Wiederherstellen von Dateien, die durch EFS auf einem NTFS-Laufwerk verschlüsselt wurden
-
Autor:
Glib Khomenko
-
Editor:
Alexandr Shafarenko
In diesem Artikel betrachten wir eine Situation, in der Dateien mit Windows EFS verschlüsselt wurden und anschließend verschwunden sind: Sie wurden versehentlich gelöscht, formatiert, die Partition wurde gelöscht, das NTFS-Dateisystem wurde beschädigt oder der Zugriff auf die Dateien ging nach einer Neuinstallation von Windows verloren. Wir zeigen, wie mit dem EFS-Zertifikat und dem privaten Schlüssel unter Windows gearbeitet wird und wie verschlüsselte Dateien unter macOS behandelt werden.
- Was ist Windows EFS?
- EFS-Zertifikat und privater Schlüssel
- Wiederherstellung gelöschter verschlüsselter Dateien
- Fazit
- Häufig gestellte Fragen
- Bemerkungen
EFS (Encrypting File System) ist eine in Windows integrierte Technologie zur Verschlüsselung von Dateien auf NTFS-Volumes. Sie schützt sensible Daten, doch das Löschen einer verschlüsselten Datei kann deren Wiederherstellung erheblich erschweren. Dies ist insbesondere relevant, wenn nach dem Löschen weiterhin neue Daten auf das Laufwerk geschrieben werden.
Wenn eine EFS-Datei versehentlich gelöscht wurde, bedeutet das nicht zwangsläufig, dass ihr Inhalt sofort verloren ist. In einigen Fällen verbleiben die physischen Daten auf dem Laufwerk, bis sie überschrieben werden. Für den Zugriff auf eine wiederhergestellte Datei müssen jedoch die EFS-spezifischen Voraussetzungen beachtet werden: das Vorhandensein des Verschlüsselungszertifikats und des zugehörigen privaten Schlüssels.
In diesem Artikel erläutern wir, wie sich gelöschte EFS-Dateien von einem NTFS-Laufwerk wiederherstellen lassen, welche Bedingungen für den Zugriff auf deren Inhalt erforderlich sind, welche Rolle das EFS-Zertifikat und der PFX-Schlüssel spielen und was zu tun ist, wenn eine Datei gelöscht oder beschädigt wurde. Außerdem betrachten wir getrennt Szenarien, in denen das Zertifikat und der private Schlüssel verfügbar sind, sowie Fälle ohne vorhandenes Backup.
EFS-verschlüsselte Dateien von einem NTFS-Laufwerk wiederherstellen | Zertifikat und PFX-Schlüssel
Was ist Windows EFS?
Windows EFS, oder Encrypting File System, ist eine Technologie zur Verschlüsselung einzelner Dateien und Ordner im NTFS-Dateisystem.
Nach der Verschlüsselung bleibt die Datei in Windows sichtbar, geöffnet werden kann sie jedoch nur von dem Benutzer, dessen Profil das entsprechende EFS-Zertifikat und den privaten Schlüssel enthält. Diese Daten bestätigen das Recht auf Zugriff auf die verschlüsselte Datei. Wird eine solche Datei auf einen anderen Computer kopiert oder Windows ohne Beibehaltung des Schlüssels neu installiert, kann der Zugriff verloren gehen.
Wichtig: EFS arbeitet ausschließlich mit NTFS. Wenn das Laufwerk als FAT32 oder exFAT formatiert ist, steht diese Funktion nicht zur Verfügung.
| Merkmal | Beschreibung |
|---|---|
| Name | EFS (Encrypting File System) ist eine in Windows integrierte Technologie zur Verschlüsselung einzelner Dateien und Ordner. |
| Dateisystem | EFS arbeitet mit dem NTFS-Dateisystem. |
| Zweck | Schutz sensibler Dateien vor unbefugtem Zugriff. |
| Verschlüsselungsebene | Einzelne Dateien und Ordner werden verschlüsselt, nicht das gesamte Laufwerk. |
| Funktionsprinzip | Für die Verschlüsselung der Datei wird ein symmetrischer Schlüssel verwendet, der zusätzlich durch die kryptografischen Schlüssel des Benutzers geschützt wird. |
| EFS-Zertifikat | Das Zertifikat identifiziert den Benutzer, der EFS-Dateien entschlüsseln darf. |
| Privater Schlüssel | Erforderlich zur Entschlüsselung von EFS-Dateien. Sein Verlust kann zum Verlust des Zugriffs auf die Daten führen. |
| Schlüsselsicherung | Das EFS-Zertifikat und der private Schlüssel können in eine PFX/P12-Datei exportiert und mit einem Kennwort geschützt werden. |
| Dateizugriff | Ein autorisierter Benutzer kann EFS-Dateien nahezu wie reguläre Dateien öffnen und verwenden. |
| Dateilöschung | Eine gelöschte EFS-Datei kann manchmal wiederhergestellt werden, wenn ihre Daten noch nicht überschrieben wurden. |
| Entschlüsselung nach der Wiederherstellung | Für den Zugriff auf den Inhalt einer wiederhergestellten Datei ist der entsprechende EFS-private Schlüssel erforderlich. |
| Sicherung | Es wird empfohlen, das EFS-Zertifikat und den privaten Schlüssel regelmäßig zu sichern, da ihr Verlust die Daten unzugänglich machen kann. |
Worin besteht der Unterschied zwischen BitLocker und EFS?
BitLocker und EFS verfolgen ein gemeinsames Ziel: Informationen vor unbefugtem Zugriff zu schützen. Sie werden jedoch auf unterschiedlichen Ebenen und in unterschiedlichen Szenarien eingesetzt.
- BitLocker verschlüsselt ein gesamtes Laufwerk oder eine bestimmte Partition. Sein Hauptzweck besteht darin, den Inhalt unzugänglich zu halten, wenn ein Laptop, eine HDD oder SSD gestohlen wird. Wird ein solches Laufwerk mit einem anderen Computer verbunden, kann es ohne den Wiederherstellungsschlüssel, das entsprechende TPM oder ein Kennwort nicht gelesen werden.
- EFS arbeitet mit einzelnen Dateien im NTFS-Dateisystem. Diese Technologie eignet sich besser für Mehrbenutzer-Computer, auf denen mehrere Konten Zugriff auf dasselbe Speichergerät haben. Der Besitzer kann seine Dokumente normal öffnen, während andere Benutzer sie ohne das passende Zertifikat und den privaten Schlüssel nicht anzeigen können.
Auch der Wiederherstellungsmechanismus ist unterschiedlich:
- Für BitLocker wird in der Regel ein 48-stelliger Wiederherstellungsschlüssel, TPM oder ein Wiederherstellungskennwort verwendet.
- Für EFS wird ein Zertifikat mit privatem Schlüssel benötigt, das in eine .pfx-Datei exportiert werden kann.
Nach dem Entsperren von BitLocker arbeitet das System transparent: Das Betriebssystem und die Anwendungen sehen die Dateien als normale Dateien. EFS beeinträchtigt ebenfalls nicht die Arbeit des Besitzers mit Dokumenten, für andere Konten bleiben die Dateien jedoch unzugänglich.
Diese Lösungen können kombiniert werden: BitLocker schützt das gesamte Volume, während EFS den Zugriff auf ausgewählte Dateien zusätzlich auf Benutzerebene einschränkt.
| Merkmal | BitLocker | EFS |
|---|---|---|
| Zweck | Schützt ein gesamtes Laufwerk oder eine Partition vor unbefugtem Zugriff. | Verschlüsselt einzelne Dateien und Ordner. |
| Verschlüsselungsebene | Verschlüsselt das gesamte Volume einschließlich des Dateisystems und seiner Daten. | Verschlüsselt nur ausgewählte Dateien und Ordner. |
| Dateisystem | Wird vor allem mit NTFS verwendet, schützt das Volume jedoch unabhängig von einzelnen Dateien. | Arbeitet mit dem NTFS-Dateisystem. |
| Hauptanwendungsfall | Schutz von Daten bei Verlust oder Diebstahl eines Computers oder Speichermediums. | Schutz einzelner sensibler Dateien vor anderen Benutzern des Systems. |
| Schlüssel und Authentifizierung | Kann je nach Konfiguration TPM, PIN, Kennwort, Wiederherstellungsschlüssel und weitere Mechanismen verwenden. | Verwendet ein EFS-Zertifikat und den zugehörigen privaten Schlüssel des Benutzers. |
| Betrieb nach der Anmeldung bei Windows | Nach dem Entsperren des Laufwerks erhält der Benutzer Zugriff auf die Daten gemäß den Dateisystemberechtigungen. | Ein autorisierter Benutzer kann verschlüsselte Dateien ohne manuelle Entschlüsselung öffnen. |
| Schutz vor einem anderen Windows-Benutzer | Dient allein nicht dazu, den Zugriff zwischen Benutzern nach dem Entsperren des Laufwerks zu unterscheiden. | Ermöglicht den Schutz von Dateien vor anderen Benutzern, die nicht über den entsprechenden EFS-Schlüssel verfügen. |
| Schutz bei physischem Zugriff auf das Laufwerk | Hoch: Ohne den Entsperrschlüssel sind die Daten auf dem verschlüsselten Volume unzugänglich. | Schützt einzelne Dateien, jedoch nicht den gesamten Inhalt des Laufwerks. |
| Schlüsselsicherung | Es ist wichtig, den BitLocker-Wiederherstellungsschlüssel aufzubewahren. | Es ist entscheidend, das EFS-Zertifikat und den privaten Schlüssel zu sichern. |
| Sicherungsformat | Der Wiederherstellungsschlüssel kann als 48-stelliger Code und je nach Konfiguration auf andere Weise gespeichert werden. | Das Zertifikat und der private Schlüssel können in eine PFX/P12-Datei exportiert werden. |
| Wiederherstellung gelöschter Dateien | Gelöschte Dateien gehören zum verschlüsselten Volume; für deren Bearbeitung ist Zugriff auf das entsperrte Volume erforderlich. | Nach der Wiederherstellung einer gelöschten Datei muss zusätzlich der entsprechende EFS-private Schlüssel vorhanden sein, um auf deren Inhalt zuzugreifen. |
| Auswirkung auf die Leistung | Hängt von der Hardwarebeschleunigung und der Systemkonfiguration ab, ist auf moderner Hardware in der Regel gering. | Hat gewöhnlich nur geringe Auswirkungen, da nur einzelne Dateien verschlüsselt werden. |
| Schutzumfang | Daten auf dem gesamten verschlüsselten Volume. | Der Inhalt bestimmter verschlüsselter Dateien. |
| Einsatzbereich | Zum Schutz eines Laptops, Systemlaufwerks, einer SSD, HDD oder eines externen Speichergeräts. | Zum Schutz einzelner Dokumente, Ordner und anderer sensibler Dateien. |
EFS-Zertifikat und privater Schlüssel
Wenn ein Benutzer Dateien mit EFS verschlüsselt, erstellt oder verwendet Windows das EFS-Zertifikat des aktuellen Benutzers. Es wird im Windows-Zertifikatsspeicher gespeichert.
Um die Zertifikate des aktuellen Benutzers anzuzeigen, drücken Sie Win + R, geben Sie den Befehl certmgr.msc ein und drücken Sie Enter.
Im geöffneten Zertifikat-Manager wechseln Sie zu Aktueller Benutzer – Persönlich – Zertifikate. Das mit Encrypting File System verknüpfte Zertifikat wird normalerweise hier gespeichert.
Wichtig zu verstehen: Der Zugriff auf EFS-Dateien erfordert nicht nur das Kennwort des Windows-Kontos, sondern auch das entsprechende EFS-Zertifikat und den privaten Schlüssel. Geht der private Schlüssel verloren, ist es mit den Standard-Windows-Tools nicht möglich, die Dateien zu entschlüsseln.
Wie exportiere ich den EFS-Schlüssel in eine *.PFX-Datei?
Nachdem Dateien verschlüsselt wurden, zeigt Windows möglicherweise eine Benachrichtigung an, die zum Sichern des Schlüssels auffordert. Dieser Schritt sollte nicht übersprungen werden, da dieses Backup den Zugriff auf EFS-Dateien nach einer Neuinstallation des Systems oder beim Übertragen von Daten auf einen anderen Computer wiederherstellen kann.
Um den Schlüssel manuell zu exportieren, drücken Sie Win + R, geben Sie den Befehl certmgr.msc ein und drücken Sie Enter.
Wechseln Sie im Fenster des Zertifikat-Managers zu Persönlich – Zertifikate, suchen Sie das Zertifikat mit dem Verwendungszweck Encrypting File System, klicken Sie es mit der rechten Maustaste an und wählen Sie Alle Aufgaben – Exportieren.
Im Zertifikatsexport-Assistenten wählen Sie unbedingt Ja, privaten Schlüssel exportieren aus und geben anschließend das Format Personal Information Exchange – PKCS #12 (.PFX) an.
Setzen Sie anschließend ein Kennwort zum Schutz der .pfx-Datei und speichern Sie sie auf einem anderen Speichermedium, beispielsweise auf einem USB-Stick oder einem externen Laufwerk.
Die .pfx-Datei enthält den privaten Schlüssel und muss daher an einem sicheren Ort aufbewahrt werden. Gelangt sie zusammen mit dem Kennwort in die Hände einer unbefugten Person, kann diese auf Ihre verschlüsselten EFS-Dateien zugreifen.
Möglichkeiten und Einschränkungen des EFS-Schlüssels
Der EFS-Schlüssel wird benötigt, um auf mit Encrypting File System verschlüsselte Dateien zuzugreifen. Er kann verwendet werden, um verschlüsselte Daten zu öffnen, den Zugriff auf einen anderen Computer zu übertragen, eine Zertifikatsicherung zu erstellen oder die Verschlüsselung von Dateien zu entfernen.
Wichtig zu verstehen: Ohne den privaten Schlüssel ist es nicht möglich, das Kennwort einer EFS-Datei einfach herauszufinden, es per Brute-Force zu ermitteln oder die Datei allein mit dem Windows-Konto-Kennwort zu öffnen.
Wenn Windows neu installiert wurde, das Benutzerprofil verloren ging und kein Backup des Schlüssels im .pfx-Format vorhanden ist, kann der Zugriff auf die EFS-Dateien für immer verloren sein.
Ein Datenrettungsprogramm kann die verschlüsselten Dateien selbst finden oder bei der Wiederherstellung verlorener Schlüsselsicherungen helfen. Es kann die EFS-Verschlüsselung jedoch nicht ohne den richtigen privaten Schlüssel brechen.
Wiederherstellung gelöschter verschlüsselter Dateien
Starten Sie Hetman Partition Recovery. Im Hauptfenster zeigt das Programm alle verfügbaren angeschlossenen Speichermedien an, die gescannt werden können.
Um den Inhalt des Speichermediums anzuzeigen und verlorene Daten zu finden, starten Sie die Analyse. In den meisten Fällen wird empfohlen, mit der Schnellanalyse zu beginnen, insbesondere wenn das Dateisystem nicht beschädigt wurde.
Nach Abschluss des Scans zeigt das Programm aktuelle und gelöschte Dateien an und kennzeichnet gelöschte Elemente mit einem speziellen Symbol. Die ursprüngliche Ordnerstruktur bleibt ebenfalls erhalten, was das Auffinden der benötigten Daten erheblich erleichtert. Unter den gefundenen Dateien können sich auch verschlüsselte Elemente befinden. Deren Vorschau ist erst verfügbar, nachdem der entsprechende Zugriffsschlüssel hinzugefügt wurde. In diesem Fall fordert das Programm Sie auf, den zum Entschlüsseln der Dateien erforderlichen Schlüssel anzugeben.
Sie können den Schlüssel für verschlüsselte Dateien auf zwei Arten hinzufügen: Um Entschlüsselungsdaten hinzuzufügen, klicken Sie im Vorschaufenster auf Entschlüsselungsdaten hinzufügen.
Sie können auch die erforderliche Datei auswählen, das Menü Tools öffnen und Entschlüsselungsdaten hinzufügen wählen.
Danach öffnet sich ein Dialogfeld. Dort müssen Sie den Verschlüsselungstyp angeben, die Schlüsseldatei auswählen und das zugehörige Kennwort eingeben.
Nach dem Hinzufügen der korrekten Entschlüsselungsdaten erhält das Programm Zugriff auf den Inhalt der verschlüsselten Dateien und zeigt ihn in der Vorschau an. Wählen Sie die erforderlichen Elemente aus und klicken Sie auf Wiederherstellen. Geben Sie anschließend den Speicherort an.
Wichtig: Wiederhergestellte Daten müssen auf einem anderen physischen Speichermedium gespeichert werden. Speichern Sie die Dateien nicht auf demselben Laufwerk oder derselben Partition, von der aus der Scan durchgeführt wurde, da dadurch Daten überschrieben und weitere Wiederherstellung erschwert oder unmöglich gemacht werden kann.
Fazit
Die Wiederherstellung gelöschter EFS-Dateien von einem NTFS-Laufwerk hat ihre eigenen Besonderheiten, denn es reicht nicht aus, die Datei lediglich vom Laufwerk wiederherzustellen — es muss auch sichergestellt werden, dass sie entschlüsselt werden kann. Nach dem Löschen können Daten auf dem Speichermedium verbleiben, bis sie überschrieben werden. Daher ist der wichtigste Schritt, keine neuen Daten mehr auf das Laufwerk zu schreiben und die Wiederherstellung so schnell wie möglich zu beginnen.
Für den erfolgreichen Zugriff auf den Inhalt einer EFS-Datei sind das EFS-Zertifikat und der zugehörige private Schlüssel entscheidend. Wenn sie in einem Backup gespeichert oder in eine PFX-Datei exportiert wurden, kann die wiederhergestellte Datei nach dem Zurückspielen auf ein NTFS-Laufwerk entschlüsselt werden. Ist der private Schlüssel verloren gegangen oder beschädigt, garantiert die bloße Wiederherstellung der verschlüsselten Datei nicht, dass ihr Inhalt gelesen werden kann.
Daher ist die beste Strategie, die Wiederherstellung gelöschter Daten vom NTFS-Laufwerk mit einer gespeicherten Sicherung der EFS-Schlüssel zu kombinieren. Regelmäßige Sicherungen des Zertifikats und des privaten Schlüssels im PFX-Format können das Risiko eines irreversiblen Verlusts des Zugriffs auf verschlüsselte Dateien erheblich verringern.
