Sophos Fusion Device Encryption sicher einführen
Sophos Fusion Device Encryption verwaltet die Laufwerksverschlüsselung von Windows und macOS zentral. Die eigentliche Verschlüsselung stammt weiterhin aus dem Betriebssystem: BitLocker unter Windows, FileVault unter macOS. Sophos verteilt die Policy, erfasst den Status und verwaltet Recovery Keys, ersetzt aber weder die Verschlüsselungs-Engine noch die plattformspezifischen Voraussetzungen.
Für einen belastbaren Rollout müssen fünf Dinge zusammenpassen: eine gültige Berechtigung, die installierte Device-Encryption-Komponente, eine wirksame Policy, ein unterstützter lokaler Zustand und ein funktionierender Recovery-Prozess. Eine erfolgreiche Agent-Installation oder die Anzeige «100 Prozent» allein genügt nicht.
Was Sophos verwaltet – und was nicht
Device Encryption schützt Startvolumes und, je nach Policy, feste interne Datenvolumes. Wechselmedien gehören nicht dazu. BitLocker To Go kann solche Datenträger zwar verschlüsseln, Sophos Fusion verwaltet dafür jedoch weder Status noch Recovery Keys.
Der Einstieg in die Verwaltung liegt unter My Products > Encryption. Dort haben die beiden Bereiche unterschiedliche Aufgaben:
- Unter My Products > Encryption > Policies wird festgelegt, für wen Device Encryption aktiv ist und welche Volumes einbezogen werden.
- Unter My Products > Encryption > Computers werden gemeldeter Zustand, fehlende Komponenten und Recovery-Bereitschaft beurteilt.
Die Policy wird Benutzern oder Gruppen zugewiesen. Unter Windows genügt die Anmeldung eines erfassten Benutzers, um die Verschlüsselung anzustossen; ein später angemeldeter Benutzer ohne passende Policy hebt den Schutz nicht wieder auf. Bei einem Mac müssen alle vorgesehenen Benutzer von der Policy erfasst werden, damit Benutzerfreigabe und Recovery-Verwaltung vollständig funktionieren. Gemeinsam verwendete Geräte und lokale Konten gehören deshalb ausdrücklich in den Pilot.
Voraussetzungen vor der ersten Policy
Zuerst wird geklärt, ob die Subscription Device Encryption umfasst. Vertrags- und Zählfragen gehören in die Übersicht zur Sophos-Fusion-Lizenzierung; für den Rollout zählt hier vor allem, dass die Funktion im Tenant verfügbar ist und dem vorgesehenen Umfang entspricht.
Danach werden Betriebssystem, Architektur und Lifecycle freigegeben. Diese Angaben ändern sich schneller als ein Rollout-Konzept und sollten nicht als statische Versionsliste in die Verschlüsselungsdokumentation kopiert werden. Das Verfahren dafür beschreibt Sophos Endpoint Systemanforderungen und Lifecycle planen.
Bei einem bereits verschlüsselten Gerät beginnt die Einführung nicht bei null. Vor der Zuweisung werden deshalb der lokale BitLocker- oder FileVault-Zustand, vorhandene Recovery Keys, Gruppenrichtlinien oder MDM-Vorgaben und ein bisheriges Verschlüsselungsprodukt inventarisiert. Zwei Verwaltungssysteme dürfen nicht gleichzeitig widersprüchliche Vorgaben erzwingen. Die passende Übernahme erfolgt anschliessend im BitLocker-Ablauf für Windows oder im FileVault-Ablauf für macOS, nicht über einen pauschalen Ein-/Aus-Schalter.
Auch die Komponente muss tatsächlich vorhanden sein. Unter My Environment > Installers enthält der vollständige Windows- beziehungsweise macOS-Installer die von der Lizenz abgedeckten Endpoint-Produkte. Über Choose Components… lässt sich gezielt Device Encryption auswählen. Beim Mac wird der Device Encryption Agent separat installiert. Ein beendeter Installer ist trotzdem nur ein Zwischenschritt: Entscheidend sind danach Policy, gemeldeter Zustand und Recovery-Bereitschaft.
Lizenzablauf als Recovery-Risiko behandeln
Nach Ablauf der Encryption-Lizenz verschwindet die Device-Encryption-Seite aus dem Self Service Portal. Benutzer können dort keine Recovery Keys mehr selbst abrufen. Sophos entfernt zudem den grössten Teil der Encryption-Komponenten vom Gerät, behält aber Bestandteile zurück, die für eine spätere Wiederverbindung benötigt werden.
BitLocker und FileVault werden dadurch nicht ausgeschaltet und die Laufwerke nicht entschlüsselt. Genau darin liegt das Risiko: Die Daten bleiben geschützt, während zentrale Verwaltung und Self Service eingeschränkt sind. Ändert sich ein BitLocker-Recovery-Key in dieser unverwalteten Phase, kann Central nach einer späteren Reaktivierung vorerst noch den alten Key kennen.
Lizenzverlängerung und Recovery dürfen daher nicht von derselben einzelnen Stelle abhängen. Verantwortliche Person, Ablaufdatum, Eskalationsweg und ein freigegebener Wiederherstellungsweg werden vor dem Rollout festgelegt. Abruf, Offenlegung und Falldokumentation beschreibt Wiederherstellungsschlüssel sicher abrufen.
Rollout so klein beginnen, dass Fehler beherrschbar bleiben
Die Base Policy wird nicht ungeprüft tenantweit aktiviert. Eine gute Pilotgruppe bildet die Unterschiede ab, die den Verschlüsselungsablauf tatsächlich beeinflussen: Hardwaregenerationen, Notebook-Modelle, Betriebssystemstände, lokale Kontoarten und bereits aktive Verschlüsselung. Ebenso wichtig ist ein Gerät ohne bestehende Verschlüsselung, damit auch der Neuaufbau geprüft wird.
Unter My Products > Encryption > Policies wird eine Device Encryption-Policy angelegt und zuerst dieser Pilotgruppe zugewiesen. Encrypt boot volume only bestimmt, ob feste Datenvolumes ausserhalb des Startvolumes von der Sophos-Policy erfasst werden. Die Wahl richtet sich danach, wo auf den Geräten tatsächlich Daten liegen. Die Windows-Option Encrypt used space only verkürzt die Erstverschlüsselung, kann auf bereits verwendeten Datenträgern jedoch gelöschte Bereiche unverschlüsselt lassen; sie ist daher für neu bereitgestellte Computer gedacht.
Die weiteren Entscheidungen sind plattformspezifisch. TPM, Pre-Boot-Authentifizierung, BitLocker-Gruppenrichtlinien und Partitionierung werden im Windows-Leitfaden festgelegt. FileVault-Benutzer, lokale Autorisierung und der persönliche Recovery Key gehören in den Mac-Leitfaden. So bleibt die gemeinsame Policy verständlich, ohne zwei unterschiedliche Sicherheitsmodelle zu vermischen.
Einen Rollout nicht bei 100 Prozent beenden
Die technische Abnahme verbindet Central mit dem lokalen Gerät. Für jedes Pilotgerät wird nachvollziehbar bestätigt:
- Die vorgesehene Policy ist am richtigen Benutzer und Gerät wirksam.
- Das von der Policy erfasste Volume ist lokal vollständig verschlüsselt.
- My Products > Encryption > Computers meldet den erwarteten Status Encrypted.
- Der zu diesem Gerät und Volume gehörende Recovery-Weg ist verfügbar und organisatorisch freigegeben.
- Neustart, Anmeldung und die vorgesehene Pre-Boot-Authentifizierung funktionieren.
- Alerts, Verantwortlichkeiten und Eskalation wurden mit einem ungefährlichen Testszenario geprüft.
Die Regeln für Bereitschaftstests und die Offenlegung eines Schlüssels stehen im zentralen Recovery-Ablauf; Entsperrung und Nachkontrolle bleiben beim jeweiligen BitLocker- oder FileVault-Ablauf. Ein ausstehender Benutzer-Prompt, ein nötiger Neustart oder ein fehlender zentraler Key verhindert die Abnahme auch dann, wenn das Betriebssystem bereits Verschlüsselungsfortschritt zeigt.
Die sieben Central-Statuswerte richtig lesen
Der Status unter My Products > Encryption > Computers ist eine verdichtete Central-Sicht. Er ersetzt nicht die lokale Prüfung, hilft aber, Geräte in die richtige Warteschlange zu geben.
| Status | Einordnung |
|---|---|
Encrypted | Die von Sophos erfassten Volumes sind verschlüsselt. Für die Abnahme wird zusätzlich die Recovery-Bereitschaft geprüft. |
Pending | Die Verschlüsselung ist noch nicht abgeschlossen; häufig wartet der Ablauf auf Synchronisation, Benutzeraktion, Neustart oder lokalen Fortschritt. |
Suspended | BitLocker ist auf mindestens einem Volume vorübergehend ausgesetzt. Das bedeutet nicht, dass das Volume entschlüsselt ist. |
Plain | Mindestens ein von Central betrachtetes Volume ist unverschlüsselt. Policy-Ziel und lokaler Zustand müssen verglichen werden. |
Unmanaged | Auf dem Computer ist Device Encryption vorhanden, aber keine Device-Encryption-Policy wirksam. |
Not supported | Plattform oder lokaler Betriebszustand wird von Device Encryption nicht unterstützt. |
Not available | Central kann keinen Verschlüsselungsstatus liefern, beispielsweise weil die Device-Encryption-Komponente fehlt. |
Pending ist kein Fehlercode und Suspended kein Synonym für entschlüsselt. Bleibt ein Status unverändert, widerspricht er dem lokalen Zustand oder fehlt der Recovery Key, gehört der Fall in die systematische Device-Encryption-Fehlersuche, statt die Policy wiederholt ein- und auszuschalten.
Drei ähnlich klingende Bestände auseinanderhalten
Die Bezeichnung «unmanaged» kann in Central verschiedene Ursachen verbergen. Für die Bereinigung werden deshalb drei Fälle getrennt:
- Der Status
Unmanagedin der Computerliste bedeutet, dass Device Encryption vorhanden ist, aber keine passende Policy wirkt. - Der Filter Computers without Device Encryption installed unter My Products > Encryption > Computers zeigt verwaltete Computer, auf denen die Encryption-Komponente fehlt.
- Der Tab Unmanaged computers enthält nach einem AD Sync zusätzlich Geräte, die aus Active Directory bekannt sind, aber keinen Sophos-Schutz haben.
Diese Gruppen brauchen unterschiedliche Massnahmen. Eine Policy-Zuweisung installiert nicht automatisch jede fehlende Komponente, und ein aus AD bekannter Computer ist noch kein verwalteter Endpoint. Erst die Ursache entscheidet, ob Zuweisung, Installation, Inventarbereinigung oder eine bewusste Ausnahme richtig ist.
Zuständigkeiten im Betrieb klar trennen
Den gemeinsamen Abruf und die sichere Ausgabe übernimmt der Ablauf Wiederherstellungsschlüssel sicher abrufen. Danach folgt für die Verwendung der BitLocker-Leitfaden oder der FileVault-Leitfaden.
Bei einer Übernahme oder Migration wird zuerst der Ausgangszustand erfasst. Sophos Device Encryption übernehmen oder migrieren wählt danach den passenden Windows- oder macOS-Ablauf. Alte Verwaltung und bisheriger Recovery-Weg bleiben bestehen, bis der neue Zustand lokal und in Central abgenommen ist. Unbekannte SafeGuard-Versionen oder gemischte Module sind ein Stoppsignal und werden vor Änderungen geklärt; historische Release Notes sind keine aktuelle Supportfreigabe.
Das Stilllegen eines Geräts ist ebenfalls mehr als das Löschen eines Central-Datensatzes. Zuerst werden Verschlüsselungsziel, Recovery-Verantwortung und lokale Deinstallation geklärt. Erst danach folgt der Ablauf Sophos Fusion Gerät ersetzen oder stilllegen. Eine Agent-Deinstallation überträgt insbesondere keinen FileVault-Key an ein neues Management.
Passwortgeschützte Dateien unter Windows sind eine eigenständige Device-Encryption-Funktion, aber keine Laufwerksverschlüsselung und kein Nachweis für einen erfolgreichen BitLocker-Rollout. Policy, Versandweg, Empfängerprozess und getrennte Kennwortübermittlung werden deshalb in diesem eigenen Arbeitsablauf geplant und getestet, nicht nebenbei in der Rollout-Policy aktiviert.