Cloud-Dienste legen oft wenig Wert auf Datenverschlüsselung. Cryptomator sichert dagegen Ihre Daten bereits auf dem lokalen Arbeitsplatzrechner vor dem Hochladen.

Cloud-Dienste bieten vor allem Anwendern, die Wert darauf legen, von überall auf ihre Daten zuzugreifen, eine bequeme und kostengünstige Alternative zu lokalen Speichern. Doch viele Cloud-Anbieter kümmern sich nur unzureichend um die Datensicherheit: Sie legen die Daten oft unverschlüsselt in der Cloud ab und transportieren sie auch ohne Verschlüsselung. Das ebnet Unbefugten, die sich Authentifizierungsdaten zum Zugriff auf ein Cloud-Konto aneignen konnten, den Weg zum Ausspähen der Daten.

Auch staatliche Institutionen wie Geheimdienste oder Ermittlungsbehörden können solche ungeschützten Daten einsehen. Vor allem in Ländern, in denen der Datenschutz einen geringen Stellenwert hat, sind solche Ausspähversuche häufig legal. Das von der deutschen Firma Skymatic GmbH aus Sankt Augustin entwickelte Programm Cryptomator [1] schiebt dieser Datenspionage einen Riegel vor, indem es Ihre Daten transparent verschlüsselt. Da der Quellcode der unter der GPLv3 lizenzierten Software vorliegt, lassen sich dort eingebaute Hintertüren ausschließen.

Konzept

Cryptomator arbeitet als lokaler Server, der die zu verschlüsselnden Daten in einem virtuellen Laufwerk bearbeitet, das unter Linux das FUSE-Modul integriert. Fehlt es, verwendet die Software stattdessen WebDAV. Dabei verschlüsselt Cryptomator die anfallenden Daten stets mit einem 256 Bit breiten AES-Schlüssel und einem MAC-Hauptschlüssel, wobei es die Keys mithilfe der Scrypt-Technologie [2] generiert. Im Gegensatz zu vielen anderen kryptografischen Programmen verschlüsselt Cryptomator nicht nur die Dateiinhalte, sondern auch deren Metadaten. Zusätzlich verändert es die jeweilige Dateigröße, was Rückschlüsse vom Umfang einer Datei auf deren Inhalt erschwert.

Die Software verfügt über ein einfach zu bedienendes grafisches Frontend, das mit sogenannten Tresoren arbeitet, in denen Sie die Daten ablegt. Die Tresore entsprechen dabei den mit dem jeweiligen Cloud-Dienst zu synchronisierenden Verzeichnissen, sodass das Frontend mit einem Cloud-Speicher verbunden sein muss. Im jeweiligen Tresor lassen sich die Dateien beliebig bearbeiten, wobei das Ver- und Entschlüsseln praktisch in Echtzeit erfolgt. Anschließend überträgt der Client des Cloud-Diensts die lokal verschlüsselten Daten auf den Server, ohne die Keys mit zu übertragen.

Installation

Das Projekt stellt die Software für Linux als AppImage bereit, womit sie sich unter allen gängigen Distributionen ohne das Nachinstallieren etwaiger Abhängigkeiten nutzen lässt. Lediglich für Ubuntu und dessen Derivate ab Version 18.04 sowie Arch Linux stellt das Projekt eigene Repositories bereit. Für alle anderen Distributionen laden Sie zunächst das rund 55 MByte große AppImage herunter [3]. Dabei bittet der Hersteller um eine Spende zwischen 0 und 25 Euro, mit der Auswahl von 0 lässt sich die Applikation jedoch auch ohne Obolus beziehen.

Beachten Sie, dass Cryptomator nur auf Computersystemen mit 64-Bit-Architektur startet. Nach dem Herunterladen versehen Sie das Image mit Ausführungsrechten. Dann starten Sie es mit dem Befehl ./cryptomator-1.4.15-x86_64.AppImage oder in einem Dateibrowser wie Dolphin durch einen Klick darauf.

Einstieg

Nach dem Start der Software öffnet sich ein zweigeteiltes Fenster ohne Menü- oder Schalterleiste. Sie bedienen die Applikation lediglich mit den drei Knöpfen links unten: Der Plus-Button dient zum Anlegen neuer Tresore, der Minus-Button entfernt vorhandene aus der Oberfläche, und der Zahnrad-Button öffnet einen einfach gehaltenen Einstellungsdialog. Darin stellen Sie ein, ob die Software eigenständig beim Start nach Updates sucht und mit welcher Funktion sie Laufwerke einbindet (Abbildung 1).

Abbildung 1: Das Frontend von Cryptomator beschränkt sich aufs Nötigste und lässt sich auch von Einsteigern mühelos bedienen.

Ein Klick auf den +-Button öffnet ein Kontextmenü, in dem Sie + Tresor erstellen anwählen. Damit blendet Cryptomator in einem überlappenden Fenster den Dialog zum Anlegen eines neuen Tresors ein. Dort legen Sie zunächst die Bezeichnung für den Tresor und das Verzeichnis fest, in dem die Daten abgelegt werden. Dessen Name sollte einem Cloud-Dateiverzeichnis entsprechen. Nach einem Klick auf Speichern schließt sich das Fenster; danach folgt im Hauptfenster die Abfrage des gewünschten Passworts für den Tresor. Der darunter befindliche farbige Balkens zeigt dessen Stärke an.

Nach dem Bestätigen des Passworts durch einen Klick auf Tresor erstellen sehen Sie in der linken Spalte den Tresornamen mit Pfadangabe. Davor befindet sich ein symbolisches geschlossenes Vorhängeschloss. Rechts geben Sie nun erneut das Passwort für den Tresor an und klicken auf Tresor entsperren.

Über die Schaltfläche Weitere Optionen erreichen Sie weitere Einstellungen. So geben Sie darin zum Einbinden eigene Laufwerksoptionen in ein Eingabefeld ein oder veranlassen die Software dazu, das Device nur lesend einzuhängen.

Öffnen und schließen

Nach dem Entsperren des Tresors öffnet Cryptomator ein Fenster mit einem Dateimanager, der das virtuelle Laufwerk enthält. Gleichzeitig öffnet sich das Vorhängeschloss-Symbol vor dem betreffenden Tresor. So überblicken Sie auch bei mehreren vorhandenen Tresoren schnell, welche davon offenstehen (Abbildung 2).

Abbildung 2: Cryptomator verwaltet auch mehrere Tresore zugleich.

In das virtuelle Laufwerk kopieren oder verschieben Sie per Drag & Drop die zu verschlüsselnden Dateien. Im Hauptfenster sehen Sie zugleich im rechten Fenstersegment einen Graphen, der die Übertragungsraten beim Ver- und Entschlüsseln in MByte/s als zwei Linien anzeigt. Die rote Linie gibt dabei den Durchsatz beim Verschlüsseln an, die grüne den beim Entschlüsseln (Abbildung 3). Die Software öffnet bei Bedarf auch mehrere Tresore simultan. Im Test zeigte Cryptomator beim Ver- und Entschlüsseln von Dateien auch mit einer Größe von mehr als 15 GByte keinerlei Schwächen.

Abbildung 3: Die Transferraten beim Ver- und Entschlüsseln stellt die Software grafisch dar.

Sobald im virtuellen Laufwerk von Cryptomator durch das Ablegen und Verschlüsseln neuer Dateien Veränderungen auftreten, synchronisiert der Cloud-Client die Daten mit dem Server. Das gewährleistet, dass nur verschlüsselte Daten auf den Cloud-Server gelangen. Über dessen Weboberfläche lassen sich zwar die Dateien einsehen und auch herunterladen. Allerdings identifiziert Linux sie als Binärdaten, die weder durch Namen noch Größe ihren Inhalt preisgeben. Um die Arbeit mit Cryptomator zu beenden, klicken Sie auf Tresor sperren rechts im Hauptfenster. Die Software schließt daraufhin den Tresor, was Sie am geschlossenen Vorhängeschloss erkennen.

Öffnen Sie einen Tresor erneut, so können Sie umgehend mit den entschlüsselten Dateien des virtuellen Laufwerks arbeiten. Beim Laden und Sichern zeigt die Software anschließend in der grafischen Anzeige wieder die Datenraten an. Beenden Sie Cryptomator, ohne die offenen Tresore zu schließen, minimiert sich das Fenster lediglich in die Taskleiste, von der Sie es jederzeit wieder aufrufen.

Um einen Tresor zu entfernen, klicken Sie im Hauptfenster unten links auf das Minus-Symbol. Bei geöffnetem Tresor erscheint es ausgegraut, die Aktion lässt sich nicht ausführen. Bei geschlossenem Tresor weist Sie ein eingeblendetes Fenster darauf hin, dass die Software nicht den Tresor (also das entsprechende Verzeichnis mit den Datenbeständen) aus dem System entfernt, sondern lediglich den Verweis aus dem grafischen Frontend. Es empfiehlt sich also, das Zielverzeichnis danach manuell vom System zu löschen (Abbildung 4).

Abbildung 4: Die Software entfernt nur die Einträge auf Tresore, die darin enthaltenen Daten bleiben aber erhalten.

Ressourcen

Während der Tests fiel ein ungewöhnliches Verhalten der Software auf. Aus unerfindlichen Gründen stiegen die Prozessorlast und der Speicherverbrauch des Systems beinahe bis zum Stillstand des Rechners.

Beim Start von Cryptomator verhielt sich der Ressourcenverbrauch wie erwartet. Dasselbe galt beim Einbinden eines Tresors und solange er offen blieb. Schlossen wir ihn aber, arbeitete auch eine Mehrkern-CPU auf allen Kernen mit über 50 Prozent Last. Der Speicherverbrauch stieg kontinuierlich an, bis das System auf den Auslagerungsspeicher auswich und sich kaum mehr bedienen ließ. Dabei konsumierte Cryptomator etwa 2 GByte Hauptspeicher pro Minute (Abbildung 5). Dieser Effekt trat ein, sobald die Applikation die Passwortabfrage für einen ausgehängten Tresor einblendete. Ein Schließen der Software gab die Ressourcen sofort wieder frei.

Abbildung 5: Vermutlich ein Bug in der Software führt dazu, dass nach dem Schließen eines Tresors die Systemressourcen komplett aus dem Ruder laufen.

Nähere Recherchen ergaben: Diese Eigenart tritt beim vom Projekt angebotenen Appimage cryptomator-1.4.15 unter OpenSuse auf. Unter Ubuntu 19.04 steigt die Prozessorlast dauerhaft auf 100 Prozent, allerdings ohne dass es zu einem Volllaufen des Hauptspeichers kommt. Hierfür zeichnet in erster Linie der Prozess gnome-shell verantwortlich, der nach Schließen des Appimages aber sofort auf seine Ursprungswerte von 1 bis 2 Prozent CPU-Last zurückfällt.

In Ansätzen konnten wir dieses Verhalten auch bei der Windows-Variante verfolgen. Sie beanspruchte die CPU zwar nicht zur Gänze, doch die Last stieg auf unserem Testsystem dennoch dauerhaft auf etwa 30 Prozent.

Fazit

Cryptomator erhöht bei der Nutzung von Cloud-Diensten die Sicherheit Ihrer Daten signifikant. Dabei verwendet es eine intelligente Verschlüsselung, die nicht nur Inhalte kryptografisch modifiziert, sondern auch Datei- und Metadaten verfremdet. Dabei arbeitet die Software äußerst stabil und kommt auch mit großen Dateien sehr gut zurecht.

Besonders positiv fällt die sehr einfache Bedienbarkeit des grafischen Frontends auf, das auch für ungeübte Anwender keinerlei Überraschungen bereithält. Das macht die transparente Verschlüsselung auch für Einsteiger problemlos handhabbar.

Ärgerlicherweise führt vermutlich ein Fehler in der Software dazu, dass sie beim Einblenden der Passwortabfrage unter Ubuntu die CPU zu 100 Prozent auslastet. Unter OpenSuse steigt der CPU-Verbrauch zwar nicht so extrem, dafür läuft relativ schnell der Hauptspeicher voll.