Windows 2000: EFS-Dateien vor einer Migration erkennen
Eine Datei, die sich unter Windows 2000 problemlos öffnet, kann trotzdem mit EFS verschlüsselt sein. Das System entschlüsselt sie für den angemeldeten berechtigten Benutzer transparent. Nach einer Neuinstallation oder einem Profilverlust kann derselbe Dateibestand deshalb unlesbar sein. Diese Anleitung dient der Bestandsaufnahme eines vorhandenen Altsystems, nicht dessen erneuter Internetanbindung.
Vorbereitung ohne Änderungen
Erhalte das ursprüngliche System und seine Sicherung. Arbeite im bisher verwendeten, autorisierten Benutzerkonto und notiere Rechner, Konto, Laufwerk und zu prüfende Datenordner. EFS ist eine NTFS-Funktion und nicht mit NTFS-Zugriffsrechten oder einem Kennwort in einer Office-Datei gleichzusetzen. Eine Zugriffsverweigerung allein beweist keine EFS-Verschlüsselung.
Verschlüsselungsstatus lesen
- Öffne über Start, Ausführen mit
cmdeine Eingabeaufforderung. - Wechsle in einen tatsächlich vorhandenen Datenordner. Beispiel:
cd /d "C:\Daten". Ersetze den Beispielpfad durch deinen Ordner. - Führe zunächst nur
cipherohne Schalter aus. Die Windows-2000-Dokumentation beschreibt dies als Anzeige des Verschlüsselungsstatus des aktuellen Ordners und seiner enthaltenen Dateien. - Lies die Statusangaben und notiere verschlüsselte Dateien mit vollständigem Pfad. Versteckte und Systemdateien werden standardmäßig ausgelassen;
cipher /hzeigt sie zusätzlich an. - Prüfe weitere Datenordner und Unterordner getrennt. Ein Ergebnis aus einem einzigen Ordner ist kein vollständiges Inventar des Rechners. Halte nicht zugängliche oder nicht geprüfte Bereiche ausdrücklich offen.
Für diese Bestandsaufnahme keine Schalter zum Verschlüsseln, Entschlüsseln oder Erzeugen neuer Schlüssel verwenden. Insbesondere /e, /d und /k gehören nicht in den reinen Lesetest. Die lokale Hilfe cipher /? zeigt die tatsächlich installierte Fassung; moderne Schalter nicht ungeprüft auf Windows 2000 übertragen.
Schlüsselabhängigkeit dokumentieren
Notiere bei EFS-Funden, welches bisherige Konto eine Datei öffnen kann, ohne die Datei neu zu speichern. Das erfolgreiche Öffnen zeigt Zugriff in dieser Sitzung, beweist aber noch keine Wiederherstellbarkeit nach dem Umzug. Zum Entschlüsseln wird der passende private Schlüssel benötigt. Eine Kopie der verschlüsselten Daten oder ein öffentliches Zertifikat allein ersetzt ihn nicht.
Falls das originale Windows 2000 Resource Kit bereits verfügbar ist, kann dessen Efsinfo zusätzlich Benutzer-, Wiederherstellungsagenten- und Zertifikatinformationen anzeigen. Es ist laut Microsoft ein Resource-Kit-Werkzeug, kein vorauszusetzender Bestandteil jeder Installation. Eine angezeigte Agentenidentität beweist nicht, dass der benötigte private Schlüssel noch vorhanden ist.
Migration erst nach Wiederherstellungsprobe
Lass den zuständigen Administrator die passenden Benutzer- oder Wiederherstellungsschlüssel geschützt sichern und eine autorisierte Wiederherstellungsprobe mit Datenkopien in einer isolierten Testumgebung durchführen. Schlüsselmaterial gehört nicht in das Inventar oder eine Supportnachricht. Arbeitsgruppen- und Domänen-Wiederherstellungsagenten können unterschiedlich sein; Administratorrechte allein sind kein Entschlüsselungsnachweis.
Bis Daten und Schlüssel nachweislich zusammen wiederherstellbar sind, keine Profile entfernen, Konten neu anlegen oder das alte System neu installieren. Bei fehlendem Schlüssel oder unlesbarer Probe stoppt die Migration dieses Bestands. Die Bestandsaufnahme selbst entschlüsselt oder verändert keine Dateien.
