OneDrive Personal Vault ist der Ordner, den Microsoft jedem anbietet, der OneDrive bereits bezahlt oder einfach nutzt. Er liegt in Ihrem OneDrive, verlangt vor dem Öffnen eine zweite Überprüfung und sperrt sich automatisch wieder, wenn Sie sich entfernen. Die nächste Frage, nach der Nutzer suchen, ist, ob er tatsächlich verschlüsselt ist und ob das gleichbedeutend mit echter Privatsphäre ist. Hier ist, was Microsoft dazu angibt und was das in der Praxis bedeutet.

Was Personal Vault tut

Microsoft beschreibt den Personal Vault als geschützten Bereich in OneDrive für Ihre wichtigsten oder vertraulichsten Dateien und Fotos. Im Vergleich zum restlichen OneDrive kommen einige Funktionen hinzu:

  1. Eine zweite Überprüfung zum Öffnen. Die Anmeldung bei Ihrem Microsoft-Konto reicht nicht aus. Sie bestätigen den Zugriff zusätzlich per Fingerabdruck, Gesichtserkennung, PIN, einem Code per E-Mail oder SMS oder mit der Microsoft Authenticator-App.
  2. Automatische Sperre. Laut Microsoft sperrt er sich nach 20 Minuten Inaktivität im Web und nach 3 Minuten auf Mobilgeräten. Auf einem Windows-PC stellen Sie die Wartezeit selbst ein.
  3. Keine Freigaben. Dateien im Tresor können nicht geteilt werden. Sie müssen eine Datei dafür zuerst herausbewegen.
  4. Weniger Spuren. Tresor-Inhalte tauchen nicht in der OneDrive-Suche auf, und Vorschaubilder werden auf Ihrem Computer ausgeblendet.

Um eine Steuererklärung oder einen Pass-Scan hinter einer zusätzlichen Tür als den Rest Ihrer Cloud-Dateien aufzubewahren, ist das ein durchdachtes Konzept.

Ist er verschlüsselt?

Ja, genau wie der Rest von OneDrive. Microsofts Support-Seite zum Schutz Ihrer Daten in OneDrive besagt, dass jede Datei im Ruhezustand mit einem individuellen AES-256-Schlüssel verschlüsselt wird und dass Dateien bei der Übertragung durch TLS geschützt sind. Auf einem Windows-PC synchronisieren sich Personal Vault-Dateien in einen mit BitLocker verschlüsselten Bereich Ihrer Festplatte, und Microsoft erklärt, dass sie weder auf Ihrem PC noch auf Ihrem Mobilgerät oder im Browser ungeschützt zwischengespeichert werden.

Was Microsoft nicht sagt: dass er Ende-zu-Ende-verschlüsselt ist. Auf derselben Support-Seite wird erläutert, dass der Schlüssel jeder einzelnen Datei wiederum mit Masterschlüsseln verschlüsselt ist, die im Azure Key Vault liegen – dem hauseigenen Schlüsseldienst von Microsoft. Die Schlüssel werden also serverseitig von Microsoft verwaltet und nicht aus einem Passwort abgeleitet, das nur Sie kennen. Genau diesen Unterschied erläutert Zero-Knowledge-Verschlüsselung einfach erklärt: Verschlüsselung, die Ihre Dateien vor Außenstehenden schützt, ist nicht dasselbe wie eine Verschlüsselung, die auch den Anbieter selbst aussperrt.

Was ihn öffnet

Die Stärke des Personal Vault liegt in diesem zusätzlichen Schritt. Wer Ihr Microsoft-Passwort kennt, benötigt immer noch Ihren Fingerabdruck, Ihr Gesicht, Ihre PIN oder einen Einmalcode, um an die Daten zu gelangen. Das bietet echten Schutz vor ausgespähten Passwörtern.

Man sollte sich jedoch darüber im Klaren sein, wovor dieser zusätzliche Schritt schützt. Es handelt sich um eine Zugriffskontrolle vor Dateien, die in Ihrem Microsoft-Konto liegen. Jeder, der diese Überprüfung besteht oder an Ihrem entsperrten PC sitzt, bevor der Tresor verriegelt, kann die Dateien einsehen. Und da die Schlüssel bei Microsoft liegen, wird der Tresor durch die Richtlinien von Microsoft geschützt – nicht durch ein Geheimnis, das ausschließlich in Ihrer Hand liegt.

Die Grenzen, die die meisten übersehen

In den offiziellen FAQ von Microsoft werden mehrere Einschränkungen aufgeführt, die man kennen sollte, bevor man sich darauf verlässt:

  • Drei Dateien im kostenlosen Tarif. Ohne ein Abonnement für Microsoft 365 Family oder Single können Sie maximal drei Dateien ablegen.
  • Keine Mac-App. Der Personal Vault steht im Web, in der mobilen App oder auf einem Windows-PC zur Verfügung. macOS steht nicht auf der Liste der unterstützten Systeme; auf dem Mac greifen Sie daher über den Browser darauf zu.
  • Dateinamen unter Windows 10. Laut Microsoft schützt der Personal Vault unter Windows 10 die Namen und Hashwerte von Dateien nicht, solange der Tresor gesperrt ist.
  • Löschen am PC. Dateien, die auf einem PC aus dem Personal Vault gelöscht werden, sind dauerhaft entfernt und landen nicht im Windows-Papierkorb.
  • Bearbeiten auf dem Smartphone. Sie können Office-Dokumente auf dem Smartphone ansehen, müssen sie zum Bearbeiten jedoch aus dem Tresor heraus verschieben.
  • Verlaufslisten. Eine Datei, die Sie aus dem Tresor heraus öffnen, kann weiterhin in der Liste der zuletzt verwendeten Dateien der jeweiligen App auftauchen.

Dabei handelt es sich weniger um Fehler als um die grundlegende Beschaffenheit des Features: ein gesperrter Winkel eines Cloud-Laufwerks, der vor allem für Windows entwickelt wurde.

Der Schloss-oder-Tor-Test

In Ordner auf Mac und Windows mit Passwort schützen nutzen wir drei Kriterien, um jeden gesperrten Ordner zu beurteilen. So schneidet der Personal Vault dabei ab:

  1. Sind die Dateien verschlüsselt? Ja: AES-256 im Ruhezustand, TLS bei der Übertragung, BitLocker für lokale Kopien unter Windows. Nicht Ende-zu-Ende.
  2. Ist der Schlüssel von Ihrem Benutzerkonto getrennt? Nur teilweise. Sie benötigen eine zweite Überprüfung, aber der Tresor bleibt Teil Ihres Microsoft-Kontos und die Schlüssel liegen bei Microsoft.
  3. Was passiert, wenn Sie ihn vergessen? Sie stellen den Zugriff über Ihr Microsoft-Konto und dessen Bestätigungsmethoden wieder her. Das ist bequem, aber auch ein klares Zeichen dafür, dass der Schlüssel Ihnen nicht allein gehört.

Das macht den Personal Vault eher zu einem stabilen Tor vor einem Cloud-Speicher als zu einem Schloss, das nur Sie allein öffnen können. Wenn Sie nach einer echten Alternative suchen, stellt Bester sicherer Ordner für Windows und Mac die verschiedenen Möglichkeiten gegenüber.

Wann sich ein dedizierter Tresor lohnt

Eine eigenständige Tresor-App wie Vaultine beantwortet diese Fragen anders. Dateien werden direkt auf Ihrem Gerät mit AES-256 verschlüsselt und lassen sich nur mit dem separaten Muster oder der separaten PIN von Vaultine öffnen – völlig unabhängig von Ihrem Microsoft-Konto, Ihrem Mac-Passwort oder dem Entsperrcode Ihres Smartphones.

Sie deckt zudem Bereiche ab, die der Personal Vault gar nicht erst anstrebt:

  • Eine echte Mac-App. Vaultine läuft nativ auf macOS und Windows, und derselbe Tresor funktioniert ebenso auf dem iPhone und unter Android. Wie das funktioniert, zeigt Verschlüsselter Tresor für alle Geräte.
  • Aufforderung zum Entsperren. Ein Decoy Vault und ein Duress Vault bieten Schutz für Momente, in denen jemand darauf besteht, dass Sie den Tresor öffnen.
  • Ein vergessenes Muster oder eine vergessene PIN. Eine aus 12 Wörtern bestehende Wiederherstellungsphrase stellt Ihren Zugang wieder her. Da niemand sonst Ihren Schlüssel besitzt, kann das auch niemand sonst.

Ihre Dateien verbleiben standardmäßig auf Ihrem Gerät. Die Dropbox-Synchronisierung (Pro) ist optional; wird sie genutzt, werden die Dateien verschlüsselt, bevor sie Ihr Gerät verlassen. Wenn Sie OneDrive weiterhin nutzen möchten, erklärt Dateien vor dem Upload zu Dropbox verschlüsseln das zugrundeliegende Prinzip für jeden Cloud-Dienst: zuerst verschlüsseln, danach hochladen.

Die Kurzfassung

OneDrive Personal Vault ist verschlüsselt: AES-256 im Ruhezustand, TLS bei der Übertragung und BitLocker auf Windows-PCs. Er bietet eine zweite Sicherheitsabfrage, sperrt sich automatisch und blockiert die Freigabe. Er ist nicht Ende-zu-Ende-verschlüsselt, die Schlüssel werden von Microsoft verwaltet, kostenlose Konten sind auf drei Dateien beschränkt und es gibt keine Mac-App. Wenn Sie ein Schloss mit eigenem Schlüssel suchen, das auf Ihrem Mac genauso wie auf dem PC funktioniert, ist ein dedizierter Tresor genau dafür gedacht.

Kostenlos testen mit bis zu 10 Dateien auf vaultine.app.