Bitdefender GravityZone Full Disk Encryption Add-On

Was ist im Bitdefender GravityZone Full Disk Encryption Add-On enthalten?

BitLocker-Verwaltung – Verschlüsselt Boot- und Nicht-Boot-Volumes auf Windows-Festplatten.
FileVault und diskutil – Verschlüsselt Boot- und Nicht-Boot-Volumes auf macOS-Endgeräten.
Zentrale Schlüsselwiederherstellung – Das Control Center speichert Wiederherstellungsschlüssel für gesperrte Volumes.
Authentifizierung vor dem Systemstart – Unter Windows ist vor dem Laden des Betriebssystems die Eingabe eines Passworts erforderlich.
Berichte zum Verschlüsselungsstatus – Berichte pro Endgerät, aus denen hervorgeht, welche Volumes verschlüsselt sind.
Wichtig – Wechseldatenträger, USB-Sticks und Linux-Endgeräte bleiben unverschlüsselt.

Was sind die wichtigsten Vorteile des Bitdefender GravityZone Full Disk Encryption Add-On?

„Full Disk Encryption“ ist ein optionales GravityZone-Modul, das die bereits in Windows und macOS integrierte Verschlüsselung aktiviert und überwacht, gesteuert durch Richtlinien aus demselben Control Center, das auch für den Endgeräteschutz verwendet wird. Es lässt sich in jedes GravityZone-Endpunktprodukt integrieren, einschließlich der Produktstufen, die Bitdefender im Jahr 2022 umbenannt hat, als „GravityZone Ultra“ zu „Business Security Enterprise“ wurde und „Advanced Business Security“ durch „Business Security Premium“ ersetzt wurde.

Keine zweite Konsole – Die Verschlüsselungsrichtlinie befindet sich im Control Center neben der Antimalware-Richtlinie.
Kein zusätzlicher Agent – Der bereits installierte Endpunkt-Agent führt die Verschlüsselungsaufgaben aus.
Hinterlegte Wiederherstellungsschlüssel – Der Helpdesk kann einen Laptop entsperren, ohne den Benutzer aufsuchen zu müssen.
Richtliniengesteuerte Bereitstellung – Eine einzige Richtlinie verschlüsselt alle betroffenen Festplatten.
Audit-Nachweise – Exportierbare Berichte zeigen den Status der Festplattenverschlüsselung pro Gerät an.
Natives AES-256 – Nutzt die Verschlüsselung des Betriebssystems anstelle proprietärer Festplattentreiber.

Das beste Antivirenprogramm? Warum Windows Defender allein nicht ausreicht
Erläutert, warum der in Windows integrierte Schutz durch ein verwaltetes Endpunktprodukt ergänzt werden muss – und genau das ist die Basislizenz, an die dieses Add-on gekoppelt ist.

Für welche Unternehmensgröße eignet sich das Bitdefender GravityZone Full Disk Encryption Add-On?

Die Eignung richtet sich eher nach dem Gerätetyp als nach der Mitarbeiterzahl. Jedes Unternehmen mit Laptops, die das Gebäude verlassen, ist dem gleichen Diebstahl- und Verlustrisiko ausgesetzt, sodass sowohl ein Architekturbüro mit fünf Mitarbeitern als auch ein Hersteller mit 500 Mitarbeitern davon profitieren. Der regulatorische Druck hängt hingegen von der Branche und der Unternehmensgröße ab, und genau hier zeigt sich der Unterschied.

Erfüllt das Bitdefender GravityZone Full Disk Encryption Add-On die Anforderungen der Schweizer Cybersicherheitsgesetzgebung?

Die Meldepflicht im revidierten Informationssicherheitsgesetz gilt für Betreiber kritischer Infrastrukturen, nicht für jedes Unternehmen, sodass die meisten KMU eher indirekt über ihre Kunden als direkt durch das Gesetz betroffen sind. Diejenigen, die unter das Gesetz fallen, müssen einen Cyberangriff innerhalb von 24 Stunden nach dessen Entdeckung dem Bundesamt für Cybersicherheit (BACS) melden. Das bedeutet, dass schnell festgestellt werden muss, ob die Daten auf einem verlorenen oder gestohlenen Gerät lesbar waren. Die Full-Disk-Verschlüsselung unterstützt genau diesen Schritt: Der Verschlüsselungsstatusbericht zeigt pro Gerät und pro Volume an, ob die Festplatte zu diesem Zeitpunkt verschlüsselt war – dies ist der Nachweis, der einen möglichen Datenverstoß zu einem dokumentierten Nicht-Ereignis macht. Was die Lösung jedoch nicht leistet, ist die Erkennung des Vorfalls, die Erstellung des Berichts oder die Feststellung, welche Daten über das Netzwerk das Gerät verlassen haben, da sie nur ruhende Daten auf einem ausgeschalteten oder gesperrten Gerät schützt und keinen Einblick in laufende Prozesse oder den Datenverkehr hat. Erkennung, Alarmierung und forensische Rekonstruktion des Zeitablaufs erfolgen über die Endpunkt-Schutz- und EDR-Komponenten des GravityZone-Basisprodukts, nicht über dieses Modul. Dieser Text ist ein praktischer Überblick und stellt keine Rechtsberatung dar; ob Ihre Organisation der Meldepflicht unterliegt, sollten Sie mit Ihren eigenen Rechtsberatern klären.

Erfüllt das Bitdefender GravityZone Full Disk Encryption Add-On die Anforderungen der europäischen Cybersicherheitsgesetzgebung?

Kein Softwareprodukt macht eine Organisation NIS-2-konform, da sich die Richtlinie auf die Verantwortung des Managements, die Risikoanalyse und die Prozesse bezieht und nicht auf das Vorhandensein eines bestimmten Tools. NIS 2 verlangt von den in ihren Geltungsbereich fallenden Einrichtungen die Umsetzung von Risikomanagementmaßnahmen in verschiedenen Kategorien, darunter Vorfallbearbeitung, Geschäftskontinuität und Datensicherung, Sicherheit der Lieferkette, Zugriffskontrolle, Umgang mit Betriebsmitteln sowie gegebenenfalls den Einsatz von Kryptografie und Verschlüsselung. Dieses Add-on fällt unter eine dieser Kategorien: Es bietet Kryptografie für ruhende Daten auf verwalteten Workstations und Laptops, mit dokumentierter Schlüsselverwaltung und einem gerätebezogenen Statusbericht, den ein Auditor einsehen kann. Es leistet keinen Beitrag zur Vorfallbearbeitung, zur Datensicherung und -wiederherstellung, zur Bewertung der Lieferkette oder zum Identitäts- und Zugriffsmanagement und deckt weder Daten während der Übertragung noch Daten in Cloud-Speichern noch Daten auf Servern ab, deren Festplatten nicht von dem Modul verwaltet werden. Behandeln Sie es als Nachweis für den Punkt „Verschlüsselung“ und planen Sie die anderen Kategorien separat.

Hilft das Bitdefender GravityZone Full Disk Encryption Add-On bei Sicherheitsfragebögen großer Kunden?

Ja, für eine begrenzte, aber häufig gestellte Reihe von Punkten. Es beantwortet Fragen dazu, ob Firmenlaptops eine Vollplattenverschlüsselung verwenden, welcher Algorithmus angewendet wird, ob die Verschlüsselung zentral erzwungen wird, anstatt sie den Benutzern zu überlassen, wer die Wiederherstellungsschlüssel verwahrt und ob Sie einen Bericht auf Geräteebene vorlegen können, der den Status zu einem bestimmten Datum belegt. Dies sind in der Regel die ersten vier oder fünf Fragen zur Verschlüsselung in einer Lieferantenbewertung, und die Möglichkeit, einen exportierten Bericht beizufügen, anstatt eine ausführliche schriftliche Zusicherung zu verfassen, verkürzt den Austausch erheblich. Es beantwortet keine Fragen zur Verschlüsselung von USB-Sticks und Wechseldatenträgern, zur Verschlüsselung von Linux-Servern, zur E-Mail- oder Dateiübertragungsverschlüsselung, zur Datenbank- oder Backup-Verschlüsselung, zu Richtlinien zur Schlüsselrotation, die über die nativen Funktionen von BitLocker und FileVault hinausgehen, oder zu FIPS-140-validierter Kryptografie, da Bitdefender angibt, dass das Modul nicht FIPS-konform ist. Es enthält auch keine Angaben zu Erkennung, Protokollierung oder Incident Response, die separate Frageblöcke darstellen. Um die naheliegendsten Lücken zu schließen, ist es am sinnvollsten, innerhalb der GravityZone-Produktfamilie zu bleiben, anstatt einen zweiten Anbieter hinzuzuziehen: „Device Control“ im Basisprodukt blockiert oder schränkt USB-Speichermedien ein, wenn eine Verschlüsselung nicht möglich ist, und „Patch Management“, „Email Security“ sowie die EDR-Fähigkeit in „Business Security Premium“ oder „Business Security Enterprise“ decken die Bereiche Schwachstellen, E-Mail und Erkennung ab. Die Verschlüsselung auf Serverseite und von Wechseldatenträgern bleibt tatsächlich außerhalb dieses Produkts und erfordert ein anderes Tool.

Datenverlust ist teuer: Wie Backups Ihnen helfen, Ausfälle zu vermeiden 
Verschlüsselung schützt die Vertraulichkeit, nicht jedoch die Verfügbarkeit, und dieser Artikel behandelt den Aspekt der Datensicherung, nach dem in Anbieterfragebögen separat gefragt wird.

Welche Einschränkungen sollten Sie vor dem Kauf kennen?

Die folgenreichste Einschränkung ist der Anwendungsbereich: Das Modul verschlüsselt Boot- und Nicht-Boot-Volumes auf Festplatten in Desktops und Laptops, und Bitdefender weist ausdrücklich darauf hin, dass Wechseldatenträger nicht verschlüsselt werden; daher bleiben USB-Sticks und externe Festplatten ein offener Kanal, der über die Gerätesteuerung oder ein separates Produkt gehandhabt werden muss. Die Unterstützung beschränkt sich auf Windows und macOS, da das Modul BitLocker, FileVault und „diskutil“ nutzt; Linux-Endgeräte und Linux-Server können damit überhaupt nicht verschlüsselt werden, und auf Windows Server ist BitLocker standardmäßig nicht installiert und muss von einem Administrator hinzugefügt werden, bevor das Modul überhaupt etwas tun kann. Wenn in der Infrastruktur bereits ein Verschlüsselungsprodukt eines Drittanbieters eingesetzt wird, müssen diese Laufwerke mit dem vorhandenen Tool vollständig entschlüsselt werden, bevor GravityZone die Aufgabe übernehmen kann – was bei einer großen Infrastruktur ein echtes Projekt darstellt und nicht einfach per Knopfdruck erledigt werden kann. Zwei kleinere Punkte führen immer wieder zu Supportanfragen: Das Modul ist nicht FIPS-140-konform, was es dort ausschliesst, wo ein Kundenvertrag validierte Kryptografie verlangt, und die Passworteingabe vor dem Bootvorgang verwendet ein US-Tastaturlayout, sodass Passwörter, die Zeichen enthalten, die auf einem schweizerdeutschen, französischen oder italienischen Layout an anderer Stelle liegen, an der Eingabeaufforderung vor dem Bootvorgang fehlschlagen, obwohl sie korrekt sind.

Klonen einer SSD ohne Neuinstallation von Windows
Nützlich vor einer Hardware-Erneuerung, da eine verschlüsselte Festplatte bei der Migration eines Rechners auf einen neuen Speicherort korrekt behandelt werden muss.

Häufig gestellte Fragen zum Bitdefender GravityZone Full Disk Encryption-Add-On

Was passiert, wenn ein Benutzer das Verschlüsselungskennwort vergisst?

GravityZone speichert den Wiederherstellungsschlüssel für jedes verschlüsselte Volume im Control Center, und ein Administrator ruft ihn über den Recovery Manager im Netzwerkinventar ab. Der Benutzer liest die Wiederherstellungs-ID vom Vorstartbildschirm ab, der Administrator sucht sie im System und gibt den Schlüssel zurück, woraufhin der Rechner ohne Neuinstallation oder Vor-Ort-Einsatz hochfährt.

Funktioniert es auf Computern ohne TPM-Chip?

Ja. Bitdefender unterstützt BitLocker ab Version 1.2 auf Windows-Endgeräten sowohl mit als auch ohne Trusted Platform Module (TPM), was für ältere Desktops und für virtuelle Maschinen ohne TPM von Bedeutung ist. Die dokumentierten Ausnahmen sind Windows 7 und Windows Server 2008 R2, bei denen ein TPM der Version 1.2 oder höher erforderlich ist.

Kann es Windows-Server-Systeme verschlüsseln?

Ja, allerdings unter einer Voraussetzung: BitLocker ist nicht Bestandteil einer Standardinstallation von Windows Server und muss zunächst von einem Administrator als Funktion hinzugefügt werden. Sobald BitLocker vorhanden ist, unterliegt der Server denselben Richtlinien wie Arbeitsstationen. Linux-Server können mit diesem Modul unter keinen Umständen verschlüsselt werden.