Windows EFS: Schlüssel vor Rechnerwechsel sichern

Windows kann einzelne Dateien mit EFS schützen. Das ist nicht dasselbe wie die BitLocker-Verschlüsselung eines gesamten Laufwerks. Prüfen Sie bei einer betroffenen Datei ihre erweiterten Eigenschaften und die tatsächlich verwendete Verschlüsselung. Ein Kopieren der verschlüsselten Datei auf einen anderen Rechner garantiert noch keinen späteren Zugriff. Entscheidend ist der zugehörige private Schlüssel. Löschen Sie das alte Windows-Profil oder den bisherigen Rechner deshalb nicht, solange die Entschlüsselung auf einem getrennten sicheren System nicht nachweislich funktioniert.

Verwenden Sie den vorgesehenen Zertifikatexport beziehungsweise die Windows-Funktion zum Sichern des EFS-Schlüssels im berechtigten Benutzerkonto. Prüfen Sie, dass das zu den Dateien gehörende Zertifikat und der private Schlüssel exportiert werden. Eine reine CER-Datei ohne privaten Schlüssel reicht für die spätere Entschlüsselung nicht. Schützen Sie einen geeigneten PFX-Export mit einem starken eigenen Kennwort. Wählen Sie beim Export keine Option, die den privaten Schlüssel anschließend vom bisherigen Rechner entfernt; der funktionierende Zugang soll zunächst erhalten bleiben.

Speichern Sie die Schlüsselsicherung nicht ausschließlich auf demselben Datenträger wie die einzige Kopie der verschlüsselten Dateien. Dokumentieren Sie, zu welchem Benutzer und Datenbestand sie gehört, ohne das Exportkennwort offen daneben zu notieren. In einer Organisation kann zusätzlich ein eingerichteter Wiederherstellungsagent relevant sein; das muss die zuständige IT prüfen. Ein nachträglich erzeugtes beliebiges Zertifikat ersetzt den ursprünglichen Schlüssel nicht. Führen Sie keine unkontrollierten Profil- oder Kennwortresets durch, solange die Schlüsselabhängigkeit des Datenbestands ungeklärt ist.

Prüfen Sie mit einer geschützten Kopie repräsentativer Dateien und dem gesicherten Schlüssel den vorgesehenen Zugriff auf dem Zielsystem. Ein erfolgreicher Dateitransfer allein genügt nicht; die Inhalte müssen tatsächlich lesbar sein. Testen Sie mehrere Dateien, wenn über längere Zeit verschiedene Zertifikate verwendet worden sein könnten. Bewahren Sie den alten funktionsfähigen Zugang bis zur abgeschlossenen Prüfung. Wenn der benötigte private Schlüssel bereits fehlt, kann eine vorhandene Sicherung oder ein eingerichteter Wiederherstellungsagent helfen, eine allgemeine Entschlüsselungsgarantie gibt es jedoch nicht.