Truecrypt – nützliche Freeware um sensible Daten zu verschlüsseln

Es ist immer wieder erstaunlich, wie viele Daten sich alleine im Laufe eines Universitätssemesters anhäufen.

Egal ob Dozent oder Student: mit der Zeit sammeln sich beträchtliche Mengen an digitalen Dokumenten:

Worddokumente, PDF-Dateien, Scans von Bücherseiten, Bewerbungsunterlagen, Korrespondenz mit der Verwaltung oder Behörden und und und.

USB-Sticks und Wechselmedien: Die „eigenen Dateien“ für Unterwegs

Es spricht nichts dagegen, einen Teil dieser Daten auf Wechselmedien zu speichern, da USB-Sticks/ Wechseldatenträger immer größer und auch schneller werden. Auch werden Sticks in den Ausmaßen immer kleiner, so dass es kein Problem sein sollte eine USB-Stick ohne großen Aufwand immer bei sich zu führen.

Dank Verbesserungen in der Mikrochipproduktion gibt es inzwischen Sticks mit über 128GB.
Damit werden Mobile Speicherchips/USB-Sticks auch immer mehr zum Ersatz für externe Festplatten – sind sie doch wesentlich kleiner und bautechnisch robuster.  Im Gegensatz zu herkömmlichen Festplatten drehen sich in USB-Sticks  nämlich keine mechanischen Teile was sie insgesamt wesentlich stabiler und robuster macht.

• Für die Datenübertragung: Vertretungslehrer können beispielseweise einen Fundus an Freiarbeitsmaterialien und Arbeitsblättern auf einem Stick speichern, und vor Ort in der Schule die betreffenden Materialien für Unterrichtsstunden ausdrucken.
• Ebenfalls können auf einem USB-Stick Videopodcasts mit Nachrichten oder andere audiovisuelle Materialien für den Unterricht gespeichert werden. Viele preiswerte DVD-Player verfügen über eine USB-Schnittstelle, auch die in den letzten Jahren beliebten Mediaplayer verfügen i.d.R. über einen USB-Klinken-Eingang. Auf diese Weise sind USB-Sticks geradezu prädestiniert als Zubringer für audiovisuelle Mediendateien. Anders als externe Festplatten überleben USB Sticks Stürze ohne weiteres…
• USB Sticks sind aufgrund der stetig Voranschreitenden Größe (>32GB)  inzwischen auch gut geeignet als Backup-Medium für die turnusmäßige Datensicherung und oder Synchronisation der Daten am HeimPC
• Möglichkeit der Portablen Applikationen / Portable Apps: Abseits der Datenspeicherung können USB Sticks auch genutzt werden um Portable Apps auf diesen zu installieren. So hat der Lehrer neben seinen eigenen Dateien auch immer seinen eigenen angepassten Browser oder Mailclient dabei.

Aber was tun, wenn auf einmal der Stick mit dem Scan des Personalausweises oder dem Praktikumsbericht im Internetcafe vergessen wurde? Jemand hat den Stick mitgenommen!

Die Daten sind  nun verloren- das ist auf den ersten Blick  nicht weiter schlimm, schließlich sollten für wichtige Daten stests eine Sicherungskopie zur Hand haben.

..weitaus schlimmer ist es, wenn  personenbezogene Daten von dem unbekannten Finder für  etwaige Manöver missbraucht werden.

Um einmal von dem „harmlosen“ Szenario auszugehen, dass auf dem Stick Fotos vom letzten Projekttag der Schule sind.

im günstigsten Fall werden diese Fotos einfach vom Finder beschaut…

Genug Böswille vorrausgesetzt könnte er diese auch einfach bei Flickr.com hochladen oder Porträtfotos nutzen um sich einen Pseudoaccount bei Facebook anzulegen…

Derartiges mutet auf dem ersten Blick erstaunlich an – macht sich doch derjenige der so etwas begeht strafbar- aber Identitätsdiebstahl ist keine Seltenheit. Und Lehrer sind Personen der Öffentlichkeit.

Um beim Beispiel der unerlaubten veröffentlichung von „gefundenem“ Bildmaterial zu bleiben: hier kommt noch hinzu dass bei derartigem böswilligen Datenmissbrauch (Stichwort: User Generated Content) aufgrund der juristischen Lage die Täter derzeit kaum ermittelbar sind. Oftmals dauert schon das Entfernen von unerlaubten Fotos oder Filmen sehr lange…

Auch sind sich die Opfer eines Datendiebstahls oftmals gar nicht bewusst, dass die von Ihnen verlorenen Daten ein Eigenleben entwickelt haben. Woher auch?  Selbst die Empfehlung der englischen Gewerkschaft an die britischen Lehrer ihren Namen regelmäßig selbst zu googlen um Aufschluss über Ihre Reputation und Fundstellen zur eigenen Person zu erlangen hilft wenig.  Schließlich kann keinesfalls davon ausgegangen werden, dass die Fotos unter einem Realnamen der Betroffenen Lehrkraft veröffentlicht werden.

Ein Stick der über schulisch Jahre genutzt wird kann so mitunter viele personenbezogene Daten enthalten- und bedarf einer gewissen Sorgfalt in der Handhabe, sollte also in jedem Fall verschlüsselt werden.

In den letzten Jahren gab es immer wieder erstaunliche Fälle in denen staatliche Institutionen und Unternehmen der freien Wirtschaft erstaunliche Naivität im Umgang mit personenbezogenen Daten offenbarten.  In Deutschland machte zuletzt die Telekom durch schlampigen Umgang mit sensiblen unverschlüsselten Kundendaten und durch skandalöse Schnüffelaktionen immer wieder von sich reden machte.

Insbesondere in England gab es hier in den letzten Jahren die spektakulärsten Fälle, hier nur einige wenige der unter www.datenleck.net aufgezeichneten Chronologie der Pannen in England im Jahr 2008:

• Auf den britischen Inseln ist ein weiterer USB-Stick abhanden gekommen. In diesem Falle handelt es sich um unverschlüsselte Informationen über Häftlinge.  In Summe befinden sich persönliche Daten über 84.000 Gefangene, insb. über 10.000 Schwerverbrecher und ca. 30.000 Wiederholungstäter auf dem Stick. Neben Adressen, Namen und Geburtsdaten waren auch Strafenregister, sowie Entlassungstermine enthalten.
• aus einem Auto wurden neben einem Notebook USB-Sticks entwendet. Auf diesen waren Daten von Kindern enthalten, die sich an einer TV-Kochsendung “Gastronuts” beworben haben. Neben persönlichen Angaben waren Telefonnummern und Urlaubstermine gespeichert.
• Eine CD mit Daten von mehr als 11.000 Lehrern ist bei einer britischen Lehrerorganisation offenbar verlegt worden, so die Erklärung des Allgemeinen Lehrerrats. Die Daten sollen in diesem Fall jedoch verschlüsselt gewesen sein.
• Statt dem britischen Rechnungshof nur die angeforderten Daten zu senden, verschickte die Steuerbehörde in Newcastle gleich die ganze Kindergeld-Datenbank auf CD per Post. Unverschlüsselt versteht sich. Die Datenträger kamen nie an. Die Datenpanne betrifft etwa 25 Millionen britische Kinder und Kindergeldempfänger. Die Daten enthalten Namen, Adressen und Geburtsdaten von Antragstellern, ihren Partnern und Kindern, Verwandtschaftsbeziehungen zwischen ihnen, Nationale Versicherungsnummern und Bankverbindungen. Die Suche nach dem Loch wurde bereits wenige Wochen später abgebrochen.

Hierbei handelt es sich mit Sicherheit nur um die Spitze des Eisberges – sind doch derartige Pannen immer sehr peinlich für die Verursacher und werden gerne verheimlicht.

Allerdings wäre es falsch die Probleme nur bei der staatlichen IT zu sehen. Viele trendige  SocialNetwork Firmen hierunter auch StudiVZ wurden schon um Kundendaten beklaut. Bloß werden die Meldungen oftmals von findigen PR-Mitarbeitern verschleiert und in der Öffentlichkeit nicht so stark wahr genommen.

Angeregt von den  „Datenpannen“ die auch in Deutschland stattfanden,  gibt es inzwischen an Schulen vermehrt Anstrengungen Lehrer  zu verpflichten Schülerdaten und sämtliche andere Unterlagen im Kontext Schule zu verschlüsseln.

Verschlüsselung mit Truecrypt: Pflicht für angehende Lehrer!

Um nun zu verhindern, dass die vertraulichen Daten auf einem verlorenen Datenträger missbraucht werden, bietet es sich an, diese  über Hash-Werte zu verschlüsseln.

Die erste Wahl um seine privaten Dateien zu verschlüsseln ist Truecrypt.

Truecrypt ist für Windows XP und Vista, Mac und Linux erhältlich.

Die Truecrypt Software ist Open Source und damit kostenlos. Ein weiterer Vorteil im Freien Software-/ Open Source- Konzept liegt darin, dass der Quellcode von Experten regelmäßig auf etwaige Sicherheitslücken („Exploits“) überprüft wird und so beständig aktualisiert wird. Es gibt auch noch andere teils kostenlose Verschlüsselungsprogramme, aber hinter Truecrypt steckt eine besonders große Entwicklergemeinde und Community.

Grundsätzlich muss Truecrypt auf dem PC wo es genutzt wird installiert werden, es sei denn man nutzt eine spezielle von Wechseldatenträgern laufende portable Version.

Variante 1: Nutzung der Portable Version von Truecrypt direkt vom Wechseldatenträger (USB-Stick, SD-Card, mobile Festplatte etc)

Gerade für USB-Sticks und anderen portablen Speicher  ist Truecrypt die erste Wahl, da Wechseldatenträger aufgrund der fehlenden Befestigung am Computer schnell verloren gehen oder gar entwendet werden können.

Die wohl beste Anleitung, wie eine direkt von Wechseldatenträgern  lauffähige „portable“ Truecrypt Version installiert werden kann, findet sich auf www.stadt-bremerhafen.de, der Website des Nordlichtes Caschy. (Caschy ist ein bloggender Nerd der ersten Stunde, sein Blog zählt in Deutschland zu den meistgelesensten Techblogs)

Cashy hält eine von ihm angepasste Version vor die, schon direkt portable ist. Gleich mitgeliefert wird ein kleines Script welches schnell angepasst ist und dann die Bedienung sehr erleichtert.

Die Portable Truecrypt Version von Caschy wird seit zwei Jahren mit jedem Release von Truecrypt beständig aktualisiert – so dass sie Feature- und sicherheitsmäßig immer auf dem neuesten Stand ist.

Über den Download zur Installation und Nutzung von Truecrypt Portable, ist alles ist üppig bebildert in dem „Artikel mit Truecrypt unterwegs“  auf Caschys Blog beschrieben:

http://stadt-bremerhaven.de/2007/02/19/mit-true-crypt-unterwegs/

Die Anleitung ist von Anfang 2007 aber nach wie vor aktuell… Am Ende des Artikels finden sich auch weitere Downloadlinks zu aktuelleren Versionen.

Anmerkung: die portable Version von Truecrypt benötigt um zu funktionieren Administratorrechte! Diese sollten auf dem heimischen PC immer gegeben sein.  Der Administrator ist derjenige der alles verändern darf im System.  Standarduser haben in der Regel nur eingeschränkte Benutzerrechte und dürfen oft noch nicht einmal die Systemuhr stellen geschweige denn ein Programm installieren.

Variante 2: Installation der Truecrypt Software auf einem PC

Die gängige Methode besteht darin Truecrypt lokal auf allen PCs zu installieren auf denen man arbeitet. Ist Truecrypt lokal auf einem Rechner installiert, kann man es auch mit eingeschränkten Benutzerkonten benutzen. Eingeschränkte Konten erkennt man daran, dass man keine Software installieren darf…

In einem Youtube-Film der sich an angehende Detektive (!) richtet  wird anschaulich beschrieben wie man das Programm auf seinem Rechner installiert und nutzt:

httpv://www.youtube.com/watch?v=bZWJNQ6XaYQ

Dabei sei noch mal gesagt: Verschlüsselung sollte bei allen personenbezogenen Daten erfolgen, die auf Wechselmedien gespeichert werden.

Ist ein unverschlüsselter Wechseldatenträger erst einmal „abhanden gekommen“, ist es schwer den Schaden einzuschränken: wer hat den wohl gefunden, und wie steht es um die Integrität der Finders?

Auch wenn das Verschlüsseln von personenbezogenen Daten nicht unbedingt zum Kerngeschäft/ Selbstverständnis für einen Lehrer gehören mag: letzten Endes ist jeder selbst dafür verantwortlich. Es ist wie mit dem Schuhe binden: wer es nicht selbst kann, stolpert irgendwann…

Inzwischen gibt es Städte die Ihrer Referendare per schriftlich zu unterzeichnender  Erklärung dazu verpflichten für den Unterricht genutzte  Sticks grundsätzlich mit Truecrypt zu verschlüsseln.

Ein Einzelfall? In dieser „Anordnung von Oben“ zeigt sich deutlich, dass Datenschutz nicht nur ein Unterrichtsthema sondern auch gängige handlungsbereitende Praxis sein sollte, zu welcher jeder Lehrer sich seine Gedanken machen sollte.

Die Akademie für Lehrerfortbildung Dillingen hat u.a. zur Verwendung von Truecrypt in der Schule spezielle Papers / Tutorials für Lehrer geschrieben. In gut verständlicher Sprache wird hier detailliert mit Screenshots gezeigt wie vorzugehen ist um Truecrypt auf einem Rechner zu installieren und zu nutzen.

—

Weiterführende Links:

• http://www.datenleck.net „Die Chronik der Datenpannen“: datenleck.net, ausgehend von den Britischen Datenskandalen kommentiert und recherchiert hier René Pönitz, inzwischen auch über die Deutsche Telekom

• Truecrypt in der Schule Tutorial der ALP: Truecrypt auf einem PC installieren und nutzen

• http://stadt-bremerhaven.de/2007/02/19/mit-true-crypt-unterwegs/ Download des portable Truecrypt und Anleitung zur Nutzung. Hier findet sich auch die Dokumentation des beim Portable Truecrpyt mitgelieferten Scripts

—