Windows wird ebenfalls mit echten integrierten Verschlüsselungstools ausgeliefert, sodass eine Drittanbieter-App nicht zwingend erforderlich ist. Was das Bild verändert, ist die von Ihnen verwendete Windows-Edition: Bei einigen Editionen gibt es überhaupt keine integrierte Option auf Ordnerebene. Hier ist, was tatsächlich integriert ist, und wo es an seine Grenzen stößt.

Option 1: BitLocker (Gesamtes Laufwerk, nur Windows Pro und Windows Enterprise)

BitLocker, zu finden unter Einstellungen > Datenschutz & Sicherheit > Geräteverschlüsselung (oder Systemsteuerung > BitLocker-Laufwerkverschlüsselung bei Pro-Editionen), verschlüsselt ein gesamtes Laufwerk mittels AES, mit 128-Bit- oder 256-Bit-Schlüsseln im XTS-AES-Modus auf modernen Windows-Versionen. Es ist in Windows integriert und kostenlos nutzbar, allerdings nur unter Windows Pro, Windows Enterprise und Windows Education. Windows Home enthält BitLocker überhaupt nicht; stattdessen wird es mit einer abgespeckten Geräteverschlüsselung ausgeliefert, die sich nur auf Hardware automatisch aktiviert, die bestimmte Anforderungen erfüllt (ein TPM-Chip und Modern-Standby-Unterstützung), und nur, wenn Sie sich mit einem Microsoft-Konto anmelden.

Wie FileVault auf einem Mac (siehe Ordner auf dem Mac verschlüsseln für die Apple-Seite desselben Kompromisses) schützt BitLocker ein Laufwerk nur im Ruhezustand, während der PC ausgeschaltet ist oder bevor Sie sich anmelden. Sobald Sie angemeldet sind, sind durch BitLocker geschützte Dateien wie jede andere Datei vollständig lesbar, da das gesamte Laufwerk bei der Anmeldung auf einmal entschlüsselt wird und nicht Ordner für Ordner.

Option 2: EFS (Auf Ordnerebene, ebenfalls nur Windows Pro und Windows Enterprise)

Für Verschlüsselung speziell auf Ordner- oder Dateiebene hat Windows das Encrypting File System (EFS) in NTFS integriert:

  1. Klicken Sie mit der rechten Maustaste auf den Ordner oder die Datei, den/die Sie verschlüsseln möchten, und wählen Sie Eigenschaften.
  2. Klicken Sie auf der Registerkarte Allgemein auf Erweitert…
  3. Aktivieren Sie Inhalt verschlüsseln, um Daten zu sichern, dann OK, dann Übernehmen.
  4. Wählen Sie aus, ob die Änderung nur auf diesen Ordner oder auf diesen Ordner, Unterordner und Dateien angewendet werden soll.

Das Ergebnis ist eine echte, auf dem Datenträger befindliche AES-Verschlüsselung, die an Ihr Windows-Benutzerkonto gebunden ist: Der Inhalt der Datei ist für jeden unlesbar, der als anderer Benutzer angemeldet ist – dieselbe Schutzkategorie, die in AES-256 einfach erklärt beschrieben wird.

Der Haken: EFS ist ebenfalls ein Feature von Windows Pro, Windows Enterprise und Windows Education. Windows Home wird überhaupt nicht mit EFS ausgeliefert; es gibt keine integrierte Verschlüsselungsoption auf Ordnerebene in der Home-Edition, sondern nur die oben beschriebene Laufwerk-Geräteverschlüsselung, und auch nur auf dafür qualifizierter Hardware.

Wo die integrierte Methode an ihre Grenzen stößt

  • Editionsabhängig. Sowohl BitLocker als auch EFS fehlen in Windows Home, das einen großen Teil der Endverbraucher-PCs ausmacht, völlig.
  • Kein mobiler Zugriff. Eine EFS-verschlüsselte Datei wird nur dann normal entschlüsselt, wenn sie vom selben Windows-Konto auf demselben Computer geöffnet wird; sie lässt sich nicht auf ein Telefon übertragen.
  • Wiederherstellung ist kontogebunden. Verlieren Sie den Zugriff auf das Windows-Konto, das die Datei verschlüsselt hat (eine Neuinstallation, ein neuer PC, ein beschädigtes Profil), wird die Datei ohne ein Zertifikats-Backup, das fast niemand erstellt, unlesbar; es gibt keine separate Wiederherstellungsphrase.
  • Keine situationsbedingten Funktionen. Es gibt kein Äquivalent zu einem Köder-Tresor (Decoy Vault) für einen Moment, in dem es wichtiger ist, etwas Harmloses zu zeigen, als sich komplett zu weigern, überhaupt etwas zu entsperren.
  • Einziger Zugangspunkt pro Datei. Es gibt keine Möglichkeit, eine Gruppe sensibler Dateien hinter einer eigenen, vom Windows-Login unabhängigen PIN zu gruppieren.

Nichts davon macht BitLocker oder EFS schlecht; wo sie verfügbar sind, sind sie wirklich solide, kostenlos und verwenden echte Verschlüsselung. Sie decken nur nicht jede Edition ab und lassen sich nicht auf andere Geräte übertragen.

Wann sich stattdessen eine dedizierte Tresor-App lohnt

Eine speziell entwickelte Tresor-App wie Vaultine nutzt dieselbe Verschlüsselungskategorie (AES-256, auf dem Gerät generiert), funktioniert aber unabhängig davon, auf welcher Windows-Edition sie ausgeführt wird, auf die gleiche Weise: Eine eigene PIN getrennt vom Windows-Login, ein integrierter Viewer, derselbe Tresor, der auch auf iPhone, Mac und Android erreichbar ist, sowie ein Decoy Vault und Duress Vault für Situationen, in denen die Aufforderung, etwas zu entsperren, selbst das Risiko darstellt.

Der Kompromiss ist ehrlich: Auf Editionen wie Windows Pro, Windows Enterprise oder Windows Education mit der richtigen Hardware sind BitLocker und EFS kostenlos und bereits vorhanden. Unter Windows Home oder für alles, was zwischen Geräten verschoben werden muss, füllt ein dedizierter Tresor eine Lücke, die das Betriebssystem überhaupt nicht abdeckt.

Die Kurzfassung

Unter Windows Pro, Windows Enterprise oder Windows Education sind BitLocker (gesamtes Laufwerk) und EFS (auf Ordnerebene) echte, kostenlose, integrierte AES-Verschlüsselungen, die innerhalb ihrer Edition wirklich solide sind. Unter Windows Home existiert keines von beiden als Option auf Ordnerebene, und diese Lücke, zusammen mit dem fehlenden geräteübergreifenden Zugriff in beiden Fällen, ist es, was eine dedizierte Tresor-App tatsächlich füllt: kein stärkeres Schloss, sondern ein portableres.

Probieren Sie die dedizierte Version mit 10 kostenlosen Dateien unter vaultine.app aus.