Das integrierte Encrypting File System (EFS) ist eines der besten und zugänglichsten NTFS-Dateiverschlüsselungs-Tools von Windows. Als IT-Administrator:in können Sie das Programm einfach über den Editor für lokale Gruppenrichtlinien (GPO), die Eingabeaufforderung, PowerShell oder Dienste ein- oder ausschalten. Wenn Sie EFS zum ersten Mal einsetzen möchten, lesen Sie unseren Guide unten, um zu erfahren, wie und wann Sie das NFTS-Dateiverschlüsselungs-System benutzen sollten.
Verständnis der NTFS-Dateiverschlüsselung (EFS)
NTFS, oder New Technology File System, ist das Dateisystem, das auf Festplatten und Solid-State-Laufwerken (SSDs) verwendet wird. Auf der anderen Seite ist EFS ein integriertes Dienstprogramm, das Dateien und Ordner in NTFS-Laufwerken verschlüsseln kann. Wenn EFS aktiviert ist, verhindert es, dass Benutzer:innen oder Anwendungen ohne Schlüssel auf die verschlüsselten Dateien zugreifen können.
Im Gegensatz zu BitLocker, das den Zugriff auf ein ganzes Laufwerk sperren kann, bietet EFS eine Verschlüsselung auf Dateiebene. Daher wird EFS häufiger als zusätzliche Sicherheitsebene auf Computern verwendet, die von mehreren Benutzer:innen gemeinsam genutzt werden.
Wie Sie die NTFS-Dateiverschlüsselung aktivieren können
Es gibt mehrere Möglichkeiten, wie Sie die NTFS-Dateiverschlüsselung aktivieren oder deaktivieren können. Gehen wir die folgenden Schritte durch.
Aktivieren der NTFS-Verschlüsselung mit dem Gruppenrichtlinien-Editor (GPO)
- Öffnen Sie den Editor für lokale Gruppenrichtlinien. (Hier erfahren Sie wie)
- Navigieren Sie zu Computerkonfiguration\Verwaltungsvorlagen\System\Dateisystem\NTFS.
- Doppelklicken Sie im rechten Fensterbereich auf die Richtlinie Verschlüsselung auf NTFS-Laufwerken nicht zulassen, um sie zu ändern.
- Wählen Sie die Schaltfläche neben Aktivieren, um die NTFS-Dateiverschlüsselung zuzulassen. Klicken Sie zur Bestätigung auf OK.
- Starten Sie den Computer neu, um die Änderungen zu übernehmen.
Aktivieren der NTFS-Verschlüsselung über die Eingabeaufforderung oder PowerShell
- Öffnen Sie die Eingabeaufforderung oder PowerShell mit Administratorberechtigungen.
- Geben Sie fsutil behavior set disableencryption 1 ein. Drücken Sie die Eingabetaste.
- Starten Sie den Computer neu, um die Änderungen zu übernehmen.
Aktivierung der NTFS-Verschlüsselung über Dienste
- Drücken Sie Windows+R und geben Sie services.msc ein. Drücken Sie die Eingabetaste.
- Suchen Sie Encrypting File System (EFS) und doppelklicken Sie darauf, um Eigenschaften zu öffnen.
- Klicken Sie auf das Dropdown-Menü Starttyp und wählen Sie Automatisch.
- Klicken Sie dann auf Anwenden und danach auf OK, um diese Änderungen zu speichern.
So deaktivieren Sie die NTFS-Dateiverschlüsselung in Windows
Wir können EFS auch über den GPO, die Eingabeaufforderung, PowerShell oder die Services deaktivieren.
Deaktivieren der NTFS-Verschlüsselung mit dem Gruppenrichtlinien-Editor (GPO)
- Öffnen Sie den Editor für lokale Gruppenrichtlinien.
- Navigieren Sie zu Computerkonfiguration\Verwaltungsvorlagen\System\Dateisystem\NTFS.
- Doppelklicken Sie im rechten Fensterbereich auf die Richtlinie Verschlüsselung auf NTFS-Laufwerken nicht zulassen, um sie zu ändern.
- Klicken Sie auf den Button neben Deaktivieren, um die NTFS-Dateiverschlüsselung zu verhindern. Klicken Sie zur Bestätigung auf OK.
- Starten Sie das Gerät neu, um die Änderungen zu übernehmen.
Deaktivieren der NTFS-Verschlüsselung mit der Eingabeaufforderung oder PowerShell
- Öffnen Sie die Eingabeaufforderung oder PowerShell mit Administratorberechtigungen.
- Geben Sie fsutil behavior set disableencryption 0 ein. Drücken Sie die Eingabetaste.
- Starten Sie den Computer neu, um die Änderungen zu übernehmen.
Deaktivierung der NTFS-Verschlüsselung über Dienste
- Drücken Sie Windows+R und geben Sie services.msc ein. Drücken Sie die Eingabetaste.
- Suchen Sie Encrypting File System (EFS) und doppelklicken Sie darauf, um Eigenschaften zu öffnen.
- Klicken Sie auf das Dropdown-Menü Starttyp und wählen Sie Deaktiviert.
- Klicken Sie dann auf Anwenden und danach auf OK, um diese Änderungen zu speichern.
So verschlüsseln Sie einzelne Dateien oder Ordner in Windows
Sobald die NTFS-Dateiverschlüsselung aktiviert ist, können Sie nun eine Datei oder einen Ordner manuell mit diesen Methoden verschlüsseln:
Verwendung des Datei-Explorers zum Verschlüsseln einer Datei oder eines Ordners
- Klicken Sie mit der rechten Maustaste auf die Datei oder den Ordner, den Sie ändern möchten.
- Wählen Sie Eigenschaften.
- Wählen Sie unter Attribute die Option Erweitert.
- Aktivieren Sie das Kontrollkästchen neben Inhalt verschlüsseln, um Daten zu schützen und bestätigen Sie mit OK.
- Wählen Sie Übernehmen.
Das System fordert Sie außerdem auf zu entscheiden, ob die Verschlüsselung auf zugehörige Dateien und Ordner ausgedehnt werden soll. Folgen Sie den Aufforderungen zum Fortfahren. Die verschlüsselten Dateien oder Ordner werden nun mit einem Schloss-Symbol versehen. Um sie zu entsperren, folgen Sie denselben Schritten.
Verwendung der Eingabeaufforderung oder PowerShell zum Verschlüsseln einer Datei oder eines Ordners
- Verwenden Sie die Windows-Suche und geben Sie cmd oder PowerShell ein. Führen Sie das Programm als Administrator aus.
- Verwenden Sie den Befehl cipher zum Verschlüsseln einer Datei oder eines Ordners: cipher /e <Pfad der Datei oder des Ordners>. Geben Sie die Dateierweiterung an.
Wenn der Befehl ‚cipher‘ ohne Parameter verwendet wird, zeigt er den Verschlüsselungsstatus des aktuellen Verzeichnisses an. Hier finden Sie die vollständige Liste der Verschlüsselungsparameter:
Verwaltung verschlüsselter Dateien
Die Windows EFS-Verschlüsselung ist ein leistungsstarkes Tool für IT-Administrator:innen und Content-Manager:innen. Datensicherung auf dieser Ebene ist jedoch ohne ein hervorragendes Backup-System unvollständig. Hier erfahren Sie, wie Sie Sicherheitszertifikate zur Wiederherstellung sichern und exportieren können:
- Drücken Sie Windows + R, geben Sie certmgr.msc ein, und drücken Sie die Eingabetaste.
- Erweitern Sie Eigene Zertifikate > Zertifikate.
- Klicken Sie mit der rechten Maustaste auf das EFS-Zertifikat und wählen Sie Alle Aufgaben > Exportieren.
- Wählen Sie im Zertifikatexport-Assistenten Ja, privaten Schlüssel exportieren.
- Wählen Sie Personal Information Exchange (.PFX) und schließen Sie alle Zertifikate in den Zertifizierungspfad ein.
Um auf verschlüsselte Dateien auf einem anderen NTFS-formatierten Computer zuzugreifen, müssen Sie das EFS-Zertifikat und den privaten Schlüssel importieren. Rufen Sie den Zertifikat-Manager auf, um das Zertifikat zu importieren.
Auswirkungen auf die Sicherheit und Best Practices
EFS bietet eine zuverlässige Verschlüsselung, insbesondere bei den neuesten Versionen von Windows. Dennoch ist es für Administrator:innen wichtig, eine zuverlässige Gruppenrichtlinie durchzusetzen und ein zuverlässiges Backup-System aufrechtzuerhalten. In diesem Sinne finden Sie hier einige Sicherheitsüberlegungen und empfohlene Vorgehensweisen bei der Verwaltung der NTFS-Dateiverschlüsselung.
Kontrolle des Zugriffs auf private Schlüssel
Unbefugte Benutzer:innen können den Schlüssel zur Entschlüsselung von Daten verwenden. Daher muss der private Schlüssel unbedingt an einem sicheren Ort aufbewahrt werden und der Zugriff darauf auf IT-Administrator:innen oder Sicherheitspersonal beschränkt werden. Es ist außerdem gängige Praxis, dass Unternehmen ihre Schlüssel regelmäßig ersetzen, um die Integrität der gesamten Datensicherheitspolitik zu wahren.
Aufbewahrung von Backups von Wiederherstellungszertifikaten
Es ist wichtig, eine sichere Backup-Kopie der privaten Schlüssel und Wiederherstellungszertifikate zu erstellen. Weisen Sie vorzugsweise mindestens zwei Sicherheitsagenten zu, um einen vollständigen Datenverlust zu verhindern, wenn einer der Schlüssel oder eines der Zertifikate verloren geht. Wenn Sie Teil einer verwalteten Umgebung sind, können diese Aktionen automatisiert und aus der Ferne überwacht werden.
Seien Sie vorsichtig beim Übertragen von Dateien
EFS-verschlüsselte Dateien verlieren die Verschlüsselung, wenn sie in einen Nicht-NTFS-Speicher verschoben werden, da EFS nicht dafür konzipiert ist, Daten zu schützen, wenn sie übertragen werden. Ziehen Sie beim Übertragen von Dateien einen Cloud-Speicher oder einen anderen NTFS-formatierten Speicher in Betracht. Stellen Sie außerdem sicher, dass das empfangende Gerät über ein starkes Passwort und eine Datensicherheitsrichtlinie verfügt.
Zusätzlich zu Windows BitLocker und EFS können Sie Verwaltungssoftware für Verschlüsselungs-Schlüssel von Drittanbietern verwenden, um Ihre Backups zu verstärken, die Überwachung zu verbessern und die organisatorische Compliance zu erhöhen.
Verwaltung des NTFS-Dateiverschlüsselungs-Status in Echtzeit
Die NTFS-Dateiverschlüsselung kann Unternehmen dabei helfen, sensible Daten auf individueller Ebene zu kontrollieren. Ohne eine zentralisierte Lösung und ein Überwachungssystem kann dies jedoch erhebliche Ressourcen für die Wartung erfordern. Um die Verwaltung der Geräte zu vereinfachen, sollten Sie eine plattformübergreifende IT-Lösung oder eine Endpunkt-Management-Software einsetzen, die den Verschlüsselungsstatus in Echtzeit überwacht und die Verwaltung der Wiederherstellungsschlüssel automatisiert.
