Das Whitepaper beschreibt die Funktionsweise der Endgeräteverschlüsselung, die darauf abzielt, sensible Daten auf Computern und USB-Laufwerken vor unbefugtem Zugriff zu schützen, insbesondere im Falle von Verlust oder Diebstahl. Es werden die Unterschiede zwischen Endgeräte- und Dateiverschlüsselung erläutert sowie Mechanismen zur Wiederherstellung von Zugang im Falle einer vergessenen Passphrase. Zudem wird erklärt, wie Endgeräteverschlüsselung automatisiert während des Betriebssystemstarts und bei Dateizugriffen arbeitet, um Daten in Echtzeit zu verschlüsseln und zu entschlüsseln.

1. WhitePaper:
WieENDGERÄTEVERSCHLÜSSELUNG
funktioniert
Wie Endgeräteverschlüsselung
funktioniert
Wer diese Publikation lesen sollte
Sicherheits- und IT-Administratoren

3. Wie Endgeräteverschlüsselung funktioniert
Inhalt
Einführung in die Endgeräteverschlüsselung. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1
Was Endgeräteverschlüsselung ist. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1
Wie es funktioniert. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1
Endpoint Encryption: Hinter den Kulissen:. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2
Leben mit Verschlüsselung: Business as Usual . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2
Endpoint Encryption: Wiederherstellung. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3

4. 1
Wie Endgeräteverschlüsselung funktioniert
Einführung in die Endgeräteverschlüsselung
Wenn Sie einen Computer oder ein entfernbares USB-Laufwerk benutzen, kann es gut sein, dass sich sensible Daten auf diesen Geräten
befinden. Ob es sich um einen Heimcomputer mit den familiären Finanzen, einen Arbeitscomputer mit sensiblen Unternehmensinformationen
oder einen USB-Stick mit Regierungsgeheimnissen handelt – Sie müssen sicherstellen, dass kein unbefugter Zugriff auf diese Daten stattfindet,
wenn das Gerät verloren geht oder gestohlen wird.
Endgeräteverschlüsselung, auch als Festplattenverschlüsselung bekannt, schützt diese Daten, indem sie sie für unbefugte Nutzer unlesbar
macht. Diese Abhandlung beschreibt die Unterschiede zwischen Endgeräte- und Dateienverschlüsselung, die genaue Funktionsweise von
Endgeräteverschlüsselung sowie Mechanismen zur Wiederherstellung.
Was Endgeräteverschlüsselung ist
Endgeräteverschlüsselung versus Dateienverschlüsselung
Wenn es um Datenverschlüsselung geht, gibt es verschiedene Strategien.
Endgeräteverschlüsselung schützt eine Festplatte im Fall von Diebstahl oder versehentlichem Verlust, indem es die gesamte Festplatte
verschlüsselt – einschließlich Swap-Dateien, Systemdateien und Dateien im Ruhezustand. Wenn eine verschlüsselte Festplatte verloren
geht, gestohlen oder in einen anderen Computer eingebaut wird, bleibt deren Verschlüsselungszustand unverändert, sodass nur ein
berechtigter Nutzer auf die Inhalte zugreifen kann.
Endgeräteverschlüsselung kann Ihre Daten jedoch nicht schützen, wenn Sie sich während des Systemstarts eingeloggt haben und Ihren
Computer unbeaufsichtigt lassen. In diesem Fall ist Ihr System entsperrt, und unbefugte Nutzer können darauf genauso zugreifen wie
berechtigte Nutzer. Hier kommt die Dateienverschlüsselung ins Spiel.
So wie ein Alarmsystem ein ganzes Haus schützt und ein Safe zusätzliche Sicherheit bietet, schützt Endgeräteverschlüsselung das gesamte
System, und Dateienverschlüsselung bietet eine zusätzliche Sicherheitsschicht.
Dateienverschlüsselung verschlüsselt spezielle Dateien, sodass die Inhalte dieser Dateien auch nach erfolgreicher Anmeldung eines
Nutzers bei einem Betriebssystem verschlüsselt bleiben. Eine Anwendung wie Symantec™ File Share Encryption kann einzelne Dateien
und Ordner schützen, indem sie den den Benutzer zur Eingabe einer Passphrase auffordert, um ihm den Zugriff darauf zu erlauben.
Dateienverschlüsselung erfordert eine Aktion des Nutzers, während die Laufwerksverschlüsselung automatisch alle Daten verschlüsselt, die
Sie oder das Betriebssystem erstellen. Dateienverschlüsselung kann auch mit einem Verschlüsselungsrichtlinien-Server gekoppelt werden.
Das ermöglicht es IT-Administratoren, Verschlüsselungsregeln für eine ganze Organisation zu erstellen und bekanntzugeben, einschließlich
des automatischen Verschlüsselns von Dateien aus verschiedenen Anwendungen und/oder Ordnern.
Wie es funktioniert
Während des Hochfahrens eines Betriebssystems wird eine Boot-Sequenz ausgeführt. Das Bootsysten ist die allererste Reihe von
Arbeitsschritten, die der Computer ausführt, wenn er eingeschaltet wird. Der Boot-Lader (oder Bootstrap-Lader) ist ein kurzes
Computerprogramm, welches das Hauptbetriebssystem für den Computer lädt. Der Boot-Lader sucht zuerst einen Boot Record oder eine
Partitionstabelle, die den logischen “Null”-Bereich (oder Startpunkt) des Laufwerks darstellt.
Endgeräteverschlüsselung modifiziert den Nullpunkt-Bereich des Laufwerks. Ein Computer, der mit Symantec™ Endpoint Encryption
geschützt ist, präsentiert dem Nutzer eine modifizierte “Pre-Boot”-Umgebung (Abb. 1).
Dieser modifizierte Pre-Boot-Bildschirm fordert den Nutzer auf, seine Zugangsberechtigung in Form einer Passphrase nachzuweisen
(üblicherweise ein längeres Passwort, das oft einem Satz ähnelt). An diesem Punkt kann der Computer weitere Berechtigungsnachweise
verlangen, wie etwa eine Smartcard, ein Token oder eine andere Zwei-Faktoren-Legitimation.

5. 2
Wie Endgeräteverschlüsselung funktioniert
Nachdem der Nutzer gültige Berechtigungsnachweise eingegeben hat, fährt das Betriebssystem wie gewohnt mit dem Laden fort, und der
Nutzer kann auf den Computer zugreifen.
Endgeräteverschlüsselungs-Software bietet außerdem die Möglichkeit, entfernbare Speichermedien wie USB-Laufwerke zu verschlüsseln.
Wenn Sie ein USB-Laufwerk an ein Computersystem anschließen, verlangt es eine Passphrase, und nach erfolgreicher Legitimation können
Sie das USB-Laufwerk benutzen.
Endgeräteverschlüsselung: Hinter den Kulissen
Grundlagen des Dateisystems
Während des Boot-Vorgangs initialisiert das System die Dateisysteme des Computers.
Wenn ein Nutzer den Zugriff auf eine Datei erbittet (z.B. indem er eine Datei erstellt, öffnet oder löscht), wird diese Anfrage an den Input/
Output-(I/O)-Manager des Betriebssystems gesendet, der sie an den Dateisystem-Manager weiterleitet. Der Dateisystem-Manager verarbeitet
Dateien blockweise.
Leben mit Verschlüsselung: Business as Usual
Die meiste Endgeräteverschlüsselungs-Software arbeitet in Verbindung mit der Dateisystem-Architektur. Sie filtert I/O-Vorgänge für ein oder
mehr Dateissysteme oder Dateissystem-Mengen.
Wenn ein Laufwerk erstmalig mit Endgeräteverschlüsselung verschlüsselt wird, konvertiert es unververschlüsselte Laufwerksblöcke der
Reihe nach in verschlüsselte. Endgeräteverschlüsselung erlaubt es den Nutzern, während dieses initialen Verschlüsselungsvorgangs wie
gewohnt mit der Arbeit fortzufahren, indem sie den Anteil der CPU-Rechenleistung, die dem initialen Verschlüsselungsvorgang zugeteilt ist,
modifiziert.
Passphrase und / oder Token/ Smart Card
das Laufwerk wird
verschlüsselt, Datenblock
für Datenblock
Verschlüsselung von
Laufwerks-
Datenblöcken

6. 3
Wie Endgeräteverschlüsselung funktioniert
Wenn ein Nutzer auf eine Datei zugreift, entschlüsselt Endgeräteverschlüsselung die gespeicherten Daten, bevor sie auf dem Bildschitm
dargestellt werden werden. Wenn der Nutzer irgendwelche Änderungen an der Datei durchführt, werden die Daten im Speicher verschlüsselt
und dann auf den jeweiligen Laufwerksblock zurückgeschrieben, genauso wie das ohne Verschlüsselung ablaufen würde. Verschlüsselte
Dateien stehen niemals auf dem Laufwerk zur Verfügung.
Der Vorgang des Verschlüsselns / Entschlüsselns läuft mit einer solchen Geschwindigkeit ab, dass er für den Nutzer vollkommen
codeunabhängig erscheint.
Endgeräteverschlüsselung: Wiederherstellung
Endgeräteverschlüsselung: Wiederherstellung
Der häufigste Anlass zur Datenwiederherstellung ist eine verlorene oder vergessene Passphrase. Deshalb muss Endgeräteverschlüsselungs-
Software eine Wiederherstellungs-Funktion enthalten. Bei Symantec Endpoint Encryption gibt es verschiedene Möglichkeiten, im Fall einer
vergessenen Passphrase auf ein verschlüsseltes System zuzugreifen, unter anderem die lokale Wiederherstellung, ein Wiederherstellungs-
Token und einen Administratorenschlüssel.
Die lokale Selbstwiederherstellung ermöglicht es Nutzern, während der Boot-Zeit vordefinierte und anpassbare Fragen zu beantworten, um
Zugang zu einem verschlüsselten System zu erhalten und die Boot-Passphrase zurückzusetzen, ohne jemals die IT-Abteilung zu bemühen.
Die Whole Disk Recovery Token (WDRT) ist ein einmaliges, temporäres, geräte- und nutzerbezogenes Wiederherstellungs-Set
alphanumerischer Zeichen, um eine Passphrase zturückzusetzen.
Der Administratorenschlüssel, der im Besitz der Administration ist, wird auf einer manipulationssicheren Smartcard oder einem Token
gespeichert.
Ein anderer Anlass zur Datenwiederherstellung, auch wenn er selten ist, kann in Datenverstümmelung aufgrund eines Hardware-Absturzes
oder anderer Faktoren wie Datenviren bestehen. Die Verstümmelung eines Master Boot Record auf einem Boot-Laufwerk oder einer
entsprechenden Laufwerkspartition, die durch Laufwerksverschlüsselung geschützt ist, kann ein System am Hochfahren hindern. Um solche
Fehler zu vermeiden, ist es das Beste, eine Wiederherstellungs-CD zu erstellen und dann ein Laufwerks-Backup durchzuführen, bevor das
Laufwerk mit Endgeräteverschlüsselung gesichert wird..

8. Wie Endgeräteverschlüsselung funktioniert
Über Symantec
Symantec schützt die Informationen der Welt
und ist globaler Marktführer bei Sicherheits-,
Backup- und Verfügbarkeitslösungen. Unsere
innovativen Produkte und Services schützen
Menschen und Informationen in jedem Umfeld –
vom kleinsten Mobilgerät über unternehmenseigene
Rechenzentren bis zu cloudbasierten Systemen.
Unsere branchenführende Kompetenz beim Schutz
von Daten, Identitäten und Interaktionen gibt unseren
Kunden Vertrauen in eine vernetzte Welt. Weitere
Informationen finden Sie unter www.symantec.com
oder go.symantec.com/socialmedia.
Unsere Geschäftsstellen und
Kontaktnummern in den
jeweiligen Ländern finden Sie
auf unserer Website.
Symantec World Headquarters
350 Ellis St.
Mountain View, CA 94043 USA
+1 (650) 527 8000
1 (800) 721 3934
Copyright © 2012 Symantec Corporation.
Alle Rechte vorbehalten. Symantec, das Symantec-
Logo und das Häkchen-Logo sind Marken oder
eingetragene Marken der Symantec Corporation
oder ihrer verbundenen Unternehmen in den USA
und anderen Ländern. Andere Bezeichnungen
können Marken anderer Rechteinhaber sein.
8/2014 21275920-2GE