Jüngst wurde bekannt, dass Microsoft Wiederherstellungsschlüssel für BitLocker an das FBI ausliefert.
Dahinter steckt keine Backdoor oder große Verschwörung. Hersteller wie Microsoft oder Apple bieten ihren Nutzern an, die Wiederherstellungsschlüssel für die Vollverschlüsselung der Systeme in den Cloud-Einstellungen des Accounts zu speichern. Dadurch haben sie natürlich im Zweifelsfall darauf Zugriff und können bzw. müssen diese an Ermittlungsbehörden weitergeben.
Sichert die Wiederherstellungsschlüssel also einfach nicht in der Cloud und dann ist BitLocker immer noch eine sichere Verschlüsselung.
Ob Bitlocker eine sichere Verschlüsselung ist, steht dahin. Es ist proprietäre Software und niemand weiß, welche Backdoors darin enthalten sind. Ich kann nur von solchen Lösungen abraten und empfehle für Verschlüsselung dringend quelloffene Lösungen, deren Sourcecode von jedem einsehbar ist.
Wer Wiederherstellungsschlüssel bei jemandem anderen speichert, kann sich die Verschlüsselung gleich ganz schenken. Es ist so als ob man den Hausschlüssel einem Dahergelaufenen übergibt zur sicheren Verwahrung.
LUKS (dm-crypt) wurde meines Wissens nach nie einem Audit unterzogen. Bis dahin ist Open Source eben auch nur ein nicht eingelöstes Versprechen.
Meines Wissens nach ist TrueCrypt, die einzige wirklich auf Herz und Nieren geprüfte Open-Source-Verschlüsselungslösung.
Am Ende geht es um Vertrauen. Die Vertrauenswürdigkeit eines Closed-Source-Produkts von einem Entwickler, der Wiederherstellungsschlüssel an Strafverfolgungsbehörden herausgibt, dürfte negativer kaum sein können. Von einer „sicheren“ Lösung zu reden ist vor diesem Hintergrund vollkommen absurd.
TrueCrypt ist doch seit Jahren eingestellt, das ist keine Alternative mehr. Der Nachfolger VeraCrypt wurde 2024 einem ausführlichen Sicherheitsaudit unterzogen. Es wurden mehrere kritische Schwachstellen gefunden, was bestätigt das OSS allein keine Sicherheitsgarantie ist, im Anschluss wurden die aber auch behoben. Für mich ist eindeutig, welcher Lösung ich den Vorzug gebe. Und das ist ganz sicher nicht die Closed Source Lösung eines Anbieters, der bereits nachweislich ihm anvertraute Schlüssel an Dritte weitergegeben hat. Ja, hätte man wissen können, dass das eine dumme Idee ist. Aber allein das eine solche Option angeboten wird, ohne deutlich auf das Risiko hinzuweisen, ist ein KO Kriterium für die Vertrauenswürdigkeit.