# Speicher und Dateien Verschlüsseln Für einen wirksamen Schutz der Daten _muss_ auch das lokale [[Geräte Verschlüsseln|Endgerät]] verschlüsselt sein, mit dem Verschlüsselung/Entschlüsselung stattfindet. Auch das verwendete Passwort muss sicher sein. Siehe [[Passwörter]]. > [!error] Hole dir einen Passwortmanager! > Du musst in allen Fällen ein sicheres Passwort generieren und abspeichern. [Bitwarden](https://bitwarden.com) ist kostenlos und geprüft sicher. Siehe [[Passwörter#Passwortmanager|Passwortmanager]]. Für **tragbare Speicher** (USB Sticks, externe Festplatten, etc) und **lokale Verzeichnisse** auf dem Computer eignet sich [Veracrypt](https://veracrypt.eu/en/Home.html) sehr gut. Hier wird ein Verzeichnis oder der gesamte Speicher eine VeraCrypt *Container*. Dieser nimmt (wie bei einem richtigen Container) immer die gleiche Größe ein, egal wie viel drin liegt, kann aber bei bedarf vergrößert werden. Das erlaubt *plausible deniability*, also eine Art zweite Wand und schützt die *Metadaten* der Datein. - [YouTube Tutorial – Veracrypt](https://www.youtube.com/watch?v=HSeoekvGocs) (6min) > [!info]- Exkurs: plausible deniability > Warum sollte ich überhaupt ein zweites Passwort und fallback Speicher anlegen wollen? Mein Gerät und Daten sind doch super sicher Verschlüsselt, kein Dieb kommt da rein! Einfach erklärt: >  Für **Netzwerk-Verzeichnisse**, speziell **Cloud-Speicher** (z.B. iCloud oder OneDrive) eignet sich [cryptomator](https://cryptomator.org) besonders gut. Hier gibt es auch mit dem [Hub](https://cryptomator.org/hub/) die Möglichkeit in der Cryptomator *Vault* zusammenzuarbeiten. Die größe der Vault wächst mit der Größe der in Ihr liegenden Daten. Wichtig: niemals in Cryptomator die Option "Passwort speichern" aktivieren! - [YouTube Tutorial – Cryptomator](https://www.youtube.com/watch?v=AIS5vbUAFc0) (3min) > [!warning]- Vorsicht bei Cloudspeichern > Viele Dienste werben mit Verschlüsselung, meinen dabei aber nicht Ende-zu-Ende Verschlüsselung. Eine Cloud ist nichts anderes, als ein Computer von jemand anderem. Heißt: dieser andere kann mitlesen. Anbieter aus den USA (z.B. Google oder Microsoft) müssen den hiesigen Sicherheitsbehörden vollständige Einsicht in die Daten geben. [^tlsnsa] Es gibt wenig Speicher-Anbieter, die wirklich Ende-zu-Ende verschlüsseln. > [!faq] Was nun, Veracrypt oder Cryptomator? > Veracrypt bietet gegenüber Cryptomator zusätzliche Funktionen wie *plausibe deniability*, *Metadatenschutz*, mehr Sicherheit und *Keyfiles*. Der Nachteil ist, dass bei jeder Änderung der Veracrypt Container ein neus Änderungsdatum bekommt. Heißt bei Clouds: der gesamte Container wird neu hochgeladen. Bei Cryptomator Vaults werden nur geänderte Dateien neu hochgeladen, das geht deutlich schneller. Geräte auf die direkt zugegriffen wird (z.B. lokale festplatten, USB Sticks) kommen damit klar. **Kurz gesagt: bei Cloudpeicher ist Cryptomator sinnvoll, bei allem anderen Veracrypt.** Vom **Verschlüsseln einzelner Dateien** direkt in Word/Acrobat/etc rate ich ab: nicht weil es nicht theoretisch sicher möglich ist, sondern weil es in der Praxis zu einfach ist Fehler zu machen: - es gibt bei einigen Programmen (z.B. bei Adobe Acrobat) versionsabhängige Sicherheitslücken - plausibe deniability ist unmöglich - teilweise werden alte, unsichere hashgrößen eingesetzt - Es gibt selten sinnvolle Vorgaben für sichere Passwörter - dank Dictionary oder [brute force angriff](https://infinitelogins.com/2020/04/29/how-to-crack-encrypted-7z-archives/) ist das Öffnen von ZIP-Files / Dateien in der Regel recht einfach. Mehr dazu im [[Selbstverteidigung gegen Überwachungsstaat & -kapitalismus#^ef76d6|Workshop.]] Bei **zip-Archiven** liegen die Daten nach dem Entschlüsseln offen auf der Festplatte. Ist diese nicht verschlüsselt, können die Daten ausgelesen werden, zum Beispiel im Falle eines Dienstahls. Bei VeraCrypt/Cryptomator werden die Dateien nur zur Laufzeit des Gerätes und Programmes entschlüsselt. Zusätzlich gilt bei ZIP's das gleiche Fehlerpotential wie beim Verschlüsseln einzelner Dateien. ### Zusammenfassung: wie verschlüssele ich Dateien, Ordner oder Speicher? 1. Sicheres Passwort (alternativ [Keyfile](https://veracrypt.fr/en/Keyfiles%20in%20VeraCrypt.html)) - Zufallsgeneriert (!!!) - 20+ Zeichen (Buchstaben groß & klein + Zahlen + Sonderzeichen) - ...oder 5+ Wörter (+ Zahl + Sonderzeichen) 2. Sichere Ablage (z.B. Passwortmanager oder UbiKey) - Zugang zur Ablage (z.B. Bitwarden) ist durch den Faktor "Wissen" (Starkes Passwort) UND dem zweiten Faktor "Haben" (z.B. ein *anderes* Gerät mit [Auth-App](https://bitwarden.com/products/authenticator/)) gesichert 3. Verschlüsselte, nicht überwachte Geräte - auch das Gerät, was der zweite Faktor (z.B. mit der Auth-App) ist! 4. Entschlüsselung nur im Arbeitsspeicher (wie z.B. bei VeraCrypt und Cryptomator) - anders Gesagt: auf Speichermedien (z.B. interne Festplatte, USB-Stick, Netzwerkspeicher/"Cloud", etc) liegt immer nur die verschlüsselte Vault bzw der Container 5. Wenn nötig: plausible Deniability - Relevant wenn dein Bedrohungsszenario einen gewaltbereiten, an den Daten interessierten Gegner einschließt (z.B. bei häuslicher Gewalt oder politisch Verfolgten) ## Email Anhänge Leider passieren hier oft die absurdesten fehler. E-Mail stammt aus den 1970ern und hat sich seitdem kaum weiterentwickelt. Dementsprechend ungeeignet ist es nach modernen Sicherheitsstandards. > [!info]- Sicherheits-Probleme bei E-Mail > E-Mail wird (in der Regel) nur vom Client zum Server per TLS/SSL Verschlüsselt übertragen. Heißt: alle beteiligten Server können den Inhalt mitlesen.[^1] Es ist daher sinnfrei, das Passwort zu den Daten mit in die E-Mail zu packen. Auch eine zweite danach ist sinnfrei, auch wenn sie an eine andere Adresse geht. Der Inhalt ist für ALLE beteiligten Server (und damit auch für deren Administratoren) IMMER sichtbar. Eine Ausnahme bildet Mail-Verschlüsselung mit PGP, das ist aber unhandlich und es gibt viele Möglichkeiten Fehler zu machen. Lösung: sichere Messenger mit modernen Standards nutzen (z.B. Signal, Matrix oder Threema). Wenn zwingend E-Mail, dann Passwörter zu Vaults/Dateien über einen Ende-zu-Ende verschlüsselten Messenger (an einen bestenfalls verifizierten Kontakt) übertragen. SMS erfüllt diese Anforderung *nicht*. ![[Selbstverteidigung gegen Überwachungsstaat & -kapitalismus#^ef76d6]] [^1]: Anbieter wie Google oder Microsoft (Outlook) lesen emails auch zu Werbezwecken. Darüber hinaus liest auch das lokale Programm "Outlook" in neuen Versionen alle emails mit. [Mehr infos auf Heise.de](https://www.heise.de/news/Microsoft-krallt-sich-Zugangsdaten-Achtung-vorm-neuen-Outlook-9357691.html). Kurz gesagt: um Daten zu schützen, MUSS jede Person die mit sensiblen Daten arbeitet ein anderes E-Mail Programm verwenden, jede Privatperson SOLLTE es. Gleiches gilt für Anbieter die Emails mitlesen. [^tlsnsa]: bei der NSA kippt jedes Mal jemand lachend vom Stuhl wenn irgendwer die Daten bei Google, Dropbox oder Microsoft sicher glaubt, weil sie da ja "verschlüsselt" liegen. Viele haben die anlasslose Massenüberwachung vergessen die Snowden aufdeckte, aber sie existiert auch heute noch!