Pri­va­te Do­ku­men­te wie Le­bens­läu­fe, Fo­tos, Zeug­nis­se, Rech­nun­gen und Arzt­be­schei­de soll­ten nie­mals im In­ter­net auf­be­wahrt wer­den. Denn so­wohl Cloud-Sto­rage-Pro­vi­der als auch Free­mail-An­bie­ter wer­ten die per­sön­li­chen Da­ten ih­rer Be­nut­zer aus, um maß­ge­schnei­der­te Wer­be­pro­fi­le er­stel­len zu kön­nen. Des Wei­te­ren ha­ben US-Be­hör­den di­rek­ten Zu­griff auf die Kun­den­ar­chi­ve von ame­ri­ka­ni­schen Web­dienst­leis­tern, wes­halb Ama­zon, AOL, Drop­box, Goog­le, Mi­cro­soft und Co. da­für sor­gen, dass die Ge­heim­dienst­da­ten­ban­ken der NA­TO-Part­ner ak­tu­ell blei­ben.

Der CLOUD Act ver­pflich­tet ame­ri­ka­ni­sche Un­ter­neh­men da­zu, auf aus­län­di­schen Ser­vern ge­spei­cher­te Kun­den­da­ten her­aus­zu­rü­cken, wenn US-Be­hör­den dies ver­lan­gen. Ganz oh­ne rich­ter­li­chen Be­schluss. Und oh­ne die Kun­den dar­über in­for­mie­ren zu müs­sen.

Ko­mes, An­to­nio: Die EU und Ame­ri­ka im Da­ten-Clinch. In: Chip Nr. 1 (2019). S. 34.

Hin­ge­gen die chi­ne­si­sche Volks­be­frei­ungs­ar­mee¹ ver­sucht et­was sub­ti­ler an west­li­che Be­nut­zer­da­ten zu kom­men, in­dem sie mo­di­fi­zier­te Main­board­chips in die Ser­ver­zen­tren der Cloud-An­bie­ter ein­schleust.

Laut ei­nem Bloom­berg-Be­richt sind im Da­ta-Cen­ter-Equip­ment von Ama­zon und Ap­ple chi­ne­si­sche Spio­na­ge-Chips ver­baut.

Kauf­mann, Be­ne­dikt: Spio­na­ge-Chips bei Ap­ple und Ama­zon! Rie­sen­skan­dal oder En­te? deraktionaer.de (01/2019).

Es scheint so, als sei­en per­sön­li­che Da­ten hei­ße Wa­re und das Öl der Post­mo­der­ne. Aus die­sem Grund ist es sinn­voll, sen­si­ble Da­tei­en aus­schließ­lich auf lo­ka­len Par­ti­tio­nen zu spei­chern. Doch auch die­se Maß­nah­me schützt nicht vor Miss­brauch. Schließ­lich kön­nen selbst Li­nux-Rech­ner mit ei­nem Er­pres­sungs­tro­ja­ner oder mit ei­nem UE­FI-Root­kit in­fi­ziert wer­den.

UE­FI-Root­kits sei­en ex­trem ge­fähr­li­che und mäch­ti­ge Werk­zeu­ge für Cy­ber­an­grif­fe. Sie ga­ran­tie­ren den Zu­griff auf den ge­sam­ten Com­pu­ter und kön­nen mit Zu­satz-Mal­wa­re bei­spiels­wei­se auch den Da­ten­ver­kehr mit­schnei­den oder um­len­ken.

Ri­chey, Da­ni­el: Ers­tes er­folg­rei­ches UE­FI-Root­kit. it-administrator.de (01/2019).

In ei­nem sol­chen Worst-Ca­se-Sze­na­rio sind al­le pri­va­ten Do­ku­men­te ein­ge­fro­ren, ge­löscht oder auf dem Com­pu­ter des An­grei­fers.

Wer Da­ten­ent­füh­run­gen ef­fi­zi­ent ver­hin­dern möch­te, der soll­te sei­nen di­gi­ta­len Be­sitz auf ei­ner Par­ti­ti­on ab­le­gen, die mit Ve­raCrypt ver­schlüs­selt wur­de. Die­se Li­nux-Ap­pli­ka­ti­on sorgt näm­lich da­für, dass ab­ge­si­cher­te Spei­cher­be­rei­che für Ha­cker und Schad­soft­ware we­der sicht­bar noch zu­gäng­lich sind.

Für die Fest­plat­ten­ver­schlüs­se­lung stellt Ve­raCrypt gän­gi­ge Al­go­rith­men wie AES, Ca­mel­lia oder Ser­pent zur Ver­fü­gung, die auch mit­ein­an­der kom­bi­niert wer­den kön­nen. Des Wei­te­ren ist es mit der Open-Source-Soft­ware mög­lich, ei­nen Da­ten­trä­ger mit ei­nem Pass­wort und mit ei­nem so­ge­nann­ten Key­fi­le ab­zu­schlie­ßen.

Auch das Fest­le­gen meh­re­rer Key­files ist mög­lich. Der Typ der Da­tei spielt da­bei kei­ne Rol­le - Bild- und Ton­do­ku­men­te eig­nen sich ge­nau­so wie Text­files oder Bi­na­ries.

Leich­ten­s­tern, Tho­mas: Pan­zer­schrank. Da­tei­en und Par­ti­tio­nen ver­schlüs­seln mit Ve­raCrypt. In: Li­nux­User Nr. 8 (2018). S. 42.

Die ers­te Ve­raCrypt-Ver­si­on er­schien am 22. Ju­ni 2013². Seit­dem wird das Ver­schlüs­se­lungs­pro­gramm in Pa­ris von ei­nem Kryp­to­lo­gen³ na­mens Mounir Id­ras­si wei­ter­ent­wi­ckelt. Die Si­cher­heits­soft­ware ist vor al­lem des­halb sehr be­liebt, da der fran­zö­si­sche Ap­pli­ka­ti­ons­ur­he­ber bei je­der Ge­le­gen­heit be­teu­ert, dass in sei­nem Pro­dukt kein ge­hei­mes Hin­ter­tür­chen ver­steckt ist.

[...] the fact that it is open, the­re is no back­door [...].

Id­ras­si, Mounir: FLOSS Weekly 340: Ve­raCrypt. youtube.com (01/2019).

Das be­stä­tig­te auch das For­schungs­in­sti­tut Quark­s­lab, das Ve­raCrypt im Jah­re 2016 un­ter die Lu­pe ge­nom­men hat. Bei dem In­ten­siv­check ka­men zwar ei­ni­ge an­de­re Si­cher­heits­män­gel ans Licht, die mit Ver­si­on 1.19 je­doch al­le be­ho­ben wur­den.

Im Jahr 2016 un­ter­zog das Un­ter­neh­men Quark­s­lab in Zu­sam­men­ar­beit mit der In­itia­ti­ve Ostif die Soft­ware ei­nem um­fang­rei­chen Se­cu­ri­ty-Au­dit. Er för­der­te di­ver­se Si­cher­heits­lö­cher zu­ta­ge, die das Pro­jekt um­ge­hend be­hob.

Leich­ten­s­tern, Tho­mas: Ver­rie­gelt. Da­tei­en und Par­ti­tio­nen ver­schlüs­seln mit Ve­raCrypt. In: Ubun­tu Spe­zi­al Nr. 1 (2019). S. 86.

Lei­der ist die Be­die­nung der Ver­schlüs­se­lungs­soft­ware et­was um­ständ­lich, wes­halb ein Ve­raCrypt-Vo­lu­men eher ein Spei­cher­ort für sta­ti­sche Da­ten ist, die nicht per­ma­nent prä­sent sein müs­sen.

• Falls Sie al­so Be­weis­ma­te­ri­al, ein gro­ßes Fo­to­ar­chiv oder Be­wer­bungs­map­pen ver­ste­cken und ab­si­chern möch­ten, dann kann ich Ih­nen Ve­raCrypt wärms­tens emp­feh­len.

In der fol­gen­den An­lei­tung er­fah­ren Sie zu­nächst, wie das kos­ten­lo­se Pro­gramm un­ter Ubun­tu in­stal­liert wird. Im An­schluss dar­an füh­re ich Sie durch die Ver­schlüs­se­lungs­pro­ze­dur. Da­bei se­hen Sie gleich, was heut­zu­ta­ge al­les nö­tig ist, um sein di­gi­ta­les Ei­gen­tum lang­fris­tig zu schüt­zen.

VeraCrypt via PPA installieren

Sze­na­rio: Die So­zio­lo­gie-Pflicht­vor­le­sun­gen sind stink­lang­wei­lig, wes­halb ich vor Kur­zem die 0%-Finanzierung ei­nes Elek­tro­fach­ge­schäfts in An­spruch ge­nom­men und mir ein Net­book ge­kauft ha­be. Mit dem un­schein­ba­ren Ge­rät kann ich mei­nen vir­tu­el­len Farm­Ville-Bau­ern­hof pfle­gen, wäh­rend­des­sen die Pro­fes­so­ren ih­re Power­Point-Fo­li­en her­un­ter­be­ten. Doch lei­der klau­en mei­ne Kom­mi­li­to­nen an der Frei­en Uni­ver­si­tät Ber­lin wie die Ra­ben, wes­we­gen ich da­von aus­ge­he, dass mein Klapp­rech­ner nicht lan­ge in mei­nem Be­sitz blei­ben wird. Soll­te mir mein mo­bi­ler Com­pu­ter tat­säch­lich ab­han­den­kom­men, dann will ich zu­min­dest ver­hin­dern, dass mei­ne Se­mi­nar­ar­bei­ten, Welt­erobe­rungs­plä­ne und Mu­sik-Da­tei­en frei zu­gäng­lich sind. Aus die­sem Grund er­stell­te ich be­reits bei der Ubun­tu-In­stal­la­ti­on ei­ne klei­ne Par­ti­ti­on, die ich nun mit Ve­raCrypt ver­schlüs­seln möch­te.

Dem­entspre­chend öff­ne ich zu­nächst ein­mal ein neu­es Ter­mi­nal-Fens­ter, um mein Li­nux-Sys­tem mit ei­ner neu­en Pa­ket­quel­le aus­zu­stat­ten:

sudo add-apt-repository ppa:unit193/encryption

Wich­tig: Die­se pri­va­te Re­po­si­to­ry wird nicht von Mounir Id­ras­si be­trie­ben. Der PPA-Be­sit­zer ist ei­ne ame­ri­ka­ni­sche Grup­pe, die sich Unit193 nennt. Da­bei han­delt es sich um ein Team, das an der Xu­b­un­tu-Ent­wick­lung be­tei­ligt ist. Ne­ben­bei sor­gen die frei­wil­li­gen IT-Hel­fer seit Jah­ren da­für, dass sich Ve­raCrypt kom­for­ta­bel über die Kon­so­le in­stal­lie­ren und ak­tua­li­sie­ren lässt.

Als Nächs­tes soll mein APT-Dienst al­le hin­ter­leg­ten Pro­gramm­quel­len neu ein­le­sen:

sudo apt-get update

Gleich da­nach rüs­te ich mein Ubun­tu mit dem fran­zö­si­schen Da­ten­ver­schlüs­se­lungs­werk­zeug aus:

sudo apt-get install veracrypt

Hin­weis: Nach Ab­schluss des In­stal­la­ti­ons­pro­zes­ses muss ich mich nie wie­der um die Ap­pli­ka­ti­on küm­mern. Zu­künf­ti­ge Soft­ware­ver­bes­se­run­gen kann ich be­quem zu­sam­men mit den an­de­ren Sys­tem­up­dates über die Ak­tua­li­sie­rungs­ver­wal­tung ein­spie­len.

Eine ganze Partition abriegeln

Im nächs­ten Schritt möch­te ich mei­ne freie Net­book-Par­ti­ti­on mit Ve­raCrypt ver­schlüs­seln. Dem­entspre­chend öff­ne ich die Free­ware über die Ubun­tu Ak­ti­vi­tä­ten-Such­leis­te und kli­cke gleich da­nach auf die Schalt­flä­che „Crea­te Vo­lu­me”.

Dar­auf­hin er­scheint ein neu­es Fens­ter, in die­sem ich fest­le­gen muss, ob ich ei­nen de­fi­nier­ten Be­reich oder ei­ne gan­ze Par­ti­ti­on ver­schlüs­seln möch­te. Hier wäh­le ich den zwei­ten Punkt aus und be­stä­ti­ge mei­ne Ein­ga­be mit „Next”.

Im An­schluss dar­an mar­kie­re ich den Ein­trag „Stan­dard Ve­raCrypt vo­lu­me”. Die Ver­steck­funk­ti­on ist für mich eher un­in­ter­es­sant, da sie vor al­lem für Be­nut­zer aus Groß­bri­tan­ni­en hin­zu­ge­fügt wur­de. Im Ver­ei­nig­ten Kö­nig­reich kön­nen Ge­rich­te ei­nen Be­schul­dig­ten näm­lich da­zu zwin­gen, sein Pass­wort her­aus­zu­ge­ben.

In Groß­bri­tan­ni­en ist ein Stu­dent zu ei­ner sechs­mo­na­ti­gen Haft­stra­fe ver­ur­teilt wor­den. [...] In Eng­land ist es seit meh­re­ren Jah­ren mög­lich, Be­schul­dig­te zur Her­aus­ga­be von Pass­wör­tern zu zwin­gen.

Vet­ter, Udo: Kein Pass­wort = Ge­fäng­nis. lawblog.de (01/2019).

In ei­nem sol­chen Fall hilft ein „Hid­den Ve­raCrypt vo­lu­me” un­ge­mein, da ei­ne der­ar­ti­ge Par­ti­ti­on in ei­nem ab­ge­schlos­se­nen Ali­bicon­tai­ner ver­steckt ist. Durch die­ses smar­te Sys­tem hat ein Jus­tiz­op­fer die Mög­lich­keit, ei­nen ver­schlüs­sel­ten Fest­plat­ten­in­halt be­reit­wil­lig of­fen­zu­le­gen, oh­ne da­bei sei­ne ge­hei­men Da­ten preis­zu­ge­ben.

Da­zu wer­den zwei Con­tai­ner er­stellt, wo­bei der zwei­te in­ner­halb des ers­ten liegt. Bei­de Con­tai­ner ver­wen­den un­ter­schied­li­che Pass­phra­sen.

Gie­row, Hau­ke: Ve­raCrypt und True­Crypt: Hid­den-Vo­lu­mes sind nicht ver­steckt. golem.de (01/2019).

Als BRD-Bür­ger aus dem Frei­staat Bay­ern ha­be ich je­doch stets das Recht zu schwei­gen, wes­halb ich mir die­sen Trick spa­ren kann. Des Wei­te­ren sind auch Stan­dard-Vo­lu­men schwer zu fin­den, da der Ubun­tu-Da­tei­ma­na­ger die­se Da­ten­trä­ger im aus­ge­häng­ten Zu­stand nicht an­zeigt.

Als Nächs­tes kli­cke ich im Me­nü­fens­ter „Vo­lu­me Lo­ca­ti­on” auf die Schalt­flä­che „Sel­ect De­vice”, so­dass ich dar­auf­hin die Par­ti­ti­on her­aus­su­chen kann, die ich mit Ve­raCrypt ver­schlüs­seln möch­te.

Gleich da­nach muss ich fest­le­gen, wie ge­nau der aus­ge­wähl­te Spei­cher­raum ab­ge­si­chert wer­den soll. Auf­grund der Tat­sa­che, dass es vor al­lem west­li­che In­sti­tu­tio­nen auf mei­ne Da­ten ab­ge­se­hen ha­ben, ent­schei­de ich mich für den rus­si­schen Kuz­nye­chik-Ver­schlüs­se­lungs­al­go­rith­mus.

Hin­ge­gen den so­ge­nann­ten Hea­der der Ve­raCrypt-Par­ti­ti­on, in dem sich un­ter an­de­rem mei­ne Pass­wort­phra­se be­fin­det, co­die­re ich mit der kryp­to­lo­gi­schen Hash­funk­ti­on SHA-512.

Im nächs­ten Me­nü muss ich zwei­mal das Pass­wort ein­ge­ben, mit dem sich mei­ne Ve­raCrypt-Par­ti­ti­on wie­der ent­schlüs­seln lässt. Au­ßer­dem könn­te ich zu­sätz­lich ein Key­fi­le er­stel­len. Auf die­se er­wei­ter­te Si­cher­heits­funk­ti­on ver­zich­te ich je­doch. Denn soll­te ich die Schlüs­sel­da­tei ver­lie­ren, dann kann ich nie wie­der auf das ab­ge­rie­gel­te Lauf­werk zu­grei­fen.

Als je­mand der aus­schließ­lich mit Li­nux-Dis­tri­bu­tio­nen ar­bei­tet, wäh­le ich im dar­auf­fol­gen­den Fens­ter das Da­tei­sys­tem Ext4 aus. Wür­de ich ein Mul­ti-Boot-Sys­tem be­trei­ben, dann müss­te ich mich für NTFS ent­schei­den, da ich sonst nicht mit Win­dows oder ma­cOS auf die ver­schlüs­sel­te Par­ti­ti­on zu­grei­fen könn­te.

Um die Pro­ze­dur ab­zu­schlie­ßen, be­we­ge ich mei­ne Maus im letz­ten Ein­stel­lungs­me­nü so lan­ge, bis der ers­te Bal­ken kom­plett blau ge­färbt ist.

Wenn du al­les nach dei­nen Wün­schen ein­ge­stellt hast, wirst du zu­letzt noch auf­ge­for­dert, dei­ne Maus für kur­ze Zeit mög­lichst zu­fäl­lig zu be­we­gen. Die­se Be­we­gun­gen nutzt das Pro­gramm zur Ge­ne­rie­rung von Zu­falls­zah­len, die es für ei­ne si­che­re Ver­schlüs­se­lung be­nö­tigt.

Leh­mann, Alex­an­der: Da­ten Ver­schlüs­seln ein­fach er­klärt. youtube.com (01/2019).

Nach der Zah­len­ge­ne­rie­rung kli­cke ich auf die Schalt­flä­che „For­mat” und war­te, bis mein Ve­raCrypt-Da­ten­trä­ger er­stellt wur­de.

Hin­weis: Die Ver­schlüs­se­lung ei­ner vier Te­ra­byte gro­ßen Par­ti­ti­on nimmt cir­ca sechs Stun­den in An­spruch.

Mit VeraCrypt-Partitionen arbeiten

Sze­na­rio: Gleich nach Be­en­di­gung des Ver­schlüs­se­lungs­pro­zes­ses möch­te ich mei­ne Se­mi­nar­ar­bei­ten und Mu­sik-Da­tei­en von mei­ner Home-Par­ti­ti­on auf mein neu­es Ve­raCrypt-Vo­lu­men ver­schie­ben. Be­vor die­se Ak­ti­on mög­lich ist, muss ich den ab­ge­rie­gel­ten Da­ten­trä­ger aber erst ein­mal ein­hän­gen. Al­so öff­ne ich die fran­zö­si­sche Si­cher­heits­soft­ware über die Ubun­tu Ak­ti­vi­tä­ten-Such­leis­te. Da­nach mar­kie­re ich das drit­te Fest­plat­ten­sym­bol, das sich im Rei­ter „Slot” be­fin­det.

Als Nächs­tes kli­cke ich auf die Schalt­flä­che „Sel­ect De­vice”. Di­rekt im An­schluss er­scheint ein neu­es Fens­ter, in dem mir al­le vor­han­de­nen Sys­tem­par­ti­tio­nen an­ge­zeigt wer­den. Hier su­che ich mein Ve­raCrypt-Vo­lu­men her­aus und wäh­le dann im Haupt­me­nü den Ein­trag „Mount” an, so­dass ich dar­auf­hin mein Ent­schlüs­se­lungs­pass­wort ein­ge­ben kann.

So­fort nach­dem ich die Par­ti­ti­on ge­öff­net ha­be, taucht in mei­nem Ubun­tu-Da­tei­ma­na­ger ein neu­es Ge­rät auf, das den Na­men „vo­lu­me” trägt. Da­bei han­delt es sich um mei­nen ver­schlüs­sel­ten Da­ten­trä­ger, der nun da­zu be­reit ist, mei­ne pri­va­ten Do­ku­men­te auf­zu­neh­men.

Die Vorteile von VeraCrypt im Überblick

Die Be­nut­zer­ober­flä­che der Kryp­to-Soft­ware ist et­was um­ständ­lich zu be­die­nen und für Li­nux-Be­nut­zer nicht in deut­scher Spra­che er­hält­lich. Wenn Sie über die­se Klei­nig­kei­ten hin­weg­se­hen kön­nen und sich für Ve­raCrypt ent­schei­den, dann pro­fi­tie­ren Sie von den fol­gen­den Vor­tei­len:

• Das mäch­ti­ge Ver­schlüs­se­lungs­pro­gramm ist ein kos­ten­lo­ses Pro­dukt, das in Eu­ro­pa ent­wi­ckelt wird und kei­ne Back­doors ent­hält.
• Die breit ge­fä­cher­te Al­go­rith­men­samm­lung macht es mög­lich, ein Spei­cher­vo­lu­men nach ei­ge­nen Prä­fe­ren­zen ab­zu­rie­geln. Au­ßer­dem las­sen sich mit der Ver­steck- und Key­fi­le-Funk­ti­on neu­gie­ri­ge Exe­ku­tiv­or­ga­ne ef­fek­tiv aus­trick­sen.
• Ei­ne re­nom­mier­te PPA hält die Ap­pli­ka­ti­on stets ak­tu­ell und sorgt da­für, dass die Ve­raCrypt-In­stal­la­ti­on un­ter Ubun­tu ein Kin­der­spiel ist.

In fins­te­ren Zei­ten wie die­sen gibt es kei­nen ver­nünf­ti­gen Grund, sei­ne per­sön­li­chen Da­ten of­fen auf ei­ner lo­ka­len Par­ti­ti­on lie­gen zu las­sen. Nut­zen Sie al­so mei­ne An­lei­tung als Mus­ter, in­ves­tie­ren Sie ei­ni­ge Stun­den und brin­gen Sie Ih­re sen­si­blen Do­ku­men­te hin­ter Schloss und Rie­gel. Neh­men Sie ger­ne al­le Si­cher­heits­me­cha­nis­men in An­spruch, die Ve­raCrypt Ih­nen bie­tet. Und soll­te Sie des­we­gen ein Ho­mo smart­phonen­sis als Alu­hut­trä­ger oder Ver­schwö­rungs­theo­re­ti­ker be­ti­teln, dann füh­len Sie sich ge­schmei­chelt.

Ver­wand­te The­men:

Die si­chers­te Fire­fox-Ver­si­on in­stal­lie­ren - so geht’s
LAN-Ver­bin­dung schüt­zen - SMBv2-Pro­to­koll ver­wen­den

¹Wind­eck, Chris­tof: Bit-Rau­schen. PC-Re­vo­lu­tio­nen, Kurs­schwan­kun­gen und Spio­na­ge-Chips. In: c’t Nr. 22 (2018). S. 18.
²IDRIX: Why not Ve­raCrypt. forum.truecrypt.ch (01/2019).
³Schirr­ma­cher, Den­nis: c’t uplink 12.5 - Ho­lo­Lens, 360-Grad-Ka­me­ras, VR-In­hal­te selbst ge­macht, Ve­raCrypt. youtube.com (01/2019).