Das Encrypting File System ermöglicht die Verschlüsselung von Daten unter Windows. EFS arbeitet mit einem vom System erzeugten File Encryption Key (FEK). Mithilfe des öffentlichen Schlüssels (Public Key) des Benutzers und des FEK können die Daten verschlüsselt werden. Der Private Key des Benutzers dient der Entschlüsselung.

Die Verschlüsselung kann grafisch oder in der Befehlszeile durchgeführt werden. Beide Optionen werden im Folgenden erläutert.

EFS ist nur auf Windows Server Editionen und auf Windows 10 Pro verfügbar. (nicht auf der Home Edition!). Außerdem muss das Volume NTFS als Dateisystem ausführen. EFS verschlüsselt einzelne Ordner. Wer seinen ganzen Computer verschlüsseln möchte der ist mit dem Windows Feature BitLocker besser aufgehoben: Windows 10: BitLocker aktivieren (TPM + PIN).

EFS mit der grafischen Oberfläche

Ich klicke mit der rechten Maustaste auf den zu verschlüsselnden Ordner und wähle Eigenschaften und klicke auf Erweitert. Ich wähle Inhalt verschlüsseln, um Daten zu schützen und klicke auf OK.

Die Attribute werden übernommen …

Danach präsentieren sich die Dateien mit einem kleinen Icon.

Fertig! Die Daten sind verschlüsselt.

Rechts unten am Bildschirm wird ein Hinweis angezeigt. Das Zertifikat sollte gesichert werden. Bedenken Sie: Wenn Sie ein Backup Ihrer Ordner durchführen wird das generierte Zertifikat nicht mitgesichert, d.h. das Backup ist für die Mülltonne, denn Sie können die Dateien nicht mehr entschlüsseln. Wenn Sie darauf klicken, startet ein Assistent zum sichern des Schlüssels.

Wenn Sie das Zertifikat im nachhinein sichern möchten, so öffnen Sie in Ausführen (Windows Taste + R) certmgr.msc.

Sie finden unter Eigene Zertifikate – Zertifikate Ihr Zertifikat für das Verschlüsselte Dateisystem. Ein Doppelklick öffnet das Zertifikat.

Hier kann unter der Registrierkarte Details und anschließend mit In Datei kopieren… der Schlüssel nachträglich gesichert werden.

Achten Sie darauf, dass Sie den privaten Schlüssel mitsichern. Ohne diesen können Sie die Dateien nicht entschlüsseln.

EFS mit cipher

Alternativ zur grafischen Variante steht der Befehl cipher zur Verfügung.

Verschlüsseln

cipher /e c:\OrdnerName

Zertifikat sichern

cipher /x 

Grundlegendes zum Thema Zertifikate und Verschlüsselung finden Sie in meinen Artikeln Cyber Security / Pen Testing (Teil 2): Grundlagen der Kryptographie und Cyber Security – Pen Testing (Teil 4): Zertifikate und PKI.

Wenn eine Zertifizierungsstelle (CA) eingerichtet werden soll, um die Verteilung, Sicherung, Prüfung und Bereitstellung von Zertifikaten zu gewährleisten, dann empfehle ich die Serie Active Directory Zertifikatsdienste beginnend mit Teil 1 Active Directory Zertifikatsdienste (Teil 1): Installation einer Enterprise Root-CA