Für Heimanwender, die kleinere Datenbestände schnell und unkompliziert schützen möchten, bietet sich der Einsatz von EncFS in Kombination mit den Frontends Cryptkeeper oder Gnome Encfs Manager an.

Kryptografie-Software steht noch immer im Ruf der umständlichen Bedienung. Doch EncFS und die grafischen Frontends Cryptkeeper und Gnome Encfs Manager erlauben es auch Anwendern ohne tiefer gehende Kenntnisse, ihre Daten mit Bordmitteln zu schützen. Die Tools verschlüsseln Dateien blockweise mit dem AES-Algorithmus mit einer Schlüssellänge von 256 Bit.

Bei EncFS handelt es sich, wie der Name schon erkennen lässt, nicht um ein kryptografisches Programm, das die zu schützenden Daten in Containern verpackt. Es arbeitet vielmehr als verschlüsselndes virtuelles Dateisystem, das auf dem FUSE-Modul aufsetzt und daher seinen Dienst im Userspace versieht. Entsprechend erfordert es zum Verwenden auch keine administrativen Rechte.

Darüber hinaus besitzt EncFS im Vergleich zu anderen Lösungen noch weitere Vorteile: So müssen Sie sich nicht um das Anlegen von gesonderten Partitionen oder Containern kümmern. Zudem nutzt es jeweils nur so viel Platz, wie die verschlüsselten Daten tatsächlich beanspruchen. Sie vergeuden entsprechend keinen Speicherplatz durch überdimensionierte Container oder Partitionen.

Außerdem benötigt EncFS kein spezielles Dateisystem: Es kooperiert mit Ext3/4 genauso wie mit XFS oder im Netzwerk beispielsweise mit NFS. Als Userspace-Lösung eignet sich EncFS allerdings nur bedingt zum Verschlüsseln sehr großer Datenbestände, da es wegen des Umwegs über das FUSE-Kernel-Modul deutlich langsamer arbeitet als ein natives Dateisystem.

Im Zusammenspiel mit Backup-Programmen, bei denen es nicht so sehr auf Geschwindigkeit ankommt, spielt EncFS aber seine Stärken aus, indem es völlig transparent arbeitet und die verschlüsselten Datenbestände wie herkömmliche Verzeichnisse oder Dateien ins Dateisystem integriert.

Installation

EncFS finden Sie in den Software-Repositories aller gängigen Distributionen. Je nach Derivat heißen die Binärpakete jedoch unterschiedlich: Die RPM-Pakete bei Fedora finden Sie beispielsweise unter fuse-encfs, bei Debian dagegen suchen Sie einfach nach encfs.

Bei der Installation von EncFS aus den Paketquellen erscheint auch bei der aktuellen Version 1.8.1 ein Warnhinweis, der auf eine potenzielle Sicherheitslücke der Software hinweist. Diese entdeckte Taylor Hornby im Rahmen eines Security-Audits zu Beginn des Jahres 2014 [1]. Danach lassen sich mit EncFS in der seinerzeit aktuellen Version verschlüsselte Dateien, die in mehreren Versionen nacheinander auf einem Datenträger abgelegt wurden, unter Umständen von einem Angreifer entschlüsseln. Daher empfiehlt es sich, das Tool nicht für das Verschlüsseln von Daten zu verwenden, die Sie in der Cloud ablegen, da dort in der Regel mehrere Versionen einer Datei oder eines Ordners gespeichert sind (Abbildung 1).

Abbildung 1: Bei der Installation weist eine Meldung auf eine potenzielle Sicherheitslücke im Programm hin, die Taylor Hornby bei einem Audit 2014 entdeckte.

Auch das grafische Frontend Cryptkeeper lagert in den Repositories sämtlicher gängigen Linux-Derivate, und zwar wie EncFS selbst in unterschiedlichen Varianten für 32- und 64-Bit-Architekturen. Beim Gnome Encfs Manager als alternatives EncFS-Frontend ist das nicht der Fall; er steht aber für einige RPM- und DEB-basierte Distributionen auf externen Software-Sammlungen bereit [2].

Um den Gnome Encfs Manager unter Ubuntu und seinen Derivaten zu installieren, binden Sie zunächst das dazugehörige PPA [3] ins System ein, aktualisieren anschließend die Paketquellen und installieren dann die Software (Listing 1). Die Installationsroutine legt dabei, wie bei Cryptkeeper auch, im Untermenü Systemverwaltung einen entsprechenden Starter an.

Generell eignet sich der Gnome Encfs Manager auch für andere Desktop-Umgebungen als Gnome: Falls nötig, zieht die jeweilige Paketverwaltung automatisch die benötigten Abhängigkeiten nach. Darüber hinaus steht der Quellcode des Programms zum Abruf bereit [4].

$ sudo add-apt-repository ppa:gencfsm/ppa
$ sudo apt-get update
$ sudo apt-get install gnome-encfs-manager

Cryptkeeper

Nach einem Klick auf den Starter Cryptkeeper erscheint in der Panelleiste des Desktops ein Schlüssel-Symbol. Ein Rechtsklick darauf öffnet das Kontextmenü, in dem Sie zunächst den Eintrag Preferences beziehungsweise Einstellungen anwählen. Ein kleiner Dialog erlaubt lediglich das Einstellen einiger Basisoptionen, wie etwa des bevorzugten Dateimanagers. Voreingestellt bietet er Nautilus an, den Dateimanager von Gnome. Arbeiten Sie mit einem anderen Desktop, so empfiehlt es sich, hier den Dateimanager der aktuellen Arbeitsoberfläche einzutragen, damit sich Cryptkeeper möglichst nahtlos ins System integriert (Abbildung 2).

Abbildung 2: Der Einstellungsdialog von Cryptkeeper beschränkt sich aufs Wesentliche, vereinfacht damit aber die Bedienung enorm.

Außerdem empfiehlt es sich, im Abschnitt Ordner bei Nichtgebrauch aushängen (Minuten): eine Zahl einzutragen. Sollten Sie danach längere Zeit an dem verschlüsselten Ordner nichts ändern, hängt die Software ihn nach Ablauf der definierten Zeitspanne automatisch aus. Nach Abschluss des Setups klicken Sie mit der linken Maustaste auf das Schlüssel-Symbol in der Panelleiste und wählen den Eintrag Erstelle verschlüsselten Ordner.

Im folgenden Dialog wählen Sie zunächst aus dem integrierten Dateimanager einen Ordner, in dem Sie das zu verschlüsselnde Verzeichnis anlegen möchten, und tragen unter Name: einen Bezeichner dafür ein (Abbildung 3). Nach einem Klick auf Vor unten links geben Sie im nächsten Dialog ein Passwort für den verschlüsselten Ordner an und bestätigen dieses im zweiten Eingabefeld.

Abbildung 3: Um einen neuen, verschlüsselten Ordner anzulegen, genügen wenige Mausklicks und die Vergabe eines Passworts.

Ein weiterer Klick auf Vor legt nun am angegebenen Ort den Ordner an und öffnet ihn direkt im Dateimanager. Parallel zu diesem Verzeichnis legt EncFS einen weiteren versteckten Ordner gleichen Namens mit der Endung _encfs an. Von allen Ordnern und Dateien, die Sie in das Ursprungsverzeichnis kopieren, legt die Software dort verschlüsselte Pendants an (Abbildung 4).

_encfs verwahrt EncFS die verschlüsselten Pendants. Dabei behält es die originale Verzeichnisstruktur bei und gibt auch die Dateigrößen, die Berechtigungen und den Besitzer preis.” width=”300″ height=”291″ /> Abbildung 4: Im verstecken Parallelordner mit der Endung _encfs verwahrt EncFS die verschlüsselten Pendants. Dabei behält es die originale Verzeichnisstruktur bei und gibt auch die Dateigrößen, die Berechtigungen und den Besitzer preis.

Hängen Sie das eigentliche Verzeichnis aus, erscheint dieses leer; übrig bleiben lediglich die chiffrierten Daten im versteckten Ordner. Zwar verschlüsselt EncFS auch die Datei- und Verzeichnisnamen, behält aber die Ordnerstruktur bei. Auch die Größe sowie Besitzer und Berechtigungen der einzelnen Dateien lassen sich auslesen, was zumindest vage Rückschlüsse auf den ursprünglichen Inhalt zulässt.

Damit Cryptkeeper beim Hochfahren des Rechners automatisch startet, empfiehlt es sich, einen entsprechenden Eintrag in der Autostart-Verwaltung des Systems anzulegen. Sobald nach einem Neustart das Schlüssel-Symbol im System-Tray erscheint, arbeitet die Software wie gewünscht.

Um einen verschlüsselten Ordner einzuhängen, klicken Sie auf das Schlüssel-Symbol und wählen das gewünschte Verzeichnis aus dem Menü aus. Das Programm fragt nun das Passwort ab, bindet nach dessen korrekter Eingabe den Ordner ins System ein und öffnet ihn im Dateimanager.

Verwaltung

Cryptkeeper erlaubt das Anlegen mehrerer verschlüsselter Verzeichnisse nach dem beschriebenem Schema. Diese erscheinen jeweils in der Listenansicht des Kontextmenüs. Ein Häkchen vor dem Eintrag signalisiert, dass der Ordner im System aktiviert ist. Ein Mausklick auf aktivierte Ordner hängt diese aus dem System aus.

Um Cryptkeeper-Ordner zu verwalten, klicken Sie im Kontextmenü auf den Eintrag Edit. Die Software öffnet daraufhin ein Fenster, in dem es links in einer Listenansicht alle verschlüsselten Ordner auflistet. Rechts davon finden Sie drei Schaltflächen, mit deren Hilfe Sie nicht mehr benötigte Ordner löschen oder das Passwort der angewählten Verzeichnisse ändern. Falls Sie einen Ordner löschen möchten, fragt die entsprechende Routine zunächst ab, ob Sie das betreffende Verzeichnis wirklich entfernen möchten und anschließend, ob Sie alle darin befindlichen verschlüsselten Dateien löschen wollen. Erst danach entfernt das Tool das Verzeichnis aus dem System (Abbildung 5).

Abbildung 5: In einem übersichtlichen Dialog bearbeiten Sie verschlüsselte Ordner.

Gnome Encfs Manager

Auch unter anderen Desktop-Umgebungen als Gnome bindet sich der Gnome Encfs Manager bei der Installation automatisch in den System-Tray ein und erscheint dort als kleines Ordner-Symbol mit Schlüssel. Um die Bedienoberfläche auf den Desktop zu holen, klicken Sie zunächst auf das Icon und im sich daraufhin öffnenden Kontextmenü auf Verwalter anzeigen. Das nun geöffnete Fenster zeigt zunächst eine leere Listenansicht mit einer darüber horizontal angeordneten Schalterleiste sowie einer Menüleiste am oberen Fensterrand (Abbildung 6).

Abbildung 6: Auch der Gnome Encfs Manager reduziert seine Funktionalität aufs Wesentliche.

Über Verwalter | Einstellungen gelangen Sie in einen Konfigurationsdialog, in dem Sie zunächst einige grundlegende Einstellungen festlegen, etwa den automatischen Start des Programms beim Hochfahren des Betriebssystems oder Anzeigeoptionen für das Symbol im System-Tray.

Über das Menü Verwalter | Ein Verzeichnis erstellen oder importieren gelangen Sie in einen Dialog, in dem Sie das zu verschlüsselnde Verzeichnis und das Einhängeverzeichnis definieren. Abschließend vergeben Sie ein Passwort für den zu verschlüsselnden Ordner. Diesen Dialog erreichen Sie alternativ auch über den Plus-Knopf in der Schalterleiste. Nach der Anlage des Verzeichnisses erscheint dieses in der Listenansicht des Hauptfensters. Sie können hier mehrere Ordner anlegen und diese wahlweise ins System einbinden (Abbildung 7).

Abbildung 7: Die einfach gestrickte Maske erlaubt auch unerfahrenen Nutzern das problemlose Anlegen eines neuen, verschlüsselten Verzeichnisses.

Für jeden Ordner legen Sie wahlweise über das Menü Verzeichnis | Konfigurieren individuelle Optionen fest: So geben Sie in einem Fenster beispielsweise eine Zeitspanne an, nach deren Ablauf die Software das Verzeichnis bei Untätigkeit automatisch aushängt. Auch das Verhalten der Software beim Systemstart definieren Sie an dieser Stelle. Über Verzeichnis | Passwort ändern ändern Sie bei Bedarf das Passwort jedes markierten Ordners.

Management

Um mit den verschlüsselten Verzeichnissen zu arbeiten, aktivieren Sie diese über einen Mausklick auf den Verzeichnisnamen im Applet. Auf dieselbe Weise hängen Sie die Verzeichnisse wieder aus.

Möchten Sie einen Ordner aus dem System entfernen, so klicken Sie auf das rote Kreuz-Symbol in der Buttonleiste des Programmfensters. Alternativ erreichen Sie die Funktion auch über Verzeichnis | Entfernen, wobei Sie hier in einem gesonderten Dialog bestimmen, ob Sie den betreffenden Ordner lediglich aus dem Programmfenster oder komplett vom Datenträger löschen möchten. Wählen Sie die Option, den Ordner nur aus der Listenansicht des Programmfensters zu entfernen, dann bleiben die Daten erhalten, und der verschlüsselte Ordner lässt sich später wieder ins System integrieren.

Fazit

Mit EncFS und dessen Frontends Cryptkeeper sowie Gnome Encfs Manager erhalten Sie die äußerst einfach zu handhabende Möglichkeit, wichtige Datenbestände durch Verschlüsselung vor dem Zugriff Unbefugter zu sichern. Die Softwarepakete lassen sich einfach installieren, sie funktionieren stabil und zuverlässig.

Aufgrund der Beschränkung aufs Wesentliche eignen sich die Tools außerdem auch für Einsteiger, eine Einarbeitung ist nicht notwendig. Ein Manko stellt die teils noch nicht vollständige deutsche Lokalisierung der grafischen Oberflächen dar. Die englischsprachigen Menü-Einträge erschweren die Verständlichkeit der Software jedoch kaum.

Die Kombination eignet sich optimal für das Verschlüsseln lokaler, begrenzter Datenbestände. Beim Einsatz EncFS-basierter Lösungen in der Cloud sowie auf Servern mit mehreren Versionen des gleichen Ordners sollten Sie jedoch die 2014 entdeckte potenzielle Sicherheitslücke im Hinterkopf behalten, die beim Vorhandensein mehrerer Versionen der gleichen Daten auftritt.