BitLocker schützt Sie vor dem Gelegenheitsdieb im Café. Gegenüber staatlichen Akteuren oder dem Anbieter bietet es jedoch nur eine trügerische Sicherheit.
In der Welt der Cybersicherheit gilt Verschlüsselung oft als das letzte, unbezwingbare Bollwerk. „Meine Daten sind verschlüsselt“ ist ein Satz, der Sicherheit suggeriert. Doch wie aktuelle Berichte zeigen, ist Verschlüsselung nicht gleich Verschlüsselung. Wenn der „Generalschlüssel“ für Ihre Daten ungefragt in der Cloud landet, wird aus dem Tresor schnell ein Schaufenster, zumindest für Behörden.
Das FBI und der digitale Dietrich
Kürzlich sorgte ein Fall für Aufsehen, bei dem das FBI die vermeintlich unknackbare BitLocker-Verschlüsselung eines Verdächtigen umging. Es war kein genialer Hacker-Angriff nötig. Ein einfacher Gerichtsbeschluss an Microsoft genügte. Da Windows in modernen Konfigurationen den BitLocker-Wiederherstellungsschlüssel automatisch im Microsoft-Konto des Nutzers speichert, konnte das Unternehmen diesen Schlüssel extrahieren und den Ermittlern aushändigen.
Die Bequemlichkeitsfalle: Warum BitLocker zweifelhaft sein kann
Für den durchschnittlichen Anwender ist die automatische Sicherung des Schlüssels in der Cloud ein Segen, denn dadurch kann man sich nicht aussperren. Aus Sicht des Datenschutzes ist dies jedoch ein Albtraum. In der Standardkonfiguration ist BitLocker jedenfalls kritisch zu hinterfragen. Sobald Ihr Wiederherstellungsschlüssel auf den Servern eines Drittanbieters, namentlich Microsoft, gespeichert wird, liegt die Kontrolle nicht mehr exklusiv bei Ihnen. Microsoft unterliegt als US-Unternehmen strengen rechtlichen Verpflichtungen. Bei entsprechenden staatlichen Anordnungen ist die Herausgabe der Schlüssel kein optionaler Akt, sondern gesetzliche Pflicht. Viele Nutzer aktivieren BitLocker im Glauben, eine Ende-zu-Ende-Souveränität zu genießen, ohne zu realisieren, dass im Hintergrund eine Kopie ihres digitalen Hausschlüssels erstellt wurde.
Sicherheit vs. Compliance: Ein schmaler Grat
Es wäre falsch, BitLocker als grundsätzlich unsicher zu bezeichnen. Technisch ist die AES-Verschlüsselung robust. Das Problem ist nicht der Algorithmus, sondern das Key-Management. Für Unternehmen und Privatpersonen, die Wert auf echte digitale Souveränität legen, bedeutet dies, dass Kontrolle über den Schlüssel immer besser ist. Diese Kontrolle haben Sie bei Microsoft nicht, folglich haben Sie auch keine digitale Souveränität.
So sichern Sie Ihre Daten richtig
Wenn Sie BitLocker nutzen, sollten Sie proaktiv handeln, um die Kontrolle zurückzugewinnen. Nutzen Sie Gruppenrichtlinien, um das Hochladen von Schlüsseln in das Microsoft-Konto zu unterbinden, und erzwingen Sie die lokale Speicherung. Speichern Sie Ihren Wiederherstellungsschlüssel physisch, zum Beispiel auf einem USB-Stick oder in einem passwortgeschützten Tresor, der nicht mit Ihrem Betriebssystem-Anbieter verknüpft ist. Für maximale Unabhängigkeit bieten sich Open-Source-Lösungen wie VeraCrypt an, die von vornherein keine Cloud-Anbindung vorsehen.
Fazit
BitLocker schützt Sie hervorragend vor dem Gelegenheitsdieb im Café. Gegenüber staatlichen Akteuren oder dem Anbieter selbst bietet es in der Standardeinstellung jedoch nur eine trügerische Sicherheit.