Klein, kleiner, winzig: Je kleiner der USB-Stick, desto eher geht er verloren oder bleibt an einem fremden Rechner angesteckt zurück. Mit USBCryptFormat sichern Sie Ihre Daten für den Fall eines Verlusts des Speichermediums gegen Datenklau.

USB-Speichersticks, SD-Karten oder auch externe Festplatten gehören heute für jeden PC-Nutzer zum festen Handwerkszeug. Doch die kleinen Speichermedien besitzen ihre Tücken: Schnell geht ein USB-Stick verloren oder wird gar gestohlen. Gerät das Speichermedium dann in falsche Hände, lassen sich die darauf befindlichen Daten in aller Regel ungeschützt einsehen. Damit Wechselspeicher Ihre Daten sicher vor dem Zugriff Fremder schützen, benötigen Sie lediglich zwei Dinge: einen Linux-PC und die Verschlüsselungssoftware USBCryptFormat.

USBCryptFormat nutzt das unter Linux geläufige LUKS-Verfahren zur Datenverschlüsselung, das die nötigen Informationen zum Öffnen einer verschlüsselten Partition in deren Header speichert: Hier befinden sich bis zu acht Schlüssel und diverse Metadaten. Dieses Verfahren bietet den großen Vorteil, dass sich der verschlüsselte Datenträger auch auf Computern öffnen lässt, auf denen USBCryptFormat nicht vorhanden ist. Um die Software aufzurufen, braucht es lediglich das Paket cryptsetup, das die meisten gängigen Linux-Distributionen bereits in der Standardinstallation auf die Festplatte packen.

Los geht’s

Das unter der GPL veröffentlichte USBCryptFormat erhalten Sie unter http://www.mandalka.name/usbcryptformat/ als DEB-Paket für Debian, Ubuntu und deren Derivate. Da das Programm lediglich aus Bash-Skripten besteht, liegt der Quellcode der Anwendung quasi bei. Anwender, die mit RPM-basierten Distributionen arbeiten, müssen auf USBCryptFormat nicht verzichten: Installieren Sie hierzu zunächst das Paket alien, das bei den meisten Distributionen in den Software-Repositories liegt. Anschließend starten Sie das Programm im Terminal und konvertieren damit das Debian-Paket daraufhin ins RPM-Format (Listing 1).

$ alien -r -v --scripts usbcryptformat_12.05.20_all.deb

Bei der Installation von USBCryptFormat erzeugt das Paket in der Menüstruktur Ihres Desktops einen Eintrag mit der Bezeichnung Externe Datenträger verschlüsseln. Dieser startet das Programm mit administrativen Rechten. Falls die Applikation nach einem Klick auf den Menüpunkt nicht erscheint, prüfen Sie in der Paketverwaltung, ob das Paket zenity auf dem Computer installiert ist. USBCryptFormat nutzt dieses Programm, um seine Dialoge in der grafischen Desktop-Umgebung darzustellen.

Außerdem empfiehlt es sich, die genaue Befehlssyntax zum Aufruf der Software im entsprechenden Menüeintrag zu prüfen: Hier taucht im Startbefehl das nur bei Ubuntu vorhandene Kommando su-to-root auf, das Sie bei anderen Distributionen durch kdesu für den KDE-Desktop oder gksu für die Gnome-Arbeitsumgebung ersetzen müssen. Die hier ebenfalls vorgegebenen Parameter -X -c entfernen Sie ersatzlos. Nach diesen Vorarbeiten sollte USBCryptFormat auf jeden Fall starten.

Funktionsweise

Üblicherweise statten die Hersteller von USB-Speichersticks und SD-Karten die Datenträger ab Werk mit Dateisystemen aus der Microsoft-Welt aus – je nach Größe des Datenspeichers FAT16, FAT32, exFAT oder NTFS. Dies bietet größtmögliche Kompatibilität zu vielerlei Geräten und unterschiedlichen Betriebssystemen. Daher muss USBCryptFormat jeden zu verschlüsselnden Datenträger zunächst mit einer neuen Partition versehen, auf der dann das verschlüsselte Dateisystem liegt.

Nach dem Anstecken des zu verschlüsselnden Wechseldatenträgers und dem Einbinden in das System starten Sie USBCryptFormat mit administrativen Rechten. Die Software öffnet zunächst ein Fenster, in dem es alle an das Computersystem angeschlossenen und eingehängten Wechseldatenträger auflistet. Wählen Sie in diesem das zu verschlüsselnde Speichermedium und klicken auf den Schalter OK. Daraufhin gibt USBCryptFormat eine Warnmeldung aus, die explizit darauf hinweist, dass bei der Formatierung sämtliche auf dem Datenträger gespeicherte Daten verloren gehen (Abbildung 1).

Abbildung 1: Der Sicherheitshinweis von USBCryptFormat lässt sich kaum übersehen.

Sollten Sie aus Versehen das falsche Medium ausgewählt haben, dann beenden Sie das Programm mit einem Klick auf Nein. Andernfalls geht es mit Ja weiter und USBCryptFormat partitioniert den Datenträger neu. Im nächsten Dialog geben Sie das gewünschte Passwort zur Nutzung des verschlüsselten Datenträgers ein und wiederholen die Eingabe in der darauffolgenden Sicherheitsabfrage.

Im nächsten Fenster fragt USBCryptFormat, ob Sie den Datenträger nun komplett mit zufällig generierten Daten überschreiben möchten. Diesen Schritt sollten Sie auf jeden Fall mit Ja bestätigen, da sich ansonsten selbst bei einer manuellen Neupartitionierung des Speichermediums alte Daten rekonstruieren lassen (Abbildung 2).

Abbildung 2: Das Programm überschreibt vor dem Neuformatieren den Datenträger.

Die Neupartitionierung ohne vorheriges Überschreiben der alten Daten ändert lediglich die Partitionstabelle, lässt die vorhandenen Datenbestände jedoch unberührt. Bedenken Sie bitte, dass das Überschreiben der alten Dateien je nach Größe des Datenträgers längere Zeit in Anspruch nimmt. Bei herkömmlichen USB-Speichersticks und SD-Karten von 16 oder 32 GByte Kapazität geschieht das Überschrieben der Daten und das Anlegen des neuen Dateisystems jedoch in wenigen Minuten.

Den Fortschritt stellt USBCryptFormat mithilfe eines animierten Statusbalkens dar. In einem abschließenden Dialog weist Sie die Anwendung darauf hin, dass der erfolgreich vorbereitete Datenträger beim nächsten Einhängen in das System das Verschlüsselungspasswort abfragt. Nach einem Klick auf OK beendet sich die Anwendung.

Unkompliziert

In der Praxis funktioniert das Einbinden des verschlüsselten Datenträgers zuverlässig: Einfach den USB-Stick oder die externe Festplatte anstecken und die Passwortabfrage korrekt beantworten. Wie gewohnt sollten Sie das verschlüsselte Laufwerk zudem nicht einfach so vom Rechner abziehen. Nutzen Sie zum Aushängen die entsprechenden Funktionen der von Ihnen genutzten Desktop-Umgebung oder aus der Kommandozeile heraus das Kommando umount. Formatierungstools wie Cfdisk oder Gparted zeigen die auf dem Datenträger eingerichtete Partition als verschlüsselt an (Abbildung 3).

Abbildung 3: Partitionierungssoftware zeigt das verschlüsselte Laufwerk korrekt an.

Sofern Sie einen bereits mit USBCryptFormat verschlüsselten Datenträger erneut formatieren und verschlüsseln möchten, müssen Sie das Speichermedium zunächst mithilfe einer Partitionierungssoftware neu aufteilen. Dazu löschen Sie mit Cfdisk oder Fdisk die Partitionstabelle auf dem verschlüsselten Medium und legen danach eine neue Partition über die gesamte Größe des Datenträgers an. Diese müssen Sie nicht unbedingt gleich formatieren, sondern richten mit USBCryptFormat wieder das verschlüsselte Dateisystem ein.

Fazit

Vergessen Sie zum Ver- und Entschlüsseln eines externen Datenträgers umständliche Befehle und kryptische Parameter: Mit USBCryptFormat erstellen Sie schnell und unkompliziert verschlüsselte Wechseldatenträger jeder Art und Kapazität. Moderne Linux-Distributionen binden diese ebenso einfach ins System ein – Sie müssen lediglich das Passwort eintippen. Für echte Road-Warrior, die viele Daten unterwegs auf USB-Sticks, SD-Speicherkarten oder externen SSDs und Festplatten vorhalten, gehört USBCryptFormat daher zur Standardausstattung.