Rechtevergabe: Dateien besitzen und verschlüsseln

Wenn Sie NTFS als Dateisystem verwenden, können Sie Ihre Dateien auch noch schützen: NTFS bietet die Möglichkeit, Dateien mit Rechten auszustatten und zu verschlüsseln. So haben Sie zum Beispiel die Möglichkeit, jedermann das Recht zu nehmen, die Datei zu lesen, sie zu verändern oder sonst wie zu beeinflussen. Über die Rechtevergabe können Sie Ihre Dateien vor Dritten tatsächlich wirksam schützen – es sei denn, der Dritte hat einen Administrator-Zugang auf Ihrem System.

Sie vergeben diese Rechte einfach über den „Eigenschaften“-Dialog einer Datei. Das Fenster verfügt bei NTFS-Partitionen über eine Registerkarte mit der Bezeichnung „Sicherheit“, auf der Sie anderen Benutzern Rechte für Ihre Datei einräumen oder eben entziehen.

Vergeben Sie keine Rechte, dann kann auch niemand außer Ihnen auf die Datei zugreifen. Von Haus aus setzt XP die Rechte allerdings so, dass andere Nutzer durchaus darauf zugreifen können. Um eine Datei zu schützen, müssen Sie diese Rechte also erst einmal entfernen.

Dateischutz mit NTFS
Neben der Vergabe von Zugriffsrechten erlaubt Windows XP auch das Verschlüsseln von Dateien und Ordnern mit EFS (Encrypted File System). Die Verschlüsselung erfolgt dabei transparent: Hat ein Benutzer eine Datei verschlüsselt, muss der Benutzer die Datei nicht erst entschlüsseln, um sie nutzen zu können. Die Entschlüsselung erfolgt im Hintergrund, sobald der berechtigte Benutzer darauf zugreift.

Anwender mit einem anderen Benutzerkonto können auf die derart verschlüsselten Daten nicht zugreifen. Will ein anderer Benutzer unter Windows XP die Datei öffnen, so erhält er lediglich die Meldung, dass der Zugriff darauf nicht zulässig ist. Verschafft sich der Datenspion auf anderem Wege Zugriff auf die Datei, zum Beispiel indem er die Festplatte aus dem Notebook ausbaut und an einen anderen Rechner anschließt oder die Daten mit Low-Level-Tools direkt von der Festplatte liest, so erhält er nur den verschlüsselten Datenbrei und keine nutzbaren Klartextdaten. Der Schutz bleibt also auch dann erhalten, wenn Angreifer physischen Zugang zur Festplatte mit den verschlüsselten Daten erhalten.

Verschlüsselungsmethoden mit NTFS
Mit EFS können Sie entweder einzelne Dateien oder aber ganze Ordnerstrukturen verschlüsseln. Wenn Sie Verzeichnisse chiffrieren, werden alle darin befindlichen Dateien und auch alle anderen Unterordner verschlüsselt. In der Praxis sollten Sie die Verschlüsselung kompletter Ordner der Verschlüsselung einzelner Dateien vorziehen. Das hat verschiedene Gründe: Wenn Sie einen kompletten Ordner verschlüsseln, dann werden auch Dateien, die Sie nachträglich in dieses Verzeichnis kopieren oder darin speichern, automatisch verschlüsselt. Kopieren Sie eine Datei aus einem verschlüsselten Ordner an einen anderen Ort, bleibt die Datei verschlüsselt. Zumindest dann, wenn Sie die Datei auf ein NTFS-Laufwerk kopieren.

Wenn Sie hingegen nur eine einzelne Datei verschlüsseln, dann ist das Ganze fehlerträchtiger. Grund hierfür ist unter anderem, wie bestimmte Programme mit den von Ihnen eingegebenen Daten umgehen. Bei manchen Anwendungsprogrammen verhält es sich so, dass der Befehl „Sichern“ eine bestimmte Sequenz von Aktionen auslöst. Das Programm sichert das Dokument zunächst unter einem temporären Namen. Gelingt das, so wird die neue Datei über die alte kopiert. Ist auch das gelungen, so wird die temporäre Datei gelöscht. Nun war die temporäre Datei allerdings nicht verschlüsselt – und das bedeutet, dass auch das Endresultat nicht länger verschlüsselt ist. Bei komplett verschlüsselten Ordnern kann diese Sicherheitslücke nicht auftreten.

Ein weiteres Problem birgt die Entsicherungsautomatik von Windows XP: Beim Kopieren von verschlüsselten Daten auf ein FAT-Laufwerk – zum Beispiel auf eine Diskette oder einen mit FAT16/32 formatierten USB-Stick – geht die Verschlüsselung automatisch verloren, denn nur das NTFS-Dateisystem unterstützt die EFS. Immerhin stellt Windows XP sicher, dass nur derjenige Benutzer die eine Datei kopieren kann, der auch Zugang zu den verschlüsselten Daten hat: Ein Hacker kann also nicht einfach verschlüsselte Daten auf ein Laufwerk mit FAT-Formatierung kopieren, um Zugriff auf die Daten zu erlangen.