wird empfohlen, die Verschlüsselung auf Ordnerebene durchzuführen.

Sie können eine Datei oder einen Ordner auch mit dem Befehl Cipher ver- oder entschlüsseln.

Bei der Arbeit mit verschlüsselten Dateien und Ordnern sollten Sie Folgendes beachten:

  • Sie können nur Dateien und Ordner auf NTFS-Volumes verschlüsseln. Allerdings können Sie WebDAV (Web Distributed Authoring and Versioning) verwenden, um Dateien in verschlüsselter Form zu übertragen. WebDAV funktioniert auch zusammen mit NTFS.

  • Komprimierte Dateien und Ordner können nicht verschlüsselt werden. Dateien oder Ordner, die ein Benutzer zur Verschlüsselung kennzeichnet, werden dekomprimiert.

  • Verschlüsselte Dateien, die Sie auf ein Nicht-NTFS-Volume kopieren, werden entschlüsselt.

  • Unverschlüsselte Dateien, die in einen verschlüsselten Ordner verschoben werden, werden am Zielort automatisch verschlüsselt. Beim umgekehrten Vorgang werden die Dateien aber nicht automatisch entschlüsselt. Dateien müssen ausdrücklich entschlüsselt werden.

  • Dateien, die mit dem Systemattribut gekennzeichnet sind, und Dateien im Systemstammverzeichnis können nicht verschlüsselt werden.

  • Die Verschlüsselung eines Ordners oder einer Datei schützt nicht vor einer Löschung oder vor dem Auflisten der Dateien oder Verzeichnisse. Jeder, der über die entsprechenden Berechtigungen verfügt, kann verschlüsselte Ordner und Dateien löschen und auflisten. Aus diesem Grund wird die Kombination von EFS und NTFS-Berechtigungen empfohlen.

  • Sie können Dateien und Ordner auf einem Remotecomputer, auf dem die Remoteverschlüsselung aktiviert ist, ver- und entschlüsseln. Die Daten, die bei diesem Vorgang über das Netzwerk übertragen werden, werden jedoch nicht verschlüsselt. Um die Datei während der Übertragung über das Netzwerk zu verschlüsseln, müssen Sie andere Protokolle verwenden, z. B. SSL/TLS (Secure Socket Layer/Transport Layer Security) oder IPsec (Internet Protocol Security). (Wie im ersten Punkt beschrieben, können Sie auch WebDAV verwenden, um die Datei in verschlüsselter Form zu übertragen.)

EFS-Richtlinieneinstellungen

Mit Gruppenrichtlinien können Sie eine Reihe von EFS-Richtlinieneinstellungen konfigurieren. Diese Richtlinieneinstellungen finden Sie unter Computerkonfiguration\Windows-Einstellungen\Sicherheitseinstellungen\Richtlinien öffentlicher Schlüssel\Verschlüsselndes Dateisystem.

Zulassen und Verhindern von EFS

Sie können auswählen, ob Sie EFS grundsätzlich zulassen möchten oder nicht. Wenn Sie keine Richtlinieneinstellung für EFS konfigurieren, ist es zugelassen.

Wenn Sie EFS zulassen, können Sie eine Reihe von Optionen auswählen, z. B. ob der Dokumentenordner des Benutzers automatisch verschlüsselt werden soll, ob eine Smartcard für EFS erforderlich ist, ob auf der Grundlage einer Smartcard erstellte Schlüssel zwischengespeichert werden, ob ein zwischenspeicherfähiger Benutzerschlüssel von einer Smartcard erstellt wird und ob Benutzer dazu aufgefordert werden, Sicherungskopien Ihrer Verschlüsselungsschlüssel zu erstellen.

Zulassen und Verhindern der Kryptografie für elliptische Kurven (ECC)

Sie können auswählen, ob Sie die Kryptografie für elliptische Kurven (Elliptic Curve Cryptography, ECC) zusammen mit EFS zulassen möchten. Wenn Sie keine Richtlinieneinstellungen für EFS konfigurieren, ist die ECC-Verschlüsselung zugelassen. Die ECC-Verschlüsselung ermöglicht Organisationen die Einhaltung der Suite B-Verschlüsselungsstandards.

Suite B ist ein Satz von Kryptografiealgorithmen. Suite B besteht aus folgenden Komponenten: AES (Advanced Encryption Standard, erweiterter Verschlüsselungsstandard) mit einer Schlüsselgröße von 128 und 256 Bits für die symmetrische Verschlüsselung, ECDSA (Elliptic Curve Digital Signature Algorithm) für digitale Signaturen, ECDH (Elliptic Curve Diffie-Hellman, elliptische Kurve Diffie-Hellman) für die Schlüsselvereinbarung sowie SHA-256 und SHA-384 (Secure Hash Algorithm, Secure-Hash-Algorithmus) für Nachrichtenhash.

Inhaltsverzeichnis