Rettung und Wiederherstellung verschlüsselter Bitlocker-Daten
Grundsätzlich ist die Datenrettung von Festplatten, seien sie nun physikalisch oder logisch beschädigt, in Fällen mit aktivierter Verschlüsselung kein Problem. Jedoch gibt es einige Bedingungen die vor der Rettung, hinsichtlich der Art und Weise wie die Daten verschlüsselt wurden, erfüllt sein müssen.
Da Microsoft die Daten von NTFS-Volumen mit einer AES-Schlüssellänge von 128-256 Bit codiert, muß seitens des IT-Verantwortlichen, Sicherheitsbeauftragten oder des Administrators im Unternehmen bei Aktivierung der Verschlüsselung eine PIN oder darüber hinaus noch ein Dateischlüssel generiert werden. Die hier erstellte PIN oder Schlüsseldatei lässt sich danach auf einem Stick speichern oder liegt im Active Directory Netzwerk des jeweiligen Unternehmens, bzw. der entsprechenden Management Konsole, sofern sämtliche TPM relevanten Geräte zentral im Unternehmen gemanagt werden.
Zur erfolgreichen Datenrettung ist die PIN und / oder der Dateischlüssel somit zwingend erforderlich, da sonst keine Verifizierung der geretteten Daten durchgeführt werden kann.
Entschlüsselung von Bitlocker Daten
Eine sichere Entschlüsselung von Daten kann nur mittels des bekannten PIN oder des Dateischlüssels erfolgen. Handelsübliche Software, die das Auslesen von Schlüsseln verspricht, funktioniert nur in dem Kontext als dass die zu entschlüsselnde Festplatte / Volumen aktiv im System gemountet sein muss. Logischerweise kann dieser Zustand nur dadurch erreicht werden, indem die PIN oder der Schlüssel beim Starten des Systems einmalig eingegeben wurden. Hiernach ist der Bitlocker-Schlüssel im RAM des jeweiligen Notebooks oder PCs existent und kann entsprechend ausgelesen werden. Ein auslesen dieser Informationen nach Ausschalten oder Herunterfahren des Geräts (Ausnahme: Stand-By Modus) ist in diesen Szenarien unmöglich.
Schematische Übersicht über den Verschlüsselungsprozess*
*(c) Foto: Fraunhofer SIT / BSI
Warum ist eine Rettung von verschlüsselten Daten so aufwändig ?
Daten, die auf defekten Festplatten verschlüsselt wurden, nutzen zumeist Containerformate. Wenn z.B. eine verschlüsselte externe Platte vom Tisch fällt und hierdurch erschüttert wird, so entstehen defekte Sektoren auf denen Teile dieser Containerformate liegen. Dies macht eine Rettung extrem aufwendig weil zunächst einmal diese verschlüsselten Daten in einen Zustand versetzt werden müssen, der es uns erlaubt diese überhaupt entschlüsseln zu können.