Sie haben einen Ordner mit EFS verschlüsselt, dann ist etwas passiert: eine Neuinstallation, ein zurückgesetztes Benutzerprofil, eine versehentliche Löschung oder der Umzug des Laufwerks auf einen anderen PC. Jetzt sind die Dateien zwar wieder da, doch bei jeder erscheint die Meldung „Zugriff verweigert“. Die Daten selbst sind nicht beschädigt – es fehlt lediglich der private Schlüssel, mit dem sie entschlüsselt werden. Dieser Leitfaden erklärt, warum das passiert und wie Sie EFS-verschlüsselte Dateien mit RS Partition Recovery wiederherstellen und entschlüsseln.
Inhalt
- Warum EFS-Dateien nicht mehr zugänglich sind: Häufige Szenarien bei der Datenwiederherstellung
- Vorbereitung auf die EFS-Wiederherstellung: Zertifikat suchen
- EFS-verschlüsselte Dateien mit RS Partition Recovery wiederherstellen und entschlüsseln
- Was tun, wenn Sie das EFS-Zertifikat nicht haben?
Kein Datenrettungsprogramm kann die EFS-Verschlüsselung umgehen. RS Partition Recovery kann verschlüsselte Dateien auf einem gelöschten oder beschädigten NTFS-Volume finden und wiederherstellen. Für die Entschlüsselung sind jedoch weiterhin das ursprüngliche Zertifikat und der private Schlüssel erforderlich – oder in einer Domänenumgebung das Zertifikat eines Datenwiederherstellungs-Agenten. Ist dieser Schlüssel endgültig verloren, bleiben die wiederhergestellten Dateien verschlüsselt.
Warum EFS-Dateien nicht mehr zugänglich sind: Häufige Szenarien bei der Datenwiederherstellung
EFS verknüpft jede verschlüsselte Datei mit einem Zertifikat und einem privaten Schlüssel, die im Profil eines bestimmten Windows-Benutzers gespeichert sind. Die Datei selbst wird weder verschoben noch verändert. Sobald das Zertifikat jedoch nicht mehr dort vorhanden ist, wo Windows es erwartet, kann niemand mehr auf die Datei zugreifen – auch nicht die Person, die sie verschlüsselt hat. Die meisten Fälle, in denen EFS-Dateien wiederhergestellt werden müssen, lassen sich auf sechs Situationen zurückführen:
Neuinstallation oder Zurücksetzen von Windows
Bei einer Neuinstallation oder über „Diesen PC zurücksetzen“ wird ein neues Benutzerprofil mit einem neuen Zertifikat erstellt. Das alte Zertifikat – der einzige Schlüssel, mit dem sich Ihre Dateien entschlüsseln lassen – ist verloren, sofern es nicht zuvor exportiert wurde.
Laufwerk auf einen anderen PC oder in ein anderes Profil verschoben
Die Dateien werden mitgenommen, das Zertifikat jedoch nicht. EFS-Zertifikate befinden sich im Benutzerprofil auf dem ursprünglichen Computer und nicht auf dem Laufwerk, auf dem die verschlüsselten Daten gespeichert sind.
Administratorkennwort zurückgesetzt
Wird das Kennwort eines lokalen Kontos mit einem Administratortool zurückgesetzt, statt es direkt durch den Benutzer zu ändern, kann die Verknüpfung beschädigt werden, über die Windows den EFS-Hauptschlüssel entsperrt. Das Konto lässt sich trotzdem weiterhin wie gewohnt anmelden.
Beschädigtes oder gelöschtes Benutzerprofil
Ein beschädigtes Profil, ein fehlgeschlagenes Update oder ein gelöschter Profilordner kann den Zertifikatspeicher mit entfernen – oft ohne dass dies unmittelbar bemerkt wird.
Versehentliches Löschen
Der einfache Fall: Eine verschlüsselte Datei oder ein Ordner wird gelöscht. Das Zertifikat ist weiterhin vorhanden. Bevor die Entschlüsselung eine Rolle spielt, muss die Datei jedoch zunächst vom Volume wiederhergestellt werden.
Auf ein externes oder Wechsellaufwerk verschoben
EFS setzt NTFS voraus. Werden verschlüsselte Dateien auf einen FAT32- oder exFAT-USB-Stick kopiert, wird die Verschlüsselung unbemerkt entfernt oder der Kopiervorgang schlägt direkt fehl. Auch bei einem externen NTFS-Laufwerk besteht weiterhin das oben beschriebene Zertifikatsproblem. Soll statt einzelner Dateien das gesamte Laufwerk geschützt werden, ist BitLocker To Go die gängigere Lösung für Wechselmedien – mit einem eigenen Wiederherstellungsverfahren.
So erkennen Sie, ob eine Datei mit EFS verschlüsselt ist und nicht nur Zugriffsbeschränkungen unterliegt:
- Der Windows-Explorer zeigt den Dateinamen auf einem NTFS-Volume mit aktiviertem EFS in grüner Schrift an.
- Beim Öffnen der Datei erscheint die Meldung „Zugriff verweigert“, selbst wenn Sie mit dem Benutzerkonto angemeldet sind, dem die Datei gehört.
- Unter „Dateieigenschaften → Erweitert“ ist die Option „Inhalt verschlüsseln, um Daten zu schützen“ aktiviert.
- In RS Partition Recovery sind verschlüsselte Elemente während des Scans mit einem Schlosssymbol gekennzeichnet. In der Vorschau erscheint „Datei verschlüsselt“ statt des Dateiinhalts.
Vorbereitung auf die EFS-Wiederherstellung: Zertifikat suchen
Prüfen Sie vor dem Start eines Wiederherstellungsprogramms, ob Sie Zugriff auf das EFS-Zertifikat haben – davon hängt ab, welches Vorgehen erforderlich ist. Können Sie sich noch mit dem Windows-Konto anmelden, mit dem die Dateien verschlüsselt wurden, befindet sich das Zertifikat bereits im Zertifikatspeicher. RS Partition Recovery kann es direkt aus Windows übernehmen; weitere Schritte sind nicht erforderlich. Arbeiten Sie dagegen an einem anderen Computer, mit einem anderen Profil oder mit einem eingebundenen Abbild des alten Laufwerks, benötigen Sie einen zuvor erstellten PFX-Export des Zertifikats. Dieser kann aus einer Sicherung stammen oder von einem Datenwiederherstellungs-Agenten der Domäne bereitgestellt werden.
Öffnen Sie certmgr.msc (drücken Sie Win+R, geben Sie den Befehl ein und drücken Sie die Eingabetaste).
Wechseln Sie zu Eigene Zertifikate → Zertifikate und suchen Sie nach einem Zertifikat, das auf Ihren Benutzernamen ausgestellt ist und für die Verwendung „Encrypting File System“ vorgesehen ist.
Klicken Sie mit der rechten Maustaste auf das Zertifikat und wählen Sie Alle Aufgaben → Exportieren, um den Zertifikatexport-Assistenten zu starten.
Wählen Sie Ja, privaten Schlüssel exportieren und speichern Sie das Zertifikat als kennwortgeschützte .pfx-Datei.
Speichern Sie die PFX-Datei auf einem anderen Laufwerk als die damit geschützten Dateien. Eine Zertifikatsicherung, die sich ausschließlich auf dem wiederherzustellenden Laufwerk befindet, hilft nicht, wenn dieses Laufwerk ausfällt.
Wenn weder das ursprüngliche Benutzerkonto noch ein PFX-Export verfügbar ist, lesen Sie weiter unter Was tun, wenn Sie das Zertifikat nicht haben? Die Wiederherstellung der Dateistruktur allein ermöglicht keinen Zugriff auf verschlüsselte Inhalte. Dafür ist eines dieser Zertifikate erforderlich.
EFS-verschlüsselte Dateien mit RS Partition Recovery wiederherstellen und entschlüsseln
RS Partition Recovery führt die EFS-Wiederherstellung in zwei getrennten Schritten durch: Zunächst wird die Dateistruktur des Laufwerks wiederhergestellt – mit demselben Scanverfahren wie bei anderen gelöschten oder verlorenen Daten. Anschließend werden die wiederhergestellten Dateien mit dem bereitgestellten Zertifikat entschlüsselt. Für den Scan selbst ist kein Zertifikat erforderlich. Sie können den Scan ausführen und die Ergebnisse durchsuchen, bevor Sie entscheiden, wie Sie die Dateien entsperren.
Schließen Sie das Laufwerk an und starten Sie RS Partition Recovery. Wählen Sie das Volume aus – oder den physischen Datenträger, wenn die Partition selbst nicht mehr vorhanden ist – und starten Sie den Scan. Bei kürzlich gelöschten Dateien reicht in der Regel ein Schnellscan aus. Falls die gesuchten Dateien dabei nicht gefunden werden, führen Sie einen vollständigen Scan durch.
Prüfen Sie nach Abschluss des Scans, ob in der Ergebnisübersicht der Hinweis „Verschlüsselte Dateien gefunden“ angezeigt wird. Damit wird bestätigt, dass auf dem Volume EFS-geschützte Elemente erkannt wurden.
Durchsuchen Sie die wiederhergestellte Dateistruktur. Verschlüsselte Elemente sind mit einem Schlosssymbol gekennzeichnet, gelöschte Elemente mit einem separaten roten Kreuz. Eine Datei kann beide Markierungen aufweisen. Wird eine verschlüsselte Datei ausgewählt, erscheint anstelle einer Miniaturansicht der Hinweis „Datei verschlüsselt – Vorschau nicht verfügbar, bis Entschlüsselungsdaten hinzugefügt wurden“.
Doppelklicken Sie auf die verschlüsselte Datei oder verwenden Sie im Vorschaufenster die Schaltfläche Add Decryption Data, um den Entschlüsselungsdialog zu öffnen. Legen Sie unter Type die Option Encrypting File System (EFS) certificate (.pfx, .p12) fest.
Wählen Sie aus, wie der Schlüssel bereitgestellt werden soll. Klicken Sie auf Import from Windows, wenn die Wiederherstellung unter demselben Benutzerkonto ausgeführt wird, mit dem die Dateien ursprünglich verschlüsselt wurden. Weitere Eingaben sind dann nicht erforderlich. Andernfalls wählen Sie die exportierte .pfx-Datei aus und geben das zugehörige Kennwort ein. Der Fingerabdruck des Zertifikats wird automatisch angezeigt und bestätigt, dass das richtige Zertifikat ausgewählt wurde.
Klicken Sie auf Add. Eine Bestätigungsmeldung informiert darüber, dass der EFS-Schlüssel erfolgreich importiert wurde. In der Vorschau wird nun statt des Platzhalters „Datei verschlüsselt“ der tatsächliche Dateiinhalt angezeigt.
Das Zertifikat gilt nun für alle Dateien mit demselben Fingerabdruck. Sie müssen den Schritt nicht für jede Datei wiederholen. Wählen Sie die gewünschten Dateien aus und speichern Sie sie auf einem anderen physischen Laufwerk als dem wiederherzustellenden.
Hinweise zum Ablauf:
- Wiederherstellung und Entschlüsselung sind voneinander unabhängig. Ein fehlendes Zertifikat verhindert nicht, dass der Scan die zugrunde liegenden Dateien findet und wiederherstellt. Es verhindert lediglich den Zugriff auf deren Inhalt.
- Import from Windows funktioniert nur, wenn das Programm mit demselben Windows-Benutzerkonto und Profil ausgeführt wird, in dem das ursprüngliche Zertifikat gespeichert ist.
- Wiederhergestellte Dateien werden entschlüsselt gespeichert. EFS muss anschließend nur dann erneut angewendet werden, wenn Sie die Dateien wieder verschlüsseln möchten.
- Speichern Sie wiederhergestellte Dateien niemals auf dem Laufwerk oder der Partition, von der die Daten wiederhergestellt werden. Andernfalls könnten Daten überschrieben werden, die Sie noch wiederherstellen möchten.
Was tun, wenn Sie das EFS-Zertifikat nicht haben?
Sind das ursprüngliche Benutzerkonto, der PFX-Export und alle Zertifikatsicherungen verloren, kann weder ein Wiederherstellungsprogramm noch ein Brute-Force-Angriff die Entschlüsselung ermöglichen. Aufgrund der verwendeten Schlüssellängen ist es praktisch unmöglich, den Schlüssel zu erraten. Bevor Sie die Daten endgültig aufgeben, sollten Sie jedoch noch eine Möglichkeit prüfen.
Nach einem Datenwiederherstellungs-Agenten (DRA) suchen
In einer Domänenumgebung kann ein Administrator einen Datenwiederherstellungs-Agenten eingerichtet haben. Dabei handelt es sich um ein bestimmtes Zertifikat, mit dem sich jede EFS-Datei entschlüsseln lässt, die gemäß den Richtlinien der Domäne verschlüsselt wurde – unabhängig vom Schlüssel des jeweiligen Benutzers. Diese Funktion wird auf Domänenebene bereitgestellt und ist auf einem eigenständigen Heim-PC nicht verfügbar, sofern sie nicht ausdrücklich eingerichtet wurde. War der Computer jemals in eine Domäne eingebunden, wenden Sie sich an den IT-Administrator oder die Zertifizierungsstelle, bevor Sie die Dateien als unwiederbringlich einstufen.
Abgesehen von einem DRA gibt es keine unterstützte Möglichkeit, EFS-Dateien ohne den ursprünglichen Schlüssel zu entschlüsseln. Wenn weder Zertifikat noch Sicherung noch ein DRA der Domäne verfügbar sind, ist die Entschlüsselung nicht mehr möglich. Die Dateistruktur kann weiterhin wiederhergestellt und gespeichert werden, der Inhalt bleibt jedoch verschlüsselt.
