Sophos Central Device Encryption sicher einführen
Sophos Central Device Encryption verwaltet die in Windows und macOS integrierte Laufwerksverschlüsselung. Unter Windows ist das BitLocker, unter macOS FileVault. Sophos liefert keine separate Verschlüsselungs-Engine, sondern setzt Policies, sammelt Status und verwaltet Recovery Keys.
Verwaltet werden Boot- und feste Datenvolumes, nicht aber Wechselmedien. BitLocker To Go kann solche Datenträger zwar verschlüsseln, Sophos Central verwaltet dafür jedoch weder Status noch Recovery Keys.
Voraussetzungen und Lizenz
Vor dem Rollout werden Lizenz, unterstütztes Betriebssystem, Hardware und vorhandene Verschlüsselung geprüft. Ein Gerät kann bereits durch BitLocker, FileVault, Gruppenrichtlinien, MDM oder ein früheres Produkt verwaltet sein.
Eine erfolgreiche Endpoint-Installation beweist nicht, dass Device Encryption lizenziert, ausgewählt oder technisch bereit ist. Unter My Environment > Installers enthält der vollständige Windows- beziehungsweise macOS-Installer alle von der Lizenz abgedeckten Endpoint-Produkte. Mit Choose Components… lässt sich stattdessen gezielt Device Encryption auswählen. Nach der Installation zählen die wirksame Policy und der gemeldete Verschlüsselungsstatus, nicht allein ein erfolgreich beendeter Installer.
Was bei einem Lizenzablauf passiert
Nach Ablauf der Encryption-Lizenz verschwindet die Device-Encryption-Seite aus dem Self Service Portal. Benutzer können dann keine Recovery Keys mehr selbst abrufen. Sophos entfernt zudem den grössten Teil der Encryption-Komponenten vom Gerät, lässt aber die für eine spätere Wiederverbindung nötigen Bestandteile zurück.
BitLocker und FileVault werden dadurch nicht deaktiviert und die Laufwerke nicht entschlüsselt. Genau das macht einen ungeplanten Ablauf kritisch: Der Schutz bleibt aktiv, während zentrale Verwaltung und Recovery eingeschränkt sind. Ändert sich ein BitLocker-Recovery-Key in dieser unverwalteten Phase, kennt Central nach einer späteren Lizenzreaktivierung zunächst weiterhin den alten Key. Lizenzverlängerung und ein unabhängiger Notfall-Recovery-Prozess gehören deshalb zur Betriebsplanung.
Eigentümer und Recovery-Prozess zuerst
Bevor die erste Policy aktiviert wird, stehen folgende Entscheidungen fest:
- Wer darf Recovery Keys abrufen?
- Wie wird die Identität des anfragenden Benutzers verifiziert?
- Wird Self Service verwendet?
- Wo werden Recovery-Vorgänge protokolliert?
- Was geschieht bei Austritt, Geräteverlust oder Mainboard-Tausch?
- Wie wird ein Gerät vor Entsorgung entschlüsselt oder kryptografisch gelöscht?
Ein Recovery Key wird wie ein hochsensibles Secret behandelt. Er wird nicht unverschlüsselt in E-Mail, Chat oder Tickets gespeichert.
Policy-Zuweisung
Device-Encryption-Policies werden Benutzern oder Gruppen zugewiesen. Benutzeridentität und Gerätezuordnung müssen deshalb korrekt sein. Auf gemeinsam verwendeten Geräten und bei lokalen Konten wird das Verhalten im Pilot getestet.
Ein Windows-Gerät bleibt verschlüsselt, wenn später ein Benutzer ohne passende Policy anmeldet. Bei FileVault muss dagegen jeder Benutzer des Macs von der Verschlüsselungs-Policy erfasst werden, damit die vorgesehene Benutzer- und Recovery-Verwaltung vollständig greift.
Mit Encrypt boot volume only bleiben feste Datenvolumes ausserhalb der Sophos-Policy. Diese Entscheidung wird mit der tatsächlichen Datenspeicherung abgeglichen. Die Windows-Option Encrypt used space only beschleunigt die erste Verschlüsselung, kann aber bereits gelöschte Datenbereiche unverschlüsselt lassen und ist deshalb nur für neu bereitgestellte Computer vorgesehen.
Die Base Policy wird nicht ungeprüft tenantweit aktiviert. Eine Pilotgruppe deckt mindestens verschiedene Hardwaregenerationen, Notebook-Modelle, Betriebssystemstände und bestehende Verschlüsselungszustände ab.
Windows und macOS getrennt planen
Windows benötigt ein passendes TPM- und BitLocker-Konzept. Authentifizierungsmodi, Gruppenrichtlinien und Recovery-Partition beeinflussen die Aktivierung.
macOS benötigt FileVault, sichere Benutzerzuordnung und je nach Plattform MDM-Bootstrap-Token beziehungsweise passende Apple-Berechtigungen. Der persönliche Recovery Key und berechtigte FileVault-Benutzer werden kontrolliert.
Die Plattformdetails stehen in den separaten Artikeln BitLocker mit Sophos Central verwalten und FileVault mit Sophos Central verwalten.
Konkrete Status-, Service-, TPM-, WMI- und Recovery-Key-Fehler behandelt Sophos Device Encryption Fehler systematisch beheben.
Status überwachen
Sophos Central zeigt Verschlüsselungsstatus, Fehler und Recovery-Informationen. Nach der Aktivierung wird geprüft:
- Policy ist am richtigen Benutzer und Gerät wirksam.
- Verschlüsselung startet und erreicht 100 Prozent.
- Recovery Key ist in Central hinterlegt.
- Neustart und Anmeldung funktionieren.
- Recovery-Ablauf wurde kontrolliert getestet.
- Alert-E-Mails und Verantwortlichkeiten greifen.
Ein ausstehender Benutzer-Prompt oder Neustart ist kein abgeschlossener Rollout.
Die Medium-Alerts Device is not encrypted, Recovery key is missing und Device Encryption is suspended werden nicht pauschal geschlossen. Ein fehlender Key verlangt sofortige Prüfung der Central-Kommunikation. Ein suspendiertes BitLocker kann auf noch nicht hochgeladenen Recovery Key, unvollständiges Pre-Provisioning oder ein Windows-Update mit ausstehendem Neustart hinweisen. Bei vielen Encryption-Events empfiehlt Sophos zuerst einen Neustart und anschliessende Synchronisation, danach wird aber der konkrete Event-Typ weiter untersucht.
Central unterscheidet mehrere Statuswerte:
| Status | Bedeutung |
|---|---|
Encrypted | Verschlüsselung ist abgeschlossen |
Pending | Policy zugewiesen, Verschlüsselung läuft oder wartet |
Suspended | BitLocker ist auf mindestens einem Volume vorübergehend ausgesetzt |
Plain | mindestens ein Volume ist unverschlüsselt oder noch nicht gestartet |
Unmanaged | Agent vorhanden, aber keine Device-Encryption-Policy wirksam |
Not supported | Plattform oder Betriebsmodus ist nicht unterstützt |
Not available | Central kennt den Status nicht, etwa weil die Komponente fehlt |
Unter My Products > Encryption > Computers zeigt der Filter Computers without Device Encryption installed verwaltete Computer ohne Komponente. Nach einem AD Sync enthält der Tab Unmanaged computers zusätzlich aus AD bekannte Geräte ohne Sophos-Schutz. Diese beiden Listen werden nicht verwechselt.
Self Service Recovery
Über das Sophos Central Self Service Portal können berechtigte Benutzer ihren Recovery Key selbst abrufen. Dafür erhalten sie zuvor eine Setup-Einladung. Im Portal erscheinen nur Computer, auf denen die Person zuletzt angemeldet war. Hat sich inzwischen jemand anderes angemeldet, steht das Gerät diesem Benutzer nicht mehr für Self Service Recovery zur Verfügung.
Für die Einrichtung öffnet man My Environment > Users & Groups > Users, wählt die Benutzer aus und klickt auf Email Setup Link. Im Dialog wird Sophos Central Self Service Welcome/Setup Email ausgewählt. Erst nachdem der Benutzer dem Aktivierungslink gefolgt ist, kann er das Portal für die Wiederherstellung verwenden. Beim Offboarding bleibt eine Prüfung dieses Zugangs erforderlich.
Self Service reduziert Helpdesk-Aufwand, ersetzt aber weder Identitätsprüfung bei administrativem Recovery noch die Kontrolle des auslösenden Ereignisses.
Administratoren können einen Key auch anhand von mindestens fünf Zeichen der Recovery-Key-ID oder Volume-ID suchen. Bei BitLocker existiert pro geschütztem Volume ein eigener Key. Sobald ein Administrator einen Windows-Recovery-Key anzeigen lässt, markiert Sophos ihn als verwendet und ersetzt ihn bei der nächsten Synchronisation. Deshalb wird ein Key auf Produktivgeräten nicht bloss zu Testzwecken abgerufen.
Bei der Installation von Sophos Central Device Encryption werden vorhandene BitLocker-Recovery-Keys automatisch ersetzt und können danach nicht mehr verwendet werden. Vor einer Managementmigration muss deshalb sichergestellt sein, dass der neue Key in Central verfügbar ist.
Passwortgeschützte Dateien unter Windows
Device Encryption 2.0 oder neuer kann unter Windows Dateien bis 50 MB in eine AES-256-geschützte HTML-Datei verpacken. Das erfolgt über das Explorer-Kontextmenü oder ein Add-in für das klassische Outlook für Windows; das neue Outlook wird dafür nicht unterstützt.
Diese Funktion ist sicherer Dateiversand, keine Laufwerksverschlüsselung und kein Ersatz für DLP. Das Kennwort wird über einen getrennten Kanal übermittelt. Browserunterstützung und Empfängerprozess werden vor dem produktiven Einsatz geprüft.
Bestehende Verschlüsselung übernehmen
Ein bereits verschlüsseltes Gerät wird nicht automatisch entschlüsselt und neu verschlüsselt. Sophos kann unterstützte BitLocker- oder FileVault-Zustände übernehmen, benötigt aber einen gültigen Recovery-Key- und Managementzustand.
Bei Migrationen werden bestehende Recovery Keys gesichert und anschliessend kontrolliert rotiert, soweit der offizielle Workflow dies vorsieht. Zwei Verwaltungssysteme dürfen nicht gleichzeitig widersprüchliche Verschlüsselungspolicies erzwingen.
Deaktivierung und Offboarding
Das Entfernen der Sophos-Komponente entschlüsselt ein Laufwerk nicht automatisch in jedem Szenario. Umgekehrt darf eine Entschlüsselung nicht beiläufig durch das Entfernen einer Policy ausgelöst werden.
Vor Offboarding werden Zielzustand, Recovery-Key-Aufbewahrung, Eigentümerwechsel und lokale Deinstallation festgelegt. Der Status wird nach der letzten Aktion direkt am Betriebssystem geprüft.