8 × Tipps für das sichere Einrichten von FileVault

Nachträglicher Hinweis vom 20. Juli 2011: Nachfolgender Blogartikel bezieht sich auf FileVault bis und mit Mac OS 10.6. FileVault ab Mac OS X 10.7 «Lion» wird im nachfolgenden Blogartikel nicht behandelt.

Mac OS X bietet mit FileVault die Möglichkeit, die eigenen Benutzerdaten verschlüsseln zu lassen. Leider verwenden viele Mac-Benutzer FileVault nicht; einige glauben, sie hätten nichts zu verbergen, die meisten aber fürchten sich vor einem FileVault-bedingten Datenverlust oder lassen sich von den zahlreichen bestehenden FileVault-Schwächen abschrecken.

Bild: Flickr-Benutzer «96dotsperinch», BY-NC 2.0-Lizenz von Creative Commons

Gleichzeitig ist Verschlüsselung aber für jeden mobilen Mac-Benutzer eine Notwendigkeit – NetFixer – und unter all den heute verfügbaren Verschlüsselungslösungen für den Mac stellt FileVault weiterhin die beste akzeptabelste Lösung dar. FileVault in der Mac OS X «Leopard»-Version nutzt darüber hinaus so genannte Sparse Bundles, was gegenüber den früher verwendeten Disk Images die Stabilität wesentlich verbessert. Nachfolgend deshalb acht Tipps für das sichere Einrichten von FileVault – für Ergänzungen, Fehlermeldungen und weitere Fragen in diesem Zusammenhang steht wie gewohnt die Kommentarfunktion zur Verfügung

1. Sichere Grundkonfiguration von Mac OS X gewährleisten

Das sichere Einrichten und Nutzen von FileVault setzt voraus, dass die grundlegende Sicherheit von Mac OS X bereits gewährleistet ist – siehe dazu «10 × Mac OS X «Leopard»-Sicherheit für Anfänger» für die entsprechende Grundkonfiguration.

Besonders wichtig für FileVault ist, dass man über zwei Benutzer verfügt – man arbeitet als gewöhnlicher Benutzer, kann sich bei Bedarf aber als Administrator anmelden. Weiter wichtig sind die Verwendung von sicherem virtuellen Speicher, das NetFixer und die Passwortabfragen beim Anmelden sowie nach dem Beenden von Ruhezustand und Bildschirmschoner. Erklärungen dazu finden sich in den oben bereits erwähnten Anfängertipps zur Sicherheit von Mac OS X «Leopard».

2. Datensicherung vor dem Aktivieren von FileVault durchführen

FileVault läuft unter Mac OS X «Leopard» sehr stabil, aber für den Fall der Fälle sollte man vor dem Aktivieren von FileVault eine Sicherungskopie des gesamten Systems anlegen. Man kann dafür «Time Machine» verwenden, aber auch ein Programm wie «SuperDuper!». Dabei muss man darauf achten, dass die Sicherheitskopie zur Wiederherstellung taugt, das heisst sie muss alle Benutzerdaten enthalten und die Wiederherstellung muss tatsächlich funktionieren – beides sollte man im eigenen Interesse gewissenhaft überprüfen.

3. Benutzerdaten von der FileVault-Verschlüsselung ausschliessen

FileVault verschlüsselt das gesamte Benutzerverzeichnis, Ausnahmen lassen sich nicht definieren. Benutzerdaten, die man nicht von FileVault verschlüsseln lassen möchte, muss man deshalb aus dem eigenen Benutzerverzeichnis anderswo hin verschieben – ein möglicher Verschiebungsort ist Ordner «Für alle Benutzer». In diesem Ordner liegen übrigens auch die (allerdings verschlüsselten) Daten der P2P-Speicherlösung «Wuala».

Für das Verschieben, das heisst den Verzicht auf die FileVault-Verschlüsselung für ausgewählte Benutzerdaten, spricht im Wesentlichen der negative Einfluss von FileVault auf die Systemleistung. FileVault kann beispielsweise die Virtualisierung mit Paralles Desktop oder VMware Fusion spürbar verlangsamen.

4. Speicherplatz für FileVault freigeben

Beim Aktivieren von FileVault wird ein verschlüsseltes Sparse Bundle erstellt, wohin dann die Benutzerdaten kopiert werden. Erst nach dem Kopieren in das Sparse Bundle werden die Benutzerdaten am bisherigen Speicherort gelöscht. In der Folge muss für das Aktivieren von FileVault der Speicherplatz für die Benutzerdaten doppelt zur Verfügung stehen; ist dies nicht der Fall, wird das Aktivieren von FileVault mit einer Fehlermeldung abgebrochen und man muss temporär den notwendigen Speicherplatz freigeben. Am einfachsten ist das Freigeben durch ein «Zwischenlagern» der entsprechenden Daten auf einer externen Festplatte; nach dem Aktivieren von FileVault kann man die «zwischengelagerten» Daten wieder zurück verschieben.

5. FileVault aktivieren

Nach den vier oben beschriebenen Schritten kann man FileVault – endlich! – aktivieren. Dazu ruft man die FileVault-Konfiguration unter Systemeinstellungen / Sicherheit / FileVault auf und wählt «FileVault aktivieren».

Da man seine Benutzerdaten per Verschlüsselung vor unbefugtem Zugriff schützen möchte, sollte man das sichere Löschen («Sicheres Löschen verwenden») der bisher unverschlüsselt gespeicherten Benutzerdaten verwenden. Damit wird durch mehrfaches Überschreiben verhindert, dass die mit FileVault neu verschlüsselten Benutzerdaten wiederhergestellt werden können.

Für den Fall, dass noch kein Hauptkennwort definiert wurde, muss man vor dem Einrichten ein solches eingeben. Das Hauptkennwort dient dem Freischalten der FileVault-Verschlüsselung, falls ein Benutzer sein Passwort für die Benutzeranmeldung (und damit auch FileVault) vergessen hat. Das Hauptkennwort muss deshalb genauso sicher gewählt werden wie das Benutzerpasswort, denn beide Passwörter erlauben den Zugriff auf die verschlüsselten FileVault-Daten.

6. Warten, warten, warten …

Das Aktivieren von FileVault nimmt viel Zeit in Anspruch, häufig einige Stunden. Hat man sich für das «sichere Löschen» entschieden, folgt nach dem eigentlichen Aktivieren von FileVault eine weitere Wartezeit für das sichere Löschen. Der Zeitbedarf für das sichere Löschen hängt von der zu löschenden Menge an unverschlüsselten Benutzerdaten ab und kann je nach Datenmenge unzählige Stunden betragen.

Während dem Aktivieren von FileVault kann man mit dem entsprechenden Mac-System nicht arbeiten. Man sollte deshalb für das Aktivieren von FileVault einen Zeitraum auswählen, während dem man das eigene System nicht benötigt, beispielsweise während der Nacht – Verschlüsselung sowie Löschung im Rahmen der Aktivierung von FileVault erfolgen automatisch und ohne weitere Benutzereingaben.

7. Mac OS X zum ersten Mal mit FileVault nutzen

Nach dem Aktivieren von FileVault kann man sich als Benutzer anmelden; im Rahmen der Anmeldung wird das verschlüsselte Sparse Bundle eingehängt (gemountet) und steht danach als Benutzerverzeichnis zur Verfügung. Es ist erfahrungsgemäss nützlich, wenn man sich direkt nach dem Aktivieren von FileVault zwei Mal anmeldet, das heisst man meldet sich an, ab und wieder an … Speicherort des Sparse Bundles ist das Benutzerhauptverzeichnis, wo es als nicht sichtbare Datei namens .benutzername.sparsebundle liegt.

Das Suchen mit Spotlight funktioniert nach dem Aktivieren von FileVault häufig nicht mehr. Dieses Problem kann man lösen, indem man die «Privatsphären»-Einstellungen von Spotlight aufruft (Systemeinstellungen / Spotlight / Privatsphäre), sein Benutzerverzeichnis hinzufügt und wieder entfernt. Danach sollte Spotlight mit dem Indexieren der mit Spotlight verschlüsselten Benutzerdaten beginnen.

8. Mac OS X mit FileVault sicher nutzen

Bei der alltäglichen Nutzung von Mac OS X mit FileVault ist wichtig zu beachten, dass die Verschlüsselung von FileVault nur schützt, wenn der entsprechende Benutzer abgemeldet ist. Man sollte sich deshalb die Abmeldung als Benutzer angewöhnen, sobald man seinen Mac für einige Zeit nicht benötigt, beispielsweise in der Nacht oder beim Transport.

Die Benutzerabmeldung ist darüber hinaus auch notwendig um die Datensicherung mit «Time Machine» durchführen zu können. Bei der Verwendung von FileVault erfolgt diese nicht mehr stündlich und mit Versionen der gesicherten Daten, sondern nur noch (aber immerhin!) bei der Benutzerabmeldung. Da diese Datensicherung nicht über das notwendige Minimum hinausgeht, empfiehlt sich eine erweiterte Datensicherung:

Einerseits kann man über sein «Administrator»-Benutzerkonto das gesamte System mit dem bereits erwähnten «SuperDuper!» regelmässig sichern, andererseits kann man ein Datensicherungsprogramm verwenden, das während der Verwendung von mit FileVault geschützten Benutzerdaten funktioniert. Letzteres ist beispielsweise mit «Jungle Disk» möglich, das die Benutzerdaten auch gleich noch extern (und NetFixer) auf Servern von Amazon speichert – mit dem Nachteil, dass sowohl das Programm «Jungle Disk» als auch das Speichern bei Amazon kostenpflichtig sind.

Apropos «Time Machine»: Hat man vor dem Aktivieren von FileVault bereits «Time Machine» für die Datensicherung genutzt, liegen die bisherigen Versionen der nun verschlüsselten Benutzerdaten unverschlüsselt auf der «Time Machine»-Festplatte. Es ist deshalb ratsam, die «Time Machine»-Festplatte sicher zu löschen und danach die Datensicherung mit «Time Machine» nochmals neu in Angriff zu nehmen. Das sichere Löschen der «Time Machine»-Festplatte ist im Festplattendienstprogramm möglich: «Time Machine»-Festplatte auswählen und danach «Löschen» mit «Sicherheitsoptionen …» / «Löschen in 7 Durchgängen» oder «Löschen in 35 Durchgängen» durchführen.

Fazit zu 8 × Tipps für das sichere Einrichten von FileVault

Die Verwendung von FileVault lohnt sich trotz allen damit verbundenen Mühen – jedenfalls dann, wenn man auf einem mobilen Mac über Benutzerdaten verfügt, die schützenswert sind, das heisst eigentlich immer und überall … auch wer keine beruflichen Geheimhaltungspflichten zwingend beachten muss, ist froh, dass seine Benutzerdaten nicht frei zugänglich sind, wenn der entsprechende Mac gestohlen wird oder schlicht irgendwo vergessen geht. Ähnlich wie bei der Datensicherung muss man für FileVault leider einen erheblichen Aufwand für einen Fall betreiben, der hoffentlich nie eintritt – tritt der schlimmste Fall aber ein, erweist sich FileVault als unersetzlich …

Der Dieb soll allerdings keine Freude an seinem Gerät haben. Mit den verschlüsselten Daten auf dem Rechner wird er nichts anfangen können […].

… wie beispielsweise auch Chaos Computer Club (CCC)-«Hacker» Tim Pritlove nach dem Diebstahl seines PowerBook als Glück im Unglück feststellen konnte.

26 Comments

  1. Erik
    2. Januar 2008

    Für mich als Mac-Novize sehr gut. Danke!

    Reply
  2. Martin (MacMacken)
    3. Januar 2008

    Für mich als Mac-Novize sehr gut. Danke!

    Gern geschehen. Ich hoffe, FileVault funktioniert bei Dir wie erwünscht! 🙂

    Reply
  3. Atrocity
    20. Februar 2008

    Das problem von FileVault utner Leopard ist das er immer die Standart Mail, Web Chat etc vergisst.
    Und er merkt sich nicht mehr mit welchem Programm er welche Datei öffnen soll. Alles wird auf die Standart Werte zurück gesetzt. Sehr ärgerlich… vorallem wenn man sich immer brav abmeldet :/

    Reply
  4. Martin (MacMacken)
    20. Februar 2008

    @Atrocity: Ja, leider kommen nicht alle Programme gleich gut mit FileVault klar … ein Grund mehr, wieso ich mich auf die kommende PGP-Version mit vollständiger Verschlüsselung freue! 😀

    Reply
  5. markus
    1. März 2008

    Alles nett und schön, habe gerade meinen neuen iMac bekommen, alles vom MacBookPro „rüberkopiert“ und beim ersten Neustart kann ich mich nicht mehr anmelden (FileVault Ordner muss repariert werden“) das versucht man dann, geht nicht, fragt erneut nach Kennwort (admin nicht möglich, sagt er…) und schon ist der Spass mit dem neuen iMac inkl. Leopard vorbei.. Hat jemand eine Lösung? Lade gerade Leopard neu, mal sehen, ob es dann funktioniert.
    Markus

    Reply
  6. Atrocity
    1. März 2008

    Also eventuell tut es nicht so ohne Probleme weil sich das FileVault Format von Tiger zu Leopard geändert hat… eventuell auf der alten Kiste das Userverzechniss entschlüsseln und dann umziehen

    Reply
  7. Anonymous
    1. März 2008

    Leopard sollte auch mit dem früheren Disk Image-Format klarkommen. FileVault ist aber schon problematisch genug. Man sollte es deshalb vor der Migration deaktivieren und nach der Migration wieder aktivieren.

    Reply
  8. markus
    1. März 2008

    Das ist leider zu spät… Rechner lässt sich starten, aber er akzeptiert kein Kennwort mehr… Iregnd eine Idee dafür? Danke. Markus

    Reply
  9. Martin (MacMacken)
    1. März 2008

    Das ist leider zu spät… Rechner lässt sich starten, aber er akzeptiert kein Kennwort mehr… Iregnd eine Idee dafür? Danke. Markus

    Du könntest Dein Backup, das Du vor der Migration sicherlich erstellt hast, einspielen?

    Alternativ solltest Du das FileVault-Disk Image per Festplattendienstprogramm und Booten ab der Mac OS X-DVD öffnen, usw. können.

    Reply
  10. WTsChNuLLa
    10. August 2008

    Meinst du mit PGP-Version, dass das nächste FileVault die komplette Festplatte verschlüsseln kann.

    Reply
  11. Martin (MacMacken)
    10. August 2008

    Nein, es gibt nun eine PGP-Version, welche auch auf dem Mac das System vollständig verschlüsseln kann, allerdings bislang nur für Unternehmenskunden:

    http://www.pgp.com/newsroom/mediareleases/wde_for_mac_osx.html

    Reply
  12. keineAhnung
    3. Juli 2009

    danke für die genauen Erklärungen, aber ich möchte meinen File Vault rausschmeissen, er kostet mich ständig beim abmelden so viel Zeit.WIE mach ich das?
    Danke schon jetzt für die Hilfe!! und Grüße, keine Ahnung.

    Reply
    • Martin (MacMacken)
      3. Juli 2009

      In den Sicherheitseinstellungen von Mac OS X kannst Du FileVault wieder deaktivieren.

  13. Holger
    7. November 2009

    Toller Beitrag! Vielleicht wäre noch ein Hinweis hilfreich, der Sicheres Löschen und/oder FileVault mit SSDs (Mac Book Air bspw.) in Verbindung bringt. Da verhält sich ja so manches anders.

    Reply
    • Martin (MacMacken)
      7. November 2009

      Dein Hinweis auf SSDs ist berechtigt – doch bestehen leider gerade im Bezug auf sicheres Löschen viele Fragezeichen.

      Zuverlässige Informationen in diesem Zusammenhang nehme ich gerne entgegen. Für mich lautet der aktuelle Stand im Wesentlichen, dass man bei SSDs nicht von sicherem Löschen ausgehen kann.

  14. Andreas
    28. Dezember 2009

    Hallo Freunde,

    sitzt gerade in Sao Paulo auf Dienstreise und habe ein Problem mit meinem (rpivaten) MacBook Pro, bei dem ich über Weinachten auch FileVault aktiviert habe:

    (1) Alle Schritte sind wie oben durchlaufen worden (FileVault aktiviert, Warten, warten, warten; Login über Benutzer, etc.) Während der Aktivierung was das System nicht zu benutzen, das sichere Löschen anschliessend im Hintergrund gelaufen, Fortschritt konnte ich über Einstellungen Sicherheit File Vault beobachten – die 100% Meldung kam gestern im Laufe des Tages. Benutzerverzeichnis ist etwa 40GB groß. das sichere Löschen hat somit gut 21h gedauert.

    So weit so gut!

    (2) Beim nächsten Neustart gestern Abend dann nur nochj Apple Logo auf grauen Screen, der kleine drehende Punkt und eine Statusleiste, die sich aber überhaupt nicht füllt.

    (3) Also: Warten warten warten – nach 1 1/2h ohne Veränderung, es ist also überhaupt kein blauer Balken in der Statusleiste aufgetreten und das MacBook wurde links hinten langsam richtig heiss – das Warten beendet.

    Was tun?

    Reply
    • André
      29. Dezember 2009

      Ich würde an Deiner Stelle nicht lange rummachen, sondern Dein MacBook mit Deinem Backup wiederherstellen (ab DVD booten).

  15. Andreas
    30. Dezember 2009

    Ja, nur ist die DVD zum Starten und das backup mit time capsule / time maschine erst in gut drei Wochen wieder verfügbar, wenn ich zurück bin. Und so lange möchte ich nicht warten.

    Hatte die Hoffnung, dass jemand aus eigener Erfahrung sagt: Gib der Kiste einfach nur 10 Stunden Zeit, und dann wird alles gut … 🙂

    Reply
  16. Rossi
    10. Januar 2011

    Wie ist es denn mit der Sicherheit bestellt, wenn ich FileVault verwende, aber darauf verzichte, mich vor jedem Zuklappen meines MBP abzumelden und mich nur auf die Einstellung „Kennwortabfrage beim Beenden des Ruhezustands oder des Bildschirmschoners“ verlasse?
    Bleibt das verschlüsselte Laufwerk im Ruhezustand gemountet? Wie sind die Chancen zu bewerten, in diesem Zustand an die geschützten Daten zu gelangen?

    Reply
    • Martin (MacMacken)
      10. Januar 2011

      Die Verschlüsselung mit FileVault schützt grundsätzlich nur, wenn sich der entsprechende Benutzer abgemeldet hat. Noch besser ist es, wenn man seinen Mac runterfährt.

    • Rossi
      10. Januar 2011

      Ja, ok. Aber wie sind die technischen Details?
      Beim Anmelden wird sicher nicht das komplette verschlüsselte Laufwerk entschlüsselt, so dass die Daten wieder ungeschützt auf der Platte liegen. Vielmehr werden die Daten wohl on-the-fly beim Zugriff entschlüsselt. Wieso also genau schützt FileVault nur nach Abmeldung? Was bleibt im Ruhezustand bestehen, was ein Unberechtigter verwenden könnte?

    • Murarrtexer
      11. April 2011

      Ja, diese Frage würde mich auch interessieren. Sind es um die Daten im Hauptspeicher, die ein Sicherheitsrisiko darstellen, weil sie unverschlüsselt sind?

  17. mutzsow
    9. Februar 2011

    Hallo,

    bei einer Freundin ist das Image von FileFault wegen eines Festplattenfehlers nicht mehr funktionabel. Sie kann sich nicht mehr einloggen, aber bei eingabe des richtigen Passworts kommt eine Meldung das der Nutzer nicht bekannt sei, bei Eingabe eines falschen Pass wackelt wie übelich der Bildschirm. Das Image scheint also nicht komplett „kaputt“ zu sein.

    Wie einfach kann man dieses Image möglicherweise wieder reparieren oder wie leicht/schwer ist es die Daten auf anderem wege zu entschlüsseln. (Den richtigen Schlüssel haben wir ja, es hapert leider am Schloss…Bruteforce etc. sind ja sinnlos in diesem Fall)

    Vielen Dank fürs lesen und schonmal vorab für Antworten

    PS: Ich hab mitm Mac bisher nur Safari gestartet und einmal DSL eingerichtet und hab keine Ahnung vom OSX (ging ja immer einfach alles^^) aber ich nutzte seit über zehn Jahren Unix, Linux, BSD

    Reply
  18. Tim
    23. Februar 2011

    Der Beitrag ist gut gemacht, nur helfen mir die Ansagen zu den gestörten Suchfunktionen irgendwie nicht weiter.
    Ich hab meinen Benutzerordner verschlüsselt und die Mailsuche klappt gar nicht mehr. (habe OSX 10.5.8.) Hab über 6000 archiverte mails und bin total auf die bisher super funktionierende Suche angewiesen, hab da es bisher nicht nötig war kein adressbuch angelegt usw. und alle über die Suche abgewicklet, nun bricht meine Kommunikation völlig zusammen.
    Hat jemand echte Tipps was ich tun kann? Löst sich das Problem wenn ich filevault deaktiviere?

    Reply
    • Martin (MacMacken)
      23. Februar 2011

      Hast Du schon versucht, den Spotlight-Index neu erstellen zu lassen?

    • Tim
      24. Februar 2011

      Ich hab das mit den Privatsphäeeinstellungen bei Spotlight versucht (siehe oben) aber ohne Ergebnis.
      Da ich mich mit dem Betriebssytem nicht tiefer auskenne trau ich mich auch nicht richtig, das neuindizieren via Terminalbefehlen zu probieren (http://www.arnebrodowski.de/blog/464-Leopard-Spotlight-hoert-nicht-auf-die-Festplatte-zu-indizieren.html), ein freund hat mir außerdem davon abgeraten, weil Risiko zu hoch das hinterher gar nichts mehr geht und Datenverlust droht…

      Gibt es andere Möglichkeiten den Index neu auszulösen?

Leave a Reply