Den Laptop zu verlieren fühlt sich an, als würde man einen Gegenstand verlieren. Man ermittelt den Preis für Ersatz, ärgert sich über die Selbstbeteiligung der Versicherung und geht zur Tagesordnung über. Aber die Hardware ist meistens das Günstigste in der Tasche. Die eigentliche Frage ist, was die Person, die ihn jetzt in den Händen hält, lesen kann — und bei den meisten Laptops lautet die ehrliche Antwort: alles.

Hier ist, was tatsächlich mit Ihren Daten passiert, wenn ein Laptop verschwindet, und die eine Einstellung, die darüber entscheidet, ob das überhaupt eine Rolle spielt.

Ihr Anmeldepasswort ist eine Tür, kein Tresor

Dies ist das Missverständnis, das den größten Schaden anrichtet.

Ein Windows- oder macOS-Anmeldepasswort entscheidet, wer sich am laufenden Betriebssystem anmelden darf. Es bewirkt nichts an den Bytes auf dem Laufwerk. Wenn die Festplatte nicht verschlüsselt ist, hat ein Dieb zwei triviale Möglichkeiten, das Passwort zu umgehen:

  • Das Laufwerk ausbauen. Moderne Laptops machen das schwerer, aber wo der Speicher entnehmbar ist, kann er als externes Laufwerk an einen anderen Computer angeschlossen werden. Der andere Computer hat keine Ahnung, dass Ihr Passwort existiert. Er sieht einfach Dateien.
  • Von etwas anderem booten. Starten Sie den Rechner von einem USB-Installationsmedium oder einem Linux-Live-Stick, und schon durchsuchen Sie das interne Laufwerk, ganz ohne Anmeldeaufforderung.

Keines von beidem erfordert besondere Fähigkeiten. Für beides gibt es Schritt-für-Schritt-Anleitungen im offenen Internet. Ein Anmeldepasswort stoppt Ihren Mitbewohner; es stoppt niemanden, der den Rechner mit einem Schraubenzieher und einem freien Nachmittag auf einem Schreibtisch stehen hat.

Was sie tatsächlich lesen können

Nehmen wir an, das Laufwerk ist nicht verschlüsselt. Hier ist das realistische Inventar eines normalen Arbeits-Laptops:

  • Ihr Dokumentenordner — Steuererklärungen, Gehaltsabrechnungen, Verträge, Scans Ihres Reisepasses und Führerscheins. Die Dateien, die die meisten Menschen niemals unverschlüsselt aufbewahren sollten, liegen statistisch gesehen genau dort.
  • Ihre Fotos — einschließlich derer, die Sie in einen „versteckten“ oder seltsam benannten Ordner verschoben haben, der in keinem sinnvollen Sinne versteckt ist. Ein Häkchen im Dateimanager reicht aus, um sie anzuzeigen.
  • Ihr Browser-Profil — gespeicherte Passwörter, automatisch ausgefüllte Adressen und Kartendaten, Cookies und die Sitzungs-Tokens (Session Tokens), durch die jemand in Ihren Konten angemeldet bleiben kann, ohne jemals das Passwort zu benötigen.
  • Ihre synchronisierten Cloud-Ordner — die lokalen Kopien von Dropbox, OneDrive, Google Drive und iCloud Drive liegen in klarer, lesbarer Form auf der Festplatte, und die Desktop-Apps sind normalerweise noch angemeldet.
  • Ihre Nachrichten — Desktop-Chat-Apps speichern einen lokalen Verlauf. Jahrelange Konversationen, durchsuchbar.

Das letzte Paar ist das dicke Ende. Leute denken bei einem gestohlenen Laptop daran, dass sie verlieren, was auf dem Laptop war. In der Praxis ist es oft ein Schlüsselbund zu Konten, die ganz woanders liegen.

„Aber ich kann ihn doch einfach fernlöschen“

Das können Sie versuchen, und das sollten Sie auch. Wo ist? unter macOS und Mein Gerät finden unter Windows können einen Rechner für die Löschung markieren.

Der Haken ist, dass ein Löschbefehl kein Zauberstab ist. Er reiht sich in eine Warteschlange ein und wird ausgeführt, wenn der Laptop sich das nächste Mal mit dem Internet verbindet. Ein Dieb, der den Deckel geschlossen hält oder das Gerät löscht und neu installiert, bevor es sich mit einem Netzwerk verbindet, erhält die Nachricht nie. Jemand, der nur das Laufwerk will, muss den Laptop nicht einmal einschalten.

Betrachten Sie Remote Wipe als ein Lottoticket, das Sie gerne in der Hand halten. Betrachten Sie es nicht als Ihre Datenschutzstrategie.

Die Einstellung, die das tatsächlich entscheidet: Vollständige Festplattenverschlüsselung

Hier sind die guten Nachrichten. Es gibt eine Einstellung, die das gesamte Ergebnis ändert, und sie ist in das Betriebssystem integriert, das Sie bereits besitzen.

  • macOS: FileVault. Systemeinstellungen → Datenschutz & Sicherheit → FileVault.
  • Windows: BitLocker / Geräteverschlüsselung. Einstellungen → Datenschutz & Sicherheit → Geräteverschlüsselung oder BitLocker-Laufwerksverschlüsselung in den Editionen, die es anbieten.

Wenn die vollständige Festplattenverschlüsselung (Full-Disk Encryption) aktiviert ist, ist das gesamte Laufwerk ohne Ihre Zugangsdaten unlesbar. Ausbauen, woanders anschließen, von einem USB-Stick booten — es macht keinen Unterschied, weil es nichts Lesbares gibt. Der Dieb hat Hardware. Das ist alles, was er hat.

Zwei Vorbehalte, die man kennen sollte:

  1. Sie ist nicht immer aktiviert. Ob die Verschlüsselung standardmäßig aktiviert ist, hängt von Ihrer OS-Version, der Edition, der Hardware und davon ab, wie der Rechner eingerichtet wurde. Gehen Sie nicht davon aus — öffnen Sie die Einstellung und sehen Sie nach.
  2. Sie schützt Daten im Ruhezustand. Die vollständige Festplattenverschlüsselung verrichtet ihre Arbeit, wenn der Rechner ausgeschaltet ist. Wird Ihr Laptop im Café vom Tisch geschnappt, während er wach und angemeldet ist, ist die Festplatte bereits entsperrt. Und somit auch alles darauf.

Dieser zweite Vorbehalt ist die Lücke, durch die viele Diebstähle direkt fallen. Laptops werden selten nachts um 3 Uhr aus einer verschlossenen Schublade gestohlen. Sie werden offen gestohlen, an einem Tisch, mitten im Satz.

Das zweite Schloss: Verschlüsseln Sie die Dateien, auf die es ankommt

Die vollständige Festplattenverschlüsselung ist der Boden, nicht die Decke. Sie ist ein Schloss an der Außenseite des Gebäudes, und es ist die ganze Zeit offen, während Sie den Rechner benutzen.

Die Lösung ist ein zweites, separates Schloss um den kleinen Satz an Dateien, deren Verlust wirklich wehtun würde: Identitätsdokumente, Finanzunterlagen, private Fotos, Kundenmaterial, alles Juristische oder Medizinische. Diese Dateien sollten einzeln verschlüsselt werden, hinter ihren eigenen Zugangsdaten, sodass sie unlesbar bleiben, selbst wenn der Computer entsperrt ist und läuft.

Das ist das Prinzip hinter der richtigen Speicherung sensibler Dateien auf Windows und Mac: Die sensible Minderheit erhält eine stärkere Behandlung als die alltägliche Mehrheit.

Wo Vaultine ins Spiel kommt

Vaultine ist dieses zweite Schloss.

  • Eigene Zugangsdaten, nicht Ihr OS-Login. Der Tresor bleibt hinter Ihrem Muster oder Ihrer PIN gesperrt. Das Anmelden am Laptop öffnet ihn nicht, also gibt ein hellwach gestohlener Rechner den Tresor immer noch nicht preis.
  • Jede Datei einzeln verschlüsselt. Jede Datei erhält ihren eigenen AES-256-Schlüssel. Der Schlüssel wird aus Ihrem eigenen Muster oder Ihrer PIN abgeleitet und verlässt niemals Ihr Gerät.
  • Kein Konto zum Kapern. Es gibt keine Registrierung und keine E-Mail, also gibt es kein Login von Ihnen, das jemand übernehmen könnte — und keine Kopie Ihrer Dateien auf unseren Servern, die gehackt oder mit einer Vorladung angefordert werden könnte.
  • Die Cloud-Kopie ist ebenfalls Chiffretext. Ihr Tresor lebt standardmäßig auf Ihrem Gerät. Wenn Sie sich für eine Synchronisierung über Ihre eigene Dropbox entscheiden, werden nur verschlüsselte Daten hochgeladen — ein gestohlener Laptop, der noch bei Dropbox angemeldet ist, legt den Tresor also ebenfalls nicht offen.
  • Derselbe Tresor auf Ihren anderen Geräten. Windows, macOS, Android und iPhone. Wenn der Laptop weg ist, sind es die Dateien nicht.

Und wenn die erzwungene Öffnung Teil Ihres Bedrohungsmodells ist, öffnet ein Decoy Vault (Köder-Tresor) einen separaten, normal aussehenden Tresor mit einer anderen PIN, während ein Duress Vault (Panik-Tresor) einen leeren öffnet und die echten Inhalte löscht.

Ihre 20-Minuten-Checkliste

Tun Sie dies, bevor Sie es brauchen, nicht danach:

  1. Aktivieren Sie die vollständige Festplattenverschlüsselung. FileVault unter macOS, BitLocker oder Geräteverschlüsselung unter Windows. Bewahren Sie den Wiederherstellungsschlüssel an einem Ort auf, der nicht der Laptop ist.
  2. Stellen Sie ein, dass sich der Bildschirm schnell sperrt. Ein bis fünf Minuten im Leerlauf, und fordern Sie das Passwort sofort an. Das schrumpft das Zeitfenster für „wach gestohlen“.
  3. Lassen Sie den Browser nicht mehr Ihre Passwörter speichern. Übertragen Sie sie in einen dedizierten Passwort-Manager mit eigenem Schloss.
  4. Aktivieren Sie 'Wo ist?' / 'Mein Gerät finden'. Das Lottoticket ist kostenlos.
  5. Verschlüsseln Sie die Dateien, die wirklich wehtun würden. Ausweise, Finanzunterlagen, private Fotos, Kundenarbeit — in einen Tresor mit eigenen Zugangsdaten.
  6. Prüfen Sie, ob Ihr Backup echt ist. Verschlüsselung schützt Ihre Daten vor denen. Ein Backup schützt sie vor Verlust. Sie wollen beides.

Wenn er bereits weg ist

Arbeiten Sie diese Reihenfolge ab, denn der erste Punkt entsperrt alle anderen:

  1. Ändern Sie das Passwort Ihres primären E-Mail-Kontos und melden Sie sich von allen Sitzungen ab. E-Mail ist der Wiederherstellungspfad zu jedem anderen Konto, das Sie besitzen.
  2. Ändern Sie Passwörter für Cloud-Speicher, Banking und alles, was im Browser gespeichert war. Sitzungs-Tokens (Session Tokens) überstehen bei einigen Diensten Passwortänderungen, also melden Sie sich überall zusätzlich ab.
  3. Entkoppeln Sie das Gerät von Ihrem Cloud-Speicher und Passwort-Manager, damit die synchronisierte Kopie nicht mehr aktualisiert wird.
  4. Lösen Sie die Fernlöschung aus. Vielleicht kommt sie an. Der Versuch kostet nichts.
  5. Erstatten Sie Anzeige bei der Polizei. Sie benötigen das Aktenzeichen für die Versicherung und für jeden Kontoanbieter, dem Sie dies erklären müssen.
  6. Aktivieren Sie die Verschlüsselung auf dem Ersatzrechner am ersten Tag — bevor Sie Ihre Dateien hinüberkopieren.

Fazit

Ein gestohlener Laptop ist nur ein Hardwareproblem, wenn die Daten darauf unlesbar waren. Andernfalls ist es ein Identitätsproblem, ein finanzielles Problem und ein Datenschutzproblem im Gewand eines Hardwareproblems.

Die vollständige Festplattenverschlüsselung ist die wertvollste Einzeleinstellung auf Ihrem Rechner, und es dauert etwa zwei Minuten, sie einzuschalten. Legen Sie dann ein zweites Schloss um die Dateien, bei denen Sie es hassen würden, wenn ein Fremder sie öffnet — denn der Moment, auf den es ankommt, ist der, in dem der Laptop bereits entsperrt war.

Beginnen Sie mit den Dateien, die am meisten wehtun würden — Vaultine verschlüsselt Ihre ersten Dateien kostenlos.