W530 Datenträger verschlüsseln -> allgemein und W530 SSD konkret

[C E]

Hallo zusammen,

für mich ist das Thema neu, und ich versuche gerade aus den im Netz und in Foren gefundenen Infos zu einer konkret umsetzbaren Lösung zu kommen. Vielleicht könnt Ihr mir ja etwas weiterhelfen?

-> Aufgabenstellung:
Ich möchte all meine Datenträger verschlüsseln. Primär geht es mir darum, dass ggf. die Daten auf gestohlenen PCs, Tablets und externen Platten nicht für andere lesbar sind, da ich sehr viel auch unterwegs, bei Kunden und auf Baustellen arbeite . .
Um den BND, NSA und die Chinesen mache ich mir weniger sorgen. Ob / wie hier eine Verschlüsselung noch was hilft, wenn jemand durch die Firewall eines laufenden Systems kommt, habe ich eh noch nicht so ganz verstanden.

Dabei geht es konkret um

A) mein Lenovo W530 mit einer Intel-Pro-1500 SSD ( und in Zukunft evtl. einer weiteren Platte im Ultrabay )
B) Win 8 Tablets
C) externe Festplatten


Zuerst zum wichtigstens, A), dem W530:
Es läuft Win 7 Pro, Bitlocker scheint es bei Win 7 erst ab Ultimate zu geben?

Ich suche eine Lösung, die
- keine zusätzliche Passworteingabe außer dem Windows-Anmeldepasswort, bzw. dem Fingerprint, erfordert
- möglichst zu keinen Leistungseinbußen führt

Wenn ich das richtig verstanden habe, hat die Intel SSD selbst ein System zur Verschlüsselung eingebaut.
- kann man das nutzen?
- lässt sich das ohne Verlust der bestehenden Daten einrichten?
- wie funktioniert das genau? Die BIOS-Einstellungen hierzu sind nicht so wirklich selbserklärend, und ich habe das Gefühl, das dann nicht wirklich nachvollziehen zu können, ob ich alles richtig gemacht habe.
- ginge das ggf. auch für eine weitere SSD die im Ultrabay verbaut ist, oder lässt sich das nur für die interne Platte nutzen
- ist es möglich, dann mit nur 1x Finger über den Scanner ziehen, die Platte freizugeben und mich bei Windows anzumelden?

- Oder wäre eine andere Lösung empfehelnswert?


B) Win 8 Tablets
Was ist hier der richtige Weg, zum einen für den eingebauten Speicher, zum anderen für Erweiterungen im SD-Slot? TrueCrypt?


C) externe Festplatten
ich habe eine WD-Platte mit eingebauter Verschlüsselung und eine Toshiba, die das scheinbar nicht kann.
Ist bei der Verwendung von TrueCrypt auf einer USB-Platte, auf der nicht nur ausgelagert wird, sondern auf der quasi auch gearbeitet wird, mit Leistungseinbußen zu rechnen?



Soweit, ich hoffe das war nicht zu viel auf einmal :facepalm:

 

[der_ingo]

Für die Windows 8.x Systeme ist Bitlocker die sinnvollste Variante. TrueCrypt ist nicht mit Windows 8 kompatibel, wenn man komplett verschlüsseln will und erwartet auch ein Boot-Kennwort, was bei einem Tablet eher unsinnig ist. TPM ist dann für Bitlocker allerdings Voraussetzung (ja, geht auch ohne, ist dann halt doof).

Bitlocker verschlüsselt auch externe Festplatten oder Wechseldatenträger - und zwar so, dass man auch an anderen Windows Systemen dran kommt, die kein Bitlocker von Haus aus kennen.

Windows 7 kann bei SSDs die mitgebrachten Funktionen zur Verschlüsselung nicht nutzen. Auch mit Ultimate würde Bitlocker seine eigenen Routinen nutzen. Mit Windows 8.1 soll das klappen, ich habs aber mangels passender SSD nie probiert. Damit läuft es dann so, dass Bitlocker aktiviert wird wie sonst auch, aber halt keine eigene Verschlüsselungsfunktion nutzt, sondern die der SSD. Die Verwaltung läuft dann über Bitlocker.

 

[Lokheizer]

Windows 7 kann bei SSDs die mitgebrachten Funktionen zur Verschlüsselung nicht nutzen. Auch mit Ultimate würde Bitlocker seine eigenen Routinen nutzen. Mit Windows 8.1 soll das klappen, ich habs aber mangels passender SSD nie probiert. Damit läuft es dann so, dass Bitlocker aktiviert wird wie sonst auch, aber halt keine eigene Verschlüsselungsfunktion nutzt, sondern die der SSD. Die Verwaltung läuft dann über Bitlocker.

Ich hab das eigentlich immer so verstanden, dass die SSD den Inhalt auf den Flashzellen von sich aus bereits verschlüsselt, so dass ein Auslesen des Inhaltes ohne Controller - also direkt über die Flash-Speicherbänke - verhindert wird.

 

[cuco]

Windows 7 kann bei SSDs die mitgebrachten Funktionen zur Verschlüsselung nicht nutzen. Auch mit Ultimate würde Bitlocker seine eigenen Routinen nutzen. Mit Windows 8.1 soll das klappen, ich habs aber mangels passender SSD nie probiert. Damit läuft es dann so, dass Bitlocker aktiviert wird wie sonst auch, aber halt keine eigene Verschlüsselungsfunktion nutzt, sondern die der SSD. Die Verwaltung läuft dann über Bitlocker.

Das soll nicht nur klappen, das klappt tatsächlich. Habe ich hier auf meinem PC im Einsatz und auch schon auf ein paar Laptops so eingerichtet.

Ich hab das eigentlich immer so verstanden, dass die SSD den Inhalt auf den Flashzellen von sich aus bereits verschlüsselt, so dass ein Auslesen des Inhaltes ohne Controller - also direkt über die Flash-Speicherbänke - verhindert wird.

Kommt auf die SSD an. Das machen lange nicht alle SSDs, eher nur ein paar wenige/einzelne. Sollte man also vorher drauf achten.
Und selbst, wenn die SSD das macht, kann sie das noch lange nicht in der Kombination mit Bitlocker aka eDrive.

 

[carixus]

Man kann unter Windows 7 die Hardwareverschlüsselung der SSD unter Umständen mit der Software Embassy Security Center [1] gangbar machen; out of the box kann das jedenfalls keine Windows 7 Variante. Leider muss man dafür aber ein paar EUR investieren, denn das Tool gibt es nicht umsonst. Ansonsten gilt das, was der_ingo bereits geschrieben hat.

[1] https://www.wave.com/products/embassy-security-center

 

[Derriell]

zu A)
Bei SSDs funktioniert das mit allen Systemen, wenn man eine SSD hat die full disk encryption hat und man im BIOS / UEFI ein HDD-Passwort (bzw. SSD-) setzen kann.
Das funktioniert bei meinem T61 und einer Plextor M5P wunderbar. Habe Linux und Win 7 im Dualboot. Man hat dadurch auch null Performance-Verlust.

Modelle aus dem Kopf (gibt sicher noch viel mehr), die FDE auch unterstützen: Samsung: 840 Pro, 840 Evo, 850 Pro, 850 Evo, Crucial: M550, Plextor: M5P, Intel ... etc.

 

[GreenStorm]

Für die Windows 8.x Systeme ist Bitlocker die sinnvollste Variante. TrueCrypt ist nicht mit Windows 8 kompatibel, wenn man komplett verschlüsseln will und erwartet auch ein Boot-Kennwort, was bei einem Tablet eher unsinnig ist. TPM ist dann für Bitlocker allerdings Voraussetzung (ja, geht auch ohne, ist dann halt doof).

Also Bitlocker halte ich strukturell für bekloppt. Kommt halt drauf an vor wem man verschlüsseln will. Wenns der Nachbar oder der Sohn ist, wirds Bitlocker wohl tun. Wenn man sich halt um Datensicherheit Gedanken macht und überlegt, wie man seine Firmengeheimnisse und Privatphotos sicher durch internationale Flughäfen kriegt oder seinen Firmenlaptop in China im Hotelzimmer liegenlassen möchte, gibt es außer TrueCrypt bisher nicht viel, was funktioniert. Proprietäre Systeme von amerikanischen Softwareunternehmen gehören jedenfalls nicht dazu.

Und das funktioniert auch unter Windows 8 mit dem verschlüsseln der vollen Systempartition (eben mit Passworteingabe beim Boot, ansonsten bringts ja nicht wirklich was. Geht natürlich auch ohne - aber dann hat man eben Schutz davor, dass jemand den Datenträger ausbaut und woanders auslesen will. Und das ist ja auch eher unrealistisch.)

Und das mit den mountbaren Containern geht ja auch immer, ist eben nicht so irre ergonomisch.

Truecrypt läuft übrigens sogar unter Win10...

 

[der_ingo]

Der Threadersteller schrieb, dass BND, NSA und die Chinesen nicht sein Problem sind. Das dürfte für die überwältigende Masse der sonstigen User hier ebenso gelten.

Warum genau ist ein Boot-Passwort notwendig, damit "es was bringt"?

Mein Vertrauen in anonyme TrueCrypt Entwickler, die das Ding ganz plötzlich aufgegeben haben, ist eher geringer als das Vertrauen in Microsoft. Wer Microsoft nicht vertraut, sollte nicht auf der einen Seite Bitlocker als unsicher ansehen, auf der anderen Seite aber Windows nutzen. Oder kompilierst du dir dein TrueCrypt selber?

 

[JoGi65]

Die einfachste Möglichkeit ist das ata Passwort in kombi mit einem Bios PW. Vor dem Start ein PW eingeben - erledigt - Kein Win PW - Betriebsystem unabhängig.
Wird nicht von jedem Bios unterstützt, Thinkpads schon. Sicherheitlevel reicht für einfachen Diebstahl sicher aus.

Die letzten Jahre verwende ich Bitlocker. Bei Win 7 mit Ultimate, Win 8 mit Pro.
Das ganze ist unabhängig vom TPM Modul.
Auch hier bevorzuge ich die Preboot PW Eingabe ohne Win PW, was aber für gewisse Fälle nachteilig sein kann.
Alle Sticks und externen Platten und SSDs lassen sich so verschlüsseln.
Bei den Tablets ist ev. eine Preboot Verschlüsselung nicht immer möglich, wegen fehlender VKB Unterstützung. Bei den besseren geht aber meistens ein Boot PW.
Wenn nicht, reicht auch hier normale Bitlocker Verschlüsselung, die dann halt mit einem Win PW gekoppelt ist.
Auch die SD Karten sind verschlüsselt, mit automatischer Entsperrung.
Scheinbar ist mit TPM 2.0 kein Win pro mehr erforderlich.