Der Ersatz ist am Montag da, erledigt ist der Fall erst am Mittwoch
Ein Betrieb mit zwanzig Mitarbeitern, den wir kurz davor übernommen haben, verliert am Freitagabend einen Laptop im Zug. Ersatz war am Montag da. Damit schien die Sache erledigt. Nachgesehen haben wir trotzdem, wie das Gerät eingerichtet ist.
Befund: Die Festplatte war nicht verschlüsselt. Grund: Veranlasst hat das nie jemand. Auf der Liste der vorherigen Betreuung stand es nicht. Damit ist aus einem Sachschaden ein Datenvorfall geworden.
Zusammentragen mussten wir jetzt, welche personenbezogenen Daten auf dem Gerät gelegen sind. Grob ließ sich das beantworten: der gespeicherte Mailverkehr von zwei Jahren, Kalkulationen, Kundendaten. Was genau darauf lag, konnte uns niemand sagen. Über das Wochenende sind die Anschreiben an Kunden und Lieferanten entstanden, am Montag lag die Meldung an die Datenschutzbehörde fertig da.
Am Mittwoch hat die ÖBB angerufen. Das Gerät ist aufgetaucht, seit Freitag nicht mehr gestartet, entwendet hat niemand etwas. Hinausgegangen ist damit keines der Schreiben. Folge: Der Aufwand ist trotzdem angefallen, und zwar zur Gänze. Bis Mittwoch musste der Betrieb so handeln, als wären die Daten weg, weil niemand das Gegenteil beweisen konnte. Genau diesen Beweis führt eine verschlüsselte Platte von selbst.
Fünf Punkte.Still für sich beantwortet.
Es geht nicht um Schuld, nur um das Muster.
Was das Windows-Passwort nicht abdeckt
Es schützt die Anmeldung, nicht die Platte. „Da kommt eh keiner rein, da ist ein Passwort drauf“ beruhigt zu Unrecht. Wer das Gerät besitzt, meldet sich gar nicht erst an, sondern baut die Platte aus und hängt sie an einen anderen Rechner.
Der Aufwand dafür ist gering. Spezialkenntnisse braucht das keine, der Adapter kostet ein paar Euro. Ohne Verschlüsselung liegen dort alle Dateien offen lesbar: Kalkulationen, Angebote, der gespeicherte Mailverkehr, oft auch abgelegte Zugangsdaten.
Und es betrifft nicht nur Laptops. Handys und Tablets mit Firmenzugang tragen täglich Mails und Dokumente durch die Stadt. Sie verdienen dieselbe Sorgfalt, in der Bestandsaufnahme fehlen sie aber regelmäßig.
Für Technik-Interessierte TPM, Vertrauenskette und der Standby-Punkt
Windows bringt die Verschlüsselung seit Jahren mit, sie heißt BitLocker. Vier Punkte entscheiden, ob sie trägt.
Verschlüsselung ist damit eine Entscheidung, hinter der vier Dinge stehen, die zusammenpassen müssen.
- Schlüssel im TPM. BitLocker verschlüsselt den Datenträger mit AES, der Schlüssel selbst liegt geschützt im TPM, dem Sicherheitschip des Geräts. Das TPM gibt ihn nur frei, wenn der Startvorgang unverändert ist.
- Die Vertrauenskette. Deshalb gehören Secure Boot und aktuelle Firmware zur Verschlüsselung dazu: Sie sind Teil derselben Kette. Wo das Schutzniveau höher sein soll, lässt sich zusätzlich eine PIN vor dem Systemstart erzwingen.
- Der Standby-Punkt. Ein nur zugeklappter Laptop hält Schlüsselmaterial im Arbeitsspeicher. Deshalb gehören Ruhezustand und automatische Sperre zum Konzept, sonst schützt die Verschlüsselung im häufigsten Verlustmoment gerade nicht.
- Der Wiederherstellungsschlüssel. Bei zentral verwalteten Geräten wandert er automatisch in das Verzeichnis des Unternehmens statt in eine Zettelablage. Ohne ihn kommt nach einer Reparatur niemand mehr an die Daten, auch Sie nicht.
„Ein verlorener Laptop ist bei uns eine Meldung im Ticketsystem, kein Krisenfall. Dafür verschlüsseln wir jedes Gerät, bevor es zum ersten Mal das Haus verlässt.“
Was der Schlüssel im Ernstfall ändert
Im Alltag. Ihre Mitarbeiter merken nichts. Der Rechner startet wie immer, die Verschlüsselung läuft im Hintergrund und kostet keine spürbare Leistung.
Bei einer Reparatur. Das Gerät fragt nach dem Wiederherstellungsschlüssel. Liegt er zentral, ist das ein Abruf. Liegt er auf einem Zettel in der Laptoptasche, die samt Gerät weg ist, ist er weg.
Beim Verlust. Die ausgebaute Platte ist ohne Schlüssel unlesbar. Aus dem verlorenen Laptop wird ein Sachschaden: ärgerlich, aber ersetzbar. Schlüssel abrufen, Ersatzgerät herrichten, weiterarbeiten.
In der Bewertung danach. Unlesbare Daten, eine dokumentierte Maßnahme, ein Ersatzgerät. Das ist eine andere Aktenlage als im Fall zu Beginn, und sie entscheidet über die Schreiben, die danach hinausgehen.
Die Bestandsaufnahme und die Grundsatzentscheidung schaffen Sie ohne fremde Hilfe. Die flächige Umsetzung gehört in betreute Hände, weil jemand die Schlüssel zentral verwahren, neue Geräte automatisch erfassen und Ausnahmen sichtbar machen muss. Verschlüsselung, die fast überall aktiv ist und auf zwei vergessenen Geräten nicht, gibt ein Sicherheitsgefühl, das nicht gedeckt ist.
„Der Fall tritt ja nie ein“
Der Einwand stimmt für die meisten Jahre. In einem gut geführten Büro geht selten ein Gerät verloren, und Aufwand für einen Fall, den man nie erlebt hat, fühlt sich falsch an.
Sie sperren abends trotzdem zu, obwohl noch nie jemand eingestiegen ist. Der Unterschied ist nur: Absperren dauert zwei Sekunden, die Verschlüsselung richtet jemand einmalig ein. Danach kostet beides nichts mehr.
Vier Fragen, und was Sie selbst tun können.
Wer stattdessen Vermutungen anbietet, kann Ihnen nach einem Verlust nicht sagen, ob die Platte offen war.
Nach der Geräteliste gefragt.Und keine Liste am Bildschirm gesehen?
Dann wissen Sie beim nächsten Verlust nicht, ob es ein Sachschaden ist oder ein Datenvorfall. Reden wir eine halbe Stunde darüber. Wir zählen Ihre Geräte durch und sagen bei jedem, ob es verschlüsselt ist und wo sein Schlüssel liegt.
