Cloud verschlüsseln mit Cryptomator - die ehrliche Anleitung

Wer bei einem unverschlüsselten Speicher bleibt, kann trotzdem selbst verschlüsseln. Cryptomator ist der bekannteste Weg dafür: quelloffen (GPL-3.0) [3], auf allen Desktop-Systemen verfügbar und ohne Konto. Der Preis ist ein zusätzlicher Schritt im Alltag - und eine Verantwortung, die vorher der Anbieter trug: der Schlüssel.

Was der Tresor leistet

Ein Tresor ist ein Ordner, der lokal entschlüsselt eingebunden wird. Was in der Cloud landet, ist ein Strom verschlüsselter Blöcke mit kryptischen Dateinamen. Der Anbieter sieht weder Inhalte noch Ordnerstruktur - genau das, was bei den großen Speichern fehlt. Die Dokumentation beschreibt das Verfahren offen [1].

Das ist mehr, als die meisten "sicheren Clouds" bieten: Verschlüsselung mit Anbieter-Schlüsseln schützt gegen fremde Zugriffe, aber nicht gegen den Anbieter selbst. Wer den Anbieter aus dem Sicherheitsmodell heraushalten will, braucht die Verschlüsselung auf der eigenen Seite.

Was der Tresor nicht leistet

Drei Grenzen, die in Anleitungen gern fehlen:

1. Kontometadaten bleiben sichtbar. Upload-Zeitpunkt, Größe, IP, Gerät, Anbieter-Freigaben. Für "wann arbeitet diese Person woran" reicht das oft.
2. Der Anbieter sieht den Tresor als Ganzes. Beim Löschen oder Sperren des Kontos ist der Tresor weg - verschlüsselt, aber weg. Verschlüsselung ersetzt kein Backup.
3. Kein Schutz gegen eigene Fehler. Wer den falschen Ordner verschiebt, verschiebt ihn auch im Klartext.

Für Metadaten gibt es keinen Trick innerhalb des Tresors. Wer auch die verbergen will, braucht einen Anbieter mit Ende-zu-Ende-Verschlüsselung ab Werk, der Metadaten mitverschlüsselt - der Verschlüsselungs-Check zeigt, wer das belegt und wer es nur behauptet.

Einrichten, in der Reihenfolge, die trägt

1. Software aus der offiziellen Quelle installieren: cryptomator.org für Desktop, F-Droid oder App-Store für Mobil [2]. Signatur oder Prüfsumme gegenprüfen, wenn angeboten.
2. Tresor anlegen an einem lokalen Ort - nicht direkt in der Cloud. Erst der fertige Tresor wird in den Cloud-Ordner verschoben oder dort angelegt.
3. Passwort und Wiederherstellungsschlüssel getrennt ablegen. Das Passwort im Passwortmanager, den Schlüssel auf Papier an einem zweiten Ort. Ein Tresor mit einem einzigen Schlüssel ist ein Single Point of Failure.
4. Entsperren und Testdatei hineinlegen, wieder entsperren, Datei öffnen. Wenn das nicht klappt, ist die Einrichtung nicht fertig.
5. Wiederherstellung üben: Tresor auf einem zweiten Rechner mit Passwort und Schlüssel öffnen. Erst danach die echten Daten einlegen.

Der Umzug der Bestandsdaten

Für einen großen Bestand ist der Weg über die Desktop-App zu langsam. Zwei Alternativen:

• rclone crypt legt eine verschlüsselte Schicht vor das Ziel und arbeitet im Hintergrund [4]. Die Konfiguration ist anspruchsvoller, aber skriptbar.
• Schrittweise nur das verschlüsseln, was wirklich sensibel ist: Steuerunterlagen, Verträge, Gesundheitsakten. Der Rest bleibt im Klartext - ein gemischtes Modell, das viele Alltagsprobleme vermeidet.

Beim Umkopieren gilt: erst die Kopie prüfen, dann die Quelle löschen. Derselbe Ablauf wie bei jedem Umzug, siehe Cloud kündigen ohne Datenverlust.

Der Schlüssel ist der eigentliche Betrieb

Ein verlorener Wiederherstellungsschlüssel ist Datenverlust, endgültig. Deshalb: Schlüssel auf Papier, an einem Ort, den ein Brand nicht mitnimmt, und in einem zweiten Passwortmanager. Wer Erben oder Kollegen hat, sollte zusätzlich notieren, wie man an den Tresor kommt - sonst hilft der Schlüssel niemandem.

Gleichzeitig gilt: Wer den Schlüssel breit verteilt, verliert den Schutz. Zwei bis drei kontrollierte Stellen sind das richtige Maß.

Zwei Tresore statt einem

Wer Tresore schichtet, verliert weniger im Fehlerfall: ein Tresor für Papiere und Verträge, einer für alles, was nur unangenehm wäre. Der innere Tresor lässt sich löschen, ohne dass der äußere leidet. Für den Alltag hilft die Regel, den Tresor nur beim Arbeiten zu entsperren und danach wieder zu schließen - ein dauerhaft eingebundener Tresor ist bequem, aber dann entschlüsselt jede Anwendung mit, die den Ordner liest.

Wann es sich lohnt - und wann nicht

Es lohnt sich, wenn du bei einem unverschlüsselten Speicher bleiben willst (Preis, Gewohnheit, Familie) und trotzdem Kontrolle über die Inhalte brauchst. Es lohnt sich nicht, wenn du ohnehin zu einem Anbieter mit E2EE ab Werk und Audit wechselst - dort ist die Verschlüsselung Teil des Produkts, inklusive Metadaten.

Für eine Familie mit gemeinsamen Fotos ist der Tresor unpraktisch: geteilte Tresore mit mehreren Schlüsseln funktionieren, aber die gemeinsame Galerie ist im Klartext angenehmer. Für Papiere und Verträge ist er genau richtig.

Fazit

Cryptomator ist ein sauberes Werkzeug für ein echtes Problem - vorausgesetzt, man behandelt den Schlüssel wie den eigentlichen Besitz. Es verschiebt die Verantwortung vom Anbieter zum Nutzer: Wer den Tresor aufsetzt, ist ab diesem Moment für Schlüssel, Backup und Wiederherstellung zuständig. Der 3-2-1-Check und die Regel Sync ist kein Backup gelten unverändert.