Sichere Installation, Startsicherheit und Verschlüsselung

Wie ein Mac den Startvorgang und die Daten auf der Festplatte schützt, und wie Sie FileVault, die Secure Enclave und die Startsicherheit selbst überprüfen.

Bevor ein Konto erstellt oder ein Dienst ausgeschaltet wird, entscheiden zwei Dinge, wie sehr allem anderen vertraut werden kann: ob der Mac nur Software startet, die er überprüfen kann, und ob die Daten auf der Festplatte für jeden ohne Ihr Passwort unlesbar sind. Beides läuft auf einem modernen Mac weitgehend automatisch, aber „automatisch“ ist es wert, geprüft statt vorausgesetzt zu werden.

Die Secure Enclave und Verschlüsselungsschlüssel

Apple-Chip-Macs (und ältere Intel-Macs mit einem T2-Chip) besitzen eine Secure Enclave: einen separaten Koprozessor, isoliert vom Hauptprozessor, mit eigenem verschlüsselten Speicher. Apples Sicherheitsleitfaden beschreibt sie als Verwalterin der Verschlüsselungsschlüssel für Nutzerdaten des Geräts und als Verarbeiterin biometrischer Daten wie Touch ID, sodass Schlüsselmaterial die Secure Enclave nie in nutzbarer Form verlassen muss. Auf diesen Macs erzeugt und schützt die Secure Enclave die kryptografischen Schlüssel, die die Festplatte verschlüsseln, weshalb Speicherverschlüsselung „automatisch“ vorhanden ist statt als optionale Zusatzfunktion.

FileVault: Ihr Passwort ist die andere Hälfte des Schlüssels

FileVault ist die Einstellung, die diese automatische Verschlüsselung an Ihr Anmeldepasswort bindet. Apple beschreibt sie als „eine zusätzliche Sicherheitsebene, indem sie verhindert, dass jemand Ihre Daten entschlüsselt oder darauf zugreift, ohne Ihr Anmeldepasswort einzugeben.“ Aktivieren Sie sie unter Systemeinstellungen → Datenschutz & Sicherheit → FileVault; Sie werden gebeten, eine Wiederherstellungsmethode zu wählen, entweder Ihr iCloud-Konto oder einen Wiederherstellungsschlüssel, eine von Apple für Sie erzeugte Buchstaben-Zahlen-Folge.

Sie können den FileVault-Status selbst prüfen, ohne etwas zu ändern, über das Terminal:

Terminal

$ fdesetup status
FileVault is On.

Startsicherheit: was läuft, bevor macOS es tut

FileVault schützt Daten, sobald macOS läuft. Startsicherheit entscheidet, ob der Mac überhaupt macOS ausführt, oder etwas, das manipuliert wurde. Auf einem Mac mit Apple Chip wird das durch eine sichere Startrichtlinie mit drei Stufen gesteuert, dokumentiert in Apples Plattform-Sicherheitsleitfaden.

Apple Plattform-Sicherheitsleitfaden, „Kontrolle der Sicherheitsrichtlinie für die Startfestplatte“.
Richtlinie	Was sie tut
Volle Sicherheit (Standard)	Jeder Start erfordert eine frische, Mac-spezifische Signatur von Apple, dasselbe Modell wie bei iPhone und iPad. Das soll verhindern, dass eine ältere, verwundbare macOS-Version neu installiert wird, um den Mac anzugreifen.
Reduzierte Sicherheit	Akzeptiert eine allgemeine Apple-Signatur statt einer an diesen bestimmten Mac gebundenen. Sie ist nötig, um ältere macOS-Versionen oder Drittanbieter-Kernel-Erweiterungen auszuführen, und ist weniger resistent gegen Rollback-Angriffe.
Freizügige Sicherheit	Für Nutzer, die einen deutlich weniger sicheren Zustand akzeptieren, etwa um einen angepassten Kernel auszuführen. Sie kann nur über das Terminal in recoveryOS eingestellt werden, nicht über das grafische Startsicherheitsdienstprogramm, und System Integrity Protection auf Apple-Chip-Macs auszuschalten erfordert zuerst diese Stufe.

Für nahezu jeden ist die richtige Einstellung die Standardeinstellung: Volle Sicherheit. Es gibt selten einen guten Grund, einen von einer Person genutzten Mac in Reduzierter oder Freizügiger Sicherheit laufen zu lassen, da beide vor allem existieren, um ältere Software oder Kernel-Entwicklungsarbeit zu unterstützen. Um die Richtlinie anzusehen oder zu ändern, starten Sie neu, halten Sie den Einschaltknopf gedrückt, bis „Startoptionen werden geladen“ erscheint, öffnen Sie dann das Startsicherheitsdienstprogramm und authentifizieren Sie sich als Administrator.

Sichere Installation

Eine „sichere Installation“ ist schlicht eine, die von Apples eigenem Installationsprogramm ausgeht, heruntergeladen über Softwareupdate oder von Apple, statt von einem anderswo bezogenen Disk-Image oder Installationsprogramm. Weil Volle Sicherheit eine bestimmte, von Apple signierte macOS-Kopie an Ihren bestimmten Mac bindet, untergräbt eine Installation aus unüberprüfter Quelle genau den Schutz, den diese Lektion gerade beschrieben hat. Die nächste Lektion dieses Kurses behandelt, wie Sie diese Installation selbst aktuell halten.

Das Wichtigste

Die Secure Enclave ist ein isolierter Koprozessor, der die zum Schutz gespeicherter Daten und biometrischer Daten wie Touch ID genutzten Verschlüsselungsschlüssel erzeugt und schützt.
FileVault bindet die Festplattenverschlüsselung an Ihr Anmeldepasswort; bewahren Sie den Wiederherstellungsschlüssel getrennt vom Mac auf, da der Verlust beider den dauerhaften Datenverlust bedeutet.
`fdesetup status` meldet den FileVault-Status, ohne etwas zu ändern.
Auf Apple-Chip-Macs ist Volle Sicherheit die Standard- und empfohlene Startrichtlinie; Reduzierte und Freizügige Sicherheit existieren für Kompatibilitäts- und Entwicklungsbedürfnisse, und Freizügige Sicherheit ist Voraussetzung, bevor SIP ausgeschaltet werden kann.
Installieren Sie macOS nur über Apples eigenes Installationsprogramm; alles andere untergräbt die Mac-spezifische Signatur, auf der Volle Sicherheit beruht.

Testen Sie sich

1. Was tut die Secure Enclave?
- Sie durchsucht heruntergeladene Dateien nach schädlicher Software
- Sie ist ein isolierter Koprozessor, der Verschlüsselungsschlüssel und biometrische Daten erzeugt und schützt — Richtig.
- Sie blockiert eingehende Netzwerkverbindungen
- Sie speichert Ihr Apple-Account-Passwort im Klartext
Die Secure Enclave ist ein separates, isoliertes Teilsystem für Schlüsselverwaltung und biometrische Daten, getrennt vom Hauptprozessor.
2. Was geschieht, wenn Sie sowohl Ihr FileVault-Passwort als auch Ihren Wiederherstellungsschlüssel verlieren?
- Apple kann die Festplatte aus der Ferne entsperren
- Die Daten werden dauerhaft unzugänglich — Richtig.
- macOS fällt automatisch auf keine Verschlüsselung zurück
- Die Secure Enclave setzt sich automatisch zurück
Apple erklärt unmissverständlich, dass der Verlust sowohl des Passworts als auch des Wiederherstellungsschlüssels bedeutet, dass die verschlüsselten Daten nicht wiederhergestellt werden können.
3. Was ist auf einem Apple-Chip-Mac erforderlich, bevor System Integrity Protection ausgeschaltet werden kann?
- Nichts Zusätzliches über ein Administratorpasswort hinaus
- Das Umstellen der Startrichtlinie auf Freizügige Sicherheit — Richtig.
- Das vorherige Deaktivieren von FileVault
- Das Starten von einer externen Festplatte
Apples Plattform-Sicherheitsleitfaden merkt an, dass das Ausschalten von SIP auf Apple-Chip-Macs voraussetzt, zuerst zur Freizügigen Sicherheit herunterzustufen, da das Deaktivieren von SIP den Schutz des Kernels immer schwächt.

Mit FireAI ausprobieren

Wenden Sie diese Lektion auf Ihrem eigenen Mac an.

Quellen

Setzen Sie es auf Ihrem Mac um

Teste alle Funktionen 17 Tage kostenlos, ohne Karte.

Download für Mac Doku