u.trust LAN Crypt für Windows · 14.0.0 · Deutsch

Verschlüsselung

PDF herunterladen HerstellerquelleImportierter Dokumentationsstand – bitte Produktversion beachten.

Kapitel: Verschlüsselung

Transparente Verschlüsselung

Transparente Verschlüsselung bedeutet für den Benutzer, dass alle verschlüsselt gespeicherten Daten (in verschlüsselten Ordnern oder Laufwerken) automatisch im Hauptspeicher entschlüsselt werden, sobald sie von einer Anwendung (wie z. B. von Office) geöffnet werden. Beim Speichern der Datei wird sie automatisch wieder verschlüsselt. Von der transparenten Verschlüsselung werden alle Dateivorgänge erfasst. Da alle Prozesse im Hintergrund laufen, bemerken Benutzer nichts davon, wenn sie mit verschlüsselten Dateien arbeiten.

Hinweis

u.trust LAN Crypt kann keine Dateien verschlüsseln, für die unter dem NTFS-Dateisystem von Windows die NTFS-Komprimierung oder EFS-Verschlüsselung verwendet wird. Der Assistent zur Initialverschlüsselung bietet allerdings die Möglichkeit, wenn für NTFS-komprimierte und/oder EFS-verschlüsselte Dateien eine Verschlüsselungsregel besteht, diese im Rahmen der Initialverschlüsselung zu dekomprimieren bzw. zu entschlüsseln. Die Dateien werden anschließend von u.trust LAN Crypt entsprechend den Verschlüsselungsregeln verschlüsselt. Ob der Benutzer die Möglichkeit hat, NTFS-komprimierte Dateien zu dekomprimieren oder EFS-verschlüsselte Dateien, wenn erforderlich, zu entschlüsseln, muss der Security Officer vorher festlegen.

Die Verschlüsselung ist nicht von Ordnern abhängig, sondern nur von Verschlüsselungsregeln. Die Verschlüsselung funktioniert wie folgt:

Alle Dateien, für die eine Verschlüsselungsregel existiert, werden beim Speichern automatisch verschlüsselt.
Werden Dateien in einen verschlüsselten Ordner verschoben oder kopiert, werden sie gemäß der für diesen Ordner definierten Verschlüsselungsregel verschlüsselt. Der Security Officer kann über die u.trust LAN Crypt Administration mehrere Verschlüsselungsregeln für unterschiedliche Dateitypen oder Dateinamen definieren, die sich im selben Ordner befinden. Sie können so beispielsweise Worddateien mit einer anderen Regel verschlüsseln als Exceldateien, obwohl sich beide Dateien im selben Ordner befinden.
Beim Umbenennen von verschlüsselten Dateien bleiben diese verschlüsselt (sofern nicht eine andere oder keine Verschlüsselungsregel für den neuen Dateinamen oder die neue Dateierweiterung besteht).
Wenn ein Benutzer verschlüsselte Dateien an einen Ort kopiert oder verschiebt, an dem die bisherige Verschlüsselungsregel nicht mehr gilt, werden sie automatisch entschlüsselt.

Hinweis

Dies gilt nicht, wenn ein Benutzer Dateien innerhalb derselben Netzwerkfreigabe in einen anderen Ordner verschiebt. In diesem Fall bleiben die Dateien verschlüsselt, und zwar auch dann, wenn keine Verschlüsselungsregel besteht.

Wenn der Security Officer oder Systemadministrator über die u.trust LAN Crypt Gruppenrichtlinie (GPO) die Funktion Persistente Verschlüsselung aktiviert hat, bleiben verschlüsselte Dateien auch dann weiterhin verschlüsselt, wenn sie in einen anderen Ordner oder an einen anderen Ort verschoben oder kopiert werden, für den keine Verschlüsselungsregel besteht (z. B. auf einem USB-Stick).
Wenn ein Benutzer verschlüsselte Dateien an einen Ort kopiert oder verschiebt, für den eine andere Verschlüsselungsregel gilt, werden diese Dateien zuerst entschlüsselt und danach mit dem für diesen Speicherort definierten anderen Schlüssel verschlüsselt.

Zugriff auf verschlüsselte Daten

Gibt es in den Verschlüsselungsrichtlinien eines Benutzers keinen Schlüssel und keine Verschlüsselungsregel für einen bestimmten Ordner, darf er nicht auf die verschlüsselten Dateien in diesem Ordner zugreifen. Er darf dort keine verschlüsselte Datei lesen, kopieren, verschieben, umbenennen, löschen, usw.

Verfügt der Benutzer über den Schlüssel, mit dem die Dateien verschlüsselt sind, kann er sie öffnen, auch wenn sein Verschlüsselungsprofil für diesen Ort oder Ordner keine Verschlüsselungsregel beinhaltet.

Integration von u.trust LAN Crypt 2Go

Dateien, die durch u.trust LAN Crypt 2Go passwortbasiert verschlüsselt worden sind, können seit der Version 4.2.0 mit u.trust LAN Crypt für Windows geöffnet und bearbeitet werden. Voraussetzung hierfür ist, dass der benötigte Schlüssel innerhalb der Verschlüsselungsrichtlinien des Benutzers vorhanden ist.

Nach dem Einsehen oder Bearbeiten der Datei kann die Datei weiterhin von u.trust LAN Crypt 2Go und allen weiteren u.trust LAN Crypt Anwendungen, die u.trust LAN Crypt 2Go bzw. passwortbasierte Ver- und Entschlüsselung unterstützen, problemlos mit demselben Schlüssel ver- und entschlüsselt werden.

Ordner umbenennen oder verschieben

u.trust LAN Crypt führt aus Performance-Gründen beim Verschieben ganzer Ordner innerhalb eines Laufwerks über den Windows Explorer keine Änderung des Verschlüsselungsstatus durch. Das bedeutet, dass es beim Verschieben eines ganzen Ordners zu keiner Ver-, Ent- bzw. Umschlüsselung kommt.

Waren die Dateien in solchen Ordnern verschlüsselt, bleiben sie unter dem neuen Ordnernamen bzw. am neuen Speicherort auch weiterhin verschlüsselt. Besitzt der Benutzer den dazugehörigen Schlüssel, kann er wie gewohnt mit diesen Dateien arbeiten.

Anders ist das Verhalten beim Verschieben von Dateien oder Ordnern auf eine andere Partition oder auf USB-Speichermedien, für die keine Verschlüsselungsregel eingerichtet wurde. Ist die u.trust LAN Crypt Funktion Persistente Verschlüsselung nicht aktiviert, werden die Dateien entschlüsselt, wenn sie auf derartige Medien verschoben werden. Hat der Security Officer oder der Systemadministrator dagegen die Persistente Verschlüsselung für die Client-Rechner aktiviert, bleiben die Dateien weiterhin verschlüsselt.

Hinweis

Das gilt jedoch nur, wenn für den neuen Speicherort keine Verschlüsselungsregel besteht. Besteht eine solche jedoch, werden die Dateien nach der geltenden Verschlüsselungsregel des neuen Speicherortes verschlüsselt.

Sicheres Verschieben

u.trust LAN Crypt unterstützt das sichere Verschieben von Dateien und Ordnern. Beim Verschieben durch u.trust LAN Crypt werden die Dateien auch am neuen Speicherort entsprechend den geltenden Verschlüsselungsregeln ver-, ent- bzw. umgeschlüsselt. Danach werden die Quelldateien sicher gelöscht.

Diese Funktion steht über den Eintrag u.trust LAN Crypt Sicheres Verschieben im Windows Explorer Kontextmenü von u.trust LAN Crypt zur Verfügung. Über einen Dialog kann dann ausgewählt werden, wohin die Dateien verschoben werden sollen.

Explizite Entschlüsselung von Dateien

Um eine Datei zu entschlüsseln, müssen Sie diese nur in einen Ordner ohne Verschlüsselungsregeln kopieren oder verschieben. Die Datei wird dann automatisch entschlüsselt.

Voraussetzungen:

Ein entsprechendes Verschlüsselungsprofil ist geladen,
der Benutzer verfügt über den erforderlichen Schlüssel,
das aktive Verschlüsselungsprofil enthält keine Verschlüsselungsregel für den neuen Speicherort,
und die Persistente Verschlüsselung ist nicht aktiv.

Hinweis

u.trust LAN Crypt kann auch Offlineordner in Windows verschlüsseln. Allerdings können hierbei in Verbindung mit Virenscannern Probleme auftreten. Genauere Informationen zu bekannten Problemen mit Virenscannern finden Sie in den Versionsinfos zum u.trust LAN Crypt Client.

Löschen verschlüsselter Dateien

Wenn Ihr Verschlüsselungsprofil geladen ist, können Sie jede verschlüsselte Datei löschen, für die Sie einen Schlüssel besitzen.

Hinweis

Eigentlich handelt es sich beim Löschen von Dateien um ein Verschieben der Dateien in den Windows Papierkorb. Um den höchsten Sicherheitsstandard zu gewährleisten, bleiben die mit u.trust LAN Crypt verschlüsselten Dateien auch im Papierkorb verschlüsselt. Um den Papierkorb zu leeren ist kein Schlüssel notwendig.

Von der Verschlüsselung ausgenommene Dateien und Ordner

Folgende Dateien und Ordner sind automatisch von der Verschlüsselung ausgenommen, auch wenn für sie eine Verschlüsselungsregel definiert wurde:

Dateien im Installationsordner von u.trust LAN Crypt
Dateien in den Ordnern Programme und Programme (x86)
Dateien im Installationsordner von Windows
Dateien im Ordner Windows.old
Richtlinien-Cache

Der Speicherort des lokalen Richtlinien-Caches wird in der u.trust LAN Crypt Client Richtlinie (Gruppenrichtlinie) bestimmt. Der u.trust LAN Crypt Client zeigt den eingestellten Speicherort in der Registerkarte Profil im Menü Client-Status an.

Stammverzeichnis des Systemlaufwerkes. Unterordner werden nicht ausgeschlossen.
Indizierte Speicherorte (search-ms)
Dateien in Ordnern, die in u.trust LAN Crypt mit einer Ausnahme- oder Ignorieren-Regel definiert sind.

Persistente Verschlüsselung

Für u.trust LAN Crypt kann ein Security Officer oder Systemadministrator die Persistente Verschlüsselung konfigurieren. Dateien werden normalerweise nur dann verschlüsselt, wenn sie einer Verschlüsselungsregel unterliegen.

Wenn zum Beispiel ein Benutzer eine verschlüsselte Datei in einen Ordner kopiert, für den keine Verschlüsselungsregel definiert ist, wird die Datei im Zielordner entschlüsselt. Ist die Persistente Verschlüsselung dagegen aktiviert, bleiben Dateien auch dann verschlüsselt, wenn sie an einen anderen Speicherort verschoben oder kopiert werden, für den keine Verschlüsselungsregel besteht.

Wird die Persistente Verschlüsselung deaktiviert, so werden Dateien entschlüsselt, wenn sie an einen Speicherort kopiert oder verschoben werden, für den keine Verschlüsselungsregel besteht. Auf diese Weise können beispielsweise Dateien entschlüsselt werden, um sie z. B. als E-Mail-Anhang zu verschicken. Besser wäre es allerdings, die Persistente Verschlüsselung aktiviert zu lassen und solche Dateien stattdessen in einen Ordner zu kopieren, für den eine Ignorieren- oder Ausnahmeregel besteht. So könnte die Schutzfunktion der Persistenten Verschlüsselung weiterhin erhalten bleiben und gleichzeitig ein Speicherort vorhanden sein, in den Benutzer Dateien explizit entschlüsseln könnten, um sie beispielsweise als E-Mail zu versenden.

Für die Persistente Verschlüsselung gelten folgende Regeln:

Der u.trust LAN Crypt Treiber behält nur den Namen der Datei ohne Pfadinformationen. Es werden somit nur Situationen erfasst, in denen Quell- und Zieldatei einen identischen Namen haben. Sollte die Datei jedoch während des Kopiervorgangs umbenannt werden, wird die resultierende Datei als eine neue Datei betrachtet und unterliegt daher nicht der Persistenten Verschlüsselung.
Wenn ein Benutzer eine verschlüsselte Datei durch Speichern unter an einem Ort speichert, für den keine Verschlüsselungsregel besteht, unterliegt dies auch nicht der Persistenten Verschlüsselung. Das Ergebnis ist dann ebenfalls eine Klartextdatei.
Informationen zu Dateien werden nur für eine begrenzte Zeit beibehalten. Dauert der Vorgang zu lange (z. B. das Kopieren oder Bewegen länger als 15 Sekunden), wird die resultierende Datei als eine neue Datei betrachtet und unterliegt daher nicht der Persistenten Verschlüsselung. Die Datei ist dann ebenfalls unverschlüsselt.

Hinweis

Persistente Verschlüsselung verwendet den Windows‑Tunneling‑Cache. Wenn ein Thread eine verschlüsselte Datei öffnet und anschließend innerhalb des Tunneling‑Intervalls (Standard: 15 s) eine Datei mit dem gleichen Namen erstellt, wird die neue Datei automatisch verschlüsselt - unabhängig vom Zielpfad und selbst dann, wenn für diesen Ort keine Verschlüsselungsrichtlinie existiert. Dieses Verhalten ist systemabhängig und sollte bei der Verwendung von LAN Crypt berücksichtigt werden.

Persistente Verschlüsselung und Verschlüsselungsregeln

Die Persistente Verschlüsselung stellt sicher, dass eine verschlüsselte Datei ihren Verschlüsselungsstatus beibehält, d. h. den ursprünglichen Verschlüsselungsschlüssel. Dies funktioniert mithilfe der Persistenten Verschlüsselung problemlos, wenn die Datei in einen Ordner ohne Verschlüsselungsregel kopiert oder verschoben wird. Wird die Datei jedoch an einen Speicherort kopiert oder verschoben, für den eine andere Verschlüsselungsregel besteht, hat diese Verschlüsselungsregel allerdings Vorrang vor der Persistente Verschlüsselung. Die Datei wird dann gemäß der für diesen Speicherort geltenden Verschlüsselungsregel und mit dem hierfür definierten Verschlüsselungsalgorithmus (z. B. AES) und Schlüssel umgeschlüsselt.

Persistente Verschlüsselung und Ignorieren-Regeln

Eine Ignorieren-Regel setzt die Persistente Verschlüsselung für alle Ordner außer Kraft, für die solch eine Regel besteht. Das bedeutet, dass Dateien, die in einen Ordner kopiert werden, für den eine Ignorieren-Regel besteht, entschlüsselt werden.

Die Ignorieren-Regel wird hauptsächlich für Dateien benutzt, auf die sehr häufig zugegriffen wird oder bei denen kein bestimmter Grund für eine Verschlüsselung vorliegt. Dadurch lässt sich die System-Leistung steigern.

Persistente Verschlüsselung und Ausnahmeregeln

Eine Ausnahmeregel setzt die Persistente Verschlüsselung für einen mit einer solchen Regel definierten Ordner außer Kraft. Das bedeutet, dass Dateien, die in einen Ordner kopiert werden, für den eine Ausnahmeregel gilt, entschlüsselt werden.

Einschränkungen bei der persistenten Verschlüsselung

Bei der persistenten Verschlüsselung gelten einige Einschränkungen.

Dateien, die eigentlich unverschlüsselt bleiben sollten, sind verschlüsselt

Klartext-Dateien werden an mehrere Speicherorten kopiert, ohne dass Verschlüsselungsregeln angewendet werden.

Wenn eine unverschlüsselte Datei gleichzeitig an mehrere Speicherorte, von denen für einen Speicherort eine Verschlüsselungsregel gilt, kopiert wird, werden die anderen Kopien der Datei möglicherweise auch verschlüsselt.

Nach dem Zugriff auf eine verschlüsselte Datei eine Datei mit dem gleichen Namen erstellen

Wird kurz nach dem Öffnen einer mit u.trust LAN Crypt verschlüsselten Datei eine Datei mit dem gleichen Namen erstellt, wird die neu erstellte Datei mit dem gleichen Schlüssel wie die zuerst geöffnete Datei verschlüsselt.
Dies gilt nur dann, wenn für das Lesen der verschlüsselten Datei und das Erstellen einer neuen Datei die gleiche Anwendung / der gleiche Thread verwendet wird.

Dateien werden nicht verschlüsselt

Von einer Datei werden mehrere Kopien angelegt

Werden Kopien von einer verschlüsselten Datei im gleichen Ordner wie die ursprüngliche Datei erstellt, so werden diese Kopien nicht verschlüsselt. Da die erstellten Kopien unterschiedliche Dateinamen haben (zum Beispiel datei.txt im Gegensatz zu datei-kopie.txt), schlägt der Abgleich des Dateinamens fehl und sie werden daher nicht im Rahmen der Persistenten Verschlüsselung verschlüsselt.

Client-API und Verschlüsselungs-Tags für DLP-Produkte

Identifiziert eine Data Loss Prevention (DLP) Anwendung Dateien, die verschlüsselt werden sollen, so kann es die u.trust LAN Crypt Client-API verwenden, um diese Dateien zu verschlüsseln. Sie können unter der u.trust LAN Crypt Administration (siehe Administrator-Handbuch) unterschiedliche Verschlüsselungs-Tags definieren, die den zu verwendenden u.trust LAN Crypt-Schlüssel angeben. Die Client-API kann diese vordefinierten Verschlüsselungs-Tags verwenden, um bestimmte Schlüssel auf unterschiedliche Inhalte anzuwenden. Zum Beispiel kann der Verschlüsselungs-Tag <CONFIDENTIAL>verwendet werden, um somit alle Dateien zu verschlüsseln, die von Ihrer DLP-Anwendung als vertraulich eingestuft sind.

Aktivieren und Deaktivieren der transparenten Verschlüsselung

Wird die transparente Verschlüsselung im u.trust LAN Crypt Benutzermenü deaktiviert, werden Dateien, auf die nach der Deaktivierung zugegriffen wird, nicht mehr automatisch ver- bzw. entschlüsselt. Neu erzeugte Dateien bleiben unverschlüsselt, auch wenn für diese eine Verschlüsselungsregel im Verschlüsselungsprofil des Benutzers vorhanden ist. Bereits verschlüsselte Dateien bleiben verschlüsselt. Dies kann dazu genutzt werden, um beispielsweise eine durch u.trust LAN Crypt verschlüsselte Datei als Dateianhang per E-Mail vertraulich verschicken zu können.

Hinweis

Die Einstellungen, welche Funktionen bzw. Elemente über das Benutzermenü ausgewählt werden können, kann der Security Officer bzw. System Administrator über eine u.trust LAN Crypt Gruppenrichtlinie (GPO) einstellen. Der Client lässt sich auf diese Weise beispielsweise auch so konfigurieren, dass der Benutzer die transparente Verschlüsselung nicht selbst deaktivieren kann.

Im Vergleich hierzu führt eine Deaktivierung der Persistenten Verschlüsselung dazu, dass beim Kopieren / Verschieben von verschlüsselten Dateien an einen Ort bzw. Ordner, für den keine Verschlüsselungsregel besteht, dass diese dort entschlüsselt werden. Die regelbasierte automatische Ver- und Entschlüsselungsfunktion für Ordner und Dateien (vgl. Transparente Verschlüsselung bleibt bei einer Deaktivierung der persistenten Verschlüsselung weiterhin bestehen. Die Konfiguration der persistenten Verschlüsselung erfolgt durch den Security Officer oder Administrator ebenfalls über eine u.trust LAN Crypt Gruppenrichtlinie (GPO).

Wenn Sie die Funktion Persistente Verschlüsselung aktiviert haben, bleiben verschlüsselte Dateien auch dann verschlüsselt, wenn sie in an einen Ort bzw. in einen Ordner ohne Verschlüsselungsregel kopiert oder verschoben werden. Wenn Sie die Persistente Verschlüsselung verwenden, ist es nicht notwendig, vorher die transparente Verschlüsselung zu deaktivieren, um verschlüsselte Dateien an einen anderen Ort zu kopieren. Die Persistente Verschlüsselung sorgt dafür, dass Dateien auch dann verschlüsselt bleiben, wenn sie versehentlich in einen anderen Ordner verschoben wurden oder wenn der Benutzer vergessen hat, die Verschlüsselung vor dem Verschieben bzw. Kopieren zu deaktivieren. Sie müssen den Computer neu starten, damit vorgenommene Änderungen der Persistenten Verschlüsselung (aktiv oder nicht aktiv) Wirkung zeigen.

Hinweis

Ist die Persistente Verschlüsselung aktiv und ein Benutzer verschiebt oder kopiert eine Datei in einen Ordner, für den eine Ignorieren-Regel oder Ausnahmeregel gilt, so wird diese Datei an diesem Ort entschlüsselt abgelegt. Beachten Sie auch, dass eine Änderung der Einstellung für die Persistente Verschlüsselung einen Neustart des Client-Rechners erfordert. Bis zum Neustart des Rechners behält die zuvor definierte Einstellung weiterhin ihre Gültigkeit.

Transparente Verschlüsselung und Komprimierungsprogramme

Komprimierungsprogramme öffnen Dateien, lesen deren Inhalte und erzeugen hieraus eine komprimierte Archivdatei. Die gepackten Archivdateien können mithilfe des Komprimierungsprogramms jederzeit wieder entpackt werden. Auf diese Weise lassen sich die ursprünglichen Dateien an jedem beliebigen Ort wiederherstellen. Wenn die transparente Ent-/Verschlüsselung aktiviert ist, erhalten diese Programme die entschlüsselten Dateien und diese werden dann komprimiert. Die Dateien im Archiv selbst sind dann nicht mehr mit u.trust LAN Crypt verschlüsselt. Wird das Archiv an einem Ort bzw. in einem Ordner gespeichert, für den keine Verschlüsselungsregel existiert, dann sind alle Dateien im Klartext und damit unverschlüsselt.

Auch wenn die Persistente Verschlüsselung aktiviert ist, werden die Dateien unverschlüsselt komprimiert. Die Archivdatei selbst bleibt jedoch verschlüsselt und kann nur von einem Benutzer gelesen werden, der den hierfür erforderlichen Schlüsselt besitzt. Voraussetzung hierfür ist jedoch, dass auch Archivdateien einer Verschlüsselungsregel unterliegen.

Wenn Sie allerdings auch verschlüsselte Dateien mithilfe von Komprimierungsprogrammen in eine Archivdatei packen wollen, muss die transparente Verschlüsselung vor der Verwendung solcher Programme deaktiviert werden. Diese Vorgehensweise ist meist nur dann erforderlich, wenn für die zu erstellende Archivdatei keine Verschlüsselungsregel besteht. Ist aber eine solche vorhanden, wären die Dateien innerhalb der erstellten Archivdatei zwar unverschlüsselt, die Archivdatei selbst aber wiederum analog der hierfür definierten Verschlüsselungsregel verschlüsselt und somit vor unautorisiertem Zugriff sicher geschützt. Eine weitere Möglichkeit um sicherzustellen, dass Dateien verschlüsselt in eine Archivdatei gepackt werden, besteht darin, Komprimierungsprogramme als Unberücksichtigte Anwendung zu definieren. Dies kann im Bedarfsfall durch den (Master) Security Officer (MSO / SO) oder Systemadministrator über die u.trust LAN Crypt Gruppenrichtlinie (GPO) konfiguriert werden.

Initialverschlüsselung und explizite Verschlüsselung

Nach der Installation und Konfiguration von u.trust LAN Crypt können Sie eine Initialverschlüsselung durchführen. Dabei werden alle Dateien analog zu den Regeln des geladenen Verschlüsselungsprofils verschlüsselt. Die Initialverschlüsselung kann über eine der folgenden Methoden gestartet werden:

u.trust LAN Crypt Taskleistensymbol (siehe Benutzerprogramm)
u.trust LAN Crypt Explorer-Erweiterungen (siehe Explorer-Erweiterungen)
lcinit.exe-Tool, das auch den Unattended-Modus unterstützt (siehe Initialverschlüsselung im Unattended-Modus ohne Benutzerinteraktion)

Neben der Initialverschlüsselung von ganzen Ordnern ist mit dem Kommandozeilen-Tool lcinit.exe und über die Explorer-Erweiterung auch die Ver-, Ent- und Umschlüsselung einzelner Dateien möglich.

Hinweis

Bei der Initialverschlüsselung werden die Dateien lexikografisch sortiert angezeigt.

Die explizite Ver-, Ent- oder Umschlüsselung kann in folgenden Fällen erforderlich sein:

Wenn sich unverschlüsselte Dateien in Ordnern befinden, für die eine (neue) Verschlüsselungsregel besteht.
Wenn sich verschlüsselte Dateien in Ordnern befinden, für die keine Verschlüsselungsregel besteht.
Wenn Dateien in verschlüsselten Ordnern mit einem falschen Schlüssel verschlüsselt sind.
Wenn sich die Verschlüsselungsregeln im Verschlüsselungsprofil geändert haben.
Wenn Dateien versehentlich mit mehreren Schlüsseln verschlüsselt wurden.

Assistent zur Initialverschlüsselung

Das Tool für die Initialverschlüsselung, lcinit.exe, verfügt über einen Assistenten mit einer grafischen Benutzeroberfläche. Dieser Assistent unterstützt

das Ver-, Ent- und Umschlüsseln von Dateien und
das Prüfen des Verschlüsselungsstatus von Dateien – auch in Ordnern und Unterordnern.

Sie können den Assistenten starten, indem Sie

auf das Taskleistensymbol klicken oder
Start/Programme/u.trust LAN Crypt Client/Initialverschlüsselung wählen oder
diesen aus dem Windows-Startbildschirm starten oder
auf die Datei lcinit.exe im u.trust LAN Crypt-Installationsordner, Unterordner Apps doppelklicken.

Hinweis

Die Ver-, Ent- und Umschlüsselung erfolgt immer analog zu den Regeln eines geladenen Verschlüsselungsprofils. Daher muss hierzu grundsätzlich ein Verschlüsselungsprofil geladen sein.

Initialverschlüsselung durchführen

Schritt 1: Starten Sie den Assistenten (siehe Benutzermenü).

Schritt 2: Wählen Sie die Option Initialverschlüsselung durchführen in Schritt 1/5.

Schritt 3: Klicken Sie auf Weiter. Schritt 4: Legen Sie nun in Schritt 2/5 fest, wie mit den Dateien verfahren werden soll.

Dateien den Regeln entsprechend verschlüsseln Wenn Sie diese Option auswählen, werden die Dateien nach den im Profil des Benutzers stehenden Regeln verschlüsselt (Standardeinstellung). Bereits korrekt verschlüsselte Dateien werden bei diesem Vorgang übersprungen.
Dateien den Regeln entsprechend umschlüsseln Wenn Sie diese Option auswählen, werden Dateien, die mit einem anderen Schlüssel als im Profil festgelegt verschlüsselt sind, entschlüsselt und mit dem korrekten Schlüssel verschlüsselt.

Hinweis

Voraussetzung hierfür ist, dass der Schlüssel, mit dem die Datei(en) verschlüsselt wurden, dem Benutzer über sein Profil zur Verfügung steht.

Schritt 5: Klicken Sie danach auf Weiter. Schritt 6: Legen Sie nun über die Ordnerstruktur in Schritt 3/5 fest, welche Laufwerke/Ordner verschlüsselt oder umgeschlüsselt werden sollen.

../img/en/10.png

Ausgewählte Laufwerke und Ordner werden mit einem Häkchen markiert. Ein Häkchen mit einem zusätzlichen „+“ Zeichen bei einem Ordner zeigt an, dass sich darin noch weitere Unterordner befinden, die nicht bearbeitet werden, in denen also keine Verschlüsselung oder Umschlüsselung der Dateien durchgeführt wird. Wenn diese auch bearbeitet werden sollen, sind diese per Mausklick ebenfalls mit einem Häkchen zu markieren.

Klicken Sie auf Profilregeln, um automatisch alle Ordner zu markieren, für die Verschlüsselungsregeln im Profil des Benutzers bestehen.

Klicken Sie auf Erweitert, um weitere Einstellungen für die Initialverschlüsselung anzuzeigen.

Hinweis

Welche Einstellung vom Benutzer geändert werden können, ist von der Konfiguration des u.trust LAN Crypt Clients abhängig. Der Security Officer oder Systemadministrator nimmt die Konfiguration zentral über die Gruppenrichtlinie (GPO) von u.trust LAN Crypt vor (siehe Kapitel 4 „Menüeinträge aktivieren“ im Admin-Handbuch).

EFS verschlüsselte Dateien, wenn notwendig, entschlüsseln Wählen Sie diese Option, um EFS verschlüsselte Dateien zu entschlüsseln und umzuschlüsseln. Beachten Sie, dass eine entsprechende Verschlüsselungsregel gelten muss. Wenn Sie diese Option nicht auswählen, werden EFS verschlüsselte Dateien vom Assistenten zur Initialverschlüsselung ignoriert. Sie werden nicht von u.trust LAN Crypt umgeschlüsselt, auch wenn für sie eine Verschlüsselungsregel besteht.
NTFS-komprimierte Dateien, wenn notwendig, dekomprimieren Wählen Sie diese Option, um NTFS-komprimierte Dateien zu dekomprimieren und zu verschlüsseln. Beachten Sie, dass eine entsprechende Verschlüsselungsregel gelten muss. Wenn Sie diese Option nicht auswählen, werden NTFS-komprimierte Dateien vom Assistenten zur Initialverschlüsselung ignoriert. Sie werden nicht verschlüsselt, auch wenn für sie eine Verschlüsselungsregel besteht.
Dateien, die wiederholt mit mehreren Schlüsseln verschlüsselt wurden, entschlüsseln/umschlüsseln Wählen Sie diese Option, um Dateien umzuschlüsseln, die mit mehreren Schlüsseln verschlüsselt wurden. Die Dateien sind dann mit nur einem Schlüssel verschlüsselt. Beachten Sie, dass hierzu eine entsprechende Verschlüsselungsregel gelten muss.

Hinweis

Diese Option ist nur verfügbar, wenn in Schritt 2/5 Dateien entsprechend den Regeln verschlüsseln oder Dateien entsprechend den Regeln umschlüsseln ausgewählt wurde. Andernfalls ist diese Option ausgegraut.

Nur folgende Dateien einschließen: Wählen Sie hier bestimmte Dateitypen (.txt, .docx, usw.), die bei der Initialverschlüsselung berücksichtigt werden sollen. Bei der Angabe mehrerer Dateitypen in Form einer Liste, sind diese durch Strichpunkte (Semikola) voneinander zu trennen. Diese Einstellung wirkt sich nur auf Dateien aus, für die eine Verschlüsselungsregel gilt. Befinden sich noch weitere von dieser Regel abweichende Dateien in einem Ordner, bleiben diese im Rahmen der Initialverschlüsselung unberührt. Öffnet der Benutzer diese später und speichert sie wieder, werden sie gemäß den geltenden Verschlüsselungsregeln verschlüsselt.

Schritt 7: Klicken Sie auf Weiter. Schritt 8: Legen Sie nun in Schritt 4/5 fest, für welche Dateien Informationen im Bericht der Initialverschlüsselung enthalten sein sollen. Für den Bericht kann der Benutzer zwischen folgenden Optionen wählen:

Nur Fehler berichten Der Statusbericht enthält nur Informationen über Dateien, bei denen während der Verschlüsselung Fehler aufgetreten sind.
Geänderte Dateien und Fehler berichten Der Statusbericht enthält Informationen über alle Dateien, die geändert wurden oder bei denen während der Verschlüsselung Fehler aufgetreten sind.
Alle Dateien berichten Der Statusbericht enthält Informationen über alle Dateien.

Schritt 9: Klicken Sie auf Weiter. In Schritt 5/5 wird das Ergebnis der Verschlüsselung, der Schlüsselname des verwendeten Schlüssels und der Verschlüsselungsalgorithmus angezeigt.

Ist bei einer bestimmten Datei die Verschlüsselung fehlgeschlagen, können Sie die Verschlüsselung über die Schaltfläche Wiederholen erneut starten.

Die Ergebnisse lassen sich per Mausklick auf die Spaltenüberschrift alphabetisch sortieren. Darüber hinaus können Sie den Statusbericht als XML-Datei an einem gewünschten Ort speichern (Schaltfläche Exportieren). Anhand des Statusberichtes können Sie später jene Dateien, bei denen die Verschlüsselung fehlgeschlagen ist, erneut versuchen zu verschlüsseln.

Schritt 10: Klicken Sie auf Beenden. Der Assistent wird geschlossen.

Verschlüsselungsstatus prüfen

Schritt 1: Starten Sie den Assistenten.

Schritt 2: Wählen Sie in Schritt 1 / 5 die Option Verschlüsselungsstatus prüfen.

../img/de/11.png

Schritt 3: Klicken Sie auf Weiter.

Schritt 4: Legen Sie in Schritt 2 / 5 fest, welche Laufwerke und Ordner geprüft werden sollen.

Schritt 5: Wählen Sie die gewünschten Laufwerke und Ordner aus, indem Sie diese markieren.

Ein + Zeichen neben einem Häkchen bei einem Ordner zeigt an, dass sich darin Unterordner befinden, die nicht bearbeitet werden, in denen also keine Überprüfung des Verschlüsselungsstatus der Dateien durchgeführt wird. Soll die Überprüfung auch Unterordner einschließen, müssen diese ebenfalls per Mausklick gewählt werden, d. h. mit einem Häkchen markiert sein.

Klicken Sie auf Profilregeln, um automatisch alle Ordner zu markieren, für die Verschlüsselungsregeln im Profil des Benutzers existieren.

Klicken Sie auf Erweitert, um die Prüfung auf bestimmte Dateitypen einzuschränken:

Nur folgende Dateien einschließen: Wenn Sie hier bestimmte Dateitypen angeben (z.B. .txt, .docx, .xlsx), so werden nur diese Dateitypen überprüft. Befinden sich auch noch weitere Dateien eines anderen Typs, der hier nicht angegeben ist, in dem Ordner, werden diese nicht berücksichtigt. Zur Angabe mehrerer Dateitypen ist eine durch Semikola getrennte Liste zu verwenden.

Schritt 6: Klicken Sie auf Weiter.

In Schritt 3 / 5 wird das Ergebnis der Prüfung, der Schlüsselname des verwendeten Schlüssels und der Verschlüsselungsalgorithmus angezeigt.

Die Ergebnisse lassen sich per Mausklick auf die Spaltenüberschrift alphabetisch sortieren.

Darüber hinaus können Sie den Statusbericht als XML-Datei an einem gewünschten Ort speichern (Schaltfläche Exportieren).

Schritt 7: Klicken Sie auf Beenden. Der Assistent wird geschlossen.

Dateien entschlüsseln

Dateien, die mit u.trust LAN Crypt verschlüsselt wurden, können entschlüsselt werden, wenn keine Verschlüsselungsregel (mehr) für sie besteht. Wurde eine erneute Initialverschlüsselung notwendig, zum Beispiel, weil sich Verschlüsselungsregeln im Profil des Benutzers geändert haben, können Dateien, für die es nun keine Verschlüsselungsregeln mehr gibt, über diesen Assistenten ganz einfach entschlüsselt werden.

Um Dateien zu entschlüsseln, wählen Sie im Assistenten zuerst Initialverschlüsselung durchführen (Schritt 1/5), dann Entschlüsselung > Dateien mit den ausgewählten Schlüsseln entschlüsseln (Schritt 2/5).

Anschließend können Sie die Schlüssel auswählen. Nur die Dateien, die mit einem der ausgewählten Schlüssel verschlüsselt wurden, werden entschlüsselt. Die Dateien werden jedoch nur dann entschlüsselt, wenn für sie im Verschlüsselungsprofil des Benutzers keine Verschlüsselungsregel mehr besteht.

../img/de/12.png

Hinweis

u.trust LAN Crypt entschlüsselt nur Dateien, für die keine Verschlüsselungsregel besteht. Sie können für diesen Vorgang bedenkenlos alle Schlüssel auswählen, die sie besitzen.

Beispiel: Der Assistent zur Initialverschlüsselung wird gestartet, weil Änderungen im Benutzerprofil vorgenommen wurden. Um sicherzustellen, dass nach dem Beenden des Assistenten zur Initialverschlüsselung alle Dateien den gewünschten Verschlüsselungsstatus haben, gehen Sie wie folgt vor:

Aktivieren Sie Dateien entsprechend den Regeln verschlüsseln. Alle Dateien werden gemäß den im Verschlüsselungsprofil definierten Verschlüsselungsregeln verschlüsselt.
Aktivieren Sie Dateien entsprechend den Regeln umschlüsseln. Müssen Dateien wegen einer Änderung von Verschlüsselungsregeln mit einem anderen Schlüssel verschlüsselt werden, werden sie umgeschlüsselt.
Aktivieren Sie Dateien mit den ausgewählten Schlüsseln entschlüsseln und wählen Sie dann alle Schlüssel aus. Verschlüsselte Dateien, für die keine Verschlüsselungsregel mehr bestehen, werden entschlüsselt. u.trust LAN Crypt entschlüsselt dabei ausschließlich Dateien, für die keine Verschlüsselungsregel besteht. Auch die Auswahl aller Schlüssel ist daher vollkommen unkritisch.

Alle Dateien besitzen nach dem erfolgreichen Beenden des Assistenten den korrekten Verschlüsselungsstatus.

Das explizite Entschlüsseln von Dateien kann dann wichtig sein, wenn die Persistente Verschlüsselung aktiviert ist. In diesem Fall werden Dateien nicht automatisch entschlüsselt, wenn sie aus einem Ordner, für den eine Verschlüsselungsregel gilt, in einen Ordner ohne Verschlüsselungsregel kopiert/verschoben werden. Mithilfe des Assistenten lassen sich solche Dateien auf einfache Weise wieder entschlüsseln.

Initialverschlüsselung im Unattended-Modus (ohne Benutzerinteraktion)

Wenn lcinit.exe im Unattended-Modus ausgeführt werden soll, müssen Sie das Tool mit bestimmten Parametern über die Kommandozeile aus dem Ordner heraus aufrufen, in dem es sich befindet (zum Beispiel: C:\Programme\Utimaco\u.trust LAN Crypt\Apps\).

Kommandozeilen-Syntax:

LCInit \<startpath | %Profile\>[/S]
{-DIgnoreDirectory}[/Tv][/Te][/Tr][/Td]
[/Tdk {GUID}][/Dc][/De][/Dm][+FFiletype][/V1|/V2|/V3|/V4] [/X]
[/LLogfile]

Parameter:

Startpath

Gibt entweder eine einzelne Datei an, die ver-, ent- oder umgeschlüsselt werden soll (z. B. C:\Daten\Vertrieb.docx), oder einen Ordner, in dem die Ver-, Ent- oder Umschlüsselung durchgeführt werden soll (z. B. D:\Daten). Unterordner werden hierbei standardmäßig nicht miteinbezogen!

%Profile

Verarbeitet alle Regeln mit einem absoluten Pfad im geladenen Verschlüsselungsprofil. Ver- / entschlüsselt bzw. schlüsselt die Dateien, wenn notwendig, um.

Hinweis

Zum Entschlüsseln muss für die entsprechenden Dateien im Profil eine EXCLUDE-Regel existieren.

Inklusive aller Unterordner ab dem Startpfad.

Oder alternativ /? - öffnet ein Hilfefenster zur Syntax von lcinit.exe.

-DIgnoreDirectory

Schließt diesen Ordner aus.

/Tv

Task-Modus: v = Zeigt den Verschlüsselungsstatus der Dateien an.

/Te

Task-Modus: e = Verschlüsselt, falls notwendig, Dateien gemäß dem Verschlüsselungsprofil.

/Tr

Task-Modus: r = Schlüsselt, falls notwendig, Dateien gemäß dem Verschlüsselungsprofil um.

/Td

Task-Modus: d = Entschlüsselt, falls notwendig, Dateien gemäß dem Verschlüsselungsprofil.

/Tdk

Task-Modus: dk = Entschlüsselt Dateien, die mit den angegebenen Schlüsseln verschlüsselt sind. Sie müssen die GUID für die Schlüssel angeben.

Hinweis

Alle Task-Modus-Parameter können in einem Befehlsaufruf zusammen genutzt werden.

/Dc

Diese Option dekomprimiert NTFS komprimierte Dateien und verschlüsselt diese anschließend. Ist diese Option nicht gesetzt, werden NTFS komprimierte Dateien von u.trust LAN Crypt ignoriert.

/De

Diese Option entschlüsselt EFS-verschlüsselte Dateien und verschlüsselt diese anschließend mit u.trust LAN Crypt. Ist diese Option nicht gesetzt, werden EFS-verschlüsselte Dateien ignoriert.

/Dm

Diese Option entschlüsselt mehrfach verschlüsselte Dateien und verschlüsselt sie anschließend neu. Die Dateien sind dann mit nur einem Schlüssel verschlüsselt.

+Ffiletype

Wenn Sie mit dieser Option Dateitypen angeben (z. B. +Ftxt+Fdocx+Fxlsx), so werden ausschließlich Dateien der dort explizit angegebenen Dateitypen bearbeitet. Diese Einstellung wirkt sich nur auf Dateien aus, für die eine Verschlüsselungsregel existiert.

Enthält ein Ordner auch noch weitere Dateien, die nicht den Angaben dieser Option entsprechen, d. h. nicht den dort definierten Dateitypen angehören, bleiben diese bei der Initialverschlüsselung unberücksichtigt. Sie werden erst dann verschlüsselt, wenn sie durch den Benutzer bearbeitet oder durch diesen kopiert oder verschoben werden.

Beispiel: Die Datei „123.pdf“ ist nicht verschlüsselt, weil Dateien des Typs „PDF“ im o. g. Beispiel im Rahmen der Initialverschlüsselung nicht verschlüsselt werden sollen. Öffnet der Benutzer diese Datei, z. B. mit einem PDF-Editor, und speichert diese Datei im gleichen Ordner ab, wird die Datei verschlüsselt. Die Datei wird auch dann verschlüsselt, wenn der Benutzer eine solche Datei aus diesem Ordner heraus und dann wieder hineinkopiert. Bedingung hierfür ist jedoch, dass die für den Ordner definierte Verschlüsselungsregel auch für Dateien des Typs „PDF“ gilt.

/V0

Verbose Modus 0: Kein Reporting (Bericht).

/V1

Verbose Modus 1: Listet Fehlermeldungen auf.

/V2

Verbose Modus 2: Listet geänderte Dateien auf.

/V3

Verbose Modus 3: Listet alle Dateien auf.

/V4

Verbose Modus 4: Listet unverschlüsselte Dateien auf.

Bei Fehler abbrechen.

Initialverschlüsselung ohne Fenster ausführen.

/LLogfile

Schreibt die Ausgabe in die dort angegebene Datei.

Hinweis

Der Parameter /Td kann nur dann mit %Profile sinnvoll kombiniert werden, wenn die zu entschlüsselnden Dateien im Profil über eine Ausnahmeregel aufgeführt sind. Andernfalls muss /Td mit dem Startpfad kombiniert werden.

lcinit.exe %PROFILE -DC:\ignore /S /Te /Tdk {1234ABCD-1234-1234-1234-1234ABCD} {5678EFGH-5678-5678-5678-5678EFGH} /V1 /LC:\logfile.xml>

lcinit.exe D:\data /S /V4

Listet alle Klartextdateien in D:\Daten und dessen Unterordnern auf.