Fünf Dinge, Die Sie über Microsoft BitLocker Wissen Müssen

Fünf Dinge, die Sie überMicrosoft BitLocker wissen müssen20150128

INHALTFÜNF DINGE, DIE SIE ÜBER MICROSOFT BITLOCKER WISSEN MÜSSEN3ALLE VORAUSSETZUNGEN ERFÜLLT 4UNKOMPLIZIERTER PROZESS FÜR DAS WIEDERHERSTELLEN VON PASSWÖRTERN5GEHEN SIE DAVON AUS, DASS TPM-CHIPS ZURÜCKGESETZT WERDEN MÜSSEN6ÜBERLASSEN SIE DIE INSTALLATION VON MBAM EINEM FACHMANN7VERTIEFEN SIE IHRE IT-KENNTNISSE ÜBER MICROSOFT WINDOWS8DIE OPTIMALE VERWALTUNGSLÖSUNG FÜR BITLOCKER UND ANDEREVERSCHLÜSSELUNGSANFORDERUNGEN 9Fünf Dinge, die Sie über Microsoft BitLocker wissen müssen 2

FÜNF DINGE, DIE SIE ÜBERMICROSOFT BITLOCKERWISSEN MÜSSENAufgrund der schier endlosen Flut hochkarätiger Datenmissbrauchsfälle sehen sich Unternehmen gezwungen, ihre Sicherheitsvorkehrungen zu überdenken.Dazu zählt auch die Festplattenverschlüsselung (FDE). Dieses ausgereifte Sicherheitsverfahren schützt Daten, die auf Servern, Notebooks und anderenGeräten gespeichert sind.Microsoft bietet eine native Softwareverschlüsselung mittels BitLocker an und betreibt intensive Werbung für diese Lösung, um die Sicherheit der eigenenBetriebssysteme zu unterstützen.Der Aufstieg von Microsoft BitLockerDie Festplattenverschlüsselung mit BitLocker ist nicht neu und wird in zahlreichen Windows-Versionen angeboten.Neu ist jedoch der Fokus, den Microsoft auf die BitLocker-Verwaltung legt. Die aktuelle Verwaltungslösung fürBitLocker kam im Herbst 2012 im Rahmen einer Software-Suite für die Desktop-Verwaltung auf den Markt. ImZentrum der Aufmerksamkeit der Microsoft-Experten standen jedoch die BitLocker-Verwaltungsfunktionen.BitLocker ist nur eine von vielen Lösungen zur Verschlüsselung von Festplatten. Natürlich ist BitLocker ausschließlichfür Windows-Geräte geeignet und muss folglich bei der Auswahl geeigneter Verschlüsselungslösungen berücksichtigtwerden. Da in größeren IT-Umgebungen zunehmend verschiedene Betriebssysteme eingesetzt werden, solltenIT-Mitarbeiter idealerweise eine betriebssystemunabhängige FDE-Verwaltungslösung in Erwägung ziehen.Die Festplattenverschlüsselungslösungen von WinMagic eignen sich für die Verwaltung von BitLocker. Daher stehen die Ingenieure von WinMagic täglich imKontakt mit IT- und Sicherheitsexperten, die BitLocker testen oder die Bereitstellung vorbereiten. Im Rahmen dieses Austauschs sind uns immer wiedereinige Problembereiche aufgefallen. Aus diesem Grund geben wir nachfolgend wichtige Tipps für all diejenigen, die im Begriff sind, BitLocker zu nutzen.Fünf Dinge, die Sie über Microsoft BitLocker wissen müssen 3

FÜNF DINGE, DIE SIE ÜBER MICROSOFT BITLOCKER WISSEN MÜSSEN1ALLE VORAUSSETZUNGENERFÜLLTSorgen Sie dafür, dass alle Voraussetzungen für eine korrekte BitLocker-Bereitstellung erfüllt sindJedes Unternehmen, das BitLocker nutzt oder dieNutzung erwägt, sollte sich darüber im Klarensein, dass die Lösung sich nicht eigenständigverwaltet. Voraussetzung für Microsoft BitLockerAdministration and Monitoring (MBAM) ist dasMicrosoft Desktop Optimization Pack (MDOP).MBAM ist zur Verwaltung von BitLocker zwingenderforderlich. Dabei werden bestimmte Anwendermit ihren entsprechenden Rollen für die Nutzungvon BitLocker freigeschaltet. MDOP ist nur einevon vielen kostenpflichtigen Lösungen, die für einekorrekte BitLocker-Bereitstellung erforderlich sind.Dies kann schnell übersehen werden, da sowohlHardware als auch Software betroffen sind.BitLocker basiert auf einem TPM-Chip (TrustedPlatform Module), der auf jedem zu verschlüsselndenGerät installiert werden muss. Dieser Chip ist inder Regel in der Hardware bzw. Firmware einesGeräts verbaut. Gerätelieferanten wissen also, ober vorhanden ist oder nicht.Fünf Dinge, die Sie über Microsoft BitLocker wissen müssen Für MBAM ist eine SQL-Server-Installationerforderlich (üblich ist SQL Server 2008 R2), daeine korrekte MBAM-Lösung zwei separate SQLDatenbanken benötigt. Dazu zählt zunächst eineCompliance-Audit-Datenbank, die einen AuditTrail für die Nutzung von BitLocker generiert, diebei Bedarf abgefragt werden kann. Die zweiteDatenbank verwaltet die Wiederherstellung derBitLocker-Schlüssel und die Hardware-Datenbank.Ein weiterer unerwarteter Kostenfaktor undzusätzlicherVerwaltungsaufwandentstehtdurch die Server, die für jede Domäne in derUnternehmensumgebung erforderlich sind.Die mit BitLocker verbundenen Kosten sind also oftversteckt und werden vor der Bereitstellung derLösung nicht immer berücksichtigt.4

FÜNF DINGE, DIE SIE ÜBER MICROSOFT BITLOCKER WISSEN MÜSSEN2UNKOMPLIZIERTER PROZESSFÜR DAS WIEDERHERSTELLENVON PASSWÖRTERNImplementieren Sie einen unkomplizierten Prozess für das Wiederherstellen von PasswörternAnwender vergessen oft ihre Passwörter. Ein WinMagic-Kunde berichtete kürzlich, dass Anwender seit der erst kurzen Nutzungsdauer von BitLocker 200Mal pro Monat eine Passwortrücksetzung beantragt haben. In jedem einzelnen Fall muss der zuständige Administrator auf die BitLocker-Datenbank zurSchlüsselwiederherstellung zugreifen, um dem Anwender einen Wiederherstellungsschlüssel bereitstellen zu können.Rücksetzen von Passwörtern: Die nicht ganz so verstecktenKosten der Festplattenverschlüsselung2012 beauftragte WinMagic das renommierte Ponemon Institute mit der Untersuchung derGesamtbetriebskosten für die Festplattenverschlüsselung. Das Institut kam zu dem Ergebnis, dassdie jährlichen IT-Kosten für das Rücksetzen von Passwörtern enorm hoch sind. Untersucht wurde einmittelgroßes Unternehmen mit ca. 7.800 Beschäftigten. Die Kosten für das Rücksetzen von Passwörternbeliefen sich auf etwa 177.000 US-Dollar pro Jahr allein für den Zeitaufwand in der IT.Die FDE-Verwaltungslösungen von WinMagic reduzieren die Kosten für das Rücksetzen von Passwörternerheblich. Das Rücksetzen eines Passworts eines verschlüsselten Systems ist mit WinMagic so einfachwie das Rücksetzen auf nicht-verschlüsselten Geräten.Microsoft führte erst mit MBAM 2.0 ein automatisiertes Serviceportal für die eigenständige Wiederherstellung von Passwörtern durch Benutzer ein – einSicherheitsrisiko, denn Anwender müssen über eine externe Website auf das Portal zugreifen und bieten so eine Angriffsfläche auf die Active-DirectoryDomäne.Informationen zur Schlüsselwiederherstellung mit BitLocker finden sich in der entsprechenden MBAM-Onlinedokumentation. Offenbar ist dieser Vorgangalso nicht ganz ausgereift. Die ideale Implementierung basiert auf einer SQL-Server-Instanz zur Speicherung des Wiederherstellungsschlüssels, der beider Bereitstellung von BitLocker generiert wird – hauptsächlich, da der Schlüssel auf dem Server selbst verschlüsselt wird. Einfacher ist es, den Schlüsselin Active Directory zu hinterlegen. Das geschieht allerdings im Klartext, was wiederum gegen verschiedene IT-Sicherheitsrichtlinien oder ComplianceVorschriften verstoßen würde.Fünf Dinge, die Sie über Microsoft BitLocker wissen müssen 5

FÜNF DINGE, DIE SIE ÜBER MICROSOFT BITLOCKER WISSEN MÜSSEN3GEHEN SIE DAVON AUS, DASSTPM-CHIPS ZURÜCKGESETZTWERDEN MÜSSENGehen Sie davon aus, dass TPM-Chips zurückgesetztwerden müssenDie sicherste Methode zum Rücksetzen vergessenerBitLocker-Passwörter ist das Rücksetzen des TPM-Chipsvon Anwendern. Daher sollten IT-Mitarbeiter mit diesemVerfahren vertraut . Das kann u. U. dazu führen, dass nichtmehr auf das Gerät zugegriffen werden kann. Für dasRücksetzen eines TPM-Chips muss entweder auf das Gerätdes Anwenders zugegriffen werden oder der Anwender ausdem TPM entfernt und wieder hinzugefügt werden. UnterUmständen sind auch beide Schritte erforderlich.Fünf Dinge, die Sie über Microsoft BitLocker wissen müssen 6

FÜNF DINGE, DIE SIE ÜBER MICROSOFT BITLOCKER WISSEN MÜSSEN4ÜBERLASSEN SIE DIEINSTALLATION VON MBAMEINEM FACHMANNÜberlassen Sie die Installation und Konfigurationvon MBAM einem Fachmann.Zahlreiche IT-Experten kritisieren das spärlicheSupport-Material für die MBAM-Installation. MicrosoftTechNet bietet eine Online-Dokumentation für itungenfürweniger Versierte sucht man jedoch meist vergeblich.Die Bereitstellung von MBAM und die Einrichtung derBitLocker-Verwaltung sind keine leichten Aufgaben.Daher empfehlen wir, die Bereitstellung und Konfigurationvon MBAM einem externen Profi anzuvertrauen.Fünf Dinge, die Sie über Microsoft BitLocker wissen müssen ?7

FÜNF DINGE, DIE SIE ÜBER MICROSOFT BITLOCKER WISSEN MÜSSEN5VERTIEFEN SIE IHREIT-KENNTNISSE ÜBERMICROSOFT WINDOWSVertiefen Sie Ihre IT-Kenntnisse über Microsoft WindowsDie Bereitstellung von BitLocker ist weitaus komplexer alsein Bereitstellungsskript. Kenntnisse über Geräte-Hardware,spezielle Konfigurationen der verschiedenen MicrosoftSoftwarelösungen im Unternehmen und weiterführendeKenntnisse zu zahlreichen Microsoft-Anwendungen wie SQLServer, SCCM (System Center Configuration Manager), AD(Active Directory), GPO (Group Policy Object) und IIS (InternetInformation Services) werden zwingend vorausgesetzt. Jededieser Komponenten unterstützt oder ergänzt MBAM. DieFehlerquote kann daher recht hoch sein.Hinzu kommt, dass MBAM selbst eine neue Softwarelösungist, die es erst zu erlernen gilt.Die Bereitstellung und Verwaltung einer g ist außerdem mit Kostenverbunden. Es müssen neue IT-Fähigkeiten erlernt unddarüber hinaus Software- und Hardwareanforderungen fürjede FDE-Implementierung berücksichtigt werden. Außerdemsind neue Prozesse auf Anwenderseite erforderlich. Diemeisten IT-Experten äußern gegenüber WinMagic, dass siegerne im Vorfeld der Bereitstellung von BitLocker über dieseKosten informiert gewesen wären.Fünf Dinge, die Sie über Microsoft BitLocker wissen müssen 8

DIE OPTIMALE VERWALTUNGSLÖSUNGFÜR BITLOCKER UND ANDEREVERSCHLÜSSELUNGSANFORDERUNGENDie WinMagic-Lösung SecureDoc Enterprise Server (SES) für die Verschlüsselungsverwaltung senktden Aufwand und die Kosten für die BitLocker-Verwaltung. Mit SES können Unternehmen die Vorteileder nativen Betriebssystemverschlüsselung von BitLocker nutzen und gleichzeitig die Sicherheitdurch eine verbesserte Authentifizierung erhöhen. WinMagic-Lösungen eignen sich darüber hinausauch für die Verwaltung anderer Verschlüsselungsmethoden, z. B. für native Lösungen andererBetriebssysteme oder selbstverschlüsselnde Laufwerke und TPM.SES erfüllt die Anforderungen von Sicherheitsexperten, die BitLocker implementieren möchten oderbereits eine BitLocker-Umgebung verwalten:1) SES von WinMagic bietet neben BitLocker auch andere Methoden zurSchlüsselverwaltung und ist in der Lage, alle Verschlüsselungsverfahrennahtlos zu verwalten.Bei diesem alternativen WinMagic-Verfahren für BitLocker benötigenAnwender weder TPM-Chips noch andere, für MBAM erforderlicheSoftwarelizenzen. Außerdem ist SecureDoc betriebssystemunabhängigund kann daher auch mit Betriebssystemen wie iOS, Android oder Linuxgenutzt werden. BitLocker-Installationen können mit der WinMagic-Lösungeinfach und nahtlos zusammen mit anderen Verschlüsselungsmethodenverwaltet werden., z. B. selbstverschlüsselnde Laufwerke (SEDs) oderMac OS X FileVault 2.Fünf Dinge, die Sie über Microsoft BitLocker wissen müssen 2) SES vereinfacht mit PBConnex außerdem das Rücksetzen von PasswörternDie SecureDoc-Pre-Boot-Authentifizierung mit PBConnex sorgt bereits vordem Systemstart des Geräts für die erfolgreiche Benutzerauthentifizierung.Das hat natürlich auch Vorteile für Administratoren. Sie können u. a.Benutzerpasswörter zurücksetzen oder ändern – und diesen Prozessautomatisieren – ohne tatsächlich auf den Rechner zuzugreifen oderden Anwender in Challenge-Response-Verfahren einzubinden. PBConnexvereinfacht zudem die Einrichtung von Benutzern, ohne dabei dieSicherheit zu beeinträchtigen, da die Authentifizierung bereits erfolgt,bevor vertrauliche Daten entschlüsselt werden.9