Verschlüsselter Cloudspeicher

Verschlüsselter Cloudspeicher heißt: Deine Dateien werden auf deinem Gerät verschlüsselt, bevor sie in die Cloud wandern, und nur du hast den Schlüssel. Das BSI hält das in seinen Sicherheitstipps zur Cloud für die wirksamste Maßnahme, weil du die Sicherheitsvorkehrungen des Anbieters nicht selbst prüfen kannst. Dafür gibt es zwei Wege: einen Anbieter mit Ende-zu-Ende-Verschlüsselung oder ein Werkzeug wie Cryptomator, das jede beliebige Cloud verschlüsselt.

Vorher klären: Was soll in die Cloud?

Das BSI empfiehlt, vor der Entscheidung für einen Cloud-Dienst ein paar Fragen zu beantworten:

• Welche Daten soll der Dienst speichern, und was wären die Folgen, wenn sie in falsche Hände gerieten?
• Welche Funktionen bietet er, und brauchst du sie alle?
• Wie finanziert sich der Anbieter, und könnte er mit deinen Daten Geld verdienen?
• Was steht im Vertrag und in den AGB?
• Was passiert, wenn der Dienst ausfällt?

Urlaubsfotos und Rezeptsammlungen sind etwas anderes als Steuerbescheide, Gesundheitsdaten oder Kundendaten. Für die zweite Gruppe lohnt sich Ende-zu-Ende-Verschlüsselung in jedem Fall.

Transportverschlüsselung oder Ende-zu-Ende?

Bei Cloudspeichern begegnen dir drei Stufen der Verschlüsselung:

Das BSI rät, Daten nur über eine verschlüsselte Verbindung per HTTPS zu übertragen und im Idealfall nur in verschlüsselter Form in die Cloud zu laden. Verschlüsselte Daten solltest du lokal entschlüsseln, nicht in der Cloud.

Was das BSI für die Cloud empfiehlt

Das BSI nennt eine Reihe von Punkten, die über die Verschlüsselung hinausgehen:

• Zugang schützen: Ein schwaches oder fehlendes Passwort macht deine Daten angreifbar. Nutze ein starkes, einzigartiges Passwort aus dem Passwortmanager.
• Zwei-Faktor nutzen: Sie erhöht die Sicherheit laut BSI deutlich und sollte nach Möglichkeit eingeschaltet werden. Anleitungen findest du unter Zwei-Faktor-Authentifizierung.
• Zugangsdaten nicht automatisch speichern: Das BSI rät, die Zugangsdaten zum Cloud-Konto nicht automatisch im Gerät oder Browser zu speichern.
• Serverstandort prüfen: Er bestimmt, welchem Datenschutzrecht deine Daten unterliegen. Auch ein deutscher Anbieter kann Server im Ausland betreiben.
• AGB lesen: Löschen ist in der Cloud schwieriger als auf dem eigenen Rechner. Anbieter speichern oft mehrere Kopien und behalten Daten teils noch nach der Kündigung.
• Prüfzeichen beachten: Das BSI nennt Kennzeichen wie Trusted Cloud, EuroCloud, TÜV-Prüfzeichen oder ISO/IEC 27001.

Wer im Beruf Daten Dritter in der Cloud speichert, etwa Kundendaten, sollte sich laut BSI vorher juristisch beraten lassen, wenn die Server im Ausland stehen.

Anbieter nach Kriterien einordnen

Statt einer Rangliste bekommst du hier Fragen, mit denen du jeden Anbieter prüfen kannst. Die Antworten findest du auf der offiziellen Sicherheits- oder Datenschutzseite des Anbieters.

1. Ende-zu-Ende-Verschlüsselung: Ist sie Standard, optional oder gar nicht vorhanden?
2. Dateinamen: Werden auch Dateinamen und Ordnerstruktur verschlüsselt, oder nur der Inhalt?
3. Open Source: Ist der Quellcode der Apps öffentlich einsehbar?
4. Unabhängige Prüfung: Gibt es einen veröffentlichten Bericht einer externen Prüfung?
5. Sitz und Serverstandort: Welches Recht gilt?
6. Zwei-Faktor: Kannst du das Konto mit App oder Sicherheitsschlüssel schützen?
7. Geräte: Gibt es Apps für alle deine Systeme?

Der zweite Punkt wird oft übersehen. Auch wenn der Inhalt einer Datei verschlüsselt ist, kann ein Dateiname wie „Kündigung_Arbeitsvertrag.pdf“ schon viel verraten. Achte deshalb darauf, ob der Anbieter ausdrücklich auch Dateinamen schützt.

Zwei Beispiele, wie Anbieter diese Fragen beantworten:

• Apple iCloud: Laut Apple sind beim Standard-Datenschutz 15 Datenkategorien Ende-zu-Ende-verschlüsselt. iCloud Drive, Fotos und iCloud-Backups gehören erst dazu, wenn du den „Erweiterten Datenschutz für iCloud“ einschaltest. Dann steigt die Zahl auf 25. Mail, Kontakte und Kalender bleiben auch dann ohne Ende-zu-Ende-Verschlüsselung.
• Proton Drive: Laut Proton kann niemand, auch Proton selbst nicht, auf deine Dateien und Ordner zugreifen oder ihre Namen sehen. Alle Apps und Verschlüsselungsbibliotheken sind Open Source, ein Audit durch die Firma Securitum wird genannt, das Unternehmen sitzt in der Schweiz.

Jede Cloud selbst verschlüsseln mit Cryptomator

Wenn du deinen bisherigen Cloudspeicher behalten willst, etwa weil die Familie ihn gemeinsam nutzt, kannst du mit einem Zusatzprogramm selbst verschlüsseln. Ein Beispiel ist Cryptomator. Laut Anbieter legst du einen Ordner in deiner Cloud als Tresor an und schützt ihn mit einem Passwort. Öffnest du den Tresor, erscheint er als virtuelles Laufwerk. Alles, was du dort ablegst, wird automatisch mit AES und 256-Bit-Schlüssel verschlüsselt, Inhalte und Dateinamen. Die Software ist Open Source und wurde laut Anbieter unabhängig geprüft.

Cryptomator gibt es für Windows, macOS und Linux. Für Android und iOS gibt es Apps, deren kostenlose Versionen nur lesen können.

So richtest du einen Tresor ein:

1. Cryptomator installieren und einen neuen Tresor anlegen.
2. Als Speicherort einen Ordner innerhalb deines synchronisierten Cloud-Ordners auswählen.
3. Ein starkes Tresor-Passwort festlegen, am besten eine Passphrase aus dem Passwort-Generator, und es im Passwortmanager speichern.
4. Tresor entsperren und die sensiblen Dateien in das virtuelle Laufwerk verschieben.
5. Prüfen: Im normalen Cloud-Ordner sollten nur noch unlesbare Dateinamen auftauchen.

Beispiel: Eine Familie nutzt seit Jahren einen gemeinsamen Cloudspeicher für Urlaubsfotos. Steuerunterlagen, Ausweiskopien und Arztbriefe will sie dort aber nicht unverschlüsselt ablegen. Sie legt mit Cryptomator einen Tresor im gemeinsamen Ordner an. Die Fotos bleiben wie gewohnt teilbar, die Dokumente liegen verschlüsselt daneben.

Was du beim Selbstverschlüsseln beachten musst

• Passwort weg, Daten weg: Ohne das Tresor-Passwort kommst du nicht mehr an die Dateien, auch kein Anbieter kann helfen.
• Jedes Gerät braucht die Software: Das BSI weist darauf hin, dass auf jedem Gerät Schlüssel und Verschlüsselungssoftware vorliegen müssen.
• Gemeinsames Arbeiten wird schwieriger: Gleichzeitiges Bearbeiten eines Dokuments ist laut BSI nicht ohne Weiteres möglich.

Cloud ist kein vollständiges Backup

Eine verschlüsselte Cloud schützt vor neugierigen Blicken, aber nicht vor jedem Datenverlust. Wenn du eine Datei versehentlich löschst und der Ordner synchronisiert wird, ist sie auch in der Cloud weg. Das BSI rät deshalb, auch bei Cloud-Nutzung regelmäßig ein weiteres Backup anzulegen. Wie das nach der 3-2-1-Regel klappt, steht im Ratgeber Datensicherung.