Verschlüsseltes Cloud-Backup, einfach erklärt

Verschlüsseltes Backup kann drei verschiedene Dinge bedeuten: Die Daten sind verschlüsselt, während sie in die Cloud übertragen werden (bei der Übertragung), sie sind verschlüsselt, während sie im Speicher liegen (im Ruhezustand, also bei der Speicherung), oder sie werden schon auf Ihrem eigenen PC verschlüsselt, bevor sie ihn verlassen, mit einem Schlüssel, den nur Sie besitzen (clientseitig). Sie schützen vor unterschiedlichen Problemen, und Anbieter benutzen das Wort oft, ohne zu sagen, welches sie meinen. Dieser Ratgeber erklärt alle drei, sagt, was Tornova heute bietet (bei der Übertragung und im Ruhezustand; clientseitige Verschlüsselung ist geplant und nicht verfügbar), und gibt Ihnen eine Checkliste für die Prüfung jedes Backup-Anbieters.

Drei Dinge, die man unter verschlüsseltem Backup versteht

Verschlüsselung macht Daten unleserlich, sodass sie nur mit dem passenden Schlüssel lesbar sind. Wichtig sind zwei Fragen: Wer besitzt den Schlüssel, und wann werden die Daten unleserlich gemacht? Die Antwort ist für jede der drei gängigen Arten anders.

Drei Arten der Verschlüsselung in einem Cloud-Backup
Art	Wann die Daten geschützt sind	Wer den Schlüssel besitzt	Wichtigster Schutz
Bei der Übertragung (Transportverschlüsselung)	Während Dateien zwischen Ihrem PC und der Cloud unterwegs sind	Wird von Ihrem PC und dem Dienst ausgehandelt (TLS)	Wer das Netzwerk mitliest, etwa in öffentlichem WLAN, kann die Daten unterwegs weder lesen noch verändern
Im Ruhezustand (Verschlüsselung gespeicherter Daten)	Während Dateien im Cloud-Speicher des Anbieters liegen	Wird von der Infrastruktur des Anbieters verwaltet	Wer an den Rohspeicher gelangt, etwa über eine verlorene Festplatte, kann ihn nicht lesen
Clientseitig	Bevor Dateien Ihren PC verlassen, und während sie gespeichert sind	Sie (oder die App, mit einem Schlüssel, den nur Sie kontrollieren)	Der Anbieter kann Ihre Dateien ohne Ihren Schlüssel nicht lesen

Alle drei sind wertvoll, und die ersten beiden erwartet man von jedem seriösen Dienst. Clientseitige Verschlüsselung ist ein stärkeres und seltenes Versprechen, mit Abwägungen, die man kennen sollte.

Verschlüsselung bei der Übertragung

Die Verschlüsselung bei der Übertragung nutzt TLS, dieselbe Technik wie das Schloss-Symbol in Ihrem Browser. Sie verhindert, dass andere im Netzwerk Ihre Daten unterwegs lesen oder verändern. Sie ist die Grundlage jedes Uploads. Moderne Dienste verwenden TLS 1.2 oder höher; ältere Versionen haben bekannte Schwächen.

Sie schützt die Daten nicht mehr, sobald sie angekommen sind, und sagt nichts darüber, was der Anbieter einsehen kann. Sie ist nötig, aber nur eine Schicht.

Verschlüsselung im Ruhezustand

Verschlüsselung im Ruhezustand heißt, dass die Daten auf den Festplatten des Anbieters verschlüsselt gespeichert sind. Käme jemand an die Speicherhardware oder an einen Rohzugriff darauf, erhielte er keine lesbaren Dateien. Große Cloud-Plattformen wenden das als Standard auf die Speicherebene an.

Die Grenze: Die Systeme des Anbieters können die Daten weiterhin entschlüsseln, um sie Ihnen zurückzugeben, und Mitarbeiter und Software des Anbieters haben womöglich einen Weg dorthin, den die Kontrollen Ihres eigenen Kontos nicht schließen. Die Verschlüsselung im Ruhezustand schützt vor dem Diebstahl von Speicher, nicht vor allem. Strenge Zugriffskontrollen, kurzlebiger Zugriff auf den Speicher und ein gut geschütztes Konto sind genauso wichtig.

Clientseitige Verschlüsselung, und warum sie nicht einfach besser ist

Bei clientseitiger Verschlüsselung macht Ihr PC die Dateien unleserlich, bevor sie hochgeladen werden, mit einem Schlüssel, den nur Sie kontrollieren. Der Anbieter speichert Daten, die er nicht lesen kann. Man spricht dabei manchmal von Ende-zu-Ende- oder Zero-Knowledge-Verschlüsselung, doch diese Begriffe werden ungenau verwendet. Das ist ein Grund, die Beschreibung des Anbieters genau zu lesen.

Die Stärke ist zugleich der Preis. Geht der Schlüssel verloren, kann niemand Ihre Dateien wiederherstellen, auch der Anbieter nicht. Manche Funktionen, die in Dateien hineinsehen müssen, etwa die Suche auf dem Server oder Vorschauen, sind eingeschränkt oder unmöglich. Und die App, die verschlüsselt, wird zu etwas, dem Sie vertrauen müssen.

Faustregel Fragen Sie, wer Ihre Dateien lesen kann, wenn Sie das Passwort vergessen und der Anbieter voll mitarbeitet. Lautet die ehrliche Antwort: niemand, ist der Dienst clientseitig verschlüsselt. Lautet sie, dass er Ihren Zugang zurücksetzen kann, ist er es nicht.

Was Tornova heute leistet

Tornova Backup nutzt heute die ersten beiden Arten. Clientseitige Verschlüsselung ist geplant und nicht verfügbar. Jedes Tornova-Konto ist heute ein Standard Secure Account.

Bei der Übertragung: Daten werden bei der Übertragung mit TLS 1.2 oder höher verschlüsselt.
Im Ruhezustand: Daten sind im Cloud-Speicher im Ruhezustand verschlüsselt, das ist Azure Blob Storage in den USA.
Zugriff auf den Speicher: Der Speicher ist nie öffentlich zugänglich. Der Zugriff nutzt kurzlebige, kontrollierte Autorisierung.
Geräteidentität: Jeder Windows Agent hat eigene gerätespezifische Zugangsdaten, getrennt von der Anmeldung des Benutzers.
Integrität: Dateiinhalte werden mit SHA-256 identifiziert und geprüft.
Kontoschutz: optionale Bestätigung in zwei Schritten (TOTP).
Kontrolle der Wiederherstellung: Die Wiederherstellung wird getrennt vom Backup gesteuert. Organisationen haben außerdem Emergency Stop.

In einfachen Worten: Tornova verschlüsselt Ihre Daten auf dem Weg in die Cloud und im Speicher und schützt den Zugriff mit Konto- und Gerätekontrollen. Tornova behauptet nicht, dass nur Sie Ihre Dateien lesen können, und bietet heute weder Ende-zu-Ende- noch Zero-Knowledge-Verschlüsselung an. Müssen Ihre Daten auch für den Dienstanbieter unlesbar bleiben, ist die aktuelle Version von Tornova nicht das richtige Werkzeug für diese Anforderung, und Sie sollten genau diese Dateien selbst verschlüsseln, bevor Sie sie sichern.

Die Sicherheitsseite und die FAQ beschreiben diese Kontrollen in der veröffentlichten Fassung.

Eine Checkliste zur Prüfung jedes Backup-Anbieters

Ist die Übertragung verschlüsselt, und mit welcher TLS-Version? Achten Sie auf TLS 1.2 oder höher.
Sind die gespeicherten Daten verschlüsselt? Fragen Sie, ob der Speicher verschlüsselt ist und wo er liegt.
Gibt es clientseitige Verschlüsselung, und ist sie optional oder Pflicht? Lesen Sie, was bei Verlust des Schlüssels passiert.
Wer besitzt die Schlüssel? Verwaltet sie der Anbieter, kann er grundsätzlich darauf zugreifen.
Wie wird der Zugriff auf den Speicher gesteuert? Öffentlicher oder anonymer Zugriff sollte nicht existieren; achten Sie auf kurzlebigen, autorisierten Zugriff.
Wie ist Ihr Konto geschützt? Die Bestätigung in zwei Schritten sollte verfügbar sein, und Wiederherstellungen sollten sich steuern lassen.
Wo liegen die Daten, und nach dem Recht welchen Landes? Das ist für manche Unternehmen und Berufe wichtig.
Was sagt der Anbieter, was er nicht kann? Ein Anbieter, der ehrlich über Grenzen, geplante Funktionen und aktuelle Lücken spricht, verdient eher Vertrauen als einer, der alles verspricht.
Können Sie eine echte Datei wiederherstellen? Sicherheit, die Sie nicht selbst testen können, ist ein Versprechen und keine Funktion.

Den allgemeinen Kaufratgeber finden Sie unter Backup-Software für Windows auswählen. Für Gewohnheiten, die Ihre Dateien außerhalb des Backups schützen, lesen Sie Wichtige Dateien unter Windows schützen.

Häufig gestellte Fragen

Ist mein Tornova-Backup verschlüsselt?

Ja, bei der Übertragung (TLS 1.2 oder höher) und im Cloud-Speicher im Ruhezustand. Clientseitige Verschlüsselung ist geplant, aber heute nicht verfügbar.

Kann Tornova meine Dateien lesen?

Tornova behauptet nicht, dass nur Sie Ihre Dateien lesen können. Die heutige Verschlüsselung schützt Daten bei der Übertragung und im Ruhezustand und stützt sich auf Zugriffskontrollen, ist aber keine clientseitige oder Zero-Knowledge-Verschlüsselung.

Was ist der Unterschied zwischen Ende-zu-Ende-Verschlüsselung und Verschlüsselung im Ruhezustand?

Verschlüsselung im Ruhezustand schützt gespeicherte Daten, die Schlüssel verwaltet der Dienst. Ende-zu-Ende- oder clientseitige Verschlüsselung macht Daten auf Ihrem PC unleserlich, mit einem Schlüssel, den nur Sie besitzen, sodass der Anbieter sie nicht lesen kann.

Heißt ein Schloss-Symbol oder HTTPS, dass mein Backup privat ist?

Es heißt, dass die Verbindung bei der Übertragung verschlüsselt ist. Wie die Daten gespeichert werden und wer sie danach lesen kann, sagt es nicht.

Was, wenn meine Dateien auch für den Anbieter unlesbar sein müssen?

Nutzen Sie einen Anbieter mit echter clientseitiger Verschlüsselung oder verschlüsseln Sie die Dateien selbst, bevor sie gesichert werden. Bewahren Sie den Schlüssel sicher auf, denn niemand kann ihn für Sie wiederherstellen.

Weiterlesen

JavaScript is needed to sign in, buy a plan or use the dashboard.