Servern, PCs und mobilen Geräten durch ein richtlinienbasiertes Verschlüsselungskonzept zuverlässig schützt. Es ermöglicht Benutzern den sicheren Informationsaustausch und das

Arbeiten mit Dateien auf Geräten mit unterschiedlichen Betriebssystemen (Windows, Mac

OS X, iOS, Android) mithilfe der Sophos Secure Workspace App.

Im SafeGuard Management Center verwalten Sie Sicherheitsrichtlinien, Schlüssel und

Zertifikate mit einer rollenbasierten Administrationsstrategie. Ausführliche Protokollierung und

Reportfunktionen gewährleisten stets den Überblick über alle Ereignisse.

Auf Benutzerseite sind Datenverschlüsselung und Schutz vor Angreifern die primären

Sicherheitsfunktionen von SafeGuard Enterprise. SafeGuard Enterprise fügt sich dabei nahtlos in die gewohnte Benutzerumgebung ein.

Synchronized Encryption - anwendungsbasierte File Encryption

Synchronized Encryption baut auf zwei Annahmen auf - erstens, dass alle Daten wichtig sind und geschützt (verschlüsselt) sein müssen, und zweitens, dass diese Verschlüsselung persistent sein soll, egal wo sich die Daten befinden. Zusätzlich sollen Daten automatisch und transparent verschlüsselt werden, so dass sich Benutzer nicht darum kümmern müssen, ob eine Datei verschlüsselt werden muss oder nicht. Diese grundlegende Prämisse, dass alle

Daten wichtig sind und verschlüsselt werden müssen, stellt sicher, dass Daten nahtlos und ohne Zutun des Benutzers verschlüsselt werden. So können Benutzer wie gewohnt produktiv

arbeiten, während ihre Daten geschützt bleiben, siehe Synchronized Encryption

(Seite 118).

Pfadbasierte File Encryption

■ Cloud Storage

Cloudspeicher-Dienste werden gern genutzt, damit Benutzer von jedem Gerät und von jedem Ort aus Zugriff auf ihre Daten haben. Ohne Frage ist diese Freiheit wichtig für die

Produktivität. Genauso wichtig ist es jedoch, dass sensible Daten auch beim Speichern in der Cloud sicher bleiben. SafeGuard Enterprise ver- und entschlüsselt Dateien automatisch und unsichtbar, wenn diese über Cloudspeicher-Dienste hoch- oder heruntergeladen werden.

■ Verschlüsselt Dateien, die zu Cloudspeicher-Diensten hochgeladen werden.

■ Erlaubt überall sicheres Teilen von Daten.

■ Erkennt und unterstützt automatisch die häufigsten Cloudspeicher-Dienste wie zum

Beispiel Box, Dropbox, OneDrive und Egnyte.

■ Ermöglicht das Lesen von verschlüsselten Dateien mit unserer kostenlosen Sophos

Secure Workspace App für iOS und Android.

■ Dateiverschlüsselung

Verschlüsselung dient nicht nur dazu, Daten vor neugierigen Blicken von außen zu schützen. Sie sorgt auch bei der Zusammenarbeit innerhalb des Unternehmens für

Sicherheit und Kontrolle über Dateien. SafeGuard Enterprise geht über simple

Administratorhilfe

Ordnerberechtigungen hinaus und sorgt dafür, dass Dateien nur von den Personen gelesen werden können, für die sie bestimmt sind. Gleichzeitig kann die IT-Abteilung Dateien und

Backups effizient verwalten.

■ Konfiguriert die Dateiverschlüsselung für freigegebene Ordner.

■ Stellt sicher, dass nur bestimmte Benutzer oder Gruppen auf Daten zugreifen können.

■ Erfordert keine Interaktion seitens Ihrer Benutzer.

■ Bietet eine zusätzliche Ebene an Schutz für den Fall, dass die Unternehmensserver in die Cloud ausgelagert werden.

■ Data Exchange

SafeGuard Enterprise verschlüsselt automatisch und transparent Dateien auf

Wechselmedien wie USB-Sticks, Speicherkarten und CDs/DVDs.

■ Sie können verschlüsselte Daten auf Wechselmedien einfach innerhalb Ihres

Unternehmens austauschen ohne Ihre Benutzer zu beeinträchtigen.

■ Mit einer portablen Anwendung und einem Kennwort können Sie verschlüsselte

Wechselmedien auch mit Benutzern ohne SafeGuard Enterprise sicher und einfach teilen.

■ Wechselmedien auf Whitelists sorgen für einfachere und flexiblere Verwaltung der

Verschlüsselung.

Festplattenverschlüsselung

■ Für UEFI Systeme verwenden Sie die von SafeGuard Enterprise verwaltete BitLocker

Verschlüsselung für die Festplattenverschlüsselung. Für diese Endpoints bietet SafeGuard

Enterprise verbesserte Challenge/Response Funktionalitäten. Nähere Informationen bezüglich der unterstützten UEFI Versionen und Einschränkungen zur SafeGuard BitLocker

Challenge/Response Unterstützung entnehmen Sie bitte den Versionsinfos unter http://downloads.sophos.com/readmes/readsgn_8_deu.html

Hinweis: Wenn sich die Beschreibung nur auf UEFI bezieht, ist das explizit angegeben.

■ Für Systeme mit BIOS können Sie zwischen SafeGuard Full Disk Encryption und von

SafeGuard Enterprise verwalteter BitLocker Verschlüsselung wählen. Die BIOS Version verwendet den BitLocker-eigenen Wiederherstellungsmechanismus.

Hinweis: Wenn in diesem Handbuch von SafeGuard Full Disk Encryption oder SafeGuard

Power-on Authentication die Rede ist, dann bezieht sich das nur auf Windows 7 BIOS

Endpoints.

Die Tabelle zeigt, welche Komponenten verfügbar sind.

SafeGuard Enterprise

Windows 7 BIOS

Windows 7 UEFI

Windows 8.1 BIOS

Windows 8.1 UEFI

Windows 10

Windows 10 Threshold

SafeGuard Full Disk

Encryption mit

SafeGuard Power-on

Authentication (POA)

BitLocker mit Pre-Boot

Authentication (PBA), von SafeGuard verwaltet

SafeGuard C/R

Wiederherstellung für

BitLocker Pre-Boot

Authentication (PBA)

Hinweis: SafeGuard C/R Wiederherstellung für BitLocker Pre-Boot Authentication

(PBA) ist nur auf 64-Bit-Systemen verfügbar.

SafeGuard Full Disk Encryption mit SafeGuard Power-on Authentication (POA) ist das

Sophos Modul zur Verschlüsselung von Laufwerken auf Endpoints. Es wird mit einer von

Sophos entwickelten Pre-Boot Authentication namens SafeGuard Power On Authentication

(POA) geliefert, die Anmeldeoptionen wie Smartcard und Fingerabdruck sowie einen

Challenge/Response Mechanismus für die Wiederherstellung unterstützt.

BitLocker mit Pre-Boot Authentication (PBA), von SafeGuard verwaltet, ist die

Komponente, die das BitLocker Verschlüsselungsmodul und die BitLocker Pre-Boot

Authentication aktiviert und verwaltet.

Sie ist für BIOS und UEFI Plattformen verfügbar:

■

Die UEFI Version bietet zusätzlich einen SafeGuard Challenge/Response Mechanismus für die BitLocker Wiederherstellung für den Fall, dass Benutzer ihre Kennwörter vergessen.

Die UEFI Version kann verwendet werden, wenn bestimmte Plattform-Anforderungen erfüllt sind. Beispielsweise muss die UEFI Version 2.3.1 sein. Nähere Informationen entnehmen Sie bitte den Versions-Infos.

Die BIOS Version bietet die Wiederherstellungs-Erweiterungen des SafeGuard

Challenge/Response Mechanismus nicht. Sie dient auch als Fallback falls die

Anforderungen an die UEFI Version nicht erfüllt sind. Der Sophos Installer prüft, ob die

Voraussetzungen erfüllt sind. Falls nicht, installiert er automatisch die BitLocker Version ohne Challenge/Response.

Sicherheit für Macs

Daten auf Macs sind genauso gefährdet wie Daten auf Windows-PCs. Sie sollten Macs daher unbedingt in Ihre Strategie zur Verschlüsselung von Daten miteinbeziehen. SafeGuard

Enterprise schützt Ihre Macs mittels Datei- und Festplattenverschlüsselung und stellt sicher,

Administratorhilfe dass alle Daten auf Ihren Macs stets sicher sind. Es enthält Funktionen zum Verschlüsseln von Wechselmedien, Netzwerkfreigaben und Cloud-Verzeichnissen auf Mac.

■ Sie können die Datei- und Festplattenverschlüsselung für Mac im selben Management

Center verwalten wie für alle anderen Geräte.

■ Verwaltet Geräte, die mit FileVault2 verschlüsselt sind.

■ Arbeitet im Hintergrund ohne die Performance zu beeinträchtigen.

■ Berichte und komplette Sichtbarkeit des Verschlüsselungsstaus.

Für Mac Endpoints sind die folgenden Module verfügbar. Sie werden auch von SafeGuard

Enterprise verwaltet oder berichten zumindest an das Management Center.

OS X 10.9

OS X 10.10

OS X 10.11

macOS 10.12

Synchronized Encryption

- anwendungsbasiert

Sophos SafeGuard File

Encryption

- pfadbasiert

Sophos SafeGuard Native Device

Encryption

FileVault 2 Verwaltung

Sophos Secure Workspace

Schlüssel im SafeGuard Enterprise Schlüsselring können in der Sophos Secure Workspace

App (SSW), die über Sophos Mobile Control verwaltet wird, bereitgestellt werden. Benutzer der App können dann die Schlüssel zum Entschlüsseln, Lesen und Verschlüsseln von

Dokumenten verwenden. Diese Dateien können dann sicher zwischen allen Benutzern von

SafeGuard Enterprise und SSW ausgetauscht werden. Weitere Informationen finden Sie in der Sophos Secure Workspace Dokumentation .

1.1 Neu in SafeGuard Enterprise

■

Synchronized Encryption (Seite 118)

■ Anwendungsbasierte Dateiverschlüsselung

■

Outlook Add-In

Integration in Sophos Central Endpoint Protection - Schlüssel auf gefährdeten

Computern entziehen

Schlüsselring zwischen Sophos SafeGuard Enterprise und Sophos Mobile Control austauschen

■

Schlüssel für die Festplattenverschlüsselung mit mobilen Geräten synchronisieren (Seite

237)

SafeGuard Enterprise

■

Erweiterte Authentisierung - Benutzergruppe .Unbestätigte Benutzer

(Seite 8)

Verbesserte Synchronisierung mit Active Directory und Autoregistrierung

(Seite 9)

Sophos SafeGuard mit anonymen Nutzungsdaten verbessern (Seite 9)

1.1.1 Erweiterte Authentisierung - Benutzergruppe .Unbestätigte Benutzer

Benutzer, die sich an SafeGuard Enterprise anmelden, müssen gegen Active Directory authentisiert werden bevor sie Zugriff auf ihren Schlüsselring haben.

Hinweis: Wenn Sie BitLocker über SafeGuard Enterprise verwalten, müssen Sie die

Registrierung von neuen SGN-Benutzern für Jeden erlauben:

1. Legen Sie im Richtlinien Navigationsbereich einen neue Richtlinie vom Typ Spezifische

Computereinstellungen an oder wählen Sie eine vorhandene aus.

2. Wählen Sie unter Benutzer-Computer Zuordnung (UMA) die Einstellung Registrieren

von neuen SGN-Benutzern erlauben und wählen Sie in der Dropdown-Liste Jeder.

3. Wechseln Sie zu Benutzer und Computer und weisen Sie die neue Richtlinie Ihren

Benutzergruppen zu.

Benutzer, die bei der Anmeldung nicht authentisiert werden können, werden in die Gruppe

.Unbestätigte Benutzer verschoben. Diese Gruppe wird im Stammknoten und in jeder

Domäne oder Arbeitsgruppe angezeigt.

Mögliche Gründe dafür, warum Benutzer nicht authentisiert werden können, sind folgende:

■ Der Benutzer hat Anmeldeinformationen eingegeben, die nicht mit denen im Active Directory

übereinstimmen.

■ Der Benutzer ist ein lokaler Benutzer am Endpoint.

■ Der Active Directory Authentifizierungsserver ist nicht erreichbar.

■ Der Benutzer gehört zu einer Domäne, die nicht aus dem Active Directory importiert wurde.

Hinweis: Diese Benutzer werden zur globalen Gruppe .Unbestätigte Benutzer hinzugefügt, die direkt unter dem Stamm-Knoten in Benutzer und Computer angezeigt wird.

■ Die Authentisierung ist wegen eines unbekannten Fehlers fehlgeschlagen.

■ Siehe Sophos Knowledgebase-Artikel 124328 .

Hinweis: Nur Active Directory Benutzer können authentisiert werden. Dies setzt voraus, dass

Active Directory richtig konfiguriert wurde.

Solange sich Benutzer in der Gruppe .Unbestätigte Benutzer befinden, haben sie keinen

Zugriff auf ihren Schlüsselring.

Wenn Sie auf eine .Unbestätigte Benutzer Gruppe klicken, werden Details zu den Benutzern der Gruppe in der Registerkarte Unbestätigte Benutzer im rechten Fensterbereich angezeigt, zum Beispiel der Grund warum Benutzer in diese Gruppe verschoben wurden.

Im Client Status Dialog am Endpoint des Benutzers wird unter SGN-Benutzerstatus

Unbestätigter Benutzer angezeigt.

Administratorhilfe

1.1.1.1 Benutzer bestätigen

Als Sicherheitsbeauftragter müssen Sie Benutzer in der Gruppe .Unbestätigte Benutzer

überprüfen. Handelt es sich um autorisierte Benutzer, müssen Sie diese explizit bestätigen um ihnen Zugriff auf ihren Schlüsselring zu gewähren. Ohne ihren Schlüsselring können

Benutzer nicht auf verschlüsselte Daten zugreifen.

So bestätigen Sie Benutzer in der Gruppe .Unbestätigte Benutzer:

1. Wählen Sie im Management Center die Gruppe .Unbestätigte Benutzer.

Benutzer, die nicht gegen Active Directory authentisiert wurden, werden angezeigt. Sie können einzelne Benutzer anklicken, um detaillierte Informationen im rechten Fensterbereich anzuzeigen.

2. Überprüfen Sie, ob Benutzer auf den SafeGuard Enterprise Schlüsselring zugreifen dürfen.

3. Wenn ja, wählen Sie einen Benutzer mit der rechten Maustaste aus und klicken Sie im

Kontextmenü auf Benutzer bestätigen.

Sie können alle Benutzer in der Gruppe .Unbestätigte Benutzer bestätigen indem Sie die Gruppe selbst markieren und im Kontextmenü Alle Benutzer bestätigen klicken.

Bestätigte Benutzer werden automatisch in die richtige Active Directory Struktur verschoben und haben Zugriff auf ihren Schlüsselring.

Hinweis: Die Bestätigung von Benutzern kann auch über Scripting API Calls erfolgen.

1.1.1.2 Ereignisse (Log Events) für Unbestätigte Benutzer

Ereignisse werden protokolliert, wenn Benutzer zur Gruppe .Unbestätigte Benutzer hinzugefügt werden (Ereignis 2801) und wenn Benutzer erfolgreich bestätigt werden (Ereignis

2800). Sie können eine Liste dieser Ereignisse im SafeGuard Management Center unter

Berichte in der Ereignisanzeige auflisten lassen.

1.1.2 Verbesserte Synchronisierung mit Active Directory und

Autoregistrierung

■

Der SafeGuard Management Center Konfigurationsassistent hilft neuen Kunden dabei, ein vollständig funktionierendes System einzurichten. Der initiale Import einer Active

Directory Struktur wird während der Erstkonfiguration durchgeführt, siehe

Starten der

Erstkonfiguration des SafeGuard Management Center (Seite 37).

Hinzugefügte Benutzer werden automatisch der richtigen Organisationseinheit/Gruppe zugeordnet und empfangen umgehend die benötigten Richtlinien und Schlüssel. Eine angestoßene AD-Synchronisierung wird in diesem Fall nicht mehr benötigt.

1.1.3 Sophos SafeGuard mit anonymen Nutzungsdaten verbessern

Sophos ist ständig bemüht, SafeGuard Enterprise zu verbessern. Aus diesem Grund senden

Kunden regelmäßig anonymisierte Daten an Sophos. Diese Daten werden ausschließlich zur

Verbesserung des Produkts verwendet. Die Daten können nicht zur Identifizierung von Kunden oder Geräten verwendet werden und enthalten keine vertraulichen Informationen. Weitere

Informationen finden Sie im Sophos Knowledgebase-Artikel 123768 .

Die Übermittlung von Daten an Sophos ist optional. Da die Daten anonymisiert übermittelt werden, ist die Datensammelfunktion standardmäßig aktiviert. Sie können die Funktion im

SafeGuard Management Center deaktivieren (Richtlinien > Allgemeine Einstellungen >

SafeGuard Enterprise

Feedback > Sophos SafeGuard ® durch das Senden von anonymen Nutzungsdaten verbessern).

1.1.3.1 Senden anonymer Nutzungsdaten per Richtlinie deaktivieren

So deaktivieren Sie das Senden anonymer Nutzungsdaten:

1. Legen Sie im Richtlinien Navigationsbereich einen neue Richtlinie vom Typ Allgemeine

Einstellungen an oder wählen Sie eine vorhandene aus.

Die Registerkarte Allgemeine Einstellungen wird angezeigt.

2. Wechseln Sie in den Bereich Feedback .

3. Wählen Sie in unter Sophos SafeGuard ® durch das Senden von anonymen

Nutzungsdaten verbessern die Option Nein.

4. Wechseln Sie zu Benutzer und Computer und weisen Sie die neue Richtlinie Ihren

Benutzergruppen zu.

Die Funktion ist nun deaktiviert. Es werden keine Nutzungsdaten an Sophos übermittelt.

Administratorhilfe

2 Installation

Hinweis: Die Verfügbarkeit einzelner Funktionen hängt von Ihrer Lizenz ab. Für Informationen dazu, was in Ihrer Lizenz enthalten ist, wenden Sie sich an Ihren Vertriebspartner.

2.1 SafeGuard Enterprise Komponenten

Dieser Abschnitt bietet einen Überblick über die SafeGuard Enterprise Komponenten und beschreibt, wie sie zusammenspielen.

Eine funktionierende SafeGuard Enterprise Infrastruktur besteht mindestens aus folgenden

Modulen:

■

SafeGuard Enterprise Datenbank

SafeGuard Enterprise Server

SafeGuard Management Center

SafeGuard Enterprise Client

■ SafeGuard Enterprise Web Helpdesk

Eine Microsoft SQL Datenbank speichert Informationen über die Endpoints im Firmennetzwerk.

Der Haupt-Sicherheitsbeauftragte oder Master Security Officer (MSO) nutzt das SafeGuard

Management Center, um die Datenbankinhalte zu steuern und neue Sicherheitsrichtlinien

(Policies) zu erstellen.

Die Endpoints der Benutzer lesen die Richtlinien aus der Datenbank und berichten an die

Datenbank. Die Kommunikation zwischen Datenbank und Endpoints übernimmt dabei ein

Internet Information Services (IIS) basierter Webserver, auf dem der SafeGuard Enterprise

Server eingerichtet ist.

SafeGuard Enterprise

Die folgende Tabelle beschreibt die einzelnen Komponenten:

Komponente Beschreibung

SafeGuard Enterprise

Datenbank(en) basierend auf

Microsoft SQL Server

Datenbank

Die SafeGuard Enterprise Datenbank(en) enthält/enthalten alle relevanten Daten wie Schlüssel/Zertifikate, Informationen zu Benutzern und Computern, Ereignisse und die Richtlinieneinstellungen. Zugriff auf die Datenbank(en) benötigt der SafeGuard Enterprise Server und ein einziger Sicherheitsbeauftragter des SafeGuard Management

Centers, meist der Haupt-Sicherheitsbeauftragte (MSO). Die Erzeugung und Konfiguration der SafeGuard Enterprise Datenbank(en) kann über einen Assistenten oder über Skripte erfolgen.

SafeGuard Enterprise Server auf IIS basiertem Webserver

SafeGuard Enterprise Server läuft als Anwendung auf einem Microsoft

Internet Information Services (IIS) basierten Webserver und ermöglicht die Kommunikation zwischen SafeGuard Enterprise Datenbank und

SafeGuard Enterprise Endpoints. Der SafeGuard Enterprise Server sendet auf Anfrage SafeGuard Enterprise Richtlinieneinstellungen an die Endpoints. Dafür sind .NET Framework 4.5 und ASP.NET 4.5

erforderlich.

Administratorhilfe

Komponente Beschreibung

Wenn Sie SSL als Transportverschlüsselungsmethode für die

Client-Server Kommunikation wählen, müssen Sie die Rolle Basic

Authentication installieren.

SafeGuard Management

Center auf dem

Administratorcomputer

Zentrales Management-Werkzeug für durch SafeGuard Enterprise geschützte Endpoints zur Verwaltung von Schlüsseln und Zertifikaten,

Benutzern und Computern, sowie zur Erstellung von SafeGuard

Enterprise Richtlinien. Das SafeGuard Management Center kommuniziert mit der SafeGuard Enterprise Datenbank. .NET

Framework 4,5 ist erforderlich.

Verzeichnisdienste (optional) Import eines Active Directory. Es enthält die Organisationsstruktur des

Unternehmens mit Benutzern und Computern.

SafeGuard Enterprise

Verschlüsselungssoftware auf

Endpoints

Verschlüsselungssoftware für Datenverschlüsselung und sichere

Authentisierung. Durch SafeGuard Enterprise geschützte Endpoints können entweder mit einem SafeGuard Enterprise Server verbunden sein (zentral verwaltet) oder keine Verbindung zu einem SafeGuard

Enterprise Server haben (Standalone). Zentral verwaltete Endpoints erhalten ihre Richtlinien direkt vom SafeGuard Enterprise Server.

Standalone-Endpoints erhalten ihre Richtlinien in

Konfigurationspaketen, die mit einen Dritt-Verteilungsmechanismus verteilt werden können.

2.2 Erste Schritte

Dieser Abschnitt begleitet Sie mit Best-Practice-Beispielen und Empfehlungen durch eine typische Installation von SafeGuard Enterprise. Die Anleitung richtet sich an System-, Netzwerkund Datenbankadministratoren, die SafeGuard Enterprise (SGN) installieren, und beschreibt ein Setup, das hinsichtlich Kommunikation zwischen den einzelnen Komponenten bestmögliche

Sicherheit und Performance gewährleistet.

Das Dokument geht von einer Struktur aus, in der alle Geräte Mitglieder derselben Domäne sind. Deshalb sind Abweichungen in der Beschreibung von betriebssystem-spezifischen

Abläufen möglich, wenn Sie andere Software oder eine Arbeitsgruppenumgebung verwenden.

■ Erstinstallation: Der SGN Install Advisor vereinfacht die erstmalige Einrichtung der

Management-Komponenten einschließlich Standardrichtlinien. Um den SGN Install Advisor für eine neue SafeGuard Enterprise Installation aufzurufen, starten Sie

SGNInstallAdvisor.bat

aus Ihrer Produktlieferung. Ein Assistent führt Sie durch die

Installation.

■ Aktualisierung: Führen Sie die nachfolgenden Schritte aus.

Aktualisierung (Seite 77).

2.2.1 Installationsschritte

Bevor Sie SafeGuard Enterprise Client Software installieren können, muss ein funktionierendes

Backend eingerichtet werden. Daher empfehlen wir, die Reihenfolge der beschriebenen

Installationsschritte einzuhalten.

SafeGuard Enterprise

Hinweis: SafeGuard Enterprise for Windows unterstützt keine Apple Hardware und kann nicht in einer Boot Camp Umgebung installiert werden. Verwenden Sie stattdessen einen virtuellen Windows-Client.

Alle SafeGuard Enterprise Komponenten (.msi-Pakete) finden Sie in der Produktlieferung.

Schritt

Beschreibung Paket/Tool

Laden Sie die Installer über den

Sophos Knowledgebase-Artikel

111195 herunter.

Installieren Sie .NET Framework und ASP.NET 4.6.1 sowie die

Rolle Standardauthentifizierung.

Richten Sie Internet Information

Services (IIS) für die Anwendung mit SafeGuard Enterprise ein,

siehe Installation und

Konfiguration von Microsoft

Internet Information Services (IIS)

(Seite 18).

Installieren Sie SafeGuard

Enterprise Server

SGNServer.msi

Konfigurieren Sie die Microsoft

SQL Server Authentisierung für den SafeGuard Enterprise

Haupt-Sicherheitsbeauftragten,

siehe Datenbank-Authentisierung

(Seite 21).

SafeGuard Enterprise

Datenbank(en) über Skripte erzeugen.

SafeGuard Management Center

Konfigurationsassistent oder

Skripts in der Produktlieferung.

Installieren Sie das SafeGuard

Management Center für die zentrale Verwaltung von

Benutzern, Computern,

Richtlinien, Schlüsseln und

Berichten.

SGNManagementCenter.msi

Konfigurieren Sie das SafeGuard

Management Center: Datenbank und

Datenbankserver-Verbindungen,

Zertifikate, Anmeldeinformationen für den

Haupt-Sicherheitsbeauftragten.

SafeGuard Management Center

Konfigurationsassistent

Administratorhilfe

Schritt

Beschreibung Paket/Tool

Registrieren und konfigurieren

Sie den SafeGuard Enterprise

Server: Erzeugen Sie das

Server-Konfigurationspaket und installieren SIe es auf dem IIS

Server.

Konfigurationspakete-Funktion im SafeGuard Management

Center.

Erstellen Sie die

Organisationsstruktur aus Active

Directory oder manuell.

SafeGuard Management Center

Vorbereiten der Endpoints für die

Verschlüsselung

SGxClientPreinstall.msi

Erstellen Sie das erste

Konfigurationspaket für die

Endpoint-Konfiguration.

Konfigurationspakete-Funktion im SafeGuard Management

Center.

Installieren Sie die

Verschlüsselungssoftware und das Konfigurationspaket auf den

Endpoints.

Für Informationen zu den verfügbaren Paketen, siehe

Zentral verwaltete Endpoints und

Standalone-Endpoints (Seite 58).

2.2.2 Überprüfen der Systemanforderungen

Bevor Sie SafeGuard Enterprise installieren, prüfen Sie die Systemanforderungen.

Informationen zu Hardware- und Software-Anforderungen, Service Packs sowie

Festplattenspeicherbedarf für Installation und effektiven Betrieb finden Sie in den aktuellen

Versionsinfos auf der SafeGuard Versionsinfos Landing-Page .

2.2.3 Installer Download

1. Laden Sie die Installer von der Sophos Website herunter. Sie erhalten hierzu von Ihrem

Systemadministrator die entsprechende Web-Adresse und die erforderlichen

Download-Anmeldeinformationen. Weitere Informationen finden Sie im Sophos

Knowledgebase-Artikel 111195 .

2. Legen Sie die Dateien an einem Speicherort ab, auf den Sie für die Installation Zugriff haben.

2.2.4 Sprache der Benutzeroberfläche

Die Spracheinstellungen für die Installations- und Konfigurationsassistenten und die verschiedenen SafeGuard Enterprise Komponenten sind wie folgt:

Assistenten

Die Sprache der Installations- und Konfigurationsassistenten der verschiedenen

Installationspakete wird automatisch an die Spracheinstellungen des Betriebssystems

SafeGuard Enterprise angepasst. Wenn die Betriebssystemsprache für diese Assistenten nicht verfügbar ist, wird automatisch Englisch benutzt.

SafeGuard Management Center

So stellen Sie die Sprache das SafeGuard Management Center ein:

■ Klicken Sie im SafeGuard Management Center auf Extras > Optionen > Allgemein.

Klicken Sie auf Benutzerdefinierte Sprache verwenden und wählen Sie eine verfügbare

Sprache aus.

■ Starten Sie das SafeGuard Management Centers neu. Er wird in der ausgewählten Sprache angezeigt.

SafeGuard Enterprise auf Endpoints

Die Sprache von SafeGuard Enterprise auf Endpoints steuern Sie über den Richtlinientyp

Allgemeine Einstellungen im SafeGuard Management Center (Einstellung Anpassung >

Sprache am Client):

■ Wenn die Sprache des Betriebssystems gewählt wird, richtet sich die Produktsprache nach der Spracheinstellung des Betriebssystems auf dem Endpoint. Steht die entsprechende Betriebssystemsprache in SafeGuard Enterprise nicht zur Verfügung, wird standardmäßig die englische Version von SafeGuard Enterprise angezeigt.

■ Wenn eine der zur Verfügung stehenden Sprachen gewählt wird, werden die SafeGuard

Enterprise Funktionen auf dem Endpoint in der ausgewählten Sprache angezeigt.

2.2.5 Kompatibilität mit weiteren Sophos-Produkten

Dieser Abschnitt beschreibt die Kompatibilität von SafeGuard Enterprise 8.0 mit anderen

Sophos-Produkten.

2.2.5.1 Kompatibilität mit SafeGuard LAN Crypt

SafeGuard Enterprise 8.0 und SafeGuard LAN Crypt 3.90.2 können zusammen auf einem

Endpoint installiert werden. Stellen Sie sicher, dass Sie keine ältere Version von LAN Crypt verwenden.

Falls SafeGuard LAN Crypt 3.90.2 bereits installiert ist:

1. Installieren Sie das SafeGuard Prä-Installationspaket auf dem Endpoint (nur unter Windows

7 relevant).

2. Installieren Sie SafeGuard Data Exchange auf dem Endpoint.

3. Installieren Sie das SafeGuard-Client-Konfigurationspaket auf dem Endpoint.

4. Starten Sie den Endpoint neu.

Hinweis: Während der Installation werden Sie darüber informiert, dass die Komponente

SGLC Profile Loader bereits verwendet wird. Sie können diese Meldung ignorieren. Sie wird dadurch verursacht, dass SafeGuard LAN Crypt und SafeGuard Enterprise gemeinsame

Komponenten benutzen. Die betroffenen Komponenten werden beim Neustart aktualisiert.

SafeGuard Enterprise 8.0 ist bereits installiert:

1. Installieren Sie SafeGuard LAN Crypt 3.9 auf dem Endpoint.

Administratorhilfe

2. Starten Sie den Endpoint neu.

2.2.5.2 Kompatibilität mit Sophos Enterprise Console

Wenn Sie die Verschlüsselung mit Sophos Enterprise Console (SEC) verwalten, installieren

Sie den SafeGuard Enterprise Server oder ein SafeGuard Management Center nicht auf einem Server, auf dem der SEC Management Server installiert ist.

2.2.5.3 Kompatibilität mit Sophos Mobile Control

SafeGuard Enterprise arbeitet mit Sophos Mobile Control zusammen indem ein gemeinsamer

Schlüsselring verwendet wird. Das bedeutet, dass Benutzer auf ihren Mobilgeräten sicher auf Dateien zugreifen können, die mit einem SGN-Schlüssel verschlüsselt sind. Umgekehrt können Benutzer auch Dateien in ihrer Secure Workspace App erstellen und später auf ihrem mit SGN geschützten Computer öffnen.

Voraussetzungen:

■ Registrieren Sie den SMC-Server mit seinem Zertifikat am SGN Server im Management

Center (Extras> Konfigurationspakete > Server).

■

Stellen Sie eine sichere SSL/TLS-Verbindung zwischen den Servern her. Wir empfehlen die Verwendung des TLS 1.2 Verschlüsselungsprotokolls zur Vermeidung von bekannten

SSL-Angriffen.

Verwenden Sie Active Directory damit Benutzer in SGN über ihre AD-Informationen identifiziert werden können.

2.2.6 Allgemeine Einschränkungen

Beachten Sie folgende allgemeine Einschränkungen für SafeGuard Enterprise auf Endpoints:

■ SafeGuard Enterprise for Windows unterstützt keine Apple Hardware und kann nicht in einer Boot Camp Umgebung installiert werden. Verwenden Sie stattdessen einen virtuellen

Windows-Client.

■

Systeme mit Festplatten, die über einen SCSI-Bus angeschlossen sind, werden von der

SafeGuard Festplattenvollverschlüsselung (SafeGuard volume-basierende Verschlüsselung und BitLocker-Unterstützung) nicht unterstützt.

Der schnelle Benutzerwechsel wird nicht unterstützt.

■

Der Einsatz von SafeGuard Enterprise in einer Terminal Server Umgebung wird nicht unterstützt.

Wenn Intel Advanced Host Controller Interface (AHCI) auf Endpoints mit POA benutzt wird, muss sich die Boot-Festplatte in Slot 0 befinden.

■ Auf Endpoints mit POA wird SafeGuard volume-basierende Verschlüsselung für Volumes, die sich auf dynamischen Datenträgern oder auf GUID Partitionstabellen (GPT)-Platten befinden, nicht unterstützt. Die Installation bricht in diesen Fällen ab. Wenn diese Platten auf dem Endpoint gefunden werden, werden sie nicht unterstützt.

SafeGuard Enterprise

2.3 Einrichten des SafeGuard Enterprise Servers

Der SafeGuard Enterprise Server stellt die Schnittstelle zu den SafeGuard Enterprise Clients her. Er greift wie das SafeGuard Management Center auf die Datenbank zu. Er läuft als

Applikation auf einem Web Server basierend auf Microsoft Internet Information Services (IIS).

Stellen Sie sicher, dass Sie die aktuellste Version von IIS verwenden.

Für bestmögliche Sicherheit und Performance empfehlen wir, den SafeGuard Enterprise

Server auf einer dedizierten Maschine zu installieren. Dies gewährleistet außerdem, dass keine anderen Anwendungen mit SafeGuard Enterprise in Konflikt geraten.

Der SafeGuard Enterprise Server bietet außerdem den Taskplaner, mit dem Sie periodische

Tasks, die auf Skripten basieren, erstellen und geplant ausführen lassen können. Die Tasks laufen automatisch auf dem SafeGuard Enterprise Server. Sie finden die Skripte in der

SafeGuard Enterprise Produktlieferung.

2.3.1 Voraussetzungen

Folgende Voraussetzungen müssen erfüllt sein:

■ Sie benötigen Windows Administratorrechte.

■ Microsoft Internet Information Services (IIS) muss verfügbar sein.

IIS steht auf der Microsoft-Website zum Download bereit.

■ Wenn Sie SSL als Transportverschlüsselung zwischen SafeGuard Enterprise Server und

SafeGuard Enterprise Client verwenden, muss der IIS Server dafür eingerichtet werden, siehe

Sichern von Transportverbindungen mit SSL (Seite 48).

■ Ein Zertifikat muss ausgestellt und der IIS Server so konfiguriert werden, dass er SSL verwendet und auf das Zertifikat zeigt.

■

Der Servername, den Sie bei der Konfiguration des SafeGuard Enterprise Servers angeben, muss identisch sein mit dem Servernamen, den Sie vorab im SSL-Zertifikat angegeben haben. Sonst können Client und Server nicht miteinander kommunizieren.

Für jeden SafeGuard Enterprise Server wird ein separates SSL-Zertifikat benötigt.

Wenn Sie Network Load Balancer einsetzen, vergewissern Sie sich, dass der Portbereich den SSL-Port mit einschließt.

■ .NET Framework 4.5 und ASP.NET 4.5 (in der SafeGuard Enterprise Produktlieferung enthalten) müssen installiert sein.

2.3.2 Installation und Konfiguration von Microsoft Internet Information

Services (IIS)

Dieser Abschnitt beschreibt, wie Sie Microsoft Internet Information Services (IIS) für den

Betrieb mit SafeGuard Enterprise Server vorbereiten.

Administratorhilfe

2.3.2.1 Installieren und Konfigurieren von IIS 7/7.5 auf Microsoft Windows Server

2008/2008 R2

IIS steht auf der Microsoft-Website zum Download bereit.

1. Klicken Sie im Start Menü auf Alle Programme > Administration > Server-Manager.

2. Klicken Sie im Server Manager auf Rollenübersicht > Rollen hinzufügen.

3. Verifizieren Sie auf der Vorbemerkungen Seite des Rollen hinzufügen Assistenten

Folgendes:

■ Das Administratorenkonto hat ein sicheres Kennwort.

■ Die Netzwerkeinstellungen, zum Beispiel IP-Adressen, sind konfiguriert.

■ Die neuesten Windows-Sicherheits-Updates sind installiert.

4. Wählen Sie Rollen auswählen auf der rechten Seite und dann Webserver (IIS). Klicken

Sie auf der folgenden Seite auf Erforderliche Features hinzufügen. Webserver (IIS) ist im Navigationsbereich des Rollen hinzufügen Assistenten aufgelistet.

5. Klicken Sie auf Webserver (IIS) und dann auf Rollendienste. Behalten Sie die

Standard-Rollendienste bei.

6. Wählen Sie auf der rechten Seite zusätzlich Folgendes: ASP.NET, dadurch werden alle notwendigen untergeordneten Rollendienste ebenfalls ausgewählt.

7. Wählen Sie IIS-Verwaltungsskripts und -tools. Dies ist für die richtige IIS Konfiguration erforderlich.

8. Klicken Sie auf Weiter > Installieren > Schließen.

IIS wird mit einer Standardkonfiguration zum Hosten von ASP.NET installiert.

9. Überprüfen Sie mit http://< server name>, ob die Web-Seite korrekt angezeigt wird. Weitere

Informationen finden Sie unter: http://support.microsoft.com

2.3.2.1.1 Prüfen der .NET Framework Registrierung bei IIS 7

.NET Framework Version 4,5 ist erforderlich. Sie finden das Programm in der SafeGuard

Enterprise Produktlieferung.

So überprüfen Sie, ob das Programm korrekt auf IIS 7 installiert ist:

1. Wählen Sie im Start Menü den Befehl Ausführen....

2. Geben Sie folgendes Kommando ein: Appwiz.cpl

. Alle auf dem Computer installierten

Programme werden angezeigt.

3. Überprüfen Sie, ob .NET Framework Version 4,5 angezeigt wird. Wird die Version nicht angezeigt, installieren Sie sie. Folgen Sie den Schritten im Installationsassistenten und bestätigen Sie alle Standardeinstellungen.

4. Um zu prüfen, ob die Installation korrekt registriert ist, wechseln Sie in

C:\Windows\Microsoft.NET\Framework. Jede installierte Version muss als separater Ordner mit der Version als Ordnername sichtbar sein, "v4.5".

2.3.2.1.2 Prüfen der ASP.NET Registrierung bei IIS 7

ASP.NET Version 4,5 ist erforderlich.

1. Um zu überprüfen, ob ASP.NET installiert und mit der korrekten Version registriert ist, geben Sie das Kommando aspnet_regiis.exe -lv auf der Kommandozeile ein.

Für ASP.NET Version sollte Version 4.5 angezeigt werden.

SafeGuard Enterprise

2.3.2.2 Installieren und Konfigurieren von IIS 8 auf Microsoft Windows Server 2012/2012

R2

IIS steht auf der Microsoft-Website zum Download bereit.

1. Klicken Sie am Server-Manager Dashboard auf Verwalten > Rollen und Features

hinzufügen.

2. Im Assistent zum Hinzufügen von Rollen und Features, auf der Seite Vorbemerkungen,

überprüfen Sie Folgendes:

■ Das Administratorenkonto hat ein sicheres Kennwort.

■ Die Netzwerkeinstellungen, zum Beispiel IP-Adressen, sind konfiguriert.

■ Die neuesten Windows-Sicherheits-Updates sind installiert.

3. Wählen Sie Serverrollen im linken Fenster und wählen Sie dann Web Server (IIS). Klicken

Sie auf Features hinzufügen im angezeigten Fenster. Rolle "Webserver" (IIS) wird im linken Bereich des Assistent zum Hinzufügen von Rollen und Features gelistet.

4. Wählen Sie Rollendienste unter Rolle "Webserver" (IIS). Behalten Sie die

Standard-Rollendienste bei.

5. Scrollen Sie nach unten zum Knoten Anwendungsentwicklung und wählen Sie:

■

ASP.NET 4.5

ISAPI Extensions

ISAPI Filters

Notwendige untergeordnete Rollendienste werden automatisch ausgewählt.

6. Unter dem Knoten Sicherheit aktivieren Sie:

■

Basic Authentication

Windows Authentication

7. Klicken Sie auf Weiter > Installieren > Schließen.

IIS wird mit der Standardkonfiguration für das Hosten von ASP.NET am Windows Server installiert.

Bestätigen Sie über http://<Computername>, dass der Web-Server funktioniert. Wenn die

Webseite nicht richtig angezeigt wird, wenden Sie sich bitte an die Microsoft Knowledge

Base (http://support.microsoft.com).

2.3.3 Installieren von SafeGuard Enterprise Server

Nachdem der IIS konfiguriert ist, können Sie SafeGuard Enterprise Server auf dem IIS Server installieren. Das Installationspaket SGNServer.msi

finden Sie in der Produktlieferung.

1. Doppelklicken Sie auf dem Server, auf dem Sie SafeGuard Enterprise Server installieren möchten, auf SGNServer.msi

. Ein Assistent führt Sie durch die notwendigen Schritte.

2. Übernehmen Sie in den folgenden Dialogen die Standardeinstellungen. Der Taskplaner wird automatisch mit dem Installationstyp Vollständig installiert.

SafeGuard Enterprise Server mit Taskplaner wird installiert.

Hinweis: Aus Performance-Gründen ist die Verkettung von protokollierten Ereignissen für die SafeGuard Enterprise Datenbank nach der Installation des SafeGuard Enterprise Servers standardmäßig deaktiviert. Für den Integritätsschutz protokollierter Ereignisse ist jedoch die

Verkettung protokollierter Ereignisse erforderlich. Dabei werden alle Einträge in der

Administratorhilfe

Ereignistabelle miteinander verkettet, so dass die Entfernung eines Eintrags sichtbar wird und über eine Integritätsprüfung nachgewiesen werden kann. Um den Integritätsschutz zu nutzen, müssen Sie die Verkettung von protokollierten Ereignissen manuell aktivieren. Für weitere Informationen, siehe

Berichte

(Seite 333).

Um den Erfolg der Installation zu überprüfen, öffnen Sie

Internetinformationsdienste-Manager (Ausführen > inetmgr ) und stellen Sie sicher, dass eine Webseite SGNSRV verfügbar ist.

2.4 Einrichten einer SafeGuard Enterprise Datenbank

SafeGuard Enterprise speichert alle relevanten Daten wie Schlüssel, Zertifikate, Informationen zu Benutzern und Computern, Ereignisse und die Richtlinieneinstellungen in einer Datenbank.

Die SafeGuard Enterprise Datenbank basiert auf Microsoft SQL Server.

Prüfen Sie die Liste der aktuell unterstützten SQL Server Typen im Abschnitt zu den

Systemanforderungen in den aktuellen Versionsinfos im Sophos Knowledgebase-Artikel

12776 .

Hinweis: Bedenken Sie, wenn Sie die SQL Express Edition verwenden, die von Microsoft vorgegebene Größenbeschränkung für die Datenbank. Die SQL Express Edition ist für größere

Umgebungen eher ungeeignet.

Sie können die Datenbank entweder automatisch während der Erstkonfiguration im SafeGuard

Management Center oder manuell mit den in Ihrer Produktlieferung verfügbaren SQL Skripten einrichten. Wählen Sie die geeignete Methode nach den Gegebenheiten in Ihrer

Firmenumgebung. Für weitere Informationen, siehe

Datenbankzugriffsrechte

(Seite 22).

Zur Optimierung der Performance lässt sich die SafeGuard Enterprise Datenbank auf mehrere

SQL Server replizieren. Für Informationen zum Einrichten der Datenbankreplikation, siehe

Replikation der SafeGuard Enterprise Datenbank (Seite 30).

Sie können mehrere SafeGuard Enterprise Datenbanken für unterschiedliche Mandanten wie

Firmenstandorte, Organisationseinheiten oder Domänen einrichten und verwalten (Multi

Tenancy). Informationen zur Konfiguration von Multi Tenancy finden Sie unter

Multi Tenancy

Konfigurationen (Seite 36).

Hinweis: Wir empfehlen den Einsatz eines permanenten Online-Backups für die Datenbank.

Führen Sie ein regelmäßiges Backup Ihrer Datenbank durch, um Schlüssel,

Unternehmenszertifikate und Benutzer-Computer Zuordnungen zu sichern. Beispiele für empfohlene Backup-Zyklen: nach dem Erstimport der Daten, nach größeren Änderungen oder in turnusmäßigen Abständen, z. B. wöchentlich oder täglich.

2.4.1 Datenbank-Authentisierung

Um auf die SafeGuard Enterprise Datenbank zuzugreifen, muss sich der erste

Sicherheitsbeauftragte des SafeGuard Management Centers am SQL Server authentisieren.

Es gibt folgende Möglichkeiten:

■ Windows-Authentisierung: Ernennen Sie einen vorhandenen Windows-Benutzer zum

SQL-Benutzer

■ SQL-Authentisierung: Richten Sie ein SQL-Benutzerkonto ein.

Fragen Sie Ihren SQL-Administrator, welche Form der Authentisierung Sie als

Sicherheitsbeauftragter verwenden sollen. Sie benötigen diese Information vor der Erzeugung der Datenbank und vor der Erstkonfiguration des SafeGuard Management Centers im

SafeGuard Management Center Konfigurationsassistenten.

SafeGuard Enterprise

Verwenden Sie SQL-Authentisierung für Computer, die sich nicht in einer Domäne befinden.

Ansonsten verwenden Sie Windows-Authentisierung.Wenn Sie SQL-Authentisierung einsetzen, empfehlen wir, die Verbindung zu und vom Datenbankserver durch SSL zu sichern. Für weitere Informationen, siehe

Einrichten von SSL

(Seite 50).

2.4.1.1 Datenbankzugriffsrechte

SafeGuard Enterprise ist so eingerichtet, dass es für das Zusammenspiel mit der

SQL-Datenbank nur ein einziges Benutzerkonto mit minimalen Zugriffsberechtigungen auf die Datenbank benötigt. Dieses Benutzerkonto wird vom SafeGuard Management Center genutzt und lediglich auf den ersten Sicherheitsbeauftragten des SafeGuard Management

Centers ausgestellt. Damit ist die Verbindung zur SafeGuard Enterprise Datenbank gewährleistet. Während des Betriebs von SafeGuard Enterprise benötigt ein einziger

Sicherheitsbeauftragter des SafeGuard Management Centers nur die

Lese/Schreib-Berechtigung für die SafeGuard Enterprise Datenbank.

Die SafeGuard Enterprise Datenbank kann entweder manuell oder automatisch während der

Erstkonfiguration im SafeGuard Management Center erzeugt werden. Soll die Datenbank automatisch erstellt werden, so sind für den ersten SafeGuard Management Center

Sicherheitsbeauftragten erweiterte Zugriffsrechte für die SQL Datenbank (db_creator) erforderlich. Diese Berechtigungen können dem Sicherheitsbeauftragten danach vom

SQL-Administrator aber wieder bis zur nächsten Installation/Aktualisierung entzogen werden.

Wenn die Erweiterung der Rechte während der Installation des SafeGuard Management

Centers nicht gewünscht ist, kann der SQL-Administrator die SafeGuard Enterprise Datenbank per Skript erzeugen. Dazu können die beiden Skripte CreateDatabase.sql und

CreateTables.sql aus der Produktlieferung ausgeführt werden.

Die folgende Tabelle zeigt die notwendigen SQL-Berechtigungen für die unterschiedlichen

Versionen von Microsoft SQL Server.

SQL Server 2012, SQL Server 2012 Express

Datenbank erstellen

Server

Master Datenbank

SafeGuard Enterprise Datenbank

Datenbank benutzen

Server

Master Datenbank

SafeGuard Enterprise Datenbank

Zugriffsberechtigung db_creator keine db_ownerpublic (Standard) keine keine db_datareader db_datawriter public (Standard)

Administratorhilfe

2.4.1.2 Konfigurieren eines Windows-Benutzerkontos für die Anmeldung am SQL Server

Die folgende Beschreibung der einzelnen Konfigurationsschritte wendet sich an

SQL-Administratoren und bezieht sich auf Microsoft Windows Server 2008 und Microsoft SQL

Server 2014, Standard oder Express Edition.

Als SQL-Administrator benötigen Sie das Recht zum Anlegen von Benutzerkonten.

1. Öffnen Sie SQL Server Management Studio. Melden Sie sich am SQL Server mit Ihren

Anmeldeinformationen an.

2. Öffnen Sie den Objekt-Explorer, klicken Sie mit der rechten Maustaste auf Sicherheit, wählen Sie Neu und klicken Sie dann auf Anmelden.

3. Wählen Sie unter Anmeldung - Neu auf der Allgemein Seite die Option

Windows-Authentifizierung.

4. Klicken Sie auf Suchen. Suchen Sie nach dem relevanten Windows-Benutzernamen und klicken Sie auf OK. Der Benutzername wird als Anmeldename angezeigt.

5. Wenn noch keine SafeGuard Enterprise Datenbank durch ein Skript angelegt wurde, wählen Sie unter Standarddatenbank die Option Master.

6. Klicken Sie auf OK.

SafeGuard Enterprise

7. Um die Datenbank automatisch während der Erstkonfiguration des SafeGuard Management

Centers zu erzeugen, müssen Sie die Zugriffsrechte wie folgt ändern: Weisen Sie jetzt unter Anmeldung - Neu die Zugangsberechtigungen/Rollen zu, indem Sie links auf

Serverrollen klicken: Wählen Sie dbcreator. Nach der Installation von SafeGuard

Enterprise kann die Datenbankrolle auf dbowner zurückgesetzt werden.

2.4.1.3 Erstellen eines SQL-Kontos für die Anmeldung am SQL Server

Jeder Benutzer, der das SafeGuard Management Center verwenden soll, benötigt ein gültiges

SQL-Benutzerkonto wenn Windows-Authentifizierung für die Verbindung mit der

SafeGuard-Datenbank verwendet wird.

Die nachfolgende Beschreibung der einzelnen Konfigurationsschritte richtet sich an

SQL-Administratoren. Sie bezieht sich auf Microsoft Windows Server 2008 (alle Editionen) mit Microsoft SQL Server 2008 Standard Edition.

Als SQL-Administrator benötigen Sie das Recht, ein SQL-Benutzerkonto zu erstellen.

1. Öffnen Sie SQL Server Management Studio. Melden Sie sich am SQL Server mit Ihren

Anmeldeinformationen an.

2. Öffnen Sie den Objekt-Explorer, klicken Sie mit der rechten Maustaste auf Sicherheit und wählen Sie Neu > Anmelden.

3. Wählen Sie unter Anmeldung - Neu auf der Allgemein Seite die Option SQL Server

Authentifizierung.

Administratorhilfe

4. Führen Sie auf der Allgemein Seite bei Anmeldename folgende Schritte durch: a) Geben Sie den Namen des neuen Benutzers ein, z. B. SGN SQLSERVICE.

b) Geben Sie ein Kennwort für das Konto ein und bestätigen Sie es.

c) Deaktivieren Sie Kennwortrichtlinie erzwingen.

d) Wenn noch keine SafeGuard Enterprise Datenbank durch ein Skript angelegt wurde, wählen Sie unter Standarddatenbank die Option Master. Klicken Sie auf OK.

Notieren Sie sich die Authentisierungsmethode und die Anmeldedaten. Sie müssen diese dem SafeGuard Management Center Sicherheitsbeauftragten mitteilen.

SafeGuard Enterprise

5. Um die Datenbank automatisch während der Erstkonfiguration des SafeGuard Management

Centers zu erzeugen, müssen Sie die Zugriffsrechte wie folgt ändern: Weisen Sie jetzt unter Anmeldung - Neu unter Allgemein die Zugangsberechtigungen/Rollen zu, indem

Sie links auf Serverrollen klicken. Wählen Sie dbcreator. Nach der Installation von

SafeGuard Enterprise kann die Datenbankrolle auf dbowner zurückgesetzt werden.

Das SQL-Benutzerkonto und die Zugriffsberechtigungen sind damit für den SafeGuard

Enterprise Sicherheitsbeauftragten eingerichtet.

2.4.2 Erzeugen der SafeGuard Enterprise Datenbank

Nachdem das Benutzerkonto für die SQL Server Anmeldung eingerichtet ist, können Sie die

SafeGuard Enterprise Datenbank erzeugen. Hier gibt es zwei Möglichkeiten:

■ Mit dem SafeGuard Management Center Konfigurationsassistenten

Als Sicherheitsbeauftragter können Sie die SafeGuard Enterprise Datenbank während der

Erstkonfiguration im SafeGuard Management Centers leicht und bequem erstellen. Der

SafeGuard Management Center Konfigurationsassistent führt Sie durch die

Basiskonfiguration, zu der auch die Erstellung der Datenbank gehört. Fahren Sie hierzu mit der Installation und Konfiguration des SafeGuard Management Center fort (siehe

Einrichten des SafeGuard Management Centers (Seite 35)) und ändern Sie dann die

relevanten Zugriffsrechte (siehe Ändern der Zugriffsrechte für die SafeGuard Enterprise

Datenbank (Seite 28)).

Administratorhilfe

■ Mit SQL Skripts, die in der Produktlieferung zur Verfügung stehen.

Dieser Weg ist dann angebracht, wenn die Erweiterung der Datenbankberechtigung während der Konfiguration des SafeGuard Management Centers nicht gewünscht ist.

Es hängt von Ihrer Unternehmensumgebung ab, welche Methode Sie anwenden. Am besten sollte dies zwischen SQL-Administrator und SafeGuard Enterprise

Sicherheitsbeauftragtem vorab geklärt werden.

2.4.2.1 Voraussetzungen

Folgende Voraussetzungen müssen erfüllt sein:

■ Microsoft SQL Server muss bereits installiert und konfiguriert sein. Für kleinere

Unternehmen eignet sich der Einsatz der Microsoft SQL Express Edition, da keine

Lizenzkosten anfallen.

■ Aus Performance-Gründen sollte Microsoft SQL Server nicht auf dem Rechner installiert werden, auf dem der SafeGuard Enterprise Server installiert wird.

■ Die Authentisierungsverfahren sowie die Zugriffsrechte für die Datenbank sollten geklärt werden.

2.4.2.2 Erzeugen der SafeGuard Enterprise Datenbank per Skript

Wenn Sie die SafeGuard Datenbank automatisch während der Konfiguration des SafeGuard

Management Center erzeugen möchten, können Sie diesen Schritt überspringen. Wenn erweiterte SQL-Berechtigungen während der SafeGuard Management Center Konfiguration nicht erwünscht sind, führen Sie diesen Schritt aus. Dazu stehen im Tools-Verzeichnis der

Produktlieferung zwei Datenbank-Skripte zur Verfügung:

■ CreateDatabase.sql

■ CreateTables.sql

Die folgende Beschreibung der Arbeitsschritte wendet sich an SQL-Administratoren und bezieht sich auf Microsoft SQL Server 2008 Standard Edition.

Als SQL-Administrator benötigen Sie das Recht zum Erstellen einer Datenbank.

1. Kopieren Sie die Skripte CreateDatabase.sql und CreateTables.sql aus der SafeGuard

Enterprise Produktlieferung auf den SQL Server.

2. Doppelklicken Sie auf dem Skript CreateDatabase.sql. Das Programm SQL Server

Management Studio wird aufgerufen.

3. Melden Sie sich am SQL Server mit Ihren Anmeldeinformationen an.

4. Überprüfen Sie, ob die beiden Zielpfade, die zu Beginn des Skripts unter FILENAME

(MDF, LDF) angegeben sind, auf der lokalen Festplatte vorhanden sind. Korrigieren Sie sie, wenn nötig.

5. Klicken Sie auf die Schaltfläche Ausführen in der Symbolleiste, um die Datenbank zu erzeugen. Sie haben die Datenbank SafeGuard angelegt. Erzeugen Sie anschließend die Tabellen mit Hilfe des Skripts CreateTables.sql aus der Produktlieferung.

6. Doppelklicken Sie auf CreateTables.sql. Ein weiterer Bereich wird in Microsoft SQL Server

Management Studio geöffnet.

7. Geben Sie am Beginn des Skripts use SafeGuard ein, um die SafeGuard Enterprise

Datenbank auszuwählen, in der die Tabellen erstellt werden sollen.

SafeGuard Enterprise

8. Klicken Sie auf die Schaltfläche Ausführen in der Symbolleiste, um die Tabellen zu erzeugen.

Die SafeGuard Enterprise Datenbank und die zugehörigen Tabellen sind erzeugt.

2.4.3 Ändern der Zugriffsrechte für die SafeGuard Enterprise Datenbank

Nach dem Erstellen der SafeGuard Enterprise Datenbank muss dem Benutzerkonto Zugriff auf die Datenbank gewährt werden. Diese Zugriffsrechte werden für alle

Sicherheitsbeauftragten benötigt, die mit dem SafeGuard Management Center arbeiten und wenn Windows NT Authentisierung verwendet wird. Da es möglich ist, einem Benutzer für eine Datenbank unterschiedliche Rollen und Berechtigungen zuzuweisen, sind nur die

Mindestanforderungen beschrieben.

1. Öffnen Sie SQL Server Management Studio. Melden Sie sich am SQL Server mit Ihren

Anmeldeinformationen an.

2. Öffnen Sie den Objekt-Explorer, doppelklicken Sie auf Sicherheit und dann auf

Anmeldungen.

3. Klicken Sie mit der rechten Maustaste auf den erforderlichen Benutzer und klicken Sie dann auf Eigenschaften.

4. Wählen Sie Benutzerzuordnung auf der linken Seite. Wählen Sie unter Users mapped

to this login (Benutzer, die dieser Anmeldung zugeordnet sind) die Datenbank

SafeGuard.

5. Definieren Sie die erforderlichen Zugriffsrechte für die Benutzung der SafeGuard Enterprise

Datenbank unter Mitgliedschaft in Datenbankrolle für: Wählen Sie db_datareader,

db_datawriter und public.

6. Klicken Sie auf OK.

2.4.4 Überprüfung von Einstellungen für SQL-Dienste, Named Pipes und

TCP/IP

Bei der Installation des SafeGuard Management Center muss der SQL Browser Service laufen und Named Pipes und TCP/IP müssen aktiv sein. Diese Einstellungen sind erforderlich, um von anderen Maschinen aus auf den SQL-Server zugreifen zu können. Dies kann im SQL

Server-Konfigurations-Manager überprüft werden. Diese Beschreibung bezieht sich auf

Microsoft Windows Server 2008 (R2) und Microsoft SQL Server 2012 Standard oder Express

Edition.

1. Öffnen Sie den SQL Server-Konfigurations-Manager.

2. Wählen Sie in der Navigationsstruktur auf der linken Seite SQL Server-Dienste.

3. Überprüfen Sie, ob der Status von SQL Server und SQL Server Browser Läuft und der

Startmodus auf Automatisch eingestellt ist.

4. Wählen Sie in der Navigationsstruktur auf der linken Seite SQL

Server-Netzwerkkonfiguration.

5. Klicken Sie mit der rechten Maustaste auf das Protokoll Named Pipes und klicken Sie auf

Aktiviert.

6. Klicken Sie mit der rechten Maustaste auf das Protokoll TCP/IP und klicken Sie auf

Aktiviert.

7. Klicken Sie außerdem mit der rechten Maustaste auf das Protokoll TCP/IP und klicken

Sie auf Eigenschaften. Belassen Sie in der Registerkarte IP-Adressen unter IPAlll das

Feld Dynamische TCP-Ports leer. Geben Sie im Feld TCP Port 1433 ein.

8. Starten Sie die SQL-Dienste neu.

Administratorhilfe

2.4.5 Erstellen einer Windows Firewall Regel auf Windows Server

Dieser Abschnitt bezieht sich auf Microsoft Windows Server 2008 (R2) mit Microsoft SQL

Server 2012 Standard oder Express Edition. Wenn Sie diese Konfiguration verwenden, führen

Sie die nachfolgend angegebenen Schritte aus um sicherzustellen, dass eine Verbindung zwischen der SafeGuard Enterprise Datenbank und dem SafeGuard Management Center hergestellt werden kann.

1. Klicken Sie auf dem Computer, der als Host für die SQL Server Instanz dient, auf Start, wählen Sie Verwaltung und klicken Sie dann auf Windows-Firewall mit erweiterter

Sicherheit.

2. Wählen Sie in der Navigationsstruktur auf der linken Seite Eingehende Regeln.

3. Klicken Sie in der Menüleiste auf Aktion und dann auf Neue Regel. Der Assistent für

neue eingehende Regeln wird gestartet.

4. Wählen Sie auf der Regeltyp Seite Benutzerdefiniert und klicken Sie auf Weiter.

5. Wählen Sie auf der Programm Seite die Programme und Dienste, auf die diese Regel angewendet werden soll. Klicken Sie dann auf Weiter.

6. Wählen Sie auf der Protokolle und Ports Seite TCP als Protokolltyp. Wählen Sie für

Lokaler Port die Option Bestimmte Ports und geben Sie 1433 ein. Wählen Sie für

Remoteport die Option Alle Ports. Klicken Sie auf Weiter.

7. Auf der Bereich Seite können Sie festlegen, dass die Regel nur für den Netzverkehr von oder an die auf dieser Seite angegebenen IP-Adressen gilt. Nehmen Sie die entsprechende

Konfiguration vor und klicken Sie auf Weiter.

8. Wählen Sie auf der Seite Aktion die Option Verbindung zulassen und klicken Sie auf

Weiter.

9. Geben Sie auf der Seite Profil an, wo die Regel angewendet werden soll. Klicken Sie dann auf Weiter.

10. Geben Sie auf der Seite Name einen Namen und eine Beschreibung für Ihre Regel ein und klicken Sie auf Beenden.

2.4.6 Konfigurieren der Windows-Authentisierung für die Anmeldung am

SQL Server

Dieser Abschnitt bezieht sich auf Microsoft Windows Server 2008 mit Microsoft SQL Server

2012 Standard Edition und IIS 7.

Um die Kommunikation zwischen dem SafeGuard Enterprise Server und der SafeGuard

Enterprise Datenbank bei Anwendung der Windows-Authentisierung zu ermöglichen, muss der Benutzer zu einem Mitglied von Active Directory Gruppen gemacht werden. Die

Berechtigungen für lokale Dateien müssen angepasst werden und das SQL Benutzerkonto muss in den Anwendungspool des IIS aufgenommen werden.

1. Wählen Sie Start und dann Ausführen. Geben Sie dsa.msc ein. Öffnen Sie das Active

Directory Users and Computers Snap-in.

2. Klappen Sie in der Navigationsstruktur auf der linken Seite die Domänenstruktur aus und wählen Sie Builtin.

3. Fügen Sie den relevanten Windows-Benutzer zu folgenden Gruppen hinzu: IIS_IUSRS,

Performance Log Users, Performance Monitor Users.

4. Beenden Sie das Snap-in.

5. Klicken Sie im lokalen Dateisystem im Windows Explorer mit der rechten Taste auf den

C:\Windows\Temp Ordner und wählen Sie Eigenschaften. Wählen unter Eigenschaften die Registerkarte Sicherheit.

SafeGuard Enterprise

6. Klicken Sie unter Sicherheit auf Hinzufügen und geben Sie den relevanten

Windows-Benutzernamen im Feld Geben Sie die zu verwendenden Objektnamen ein ein. Klicken Sie auf OK.

7. Klicken Sie unter Sicherheit bei Berechtigungen auf Erweitert. Klicken Sie in der

Berechtigungen Registerkarte des Dialogs Erweiterte Sicherheitseinstellungen für

Temp auf Bearbeiten. Setzen Sie dann im Objekt Dialog die folgenden Berechtigungen auf Zulassen: Ordner auflisten / Daten lesen, Dateien erstellen / Daten schreiben,

Löschen.

8. Klicken Sie auf OK, schließen Sie den Dialog Eigenschaften für Temp und schließen

Sie dann den Windows Explorer.

9. Öffnen Sie den Internet Information Services Manager.

10. Wählen Sie im Bereich Verbindungen auf der linken Seite die Anwendungspools für den relevanten Server-Knoten.

11. Wählen Sie aus der Anwendungspools Liste auf der rechten Seite SGNSRV-Pool.

12. Wählen Sie im Aktionen Bereich auf der linken Seite Erweiterte Einstellungen.

13. Klicken Sie in Erweiterte Einstellungen unter Prozessmodell für die Eigenschaft Identität auf die ... Schaltfläche.

14. Wählen Sie in Identität des Anwendungspools die Option Benutzerdefiniertes Konto und klicken Sie auf Festlegen.

15. Geben Sie in Anmeldeinformationen festlegen den relevanten Windows-Benutzernamen in folgender Form ein: Domäne\<Windows-Benutzername> . Geben Sie das entsprechende Windows-Kennwort ein, bestätigen Sie es und klicken Sie auf OK.

16. Wählen Sie im Bereich Verbindungen auf der linken Seite den relevanten Server-Knoten und klicken Sie im Aktionen Bereich auf Neu starten.

17. Wählen Sie im Bereich Verbindungen auf der linken Seite unter dem relevanten

Server-Knoten unter Sites Standard-Websites die Option SGNSRV.

18. Doppelklicken Sie auf der SGNSRV Homepage auf Authentifizierung.

19. Klicken Sie mit der rechten Maustaste auf Anonyme Authentifizierung und wählen Sie

Bearbeiten.

20. Wählen Sie bei Identität des anonymen Benutzers die Option Bestimmter Benutzer und überprüfen Sie, ob der Benutzername IUSR lautet. Korrigieren Sie ihn, wenn nötig.

21. Klicken Sie auf OK.

Die zusätzliche Konfiguration für die Benutzung eines Windows-Kontos für die Anmeldung am SQL Server ist nun abgeschlossen.

2.4.7 Replikation der SafeGuard Enterprise Datenbank

Zur Optimierung der Performance der SafeGuard Enterprise Datenbank lässt sich diese auf mehrere SQL-Server replizieren.

Dieser Abschnitt beschreibt das Aufsetzen der Replikation für die SafeGuard Enterprise

Datenbank in einer verteilten Umgebung. In der Beschreibung wird davon ausgegangen, dass

Sie bereits Erfahrung mit dem Microsoft SQL Server Replikationsmechanismus haben.

Hinweis: Die Administration sollte nur bei der Master-Datenbank erfolgen, nicht bei replizierten

Datenbanken.

Wichtig:

Die vorgeschlagene Lösung beschreibt nicht die Datenbankreplikation für die Zwecke eines redundanten Failovers, sondern zur Verbesserung der Performance in Multi-Site-Szenarien.

Administratorhilfe

2.4.7.1 Mergereplikation

Die Mergereplikation ist der Vorgang der Verteilung von Daten vom Verleger an die

Abonnenten. Dabei können Verleger und Abonnenten unabhängig voneinander

Aktualisierungen vornehmen und danach einen Merge der Aktualisierungen zwischen den

Standorten durchführen.

Die Mergereplikation erlaubt es verschiedenen Standorten, autonom zu arbeiten und später die Aktualisierungen zu einem einzigen, einheitlichen Ergebnis zusammenzuführen. Der initiale Snapshot wird auf die Abonnenten angewendet. Microsoft SQL Server verfolgt dann die Änderungen an veröffentlichten Daten beim Verleger und bei den Abonnenten nach. Die

Daten werden zwischen den Servern kontinuierlich, zu einem festgelegten Zeitpunkt oder auf

Anforderung synchronisiert. Da Aktualisierungen auf mehr als einem Server ausgeführt werden, sind dieselben Daten möglicherweise vom Verleger und von mindestens einem Abonnenten aktualisiert worden. Daher kann es beim Zusammenführen von Aktualisierungen zu Konflikten kommen.

Die Mergereplikation bietet Standardmöglichkeiten sowie individuelle Möglichkeiten für die

Konfliktlösung, die Sie bei der Konfiguration einer Mergeveröffentlichung definieren können.

Tritt ein Konflikt auf, ruft der Merge-Agent einen Resolver auf. Dieser bestimmt, welche Daten akzeptiert und an andere Standorte verteilt werden.

2.4.7.2 Einrichten der Datenbankreplikation

Der Vorgang des Einrichtens einer Replikation für die SafeGuard Enterprise Datenbank wird am Beispiel von Microsoft SQL Server beschrieben.

Im Beispiel wird SafeGuard Enterprise ausschließlich von der Datenbank in Wien aus administriert. Alle Änderungen werden vom SafeGuard Management Center über den Microsoft

SQL Server Replikationsmechanismus an die Datenbanken in Graz und Linz weitergegeben.

Die von den Client-Computern über die Web Server gemeldeten Änderungen werden ebenfalls

über den Replikationsmechanismus an den Microsoft SQL Server weitergegeben.

SafeGuard Enterprise

2.4.7.2.1 Erzeugen der Master-Datenbank

Legen Sie zunächst die SafeGuard Enterprise Master-Datenbank an. In unserem Beispiel ist dies die Datenbank Wien.

Der Vorgang zum Erzeugen der Master-Datenbank ist mit dem entsprechenden Vorgang für eine SafeGuard Enterprise Installation ohne Replikation identisch.

■ Erzeugen der Master-Datenbank im SafeGuard Management Center

Konfigurationsassistenten.

Für diesen Vorgang muss das SafeGuard Management Center bereits installiert sein. Für

weitere Informationen, siehe Starten der Erstkonfiguration des SafeGuard Management

Center

(Seite 37).

■ Erzeugen Sie die Master-Datenbank mit einem SQL-Skript. Sie finden die Skripts in Ihrer

Produktlieferung.

Dieser Vorgang wird häufig bevorzugt, wenn erweiterte SQL-Berechtigungen während der

SafeGuard Management Konfiguration nicht erwünscht sind. Für weitere Informationen, siehe

Erzeugen der SafeGuard Enterprise Datenbank per Skript

(Seite 27).

2.4.7.2.2 Erzeugen der Replikationsdatenbanken Graz und Linz

Nach dem Einrichten der Master-Datenbank erzeugen Sie die Replikationsdatenbanken. Im

Beispiel haben die Replikationsdatenbanken die Bezeichnungen Graz und Linz.

Hinweis: Datentabellen und EVENT-Tabellen werden in getrennten Datenbanken gehalten.

Ereigniseinträge werden standardmäßig nicht verkettet, so dass die EVENT-Datenbank zur

Administratorhilfe

Erhöhung der Performance auf mehrere SQL-Server repliziert werden kann. Wenn

EVENT-Tabellen verkettet werden, können während der Replikation der Datensätze Probleme auftreten.

So erzeugen Sie die Replikationsdatenbanken neu:

1. Erzeugen Sie eine Veröffentlichung für die Master-Datenbank in der Management-Konsole des SQL Servers.

Eine Veröffentlichung definiert das Daten-Set, das repliziert werden soll.

2. Wählen Sie alle Tabellen, Ansichten und gespeicherten Prozeduren für die Synchronisierung in dieser Veröffentlichung aus.

3. Erstellen Sie die Replikationsdatenbanken, indem Sie ein Abonnement für Graz und ein

Abonnement für Linz erzeugen. Die neuen Datenbanken Graz und Linz erscheinen daraufhin in den Abonnements im SQL Konfigurationsassistenten.

4. Schließen Sie den SQL Konfigurationsassistenten. Die Replikationsüberwachung zeigt, ob der Replikationsmechanismus korrekt läuft.

5. Stellen Sie sicher, dass Sie den korrekten Datenbanknamen in der ersten Zeile des SQL

Skripts eingeben. Verwenden Sie zum Beispiel Graz oder Linz .

6. Erzeugen Sie nochmal die Snapshots mit dem Snapshot Agenten.

Die Replikationsdatenbanken Graz und Linz wurden angelegt.

2.4.7.3 Installieren und Registrieren von SafeGuard Enterprise Servern

Um SafeGuard Enterprise Server auf den Web Servern zu installieren, gehen Sie wie folgt vor.

1. Installieren Sie SafeGuard Enterprise Server auf dem Server WS_1.

2. Installieren Sie SafeGuard Enterprise Server auf dem Server WS_2.

3. Registrieren Sie beide Server im SafeGuard Management Center. Im Menü Extras klicken

Sie auf Konfigurationspakete, und dann auf Server. Auf der Registerkarte Server klicken

Sie auf Hinzufügen.

4. Sie werden dazu aufgefordert, die Serverzertifikate ws_1.cer

und ws_2.cer

hinzuzufügen. Sie finden die Zertifikate im Ordner \Program Files\Sophos\Sophos

SafeGuard\MachCert\ . Die Zertifikate werden benötigt, um die entsprechenden

Konfigurationspakete zu erstellen.

Die SafeGuard Enterprise Server sind installiert und registriert.

2.4.7.4 Erzeugen der Konfigurationspakete für die Datenbank Graz

Erzeugen Sie die Konfigurationspakete für die Datenbank Graz: ein Paket für Server WS_1 für die Kommunikation mit der Datenbank Graz sowie ein Paket für die Verbindung des

SafeGuard Enterprise Clients Graz mit dem Web Service WS_1.

1. Klicken Sie im SafeGuard Management Center im Extras Menü auf Optionen und dann auf Datenbank.

2. Wählen Sie unter Verbindungseinstellungen WS_1 als Datenbankserver und Graz als

Datenbank auf Server. Klicken Sie auf OK.

3. Klicken Sie im Extras Menü auf Konfigurationspakete... und dann auf Server-Pakete.

Wählen Sie den Server WS_1 , den Ausgabepfad und klicken Sie auf Konfigurationspaket

erstellen.

SafeGuard Enterprise

4. Wechseln Sie auf die Registerkarte Pakete für Managed Clients. Klicken Sie auf

Konfigurationspaket hinzufügen und geben Sie einen Namen für das Paket ein. Wählen

Sie unter Primärer Server den korrekten Server, mit dem die SafeGuard Enterprise Clients

Graz verbunden werden sollen ( WS_1 ). Legen Sie den Ausgabepfad fest und klicken Sie auf Konfigurationspaket erstellen.

Die SafeGuard Enterprise Server und Client Konfigurationspakete für die Datenbank Graz werden am definierten Ausgabeort erstellt.

2.4.7.5 Erzeugen der Konfigurationspakete für die Datenbank Linz

Sie müssen die Konfigurationspakete für die Datenbank Linz erzeugen: Ein Paket für Server

WS_2 für die Kommunikation mit der Datenbank Linz sowie ein Paket für die Verbindung des

SafeGuard Enterprise Clients Linz mit dem Web Service WS_2.

1. Klicken Sie im SafeGuard Management Center im Extras Menü auf Optionen und dann auf Datenbank.

2. Wählen Sie unter Verbindungseinstellungen WS_2 als Datenbankserver und Linz als

Datenbank auf Server. Klicken Sie auf OK.

3. Klicken Sie im Menü Extras auf Konfigurationspakete... und dann auf Server-Pakete.

Wählen Sie den Server WS_2 , den Ausgabepfad und klicken Sie auf Konfigurationspaket

erstellen.

4. Wechseln Sie auf die Registerkarte Pakete für Managed Clients. Klicken Sie auf

Konfigurationspaket hinzufügen und geben Sie einen Namen für das Paket ein. Wählen

Sie unter Primärer Server den korrekten Server, mit dem die SafeGuard Enterprise Clients

Linz verbunden werden sollen: WS_2 . Legen Sie den Ausgabepfad fest und klicken Sie auf Konfigurationspaket erstellen. Klicken Sie auf Schließen.

5. Verbinden Sie das SafeGuard Management Center wieder mit der Datenbank Wien: Klicken

Sie im Extras Menü auf Optionen und dann auf Datenbank.

Die SafeGuard Enterprise Server und Client Konfigurationspakete für die Datenbank Linz werden am definierten Ausgabeort erstellt.

2.4.7.6 Installieren der SafeGuard Enterprise Server Konfigurationspakete

1. Installieren Sie das Server-Konfigurationspaket ( ws_1.msi

) auf Web Service WS_1, der mit der Datenbank Graz kommunizieren soll.

2. Installieren Sie das Server-Konfigurationspaket ws_2.msi

auf Web Service WS_2, der mit der Datenbank Linz kommunizieren soll.

3. Testen Sie die Kommunikation zwischen den SafeGuard Enterprise Servern und diesen

Datenbanken: a) Öffnen Sie auf dem Computer, auf dem SafeGuard Enterprise Server installiert ist, den

Internet Information Services (IIS) Manager.

b) Klicken Sie in der Baumstruktur auf Internet Information Services Manager. Klicken

Sie auf Servername, Websites, Standard-Website. Überprüfen Sie, ob die Web-Seite

SGNSRV im Ordner Standard-Web-Seite verfügbar ist.

c) Klicken Sie mit der rechten Maustaste auf SGNSRV und klicken Sie auf Durchsuchen.

Auf der rechten Seite des Fensters wird eine Liste mit möglichen Aktionen angezeigt.

d) Wählen Sie aus dieser Liste die Aktion CheckConnection. Die mögliche Aktion wird auf der rechten Seite des Fensters angezeigt.

e) Um die Verbindung zu prüfen, klicken Sie auf Aufrufen.

Administratorhilfe

Der Verbindungstest war erfolgreich, wenn Sie diese Ausgabe erhalten:

2.4.7.7 Einrichten des Endpoint

Für Informationen zum Installieren der Verschlüsselungssoftware auf Endpoints, siehe Zentrale

Installation der Verschlüsselungssoftware

(Seite 65).

Hinweis: Stellen Sie zum Einrichten der Endpoints sicher, dass Sie nach der Installation das korrekte Konfigurationspaket installieren:

1. Installieren Sie das Client-Konfigurationspaket Graz auf den Endpoints, die mit dem Graz

Server WS_1 verbunden werden sollen.

2. Installieren Sie das Client-Konfigurationspaket Linz auf den Endpoints, die mit dem Linz

Server WS_2 verbunden werden sollen.

2.5 Einrichten des SafeGuard Management Centers

Dieser Abschnitt beschreibt die Installation und Konfiguration des SafeGuard Management

Center.

Das SafeGuard Management Center ist das zentrale Verwaltungswerkzeug für SafeGuard

Enterprise. Installieren Sie es auf den Administrator-Computern, die Sie für die Verwaltung von SafeGuard Enterprise einsetzen möchten. Das SafeGuard Management Center kann auf jedem Rechner im Netzwerk installiert sein, von wo aus auf die SafeGuard Enterprise

Datenbanken zugegriffen werden kann.

Mit datenbankspezifischen Konfigurationen (Multi Tenancy) ermöglicht das SafeGuard

Management Center den Einsatz von SafeGuard Enterprise mit mehreren Datenbanken. Sie können verschiedene SafeGuard Enterprise Datenbanken für unterschiedliche Bereiche (z.

B. Unternehmensstandorte, Organisationseinheiten oder Domänen) einrichten und verwalten.

Um den Verwaltungsaufwand zu reduzieren, können Sie Datenbankkonfigurationen auch in

Dateien exportieren und aus Dateien importieren.

2.5.1 Voraussetzungen

Folgende Voraussetzungen müssen erfüllt sein:

■ Stellen Sie sicher, dass Sie über Windows Administratorrechte verfügen.

■ .NET Framework 4,5 muss installiert sein. Das Programm steht in der SafeGuard Enterprise

Produktlieferung zur Verfügung.

■ Wenn Sie eine neue SafeGuard Enterprise Datenbank während der SafeGuard

Management Center Konfiguration erzeugen wollen, benötigen Sie entsprechende

SQL-Zugriffsberechtigungen, siehe

Datenbankzugriffsrechte

(Seite 22).

2.5.2 Installieren des SafeGuard Management Center

1. Starten Sie SGNManagementCenter.msi aus dem Installationsordner Ihrer Produktlieferung.

Ein Assistent führt Sie durch die notwendigen Schritte.

SafeGuard Enterprise

2. Übernehmen Sie die Standardeinstellungen in den nächsten Dialogen wie folgt. Führen

Sie auf der Installationsart auswählen Seite einen der folgenden Schritte aus:

■ Wenn das SafeGuard Management Center nur eine Datenbank unterstützen soll, wählen Sie eine Installation vom Typ Typisch aus.

■

Mit der Option Angepasst können Sie die Features auswählen, die Sie installieren möchten.

Wenn das SafeGuard Management Center mehrere Datenbanken unterstützen soll

(Multi Tenancy), wählen Sie eine Installation vom Typ Vollständig aus. Für weitere

Informationen, siehe Multi Tenancy Konfigurationen

(Seite 36).

Das SafeGuard Management Center ist installiert. Starten Sie Ihren ggf. Computer neu. Im nächsten Schritt führen Sie die Erstkonfiguration im SafeGuard Management Center durch.

2.5.3 Konfigurieren des SafeGuard Management Center

Der SafeGuard Management Center Konfigurationsassistent unterstützt Sie bei der Definition der grundlegenden SafeGuard Management Center Einstellungen und bei den

Datenbankverbindungen während der initialen Konfiguration. Der Assistent wird automatisch aufgerufen, wenn Sie das SafeGuard Management Center zum ersten Mal nach der Installation starten.

Sie können das SafeGuard Management Center für die Anwendung mit einer oder mehreren

Datenbank (Multi Tenancy) konfigurieren.

Die SafeGuard Management Center Hilfe bietet umfassende Features wie kontextsensitive

Hilfe und Volltext-Suche. Um den vollen Funktionsumfang des Hilfesystems nutzen zu können, muss JavaScript in Ihrem Browser aktiviert sein. Auch wenn JavaScript deaktiviert ist, können

Sie das SafeGuard Management Center Hilfesystem aufrufen und im System navigieren.

Bestimmte Funktionen wie die Volltext-Suche funktionieren dann allerdings nicht.

2.5.3.1 Voraussetzungen

Folgende Voraussetzungen müssen erfüllt sein:

■ Stellen Sie sicher, dass Sie über Windows Administratorrechte verfügen.

■ Halten Sie die folgenden Informationen bereit. Diese erhalten Sie ggf. von Ihrem

SQL-Administrator.

■

SQL Anmeldeinformationen.

Name des SQL Servers, auf dem die SafeGuard Enterprise Datenbank laufen soll.

Name der SafeGuard Enterprise Datenbank, falls diese bereits erzeugt wurde.

2.5.3.2 Multi Tenancy Konfigurationen

Sie können mehrere verschiedene SafeGuard Enterprise Datenbankkonfigurationen für eine

Instanz des SafeGuard Management Center konfigurieren und verwalten. Dies erweist sich vor allem dann als nützlich, wenn Sie verschiedene Konfigurationen für verschiedene Domänen,

Organisationseinheiten oder Unternehmensstandorte einsetzen möchten.

Sie müssen pro Datenbank jeweils eine separate SafeGuard Enterprise Server Instanz einrichten. Jede Datenbank muss dieselbe Version aufweisen. Es ist beispielsweise nicht möglich, SGN 7 Datenbanken und SGN 8 Datenbanken mit einem SGN 8 Management Center zu verwalten.

Administratorhilfe

Zur Vereinfachung der Konfiguration können vorhandene Datenbankkonfigurationen aus einer

Datei importiert werden; neu erstellte Konfigurationen können exportiert und später wieder verwendet werden.

Um das SafeGuard Management Center für Multi Tenancy zu konfigurieren, führen Sie zunächst die initiale Konfiguration und danach weitere spezifische Schritte für die Multi Tenancy

Konfiguration durch.

Hinweis: Die Funktion Multi Tenancy muss über eine Installation vom Typ Vollständig installiert worden sein.

2.5.3.3 Starten der Erstkonfiguration des SafeGuard Management Center

Nach der Installation des SafeGuard Management Center, müssen Sie die Erstkonfiguration durchführen. Die Erstkonfiguration muss sowohl für den Single Tenancy als auch für den Multi

Tenancy Modus ausgeführt werden.

So starten Sie den SafeGuard Management Center Konfigurationsassistenten:

1. Starten Sie das SafeGuard Management Center über das Start Menü. Der

Konfigurationsassistent wird gestartet und führt Sie durch die notwendigen Schritte.

2. Klicken Sie auf der Willkommen Seite auf Weiter.

2.5.3.4 Konfigurieren der Datenbankserver-Verbindung

Zum Speichern aller SafeGuard Enterprise spezifischen Verschlüsselungsrichtlinien und

Einstellungen wird eine Datenbank verwendet. Damit das SafeGuard Management Center mit dem SafeGuard Enterprise Server kommunizieren kann, müssen Sie eine

Authentisierungsmethode für den Zugriff auf die Datenbank festlegen, entweder Windows NT

Authentisierung oder SQL-Authentisierung. Wenn Sie eine Verbindung zum Datenbankserver mit SQL Authentisierung herstellen möchten, stellen Sie sicher, dass Sie die notwendigen

SQL-Anmeldedaten zur Hand haben. Falls notwendig, erhalten Sie diese Informationen von

Ihrem SQL Administrator.

Führen Sie auf der Seite Datenbankserver-Verbindung folgende Schritte aus:

1. Wählen Sie unter Verbindungseinstellungen den SQL-Datenbankserver aus der

Datenbankserver Liste aus. Es werden alle Rechner eines Netzwerks aufgelistet, auf denen ein Microsoft SQL Server installiert ist. Wenn der Server nicht auswählbar ist, tragen

Sie Servername bzw. IP-Adresse mit dem SQL-Instanznamen manuell ein.

2. Aktivieren Sie SSL verwenden, um die Verbindung zwischen SafeGuard Management

Center und SQL-Datenbankserver zu sichern.Wenn Sie Folgende Anmeldeinformationen

für SQL Server Authentisierung anwenden unter Authentisierung auswählen, empfehlen wir dringend, diese Einstellung zu aktivieren, da dadurch der Transport der

SQL-Anmeldedaten verschlüsselt wird. SSL-Verschlüsselung erfordert eine funktionsfähige

SSL-Umgebung auf dem SQL Datenbankserver, die Sie vorab einrichten müssen, siehe

Sichern von Transportverbindungen mit SSL

(Seite 48).

3. Wählen Sie unter Authentisierung die Art der Authentisierung, die für den Zugriff auf die

Datenbankserver-Instanz benutzt werden soll.

■ Aktivieren Sie Windows NT Authentisierung verwenden, um Ihre

Windows-Anmeldedaten zu verwenden.

Hinweis: Verwenden Sie diese Art der Authentisierung, wenn Ihr Computer Teil einer

Domäne ist. In diesem Fall sind jedoch zusätzliche Konfigurationsschritte notwendig, da der Benutzer dazu berechtigt sein muss, eine Verbindung mit der Datenbank

herzustellen, siehe Konfigurieren eines Windows-Benutzerkontos für die Anmeldung am SQL Server

(Seite 23) und Konfigurieren der Windows-Authentisierung für die

Anmeldung am SQL Server (Seite 29).

SafeGuard Enterprise

■ Aktivieren Sie Folgende Anmeldeinformationen für SQL Server Authentisierung

anwenden, um mit den entsprechenden SQL-Anmeldeinformationen auf die Datenbank zuzugreifen. Geben Sie die Anmeldeinformationen des SQL-Benutzerkontos ein, das

Ihr SQL-Administrator erstellt hat. Falls notwendig, erhalten Sie diese Informationen von Ihrem SQL Administrator.

Hinweis: Verwenden Sie diese Art der Authentisierung, wenn Ihr Computer keiner

Domäne angehört. Aktivieren Sie SSL verwenden, um die Verbindung zum und vom

Datenbankserver zu sichern.

4. Klicken Sie auf Weiter.

Die Verbindung zum Datenbankserver ist hergestellt.

2.5.3.5 Erstellen oder Auswählen einer Datenbank

Auf der Seite Datenbankeinstellungen können Sie entweder eine neue Datenbank erzeugen oder eine bestehende verwenden. Wenn die Datenbank bereits über SQL-Skripts erstellt wurde, wählt der Assistent automatisch die bestehende Datenbank aus. In diesem Fall ist keine weitere Konfiguration erforderlich.

Wenn die Datenbank noch nicht erstellt wurde, gehen Sie wie folgt vor:

1. Wählen Sie Eine neue Datenbank mit folgendem Namen erstellen und geben Sie einen

Namen für die neue Datenbank ein. Sie benötigen dazu die entsprechenden

SQL-Zugriffsberechtigungen, siehe Datenbankzugriffsrechte

(Seite 22). Um Probleme zu vermeiden, sollten in SafeGuard Enterprise Datenbanknamen nur folgende Zeichen verwendet werden: Buchstaben (A - Z, a - z), Zahlen (0 - 9), Unterstriche (_).

2. Klicken Sie auf Weiter.

2.5.3.6 Definieren der Active Directory-Authentifizierung

Bevor Sie eine neue Datenbank erstellen können Sie alle für die Verbindung mit Active

Directory nötigen Einstellungen vornehmen. In diesem Schritt definieren Sie den Servernamen und die Anmeldeinformationen.

Wir empfehlen, die Anmeldeinformationen für Active Directory an dieser Stelle anzugeben damit die grundlegende Active Directory Struktur automatisch importiert werden kann. Dieser

Import beinhaltet alle Container wie Organisationseinheiten und Gruppen, die mit der

SafeGuard Enterprise Datenbank synchronisiert werden. Bei diesem initialen Import werden keine Benutzer und Computer importiert, aber es werden alle Schlüssel erstellt und den entsprechenden Containern zugewiesen. Nach dem Import kann der Administrator Richtlinien unterschiedlichen Containern zuweisen ohne eine komplette AD-Synchronisierung durchzuführen. Computer und Benutzer erhalten ihre Richtlinien sobald sie am SGN Server registriert sind.

Wenn Sie noch keine Anmeldeinformationen haben, können Sie diesen Schritt auch

überspringen und den Active Directory Import später manuell konfigurieren.

Hinweis: Für größere Unternehmen mit komplexen AD-Strukturen sowie für die Bearbeitung von entfernten, geänderten oder verschobenen Objekten müssen Sie den Assistenten für die

LDAP-Authentisierung verwenden, siehe

Importieren einer Active Directory Struktur

(Seite

44).

1. Geben Sie auf der Seite Active Directory Authentifizierung den Servernamen oder die

IP-Adresse ein.

2. Wir empfehlen die Verwendung von SSL für die Sicherung der Verbindung zwischen

SafeGuard Enterprise Server und Endpoints.

Administratorhilfe

3. Definieren Sie Ihre Anmeldeinformationen.

4. Klicken Sie auf Weiter.

Nachdem die SafeGuard Enterprise Datenbank erstellt und der Konfigurationsassistent abgeschlossen ist, wird die grundlegende Struktur des angegebenen Verzeichnisses in die

Datenbank importiert. Alle benötigten Schlüssel werden erstellt und den entsprechenden

Containern zugewiesen.

2.5.3.7 Erstellen eines Haupt-Sicherheitsbeauftragten (Master Security Officer, MSO)

Als Sicherheitsbeauftragter melden Sie sich am SafeGuard Management Center an, um

SafeGuard Enterprise Richtlinien zu erstellen und die Verschlüsselungssoftware für die

Endbenutzer zu konfigurieren.

Der Haupt-Sicherheitsbeauftragte (MSO) ist der Administrator höchster Ebene mit allen

Rechten und einem Zertifikat, das nicht abläuft.

1. Geben Sie auf der Seite Daten des Sicherheitsbeauftragten unter

Haupt-Sicherheitsbeauftragten-ID einen Namen für den Haupt-Sicherheitsbeauftragten ein, zum Beispiel MSO .

2. Führen Sie auf der Seite Zertifikat für den Haupt-Sicherheitsbeauftragten einen der folgenden Schritte aus:

■

Zertifikat des Haupt-Sicherheitsbeauftragten erzeugen (Seite 39)

Import des Zertifikats des Haupt-Sicherheitsbeauftragten

(Seite 39)

Export des Zertifikats des Haupt-Sicherheitsbeauftragten (Seite 40)

2.5.3.7.1 Zertifikat des Haupt-Sicherheitsbeauftragten erzeugen

In Zertifikat des Haupt-Sicherheitsbeauftragten erzeugen erzeugen Sie ein Kennwort für den persönlichen Zertifikatspeicher. Der SafeGuard Enterprise Zertifikatspeicher ist ein virtueller Speicher für SafeGuard Enterprise Zertifikate. Dieser Speicher hat keine

Auswirkungen auf Microsoft-Funktionen. Das in diesem Schritt definierte Kennwort ist das

Kennwort, das später für die Anmeldung am Management Center verwendet wird.

1. Bestätigen Sie unter Haupt-Sicherheitsbeauftragten-ID den Namen des

Haupt-Sicherheitsbeauftragten.

2. Geben Sie nun zweimal ein Kennwort für den Zertifikatspeicher ein und klicken Sie auf

OK.

Das Zertifikat des Haupt-Sicherheitsbeauftragten wird erzeugt und lokal gespeichert

(<mso_name>.cer).

Hinweis: Notieren Sie sich das Kennwort und bewahren Sie es an einem sicheren Ort auf.

Sie benötigen es für die Anmeldung am SafeGuard Management Center.

2.5.3.7.2 Import des Zertifikats des Haupt-Sicherheitsbeauftragten

Wenn bereits ein Zertifikat eines Haupt-Sicherheitsbeauftragten zur Verfügung steht, müssen

Sie es in den Zertifikatsspeicher importieren.

Hinweis: Ein Zertifikat kann nicht aus einer Microsoft PKI importiert werden. Ein importiertes

Zertifikat muss minimal 1024 Bits haben und kann maximal 4096 Bits lang sein. Wir empfehlen ein Zertifikat mit mindestens 2048 Bit.

1. Klicken Sie unter Authentisierungs-Schlüsseldatei importieren auf die [...] Schaltfläche und wählen Sie die Schlüsseldatei aus.

2. Geben Sie das Kennwort der Schlüsseldatei ein.

3. Geben Sie das Kennwort für den Zertifikatsspeicher ein.

4. Bestätigen Sie das Kennwort für den Zertifikatsspeicher.

SafeGuard Enterprise

5. Klicken Sie auf OK.

Zertifikat und privater Schlüssel befinden sich nun im Zertifikatsspeicher. Zur Anmeldung an das SafeGuard Management Center wird das Kennwort des Zertifikatsspeichers verwendet.

2.5.3.7.3 Export des Zertifikats des Haupt-Sicherheitsbeauftragten

Das MSO-Zertifikat wird in eine private Schlüsseldatei (P12) exportiert. Definieren Sie unter

Zertifikat exportieren ein Kennwort zum Schutz der privaten Schlüsseldatei. Die private

Schlüsseldatei wird für die Wiederherstellung einer beschädigten SafeGuard Management

Center Installation benötigt.

So exportieren Sie das Zertifikat eines Haupt-Sicherheitsbeauftragten:

1. Geben Sie unter Zertifikat exportieren ein Kennwort für den privaten Schlüssel (P12-Datei) ein und bestätigen Sie es. Das Kennwort muss aus 8 alphanumerischen Zeichen bestehen.

2. Klicken Sie auf OK.

3. Geben Sie einen Speicherort für die private Schlüsseldatei ein.

Die private Schlüsseldatei wird erzeugt und die Datei wird am angegebenen Speicherort gespeichert <mso_name.p12).

Wichtig: Erstellen Sie eine Sicherungskopie des privaten Schlüssels (P12-Datei) und legen

Sie diese direkt nach der Erstkonfiguration an einem sicheren Speicherort ab. Andernfalls führt ein eventueller PC-Absturz zum Verlust des Schlüssels und SafeGuard Enterprise muss neu installiert werden. Das gilt für alle von SafeGuard Enterprise generierten

Sicherheitsbeauftragten-Zertifikate.

Sobald das Zertifikat für den Sicherheitsbeauftragten exportiert ist und der Zertifikatspeicher und der Sicherheitsbeauftragte angelegt sind, fährt der Assistent mit dem Erstellen des

Unternehmenszertifikats fort.

2.5.3.8 Erzeugen des Unternehmenszertifikats

Mit dem Unternehmenszertifikat lassen sich unterschiedliche SafeGuard Management Center

Installationen auseinander halten. In Verbindung mit dem Zertifikat des

Haupt-Sicherheitsbeauftragten lässt sich mit dem Unternehmenszertifikat eine beschädigte

SafeGuard Enterprise Datenbankkonfiguration wiederherstellen.

1. Wählen Sie auf der Seite Unternehmenszertifikat die Option Neues

Unternehmenszertifikat erzeugen.

2. Geben Sie den Namen Ihres Unternehmens ein.

Hinweis: Von SafeGuard Enterprise erzeugte Zertifikate, zum Beispiel Unternehmens-,

Maschinen-, Sicherheitsbeauftragten- und Benutzerzertifikate, sind bei einer Erstinstallation standardmäßig zur Erweiterung der Sicherheit mit dem Hash-Algorithmus SHA-256 signiert.

Bei Endpoints mit älteren Version von SafeGuard Enterprise als 6.1 müssen Sie unter

Hash-Algorithmus für erzeugte Zertifikate den Algorithmus SHA-1 auswählen. Für weitere Informationen, siehe

Ändern des Algorithmus für selbst-signierte Zertifikate

(Seite

297).

3. Klicken Sie auf Weiter.

Das neu angelegte Unternehmenszertifikat wird in der Datenbank gespeichert.

Erstellen Sie eine Sicherungskopie des Unternehmenszertifikats und legen Sie diese direkt nach der Erstkonfiguration an einem sicheren Speicherort ab.

Für Informationen zum Wiederherstellen einer beschädigten Datenbankkonfiguration, siehe

Reparieren einer beschädigten Datenbankkonfiguration

(Seite 46).

Administratorhilfe

2.5.3.9 Abschließen der Erstkonfiguration des SafeGuard Management Centers

1. Klicken Sie auf Beenden, um die Erstkonfiguration des SafeGuard Management Centers abzuschließen.

Eine Konfigurationsdatei wird erstellt.

Ergebnis:

■

Eine Verbindung zum SafeGuard Enterprise Server.

■

Eine SafeGuard Enterprise Datenbank.

■

Ein Haupt-Sicherheitsbeauftragten-Konto für die Anmeldung an das SafeGuard

Management Center.

■

Alle notwendigen Zertifikate für die Wiederherstellung einer beschädigten

Datenbankkonfiguration oder SafeGuard Management Center Installation

Sobald der Konfigurationsassistent geschlossen ist, wird das SafeGuard Management Center gestartet.

2.5.4 Erstellen weiterer Datenbankkonfigurationen (Multi Tenancy)

Voraussetzung: Die Funktion Multi Tenancy muss über eine Installation vom Typ Vollständig installiert worden sein. Die initiale Konfiguration des SafeGuard Management Center muss durchgeführt worden sein, siehe

Starten der Erstkonfiguration des SafeGuard Management

Center (Seite 37).

Hinweis: Sie müssen pro Datenbank jeweils eine separate SafeGuard Enterprise Server

Instanz einrichten.

So erstellen Sie eine weitere SafeGuard Enterprise Datenbankkonfiguration nach der

Erstkonfiguration:

1. Starten Sie das SafeGuard Management Center. Der Dialog Konfiguration auswählen wird angezeigt.

2. Klicken Sie auf Neu. Der SafeGuard Management Center Konfigurationsassistent wird automatisch gestartet.

3. Der Assistent führt Sie durch die notwendigen Schritte für das Anlegen einer neuen

Datenbankkonfiguration. Wählen Sie die gewünschten Optionen. Die neue

Datenbankkonfiguration wird generiert.

4. Zur Authentisierung werden Sie dazu aufgefordert, den Sicherheitsbeauftragtennamen für diese Konfiguration auszuwählen und das entsprechende Zertifikatsspeicherkennwort einzugeben. Klicken Sie auf OK.

Das SafeGuard Management Center wird geöffnet und mit der ausgewählten

Datenbankkonfiguration verbunden. Beim nächsten Start des SafeGuard Management Center kann die neue Datenbankkonfiguration aus der Liste ausgewählt werden.

Hinweis: Weitere Informationen zu Multi Tenancy finden Sie unter

Mit mehreren

Datenbankkonfigurationen arbeiten (Multi Tenancy) (Seite 247).

SafeGuard Enterprise

2.5.5 Konfigurieren zusätzlicher Instanzen des SafeGuard Management

Center

Sie können zusätzliche Instanzen des SafeGuard Management Center konfigurieren, um

Sicherheitsbeauftragten den Zugriff für die Durchführung administrativer Aufgaben auf verschiedenen Computern zu ermöglichen. Das SafeGuard Management Center kann auf jedem Rechner im Netzwerk installiert sein, von wo aus auf die Datenbank zugegriffen werden kann.

SafeGuard Enterprise verwaltet die Zugriffsrechte auf das SafeGuard Management Center in einem eigenen Zertifikatsverzeichnis. In diesem Verzeichnis müssen die Zertifikate aller

Sicherheitsbeauftragten, die sich am SafeGuard Management Center anmelden dürfen, vorhanden sein. Für die Anmeldung an das SafeGuard Management Center ist dann nur das

Kennwort für den Zertifikatsspeicher erforderlich.

1. Installieren Sie SGNManagementCenter.msi mit den gewünschten Features auf einem weiteren Computer.

2. Starten Sie das SafeGuard Management Center auf dem Administratorcomputer. Der

Konfigurationsassistent wird gestartet und führt Sie durch die notwendigen Schritte.

3. Klicken Sie auf der Willkommen Seite auf Weiter.

4. Wählen Sie im Dialog Datenbankverbindung unter Datenbankserver die erforderliche

SQL-Datenbankinstanz aus der Liste aus. Alle auf Ihrem Computer oder Netzwerk verfügbaren Datenbankserver werden angezeigt. Wählen Sie unter Authentisierung die

Art der Authentisierung, die für den Zugriff auf diese Datenbankinstanz benutzt werden soll. Wenn Sie Folgende Anmeldeinformationen für SQL Server Authentisierung

anwenden wählen, geben Sie die SQL-Benutzerkontenanmeldedaten ein, die Ihr

SQL-Administrator erstellt hat. Klicken Sie auf Weiter.

5. Aktivieren Sie auf der Seite Datenbankeinstellungen die Option Folgende bestehende

Datenbank verwenden und wählen Sie die Datenbank aus der Liste aus. Klicken Sie auf

Weiter.

6. Wählen Sie unter SafeGuard Management Center Authentisierung eine autorisierte

Person aus der Liste aus. Wenn Multi Tenancy aktiviert ist, zeigt der Dialog an, an welcher

Konfiguration sich der Benutzer anmeldet. Geben Sie das Kennwort für den

Zertifikatsspeicher ein und bestätigen Sie es.

Der Zertifikatsspeicher für das aktuelle Benutzerkonto wird angelegt und ist durch dieses abgesichert. Für die nachfolgenden Anmeldungen benötigen Sie nur noch dieses Kennwort.

7. Klicken Sie auf OK.

Eine Meldung, dass Zertifikat und privater Schlüssel nicht gefunden bzw. nicht darauf zugegriffen werden kann, wird angezeigt.

8. Klicken Sie zum Importieren der Daten auf Ja und dann auf OK. Dadurch wird der

Importvorgang gestartet.

9. Klicken Sie unter Authentisierungs-Schlüsseldatei importieren auf die [...] Schaltfläche und wählen Sie die Schlüsseldatei aus. Geben Sie das Kennwort der Schlüsseldatei ein. Geben Sie das zuvor unter Kennwort des Zertifikatsspeichers oder Token-PIN definierte Kennwort für den Zertifikatsspeicher ein. Wählen Sie In den Zertifikatsspeicher

importieren oder Auf den Token kopieren, um das Zertifikat auf einem Token zu speichern.

10. Geben Sie zur Initialisierung des Zertifikatsspeichers das Kennwort noch einmal ein.

Zertifikat und privater Schlüssel befinden sich nun im Zertifikatsspeicher. Zur Anmeldung an das SafeGuard Management Center wird das Kennwort des Zertifikatsspeichers verwendet.

Administratorhilfe

2.5.6 Anmelden am SafeGuard Management Center

Die Anmeldung richtet sich danach, ob Sie das SafeGuard Management Center im Single

Tenancy Modus oder im Multi Tenancy Modus einsetzen.

2.5.6.1 Anmeldung im Single Tenancy Modus

1. Starten Sie das SafeGuard Management Center über das Start-Menü. Ein

Anmeldebildschirm wird angezeigt.

2. Melden Sie sich als Haupt-Sicherheitsbeauftragter an und geben Sie das

Zertifikatsspeicherkennwort ein, das während der Konfiguration festgelegt wurde. Klicken

Sie auf OK.

Das SafeGuard Management Center wird gestartet.

Hinweis: Wenn Sie ein falsches Kennwort eingeben, wird eine Fehlermeldung angezeigt und die nächste Anmeldung wird verzögert. Diese Verzögerung wird mit jedem fehlgeschlagenen Anmeldeversuch größer. Fehlgeschlagene Anmeldeversuche werden protokolliert.

2.5.6.2 Anmeldung im Multi Tenancy Modus

1. Starten Sie das SafeGuard Management Center über das Start-Menü. Der Dialog

Konfiguration auswählen wird angezeigt.

2. Wählen Sie die Datenbankkonfiguration aus, die Sie verwenden möchten, und klicken Sie auf OK. Die ausgewählte Datenbankkonfiguration wird mit dem SafeGuard Management

Center verbunden und wird aktiv.

3. Sie werden dazu aufgefordert, den Sicherheitsbeauftragtennamen für diese Konfiguration auszuwählen und das entsprechende Zertifikatsspeicherkennwort einzugeben. Klicken

Sie auf OK.

Das SafeGuard Management Center wird geöffnet und mit der ausgewählten

Datenbankkonfiguration verbunden.

2.5.7 Einrichten der Organisationsstruktur im SafeGuard Management

Center

Es gibt zwei Möglichkeiten, Ihre Organisation in SafeGuard Enterprise abzubilden:

■ Directory Service importieren, z. B.: Active Directory

Während der Synchronisierung mit dem Active Directory werden Objekte (z. B. Computer,

Benutzer und Gruppen) in das SafeGuard Management Center importiert und in der

SafeGuard Enterprise Datenbank gespeichert.

■ Organisationsstruktur manuell aufbauen

Steht kein Directory Service zur Verfügung oder gibt es nur wenige Organisationseinheiten, so dass kein Directory Service benötigt wird, können Sie neue Domänen/Arbeitsgruppen anlegen, an denen sich der Benutzer/Computer anmelden kann.

SafeGuard Enterprise

Sie können entweder nur eine von beiden Möglichkeiten anwenden, oder die beiden

Möglichkeiten mischen. Zum Beispiel können Sie ein Active Directory (AD) ganz oder teilweise importieren und weitere Organisationseinheiten (OU) manuell anlegen.

Hinweis: Bei der Kombination beider Verfahren werden die manuell angelegten

Organisationseinheiten nicht im AD abgebildet. Wenn in SafeGuard Enterprise angelegte

Organisationseinheiten im AD abgebildet werden sollen, so müssen Sie diese separat zum

AD hinzufügen.

Weitere Informationen zum Importieren oder Anlegen einer Organisationsstruktur finden Sie unter

Verwalten der Organisationsstruktur (Seite 282).

2.5.7.1 Importieren einer Active Directory Struktur

Hinweis: Ein initialer Import wird durch den SafeGuard Management Center

Konfigurationsassistenten gestartet, siehe Definieren der Active Directory-Authentifizierung

(Seite 38).

Mit SafeGuard Enterprise können Sie eine Active Directory Struktur ins SafeGuard

Management Center importieren. Während der Synchronisierung mit dem Active Directory werden Objekte wie Computer, Benutzer und Gruppen in das SafeGuard Management Center importiert. Alle Daten werden in der SafeGuard Enterprise Datenbank gespeichert.

So konfigurieren Sie Active Directory:

1. Öffnen Sie das SafeGuard Management Center.

2. Geben Sie zur Authentisierung das Kennwort ein, das für den Zertifikatspeicher definiert wurde.

3. Wählen Sie unten links Benutzer und Computer.

4. Wählen Sie oben links Stamm [Filter ist aktiv].

5. Wählen Sie im rechten Fensterbereich die Registerkarte Synchronisieren aus. Der

Assistent für die LDAP-Authentisierung startet automatisch.

6. Geben Sie im Assistenten für die LDAP-Authentisierung Ihre Anmeldeinformationen ein, die Sie für die Synchronisierung verwenden wollen, und definieren Sie den Servernamen und die IP-Adresse des Domain Controllers. Der Benutzername muss das Format

Benutzer@Domain haben um Konflikte mit dem NetBIOS-Domänennamen zu vermeiden.

7. Sobald die Verbindung zum Verzeichnis erfolgreich hergestellt wurde, zeigt das Feld

Verzeichnis DSN die Domänen-Information. Klicken Sie auf das Lupen-Symbol, um das

Active Directory zu auszulesen.

8. Wenn der Auslesevorgang abgeschlossen ist, wird die Domänen-Struktur im mittleren

Fensterbereich angezeigt. Wählen Sie die Organisationseinheiten, die Sie in SafeGuard

Enterprise importieren möchten. Es können keine einzelnen Computer, Gruppen oder

Benutzer ausgewählt werden. Sie können jedoch Organisationseinheiten auswählen.

9. Wählen Sie, ob Active Directory Gruppenmitgliedschaften mit dem SafeGuard Management

Center synchronisiert werden sollen. Der Import von Gruppenmitgliedschaften kann

übersprungen werden, indem Sie das Kontrollkästchen Synchronisiere Mitgliedschaften deselektieren. Der Verzicht auf Import und Synchronisierung von Gruppenmitgliedschaften wirkt sich positiv auf die Performance des Management Centers aus, besonders bei großen

AD-Strukturen.

Standardmäßig erstellt SafeGuard Enterprise einen Schlüssel für alle Container,

Organisationseinheiten (OU) und Domänenobjekte, die Sie importieren. Das Erstellen der

Schlüssel kann einige Zeit in Anspruch nehmen. Deshalb empfehlen wir, besonders beim

Import einer großen Umgebung, das Erstellen der Schlüssel für Gruppen nicht zu aktivieren, wenn nicht erforderlich.

Administratorhilfe

10. Klicken Sie zum Starten der Synchronisierung auf Synchronisieren. Nun werden die

Detailinformationen aus dem Active Directory eingelesen. Am Ende der Synchronisierung wird eine Übersicht über alle Änderungen angezeigt.

11. Klicken Sie auf OK, um alle Änderungen in die SafeGuard Enterprise Datenbank zu schreiben.

Wenn der Vorgang abgeschlossen ist, wird die Domänen-Struktur im linken Fensterbereich angezeigt. Der Import des Active Directory ins SafeGuard Management Center ist nun abgeschlossen.

2.5.8 Importieren der Lizenzdatei

SafeGuard Enterprise hat einen integrierten Lizenzzähler. Wenn Sie das Produkt herunterladen, können Sie eine Testlizenzdatei herunterladen. Diese Testlizenz enthält fünf Lizenzen für jedes Modul und muss ins SafeGuard Management Center importiert werden. Dadurch soll eine problemlose Evaluierung von anderen SafeGuard Enterprise Komponenten ohne

Nebeneffekte gewährleistet werden. Beim Kauf von SafeGuard Enterprise enthält jeder Kunde eine individuelle Lizenzdatei für das jeweilige Unternehmen, die in das SafeGuard Management

Center importiert werden muss.

Für weitere Informationen, siehe

Lizenzen

(Seite 303).

2.5.9 So reparieren Sie eine beschädigte Management Center Installation:

Eine beschädigte Installation des SafeGuard Management Center kann repariert werden wenn die Datenbank intakt ist. Installieren Sie in diesem Fall das SafeGuard Management

Center neu und verwenden Sie dabei die bestehende Datenbank sowie das gesicherte

Zertifikat für den Haupt-Sicherheitsbeauftragten.

■ Das Unternehmenszertifikat und das Haupt-Sicherheitsbeauftragten-Zertifikat der betreffenden Datenbankkonfiguration müssen als .p12 Dateien exportiert worden sein.

Die Dateien müssen verfügbar und gültig sein.

■ Die Kennwörter für die .p12 Dateien sowie für den Zertifikatsspeicher müssen Ihnen bekannt sein.

So reparieren Sie eine beschädigte SafeGuard Management Center Installation:

1. Installieren Sie das SafeGuard Management Center Installationspaket neu. Öffnen Sie das SafeGuard Management Center. Der Konfigurationsassistent wird automatisch geöffnet.

2. Wählen Sie unter Datenbankverbindung den relevanten Datenbankserver und konfigurieren Sie, falls erforderlich, die Verbindung zur Datenbank. Klicken Sie auf Weiter.

3. Aktivieren Sie unter Datenbankeinstellungen die Option Folgende bestehende

Datenbank verwenden und wählen Sie die Datenbank aus der Liste aus.

4. Führen Sie unter Daten des Sicherheitsbeauftragten einen der folgenden Schritte aus:

■ Wenn die gesicherte Zertifikatsdatei auf dem Computer gefunden wird, wird sie angezeigt. Geben Sie das Kennwort ein, das Sie zur Anmeldung an das SafeGuard

Management Center benutzen.

■ Wird die gesicherte Zertifikatsdatei nicht auf dem Computer gefunden, wählen Sie

Importieren. Suchen Sie nach der gesicherten Zertifikatsdatei und klicken Sie auf

Öffnen. Geben Sie das Kennwort für die Zertifikatsdatei ein. Klicken Sie auf Ja. Geben

Sie ein Kennwort für die Anmeldung am SafeGuard Management Center ein und bestätigen Sie es.

SafeGuard Enterprise

5. Klicken Sie auf Weiter und dann auf Fertig stellen, um die Konfiguration des SafeGuard

Management Center abzuschließen.

Die SafeGuard Management Center Installation ist repariert.

2.5.10 Reparieren einer beschädigten Datenbankkonfiguration

Sie können eine beschädigte Datenbankkonfiguration reparieren, indem Sie das SafeGuard

Management Center neu installieren und basierend auf den gesicherten Zertifikatsdateien eine neue Instanz der Datenbank erstellen. Dadurch wird sichergestellt, dass alle vorhandenen

SafeGuard Enterprise Endpoints Richtlinien von der neuen Installation annehmen.

■ Das Unternehmenszertifikat und das Haupt-Sicherheitsbeauftragten-Zertifikat der betreffenden Datenbankkonfiguration müssen als .p12 Dateien exportiert worden sein.

Die Dateien müssen verfügbar und gültig sein.

■ Die Kennwörter für die beiden .p12 Dateien sowie für den Zertifikatsspeicher müssen Ihnen bekannt sein.

Hinweis: Dieses Verfahren ist nur dann zu empfehlen, wenn keine gültige Sicherungskopie der Datenbank verfügbar ist. Alle Computer, die mit einem reparierten Backend verbunden werden, verlieren ihre Benutzer-Computer Zuordnung. Infolgedessen wird die Power-on

Authentication vorübergehend abgeschaltet. Challenge/Response-Mechanismen stehen erst dann wieder zur Verfügung, wenn der entsprechende Endpoint seine Schlüsselinformationen wieder erfolgreich übertragen hat.

So reparieren Sie eine beschädigte Datenbankkonfiguration:

1. Installieren Sie das SafeGuard Management Center Installationspaket neu. Öffnen Sie das SafeGuard Management Center. Der Konfigurationsassistent wird automatisch geöffnet.

2. Wählen Sie unter Datenbank-Verbindung die Option Neue Datenbank erstellen.

Konfigurieren Sie unter Datenbankeinstellungen die Verbindung zur Datenbank. Klicken

Sie auf Weiter.

3. Wählen Sie unter Daten des Sicherheitsbeauftragten den relevanten

Haupt-Sicherheitsbeauftragten und klicken Sie auf Importieren.

4. Suchen Sie unter Importieren des Zertifikats die gesicherte Zertifikatsdatei. Geben Sie unter Schlüsseldatei das für diese Datei festgelegte Kennwort ein und bestätigen Sie es.

Klicken Sie auf OK.

5. Das Zertifikat des Haupt-Sicherheitsbeauftragten wird importiert. Klicken Sie auf Weiter.

6. Aktivieren Sie unter Unternehmenszertifikat die Option Über vorhandenes

Unternehmenszertifikat wiederherstellen. Klicken Sie auf Importieren, um die gesicherte

Zertifikatsdatei auszuwählen, die das gültige Unternehmenszertifikat enthält. Sie werden aufgefordert, das für den Zertifikatsspeicher definierte Kennwort einzugeben. Geben Sie das Kennwort ein und klicken Sie auf OK. Klicken Sie im Willkommen-Fenster auf Weiter.

Das Unternehmenszertifikat wird importiert.

7. Klicken Sie auf Weiter, dann auf Beenden.

Die Datenbankkonfiguration ist repariert.

Administratorhilfe

2.6 Testen der Kommunikation

Wenn SafeGuard Enterprise Server, die Datenbank und das Management Center eingerichtet sind, empfehlen wir, einen Verbindungstest durchführen. Dieser Abschnitt enthält die

Voraussetzungen und die benötigten Einstellungen für den Verbindungstest.

2.6.1 Ports/Verbindungen

Die Endpoints müssen folgende Verbindungen aufbauen:

SafeGuard Endpoint

Verbindung zu

Port

SafeGuard Enterprise Server

Port 443 bei Benutzung der SSL Transportverbindung

Port 80/TCP

Das SafeGuard Management Center muss folgende Verbindungen aufbauen:

SafeGuard Management

Center Verbindung zu

SQL Datenbank

Port

Active Directory

SLDAP

SQL Server 2012 dynamischer Port: Port 1433/TCP und Port 1434/TCP

Port 389/TCP

Port 636 für den Active Directory Import

Der SafeGuard Enterprise Server muss folgende Verbindungen aufbauen:

SafeGuard Enterprise Server

Verbindung zu

Port

SQL Datenbank

Port 1433/TCP und Port 1434/TCP für SQL 2012 (Express) dynamischer

Port

Active Directory Port 389/TCP

2.6.2 Authentisierungsmethode

1. Öffnen Sie auf dem Computer, auf dem SafeGuard Enterprise Server installiert ist, den

Internet Information Services (IIS) Manager.

SafeGuard Enterprise

2. Wählen Sie in der Baumstruktur den relevanten Server und klicken Sie Sites >

Standardwebsite> SGNSRV.

3. Doppelklicken Sie unter IIS auf das Symbol Authentifizierung und prüfen Sie folgende

Einstellungen:

■

Setzen Sie Anonyme Authentifizierung auf Aktiviert.

Setzen Sie Windows-Authentifizierung auf Deaktiviert.

2.6.3 Proxyserver-Einstellungen

So definieren Sie Proxyserver-Einstellungen für Webserver und Endpoint:

1. Klicken Sie im Internet Explorer im Extras Menü auf Internetoptionen. Klicken Sie auf

Verbindungen und dann auf LAN-Einstellungen.

2. Deaktivieren Sie in LAN-Einstellungen unter Proxyserver das Kontrollkästchen

Proxyserver für LAN verwenden.

Wenn ein Proxyserver notwendig ist, wählen Sie Proxyserver für lokale Adressen

umgehen.

2.6.4 Verbindung prüfen

1. Öffnen Sie auf dem Computer, auf dem SafeGuard Enterprise Server installiert ist, den

Internet Information Services (IIS) Manager.

2. Wählen Sie in der Baumstruktur den relevanten Server und klicken Sie Sites >

Standardwebsite> SGNSRV.

3. Klicken Sie mit der rechten Maustaste auf SGNSRV, wählen Sie Anwendung verwalten und klicken Sie auf Browse, um die Seite Sophos SafeGuard Web Service zu öffnen.

4. Auf der Seite Sophos SafeGuard Web Service wird eine Liste mit möglichen Aktionen angezeigt. Klicken Sie in dieser Liste auf CheckConnection und dann auf Aufrufen.

Der Verbindungstest war erfolgreich, wenn Sie diese Ausgabe erhalten:

Wenn die Kommunikation zwischen dem SafeGuard Enterprise Client und dem Server nicht richtig funktioniert, lesen Sie im Sophos Knowledgebase-Artikel 109662 nach.

2.7 Sichern von Transportverbindungen mit SSL

SafeGuard Enterprise unterstützt die Verschlüsselung der Transportverbindungen zwischen den einzelnen Komponenten mit SSL. Sie können SSL für die Transportverschlüsselung zwischen folgenden Komponenten verwenden:

■

Datenbankserver <-> SafeGuard Enterprise Server mit IIS

Datenbankserver <-> SafeGuard Management Center

■ SafeGuard Enterprise Server mit IIS <-> verwaltete Endpoints

Hinweis: Alternativ dazu kann die Verbindung zwischen dem SafeGuard Enterprise Server und den von SafeGuard Enterprise verwalteten Endpoints mit SafeGuard-spezifischer

Verschlüsselung verschlüsselt werden. Dies empfiehlt sich jedoch nur für Demo- oder

Test-Setups. Für optimale Sicherheit und Performance empfehlen wir ausdrücklich die

Administratorhilfe

Verwendung von SSL für die Verschlüsselung der Kommunikation. Falls dies nicht möglich ist und die SafeGuard-spezifische Verschlüsselung verwendet wird, so gilt die Obergrenze von 1000 Clients, die eine Verbindung mit einer Serverinstanz herstellen können.

Hinweis: Mac OS X Clients unterstützen nur SSL.

Bevor SSL für SafeGuard Enterprise aktiviert werden kann, muss eine funktionsfähige

SSL-Umgebung eingerichtet werden.

2.7.1 Voraussetzungen

Um die Kommunikation zwischen dem SafeGuard Enterprise Server und dem mit SafeGuard

Enterprise gesicherten Endpoint mit SSL zu sichern, ist ein gültiges Zertifikat notwendig. Sie können die folgenden Typen von Zertifikaten verwenden:

■

Ein selbst-signiertes Zertifikat, siehe Verwenden eines selbst-signierten Zertifikats

(Seite

49).

Ein von einer PKI ausgestelltes Zertifikat mit einem privaten oder öffentlichen

Stammzertifikat, siehe

Verwenden eines PKI-generierten Zertifikats

(Seite 49).

Technisch macht es keinen Unterschied, ob Sie ein Zertifikat mit einem privaten oder

öffentlichen Stammzertifikat verwenden.

Hinweis: Wenn ein von einer PKI erstelltes Zertifikat, aber keine PKI-Infrastruktur verfügbar ist, können Sie das Zertifikat nicht verwenden, um die Kommunikation mit SSL abzusichern.

In diesem Fall müssen Sie eine PKI aufsetzen oder ein selbst-signiertes Zertifikat erstellen.

2.7.1.1 Verwenden eines selbst-signierten Zertifikats

Um ein selbst-signiertes Zertifikat mit SafeGuard Enterprise zu erstellen:

1. Öffnen Sie den Internetinformationsdienste (IIS) Manager auf dem Computer auf dem der

SafeGuard Enterprise Server gehostet wird und überprüfen Sie den Namen des Servers, der am obersten Knoten angezeigt wird.

2. Auf dem Computer, auf dem das SafeGuard Management Center installiert ist, wählen

Sie Programme, Sophos, SafeGuard und SafeGuard Enterprise Zertifikatsverwaltung.

3. Öffnen Sie den SafeGuard Zertifikatspeicher.

4. Verwenden Sie zur Authentisierung dasselbe Kennwort wie für die Anmeldung am

SafeGuard Management Center.

5. Klicken Sie die Schaltfläche Neues Zertifikat erzeugen.

6. Der Zertifikatsname muss dem Computer entsprechen, der im Internetinformationsdienste

(IIS) Manager im obersten Knoten angezeigt wird.

7. Behalten Sie den Standardwert für die Schlüssellänge bei.

8. Definieren Sie ein Kennwort und klicken Sie auf OK.

9. Speichern Sie die .cert und .p12 Dateien an einem Speicherort, der vom Computer erreichbar ist, auf dem der IIS installiert ist.

2.7.1.2 Verwenden eines PKI-generierten Zertifikats

Wollen Sie ein PKI-generiertes Zertifikat für die SSL-Kommunikation verwenden, erstellen

Sie ein Zertifikat für den Computer, auf dem der SafeGuard Enterprise Server läuft. Die folgenden Anforderungen sind gegeben:

■ Der Zertifikatsname muss dem Computer entsprechen, der im Internetinformationsdienste

(IIS) Manager im obersten Knoten angezeigt wird.

SafeGuard Enterprise

■ Der FQDN Name des Computers muss bei der Ausstellung des Zertifikats verwendet werden. Stellen Sie sicher, dass der Client den FQDN per DNS auflösen kann.

Hinweis: Wenn nur ein von einer PKI erstelltes Zertifikat, aber keine PKI Infrastruktur verfügbar ist, können Sie das Zertifikat nicht verwenden, um die Kommunikation mit SSL zu sichern. In diesem Fall müssen Sie eine PKI aufsetzen oder ein selbst-signiertes Zertifikat erstellen.

2.7.2 Einrichten von SSL

Die folgenden allgemeinen Aufgaben müssen für die SSL-Einrichtung auf dem Web Server durchgeführt werden:

■ Certificate Authority muss auf dem Server installiert sein, um die bei der

SSL-Verschlüsselung verwendeten Zertifikate auszustellen.

■ Ein Zertifikat muss ausgestellt und der IIS Server so konfiguriert werden, dass er SSL verwendet und auf das Zertifikat zeigt.

■ Der Servername, den Sie bei der Konfiguration des SafeGuard Enterprise Servers angeben, muss identisch sein mit dem Servernamen, den Sie vorab im SSL-Zertifikat angegeben haben. Sonst können Client und Server nicht miteinander kommunizieren. Für jeden

SafeGuard Enterprise Server wird ein separates SSL-Zertifikat benötigt.

■ Wenn Sie Network Load Balancer einsetzen, vergewissern Sie sich, dass der Portbereich den SSL-Port mit einschließt.

Weitere Informationen erhalten Sie von unserem technischen Support oder hier:

■ support.microsoft.com/de-de/kb/324069

■ support.microsoft.com/de-de/kb/316898

2.7.3 Aktivieren der SSL-Verschlüsselung in SafeGuard Enterprise

So aktivieren Sie die SSL-Verschlüsselung in SafeGuard Enterprise:

■ Verbindung zwischen Web Server und Datenbankserver:

Aktivieren Sie SSL-Verschlüsselung während der Registrierung des SafeGuard Enterprise

Servers im SafeGuard Management Center Konfigurationspakete-Werkzeug. Weitere

Informationen finden Sie unter Konfigurieren der Datenbankserver-Verbindung (Seite 37)

oder im Sophos Knowledgebase-Artikel 109012 .

■ Für die Verbindung zwischen Datenbankserver und SafeGuard Management Center:

Aktivieren Sie die SSL-Verschlüsselung im SafeGuard Management Center

Konfigurationsassistenten, siehe Konfigurieren der Datenbankserver-Verbindung (Seite

37).

■ Verbindung zwischen SafeGuard Enterprise Server und durch SafeGuard Enterprise geschützte Endpoints:

Aktivieren Sie SSL-Verschlüsselung beim Erzeugen des Konfigurationspakets für die verwalteten Endpoints im SafeGuard Management Center Konfigurationspakete-Werkzeug, siehe

Erzeugen eines Konfigurationspakets für zentral verwaltete Computer

(Seite 56).

Nähere Informationen, wie SSL am SafeGuard Enterprise Server und dem durch SafeGuard

Enterprise geschützten Endpoint zu konfigurieren ist, finden Sie unter

Den SafeGuard

Enterprise Server aufsetzen

(Seite 51).

Administratorhilfe

Sie können die SSL-Verschlüsselung für SafeGuard Enterprise während der Erstkonfiguration der SafeGuard Enterprise Komponenten oder zu einem späteren Zeitpunkt einrichten. Erstellen

Sie danach ein neues Konfigurationspaket und installieren Sie es auf dem entsprechenden

Server oder zentral verwalteten Computer.

2.7.4 Den SafeGuard Enterprise Server aufsetzen

Um den SafeGuard Enterprise Server so zu konfigurieren, dass er SSL für die Kommunikation zwischen Server und mit SafeGuard Enterprise geschütztem Endpoint verwendet, führen Sie die folgenden allgemeinen Schritte aus:

1. Installieren Sie das SafeGuard Management Center, siehe auch Installieren des SafeGuard

Management Center (Seite 35).

2. Installieren Sie den SafeGuard Enterprise Server, siehe auch

Installieren von SafeGuard

Enterprise Server

(Seite 20).

3. Testen Sie die Kommunikation zwischen SafeGuard Enterprise Server und der

SQL-Datenbank mit dem Aufruf-Test.

Nachdem Sie diese Konfigurationsschritte erfolgreich abgeschlossen haben, importieren Sie das Zertifikat, das für die SSL Kommunikation verwendet werden soll. Sie können entweder ein selbst-signiertes Zertifikat oder ein bestehendes verwenden. Wenn Sie über eine PKI

Infrastruktur verfügen, können Sie ein PKI-generiertes Zertifikat verwenden.

2.7.5 Konfigurieren eines Endpoints für SSL

Um SSL auf einem mit SafeGuard Enterprise geschützten Endpoint zu verwenden, führen

Sie die folgenden Schritte aus:

1. Weisen Sie dem Client ein Zertifikat zu, siehe

Zuweisen eines Zertifikats (Seite 52).

2. Erstellen Sie ein Client-Konfigurationspaket das SSL beinhaltet, siehe

Erzeugen eines

Konfigurationspakets für zentral verwaltete Computer

(Seite 56).

2.7.6 Konfigurieren der SGNSRV Webseite für SSL

Transportverschlüsselung

Sobald ein gültiges Zertifikat verfügbar ist, gehen Sie wie folgt vor, um die SGNSRV Webseite für eine mit Zertifikat gesicherte Verbindung zu konfigurieren.

Hinweis: Die folgende Beschreibung bezieht sich auf Microsoft Windows Server 2012.

1. Öffnen Sie den Internetinformationsdienste (IIS) Manager.

2. Wählen Sie im Navigationsbereich den Server, der die SGNSRV Webseite hostet.

3. Wählen Sie im rechten Fensterbereich Serverzertifikate aus dem Abschnitt IIS.

4. Wählen Sie im Menü Aktionen auf der rechten Seite die Option Importieren. Der Assistent zum Zertifikate importieren wird geöffnet.

5. Ändern Sie im offenen Dialog die Dateierweiterung zu *.* und navigieren Sie zu dem Ort, wo die .p12 und die .cer Dateien gespeichert sind.

6. Wählen Sie die zuvor erzeugte .p12 Datei aus. Sind die Dateierweiterungen deaktiviert, wählen Sie bitte die Datei mit der Beschreibung "Privater Informationsaustausch".

7. Geben Sie das Kennwort ein und klicken Sie auf OK.

Das Zertifikat ist installiert.

SafeGuard Enterprise

8. Wählen Sie unter Verbindungen im linken Fensterbereich des Internetinformationsdienste

(IIS) Manager den Namen des Servers, auf dem das Zertifikat installiert wurde.

9. Wählen Sie unter Sites die Site, die Sie mit SLL sichern möchten.

10. Wählen Sie im Menü Aktionen auf der rechten Seite die Option Bindungen.

11. Klicken Sie im Dialog Sitebindungen auf Bindung hinzufügen.

12. Wählen Sie bei Typ:https und bei SSL-Zertifikat: das zuvor installierte Zertifikat.

13. Klicken Sie OK und schließen Sie den Dialog Sitebindungen.

14. Wählen Sie im Navigationsbereich den Server und klicken Sie auf Neu starten im Bereich

Aktionen.

2.7.7 Zuweisen eines Zertifikats

Es gibt verschiedene Möglichkeiten, ein Zertifikat einem Endpoint zuzuweisen. Eine davon ist, eine Microsoft Gruppenrichtlinie zu verwenden. Dies wird in diesem Abschnitt beschrieben.

Falls Sie eine andere Methode verwenden wollen, stellen Sie sicher, dass das Zertifikat im

Zertifikatspeicher des lokalen Computers abgelegt ist.

Zuweisen eines Zertifikats mittels Gruppenrichtlinie:

1. Öffnen Sie die Gruppenrichtlinienverwaltung ( gpeditmc.msc

2. Erstellen Sie ein neues Gruppenrichtlinienobjekt (GPO), das die Zertifikatseinstellungen beinhalten soll. Vergewissern Sie sich, dass das GPO mit der Domain, Site oder

Organisationseinheit verbunden ist, deren Benutzer mit der Richtlinie verwaltet werden sollen.

3. Klicken Sie auf das GPO und wählen Sie Bearbeiten.

Der Gruppenrichtlinienverwaltungs-Editor öffnet sich und zeigt den aktuellen Inhalt des

Richtlinienobjekts an.

4. Öffnen Sie im Navigationsbereich Computerkonfiguration > Windows-Einstellungen

> Sicherheitseinstellungen > Richtlinien für öffentliche Schlüssel > Vertrauenswürdige

Herausgeber.

5. Klicken Sie das Aktionen Menü und klicken Sie dann auf Importieren....

6. Folgen Sie den Anweisungen im Zertifikatimport-Assistent um das Zertifikat zu finden und zu importieren.

7. Wenn das Zertifikat selbst-signiert ist und nicht auf ein Zertifikat zurückverfolgt werden kann, das im ZertifikatspeicherVertrauenswürdige Stammzertifizierungsstellen liegt, dann müssen die das Zertifikat auch in diesen Zertifikatspeicher kopieren. Klicken Sie auf

Vertrauenswürdige Stammzertifizierungsstellen und wiederholen Sie die Schritte 5 und 6 um eine Kopie des Zertifikats in diesem Zertifikatsspeicher zu installieren.

2.8 Registrieren und Konfigurieren des SafeGuard

Enterprise Server

Zur Implementierung der Informationen für die Kommunikation zwischen IIS Server, Datenbank und dem SafeGuard-geschützten Endpoint muss der SafeGuard Enterprise Server registriert und konfiguriert werden. Die Informationen werden in einem Server-Konfigurationspaket gespeichert.

Diesen Schritt führen Sie im SafeGuard Management Center durch. Der Workflow ist davon abhängig, ob der SafeGuard Enterprise Server auf demselben Computer wie das SafeGuard

Management Center oder auf einem anderen Computer installiert ist.

Administratorhilfe

Sie können auch weitere Eigenschaften festlegen. So lassen sich z. B. zusätzliche

Sicherheitsbeauftragte für den ausgewählten Server hinzufügen. Sie können auch die

Verbindung zur Datenbank konfigurieren.

2.8.1 Registrieren und Konfigurieren des SafeGuard Enterprise Server für den aktuellen Computer

Wenn Sie das SafeGuard Management Center und SafeGuard Enterprise Server auf dem

Computer, mit dem Sie derzeit arbeiten, installiert haben, registrieren und konfigurieren Sie den SafeGuard Enterprise Server.

Hinweis: Wenn Multi Tenancy installiert ist, steht diese Option nicht zur Verfügung.

1. Starten Sie das SafeGuard Management Center.

2. Klicken Sie im Extras Menü auf Konfigurationspakete.

3. Wählen Sie die Registerkarte Server und klicken Sie auf Diesen Computer zum SGN

Server machen.

Der Setup-Assistent wird automatisch geöffnet.

4. Übernehmen Sie in allen folgenden Dialogen die Standardeinstellungen.

Der SafeGuard Enterprise Server ist installiert. Ein Server-Konfigurationspaket mit der

Bezeichnung <Server>.msi

wird erstellt und direkt auf dem aktuellen Computer installiert.

Die Serverinformationen werden auf der Registerkarte Server angezeigt. Sie können zusätzliche Konfigurationsschritte durchführen.

Hinweis: Wenn Sie ein neues Server-Konfigurationspaket (MSI) auf dem SafeGuard

Enterprise Server installieren möchten, deinstallieren Sie zunächst das alte

Konfigurationspaket. Löschen Sie darüber hinaus den Local Cache manuell, so dass er mit den neuen Konfigurationsdaten (z. B. SSL-Einstellungen) aktualisiert werden kann. Installieren

Sie dieses Konfigurationspaket auf dem Server.

2.8.2 Registrieren und Konfigurieren des SafeGuard Enterprise Servers für einen anderen Computer

Wenn der SafeGuard Enterprise Server auf einem anderen Computer als das SafeGuard

Management Center installiert wurde, registrieren und konfigurieren Sie den SafeGuard

Enterprise Server:

1. Starten Sie das SafeGuard Management Center.

2. Klicken Sie im Extras Menü auf Konfigurationspakete.

3. Wählen Sie die Registerkarte Server und klicken Sie auf Hinzufügen.

SafeGuard Enterprise

4. Klicken Sie unter Serverregistrierung auf [...] und wählen Sie das Maschinenzertifikat des Servers aus, das sich unter C:\Programme (x86)\Sophos\SafeGuard

Enterprise\MachCert am IIS Server, auf dem der SafeGuard Enterprise Server läuft, befindet. Es trägt den Dateinamen <Computername>.cer

. Wenn der SafeGuard

Enterprise Server auf einem anderen Computer als das SafeGuard Management Center installiert ist, muss diese .cer-Datei als Kopie oder über eine Netzwerkfreigabe zugänglich sein.

Wählen Sie nicht das MSO-Zertifikat.

Der Fully Qualified Name (FQDN), z. B.

server.mycompany.com

, sowie

Zertifikatsinformationen werden angezeigt.

Hinweis: Wenn SSL als Transportverschlüsselung zwischen Endpoint und Server verwendet werden soll, muss der Servername, den Sie hier eingeben, mit dem Servernamen

übereinstimmen, den Sie im SSL-Zertifikat vergeben haben. Andernfalls ist keine

Kommunikation möglich.

5. Klicken Sie auf OK.

Die Serverinformationen werden in der Registerkarte Server angezeigt.

6. Klicken Sie auf die Registerkarte Server-Pakete. Hier werden alle verfügbaren Server angezeigt. Wählen Sie dort den gewünschten Server aus. Geben Sie einen Ausgabepfad für das Konfigurationspaket an. Klicken Sie auf Konfigurationspaket erstellen.

Ein Server-Konfigurationspaket (MSI) mit der Bezeichnung <Server>.msi

wird im angegebenen Ausgabeort erstellt.

7. Klicken Sie auf OK, um die Erfolgsmeldung zu bestätigen.

8. Klicken Sie in der Registerkarte Server auf Schließen.

Die Registrierung und Konfiguration des SafeGuard Enterprise Servers ist beendet. Installieren

Sie das Server-Konfigurationspaket (MSI) auf dem Computer, auf dem der SafeGuard

Enterprise Server läuft. Sie können die Serverkonfiguration in der Registerkarte Server jederzeit ändern.

Hinweis: Wenn Sie ein neues Server-Konfigurationspaket (MSI) auf dem SafeGuard

Enterprise Server installieren möchten, deinstallieren Sie zunächst das alte

Konfigurationspaket. Löschen Sie darüber hinaus den Local Cache manuell, so dass er mit den neuen Konfigurationsdaten (z. B. SSL-Einstellungen) aktualisiert werden kann. Installieren

Sie dieses Konfigurationspaket auf dem Server.

2.8.3 Ändern der SafeGuard Enterprise Server Eigenschaften

Sie können die Eigenschaften und Einstellungen für jeden registrierten Server und seine

Datenbankverbindung jederzeit ändern.

1. Klicken Sie im Extras Menü auf Konfigurationspakete.

2. Gehen Sie zur Registerkarte Server und wählen Sie den erforderlichen Server aus.

Administratorhilfe

3. Gehen Sie wie folgt vor:

Element

Skript ausführen

Beschreibung

Klicken Sie hier, um SafeGuard Enterprise Management API zu verwenden. Dies ermöglicht die Ausführung von administrativen

Aufgaben über Skripts

Win. Auth. WHD

Klicken Sie hier, um die Windows Authentifizierung für Web

Helpdesk zu aktivieren. Die Option ist standardmäßig deaktiviert.

Server-Rollen Klicken Sie hier, um eine verfügbare Sicherheitsbeauftragtenrolle für den ausgewählten Server zu aktivieren/deaktivieren.

Server-Rolle hinzufügen...

Klicken Sie hier, um weitere spezifische

Sicherheitsbeauftragtenrollen für den ausgewählten Server hinzuzufügen, falls erforderlich. Sie werden dazu aufgefordert, das

Serverzertifikat auszuwählen. Die Sicherheitsbeauftragtenrolle wird hinzugefügt und kann unter Server-Rollen angezeigt werden.

Datenbankverbindung Klicken Sie auf [...], um die Verbindung zur Datenbank für jeden registrierten Server zu konfigurieren. Hier können Sie auch die

Anmeldeinformationen für die Datenbank und die

Transportverschlüsselung zwischen Web Server und

Datenbankserver festlegen. Für weitere Informationen, siehe

Konfigurieren der Datenbankserver-Verbindung (Seite 37). Selbst

wenn die Prüfung der Datenbankverbindung nicht erfolgreich ist, kann ein neues Server-Konfigurationspaket erstellt werden.

Hinweis:

Sie müssen nicht den SafeGuard Management Center

Konfigurationsassistenten erneut ausführen, um die

Datenbankkonfiguration zu aktualisieren. Erstellen Sie einfach ein neues Server-Konfigurationspaket und verteilen Sie es an den entsprechenden Server. Sobald dieses auf dem Server installiert ist, kann auf die neue Datenbankverbindung zugegriffen werden.

4. Erstellen Sie ein neues Server-Konfigurationspaket auf der Registerkarte Server-Pakete.

5. Deinstallieren Sie das alte Server-Konfigurationspaket und installieren Sie danach das neue auf dem entsprechenden Server.

Die neue Server-Konfiguration wird aktiv.

2.8.4 Registrieren des SafeGuard Enterprise Servers mit aktivierter Sophos

Firewall

Ein durch SafeGuard Enterprise geschützter Endpoint kann keine Verbindung mit dem

SafeGuard Enterprise Server herstellen, wenn eine Sophos Firewall mit Standardeinstellungen auf dem Endpoint installiert ist. Die Sophos Firewall sperrt standardmäßig

NetBIOS-Verbindungen, die für die Auflösung des Netzwerknamens des SafeGuard Enterprise

Servers benötigt werden.

1. Führen Sie als Workaround einen der folgenden Schritte aus:

■ Geben Sie die NetBIOS-Verbindungen in der Firewall frei.

SafeGuard Enterprise

■ Fügen Sie den Fully Qualified Name des SafeGuard Enterprise Servers im

Konfigurationspaket hinzu. Für weitere Informationen, siehe Registrieren und

Konfigurieren des SafeGuard Enterprise Servers für einen anderen Computer

(Seite

53).

2.9 Erzeugen von Konfigurationspaketen

Erzeugen Sie je nach erforderlicher Konfiguration die passenden Konfigurationspakete für die Endpoints im SafeGuard Management Center:

■ Für zentral verwaltete Endpoints (Windows und Mac OS X) - Pakete für Managed Clients

■ Für nicht verwaltete Endpoints (nur Windows) - Pakete für Standalone Clients

Immer wenn Sie ein Paket für Managed Clients erzeugen, wird automatisch ein Paket für

Windows und ein Paket für Mac (als ZIP-Datei) erstellt. Das ZIP-Paket wird auch für den

Sophos Mobile Control Server verwendet, um sich mit dem SafeGuard Enterprise Backend zu verbinden.

Das erste Konfigurationspaket muss auf den Endpoints zusammen mit der

Verschlüsselungssoftware installiert werden.

2.9.1 Erzeugen eines Konfigurationspakets für zentral verwaltete Computer

1. Klicken Sie im SafeGuard Management Center im Extras Menü auf Konfigurationspakete.

2. Wählen Sie Pakete für Managed Clients.

3. Wechseln Sie in der Dropdown-Liste Primärer Server zum registrierten Server.

4. Falls erforderlich, geben Sie eine Richtliniengruppe an, die auf die Computer angewendet werden soll. Diese müssen Sie zuvor im SafeGuard Management Center erstellt haben.

Wenn Sie für Aufgaben nach der Installation auf dem Computer Service Accounts verwenden möchten, stellen Sie sicher, dass die entsprechende Richtlinieneinstellung in

dieser ersten Richtliniengruppe definiert ist, siehe Erstellen von Service Account-Listen

(Seite 57).

5. Wählen Sie den Modus für die Transportverschlüsselung, der bestimmt, wie die

Verbindung zwischen SafeGuard Enterprise Client und SafeGuard Enterprise Server

verschlüsselt wird. Für weitere Informationen, siehe Sichern von Transportverbindungen mit SSL

(Seite 48).

6. Geben Sie einen Ausgabepfad für das Konfigurationspaket (MSI) an.

7. Klicken Sie auf Konfigurationspaket erstellen.

WennSie als Modus für die Transportverschlüsselung die SSL-Verschlüsselung ausgewählt haben, wird die Serververbindung validiert. Wenn die Verbindung fehlschlägt, wird eine Warnungsmeldung angezeigt. Sie können die Meldung ignorieren und das

Konfigurationspaket trotzdem erstellen. Sie müssen jedoch sicherstellen, dass die

Kommunikation zwischen SafeGuard Client und SafeGuard Server über SSL möglich ist.

Das Konfigurationspaket (MSI) wird im angegebenen Verzeichnis angelegt. Sie müssen das

Paket auf den Endpoints verteilen und installieren.

2.9.2 Erzeugen eines Konfigurationspakets für Standalone-Computer

1. Klicken Sie im SafeGuard Management Center im Extras Menü auf Konfigurationspakete.

Administratorhilfe

2. Wählen Sie Pakete für Standalone Clients.

3. Klicken Sie auf Konfigurationspaket hinzufügen.

4. Geben Sie einen beliebigen Namen für das Konfigurationspaket ein.

5. Geben Sie eine zuvor im SafeGuard Management Center erstellte Richtliniengruppe an, die für die Computer gelten soll.

6. Geben Sie unter Speicherort für Schlüssel-Sicherungskopie einen freigegebenen

Netzwerkpfad für das Speichern der Schlüssel-Recovery-Datei an oder wählen Sie einen

Netzwerkpfad aus. Geben Sie den freigegebenen Pfad in folgender Form ein: \\network computer\ , zum Beispiel \\mycompany.edu\ . Wenn Sie hier keinen Pfad angeben, wird der Benutzer beim ersten Anmelden am Endpoint nach der Installation gefragt, wo die Schlüsseldatei gespeichert werden soll.

Die Schlüssel-Recovery-Datei (XML) wird für die Durchführung von Recovery-Vorgängen bei durch SafeGuard Enterprise geschützten Computern benötigt. Sie wird auf allen durch

SafeGuard Enterprise geschützten Computern erzeugt.

Hinweis: Stellen Sie sicher, dass diese Schlüssel-Recovery-Datei an einem Speicherort abgelegt wird, auf den die Mitarbeiter des Helpdesk Zugriff haben. Die Dateien können dem Helpdesk auch auf anderem Wege zugänglich gemacht werden. Die Datei ist mit dem Unternehmenszertifikat verschlüsselt. Sie kann also auch auf externen Medien oder auf dem Netzwerk gespeichert werden, um sie dem Helpdesk für Recovery-Vorgänge zur

Verfügung zu stellen. Sie kann auch per E-Mail verschickt werden.

7. Unter POA Gruppe können Sie eine POA-Gruppe auswählen, die dem Endpoint zugeordnet wird. POA-Benutzer können für administrative Aufgaben auf den Endpoint zugreifen, nachdem die Power-on Authentication aktiviert wurde. Um POA-Benutzer zuzuweisen, müssen Sie die POA-Gruppe zunächst im Bereich Benutzer & Computer des SafeGuard

Management Center anlegen.

8. Geben Sie einen Ausgabepfad für das Konfigurationspaket (MSI) an.

9. Klicken Sie auf Konfigurationspaket erstellen.

Das Konfigurationspaket (MSI) wird im angegebenen Verzeichnis angelegt. Sie müssen das

Paket auf den Endpoints verteilen und installieren.

2.9.3 Erstellen von Service Account-Listen

Hinweis: Dieser Abschnitt ist nur für Endpoints mit Power-on Authentication relevant.

Wenn Sie SafeGuard Enterprise über einen zentralen Rollout-Vorgang installieren möchten, empfehlen wir die Konfiguration einer Service Account-Liste. Ein IT-Administrator, der zu einer Service Account-Liste hinzugefügt wurde, kann sich nach der Installation von SafeGuard

Enterprise an Endpoints anmelden, ohne die Power-on Authentication zu aktivieren. Ein solches Vorgehen ist empfehlenswert, da normalerweise der erste Benutzer, der sich nach der Installation an einem Endpoint anmeldet, als primäres Benutzerkonto zur POA hinzugefügt wird. Benutzer auf einer Service Account-Liste werden als SafeGuard Enterprise Gastbenutzer behandelt.

Mit Service Accounts ergibt sich folgender Workflow:

■ SafeGuard Enterprise wird auf einem Endpoint installiert.

■ Der Endpoint wird neu gestartet und ein Rollout-Beauftragter, der in einer Service Account

Liste aufgeführt ist, meldet sich über die Windows-Eingabe-Aufforderung an.

■ Gemäß der auf den Endpoint angewendeten Service Account-Liste wird der Benutzer als

Service Account erkannt und als Gastbenutzer behandelt.

SafeGuard Enterprise

■ Der Rollout-Beauftragte wird nicht zur POA hinzugefügt und die POA wird nicht aktiviert.

Der Endbenutzer kann sich anmelden und die POA aktivieren.

Hinweis: Service Account-Listen müssen Sie in einer Richtlinie anlegen und diese der ersten

Richtliniengruppe des ersten Konfigurationspakets zuweisen, das Sie nach der Installation der Verschlüsselungssoftware auf dem Endpoint installieren. Weitere Informationen finden

Sie unter

Service Account Listen für die Windows-Anmeldung (Seite 197).

2.10 Einrichten von SafeGuard Enterprise auf Endpoints

Sobald das Backend funktioniert kann die Installation der SafeGuard Enterprise Clients beginnen. Für eine reibungslose Implementierung empfehlen wir, die in diesem Abschnitt beschriebenen vorbereitenden Schritte zu befolgen.

Der SafeGuard Enterprise Client kann auf unterschiedlicher Hardware und auf unterschiedlichen Betriebssystemen installiert werden. Sie finden eine Liste mit allen unterstützten Betriebssystemen sowie die Systemvoraussetzungen in den Versionsinfos im

Sophos Knowledgebase-Artikel 112776 .

Allgemeine Empfehlungen für die Vorbereitung Ihres Systems für die Installation von SafeGuard

Enterprise finden Sie im Sophos Knowledgebase-Artikel 108088 .

2.10.1 Zentral verwaltete Endpoints und Standalone-Endpoints

Endpoints mit SafeGuard Enterprise können folgendermaßen konfiguriert werden:

■ Verwaltet

Zentrale, server-basierte Verwaltung im SafeGuard Management Center

Bei zentral verwalteten Endpoints besteht generell eine Verbindung zum SafeGuard

Enterprise Server. Sie erhalten ihre Richtlinien über den SafeGuard Enterprise Server.

■ Nicht verwaltet (standalone)

Lokale Verwaltung durch im SafeGuard Management Center erstellte Konfigurationspakete.

Hinweis: Lokale Verwaltung wird nicht auf Mac OS X unterstützt.

Hinweis: Synchronized Encryption wird auf Standalone-Endpoints nicht unterstützt.

Nicht-verwaltete Endpoints sind nicht mit dem SafeGuard Enterprise Server verbunden und laufen daher im Standalone-Modus. Sie erhalten SafeGuard Enterprise Richtlinien

über Konfigurationspakete.

SafeGuard Enterprise Richtlinien werden im SafeGuard Management Center erstellt und in Konfigurationspakete exportiert. Die Verteilung der Konfigurationspakete kann über firmeneigene Software-Verteilungsmechanismen erfolgen, oder das Konfigurationspaket wird manuell auf den Endpoints installiert.

Für die verschiedenen Endpoint-Typen stehen unterschiedliche Pakete und Module zur

Verfügung.

2.10.2 Einschränkungen

Beachten Sie folgende Einschränkungen für zentral verwaltete Endpoints:

■ Einschränkungen für die Initialverschlüsselung

Administratorhilfe

Im Rahmen der initialen Konfiguration von zentral verwalteten Endpoints können

Verschlüsselungsrichtlinien erstellt werden, die in einem Konfigurationspaket an die durch

SafeGuard Enterprise geschützten Endpoints verteilt werden können. Wenn der Endpoint jedoch nicht direkt nach der Installation des Konfigurationspakets eine Verbindung mit dem SafeGuard Enterprise Server herstellt, sondern vorübergehend offline ist, werden nur Verschlüsselungsrichtlinien mit den folgenden spezifischen Einstellungen sofort wirksam:

Volume-basierte Festplattenverschlüsselung, die den Definierten Computerschlüssel zur Verschlüsselung verwendet.

Damit alle anderen Richtlinien, die Verschlüsselung mit benutzerdefinierten Schlüsseln umfassen, auf dem durch SafeGuard Enterprise geschützten Endpoint wirksam werden, muss das entsprechende Konfigurationspaket auch noch einmal der Organizational Unit des Endpoint zugewiesen werden. Die benutzerdefinierten Schlüssel werden dann erst erstellt, wenn der Endpoint wieder eine Verbindung zum SafeGuard Enterprise Server hergestellt hat.

Ursache hierfür ist, dass der Definierte Computerschlüssel direkt auf dem durch

SafeGuard Enterprise geschützten Endpoint beim ersten Neustart nach der Installation erstellt wird. Benutzerdefinierte Schlüssel hingegen können nur auf dem Endpoint erstellt werden, wenn er beim SafeGuard Enterprise Server registriert wurde.

■ Einschränkungen für die Unterstützung von BitLocker Drive Encryption

Es kann entweder die SafeGuard Enterprise volume-basierende Verschlüsselung oder die BitLocker-Laufwerkverschlüsselung verwendet werden. Die gleichzeitige Verwendung beider Verschlüsselungstypen ist nicht möglich. Wenn Sie den Verschlüsselungstyp ändern möchten, müssen Sie zuerst alle verschlüsselten Laufwerke entschlüsseln, die SafeGuard

Enterprise Verschlüsselungssoftware deinstallieren und dann mit den gewünschten Features neu installieren. Der Installer verhindert die gleichzeitige Installation beider Features. Die

Deinstallation und Neuinstallation ist auch dann erforderlich, wenn kein Konfigurationspaket, das eine Verschlüsselung auslösen soll, installiert wurde.

2.10.3 Verfügbarkeit des SSL-Zertifikats auf dem Client prüfen

Das Zertifikat muss dem Computer zugewiesen sein, nicht dem Benutzer. Die Zertifikatsdatei muss im Microsoft Zertifikatspeicher unter Vertrauenswürdige Stammzertifizierungsstellen verfügbar sein.

1. Melden Sie sich an dem Endpoint als Administrator an.

2. Klicken Sie auf Ausführen > mmc .

3. Klicken Sie im Fenster Konsole1 auf Datei und wählen Sie Snap-In hinzufügen/entfernen.

4. Wählen Sie im Fenster Snap-In hinzufügen/entfernen auf der linken Seite Zertifikate und klicken Sie Hinzufügen.

5. Wählen Sie auf der Seite Zertifikat-Snap-In die Option Computerkonto.

6. Wählen Sie auf der Seite Computer auswählen Lokaler Computer: (Computer, auf

dem diese Konsole ausgeführt wird) und klicken Sie auf Fertig stellen.

7. Klicken Sie im Dialogfeld Snap-In hinzufügen/entfernen auf OK.

8. Klicken Sie links auf Konsolenstamm > Zertifikate - Lokaler Computer >

Vertrauenswürdige Stammzertifizierungsstellen > Zertifikate.

9. Prüfen Sie im rechten Fensterbereich, ob das zuvor erzeugte Zertifikat im Speicher verfügbar ist. Wenn das Zertifikat in der Liste erscheint, ist dieser Schritt abgeschlossen.

Wenn nicht, gehen Sie wie folgt vor:

SafeGuard Enterprise

10. Klicken Sie auf Ausführen > gpupdate /force .

Ein Windows Befehlsfenster wird angezeigt.

11. Warten Sie bis das Fenster geschlossen ist und beginnen Sie erneut mit Schritt 1.

2.10.4 Vorbereitung für die Unterstützung von BitLocker Drive Encryption

Wenn Sie mit SafeGuard Enterprise BitLocker Endpoints verwalten möchten, treffen Sie folgende spezifische vorbereitende Maßnahmen auf dem Endpoint:

■ Auf dem Endpoint muss Windows 7 oder höher installiert sein.

■ BitLocker Drive Encryption muss installiert und aktiviert sein.

■ BitLocker-Laufwerkverschlüsselungsdienst muss aktiviert sein.

Hinweis: Führen Sie services.mcs

aus und überprüfen Sie den Status von

BitLocker-Laufwerkverschlüsselungsdienst.

■ Wenn TPM für die Authentisierung verwendet werden soll, muss TPM initialisiert, im Besitz und aktiviert sein.

Hinweis: Entscheiden Sie vor der Installation, ob Sie

BitLocker-Laufwerkverschlüsselung

(Seite 145) oder SafeGuard Full Disk Encryption (Seite 184) verwenden wollen. Sie können

nicht beide gleichzeitig installieren.

2.10.5 Vorbereitung für Cloud Storage

Das SafeGuard Enterprise Modul Cloud Storage bietet dateibasierte Verschlüsselung von in der Cloud gespeicherten Daten.

Cloud Storage stellt sicher, dass die lokalen Kopien von Cloud-Daten transparent verschlüsselt werden und auch verschlüsselt bleiben, wenn sie in der Cloud gespeichert werden.

Die Art und Weise, wie Benutzer mit in der Cloud gespeicherten Daten arbeiten, wird dadurch nicht beeinflusst. Auf die anbieterspezifische Cloud-Software hat die Anwendung des Moduls keine Auswirkungen. Sie kann wie zuvor zum Übertragen von Daten an die Cloud oder zum

Empfangen von Daten aus der Cloud benutzt werden.

So bereiten Sie Ihre Endpoints für Cloud Storage vor:

■ Die anbieterspezifische Cloud Storage Software muss auf den Endpoint-Computern, auf denen Sie das Modul Cloud Storage installieren möchten, installiert sein.

■ Die anbieterspezifische Cloud Storage Software muss eine Anwendung oder einen

Systemdienst im lokalen Dateisystem für die Synchronisierung zwischen der Cloud und dem lokalen System enthalten.

■ Die anbieterspezifische Cloud Storage Software muss die synchronisierten Daten im lokalen Dateisystem speichern.

Hinweis: Cloud Storage verschlüsselt nur neue in der Cloud gespeicherte Daten. Wurden

Daten bereits vor der Installation von Cloud Storage in der Cloud gespeichert, so werden diese Daten nicht automatisch verschlüsselt. Um diese Daten zu verschlüsseln, müssen die

Benutzer sie zunächst aus der Cloud entfernen und sie nach der Installation von Cloud Storage wieder an die Cloud übergeben.

Administratorhilfe

2.10.6 Vorbereitung für SafeGuard Full Disk Encryption mit POA

Vor der Installation von SafeGuard Enterprise empfehlen wir folgende vorbereitende

Maßnahmen.

■ Auf dem Endpoint muss ein Benutzerkonto eingerichtet und aktiv sein.

■ Stellen Sie sicher, dass Sie über Windows Administratorrechte verfügen.

■ Erstellen Sie einen kompletten Backup Ihrer Daten auf dem Endpoint.

■

Laufwerke, die verschlüsselt werden sollen, müssen komplett formatiert sein und einen

Laufwerksbuchstaben zugewiesen haben.

Sophos stellt eine Datei für die Hardware-Konfiguration zur Verfügung, um Konflikte zwischen der POA und Ihrer Endpoitn-Hardware zu vermeiden. Die Datei ist im

Installationspaket der Verschlüsselungssoftware enthalten. Wir empfehlen, vor jeder größer angelegten SafeGuard Enterprise Installation die aktuelle Version dieser Datei zu installieren. Weitere Informationen finden Sie im Sophos Knowledgebase-Artikel 65700 .

Sie können uns bei der Optimierung der Hardware-Kompatibilität unterstützen, indem Sie ein von uns zur Verfügung gestelltes Tool ausführen. Dieses Tool liefert ausschließlich

Hardware-relevante Informationen. Das Tool ist einfach zu bedienen. Die gesammelten

Informationen werden zur Hardware-Konfigurationsdatei hinzugefügt. Weitere Informationen finden Sie im Sophos Knowledgebase-Artikel 110285 .

■ Untersuchen Sie die Festplatte(n) mit folgendem Kommando auf Fehler: chkdsk %drive%

/F /V /X

Danach müssen Sie Ihr System neu starten.

Wichtig: Starten Sie die SafeGuard Enterprise Installation nicht vor diesem Neustart!

Weitere Informationen finden Sie im Sophos Knowledgebase-Artikel 107799 .

■ Benutzen Sie das Windows-Tool "defrag", um fragmentierte Boot-Dateien, Datendateien und Ordner auf lokalen Volumes aufzufinden und zu konsolidieren. Weitere Informationen finden Sie im Sophos Knowledgebase-Artikel 109226 .

■ Deinstallieren Sie Third-Party Boot-Manager, z. B. PROnetworks Boot Pro und Boot-US.

■ Wenn Sie für die Installation des Betriebssystems ein Image-Programm verwendet haben, empfehlen wir, den Master Boot Record (MBR) neu zu schreiben.

■ Wenn die Bootpartition auf dem Endpoint von FAT nach NTFS konvertiert wurde, der

Endpoint aber noch nicht neu gestartet wurde, sollten Sie den Endpoint einmal neu starten.

Andernfalls kann die Installation unter Umständen nicht erfolgreich abgeschlossen werden.

■ Nur für SafeGuard Enterprise Clients (managed): Kontrollieren Sie, ob eine Verbindung zum SafeGuard Enterprise Server besteht. Rufen Sie auf den Endpoints im Internet Explorer folgende Web-Adresse auf: http://<ServerIPAddress>/sgnsrv. Wenn die Trans-Seite mit dem Eintrag Check Connection erscheint, ist die Verbindung zum SafeGuard Enterprise

Server hergestellt.

SafeGuard Enterprise

2.11 Installieren der Verschlüsselungssoftware unter

Windows

Für das Einrichten der SafeGuard Enterprise Verschlüsselungssoftware auf Endpoints gibt es zwei Möglichkeiten:

■ Lokales Installieren der Verschlüsselungssoftware Dies ist zum Beispiel für eine

Testinstallation empfehlenswert.

■ Zentrales Installieren der Verschlüsselungssoftware Dadurch wird eine standardisierte

Installation auf mehreren Endpoints erreicht.

Bevor Sie mit der Installation beginnen, prüfen Sie die verfügbaren Installationspakete und

Features für zentral verwaltete Endpoints und Standalone-Endpoints. Die Installationsschritte für beide Varianten sind identisch, mit der Ausnahme, dass für jeden der beiden ein unterschiedliches Konfigurationspaket zugeordnet werden muss.

Das Verhalten des Endpoint bei der ersten Anmeldung nach der Installation von SafeGuard

Enterprise und der Aktivierung der Power-on Authentication ist in der SafeGuard Enterprise

Benutzerhilfe beschrieben.

2.11.1 Installationspakete und Features

Die folgende Tabelle zeigt die Installationspakete und Features der SafeGuard Enterprise

Verschlüsselungssoftware auf Endpoints. Sie finden die Installationspakete im Installers

Ordner Ihrer Produktlieferung.

Die standardmäßige Installation (Vollständig oder Typisch) beinhaltet BitLocker und

Synchronized Encryption. Wenn Sie kein Modul für Dateiverschlüsselung verwenden, empfehlen wir eine Installation vom Typ Angepasst, bei der Sie nur BitLocker

Festplattenverschlüsselung auswählen.

Beachten Sie, dass Sie nur entweder Synchronized Encryption oder pfadbasierte File

Encryption installieren können, nicht beide.

Hinweis: Wenn das Betriebssystem des Endpoint 64-Bit ist, installieren Sie die 64-Bit-Variante der Installationspakete (<Paketname>_x64.msi).

Paket Inhalt Verfügbar für zentral verwaltete

Endpoints

Verfügbar für

Standalone-Endpoints

SGxClientPreinstall.msi

(nur Windows 7)

Prä-Installations-Paket

Dieses Paket muss vor der Installation eines

Verschlüsselungsinstallationspakets installiert werden. Es stattet Endpoints mit notwendigen Voraussetzungen für eine erfolgreiche Installation der aktuellen Verschlüsselungssoftware aus.

Obligatorisch Obligatorisch

Administratorhilfe

Paket

SGNClient.msi

SGNClient_x64.msi

Inhalt

SafeGuard Client-Installationspaket

Es stattet Endpoints mit notwendigen

Voraussetzungen für eine erfolgreiche

Installation der aktuellen

Verschlüsselungssoftware aus. Für die

Festplattenverschlüsselung von internen und externen Laufwerken bietet

SafeGuard Enterprise die Alternativen

SafeGuard Full Disk Encryption oder

BitLocker.

BitLocker oder BitLocker C/R

SafeGuard Enterprise verwaltet das

Microsoft BitLocker

Verschlüsselungsmodul. Auf Systemen mit UEFI gibt es für die BitLocker

Pre-Boot Authentication einen

Challenge/Response Mechanismus, während auf Systemen mit BIOS der

Recovery-Schlüssel vom SafeGuard

Management Center abgerufen wird.

Wählen Sie den Installationstyp

Angepasst.

SafeGuard Full Disk Encryption (nur

Windows 7 BIOS)

SafeGuard Full Disk Encryption enthält

SafeGuard Power-on Authentication

(POA).

Wählen Sie den Installationstyp

Vollständig, Typisch oder Angepasst.

Synchronized Encryption

Beinhaltet Funktionen für anwendungsbasierte

Dateiverschlüsselung und selbst-verschlüsselnde HTML zum automatischen Verschlüsseln von

Mailanhängen in Microsoft Outlook.

Cloud Storage

Dateibasierende Verschlüsselung für in der Cloud gespeicherte Daten Lokale

Kopien von in der Cloud gespeicherten

Daten werden stets transparent verschlüsselt. Für das Übertragen von

Daten an die Cloud oder den Empfang von Daten aus der Cloud muss

Verfügbar für zentral verwaltete

Endpoints

Verfügbar für

Standalone-Endpoints

SafeGuard Enterprise

Paket Inhalt anbieterspezifische Software benutzt werden.

Wählen Sie den Installationstyp

Vollständig oder Angepasst.

Dateiverschlüsselung

Dateibasierende Verschlüsselung von

Daten auf lokalen Festplatten und

Netzwerkfreigaben, speziell für

Arbeitsgruppen

Wählen Sie den Installationstyp

Vollständig oder Angepasst.

Data Exchange

SafeGuard Data Exchange:

Dateibasierende Verschlüsselung von

Daten auf Wechselmedien auf allen

Plattformen ohne Neuverschlüsselung.

Wählen Sie den Installationstyp

Vollständig oder Angepasst.

Verfügbar für zentral verwaltete

Endpoints

Verfügbar für

Standalone-Endpoints

2.11.2 Lokales Installieren der Verschlüsselungssoftware

Voraussetzungen:

■ Die Endpoints müssen für die Verschlüsselung vorbereitet sein, siehe

Einrichten von

SafeGuard Enterprise auf Endpoints

(Seite 58).

■ Entscheiden Sie, welches Verschlüsselungspaket und welche Features installiert werden sollen. So wird beispielsweise das Paket SGxClientPreinstall.msi

ab Windows 8 nicht mehr benötigt. Die Anleitung bezüglich POACFG-Datei sind nur relevant für Device

Encryption mit POA und BitLocker mit Challenge/Response.

So führen Sie eine lokale Installation der Verschlüsselungssoftware durch:

1. Melden Sie sich an dem Endpoint als Administrator an.

2. Kopieren Sie die Pakete SGNClient_x64.msi

und SGxClientPreinstall.msi

auf den Client.

3. Installieren Sie das Paket SGxClientPreinstall.msi

um den Endpoint mit den notwendigen Voraussetzungen für eine erfolgreiche Installation der aktuellen

Verschlüsselungssoftware auszustatten.

Alternativ zu SGxClientPreinstall.msi

können Sie auch das Windows-Paket vcredist_x86.exe

, das in der Produktlieferung enthalten ist, installieren.

4. Installieren Sie vcredist14_x86.exe

aus Ihrer Produktlieferung.

5. Laden Sie die aktuelle POACFG-Datei herunter wie im Sophos Knowledgebase-Artikel

65700 beschrieben.

Administratorhilfe

6. Speichern Sie die aktuellste Version der POACFG-Datei zentral, so dass sie von jedem

Endpoint aus erreichbar ist.

7. Öffnen Sie am Client ein Eingabeaufforderungsfenster mit Administratorrechten.

8. Wechseln Sie zum Ordner, der die SafeGuard Installationsdateien enthält.

9. Starten Sie die Installation mit folgendem Befehl: MSIEXEC /i <Client.msi>

POACFG=<Pfad der POA-Konfigurationsdatei>

Der SafeGuard Enterprise Client Installationsassistent startet.

10. Übernehmen Sie im Assistenten in allen folgenden Dialogen die Standardeinstellungen.

Bei einer Erstinstallation empfehlen wir, von Beginn an eine Vollständige Installation auszuwählen. Um nur einen Teil der Features zu installieren, wählen Sie eine Angepasste

Installation.

11. Wechseln Sie zum Speicherort des relevanten Konfigurationspakets (MSI), das Sie zuvor im SafeGuard Management Center erzeugt haben. Für zentral verwaltete Endpoints und

Standalone-Endpoints müssen spezifische Konfigurationspakete installiert werden, siehe

Erzeugen von Konfigurationspaketen

(Seite 56).

12. Installieren Sie das relevante Konfigurationspaket (MSI) auf dem Computer.

13. Starten Sie die Endpoints zweimal neu um die Power-on Authentication zu aktivieren.

14. Die Computer müssen ein drittes Mal neu gestartet werden, um eine Sicherung der

Kerneldaten bei jedem Windows-Start durchzuführen. Stellen Sie sicher, dass die Computer vor dem dritten Neustart nicht in den Ruhezustand versetzt werden, damit die Sicherung der Kerneldaten erfolgreich abgeschlossen werden kann.

SafeGuard Enterprise wird auf dem Endpoint eingerichtet. Informationen zum Anmeldeverhalten des Computers nach der Installation von SafeGuard Enterprise finden Sie in der SafeGuard

Enterprise Benutzerhilfe .

2.11.3 Zentrale Installation der Verschlüsselungssoftware

Durch die zentrale Installation der Verschlüsselungssoftware wird eine standardisierte

Installation auf mehreren Endpoints erreicht.

Hinweis: Die Installations- und Konfigurationspakete können im Rahmen einer zentralen

Softwareverteilung nur einem Endpoint zugewiesen werden, nicht aber einem Benutzer.

So führen Sie eine zentrale Installation durch:

■ Prüfen Sie die verfügbaren Installationspakete und Features für zentral verwaltete Endpoints und Standalone-Endpoints, siehe

Installationspakete und Features (Seite 62).

■

Prüfen Sie die Kommandozeilenoptionen.

Prüfen Sie die Liste mit Feature-Parametern für die ADDLOCAL Befehlszeilenoption.

Prüfen Sie die Beispielbefehle.

Bereiten Sie das Installationsskript vor.

2.11.3.1 Zentrale Installation der Verschlüsselungssoftware über Active Directory

Stellen Sie sicher, dass Sie die folgenden Schritte bei der zentralen Installation der

Verschlüsselungssoftware über Gruppenrichtlinienobjekte (GPO) in einem Active Directory durchführen:

SafeGuard Enterprise

Hinweis: Die Installations- und Konfigurationspakete können im Rahmen einer zentralen

Softwareverteilung nur einem Endpoint zugewiesen werden, nicht aber einem Benutzer.

■ Verwenden Sie ein gesondertes Gruppenrichtlinienobjekt (GPO) für jedes Installationspaket und sortieren Sie sie in der folgenden Reihenfolge:

1. Prä-Installations-Paket

2. Verschlüsselungssoftware-Paket

3. Endpoint-Konfigurationspaket

Für weitere Informationen zur den Paketen, siehe Vorbereiten des Installationsskripts

(Seite 66).

■ Wenn die Sprache des Endpoints nicht auf Deutsch gestellt ist, führen Sie zusätzlich folgendes aus: Wählen Sie im Gruppenrichtlinien-Editor das entsprechende Gruppenobjekt aus und wählen Sie dann Computerkonfiguration > Softwareeinstellungen > Erweitert.

Wählen Sie im Dialog Erweiterte Bereitstellungsoptionen Sprache beim Bereitstellen

dieses Pakets ignorieren und klicken Sie OK.

2.11.3.2 Vorbereiten des Installationsskripts

Voraussetzungen:

■ Die Endpoints müssen für die Verschlüsselung vorbereitet sein.

■ Entscheiden Sie, welches Verschlüsselungspaket und welche Features installiert werden sollen.

So führen Sie eine zentrale Installation der Verschlüsselungssoftware durch:

1. Erstellen Sie ein Verzeichnis mit der Bezeichnung Software als zentralen Speicherort für alle Anwendungen.

2. Verwenden Sie Ihre eigenen Tools, um das Installationspaket zu erstellen, das auf den

Endpoints installiert werden soll. Das Paket muss Folgendes in der angegebenen

Reihenfolge enthalten:

Beschreibung Paket

Prä-Installationspaket

SGxClientPreinstall.msi

(nur Windows 7)

Das obligatorische Paket stattet die Endpoints mit den nötigen Voraussetzungen für eine erfolgreiche Installation der aktuellen Verschlüsselungssoftware aus, zum Beispiel mit der benötigten DLL MSVCR110.dll

Hinweis: Wenn dieses Paket nicht installiert ist, wird die

Installation der Verschlüsselungssoftware abgebrochen.

Verschlüsselungssoftware-Paket Für eine Liste der verfügbaren Pakete, siehe

Installationspakete und Features (Seite 62).

Konfigurationspaket für Endpoints Verwenden Sie die zuvor im SafeGuard Management

Center erzeugten Konfigurationspakete. Für zentral verwaltete Endpoints und Standalone-Endpoints müssen unterschiedliche Konfigurationspakete installiert werden,

siehe Erzeugen von Konfigurationspaketen

(Seite 56).

Löschen Sie zunächst alle alten Konfigurationspakete.

Administratorhilfe

3. Erstellen Sie ein Skript mit den Kommandos für die vorkonfigurierte Installation. Im Skript müssen die Features der Verschlüsselungssoftware aufgelistet sein, die Sie installieren

möchten, siehe Feature-Parameter für die ADDLOCAL Option

(Seite 69). Öffnen Sie eine

Befehlseingabeaufforderung und geben Sie die Scripting-Befehle ein. Für Informationen

zur Kommandozeilen-Syntax, siehe Kommandozeilenoptionen für die zentrale Installation

(Seite 67).

4. Verteilen Sie das Paket über unternehmensinterne Software-Verteilungsmechanismen an die Endpoints.

Das Installation wird auf den Endpoints ausgeführt. Danach sind die Endpoints für den

Einsatz von SafeGuard Enterprise bereit.

5. Starten Sie die Endpoints zweimal neu um die Power-on Authentication zu aktivieren. Die

Computer müssen ein drittes Mal neu gestartet werden, um eine Sicherung der Kerneldaten bei jedem Windows-Start durchzuführen. Stellen Sie sicher, dass die Computer vor dem dritten Neustart nicht in den Ruhezustand versetzt werden, damit die Sicherung der

Kerneldaten erfolgreich abgeschlossen werden kann.

Zusätzliche Konfiguration kann erforderlich sein, damit sich die Power-on Authentication

(POA) auf jeder Hardware-Plattform korrekt verhält. Die meisten Hardware-Konflikte lassen sich mit Hilfe von Hotkeys-Funktionalitäten beheben, die in die POA integriert sind. Hotkeys können nach der Installation konfiguriert werden, entweder in der POA selbst oder über eine zusätzliche Konfigurationseinstellung, die dem Windows Installer Befehl msiexec mitgegeben wird. Weitere Informationen finden Sie in den Sophos Knowledgebase-Artikeln 107781 und

107785 .

2.11.3.3 Vorbereitung für Synchronized Encryption

Für die ordnungsgemäße Funktion von Synchronized Encryption muss die Windows-Runtime vstor-redist.exe

installiert sein. Die Datei installiert Microsoft Visual Studio 2010 Tools für Office-Laufzeit und ist im Installationspaket enthalten.

Wir empfehlen, die Komponenten in folgender Reihenfolge zu installieren:

vstor-redist.exe

SGNClient.msi

3. Konfigurationspaket

Hinweis: Sie können das Installationspaket nicht installieren bevor die Installation von vstor-redist.exe

abgeschlossen ist.

2.11.3.4 Kommandozeilenoptionen für die zentrale Installation

Wir empfehlen, für die zentrale Installation ein Skript mit der Windows Installer Komponente msiexec zu erstellen, welches automatisch eine vordefinierte Installation von SafeGuard

Enterprise ausführt.

Msiexec ist in Windows enthalten. Weitere Informationen finden Sie unter https://msdn.microsoft.com/de-de/library/aa372024(v=vs.85).aspx

Kommandozeilen-Syntax

msiexec /i <path+msi package name> / <SGN Features> <SGN parameter>

SafeGuard Enterprise

Die Kommandozeilensyntax setzt sich folgendermaßen zusammen:

■ Windows Installer Parameter, die z. B. Warnungen und Fehlermeldungen während der

Installation in eine Datei protokollieren.

■ SafeGuard Enterprise-Funktionen, die installiert werden sollen, z. B.

Festplattenvollverschlüsselung.

■ SafeGuard Enterprise Parameter, die z. B. das Installationsverzeichnis angeben.

Kommandozeilen-Optionen

Alle verfügbaren Optionen können Sie über msiexec.exe in der Eingabeaufforderung abrufen.

Im Folgenden sind wichtige Optionen beschrieben.

Option

/qn

ADDLOCAL=

Beschreibung

Gibt an, dass es sich um eine Installation handelt.

Installiert ohne Benutzerinteraktion und zeigt keine Benutzeroberfläche an.

Listet die SafeGuard Enterprise Features auf, die installiert werden. Wird die Option nicht angegeben, werden alle Features installiert, die für eine

Standardinstallation vorgesehen sind.

Eine Liste der SafeGuard Enterprise Features in den einzelnen

Installationspaketen und Informationen zu deren Verfügbarkeit je nach

Endpoint-Konfiguration finden Sie unter

Installationspakete und Features

(Seite 62). Für eine Liste der Feature-Parameter für die ADDLOCAL

Option, siehe

Feature-Parameter für die ADDLOCAL Option

(Seite 69).

ADDLOCAL=ALL

REBOOT=Force |

ReallySuppress

/L* <path + filename>

Installdir=

Unter Windows 7 (BIOS) installiert ADDLOCAL=ALL die SafeGuard volume-basierende Verschlüsselung und alle anderen verfügbaren

Module. Unter Windows 8 oder höher installiert ADDLOCAL=ALL BitLocker

Unterstützung und Synchronized Encryption.

Erzwingt oder unterdrückt einen Neustart nach der Installation. Ohne

Angabe wird der Neustart erzwungen (Force).

Protokolliert alle Warnungen und Fehlermeldungen in die angegebene

Protokolldatei. Der Parameter /Le <Pfad + Dateiname> protokolliert ausschließlich Fehlermeldungen.

Gibt das Verzeichnis an, in das die SafeGuard Enterprise

Verschlüsselungssoftware installiert werden soll. Ohne Angabe wird als

Standardinstallationsverzeichnis <SYSTEM>:\PROGRAMME\SOPHOS verwendet.

Administratorhilfe

2.11.3.5 Feature-Parameter für die ADDLOCAL Option

Sie müssen Sie bereits im Vorfeld definieren, welche Features auf den Endpoints installiert werden sollen. Die Feature-Namen werden als Parameter zur Kommandozeilenoption

ADDLOCAL hinzugefügt. Listen Sie die Features nach der Eingabe der Option ADDLOCAL in der Kommandozeile auf:

■ Verwenden Sie Kommas als Trennzeichen zwischen den Features.

■ Beachten Sie Groß- und Kleinschreibung.

■ Wenn Sie ein Feature auswählen, müssen Sie auch alle übergeordneten Features (Feature

Parents) zur Kommandozeile hinzufügen.

■

Bitte beachten Sie, dass die Feature-Namen von den zugehörigen Modulnamen abweichen können. Sie finden sie in unten stehender Tabelle in Klammern.

Die Features Client und CredentialProvider müssen Sie immer auflisten.

In den folgenden Tabellen sind alle Features aufgelistet, die auf den Endpoints installiert werden können. Weitere Informationen finden Sie unter:

Installationspakete und Features

(Seite 62).

Feature Parents

Client

Feature

Client, BaseEncryption

CredentialProvider

Obligatorisch Das Feature dient zur Anmeldung über den Credential Provider.

SectorBasedEncryption (SafeGuard Volume Based

Encryption)

BitLockerSupport

Nur Win 7: SectorBasedEncryption

Client,BaseEncryption BitLockerSupport (BitLocker)

Client,BaseEncryption,BitLockerSupport BitLockerSupportCR (BitLocker C/R)

NextGenDataProtection (Synchronized Encryption) Client, NextGenDataProtection

Client, LocationBasedEncryption

SecureDataExchange (Data Exchange)

Client, LocationBasedEncryption

FileShare (File Encryption)

CloudStorage (Cloud Storage)

SafeGuard Enterprise

2.11.3.6 Beispielbefehl: SafeGuard volume-basierende Verschlüsselung mit File Encryption

Die Kommandozeile hat folgende Funktion:

■ Die Endpoints werden mit den notwendigen Voraussetzungen für eine erfolgreiche

Installation der aktuellen Verschlüsselungssoftware ausgestattet.

■ Anmeldung an die Endpoints mit dem Windows 7 Credential Provider.

■ SafeGuard Enterprise Power-on Authentication (POA)

■ SafeGuard Enterprise volume-basierende Verschlüsselung.

■ SafeGuard File Encryption mit dateibasierender Verschlüsselung von Daten auf der lokalen

Festplatte und auf Netzwerkfreigaben

■ Das Konfigurationspaket, das den Endpoint als zentral verwalteten Endpoint konfiguriert und eine Verbindung zum SafeGuard Enterprise Server ermöglicht.

■ Log-Dateien werden erzeugt.

Beispielbefehl: msiexec /i F:\Software\SGxClientPreinstall.msi /qn /log

I:\Temp\SGxClientPreinstall.log

msiexec /i F:\Software\SGNClient.msi /qn /log I:\Temp\SGNClient.log

ADDLOCAL=Client,CredentialProvider,LocationBasedEncryption,FileShare

Installdir=C:\Program Files\Sophos\SafeGuard Enterprise msiexec /i F:\Software\SGNConfig_managed.msi /qn /log

I:\Temp\SGNConfig_managed.log

2.11.3.7 Beispielbefehl: SafeGuard BitLocker-Unterstützung mit Challenge/Response

Die Kommandozeile hat folgende Funktion:

■ Die Endpoints werden mit den notwendigen Voraussetzungen für eine erfolgreiche

Installation der aktuellen Verschlüsselungssoftware ausgestattet.

■ Anmeldung an die Endpoints mit dem Windows 7 Credential Provider.

■ SafeGuard BitLocker Unterstützung.

■ SafeGuard Challenge/Response für BitLocker Recovery.

■ Das Konfigurationspaket, das den Endpoint als zentral verwalteten Endpoint konfiguriert und eine Verbindung zum SafeGuard Enterprise Server ermöglicht.

■ Log-Dateien werden erzeugt.

Administratorhilfe

Beispielbefehl: msiexec /i F:\Software\SGxClientPreinstall.msi /qn /log

I:\Temp\SGxClientPreinstall.log

msiexec /i F:\Software\SGNClient_x64.msi /qn /log

I:\Temp\SGNClient_x64.log

ADDLOCAL=Client,CredentialProvider,BitLockerSupport,BitLockerSupportCR

Installdir=C:\Program Files\Sophos\SafeGuard Enterprise msiexec /i F:\Software\SGNConfig_managed.msi /qn /log

I:\Temp\SGNConfig_managed.log

2.11.3.8 Beispielbefehl: SafeGuard BitLocker-Unterstützung mit Challenge/Response und File Encryption

Die Kommandozeile hat folgende Funktion:

■ Die Endpoints werden mit den notwendigen Voraussetzungen für eine erfolgreiche

Installation der aktuellen Verschlüsselungssoftware ausgestattet.

■ Anmeldung an die Endpoints mit dem Windows 7 Credential Provider.

■ SafeGuard BitLocker Unterstützung.

■ SafeGuard Challenge/Response für BitLocker Recovery.

■ SafeGuard File Encryption mit dateibasierender Verschlüsselung von Daten auf der lokalen

Festplatte und auf Netzwerkfreigaben

■ Das Konfigurationspaket, das den Endpoint als zentral verwalteten Endpoint konfiguriert und eine Verbindung zum SafeGuard Enterprise Server ermöglicht.

■ Log-Dateien werden erzeugt.

Beispielbefehl: msiexec /i F:\Software\SGxClientPreinstall.msi /qn /log

I:\Temp\SGxClientPreinstall.log

msiexec /i F:\Software\SGNClient_x64.msi /qn /log

I:\Temp\SGNClient_x64.log

ADDLOCAL=Client,CredentialProvider,BitLockerSupport,BitLockerSupportCR,FileShare

Installdir=C:\Program Files\Sophos\SafeGuard Enterprise msiexec /i F:\Software\SGNConfig_managed.msi /qn /log

I:\Temp\SGNConfig_managed.log

SafeGuard Enterprise

2.11.3.9 Beispielbefehl: Kernel-Lader umschalten

Der POA-Kernel, der für Neuinstallationen verwendet wird, ist für die Verwendung mit

NVMe-Laufwerken optimiert. Wenn Sie einen neu eingerichteten POA-Endpoint starten, wird neben der Versionsnummer "RM" angezeigt; das bedeutet, dass Sie den aktuellen RM-Kernel verwenden. Sie können jedoch auf den alten "v86"-Kernel wechseln indem Sie folgenden

Befehl verwenden:

Beispielbefehl: msiexec.exe /i SGNClient.msi KERNELLOADER=v86

Um zum "RM"-Kernel zurückzukehren brauchen Sie folgenden Befehl:

Beispielbefehl: msiexec.exe /i SGNClient.msi KERNELLOADER=RM

2.11.4 Installation gemäß FIPS

Die FIPS-Zertifizierung beschreibt Sicherheitsanforderungen für Verschlüsselungsmodule.

So stellen z. B. Behörden in den USA und in Kanada an Software für besonders sicherheitskritische Informationen die Anforderung der FIPS 140-2 Zertifizierung.

SafeGuard Enterprise verwendet FIPS-zertifizierte AES-Algorithmen, aber standardmäßig wird eine neue, schnellere Implementierung der AES-Algorithmen installiert, die noch nicht

FIPS-zertifiziert ist.

Um die FIPS-zertifizierte Variante des AES-Algorithmus zu nutzen, setzen Sie beim Installieren der SafeGuard Enterprise Verschlüsselungssoftware die Eigenschaft FIPS_AES auf 1 (eins).

Das machen Sie, indem Sie die Eigenschaft zum Kommandozeilen-Skript hinzufügen: msiexec /i F:\Software\SGNClient.msi FIPS=1

Hinweis: Dies betrifft nur SafeGuard Enterprise Device Encryption und Windows 7.

Hinweis: Wenn Sie eine FIPS-konforme Installation aktualisieren, beachten Sie bitte, dass die neuen Versionen ebenfalls gemäß FIPS installiert werden, unabhängig davon, welche

Einstellung Sie wählen.

2.11.5 Installation auf selbst-verschlüsselnden Opal-Festplatten

SafeGuard Enterprise unterstützt den anbieter-unabhängigen Opal-Standard für selbst-verschlüsselnde Festplatten und bietet die Verwaltung von Endpoints mit dieser Art von Festplatten.

Um sicherzustellen, dass die Unterstützung von selbst-verschlüsselnden Opal-Festplatten diesem Standard möglichst genau entspricht, werden bei der Installation von SafeGuard

Enterprise auf dem Endpoint zwei Arten von Prüfungen durchgeführt:

■ Funktionale Prüfungen

Administratorhilfe

Hier wird u. a. geprüft, ob sich die Festplatte als "OPAL"-Festplatte identifiziert, ob

Kommunikationseinstellungen korrekt sind und ob alle für SafeGuard Enterprise erforderlichen Opal Features von der Festplatte unterstützt werden.

■ Sicherheitsprüfungen

Mit Sicherheitsprüfungen wird sichergestellt, dass nur SafeGuard Enterprise Benutzer auf der Festplatte registriert sind und dass nur SafeGuard Enterprise Benutzer die Schlüssel für die software-basierende Verschlüsselung von nicht selbst-verschlüsselnden Laufwerken haben. Wird bei der Installation festgestellt, dass andere Benutzer registriert sind, versucht

SafeGuard Enterprise automatisch, diese zu deaktivieren. Diese Funktionalität wird durch den Opal-Standard gefordert. Ausgenommen sind hier einige wenige Standard "Authorities", die für den Betrieb eines Opal-Systems erforderlich sind.

Hinweis: Diese Sicherheitsprüfungen werden wiederholt, wenn nach einer erfolgreichen

Installation im Opal-Modus eine Verschlüsselungsrichtlinie für die Festplatte angewendet wird. Schlagen diese fehl, so haben seit der ersten Prüfung bei der Installation außerhalb von SafeGuard Enterprise Eingriffe in die Laufwerksverwaltung stattgefunden. In diesem

Fall sperrt SafeGuard Enterprise nicht die Opal-Festplatte. Es wird eine entsprechende

Meldung angezeigt.

Sollten einige dieser Prüfungen ohne Recovery-Möglichkeit fehlschlagen, so wird für die

Installation nicht die software-basierende Verschlüsselung angewendet. Stattdessen bleiben alle Volumes auf der Opal-Festplatte unverschlüsselt.

Ab SafeGuard Enterprise Version 7 werden standardmäßig keine Opal-Prüfungen durchgeführt.

Das bedeutet: Auch wenn ein Opal-Laufwerk vorhanden ist, verschlüsselt SafeGuard Enterprise

Volumes auf diesem Laufwerk mit softwarebasierter Verschlüsselung.

Wenn Sie erzwingen möchten, dass Opal-Prüfungen durchgeführt werden, verwenden Sie folgende Kommandozeilensyntax:

MSIEXEC /i <name_of_selected_client_msi>.msi OPALMODE=0

Hinweis: Mit einem Upgrade von SafeGuard Enterprise 6.x auf SafeGuard Enterprise 7.0

auf einem System mit einer Opal HDD, die im Opal HW-Verschlüsselungsmodus betrieben wird, bleibt dieser Verschlüsselungsmodus erhalten.

Bei einigen Opal-Festplatten bestehen u. U. Sicherheitsprobleme. Es besteht keine Möglichkeit, automatisch festzustellen, welche Privilegien unbekannten Benutzern/Authorities zugeordnet sind, die bereits zum Zeitpunkt der SafeGuard Enterprise Installation/Verschlüsselung registriert waren. Wenn die Festplatte den Befehl, diese Benutzer zu deaktivieren, nicht ausführt, wendet

SafeGuard Enterprise die software-basierende Verschlüsselung an, um die größtmögliche

Sicherheit für den SafeGuard Enterprise Benutzer zu gewährleisten. Da wir für die Festplatten selbst keine Sicherheitsgarantien geben können, haben wir einen speziellen

Installationsschalter implementiert. Diesen Schalter können Sie verwenden, um Festplatten mit potentiellen Sicherheitsrisiken auf eigene Verantwortung zu benutzen. Eine Liste der

Festplatten, für die dieser Schalter erforderlich ist, sowie weitere Informationen zu unterstützten

Festplatten finden Sie in den SafeGuard Enterprise Release Notes.

Um den Installationsschalter anzuwenden, benutzen Sie folgende Kommandozeilensyntax:

MSIEXEC /i <name_of_selected_client_msi>.msi

IGNORE_OPAL_AUTHORITYCHECK_RESULTS=1

Wenn Sie die Installation mit einem Transform durchführen möchten: Die interne Eigenschaft der .msi-Datei hat denselben Namen.

SafeGuard Enterprise

2.12 Installieren der Verschlüsselungssoftware auf Mac

OS X

Das folgende Kapitel beschreibt die Installation der Sophos Verschlüsselungs-Software auf

Mac OS X Client-Rechnern. Folgende Produkte stehen zur Verfügung:

■

Sophos SafeGuard Native Device Encryption

Sophos SafeGuard File Encryption

Für beide Produkte sind zwei Installationstypen möglich:

■ automatisierte (unbeaufsichtigte) Installation

■ manuelle (beaufsichtigte) Installation

Wenn Sie SafeGuard File Encryption und SafeGuard Native Device Encryption verwenden möchten, muss es sich in beiden Fällen um Version 8 handeln.

2.12.1 Installationsvoraussetzungen

Stellen Sie vor dem Beginn der Installation sicher, dass das SafeGuard

Enterprise-SSL-Serverzertifikat in den System-Schlüsselbund importiert wurde und für SSL auf Immer vertrauen gesetzt ist.

1. Bitten Sie Ihren SafeGuard Server-Administrator, Ihnen das SafeGuard

Enterprise-Serverzertifikat (Datei <Zertifikatsname>.cer).zur Verfügung zu stellen.

2. Importieren Sie die Datei <Zertifikatname>.cer) in Ihren Schlüsselbund. Wählen Sie dazu

Programme - Dienstprogramme und doppelklicken Sie Schlüsselbundverwaltung.app.

3. Wählen Sie im linken Fensterbereich System.

4. Öffnen Sie ein Finder-Fenster und wählen Sie die Datei <Zertifikatname>.cer von oben.

5. Ziehen Sie die Zertifikatsdatei in die Schlüsselbundverwaltung.

6. Geben Sie Ihr Mac OS X Kennwort ein, wenn Sie dazu aufgefordert werden.

7. Klicken Sie auf Schlüsselbund ändern, um den Vorgang zu bestätigen.

8. Doppelklicken Sie in der Keychain Access.app auf <Zertifikatname>.cer .

9. Klicken Sie auf den Pfeil neben Vertrauen, um die Vertrauenseinstellungen anzuzeigen.

10. Wählen Sie für Secure Sockets Layer (SSL) die Option Immer vertrauen.

11. Schließen Sie den Dialog.

12. Geben Sie Ihr Mac OS X Kennwort ein und klicken Sie zum Bestätigen auf Einstellungen

aktualisieren.

Ein blaues Plus-Zeichen in der unteren rechten Ecke des Zertifikats-Symbols zeigt Ihnen, dass dieses Zertifikat als vertrauenswürdig für alle Benutzer eingestuft ist.

13. Öffnen Sie einen Browser und geben Sie https://<Servername>/SGNSRV ein, um sicherzustellen, dass Ihr SafeGuard Enterprise Server verfügbar ist.

Nun können Sie mit der Installation beginnen.

Hinweis:

Das Zertifikat kann auch importiert werden, indem der folgende Befehl ausgeführt wird: sudo

/usr/bin/security add-trusted-cert -d -k

/Library/Keychains/System.keychain -r trustAsRoot -p ssl

Administratorhilfe

"/<Ordner>/<Zertifikatsname>.cer" . Dieser Befehl kann auch für eine automatisierte

Installation mittels Skript verwendet werden. Ändern Sie die Namen des Ordners und des

Zertifikats entsprechend Ihren Anforderungen.

2.12.2 Automatisierte Installation von SafeGuard Native Device Encryption

Eine automatisierte (unbeaufsichtigte) Installation erfordert keinen Benutzereingriff während des Installationsprozesses.

Der folgende Abschnitt beschreibt die grundsätzlichen Schritte einer automatisierten Installation von SafeGuard Native Device Encryption für Mac. Verwenden Sie die Managementsoftware, die auf Ihrem System installiert ist. Je nach Managementsoftware-Lösung, die Sie verwenden, können die tatsächlichen Schritte von der Beschreibung abweichen.

Um SafeGuard Native Device Encryption für Mac auf Client-Rechnern zu installieren, gehen

Sie wie folgt vor:

1. Laden Sie die Installationsdatei Sophos SafeGuard DE.dmg herunter.

2. Kopieren Sie die Datei auf die Zielrechner.

3. Installieren Sie die Datei auf den Zielrechnern. Wenn Sie Apple Remote Desktop verwenden, sind die Schritte 2 und 3 zu einem einzelnen Schritt zusammengefasst.

4. Wählen Sie die Konfigurations-Zip-Datei aus und kopieren Sie sie auf die Zielrechner

(siehe

Erzeugen eines Konfigurationspakets für Macs (Seite 99)).

5. Führen Sie auf den Zielrechnern das folgende Kommando aus:

/usr/bin/sgdeadmin --import-config /Pfad/zur/Datei.zip

6. Passen Sie /Pfad/zur/Datei auf Ihre Einstellungen an. Dieses Kommando muss mit

Administratorrechten ausgeführt werden. Wenn Sie Apple Remote Desktop verwenden, geben Sie root in das Feld Benutzername ein um festzulegen, welcher Benutzer das

Kommando oben ausführt.

Hinweis:

Weitere Informationen finden Sie im Sophos Knowledgebase-Artikel 120507 .

2.12.3 Manuelle Installation von SafeGuard Native Device Encryption

Eine manuelle (oder beaufsichtigte) Installation ermöglicht Ihnen, die Installation

Schritt-für-Schritt zu steuern und zu testen. Sie wird auf Mac-Einzelplatzrechnern durchgeführt.

1. Öffnen Sie Sophos SafeGuard DE.dmg.

2. Nachdem Sie die Readme-Datei gelesen haben, doppelklicken Sie auf Sophos SafeGuard

DE.pkg und folgen Sie den Anweisungen des Installationsassistenten. Sie werden nach

Ihrem Kennwort gefragt, um die Installation neuer Software zu erlauben. Das Produkt wird im Ordner /Library/Sophos SafeGuard DE/ installiert.

3. Klicken Sie auf Schließen, um die Installation abzuschließen.

4. Nach einem Neustart melden Sie sich mit Ihrem Mac Kennwort an.

5. Öffnen Sie die Systemeinstellungen und klicken Sie auf das Sophos Encryption-Symbol, um die Produkteinstellungen anzuzeigen.

6. Klicken Sie auf die Registerkarte Server.

SafeGuard Enterprise

7. Werden Server und Zertifikatsdetails angezeigt, so überspringen Sie die nächsten Schritte und gehen Sie zu Schritt 11. Wird keine Information angezeigt, so fahren Sie mit dem nächsten Schritt fort.

8. Wählen Sie die Konfigurations-Zip-Datei aus und kopieren Sie sie auf die Zielrechner

(siehe

Erzeugen eines Konfigurationspakets für Macs (Seite 99)).

9. Ziehen Sie die Zip-Datei in den Server-Dialog und lassen Sie sie in der Dropzone los.

10. Sie werden aufgefordert, Ihr Mac-Administratorkennwort einzugeben. Geben Sie das

Kennwort ein und klicken Sie zur Bestätigung auf OK.

11. Überprüfen Sie die Verbindung zum SafeGuard Enterprise Server. Details zum

Unternehmenszertifikat werden im unteren Teil des Serverdialogs angezeigt. Klicken Sie dann auf Synchronisieren. Eine erfolgreichen Verbindung erkennen Sie an einem aktualisierten Zeitstempel (Registerkarte Server, Serverinfo-Bereich, Letzter

Serverkontakt:). Bei einer unterbrochenen Verbindung erscheint das folgende Symbol:

Weitere Informationen finden Sie in der System-Logdatei.

2.12.4 Automatisierte Installation von SafeGuard File Encryption

Eine automatisierte (unbeaufsichtigte) Installation erfordert keinen Benutzereingriff während des Installationsprozesses.

Der folgende Abschnitt beschreibt die grundsätzlichen Schritte einer automatisierten Installation von SafeGuard File Encryption für Mac. Verwenden Sie die Managementsoftware, die auf

Ihrem System installiert ist. Je nach Managementsoftware-Lösung, die Sie verwenden, können die tatsächlichen Schritte von der Beschreibung abweichen.

Um SafeGuard File Encryption für Mac auf Client-Rechnern zu installieren, gehen Sie wie folgt vor:

1. Laden Sie die Installationsdatei Sophos SafeGuard FE.pkg herunter.

2. Kopieren Sie die Datei auf die Zielrechner.

3. Installieren Sie die Datei auf den Zielrechnern. Wenn Sie Apple Remote Desktop verwenden, sind die Schritte 2 und 3 zu einem einzelnen Schritt zusammengefasst.

4. Wählen Sie die Konfigurations-Zip-Datei aus und kopieren Sie sie auf die Zielrechner

(siehe

Erzeugen von Konfigurationspaketen

(Seite 56)).

5. Führen Sie auf den Zielrechnern das folgende Kommando aus:

/usr/bin/sgdeadmin --import-config /Pfad/zur/Datei.zip

6. Passen Sie /Pfad/zur/Datei auf Ihre Einstellungen an. Dieses Kommando muss mit

Administratorrechten ausgeführt werden. Wenn Sie Apple Remote Desktop verwenden, geben Sie root in das Feld Benutzername ein um festzulegen, welcher Benutzer das

Kommando oben ausführt.

7. Sie können Ihrem Workflow weitere Schritte je nach Ihren spezifischen Einstellungen hinzufügen wie z.B. die Zielrechner herunterzufahren.

Hinweis: Weitere Informationen finden Sie im Sophos Knowledgebase-Artikel 120507 .

2.12.5 Manuelle Installation von SafeGuard File Encryption

Eine manuelle (oder beaufsichtigte) Installation ermöglicht Ihnen, die Installation

Schritt-für-Schritt zu steuern und zu testen. Sie wird auf Mac-Einzelplatzrechnern durchgeführt.

1. Öffnen Sie Sophos SafeGuard FE.dmg.

Administratorhilfe

2. Nachdem Sie die Readme-Datei gelesen haben, doppelklicken Sie auf Sophos SafeGuard

FE.pkg und folgen Sie den Anweisungen des Installationsassistenten. Sie werden nach

Ihrem Kennwort gefragt, um die Installation neuer Software zu erlauben. Das Produkt wird im Ordner /Library/Sophos SafeGuard FS/ installiert.

3. Klicken Sie auf Schließen, um die Installation abzuschließen.

4. Öffnen Sie die Systemeinstellungen und klicken Sie auf das Sophos Encryption-Symbol, um die Produkteinstellungen anzuzeigen.

5. Klicken Sie auf die Registerkarte Server.

6. Werden Server und Zertifikatsdetails angezeigt, so überspringen Sie die nächsten Schritte und gehen Sie zu Schritt 11. Wird keine Information angezeigt, so fahren Sie mit dem nächsten Schritt fort.

7. Wählen Sie die Konfigurations-Zip-Datei aus und kopieren Sie sie auf die Zielrechner

(siehe

Erzeugen von Konfigurationspaketen

(Seite 56)).

8. Ziehen Sie die Zip-Datei in den Server-Dialog und lassen Sie sie in der Dropzone los.

9. Sie werden aufgefordert, Ihr Mac-Administratorkennwort einzugeben. Geben Sie das

Kennwort ein und klicken Sie zur Bestätigung auf OK.

10. Geben Sie Ihr Mac-Kennwort ein, um Ihr SafeGuard Benutzerzertifikat anzufordern.

11. Überprüfen Sie die Verbindung zum SafeGuard Enterprise Server. Details zum

Serverkontakt:). Bei einer unterbrochenen Verbindung erscheint das folgende Symbol:

Mehr Information finden Sie in der System-Logdatei.

2.13 Aktualisierung

SafeGuard Enterprise 6.10 oder höher kann direkt auf die aktuelle Version von SafeGuard

Enterprise aktualisiert werden. Wenn Sie eine Aktualisierung von einer älteren Version durchführen möchten, müssen Sie zunächst eine Aktualisierung auf Version 6.10 durchführen.

Während einer Aktualisierung können Sie keine Änderungen der installierten Features oder

Module vornehmen. Sollten Änderungen erforderlich sein, führen Sie den Installer der bereits

vorhandenen Version erneut aus und ändern Sie die Installation (siehe Migration

(Seite 80)).

Die Versionsnummern der SafeGuard Enterprise Datenbank, des SafeGuard Enterprise

Servers und des SafeGuard Management Center müssen übereinstimmen. Die folgenden

Komponenten werden bei einer Aktualisierung auf die aktuelle Version von SafeGuard

Enterprise aktualisiert. Führen Sie die Aktualisierung in der angegebenen Reihenfolge aus:

1. SafeGuard Enterprise Server

2. SafeGuard Management Center

3. SafeGuard Enterprise Web Helpdesk

4. Durch SafeGuard Enterprise geschützte Endpoints

5. SafeGuard Enterprise Konfigurationspakete

Standardmäßig werden alle Richtlinien vom Typ Dateiverschlüsselung wie Richtlinien mit

Verschlüsselungstyp Pfadbasiert behandelt oder in solche konvertiert.

SafeGuard Enterprise

Hinweis: Nach der Aktualisierung aller SafeGuard Enterprise Komponenten und Endpoints auf Version 8.0 empfehlen wir die Umstellung auf den sichereren Algorithmus SHA-256 für das Signieren von durch SafeGuard Enterprise erzeugten Zertifikaten.

2.13.1 Aktualisieren von SafeGuard Enterprise Server

Voraussetzungen

■ SafeGuard Enterprise Server 6.10 oder höher muss installiert sein. Versionen unter 6.10

müssen erst auf SafeGuard Enterprise Server 6.10 aktualisiert werden.

■ .NET Framework 4.5 und ASP.NET 4.5 (in der SafeGuard Enterprise Produktlieferung enthalten) müssen installiert sein.

■ Stellen Sie sicher, dass Sie über Windows Administratorrechte verfügen.

So aktualisieren Sie den SafeGuard Enterprise Server:

1. Installieren Sie die neueste Version des SafeGuard Enterprise Server Installationspakets

SGNServer.msi

Wenn Sie alle SafeGuard Enterprise Komponenten (Server, Management Center, Web

Helpdesk) aktualisiert haben, müssen Sie den SafeGuard Enterprise Server neu starten.

2.13.2 Aktualisieren des SafeGuard Management Center

Voraussetzungen:

■ SafeGuard Management Center 6.10 oder höher muss installiert sein. Versionen unter

6.10 müssen erst auf SafeGuard Management Center 6.10 aktualisiert werden.

■ Die Versionsnummern der SafeGuard Enterprise Datenbank, des SafeGuard Enterprise

Servers und des SafeGuard Management Center müssen übereinstimmen.

■

SafeGuard Management Center 8.0 kann Endpoints verwalten, die mit SafeGuard

Enterprise 6.0 oder höher geschützt werden.

.NET Framework 4,5 ist erforderlich. Dies muss vor der Aktualisierung installiert werden.

Das Programm steht in der SafeGuard Enterprise Produktlieferung zur Verfügung.

■ Stellen Sie sicher, dass Sie über Windows Administratorrechte verfügen.

■ Wenn Sie eine Aktualisierung von SafeGuard Enterprise 5.x auf SafeGuard Enterprise 8,0 durchführen, müssen Sie manuell eine Standard-Evaluierungslizenz für SafeGuard Cloud

Storage und SafeGuard File Encryption importieren Die Lizenzdatei steht in Ihrer

Produktlieferung zur Verfügung.

So aktualisieren Sie das SafeGuard Management Center:

1. Installieren Sie die aktuelle Version des SafeGuard Management Center Installationspakets mit den erforderlichen Features, siehe

Migration

(Seite 80).

2. Starten Sie das SafeGuard Management Center.

3. Das System überprüft die Version der SafeGuard Enterprise Datenbank und aktualisiert automatisch auf die neue Version.

4. Vor dem Update werden Sie dazu aufgefordert, Ihre Datenbank zu sichern.

SafeGuard Management Center und Datenbank wurden auf die neueste Version aktualisiert.

Administratorhilfe

Übertragen Sie nach der Aktualisierung keine bestehenden POA-Benutzer auf Endpoints, die durch SafeGuard Enterprise geschützt sind. Diese würden in diesem Fall als normale Benutzer behandelt und als Benutzer auf den entsprechenden Endpoints registriert.

Falls Sie für Sicherungszwecke Richtlinien exportiert haben, exportieren Sie sie nach der

Aktualisierung des SafeGuard Management Center erneut. Richtlinien, die mit älteren

Versionen exportiert wurden, können nicht importiert werden.

2.13.3 Aktualisieren des Web Helpdesk

So aktualisieren Sie den Web Helpdesk:

1. Stellen Sie sicher, dass Sie den SafeGuard Enterprise Server aktualisiert haben

( SGNServer.msi

2. Installieren Sie die aktuelle Version von SGNWebHelpDesk.msi

Wenn Sie alle SafeGuard Enterprise Komponenten (Server, Management Center, Web

Helpdesk) aktualisiert haben, müssen Sie den SafeGuard Enterprise Server neu starten.

2.13.4 Aktualisierung von Endpoints

Dieses Kapitel gilt sowohl für zentral verwaltete Endpoints als auch für Standalone-Endpoints.

Voraussetzungen

■ Version 6.10 oder höher der SafeGuard Enterprise Verschlüsselungssoftware muss installiert sein. Ältere Versionen müssen zuerst auf Version 6.10 aktualisiert werden.

■ Die SafeGuard Enterprise Datenbank, der SafeGuard Enterprise Server und das SafeGuard

Management Center müssen auf die neueste Version aktualisiert sein. Die

Versionsnummern der SafeGuard Enterprise Datenbank, des SafeGuard Enterprise Servers und des SafeGuard Management Center müssen für einen erfolgreichen Betrieb

übereinstimmen.

■ SafeGuard Management Center 8.0 und SafeGuard Enterprise Server 8.0 können durch

SafeGuard Enterprise geschützte Endpoints mit Version 6.0 und höher verwalten. Jedoch empfehlen wir die Verwendung derselben Version der Verschlüsselungssoftware auf allen

Endpoints.

■ Stellen Sie sicher, dass Sie über Windows Administratorrechte verfügen.

So aktualisieren Sie durch SafeGuard Enterprise geschützte Endpoints:

1. Melden Sie sich an dem Computer als Administrator an.

2. Installieren Sie das aktuelle Prä-Installationspaket SGxClientPreinstall.msi . Dieses

Paket stattet den Endpoint mit den nötigen Voraussetzungen für eine erfolgreiche

Installation der neuen Verschlüsselungssoftware aus.

Deinstallieren Sie keine alten Prä-Installationspakete da diese automatisch aktualisiert werden.

SafeGuard Enterprise

3. Installieren Sie die aktuelle Version der SafeGuard Enterprise Verschlüsselungssoftware.

Abhängig von der installierten Version wird eine direkte Aktualisierung unter Umständen nicht unterstützt. Ältere Versionen müssen aktualisiert werden, bis Version 6.10 erreicht ist.

Der Windows Installer erkennt, welche Features bereits installiert sind und aktualisiert auch nur diese Features. Wenn die Power-on Authentication installiert ist, steht nach erfolgreicher Migration (Richtlinien, Schlüssel usw.) auch ein aktualisierter POA-Kernel zur Verfügung. SafeGuard Enterprise wird auf dem Computer automatisch neu gestartet.

4. Um Configuration Protection vollständig zu entfernen, müssen Sie auch SGNCPClient.msi

(oder SGNCPClient_x64.msi) deinstallieren.

5. Nach dem Abschluss der Installation starten Sie den Endpoint neu, wenn Sie danach gefragt werden.

Die aktuelle Version der SafeGuard Enterprise Verschlüsselungssoftware ist auf den Endpoints installiert. Als Nächstes aktualisieren Sie die Konfiguration der Endpoints.

Hinweis: Während einer Aktualisierung können Sie keine Änderungen der installierten Module

vornehmen. Falls Änderungen erforderlich sind, lesen Sie unter Migration (Seite 80) nach.

2.13.5 Aktualisieren der Konfigurationspakete der Endpoints

Nach der Aktualisierung der Back-End-Software empfehlen wir dringend, alle alten

Konfigurationspakete aus Sicherheitsgründen zu löschen. Neuinstallationen des SafeGuard

Client müssen mit einem Konfigurationspaket erfolgen, das mit SafeGuard Management

Center Version 8.0 erstellt wurde. Konfigurationspakete, die mit früheren Versionen des

SafeGuard Management Center erstellt wurden, werden nicht unterstützt.

Konfigurationspakete auf bestehenden (bereits konfigurierten) Endpoints müssen in den folgenden Fällen aktualisiert werden:

■ Mindestens einer der konfigurierten SafeGuard Server wurde geändert (trifft nur bei zentral verwalteten Endpoints zu).

■

Die Richtlinien müssen geändert werden (trifft nur bei Endpoints im Standalone-Modus zu).

Zum Anwenden von Certificate Change Orders (CCO).

■ Wen der Hash-Algorithmus zum Signieren der selbst-signierten Zertifikate von SHA-128 auf SHA-256 geändert wird.

Hinweis: Weitere Informationen finden Sie im Abschnitt Ändern des Algorithmus für

selbst-signierte Zertifikate.

Hinweis: Ein Endpoint kann von einem zentral verwalteten zu einem Standalone-Client herabgestuft werden, indem das verwaltete Konfigurationspaket deinstalliert und ein nicht verwaltetes Konfigurationspaket installiert wird.

2.14 Migration

Migration bedeutet eine Umstellung installierter Produkte, Module oder Features innerhalb derselben Version. Sie müssen Ihr Produkt daher innerhalb der alten Version migrieren oder zuerst die Installation aktualisieren und anschließend die Migration vornehmen.

Hinweis: Falls Sie Ihr aktuell installiertes Produkt oder die aktuell installierte Version in dieser

Anleitung nicht finden, wird keine direkte Aktualisierung oder Migration unterstützt.

Administratorhilfe

Informationen zu den Möglichkeiten einer Aktualisierung oder Migration finden Sie in der

Dokumentation Ihres Produkts oder Ihrer Version.

Hinweis: Wenn mit Ihrem Migrationsszenario eine Änderung Ihrer Lizenz für die Sophos

Verschüsselungssoftware verbunden ist, muss Ihre neue Lizenz für die Migration zur Verfügung stehen.

2.14.1 Migration von SafeGuard Easy

Sie können eine Migration der Standalone-Lösung SafeGuard Easy zur SafeGuard Enterprise

Suite mit zentraler Verwaltung durchführen. Somit können Sie umfassende

Verwaltungsfunktionen nutzen, zum Beispiel Benutzer- und Computerverwaltung oder umfangreiche Protokollierungfunktionen.

■ Setzen Sie die letzte Version des SafeGuard Enterprise Servers auf.

■ Migrieren Sie die Management-Konsole.

■ Migrieren Sie die Endpoints auf eine zentral verwaltete Konfiguration.

2.14.1.1 Migration der Management-Konsole

Voraussetzungen

■ Sie müssen den SafeGuard Policy Editor nicht deinstallieren.

■

.NET Framework 4.5 und ASP.NET 4.5 (in der SafeGuard Enterprise Produktlieferung enthalten) müssen installiert sein.

Stellen Sie sicher, dass Sie über Windows Administratorrechte verfügen.

So migrieren Sie die Management-Konsole:

1. Starten Sie auf dem Computer, auf dem der SafeGuard Policy Editor installiert ist,

SGNManagementCenter.msi

. Ein Assistent führt Sie durch die Installation. Übernehmen

Sie die Standardeinstellungen.

2. Starten Sie Ihren Computer neu, wenn Sie dazu aufgefordert werden.

3. Starten Sie das SafeGuard Management Center, um die Erstkonfiguration durchzuführen.

4. Konfigurieren Sie die SafeGuard Enterprise Richtlinien nach Ihren Wünschen.

Der SafeGuard Policy Editor wurde zum SafeGuard Management Center migriert.

2.14.1.2 Migrieren von Endpoints auf eine zentral verwaltete Konfiguration.

Standalone-Endpoints lassen sich zu einer zentral verwalteten Konfiguration migrieren. Diese

Endpoints können dadurch im SafeGuard Management Center verwaltet werden und haben eine Verbindung zum SafeGuard Enterprise Server.

Hinweis: Wenn Sie den Endpoint bereits auf die aktuelle Version aktualisiert haben und nur die Konfiguration ändern möchten, beginnen Sie mit Schritt 6.

Voraussetzungen

■ Erstellen Sie ein Backup des Endpoints.

■ Stellen Sie sicher, dass Sie über Windows Administratorrechte verfügen.

SafeGuard Enterprise

■ Es ist keine Deinstallation der Sophos SafeGuard Verschlüsselungssoftware auf den

Endpoints nötig. Sophos SafeGuard Version 6.10 oder höher muss auf den Endpoints installiert sein. Ältere Versionen müssen aktualisiert werden, bis Version 6.10 erreicht ist.

Um Endpoints lokal zu migrieren:

1. Melden Sie sich an dem Endpoint als Administrator an.

2. Installieren Sie das aktuelle Prä-Installationspaket SGxClientPreinstall.msi . Dieses

Paket stattet den Endpoint mit den nötigen Voraussetzungen für eine erfolgreiche

Installation der neuen Verschlüsselungssoftware aus.

Verwenden Sie keine veralteten Prä-Installationspakete.

3. Installieren Sie die aktuelle Version der Sophos SafeGuard Verschlüsselungssoftware.

Der Windows Installer erkennt, welche Features bereits installiert sind und aktualisiert auch nur diese Features. Wenn die Power-on Authentication installiert ist, steht nach erfolgreicher Migration (Richtlinien, Schlüssel usw.) auch ein aktualisierter POA-Kernel zur Verfügung. Sophos SafeGuard wird auf dem Endpoint automatisch neu gestartet.

4. Nach dem Abschluss der Installation starten Sie den Endpoint neu, wenn Sie danach gefragt werden.

5. Klicken Sie im SafeGuard Management Center im Extras Menü auf Konfigurationspakete.

Klicken Sie auf Pakete für Managed Clients und erstellen Sie ein Konfigurationspaket für zentral verwaltete Endpoints.

6. Weisen Sie dieses Paket dem Endpoint über eine Gruppenrichtlinie zu.

Wichtig: Die Power-on-Authentisierung ist deaktiviert, da die Benutzer-Computer

Zuordnung nicht aktualisiert wird. Nach der Migration sind die Endpoints damit ungeschützt.

7. Der Benutzer muss den Endpoint neu starten. Die erste Anmeldung erfolgt noch über

Autologon. Neue Schlüssel und Zertifikate werden dem Benutzer zugewiesen.

8. Der Benutzer muss den Endpoint noch einmal starten und sich an der Power-on

Authentication anmelden. Die Endpoints werden erst nach dem zweiten Neustart geschützt.

9. Löschen Sie alte und nicht mehr verwendete Konfigurationspakete.

Der Endpoint hat nun eine Verbindung zum SafeGuard Enterprise Server.

2.14.2 Migration von Sophos Disk Encryption

Sophos Disk Encryption wird nicht mehr unterstützt. Sie müssen auf SafeGuard Enterprise migrieren. Weitere Informationen finden Sie im Sophos Knowledgebase-Artikel 121160 .

2.14.3 Ändern der SafeGuard-Installation auf Endpoints

Sollten Änderungen der installierten Module erforderlich sein, führen Sie den Installer der bereits vorhandenen Version erneut aus und ändern Sie die Installation. Es gelten die folgenden

Einschränkungen:

■ Synchronized Encryption kann nicht auf Endpoints installiert werden, auf denen bereits pfadbasierte Dateiverschlüsselung verwendet wird.

■ Bei einem Wechsel von SafeGuard volume-basierender Verschlüsselung auf BitLocker

Verschlüsselung oder umgekehrt muss das Produkt deinstalliert und neu installiert werden

(Daten müssen entschlüsselt sein).

Administratorhilfe

■ Bei einem Wechsel von BitLocker-Unterstützung auf BitLocker mit Challenge/Response oder umgekehrt muss das Produkt deinstalliert und neu installiert werden (Daten müssen entschlüsselt sein).

Die Systemanforderungen für jedes Modul finden Sie in den Versionsinfos.

Informationen zum Migrieren des Betriebssystems finden Sie unter

Migration von Endpoints auf ein anderes Betriebssystem

(Seite 83).

2.14.4 Migration von Endpoints auf ein anderes Betriebssystem

Endpoints mit SafeGuard Enterprise können von Windows 7/8 auf Windows 10 migriert werden.

Nur bei Endpoints mit Windows 7 und SafeGuard Full Disk Encryption muss letzteres vor der

Migration auf Windows 10 deinstalliert werden. SafeGuard Full Disk Encryption wird unter

Windows 10 nicht unterstützt. Nähere Informationen zur Deinstallation finden Sie unter

Deinstallation - Überblick (Seite 83). Information zur Verwendung von BitLocker finden Sie

unter

Vorbereitung für die Unterstützung von BitLocker Drive Encryption (Seite 60).

Sie können keine Endpoints auf denen SafeGuard Enterprise installiert ist von Windows 7 auf Windows 8 migrieren. Wenn Sie ein älteres Betriebssystem als Windows 10 verwenden, ist es nur möglich, die Service Pack Version Ihres Betriebssystems zu aktualisieren.

2.15 Deinstallation - Überblick

Führen Sie zum Deinstallieren der SafeGuard Enterprise Verschlüsselungssoftware folgende

Schritte durch:

■

Entschlüsseln Sie verschlüsselte Daten.

Deinstallieren Sie das Konfigurationspaket.

■ Deinstallieren Sie die Verschlüsselungssoftware.

Damit Entschlüsselung und Deinstallation möglich sind, müssen auf den Endpoints die entsprechenden Richtlinien wirksam sein.

Wenn sich nach der Deinstallation ein Benutzer mit Administratorrechten am Endpoint anmeldet, wird im Hintergrund ein Bereinigungstool gestartet. Der Benutzer wird darüber informiert, dass die Bereinigung einen abschließenden Neustart benötigt.

Sie finden das Bereinigungstool hier: C:\Programme (x86)\Sophos\SafeGuard

Enterprise\SGNCleanUp.exe

2.15.1 Entschlüsseln von verschlüsselten Daten

Folgende Voraussetzung muss erfüllt sein:

Für die Entschlüsselung von verschlüsselten Volumes müssen alle volume-basierend verschlüsselten Volumes einen Laufwerksbuchstaben haben.

1. Bearbeiten Sie im SafeGuard Management Center die aktuelle Richtlinie vom Typ

Geräteschutz, den den zu entschlüsselnden Computern zugewiesen ist. Wählen Sie die

Ziele und stellen Sie die Option Benutzer darf Volume entschlüsseln auf Ja ein. Weisen

Sie die Richtlinie den relevanten Endpoints zu.

2. Erstellen Sie eine Richtlinie vom Typ Geräteschutz, wählen Sie die Ziele, die entschlüsselt werden sollen und stellen Sie den Verschlüsselungsmodus für Medien auf Keine

Verschlüsselung ein.

SafeGuard Enterprise

3. Legen Sie unter Benutzer & Computer eine Gruppe für die Computer an, die Sie entschlüsseln möchten: Rechtsklicken Sie auf den Domänenkonten, an dem Sie die Gruppe erstellen möchten. Wählen Sie dann Neu > Neue Gruppe erzeugen.

4. Wählen Sie den Domänenknoten dieser Gruppe und weisen Sie die

Entschlüsselungsrichttlinie zu, indem Sie die Richtlinie aus der Verfügbare Richtlinien

Liste in die Registerkarte Richtlinien ziehen. Aktivieren Sie die Richtlinie, indem Sie jetzt die Gruppe aus der Liste der Verfügbaren Gruppen in den Bereich Aktivierung ziehen.

Stellen Sie in der Registerkarte Richtlinien des Domänenknotens sicher, dass die Priorität auf 1 gesetzt und die Einstellung Kein Überschreiben aktiviert ist. Stellen Sie im Bereich

Aktivierung des Domänenknotens sicher, dass nur Mitglieder der Gruppe von dieser

Richtlinie betroffen sind.

5. Wählen Sie im Benutzer & Computer Navigationsbereich die Gruppe, klicken Sie mit der rechten Maustaste auf die im Aktionsbereich angezeigte Mitglieder Registerkarte und klicken Sie auf Hinzufügen, um die Computer, die Sie entschlüsseln möchten, zur Gruppe hinzuzufügen.

6. Führen Sie auf dem Endpoint, der entschlüsselt werden soll, eine Synchronisierung mit dem SafeGuard Enterprise Server durch. Damit stellen Sie sicher, dass die

Richtlinienaktualisierung auf dem Computer eingegangen und aktiv ist.

7. Öffnen Sie den Windows Explorer. Klicken Sie mit der rechten Maustaste auf das Volume, das entschlüsselt werden soll, und klicken Sie dann auf Verschlüsselung >

Entschlüsselung.

Stellen Sie sicher, dass die Verschlüsselung erfolgreich abgeschlossen werden konnte.

Hinweis: Endpoints können während der Verschlüsselung/Entschlüsselung heruntergefahren und neu gestartet werden. Wenn auf die Entschlüsselung die

Deinstallation folgt, empfehlen wir, den Endpoint nicht in einen Energiesparmodus oder den Ruhezustand zu versetzen.

2.15.2 Starten der Deinstallation

Folgende Voraussetzungen müssen erfüllt sein:

■ Verschlüsselte Daten müssen korrekt entschlüsselt werden, damit nach der Deinstallation

Zugriff auf die Daten besteht. Der Entschlüsselungsvorgang muss abgeschlossen sein.

Die korrekte Entschlüsselung ist besonders wichtig, wenn die Deinstallation von Active

Directory ausgelöst wird.

Darüber hinaus müssen vor der Deinstallation des letzten durch SafeGuard Enterprise geschützten Endpoint alle verschlüsselten Wechselmedien entschlüsselt werden.

Andernfalls besteht die Gefahr, dass Benutzer nicht mehr auf Ihre Daten zugreifen können. Solange die SafeGuard Enterprise Datenbank zur Verfügung steht, können die Daten auf den Wechselmedien wiederhergestellt werden.

■

Für die Deinstallation der Sophos SafeGuard Festplattenverschlüsselung müssen alle volume-basierend verschlüsselten Volumes einen Laufwerksbuchstaben haben.

Deinstallieren Sie jeweils immer das komplette Paket mit allen installierten Features.

1. Bearbeiten Sie im SafeGuard Management Center die Richtlinie vom Typ Spezifische

Computereinstellungen. Stellen Sie die Option Deinstallation erlaubt auf Ja ein.

2. Legen Sie unter Benutzer & Computer eine Gruppe für die Computer an, die Sie entschlüsseln möchten: Rechtsklicken Sie auf den Domänenkonten, an dem Sie die Gruppe erstellen möchten. Wählen Sie dann Neu > Neue Gruppe erzeugen.

Administratorhilfe

3. Wählen Sie den Domänenknoten dieser Gruppe und weisen Sie die Richtlinien zum

Deinstallieren zu, indem Sie die Richtlinie aus der Verfügbare Richtlinien Liste in die

Registerkarte Richtlinien ziehen. Aktivieren Sie die Richtlinie, indem Sie jetzt die Gruppe aus der Liste der Verfügbaren Gruppen in den Bereich Aktivierung ziehen. Stellen Sie in der Registerkarte Richtlinien des Domänenknotens sicher, dass die Priorität auf 1 gesetzt und die Einstellung Kein Überschreiben aktiviert ist. Stellen Sie im Bereich

Aktivierung des Domänenknotens sicher, dass nur Mitglieder der Gruppe von dieser

Richtlinie betroffen sind.

4. Fügen Sie die Endpoints, bei denen die Deinstallation ausgeführt werden soll, zur Gruppe hinzu.

5. Wenden Sie zum Starten der Deinstallation eine der folgenden Methoden an:

■

Um eine lokale Deinstallation auf dem Endpoint durchzuführen, synchronisieren Sie diesen mit dem SafeGuard Enterprise Server. Damit stellen Sie sicher, dass die

Richtlinienaktualisierung auf dem Computer eingegangen und aktiv ist. Wählen Sie dann Start > Systemsteuerung > Software > Sophos SafeGuard Client > Entfernen.

Verwenden Sie für eine zentrale Deinstallation einen Software-Verteilungsmechanismus

Ihrer Wahl. Stellen Sie sicher, dass alle erforderlichen Daten vor dem Starten der

Deinstallation korrekt entschlüsselt wurden.

2.15.3 Verhindern einer Deinstallation auf den Endpoints

Um den Schutz für Endpoints noch zu verstärken, empfehlen wir, dass Sie die lokale

Deinstallation von SafeGuard Enterprise auf Endpoints verhindern. Setzen Sie das Feld

Deinstallation erlaubt in einer Spezifische Computereinstellungen Richtlinie auf Nein und

übermitteln Sie die Richtlinie an die Endpoints. So werden unautorisierte Versuche, die

Software zu deinstallieren, abgebrochen und protokolliert.

2.15.4 Deinstallation von Native Device Encryption von Mac Endpoints

Wenn Sie die Software von einem Client deinstallieren müssen, gehen Sie wie folgt vor:

1. Wechseln Sie auf dem Mac Client zu /Library.

2. Wählen Sie den Ordner /Sophos SafeGuard DE.

3. Wählen und doppelklicken Sie die Datei Sophos SafeGuard DE Uninstaller.pkg

4. Ein Assistent führt Sie durch die Deinstallation.

Sobald das letzte Sophos SafeGuard Produkt entfernt ist, wird auch die Client-Konfiguration gelöscht.

Hinweis: Es ist nicht notwendig, die Festplatte zu entschlüsseln, bevor Sie die Software deinstallieren.

Hinweis: Ein Benutzer mit Administrator-Rechten kann nicht daran gehindert werden, die

Software zu deinstallieren. (Eine Richtlinie, die das bei Windows Clients verhindert, hat keine

Auswirkung bei Mac Clients)

Hinweis: Das Uninstaller Package ist signiert und OS X versucht, diese Signatur zu validieren.

Dieser Vorgang kann einige Minuten dauern.

2.15.5 Deinstallation von File Encryption von Mac Endpoints

Wenn Sie die Software von einem Client deinstallieren müssen, gehen Sie wie folgt vor:

1. Wechseln Sie auf dem Mac Client zu /Library.

SafeGuard Enterprise

2. Öffnen Sie den Ordner Sophos SafeGuard FS.

3. Wählen und doppelklicken Sie die Datei Sophos SafeGuard FS Uninstaller.pkg.

4. Ein Assistent führt Sie durch die Deinstallation.

5. Starten Sie das System neu, bevor Sie mit Ihrer Arbeit am Mac fortfahren.

Sobald das letzte Sophos SafeGuard Produkt entfernt ist, wird auch die Client-Konfiguration gelöscht.

Hinweis: Das Uninstaller Package ist signiert und OS X versucht, diese Signatur zu validieren.

Dieser Vorgang kann einige Minuten dauern.

Administratorhilfe

3 SafeGuard Management Center

Das SafeGuard Management Center ist das zentrale Instrument für die Verwaltung von mit

SafeGuard Enterprise verschlüsselten Computern. Mit dem SafeGuard Management Center können Sie eine unternehmensweite Sicherheitsstrategie implementieren und auf Endpoints anwenden. Im SafeGuard Management Center können Sie:

■ Organisationsstruktur aufbauen oder importieren.

■ Sicherheitsbeauftragte anlegen.

■ Richtlinien definieren.

■ Konfigurationen exportieren und importieren.

■ Computer mit einer umfassenden Protokollierungsfunktionalität überwachen.

■ Kennwörter und den Zugriff auf verschlüsselte Endpoints wiederherstellen.

Mit dem SafeGuard Management Center wird Multi Tenancy für die Verwaltung von mehreren

Domänen und Datenbanken unterstützt. Sie können verschiedene SafeGuard Enterprise

Datenbanken verwalten und unterschiedliche Konfigurationen verwenden.

Der Zugriff auf das SafeGuard Management Center ist nur privilegierten Benutzern - den

Sicherheitsbeauftragten - erlaubt. Es können mehrere Sicherheitsbeauftragte gleichzeitig mit den Daten arbeiten. Die verschiedenen Sicherheitsbeauftragten können entsprechend den ihnen zugewiesenen Rollen und Rechten Tätigkeiten ausführen.

Sie können die SafeGuard Enterprise Richtlinien und Einstellungen an Ihre Anforderungen anpassen. Nach dem Speichern der neuen Einstellungen in der Datenbank können diese an die Endpoints übertragen werden, wo sie dann wirksam werden.

Hinweis: Einige Features sind nicht in allen Lizenzen enthalten. Für Informationen dazu, was in Ihrer Lizenz enthalten ist, wenden Sie sich an Ihren Vertriebspartner.

3.1 Anmeldung am SafeGuard Management Center

Während der Erstkonfiguration von SafeGuard Enterprise wird ein Konto für einen

Haupt-Sicherheitsbeauftragten angelegt. Dieses Konto wird bei der ersten Anmeldung an das

SafeGuard Management Center benötigt. Um das SafeGuard Management Center zu starten, benötigt der Benutzer das Kennwort für den Zertifikatsspeicher sowie den privaten Schlüssel des Zertifikats.

Weitere Informationen finden Sie unter Erstellen eines Haupt-Sicherheitsbeauftragten (Master

Security Officer, MSO)

(Seite 39).

Die Anmeldung richtet sich danach, ob Sie das SafeGuard Management Center mit einer

Verbindung zu einer Datenbank (Single Tenancy) oder zu mehreren Datenbanken (Multi

Tenancy) einsetzen.

Hinweis: Zwei Sicherheitsbeauftragte dürfen nicht das gleiche Windows-Konto auf einem

Computer benutzen. Andernfalls lassen sich ihre Zugriffsrechte nicht sauber trennen.

SafeGuard Enterprise

3.2 SafeGuard Management Center Benutzeroberfläche

1. Navigationsbereich:

2. Navigationsfenster mit administrativen Objekten.

3. Schaltflächen für alle administrativen Aufgaben

4. Symbolleiste

5. Registerkarten für die Auswahl unterschiedlicher Aufgaben und zur Anzeige von

Informationen.

6. Die Anzeige im Aktionsbereich ist abhängig von der Auswahl im Navigationsbereich.

7. Dazugehörige Ansichten enthalten zur Verwaltung benötigte Elemente oder Informationen

über die bearbeiteten Objekte.

Navigationsbereich:

Im Navigationsbereich befinden sich Schaltflächen für alle administrativen Tätigkeiten:

■ Benutzer und Computer

Zum Importieren von Gruppen und Benutzern aus einem Active Directory, aus der Domäne oder von einem einzelnen Computer.

■ Richtlinien

Zum Erzeugen der Richtlinien.

■ Schlüssel und Zertifikate

Zum Verwalten der Schlüssel und Zertifikate.

Administratorhilfe

■ Token

Zur Verwaltung von Token und Smartcards.

■ Sicherheitsbeauftragte

Zum Anlegen neuer Sicherheitsbeauftragter und Definieren von Aktionen, für deren

Ausführung eine zusätzliche Autorisierung notwendig ist.

■ Berichte

Zum Anlegen und Verwalten von Berichten zu sicherheitsrelevanten Ereignissen.

Navigationsfenster

Im Navigationsfenster werden Objekte zur Bearbeitung angezeigt (Active Directory Objekte wie OUs, Benutzer und Computer; Richtlinien usw.) bzw. können dort erstellt werden. Welche

Objekte angezeigt werden, hängt vom ausgewählten Vorgang ab.

Hinweis: Unter Benutzer & Computer werden die Objekte in der Baumstruktur des

Navigationsfensters in Abhängigkeit von den Zugriffsrechten des Sicherheitsbeauftragten für

Verzeichnisobjekte angezeigt. Die Baumstruktur zeigt nur die Objekte, auf die der angemeldete

Sicherheitsbeauftragte Zugriff hat. Objekte, für die der Zugriff verweigert wird, werden nicht angezeigt, es sei denn, es sind weiter unten in der Baumstruktur Knoten vorhanden, für die der Sicherheitsbeauftragte Zugriffsrechte hat. In diesem Fall werden die Objekte, für die der

Zugriff verweigert wird, ausgegraut. Wenn der Sicherheitsbeauftragte das Zugriffsrecht Voller

Zugriff hat, wird das jeweilige Objekt schwarz dargestellt. Objekte mit Zugriffsrecht

Schreibgeschützt, werden blau dargestellt.

Aktionsbereich

Im Aktionsbereich nehmen Sie die Einstellungen für das im Navigationsfenster ausgewählte

Objekt vor. Im Aktionsbereich stehen verschiedene Registerkarten zur Verfügung mit deren

Hilfe die Objekte bearbeitet und die Einstellungen vorgenommen werden können.

Informationen zu den ausgewählten Objekten werden ebenfalls im Aktionsbereich angezeigt.

Dazugehörige Ansichten (Associated Views)

In diesen Ansichten werden zusätzliche Objekte und Informationen angezeigt. Diese geben einerseits nützliche Informationen bei der Verwaltung des Systems und unterstützen die einfache Bedienung. Sie können zum Beispiel Objekten Schlüssel per Drag and Drop zuweisen.

Symbolleiste

Hier befinden sich Symbole für die verschiedenen Aktionen im SafeGuard Management

Center. Die Symbole werden eingeblendet, wenn sie für das ausgewählte Objekt zur Verfügung stehen.

Nach der Anmeldung wird das SafeGuard Management Center immer mit der Ansicht gestartet, in der es geschlossen wurde.

SafeGuard Enterprise

3.3 Sprache der Benutzeroberfläche

Sie können die Sprache der Benutzeroberfläche während der Installation des SafeGuard

Management Center sowie der SafeGuard Enterprise Verschlüsselungssoftware am Endpoint steuern.

Sprache des SafeGuard Management Center

So stellen Sie die Sprache das SafeGuard Management Center ein:

■ Klicken Sie in der SafeGuard Management Center Menüleiste auf Extras > Optionen >

Allgemein. Klicken Sie auf Benutzerdefinierte Sprache verwenden und wählen Sie eine verfügbare Sprache aus. Die Sprachen Englisch, Deutsch, Französisch und Japanisch werden unterstützt.

■ Starten Sie das SafeGuard Management Center neu. Er wird in der ausgewählten Sprache angezeigt.

SafeGuard Enterprise Oberflächensprache auf Endpoints

Die Sprache von SafeGuard Enterprise auf dem Endpoint steuern Sie über den Richtlinientyp

Allgemeine Einstellungen im SafeGuard Management Center (Einstellung, Anpassung >

Sprache am Client):

■ Wenn die Sprache des Betriebssystems gewählt wird, richtet sich die Produktsprache nach der Spracheinstellung des Betriebssystems. Steht die entsprechende

Betriebssystemsprache in SafeGuard Enterprise nicht zur Verfügung, wird standardmäßig die englische Version von SafeGuard Enterprise angezeigt.

■ Wenn eine der zur Verfügung stehenden Sprachen gewählt wird, werden die SafeGuard

Enterprise Funktionen auf dem Endpoint in der ausgewählten Sprache angezeigt.

3.4 Prüfen der Datenbankintegrität

Bei der Anmeldung an die Datenbank wird die Datenbankintegrität automatisch geprüft. Sollte diese Überprüfung Fehler ergeben, wird der Dialog Datenbankintegrität prüfen angezeigt.

Sie können die Datenbankintegrität auch jederzeit nach der Anmeldung prüfen und hierzu den Dialog Datenbankintegrität prüfen aufrufen:

1. Wählen Sie in der Menüleiste des SafeGuard Management Center Extras >

Datenbankintegrität.

2. Um die Tabellen zu prüfen, klicken Sie auf Alle prüfen oder Ausgewählte prüfen.

Danach werden fehlerhafte Tabellen im Dialog markiert. Um die Fehler zu beheben, klicken

Sie auf Reparieren.

Hinweis: Nach einer Aktualisierung des SafeGuard Enterprise Backend (SQL) wird die

Prüfung der Datenbankintegrität immer gestartet. Die Prüfung muss einmal pro SafeGuard

Enterprise Datenbank durchgeführt werden, um die Aktualisierung abzuschließen.

Administratorhilfe

3.5 Mit Richtlinien arbeiten

Die folgenden Abschnitte beschreiben richtlinienrelevanten Vorgänge, z. B. das Erstellen,

Gruppieren und Sichern von Richtlinien.

Hinweis: Für das Zuweisen, Entfernen oder Bearbeiten von Richtlinien benötigen Sie das

Zugriffsrecht Voller Zugriff für die relevanten Objekte sowie für jede Gruppe, die für die jeweiligen Richtlinien aktiviert ist.

Für eine Beschreibung aller mit SafeGuard Enterprise verfügbaren Richtlinieneinstellungen, siehe

Richtlinientypen und ihre Anwendungsfelder (Seite 365).

3.5.1 Anlegen von Richtlinien

1. Melden Sie sich mit dem Kennwort, das Sie während der Erstkonfiguration festgelegt haben, am SafeGuard Management Center an.

2. Klicken Sie im Navigationsbereich auf Richtlinien.

3. Klicken Sie im Navigationsfenster mit der rechten Maustaste auf Richtlinien und wählen

Sie im Kontextmenü den Befehl Neu.

4. Wählen Sie den Richtlinientyp aus.

Es wird ein Dialog für die Benennung der neuen Richtlinie angezeigt.

5. Geben Sie einen Namen und optional eine Beschreibung für die neue Richtlinie ein.

Richtlinien für den Geräteschutz:

Wenn Sie eine Richtlinie dieses Typs erstellen, müssen Sie auch ein Ziel für den

Geräteschutz angeben. Mögliche Ziele sind:

■

Massenspeicher (Boot-Laufwerke/Andere Volumes)

Wechselmedien

Optische Laufwerke

Datenträgermodelle

■

Einzelne Datenträger

Cloud Storage

Für jedes Ziel muss eine eigene Richtlinie angelegt werden. Sie können die einzelnen

Richtlinien später z. B. zu einer Richtliniengruppe mit der Bezeichnung Verschlüsselung zusammenfassen.

6. Klicken Sie auf OK.

Die neu angelegte Richtlinie wird im Navigationsfenster unter Richtlinien angezeigt. Im

Aktionsbereich werden alle Einstellungen für den gewählten Richtlinientyp angezeigt. Die

Einstellungen können dort geändert werden.

3.5.2 Bearbeiten von Richtlinieneinstellungen

Wenn Sie im Navigationsfenster eine Richtlinie auswählen, können Sie deren Einstellungen im Aktionsbereich bearbeiten.

Hinweis:

SafeGuard Enterprise

Das rote Symbol vor dem Text nicht konfiguriert gibt an, dass für diese Einstellung ein Wert festgelegt werden muss. Sie können die Richtlinie erst speichern, wenn

Sie eine andere Einstellung als nicht konfiguriert ausgewählt haben.

Setzen von Einstellungen auf Standardwerte

In der Symbolleiste stehen folgende Symbole für Richtlinieneinstellungen zur Verfügung:

Symbol Richtlinieneinstellung

Zeigt Standardwerte für Richtlinieneinstellungen an, die nicht konfiguriert wurden

(Einstellung nicht konfiguriert). Die Standardwerte für Richtlinieneinstellungen werden standardmäßig angezeigt. Klicken Sie auf das Symbol, um die

Standardwerte auszublenden.

Setzt die markierte Richtlinieneinstellung auf nicht konfiguriert.

Setzt alle Richtlinieneinstellungen eines Bereichs auf nicht konfiguriert.

Setzt den Standardwert für die markierte Richtlinieneinstellung.

Setzt alle Richtlinieneinstellungen eines Bereichs auf den Standardwert.

Unterscheidung zwischen maschinen- und benutzerspezifischen

Richtlinien

Richtlinie wird blau dargestellt

Richtlinie wird schwarz dargestellt

Richtlinie wird nur für Maschinen angewandt, nicht für Benutzer.

Richtlinie wird für Maschinen und Benutzer angewandt.

Administratorhilfe

3.5.3 Richtliniengruppen

SafeGuard Enterprise Richtlinien können in Richtliniengruppen zusammengefasst werden.

Eine Richtliniengruppe kann verschiedene Richtlinientypen enthalten. Im SafeGuard

Management Center steht eine Default Richtliniengruppe zur Verfügung, die standardmäßig unter Benutzer und Computer zu Stamm zugewiesen wird.

Wenn Sie Richtlinien vom selben Typ in einer Gruppe zusammenfassen, werden die

Einstellungen automatisch vereinigt. Sie können dafür eine Auswertungsreihenfolge festlegen.

Die Einstellungen einer höher gereihten Richtlinie überschreiben jene einer niedriger priorisierten.

Eine definierte Richtlinieneinstellung überschreibt Einstellungen aus anderen Richtlinien, wenn

■ die Richtlinie mit dieser Einstellung eine höhere Priorität hat.

■ die Richtlinieneinstellung noch nicht definiert ist (nicht konfiguriert).

Hinweis: Überlappende Richtlinien, die einer Gruppe zugeordnet sind, können zu einer falschen Ermittlung der Prioritäten führen. Verwenden Sie separate Richtlinieneinstellungen.

Ausnahme Geräteschutz:

Richtlinien für den Geräteschutz werden nur vereinigt, wenn sie für dasselbe Ziel (z. B.

Boot-Volume) angelegt werden. Weisen sie auf verschiedene Ziele, werden sie addiert.

3.5.3.1 Zusammenfassen von Richtlinien zu Gruppen

Voraussetzung: Die einzelnen Richtlinien der verschiedenen Typen müssen angelegt sein.

1. Klicken Sie im Navigationsbereich auf Richtlinien.

2. Klicken Sie im Navigationsfenster mit der rechten Maustaste auf Richtlinien-Gruppen und wählen Sie Neu.

3. Klicken Sie auf Neue Richtlinien-Gruppe. Es wird ein Dialog für die Benennung der

Richtlinien-Gruppe angezeigt.

4. Geben Sie einen eindeutigen Namen und optional eine Beschreibung für die

Richtlinien-Gruppe ein. Klicken Sie auf OK.

5. Die neu angelegte Richtlinie-Gruppe wird im Navigationsfenster unter Richtlinien-Gruppen angezeigt.

6. Wählen Sie die Richtlinien-Gruppe aus. Im Aktionsbereich werden alle für das Gruppieren der Richtlinien notwendigen Elemente angezeigt.

7. Zum Gruppieren der Richtlinien ziehen Sie sie aus der Liste der verfügbaren Richtlinien in den Richtlinienbereich.

8. Sie können für jede Richtlinie eine Priorität festlegen, indem Sie die Richtlinie über das

Kontextmenü nach oben oder unten reihen.

Wenn Sie Richtlinien vom selben Typ in einer Gruppe zusammenfassen, werden die

Einstellungen automatisch vereinigt. Sie können dafür eine Auswertungsreihenfolge festlegen. Die Einstellungen einer höher gereihten Richtlinie überschreiben jene einer niedriger priorisierten. Ist eine Einstellung auf nicht konfiguriert gesetzt, wird die

Einstellung in einer niedriger priorisierten Richtlinie nicht überschrieben.

Ausnahme Geräteschutz:

Richtlinien für den Geräteschutz werden nur vereinigt, wenn sie für dasselbe Ziel (z. B.

Boot-Volume) angelegt werden. Weisen sie auf verschiedene Ziele, werden sie addiert.

SafeGuard Enterprise

9. Speichern Sie die Richtliniengruppe über Datei > Speichern.

Die Richtliniengruppe enthält nun die Einstellungen aller einzelnen Richtlinien.

3.5.3.2 Ergebnis der Gruppierung

Das Ergebnis der Zusammenfassung wird in einer eigenen Ansicht dargestellt.

Klicken Sie zum Anzeigen der Zusammenfassung auf die Registerkarte Ergebnis.

■ Für jeden Richtlinien-Typ steht eine eigene Registerkarte zur Verfügung.

Die aus der Zusammenfassung der einzelnen Richtlinien resultierenden Einstellungen werden angezeigt.

■ Für Richtlinien zum Geräteschutz werden Registerkarten für jedes Ziel der Richtlinie angezeigt (z. B. Boot-Volumes, Laufwerk X: usw.).

3.5.4 Erstellen von Sicherungskopien von Richtlinien und Richtliniengruppen

Sie können Sicherungskopien von Richtlinien und Richtliniengruppen in Form von XML-Dateien erstellen. Falls notwendig, lassen sich die betreffenden Richtlinien/Richtliniengruppen daraufhin aus diesen XML-Dateien wiederherstellen.

1. Wählen Sie die Richtlinie/Richtliniengruppe im Navigationsfenster unter Richtlinien bzw.

Richtlinien-Gruppen aus.

2. Klicken Sie mit der rechten Maustaste und wählen Sie im angezeigten Kontextmenü

Richtlinie sichern.

Hinweis: Der Befehl Richtlinie sichern steht auch im Menü Aktionen zur Verfügung.

3. Geben Sie im Dialog Speichern unter einen Dateinamen für die XML-Datei an und wählen

Sie das Verzeichnis, in dem die Datei gespeichert werden soll. Klicken Sie auf Speichern.

Die Sicherungskopie der Richtlinie/Richtliniengruppe ist im angegebenen Verzeichnis als

XML-Datei abgelegt.

3.5.5 Wiederherstellen von Richtlinien und Richtliniengruppen

So stellen Sie eine Richtlinie/Richtliniengruppe aus einer XML-Datei wieder her:

1. Klicken Sie im Navigationsfenster auf Richtlinien/Richtliniengruppen.

2. Klicken Sie mit der rechten Maustaste und wählen Sie im angezeigten Kontextmenü

Richtlinie wiederherstellen.

Hinweis: Der Befehl Richtlinie wiederherstellen steht auch im Menü Aktionen zur

Verfügung.

3. Wählen Sie die XML-Datei für die Wiederherstellung der Richtlinie/Richtliniengruppe aus und klicken Sie auf Öffnen.

Die Richtlinie/Richtliniengruppe ist wiederhergestellt.

Administratorhilfe

3.5.6 Zuweisen von Richtlinien

Um Richtlinien zuzuweisen, benötigen Sie das Zugriffsrecht Voller Zugriff für alle beteiligten

Objekte.

1. Klicken Sie auf Benutzer & Computer.

2. Wählen Sie im Navigationsbereich das gewünschte Objekt aus (z. B. Benutzer, Gruppe oder Container).

3. Wechseln Sie in die Registerkarte Richtlinien.

Im Aktionsbereich werden alle für die Zuweisung der Richtlinie notwendigen Elemente angezeigt.

4. Zum Zuweisen einer Richtlinie ziehen Sie sie aus der Liste der verfügbaren Richtlinien in die Registerkarte Richtlinien.

5. Sie können für jede Richtlinie eine Priorität festlegen, indem Sie die Richtlinie über das

Kontextmenü nach oben oder unten reihen. Die Einstellungen einer höher gereihten

Richtlinie überschreiben jene einer niedriger priorisierten. Wenn Sie für eine Richtlinie

Kein Überschreiben aktivieren, können die Einstellungen dieser Richtlinie nicht von anderen überschrieben werden.

Hinweis: Wenn Sie bei einer Richtlinie mit niedrigerer Priorität die Option Kein

Überschreiben aktivieren, so zieht diese Richtlinie, trotz niedrigerer Priorität gegenüber einer Richtlinie mit einer höheren Priorität.

Um die Einstellungen Priorität oder Kein Überschreiben für Richtlinien im Bereich

Benutzer & Computer zu ändern, benötigen Sie das Zugriffsrecht Voller Zugriff für alle

Objekte, denen die Richtlinien zugewiesen sind. Wenn Sie das Zugriffsrecht Voller Zugriff nicht für alle Objekte haben, können die Einstellungen nicht bearbeitet werden. Wenn Sie versuchen, die Felder zu bearbeiten, wird eine Info-Meldung angezeigt.

6. Im Aktivierungsbereich werden die Gruppen .Authentisierte Benutzer - bzw. Computer angezeigt.

Die Richtlinie gilt für alle Gruppen innerhalb der OU bzw. Domäne.

3.5.6.1 Aktivieren von Richtlinien für einzelne Gruppen

Richtlinien werden immer einer OU bzw. einer Domäne oder Arbeitsgruppe zugewiesen. Sie gelten standardmäßig für alle Gruppen in diesen Container-Objekten (die Gruppen

.Authentisierte Benutzer und .Authentisierte Computer werden im Aktivierungsbereich angezeigt).

Sie können aber auch Richtlinien festlegen und sie für eine einzelne oder mehrere Gruppen aktivieren. Diese Richtlinien gelten dann ausschließlich für diese Gruppen.

Hinweis: Um Richtlinien für einzelne Gruppen zu aktivieren, benötigen Sie das Zugriffsrecht

Voller Zugriff für die relevante Gruppe.

1. Weisen Sie die Richtlinie der OU, in der sich die Gruppe befindet, zu.

2. Im Aktivierungsbereich werden die Gruppen .Authentisierte Benutzer und .Authentisierte

Computer angezeigt.

3. Ziehen Sie diese beiden Gruppen aus dem Aktivierungsbereich in die Liste der Verfügbaren

Gruppen. Die Richtlinie ist in dieser Konstellation für keinen Benutzer und keinen Computer wirksam.

4. Ziehen Sie jetzt die gewünschte Gruppe (oder auch mehrere Gruppen) aus der Liste der

Verfügbaren Gruppen in den Aktivierungsbereich.

SafeGuard Enterprise

Diese Richtlinie gilt jetzt ausschließlich für diese Gruppe.

Wurden der übergeordneten OU ebenfalls Richtlinien zugeordnet, gilt diese Richtlinie für diese Gruppe zusätzlich zu jenen, die für die gesamte OU festgelegt wurden.

3.5.7 Verwalten von Richtlinien unter Benutzer & Computer

Neben dem Bereich Richtlinien im SafeGuard Management Center können Sie den Inhalt einer Richtlinie auch dort einsehen und ändern, wo die Richtlinienzuweisung erfolgt: unter

Benutzer & Computer.

1. Klicken Sie auf Benutzer & Computer.

2. Wählen Sie im Navigationsbereich das gewünschte Containerobjekt.

3. Sie können Richtlinien von zwei Orten aus öffnen, um sie einzusehen oder zu ändern.

■

Wechseln Sie in die Registerkarte Richtlinien, oder wechseln Sie in die Registerkarte RSOP.

4. Klicken Sie mit der rechten Maustaste auf die gewünschte zugewiesene oder verfügbare

Richtlinie und wählen Sie Öffnen aus dem Kontextmenü.

Der Richtliniendialog wird angezeigt und Sie können die Richtlinieneinstellungen einsehen und bearbeiten.

5. Klicken Sie auf OK, um Ihre Änderungen zu speichern.

6. Um die Richtlinieneigenschaften aufzurufen, klicken Sie mit der rechten Maustaste auf die gewünschte Richtlinie und wählen Sie Eigenschaften aus dem Kontextmenü.

Der Eigenschaften Dialog für die Richtlinie wird angezeigt. Hier können Sie unter

Allgemein und Zuweisung die entsprechenden Informationen einsehen.

3.6 Mit Konfigurationspaketen arbeiten

Im SafeGuard Management Center lassen sich Konfigurationspakete der folgenden Typen erstellen:

■ Konfigurationspaket für zentral verwaltete Endpoints

Endpoints, die eine Verbindung zum SafeGuard Enterprise Server haben, erhalten Ihre

Richtlinien über den Server. Für den erfolgreichen Einsatz der SafeGuard Enterprise Client

Software nach der Installation müssen Sie zunächst ein Konfigurationspaket für zentral verwaltete Computer erzeugen und es auf den Computern installieren.

Nach der ersten Konfiguration der Endpoints über das Konfigurationspaket erhalten die

Endpoints Richtlinien über den SafeGuard Enterprise Server, wenn Sie diese im Bereich

Benutzer & Computer des SafeGuard Management Center zugewiesen haben.

■ Konfigurationspaket für Standalone-Endpoints

Standalone-Endpoints haben niemals eine Verbindung zum SafeGuard Enterprise Server, sie laufen im Standalone-Modus. Die Computer erhalten ihre Richtlinien über

Konfigurationspakete. Für den erfolgreichen Einsatz der Software müssen Sie ein

Konfigurationspaket mit den relevanten Richtliniengruppen erstellen und es über unternehmenseigene Verteilungsmechanismen an die Endpoints verteilen. Wenn Sie

Richtlinieneinstellungen ändern, müssen Sie jeweils neue Konfigurationspakete erstellen und an die Endpoints verteilen.

Administratorhilfe

Hinweis: Konfigurationspakete für Standalone-Endpoints können nur auf Windows

Endpoints verwendet werden.

■ Konfigurationspaket für den SafeGuard Enterprise Server

Für den erfolgreichen Einsatz der Software müssen Sie ein Konfigurationspaket für den

SafeGuard Enterprise Server erstellen, das die Datenbank sowie die SSL-Verbindung definiert, Scripting API aktiviert, usw.

■ Konfigurationspaket für Macs

Über dieses Konfigurationspaket erhalten Macs die Server-Adresse und das

Unternehmenszertifikat. Die Macs übermitteln ihre Statusinformationen, die dann im

SafeGuard Management Center angezeigt werden. Für Informationen zum Erstellen von

Konfgurationspaketen für Macs, siehe

Erzeugen eines Konfigurationspakets für Macs

(Seite 99).

Hinweis: Überprüfen Sie Ihr Netzwerk und Ihre Computer in regelmäßigen Abständen auf veraltete oder nicht benutzte Konfigurationspakete und löschen Sie diese aus

Sicherheitsgründen. Deinstallieren Sie vor der Installation eines neuen Konfigurationspakets auf dem Computer/Server jeweils die veralteten Konfigurationspakete.

3.6.1 Erzeugen eines Konfigurationspakets für zentral verwaltete Endpoints

Voraussetzungen

■ Prüfen Sie im Benutzer & Computer Navigationsbereich in der Registerkarte Bestand, ob für die Endpoints, die das neue Konfigurationspaket erhalten sollen, ein Wechsel des

Unternehmenszertifikats erforderlich ist. Wenn das Feld Aktuelles Unternehmenszertifikat nicht aktiviert ist, unterscheiden sich das derzeit aktive Unternehmenszertifikat in der

SafeGuard Enterprise Datenbank und auf dem Computer voneinander. Daher ist ein

Wechsel des Unternehmenszertifikats erforderlich.

1. Klicken Sie im SafeGuard Management Center im Extras Menü auf Konfigurationspakete.

2. Wählen Sie Pakete für Managed Clients.

3. Klicken Sie auf Konfigurationspaket hinzufügen.

4. Geben Sie einen beliebigen Namen für das Konfigurationspaket ein.

5. Ordnen Sie einen primären SafeGuard Enterprise Server zu (der sekundäre Server ist nicht notwendig).

6. Falls erforderlich, geben Sie eine Richtliniengruppe an, die auf die Endpoints angewendet werden soll. Diese müssen Sie zuvor im SafeGuard Management Center erstellt haben.

Wenn Sie für Aufgaben nach der Installation auf dem Endpoint Service Accounts verwenden möchten, stellen Sie sicher, dass die entsprechende Richtlinieneinstellung in dieser ersten

Richtliniengruppe definiert ist, siehe Service Account Listen für die Windows-Anmeldung

(Seite 197).

SafeGuard Enterprise

7. Wenn sich das derzeit aktive Unternehmenszertifikat in der SafeGuard Enterprise

Datenbank von dem auf den Endpoints, die das neue Konfigurationspaket erhalten sollen, unterscheidet, wählen Sie die relevante CCO (Company Certificate Change Order). Ist das Feld Aktuelles Unternehmenszertifikat in der Registerkarte Bestand der relevanten

Domäne, der OU oder des Computers unter Benutzer & Computer nicht aktiviert, so ist ein Wechsel des Unternehmenszertifikats erforderlich. Informationen zur erforderlichen

CCO (Company Certificate Change Order) finden Sie in der Registerkarte CCOs der

Funktion Konfigurationspakete im Menü Extras.

Hinweis: Die Installation des neuen Konfigurationspakets schlägt fehl, wenn die derzeit aktiven Unternehmenszertifikate in der SafeGuard Enterprise Datenbank und auf dem

Endpoint nicht übereinstimmen und keine passende CCO im Paket enthalten ist.

8. Wählen Sie den Modus für die Transportverschlüsselung, der bestimmt, wie die

Verbindung zwischen SafeGuard Enterprise Client und SafeGuard Enterprise Server verschlüsselt wird: Sophos-Verschlüsselung oder SSL-Verschlüsselung.

Der Vorteil bei SSL ist, dass es ein Standardprotokoll ist und eine schnellere Verbindung aufgebaut werden kann als mit der SafeGuard Transportverschlüsselung.

SSL-Verschlüsselung wird standardmäßig ausgewählt. Weitere Informationen zur

Absicherung von Transportverbindungen mit SSL finden Sie in der SafeGuard Enterprise

Installationsanleitung.

9. Geben Sie einen Ausgabepfad für das Konfigurationspaket (MSI) an.

10. Klicken Sie auf Konfigurationspaket erstellen.

Das Konfigurationspaket (MSI) wird im angegebenen Verzeichnis angelegt. Im nächsten

Schritt verteilen Sie das Paket zur Installation an die Endpoints.

3.6.2 Erzeugen eines Konfigurationspakets für Standalone-Endpoints

1. Klicken Sie im SafeGuard Management Center im Extras Menü auf Konfigurationspakete.

2. Wählen Sie Pakete für Standalone Clients.

3. Klicken Sie auf Konfigurationspaket hinzufügen.

4. Geben Sie einen beliebigen Namen für das Konfigurationspaket ein.

5. Geben Sie eine zuvor im SafeGuard Management Center erstellte Richtliniengruppe an, die für die Endpoints gelten soll.

6. Unter POA Gruppe können Sie eine POA-Gruppe auswählen, die dem Endpoint zugeordnet wird. POA-Benutzer können für administrative Aufgaben auf den Endpoint zugreifen, nachdem die SafeGuard Power-on Authentication aktiviert wurde. Um POA-Benutzer zuzuweisen, müssen Sie die POA-Gruppe zunächst im Bereich Benutzer & Computer des SafeGuard Management Center anlegen.

7. Wenn sich das derzeit aktive Unternehmenszertifikat in der SafeGuard Enterprise

Datenbank von dem auf den Endpoints, die das neue Konfigurationspaket erhalten sollen, unterscheidet, wählen Sie die relevante CCO (Company Certificate Change Order).

Hinweis: Die Installation des neuen Konfigurationspakets schlägt fehl, wenn die derzeit aktiven Unternehmenszertifikate in der SafeGuard Enterprise Datenbank und auf dem

Endpoint nicht übereinstimmen und keine passende CCO im Paket enthalten ist.

Administratorhilfe

8. Geben Sie unter Speicherort für Schlüssel-Sicherungskopie einen freigegebenen

Netzwerkpfad für das Speichern der Schlüssel-Recovery-Datei an oder wählen Sie einen

Die Schlüssel-Recovery-Datei (XML) wird für die Durchführung von Recovery-Vorgängen bei durch Sophos SafeGuard geschützten Endpoints benötigt. Sie wird auf allen durch

Sophos SafeGuard geschützten Endpoints erzeugt.

Hinweis: Stellen Sie sicher, dass diese Schlüssel-Recovery-Datei an einem Speicherort abgelegt wird, auf den die Mitarbeiter des Helpdesk Zugriff haben. Die Dateien können dem Helpdesk auch durch andere Mechanismen zugänglich gemacht werden. Die Datei ist mit dem Unternehmenszertifikat verschlüsselt. Sie kann also auch auf externen Medien oder auf dem Netzwerk gespeichert werden, um sie dem Helpdesk für Recovery-Vorgänge zur Verfügung zu stellen. Sie kann auch per E-Mail verschickt werden.

9. Geben Sie einen Ausgabepfad für das Konfigurationspaket (MSI) an.

10. Klicken Sie auf Konfigurationspaket erstellen.

Das Konfigurationspaket (MSI) wird im angegebenen Verzeichnis angelegt. Im nächsten

Schritt verteilen Sie das Paket zur Installation an die Endpoints.

3.6.3 Erzeugen eines Konfigurationspakets für Macs

Ein Konfigurationspaket für einen Mac enthält die relevanten Serverinformationen sowie das

Unternehmenszertifikat. Der Mac benutzt diese Informationen zum Zurückmelden von

Statusinformationen (SafeGuard POA an/aus, Verschlüsselungsstatus usw.). Die

Statusinformationen werden im SafeGuard Management Center angezeigt.

1. Klicken Sie im SafeGuard Management Center im Extras Menü auf Konfigurationspakete.

2. Wählen Sie Pakete für Managed Clients.

3. Klicken Sie auf Konfigurationspaket hinzufügen.

4. Geben Sie einen beliebigen Namen für das Konfigurationspaket ein.

5. Ordnen Sie einen primären SafeGuard Enterprise Server zu (der sekundäre Server ist nicht notwendig).

6. Wählen Sie SSL als Transportverschlüsselung für die Verbindung zwischen dem Endpoint und dem SafeGuard Enterprise Server. Für Macs wird Sophos als

Transportverschlüsselung nicht unterstützt.

7. Geben Sie einen Ausgabepfad für das Konfigurationspaket (ZIP) an.

8. Klicken Sie auf Konfigurationspaket erstellen.

Die Server-Verbindung für den SSL Transportverschlüsselung Modus wird validiert.

Wenn die Verbindung fehlschlägt, wird eine Warnungsmeldung angezeigt.

Das Konfigurationspaket (ZIP) wird nun im angegebenen Verzeichnis angelegt. Im nächsten

Schritt verteilen Sie das Paket zur Installation an Ihre Macs.

SafeGuard Enterprise

100

4 Mac Endpoints verwalten

Macs, auf denen die folgenden Sophos Produkte installiert sind, können von SafeGuard

Enterprise verwaltet werden und/oder Statusinformationen melden. Die Statusinformationen werden im SafeGuard Management Center angezeigt:

■ Sophos SafeGuard File Encryption für Mac 6.1 und höher

■ Sophos SafeGuard Disk Encryption für Mac 6.1/Sophos SafeGuard Native Device

Encryption 7.0

■ Sophos SafeGuard Disk Encryption for Mac 6 - nur Berichte

4.1 Erzeugen eines Konfigurationspakets für Macs

Ein Konfigurationspaket für einen Mac enthält die relevanten Serverinformationen sowie das

Unternehmenszertifikat. Der Mac benutzt diese Informationen zum Zurückmelden von

Statusinformationen (SafeGuard POA an/aus, Verschlüsselungsstatus usw.). Die

Statusinformationen werden im SafeGuard Management Center angezeigt.

1. Klicken Sie im SafeGuard Management Center im Extras Menü auf Konfigurationspakete.

2. Wählen Sie Pakete für Managed Clients.

3. Klicken Sie auf Konfigurationspaket hinzufügen.

4. Geben Sie einen beliebigen Namen für das Konfigurationspaket ein.

5. Ordnen Sie einen primären SafeGuard Enterprise Server zu (der sekundäre Server ist nicht notwendig).

6. Wählen Sie SSL als Transportverschlüsselung für die Verbindung zwischen dem Endpoint und dem SafeGuard Enterprise Server. Für Macs wird Sophos als

Transportverschlüsselung nicht unterstützt.

7. Geben Sie einen Ausgabepfad für das Konfigurationspaket (ZIP) an.

8. Klicken Sie auf Konfigurationspaket erstellen.

Die Server-Verbindung für den SSL Transportverschlüsselung Modus wird validiert.

Wenn die Verbindung fehlschlägt, wird eine Warnungsmeldung angezeigt.

Das Konfigurationspaket (ZIP) wird nun im angegebenen Verzeichnis angelegt. Im nächsten

Schritt verteilen Sie das Paket zur Installation an Ihre Macs.

4.2 Über SafeGuard Native Device Encryption für Mac

Sophos SafeGuard Native Device Encryption für Mac bietet Mac Benutzern denselben Schutz ihrer Daten wie das die Funktionalität zur Festplattenverschlüsselung in SafeGuard Enterprise für Windows Benutzer tut.

SafeGuard Native Device Encryption für Mac baut auf der in Mac OS X eingebauten

Verschlüsselungstechnologie FileVault 2 auf. Es verwendet FileVault 2 zur Verschlüsselung der gesamten Festplatte, so dass Ihre Daten sogar dann sicher sind, wenn der Computer verloren oder gestohlen wird. Darüber hinaus ermöglicht es Ihnen, Festplattenverschlüsselung in Ihrem gesamten Netzwerk zur Verfügung zu stellen und zu verwalten.

Administratorhilfe

Die Verschlüsselung arbeitet transparent. Der Benutzer wird beim Öffnen, Bearbeiten und

Speichern von Dateien nicht zur Verschlüsselung oder Entschlüsselung aufgefordert.

Im Management Center von SafeGuard Enterprise können Sie angeben, welche Computer

(Windows oder Mac) zu verschlüsseln sind, können deren Verschlüsselungsstatus überprüfen und Benutzern behilflich sein, die ihr Passwort vergessen haben.

4.2.1 Konfiguration

Sophos SafeGuard Native Device Encryption für Mac OS X wird über das SafeGuard

Management Center verwaltet. Das folgende Kapitel beschreibt ausschließlich die

Mac-spezifischen Konfigurationseinstellungen.

SafeGuard Native Device Encryption für Mac wendet nur Richtlinien vom Typ Geräteschutz und Allgemeine Einstellungen an und ignoriert alle Richtlinieneinstellungen außer Ziel,

Verschlüsselungsmodus für Medien und Server-Verbindungsintervall (Min).

4.2.1.1 Zentral verwaltete Konfigurationsoptionen

Richtlinien werden im SafeGuard Management Center zentral verwaltet. Um die

Festplattenverschlüsselung zu starten, müssen folgende Einstellungen vorgenommen werden:

1. Erzeugen Sie eine neue Richtlinie vom Typ Geräteschutz. Als Ziel des Geräteschutzes wählen Sie Lokale Datenträger, Interner Speicher oder Boot-Laufwerke. Geben Sie einen Namen für die Richtlinie ein und klicken Sie auf OK.

2. Wählen Sie für die Option Verschlüsselungsmodus für Medien die Einstellung

Volume-basierend.

Eine neue Richtlinie für Geräteschutz wurde erstellt und für Festplattenverschlüsselung für

Macs konfiguriert.

Hinweis: Stellen Sie sicher, dass die Richtlinie den Endpoints zugewiesen ist, die Sie verschlüsseln möchten. Sie können die Richtlinie der obersten Ebene Ihrer Domäne oder

Arbeitsgruppe zuweisen. Wenn sich IT-Mitarbeiter um die Installation der Endpoints kümmern, weisen Sie die Richtlinie erst zu, nachdem die Endpoints den Endbenutzern übergeben wurden. Sonst besteht die Gefahr, dass die Endpoints zu bald verschlüsselt und IT-Mitarbeiter anstatt der eigentlichen Benutzer für FileVault 2 aktiviert werden.

4.2.2 Wie funktioniert Verschlüsselung?

FileVault 2 schützt alle Daten mit XTS-AES-128 Datenverschlüsselung auf Laufwerksebene.

Der Algorithmus wurde für 512-Byte Blöcke optimiert. Die Konvertierung von Klartext zu

Chiffretext und umgekehrt hat kaum Auswirkungen auf das Benutzererlebnis, weil ihr vom

System eine entsprechend niedrige Priorität zugewiesen wird.

Arbeitete man früher mit einer Festplattenverschlüsselung, war es notwendig, sich nach dem

Start des Computers zweimal zu identifizieren: Einmal, um das verschlüsselte Startvolume zu entsperren (POA), und ein zweites Mal, um sich am Schreibtisch anzumelden.

Das ist jedoch nicht mehr notwendig. Benutzer geben ihr Kennwort bei der Pre-Boot Anmeldung ein und es wird automatisch auch an das Betriebssystem weitergegeben, sobald dieses hochgefahren ist und Anmeldeinformationen benötigt. Durch die Kennwort-Weiterleitung ist es nicht notwendig, dass sich Benutzer nach einem Neustart zweimal anmelden müssen.

Benutzer können ihr Kennwort jederzeit zurücksetzen, ohne dass deshalb eine neuerliche

Verschlüsselung notwendig wäre. Der Grund ist ein mehrstufiges

Verschlüsselungsschlüssel-System. Die Schlüssel, die dem Benutzer angezeigt werden (z.

B. Kennwörter für die Anmeldung oder Recovery-Schlüssel) sind abgeleitete

101

SafeGuard Enterprise

Verschlüsselungsschlüssel und können daher ersetzt werden. Der wirkliche

Laufwerksverschlüsselungsschlüssel wird niemals einem Benutzer offengelegt.

Weiter Informationen zu FileVault 2 finden Sie in: Apple Technical White Paper - Best Practices

for Deploying FileVault 2 (Aug. 2012). Es kann von der Apple Website heruntergeladen werden.

4.2.3 Initialverschlüsselung

Wenn Sie per Richtlinie eine volume-basierende Verschlüsselung des Systemlaufwerks definieren, startet die Festplattenverschlüsselung automatisch sobald der Benutzer den

Endpoint neu startet. Der Benutzer muss wie folgt vorgehen:

1. Geben Sie das Mac OS X Anmeldekennwort ein.

2. Warten Sie bis Ihr Mac neu startet.

Hinweis: Wenn die Aktivierung der Verschlüsselung fehlschlägt, wird eine Fehlermeldung angezeigt. Nähere Informationen finden Sie in den Logdateien. Der Standardspeicherort ist /var/log/system.log

3. Die Festplattenverschlüsselung startet und wird im Hintergrund ausgeführt. Der Benutzer kann seine Arbeit fortsetzen.

Der Benutzer wird als der erste FileVault 2 Benutzer des Endpoints hinzugefügt.

4.2.4 Entschlüsselung

Normalerweise ist keine Entschlüsselung notwendig. Wenn der Sicherheitsbeauftragte eine

Richtlinie setzt, die Keine Verschlüsselung für Ihren bereits verschlüsselten Mac vorsieht, bleibt der Mac verschlüsselt. In diesem Fall können Benutzer allerdings auch entschlüsseln.

Die entsprechende Schaltfläche befindet sich auf der Registerkarte Disk Encryption im

Einstellungsbereich.

Benutzer mit lokalen Administrator-Rechnten können nicht daran gehindert werden, mithilfe der eingebauten FileVault 2 Funktionalität manuell zu versuchen, ihre Festplatte zu entschlüsseln. Jedoch werden sie zu einem Neustart aufgefordert, um die Entschlüsselung fertigzustellen. Sobald der Mac den Neustart abgeschlossen hat, wird SafeGuard native

Device Encryption für Mac erneut die Verschlüsselung erzwingen, sofern eine entsprechende

Richtlinie gesetzt ist.

4.2.5 FileVault 2 Benutzer hinzufügen

Nur Benutzer, die auf einem Endpoint für FileVault 2 registriert sind, können sich nach einem

Neustart am System anmelden. Um einen Benutzer zu FileVault 2 hinzuzufügen, gehen Sie folgendermaßen vor:

1. Melden Sie sich mit dem Benutzer an, den Sie für FileVault 2 aktivieren wollen, während der Mac eingeschaltet bleibt.

2. Geben Sie im Dialog Aktivieren Sie Ihren Benutzeraccount den Benutzernamen und das OS X Anmeldekennwort dieses Benutzers ein.

Benutzer können sich so einfach anmelden als würde keine Festplattenverschlüsselung verwendet.

Hinweis: Sie können Benutzer nicht im Management Center Endpoints zuweisen, um ihnen die Verwendung von FileVault 2 zu erlauben.

102

Administratorhilfe

4.2.6 FileVault 2 Benutzer löschen

Ein Benutzer kann im SafeGuard Management Center von der Liste der Benutzer, die einem

Mac zugeordnet sind, gelöscht werden. Nach dem nächsten Synchronisieren wird der Benutzer auch am Endpoint von der Liste der FileVault 2 Benutzer gelöscht. Das bedeutet allerdings nicht, dass sich dieser Benutzer an diesem Mac nicht mehr anmelden kann. Um wieder für

FileVault 2 aktiviert zu werden ist es ist lediglich notwendig, sich einmal anzumelden während der Mac läuft.

Wenn Sie verhindern wollen, dass ein bestimmter Benutzer einen Mac startet, dann markieren

Sie ihn im Management Center als gesperrt. Dann wird er von der Liste der FileVault 2 Benutzer am Client gelöscht und es ist keine neuerliche Autorisierung möglich.

Alle FileVault 2 Benutzer können gelöscht werden bis auf den letzten. Wird der Besitzer gelöscht, wird der nächste Benutzer in der Liste als Besitzer markiert. In SafeGuard Native

Device Encryption für Mac macht es keinen Unterschied, ob ein Benutzer Besitzer ist oder nicht.

4.2.7 Synchronisierung mit dem Backend

Während der Synchronisierung wird der Status der Clients an das SafeGuard Enterprise

Backend gemeldet, Richtlinien werden aktualisiert und die Benutzer-Computer Zuordnung wird geprüft.

Die folgenden Informationen werden von den Clients gesendet und im SafeGuard Management

Center angezeigt:

■

Sobald ein Endpoint verschlüsselt ist, ist "POA" angehakt. Weitere Informationen, die angezeigt werden, umfassen Laufwerksname, Label, Typ, Status, Algorithmus und

Betriebssystem.

Neue FileVault 2 Benutzer werden auch im Management Center angezeigt.

Hinweis: Falls die SafeGuard Enterprise Client Software von einem Endpoint entfernt wird, sind der Endpoint und seine Benutzer im SafeGuard Management Center immer noch sichtbar.

Aber der Zeitstempel des letzten Serverkontakts ändert sich nicht mehr.

Auf Client-Seite wird Folgendes aktualisiert:

■ Richtlinien, die im Management Center geändert wurden, werden am Client nachgezogen.

■ Benutzer, die im Management Center gelöscht oder gesperrt wurden, werden auch von der Liste der FileVault 2 Benutzer des Clients gelöscht.

4.2.8 Kommandozeilen-Optionen

Terminal erlaubt Ihnen, Kommandos und Kommandozeilen-Optionen einzugeben. Folgende

Kommandozeilen-Optionen stehen zur Verfügung:

Kommando-Name sgdeadmin

Definition Zusätzliche Parameter (optional)

Listet die verfügbaren

Kommandos zusammen mit einer

Kurzhilfe auf.

--help

103

SafeGuard Enterprise

Kommando-Name sgdeadmin --version

Definition

Zeigt Version und Copyright des installierten Produkts an.

Zusätzliche Parameter (optional) sgdeadmin --status

Zeigt Systemstatusinformationen wie Versions-, Server- und

Zertifikatsinformation an.

sgdeadmin

--list-user-details

Zeigt Informationen zum momentan angemeldeten

Benutzer an.

--all zeigt Information für alle

Benutzer an (sudo erforderlich).

--xml zeigt Ausgabe im xml-Format an.

sgdeadmin

--list-policies

Zeigt Richtlinien-spezifische

Informationen an.

Schlüssel-GUIDS werden wenn möglich in Schlüsselnamen aufgelöst. Fett ausgezeichnete

Elemente zeigen einen persönlichen Schlüssel an.

--all zeigt Information für alle

Benutzer an (sudo erforderlich).

--xml zeigt Ausgabe im xml-Format an.

sgdeadmin --synchronize

Erzwingt den sofortigen Kontakt mit dem Server (erfordert eine funktionierende

Serververbindung).

sgdeadmin

--import-recoverykey

["recoverykey"]

Importiert den FileVault 2

Wiederherstellungsschlüssel,

überschreibt den bestehenden

Wiederherstellungsschlüssel.

--force Der bestehende

Wiederherstellungsschlüssel wird ohne nochmalige Bestätigung

überschrieben.

"recoverykey" Wenn der

Wiederherstellungsschlüssel nicht sofort eingegeben wird, wird der

Benutzer danach gefragt.

sgdeadmin

--import-config

"/Pfad/zur/Zieldatei"

Importiert die angegebene

Konfigurations-Zipdatei Das

Kommando braucht

Administrator-Rechte (sudo).

Hinweis:

Ziehen Sie komplette Pfade mit der Maus z.B. aus dem Finder in die Terminal-Anwendung.

sgdeadmin

--enable-server-verify

Schaltet die

SSL-Serververifizierung für die

Kommunikation mit dem

104

Administratorhilfe

Kommando-Name Definition

SafeGuard Enterprise-Server ein.

Nach der Installation ist die

SSL-Serververifizierung standardmäßig aktiviert. Das

Kommando braucht

Administrator-Rechte (sudo).

Zusätzliche Parameter (optional) sgdeadmin

--disable-server-verify

Schaltet die

SSL-Serververifizierung für die

Kommunikation mit dem

SafeGuard Enterprise-Server aus.

Das Kommando braucht

Administrator-Rechte (sudo).

Hinweis:

Wir empfehlen nicht, diese Option zu verwenden, da dadurch eine

Sicherheits-Schwachstelle entstehen kann.

sgdeadmin

--update-machine-info

[--domain "domain"]

--domain "domain"

Aktualisiert die aktuell gespeicherten

Computerinformationen, die verwendet werden, um diesen

Client auf dem SafeGuard

Die Domain, die der Client für die

Registrierung auf dem SafeGuard

Enterprise Server verwenden sollte. Dieser Parameter ist nur

Enterprise Server zu registrieren. erforderlich, wenn der Rechner zu

Das Kommando braucht mehreren Domains gehört. Der

Administrator-Rechte (sudo).

Computer muss dieser Domain

Hinweis: hinzugefügt werden, ansonsten schlägt der Befehl fehl.

Verwenden Sie diesen Befehl erst nach dem Ändern der Domain oder Arbeitsgruppe, zu welcher der Computer gehört. Gehört der

Computer zu mehreren Domains oder Arbeitsgruppen und führen

Sie diesen Befehl aus, kann dies zu einer Änderung der

Domain-Registrierung und

Entfernung von persönlichen

Schlüsseln und/oder FileVault 2

Benutzern führen.

sgdeadmin

--enable-systemmenu sgdeadmin

--disable-systemmenu

Aktiviert das System-Menü am

Endpoint.

Deaktiviert das System-Menü am

Endpoint.

sgdeadmin --synchronize Startet die Synchronisierung von

Datenbankinformation aus dem

Management Center, wie z.B. von

Richtlinien und Schlüsseln.

105

SafeGuard Enterprise

4.3 Über SafeGuard File Encryption für Mac

Sophos SafeGuard File Encryption für Mac erweitert den Schutz der Daten, der von Sophos

SafeGuard Enterprise geboten wird, von Windows auch in die Mac-Welt. Ermöglicht wird eine dateibasierte Verschlüsselung auf lokalen Laufwerken, auf Netzlaufwerken, auf

Wechsellaufwerken und in der Cloud.

Mit SafeGuard File Encryption für Mac können Sie Dateien sicher ver- und entschlüsseln und diese Dateien mit anderen Benutzern zwischen Mac-Rechnern und PCs austauschen.

Um Dateien zu lesen, die mit SafeGuard Enterprise auf mobilen Geräten verschlüsselt wurden, verwenden Sie Sophos Secure Workspace für iOS oder Android.

Im SafeGuard Management Center definieren Sie die Regeln für die dateibasierte

Verschlüsselung in File Encryption-Richtlinien. In den File Encryption-Richtlinien geben Sie die Zielordner für File Encryption, den Verschlüsselungsmodus und den Schlüssel für die

Verschlüsselung an. Diese Zentralverwaltung stellt sicher, dass identische Ordner und

Verschlüsselungsschlüssel auf unterschiedlichen Plattformen verarbeitet werden.

4.3.1 Empfehlungen

Verringern Sie den Administrationsaufwand

■ Minimieren Sie die Anzahl der Mount Points (bzw. sicheren Ordner).

■ Deaktivieren Sie die Option Bestätigung vor Erstellen mobiler Accounts einholen.

Wenn Sie mobile Accounts auf Mac-Rechnern erstellen oder verwenden, stellen Sie sicher, dass die Option Bestätigung vor Erstellen mobiler Accounts einholen deaktiviert ist.

Ist die Option aktiviert, könnte der Benutzer Nicht erstellen auswählen. Dies würde dazu führen, dass ein unvollständiger OS X Benutzer angelegt wird, z. B. ein Benutzer, der kein lokales Basisverzeichnis hat.

Zum Deaktivieren der Option sind folgende Schritte erforderlich:

1. Öffnen Sie die Systemeinstellungen und klicken Sie auf Benutzer & Gruppen.

2. Klicken Sie auf das Schloss-Symbol und geben Sie dann Ihr Kennwort ein.

3. Wählen Sie den Benutzer.

4. Klicken Sie auf Anmeldeoptionen.

5. Wählen Sie Netzwerkaccount-Server und klicken Sie auf Bearbeiten...

6. Wählen Sie die Active Directory-Domäne.

7. Klicken Sie auf Verzeichnisdienste öffnen...

8. Klicken Sie auf das Schloss-Symbol, geben Sie dann Ihr Kennwort ein und klicken Sie

Konfiguration ändern.

9. Wählen Sie Active Directory und klicken Sie auf das Bearbeiten-Symbol.

10. Klicken Sie auf den Pfeil neben Erweiterte Optionen einblenden.

11. Wählen Sie Mobilen Account bei Anmeldung erstellen und deaktivieren Sie die

Option Bestätigung vor Erstellen mobiler Accounts einholen.

12. Bestätigen Sie Ihre Auswahl mit Ok.

4.3.2 Einschränkungen

■ Maximale Anzahl an sicheren Ordnern (Aktivierungspunkte bzw. Mount Points) auf einem Client

106

Administratorhilfe

Auf jedem Mac OS X Client kann es maximal 24 sichere Ordner (Aktivierungspunkte bzw.

Mount Points) geben. Sind mehrere Benutzer auf einem Rechner angemeldet, müssen

Sie die Mount Points aller angemeldeten Benutzer addieren.

■ Ausgeschlossene Ordner

Die folgenden Ordner werden von der Verschlüsselung ausgenommen:

■ Ordner werden ausgenommen, aber nicht ihre Unterordner:

■ <Root>/

■

<Root>/Volumes/

<User Profile>/

■ Ordner sowie ihre Unterordner werden ausgenommen:

■ <Root>/bin/

■

<Root>/sbin/

<Root>/usr/

■

<Root>/private/

<Root>/dev/

<Root>/Applications/

<Root>/System/

■

<Root>/Library/

<User Profile>/Library/

/<Removables>/SGPortable/

/<Removables>/System Volume Information/

Das bedeutet, dass z. B. eine Verschlüsselungsregel für das Root einer zusätzlichen

Partition (<Root>/Volumes/) keine Wirkung hat, auch wenn sie als erhaltene Richtlinie angezeigt wird.

Eine Verschlüsselungsregel für <Root>/abc wirkt sich aus, aber nicht eine

Verschlüsselungsregel für <Root>/private/abc.

■ Nach Dateien suchen

■ Spotlight-Suche

Die Spotlight-Suche funktioniert nicht bei verschlüsselten Dateien.

■ Dateien mit Etikett

Die Suche nach Dateien mit Etikett funktioniert nicht in sicheren Ordnern.

■ Verschlüsselte Dateien aus sicheren Ordnern verschieben

Wenn Sie eine verschlüsselte Datei von einem sicheren Ordner in einen nicht-sicheren

Ordner verschieben bleibt die Datei verschlüsselt, aber Sie können nicht auf den Inhalt zugreifen. Sie müssen sie zuerst manuell entschlüsseln.

Wenn Sie eine verschlüsselte Datei in einem sicheren Ordner öffnen und in einen nicht-sicheren Ordner speichern wird die Datei automatisch entschlüsselt.

107

SafeGuard Enterprise

■ Permanente Versionsspeicherung in sicheren Ordnern nicht verfügbar

Die Funktion Alle Versionen durchsuchen... ist für Dateien in sicheren Ordnern nicht verfügbar.

■ Sichere Ordner freigeben

Ein sicherer Ordner kann nicht über das Netzwerk freigegeben werden.

■ CDs brennen

Es ist nicht möglich, eine verschlüsselte CD zu brennen.

■ Dateien löschen

Beim Löschen von Dateien aus einem sicheren Ordner (Aktivierungspunkt bzw. Mount

Point) wird eine Meldung angezeigt, mit der Sie aufgefordert werden, den Löschvorgang zu bestätigen. Gelöschte Dateien werden nicht in den Papierkorb verschoben und können somit nicht wiederhergestellt werden.

■ SafeGuard Portable

SafeGuard Portable ist nicht für Mac OS X verfügbar.

■ AirDrop verwenden

Verschlüsselte Dateien können mit AirDrop übertragen werden. Stellen Sie sicher, dass das Zielgerät verschlüsselte Dateien verarbeiten kann, da sich die Anwendungen sonst möglicherweise anders verhalten als erwartet.

■ Handoff

Handoff für verschlüsselte Dateien wird nicht unterstützt.

■ Netzlaufwerke mit autofs aktivieren

Netzlaufwerke, für die eine Richtlinie gilt und die beim Start automatisch aktiviert werden, werden von Sophos SafeGuard File Encryption nicht erkannt. Solche Aktivierungspunkte bzw. Mount Points können nicht verarbeitet werden, weil der ursprüngliche Mount Point nicht ersetzt werden kann.

4.3.3 Konfiguration

Sophos SafeGuard File Encryption für Mac OS X wird über das SafeGuard Management

Center verwaltet. Das folgende Kapitel beschreibt ausschließlich die Mac-spezifischen

Konfigurationseinstellungen.

SafeGuard File Encryption für Mac verwendet nur Richtlinien vom Typ Dateiverschlüsselung und Allgemeine Einstellungen. Das bedeutet, dass Sie nur eine

Dateiverschlüsselungsrichtlinie für die Verwaltung der Datenverschlüsselung auf dem lokalen

Dateisystem, Wechselmedien, Netzlaufwerken und Cloud-Speicher benötigen.

Geräteschutz-Richtlinien (einschließlich der Richtlinien Cloud-Speicher und Verschlüsselung

von Wechselmedien) werden für SafeGuard File Encryption für Mac OS X ignoriert. Weisen

Sie den Benutzerobjekten immer Dateiverschlüsselung zu. Richtlinien vom Typ

Dateiverschlüsselung, die Endpoints zugewiesen werden, haben keine Wirkung auf OS X

Endpoints.

Hinweis:

108

Administratorhilfe

Im SafeGuard Management Center müssen Pfade mit Backslashs eingegeben werden. Sie werden Mac Client-seitig automatisch in Schrägstriche umgewandelt.

4.3.3.1 Zentral verwaltete Konfigurationsoptionen

Die folgenden Optionen werden zentral im Management Center konfiguriert:

■

Richtlinien

Schlüssel

Zertifikate

Das SafeGuard Enterprise Backend stellt ein X.509-Benutzerzertifikat zur Verfügung.

Wenn Sie sich das erste Mal anmelden, wird ein Zertifikat generiert. Das Zertifikat schützt den Schlüsselring des Benutzers.

■ Server-Verbindungsintervall

4.3.4 Wie funktioniert Verschlüsselung?

Jede verschlüsselte Datei ist mit einem zufallsgenerierten Schlüssel namens Data Encryption

Key (DEK) unter Verwendung des AES-256-Algorithmus verschlüsselt. Dieser zufällig generierte und eindeutige DEK wird verschlüsselt und als Datei-Header zusammen mit der verschlüsselten Datei gespeichert. Dadurch erhöht sich die ursprüngliche Dateigröße um 4

KB.

Der DEK wird mit einem Key Encryption Key (KEK) verschlüsselt. Der KEK wird in der zentralen

SafeGuard Enterprise-Datenbank gespeichert. Der Sicherheitsbeauftragte ordnet diesen KEK einem einzelnen Benutzer, einer Benutzergruppe oder einer Organisationseinheit zu.

Um eine verschlüsselte Datei zu entschlüsseln, muss der Benutzer den KEK speziell für diese

Datei in seinem Schlüsselring haben.

4.3.5 Initialverschlüsselung

Die Initialverschlüsselung kann im Einstellungsbereich oder auch über die Kommandozeile gestartet werden. Sowohl Administratoren als auch Benutzer können die initiale

Verschlüsselung von Dateien auf lokalen Festplatten und Wechselmedien anstoßen.

Netzwerkfreigaben können nur von Administratoren verschlüsselt werden.

Eine Richtlinie definiert, ob die Initialverschlüsselung automatisch gestartet wird und ob lokale

Ordner, Wechselmedien oder Cloud-Verzeichnisse verschlüsselt werden.

So starten Sie die Verschlüsselung am Endpoint manuell:

1. Öffnen Sie die Systemeinstellungen.

2. Klicken Sie auf das Sophos Encryption-Symbol.

3. Wählen Sie das Register Richtlinien.

4. Wechseln Sie in die Ansicht Lokal übersetzter Pfad sofern diese nicht bereits geöffnet ist. Sie können entweder a) alle Richtlinien über die Schaltfläche Erzwinge alle Richtlinien im unteren Fensterteil umsetzen

109

SafeGuard Enterprise oder b) eine einzelne Richtlinie auswählen und auf Erzwinge Richtlinie klicken.

Hinweis: Trennen Sie keine Geräte, auf denen gerade die Initialverschlüsselung ausgeführt wird.

Hinweis: Wenn Sie Details und Inhalte des lokal übersetzten Pfads sehen wollen, wählen

Sie den Pfad aus der Liste und klicken Sie auf Im Finder anzeigen.

4.3.6 Umgang mit Passwörtern

Der Sophos SafeGuard Schlüsselring ist mit einem Benutzerzertifikat gesichert. Der entsprechende private Schlüssel ist mit dem OS X Kennwort geschützt.

Das Kennwort wird benötigt, damit das Zertifikat erzeugt werden kann, wenn der Benutzer nicht in SafeGuard Enterprise angelegt wurde.

Lokales Ändern des Kennworts

Benutzer können ihre Kennwörter lokal unter Systemeinstellungen > Benutzer & Gruppen

ändern. Es sind keine weiteren Schritte erforderlich.

Kennwort wurde auf einem anderen Endpoint geändert

Hinweis: Kennwörter können auf Windows und Mac Endpoints geändert werden.

Da das Kennwort auf diesem Endpoint nicht mehr bekannt ist, müssen die folgenden Schritte ausgeführt werden:

1. Melden Sie sich mit Ihrem neuen Kennwort bei OS X an.

2. Das System konnte Ihren Schlüsselbund nicht entsperren wird angezeigt.

3. Wählen Sie Schlüsselbundkennwort aktualisieren.

4. Geben Sie das alte Kennwort ein.

Nähere Informationen darüber, wie Sie Ihr Kennwort zurücksetzen können, finden Sie unter

Vergessenes Kennwort zurücksetzen (Seite 115).

4.3.7 Management der Wiederherstellungsschlüssel

Wenn alle für FileVault 2 aktivierten Benutzer eines Systems ihre Kennwörter vergessen, keine Anmeldeinformationen verfügbar sind und kein Wiederherstellungsschlüssel verfügbar ist, kann das verschlüsselte Laufwerk nicht entsperrt werden und es besteht kein Zugriff auf die Daten. Daten könnten unwiederbringlich verloren werden, deshalb ist es wesentlich, die

Wiederherstellung entsprechend zu planen.

Ein neuer Wiederherstellungsschlüssel wird jeweils bei der Aktivierung der

Festplattenverschlüsselung generiert. Wenn Sophos SafeGuard Native Device Encryption zum Zeitpunkt der Verschlüsselung noch nicht installiert ist, dann wird er dem Benutzer angezeigt, der in der Folge auch dafür verantwortlich ist, ihn gegen Verlust zu schützen. Ist

Sophos SafeGuard Native Device Encryption installiert, dann wird er sicher an das SafeGuard

Enterprise übermittelt und dort zentral gespeichert. Der Sicherheitsbeauftragte kann den

Wiederherstellungsschlüssel jederzeit abfragen, wenn er benötigt wird. Siehe Vergessenes

Kennwort zurücksetzen

(Seite 115).

110

Administratorhilfe

Aber selbst wenn SafeGuard Native Device Encryption zum Zeitpunkt der Verschlüsselung nicht installiert war, kann der Wiederherstellungsschlüssel zentral verwaltet werden. Dafür ist es notwendig, ihn zu importieren. Der entsprechende Kommandozeilenbefehl ist sgdeadmin

--import-recoverykey , siehe auch

Kommandozeilen-Optionen (Seite 103). Der

Wiederherstellungsschlüssel wird in Großbuchstaben gesendet.

Ein eventuell vorhandener institutioneller Wiederherstellungsschlüssel kann ebenfalls verwendet werden. Mehr Information dazu finden Sie auch in: OS X: How to create and deploy a recovery key for FileVault 2 unter support.apple.com/kb/HT5077

4.3.8 Schneller Benutzerwechsel

SafeGuard File Encryption für Mac unterstützt auch den schnellen Benutzerwechsel. Sie können so zwischen Benutzerkonten auf einem Endpoint wechseln, ohne Anwendung beenden oder sich von dem Rechner abmelden zu müssen.

4.3.9 Lokale Schlüssel

Hinweis: Lokale Schlüssel können nicht mit SafeGuard Synchronized Encryption verwendet werden.

Sie können lokale Schlüssel zum Verschlüsseln von Dateien in bestimmten Verzeichnissen auf Wechselmedien oder in der Cloud verwenden. Diese Verzeichnisse müssen bereits in einer Verschlüsselungsrichtlinie enthalten sein.

So erzeugen Sie lokale Schlüssel:

1. Öffnen Sie das System-Menü und wählen Sie Schlüssel erzeugen.

2. Wählen Sie einen Namen und eine Passphrase für Ihren Schlüssel und klicken Sie auf

OK.

Der Schlüsselname wird automatisch vorne mit "Local_" und hinten mit Datum und Zeit ergänzt.

Der Schlüssel wird erzeugt und im Einstellungsbereich angezeigt. Der Benutzer kann nun den lokalen Schlüssel auf ein Wechselmedium oder einem Cloud-Verzeichnis anwenden.

4.3.10 Kommandozeilen-Optionen

Terminal erlaubt Ihnen, Kommandos und Kommandozeilen-Optionen einzugeben. Folgende

Kommandozeilen-Optionen stehen zur Verfügung:

Kommando-Name sgfsadmin

Definition Zusätzliche Parameter (optional)

Listet die verfügbaren

Kommandos zusammen mit einer

Kurzhilfe auf.

--help sgfsadmin --version

Zeigt Version und Copyright des installierten Produkts an.

111

SafeGuard Enterprise

Kommando-Name sgfsadmin --status

Definition

Zeigt Systemstatusinformationen wie Versions-, Server- und

Zertifikatsinformation an.

Zusätzliche Parameter (optional) sgfsadmin

--list-user-details

Zeigt Informationen zum momentan angemeldeten

Benutzer an.

sgfsadmin --list-keys

Listet existierende GUIDS und

Schlüsselnamen aller Schlüssel im Schlüsselbund auf

--all zeigt Information für alle

Benutzer an (sudo erforderlich).

--xml zeigt Ausgabe im xml-Format an.

sgfsadmin

--list-policies

--all zeigt Information für alle

Benutzer an (sudo erforderlich).

--xml zeigt Ausgabe im xml-Format an.

Zeigt Richtlinien-spezifische

Informationen an.

Schlüssel-GUIDS werden wenn möglich in Schlüsselnamen aufgelöst. Fett ausgezeichnete

Elemente zeigen einen persönlichen Schlüssel an.

--all zeigt Information für alle

Benutzer an (sudo erforderlich).

--xml zeigt Ausgabe im xml-Format an.

--raw zeigt Richtlinien in

Originalansicht an, d.h. so wie sie auf SafeGuard Management

Center-Serverseite aufgesetzt sind.

sgfsadmin

--enforce-policies

Wendet die

Verschlüsselungs-Richtlinie an

--all wendet die Richtlinie auf alle Verzeichnisse an, wo

Richtlinien gelten

"directoryname" wendet die

Richtlinie auf das angegebene

Verzeichnis an.

sgfsadmin --file-status

"filename1"

["filename2"..."filenameN"]

Zeigt

Verschlüsselungsinformation für eine Datei oder Dateilisten an. Die

Verwendung von Platzhaltern ist erlaubt.

--xml zeigt Ausgabe im xml-Format an.

sgfsadmin

--import-config

"/Pfad/zur/Datei"

Importiert die angegebene

Konfigurations-Zipdatei Das

Kommando braucht

Administrator-Rechte (sudo).

Hinweis:

Ziehen Sie komplette Pfade mit der Maus z.B. aus dem Finder in die Terminal-Anwendung.

112

Administratorhilfe

Kommando-Name Definition sgfsadmin

--enable-server-verify

Schaltet die

SSL-Serververifizierung für die

Kommunikation mit dem

SafeGuard Enterprise-Server ein.

Nach der Installation ist die

SSL-Serververifizierung standardmäßig aktiviert. Das

Kommando braucht

Administrator-Rechte (sudo).

Zusätzliche Parameter (optional) sgfsadmin

--disable-server-verify

Schaltet die

SSL-Serververifizierung für die

Kommunikation mit dem

SafeGuard Enterprise-Server aus.

Das Kommando braucht

Administrator-Rechte (sudo).

Hinweis:

Wir empfehlen nicht, diese Option zu verwenden, da dadurch eine

Sicherheits-Schwachstelle entstehen kann.

sgfsadmin

--update-machine-info

[--domain "domain"]

--domain "domain"

Aktualisiert die aktuell gespeicherten Die Domain, die der Client für die

Computerinformationen, die verwendet werden, um diesen

Client auf dem SafeGuard

Administrator-Rechte (sudo).

Registrierung auf dem SafeGuard

Enterprise Server verwenden sollte. Dieser Parameter ist nur

Enterprise Server zu registrieren. erforderlich, wenn der Rechner zu

Das Kommando braucht mehreren Domains gehört. Der

Computer muss dieser Domain hinzugefügt werden, ansonsten

Hinweis: schlägt der Befehl fehl.

Verwenden Sie diesen Befehl erst nach dem Ändern der Domain oder Arbeitsgruppe, zu welcher der Computer gehört. Gehört der

Computer zu mehreren Domains oder Arbeitsgruppen und führen

Sie diesen Befehl aus, kann dies zu einer Änderung der

Domain-Registrierung und

Entfernung von persönlichen

Schlüsseln und/oder FileVault 2

Benutzern führen.

sgfsadmin

--dump-unprivileged-applications

[path]

Sammelt Anwendungspfade, die nicht autorisiert sind, auf verschlüsselte Dateien zuzugreifen. Sie können die

Information dazu verwenden, um

Anwendungen zur

Applikationenliste hinzuzufügen.

Sie können die Resultate auf

113

SafeGuard Enterprise

Kommando-Name Definition einen bestimmten Pfad beschränken.

Hinweis: Diese Funktion ist nur für Synchronized Encryption relevant.

Zusätzliche Parameter (optional) sgfsadmin --synchronize Startet die Synchronisierung von

Datenbankinformation aus dem

Management Center, wie z.B. von

Richtlinien, Zertifikaten und

Schlüsseln.

4.3.11 Verwendung von Time Machine

Hinweis: Dieser Abschnitt ist nur relevant, wenn eine Verschlüsselungsregel für

Wechselmedien definiert ist.

Wenn Sie eine neue Festplatte für das Time Machine Backup verwenden wollen und die

Platte nicht automatisch vom System dafür vorgeschlagen wird, verwenden Sie folgenden

Befehl in der Terminal-Anwendung: sudo tmutil setdestination -a "/Volumes/.sophos_safeguard_{DISK

NAME}/"

Wenn Sie Time Machine für einen verschlüsselten Ordner verwenden, werden keine alten

Versionen angezeigt. Die Backups sind jedoch in einem verborgenen Ordner gespeichert.

Sie können die Inhalte der Dateien in dem versteckten Pfad nicht lesen. Die Sicherung enthält somit nur verschlüsselte Daten und Ihre Inhalte bleiben geschützt. Um Dateien wiederherzustellen, gehen Sie wie folgt vor:

1. Öffnen Sie Time Machine (z. B. indem Sie "Time Machine" in die Spotlight-Suche eingeben).

Die Inhalte Ihres Stammverzeichnisses werden angezeigt.

2. Drücken Sie Shift + CMD + G (für "Gehe zu Ordner:") und geben Sie den versteckten

Pfad des verschlüsselten Ordners ein, den Sie wiederherstellen möchten.

Wenn der verschlüsselte Ordner, mit dem Sie normalerweise arbeiten,

/Benutzer/Admin/Dokumente heißt, geben Sie

/Benutzer/Admin/.sophos_safeguard_Dokumente/ ein.

3. Suchen Sie die Datei, die Sie wiederherstellen möchten, klicken Sie auf das Rad-Symbol in der Time Machine Menüleiste und wählen Sie <file name> wiederherstellen nach....

Wenn Sie von Time Machine zu Ihrem Desktop zurückkehren, ist Ihre Datei wiederhergestellt und kann entschlüsselt werden.

Hinweis: Das erste Time Machine Backup nach einer Neuinstallation von SafeGuard File

Encryption dauert länger und benötigt mehr Speicherplatz als sonst. Der Grund dafür ist, dass

OS X keine gestapelten Dateisysteme unterstützt und daher alle lokalen Verzeichnisse, für die sichere Mount Points erstellt wurden (Dokumente, Musik, Filme etc.), beim Backup dupliziert werden. Nachdem das erste Backup am verborgenen Speicherort abgeschlossen ist, werden jedoch ältere Backups gelöscht und Speicherplatz wird freigegeben.

114

Administratorhilfe

4.3.12 Arbeiten mit Wechselmedien

Stellen Sie vor dem Arbeiten mit Wechselmedien sicher, dass Ihnen eine Richtlinie und ein

Schlüssel zugewiesen wurden, die es Ihnen erlauben, Dateien auf Wechselmedien zu verschlüsseln.

1. Schließen Sie das Wechselmedium an.

2. Es öffnet sich ein Dialog, in dem Sie gefragt werden, ob Sie Klartextdateien auf dem Gerät verschlüsseln möchten. Nach dem Klicken auf Ja startet die Verschlüsselung. Wenn Sie auf NEIN klicken, bleiben diese Dateien unverschlüsselt, aber Sie haben Zugriff auf Dateien auf dem Gerät, die bereits verschlüsselt sind. Unabhängig von Ihrer Auswahl werden neue

Dateien auf dem Gerät immer gemäß der Richtlinie verschlüsselt.

3. Die Dateien auf Ihrem Wechselmedium werden automatisch verschlüsselt. Dies wird durch das System-Menü-Symbol des sich drehenden Rads angezeigt

4. Sind alle Dateien auf Ihrem Medium verschlüsselt, so hört das Rad auf, sich zu drehen.

5. Werfen Sie das Wechselmedium aus. Das zugehörige Symbol für den sicheren Ordner wird automatisch ausgeblendet.

Hinweis:

Um Daten auf Wechselmedien zwischen zwei Stellen austauschen und bearbeiten zu können, müssen beiden Stellen die zugehörige Richtlinie und der entsprechende Schlüssel zugewiesen werden. Es können keine persönlichen Schlüssel verwendet werden. Für den

Austausch zwischen Windows- und Mac OS X-Clients muss das Gerät mit FAT32 formatiert sein. Da das Dateiformat nicht im Finder angezeigt werden kann, müssen Sie Das

Festplattendienstprogramm (Disk Utility) verwenden, um das Dateisystem, mit dem das

Wechselmedium formatiert wurde, anzuzeigen. Für den Windows-Client ist eine

Datenaustausch-Richtlinie erforderlich. Die Medien-Passphrase-Funktionalität steht nur für Windows zur Verfügung. Der Zugriff auf die Daten von einem Mac OS X-Client aus ist nur möglich, wenn entsprechende Richtlinien vom Typ Dateiverschlüsselung definiert werden.

4.4 Fehlerbehebung

4.4.1 Vergessenes Kennwort zurücksetzen

Hinweis: Diese Anleitung geht von dem Fall aus, dass ein Benutzer sowohl SafeGuard Disk

Encryption als auch SafeGuard File Encryption oder Synchronized Encryption auf seinem

Mac installiert hat. Ist nur eines der genannten Module installiert, können die erforderlichen

Schritte abweichen.

Hat ein Benutzer sein Mac OS X Anmeldekennwort vergessen, so gehen Sie wie folgt vor:

1. Fordern Sie den Benutzer auf, den Anmeldedialog zu öffnen und auf ? zu klicken.

Die Merkhilfe für das Kennwort wird angezeigt und der Benutzer wird aufgefordert, das

Kennwort mithilfe des Recovery-Schlüssels zurückzusetzen.

2. Lassen Sie den Benutzer auf das Dreieck neben dem Text klicken, um zum nächsten

Schritt (Eingabe des Recovery-Schlüssels) zu gelangen:

115

SafeGuard Enterprise

3. Öffnen Sie im SafeGuard Management Center den Recovery-Assistenten über Extras >

Recovery und zeigen Sie den Recovery-Schlüssel für den betroffenen Endpoint an.

4. Teilen Sie dem Benutzer den Recovery-Schlüssel zur Eingabe im Anmeldedialog mit.

Der Recovery-Schlüssel wird erneuert, sobald er einmal zum Starten des Systems verwendet wurde. Der neue Recovery-Schlüssel wird automatisch erzeugt und an das

SafeGuard Enterprise Backend gesendet, wo er gespeichert wird, um für das nächste

Recovery verfügbar zu sein.

5. Wählen Sie im SafeGuard Management Center Benutzer und Computer und entfernen

Sie das Benutzerzertifikat.

6. Bei lokalen Benutzern gehen Sie folgendermaßen vor: a) Fordern Sie den Benutzer auf, ein neues Kennwort und eine Merkhilfe zu definieren.

b) Wählen Sie im SafeGuard Management Center Benutzer und Computer >

.Unbestätigte Benutzer und bestätigen Sie den Benutzer.

c) Lassen Sie den Benutzer die Registerkarte Server im Einstellungsbereich öffnen und

Synchronisieren klicken.

7. Bei Active Directory Benutzern gehen Sie folgendermaßen vor: a) Setzen Sie das alte Kennwort in der Benutzerverwaltung zurück und generieren Sie ein vorläufiges Kennwort. Wählen Sie die entsprechende Option um den Benutzer zu zwingen, sein Kennwort nach der ersten Anmeldung zu ändern.

b) Kontaktieren Sie den Benutzer und übergeben Sie das vorläufige Kennwort.

c) Lassen Sie den Benutzer im Dialog Kennwort zurücksetzen auf Abbrechen klicken und das vorläufige Kennwort eingeben.

d) Fordern Sie den Benutzer auf, ein neues Kennwort und eine Merkhilfe zu definieren und auf Passwort zurücksetzen zu klicken.

8. Im folgenden Dialog muss der Benutzer auf Neuen Schlüsselbund erstellen klicken.

9. Nun wird der Benutzer aufgefordert, sein neues Kennwort einzugeben, um ein

SafeGuard-Benutzerzertifikat zu erstellen.

Die Schlüssel des Benutzers werden automatisch in den neuen Schlüsselbund geladen, so dass alle Dokumente wie bisher zugänglich sind.

Hinweis: Seien Sie bei der Weitergabe von Recovery-Schlüsseln vorsichtig. Ein

Recovery-Schlüssel ist immer gerätespezifisch, nicht benutzerspezifisch. Stellen Sie sicher, dass der Recovery-Schlüssel nicht dazu missbraucht wird, um unautorisierten Zugriff auf sensible Benutzerdaten auf demselben Gerät zu erlangen.

4.4.2 Probleme beim Zugriff auf Daten

Wenn ein Benutzer Probleme beim Zugriff auf seine Daten hat, kann dies folgende Ursachen haben:

■ Der Benutzer wurde noch nicht bestätigt.

Weitere Informationen zu unbestätigten Benutzern finden Sie unter Erweiterte

Authentisierung - Benutzergruppe .Unbestätigte Benutzer (Seite 8).

Hinweis: Lokale Benutzer sind immer unbestätigte Benutzer.

■ Der Benutzer hat nicht den erforderlichen Schlüssel in seinem Schlüsselring.

116

Administratorhilfe

Weitere Informationen zum Zuweisen von Schlüsseln finden Sie unter

Zuweisen von

Schlüsseln im Bereich Benutzer & Computer

(Seite 292).

■ Die Schlüssel wurden aus Sicherheitsgründen vorübergehend entzogen. Der Endpoint gilt als unsicher oder gefährdet.

4.4.3 Probleme bei der Verwendung von virtuellen Computern (VM)

Virtualisierungsanwendungen wie VMware Fusion oder Parallels können nicht mit einem

SafeGuard Enterprise Mount Point verwendet werden. Wir empfehlen, den virtuellen Computer aus einem ausgeblendeten Ordner zu starten.

Beispiel:

Verwenden Sie zum Starten des virtuellen Computers nicht ~/Documents/Virtual

Machines/ , sondern ~/.sophos_safeguard_documents/Virtual Machines .

4.4.4 Ordner "SafeGuard Recovered Files"

Unter bestimmten Umständen kann es sein, dass sich ein Ordner namens Sophos SafeGuard

Recovered Files in einem Ordner befindet. Dies ist dann der Fall, wenn SafeGuard File

Encryption versucht, einen neuen sicheren Ordner (Aktivierungspunkt bzw. Mount Point) zu erstellen, aber der versteckte Ordner, der zum Speichern der verschlüsselten Inhalte erstellt werden muss (z. B. /Users/admin/.sophos_safeguard_Documents/) bereits existiert und nicht leer ist. Dann wird der Inhalt des ursprünglichen Ordners (z. B. /Users/admin/Documents) zu

Sophos SafeGuard Recovered Files verschoben und es wird wie sonst auch nur der Inhalt des versteckten Ordners angezeigt.

4.5 Bestands- und Statusinformationen für Macs

Für Macs liefert der Bestand u. a. folgende Informationen zu den einzelnen Maschinen: Die angezeigten Daten können variieren, je nachdem, welches Sophos Produkt installiert ist:

■ Name des Mac

■

Betriebssystem

POA-Typ

■ POA-Status

■ Anzahl an verschlüsselten Laufwerken

■ Anzahl an unverschlüsselten Laufwerken

■ Letzter Server-Kontakt

■ Änderungsdatum

■ Informationen dazu, ob das aktuelle Unternehmenszertifikat verwendet wird.

117

SafeGuard Enterprise

5 Module

5.1 Synchronized Encryption

Daten wichtig sind und verschlüsselt werden müssen, stellt sicher, dass Daten nahtlos und ohne Zutun des Benutzers verschlüsselt werden. Dies ermöglicht Benutzern produktiv zu bleiben, ihre Daten zu sichern und dabei ihre gewohnten Arbeitsabläufe nicht verändern zu müssen.

Hinweis: Dieser Abschnitt gilt sowohl für Windows als auch für Mac OS X. Informationen, die nur für eines der Systeme relevant sind, werden explizit gekennzeichnet.

Module

■ Anwendungsbasierte Dateiverschlüsselung

SafeGuard Enterprise Synchronized Encryption kann jede Datei, die mit einer per Richtlinie definierten Anwendung erstellt wurde, verschlüsseln, egal wo die Datei gespeichert wird.

Wenn Sie die Dateiverschlüsselung zum Beispiel für Microsoft Word aktivieren, wird jede

Datei, die Sie mit Word erstellen oder speichern automatisch mit dem Synchronized

Encryption-Schlüssel verschlüsselt. Jeder, der diesen Schlüssel in seinem Schlüsselring hat, kann auf diese Datei zugreifen. Eine Richtlinie definiert eine Liste von Anwendungen, für die die Dateiverschlüsselung automatisch durchgeführt wird.

■ Outlook Add-In

Synchronized Encryption beinhaltet ein Outlook-Add-In, das automatisch erkennt, wenn eine E-Mail mit Anhängen an Empfänger außerhalb Ihres Unternehmens versendet wird.

Benützer müssen entscheiden, ob sie den Anhang Kennwortgeschützt oder Ungeschützt senden möchten. Gegebenenfalls können Benutzer im angezeigten Dialog ein Kennwort definieren. Alternativ dazu können Sie per Richtlinie ein Standardverhalten definieren, das automatisch und ohne Benutzerinteraktion ausgeführt wird.

Hinweis: Das Outlook Add-In ist nur für Windows Endpoints verfügbar.

■ Integration in Sophos Central Endpoint Protection - Schlüssel auf gefährdeten

Computern entziehen

In Kombination mit Sophos Central Endpoint Protection können Schlüssel automatisch entfernt werden, wenn bösartige Aktivitäten auf dem Endpoint festgestellt werden.

Hinweis: Dieses Feature ist nur verfügbar, wenn Sie web-basierte Sophos Central Endpoint

Protection gemeinsam mit SafeGuard Enterprise verwenden.

■ Schlüsselring zwischen SafeGuard Enterprise und Sophos Mobile Control austauschen

118

Administratorhilfe

Schlüssel im SafeGuard Enterprise Schlüsselring können in der Sophos Secure Workspace

App (SSW), die über Sophos Mobile Control verwaltet wird, bereitgestellt werden. Benutzer der App können dann die Schlüssel zum Entschlüsseln, Lesen und Verschlüsseln von

Dokumenten verwenden. Diese Dateien können dann sicher zwischen allen Benutzern von SafeGuard Enterprise und SSW ausgetauscht werden.

5.1.1 Voraussetzungen

Um Synchronized Encryption Funktionen verwenden zu können, müssen die folgenden

Voraussetzungen erfüllt sein:

■

SafeGuard Enterprise Server, Datenbank und Management Center sind fertig eingerichtet.

Das Modul Synchronized Encryption muss auf den Endpoints installiert sein.

Hinweis:

■ Synchronized Encryption ersetzt alle anderen SafeGuard Enterprise File Encryption

Module. Es kann nicht zusätzlich zu Data Exchange, File Encryption oder Cloud Storage installiert werden. File Encryption Richtlinien, die von diesen pfadbasierten Modulen verwendet werden, sind nicht kompatibel mit den neuen anwendungsbasierten

Synchronized Encryption Richtlinien. Wenn Sie vom SafeGuard Enterprise File

Encryption Modul zum Synchronized Encryption Modul wechseln und die pfadbasierten

Richtlinien behalten, zeigt das RSOP im SafeGuard Management Center zwar beide

Richtlinien an, aber nur die anwendungsbasierte ist gültig. Der Grund dafür ist, dass das RSOP bei seiner Berechnung die installierten Module auf dem Endpoint nicht berücksichtigt.

■ Das Synchronized Encryption Modul ist nicht mit SafeGuard LAN Crypt kompatibel.

■ So aktivieren Sie die Features:

■ Erstellen Sie anwendungsbasierte Dateiverschlüsselungsrichtlinien (Synchronized

Encryption).

■

Erstellen Sie Richtlinien für die Aktivierung des Outlook-Add-Ins (verschlüsselt

Mailanhänge entsprechend der Richtlinieneinstellungen).

Erstellen Sie Richtlinien für die Aktivierung der Integration in Sophos Endpoint Protection

(entfernt bei bösartigen Aktivitäten die Schlüssel von Endpoints).

Konfigurieren Sie die Synchronisierung des SafeGuard Enterprise Schlüsselrings für mobile Geräte mit Sophos Mobile Control.

Hinweis: Auf Macs gelten nur benutzerbasierte Richtlinien. Maschinenrichtlinien werden ignoriert.

5.1.1.1 Installation auf Endpoints

Führen Sie den Client-Installer für Ihre Plattform aus. Wählen Sie auf Windows-Endpoints im darauf folgenden Dialog das Synchronized Encryption Modul aus. Befolgen Sie die

Anweisungen auf dem Bildschirm.

5.1.1.2 Aktualisierung von Endpoints

■ Windows: Um Ihre Endpoints von SafeGuard Enterprise 6.1 (oder höher) zu aktualisieren und das Synchronized Encryption Modul zu installieren, führen Sie den Client-Installer für

Ihre Plattform aus und folgen Sie den Anweisungen auf dem Bildschirm. Dies aktualisiert

119

SafeGuard Enterprise

■ die installierten Module auf Version 8. Um das Synchronized Encryption Modul zu installieren, starten Sie die Installation erneut, wählen Sie Ändern im Dialog Installation

ändern, reparieren oder entfernen und wählen Sie Synchronized Encryption. Falls installiert, entfernen Sie pfadbasierte Dateiverschlüsselung.

Mac OS X Führen Sie den Client-Installer aus und folgen Sie den Anweisungen auf dem

Bildschirm.

5.1.1.3 Migration von bestehenden Dateiverschlüsselungsmodulen auf Windows

Benutzer können vom SafeGuard Enterprise File Encryption Modul zum Synchronized

Encryption Modul migrieren. Dateien, die davor verschlüsselt waren, bleiben verschlüsselt und zugänglich. Dateien, die nach der Migration bearbeitet und gespeichert werden, werden mit dem Synchronized Encryption-Schlüssel neu verschlüsselt. Dateien können mit dem

Synchronized Encryption-Schlüssel neu verschlüsselt werden indem Sie per Richtlinie eine

Initialverschlüsselung definieren.

Voraussetzungen

Stellen Sie sicher, dass alle erforderlichen Schlüssel ("alte" Schlüssel, die zur Verschlüsselung mit dem File Encryption Modul verwendet wurden, und "neue" Synchronized Encryption

Schlüssel) im Schlüsselring der Benutzer vorhanden sind.

■

Falls nötig, können Sie Benutzern Schlüssel im Management Center zuweisen.

Benutzer müssen, wenn benötigt, benutzerdefinierte lokale Schlüssel in ihren Schlüsselring importieren, siehe Kapitel Import von Schlüsseln aus einer Datei in der SafeGuard

Enterprise Benutzerhilfe. Dann stehen die lokalen Schlüssel auch auch im SafeGuard

Management Center zur Verfügung. Sie können Benutzern nach Bedarf zugewiesen werden.

Migration durchführen

Führen Sie folgende Schritte aus:

1. Installieren Sie das Synchronized Encryption Modul am Endpoint. Das Modul ersetzt das bestehende File Encryption Modul.

2. Stellen Sie sicher, dass alle Schlüssel, die die Benutzer von File Encryption in ihrem

Schlüsselring hatten, im Schlüsselring erhalten bleiben. Dies ermöglicht den Benutzern, auch mit Synchronized Encryption auf alle verschlüsselten Dateien zuzugreifen.

3. Erzeugen Sie im Management Center neue Synchronized Encryption Richtlinien.

■

Alle Anwendungen, die auf verschlüsselte Dateien zugreifen können sollen, müssen in der Applikationenliste enthalten sein, die in den Synchronized Encryption Richtlinien verwendet wird.

Synchronized Encryption Richtlinien sollen den selben Umfang der Verschlüsselung haben wie die früheren pfadbasierten File Encryption Richtlinien.

Definieren Sie Einstellungen für die Initialverschlüsselung. Die Initialverschlüsselung startet unmittelbar nachdem die Richtlinie am Endpoint angewendet wurde und es werden alle Dateien mit dem Synchronized Encryption Schlüssel verschlüsselt oder neu verschlüsselt. Folglich sind alle Dateien entsprechend der Richtlinie verschlüsselt.

Hinweis: Die Initialverschlüsselung kann auch über das Windows Explorer Kontextmenü gestartet werden (SafeGuard File Encryption > Gemäß Richtlinie verschlüsseln).

4. Verteilen Sie die Richtlinien

120

Administratorhilfe

Ergebnis

■ Verschlüsselte Dateien, die in den Synchronized Encryption Richtlinien enthalten sind, werden mit dem Synchronized Encryption Schlüssel neu verschlüsselt.

■ Dateien, die mit Anwendungen erzeugt oder geändert wurden, die in der Synchronized

Encryption Applikationenliste enthalten sind, werden mit dem Synchronized Encryption

Schlüssel verschlüsselt.

■ Verschlüsselte Dateien, die nicht in den Synchronized Encryption Richtlinien enthalten sind, bleiben mit dem ursprünglichen File Encryption Schlüssel verschlüsselt. Benutzer, die den erforderlichen Schlüssel in ihrem Schlüsselring haben, können Dateien immer manuell entschlüsseln, auch wenn die Dateien in keiner Verschlüsselungsrichtlinie enthalten sind.

5.1.1.4 Migration von bestehenden Dateiverschlüsselungsmodulen auf OS X

Sophos SafeGuard Enterprise OS X Endpoints können sowohl Synchronized Encryption

Richtlinien vom Typ Anwendungsbasiert als auch File Encryption Richtlinien vom Typ

Pfadbasiert verarbeiten. Abhängig davon, welche Richtlinien sie erhalten, verhalten sie sich wie Synchronized Encryption Endpoints oder wie File Encryption Endpoints.

Wenn Sie von Version 6.1 aktualisieren, bleiben die Endpoints im pfadbasierten File Encryption

Modus wie in der vorigen Version.

So wechseln Sie auf den anwendungsbasierten Synchronized Encryption Modus:

Migration durchführen

1. Erzeugen Sie im Management Center neue Synchronized Encryption Richtlinien.

■

Alle Anwendungen, die auf verschlüsselte Dateien zugreifen können sollen, müssen in der Applikationenliste enthalten sein, die in den Synchronized Encryption Richtlinien verwendet wird.

Synchronized Encryption Richtlinien sollen den selben Umfang der Verschlüsselung haben wie die früheren pfadbasierten File Encryption Richtlinien.

■ Definieren Sie Einstellungen für die Initialverschlüsselung. Die Initialverschlüsselung startet unmittelbar nachdem die Richtlinie am Endpoint angewendet wurde und es werden alle Dateien mit dem Synchronized Encryption Schlüssel verschlüsselt oder neu verschlüsselt. Folglich sind alle Dateien entsprechend der Richtlinie verschlüsselt.

Hinweis: Benutzer können die Initialverschlüsselung auch über die Registerkarte

Richtlinien im Einstellungsbereich starten (Erzwinge alle Richtlinien).

2. Verteilen Sie die Richtlinien

3. Benutzer werden nach dem Erhalt der Richtlinien aufgefordert, sich ab- und wieder anzumelden.

Ergebnis

■ Verschlüsselte Dateien, die in den Synchronized Encryption Richtlinien enthalten sind, werden mit dem Synchronized Encryption Schlüssel neu verschlüsselt.

121

SafeGuard Enterprise

■ Dateien, die mit Anwendungen erzeugt oder geändert wurden, die in der Synchronized

Encryption Applikationenliste enthalten sind, werden mit dem Synchronized Encryption

Schlüssel verschlüsselt.

5.1.1.5 Partieller Rollout von Synchronized Encryption

Stellen Sie im Fall eines partiellen Rollouts von SafeGuard Enterprise Synchronized Encryption sicher, dass alle Benutzer auf gemeinsam verwendete verschlüsselte Dateien zugreifen können.

Wenn Sie die Verschlüsselung in Ihrem Unternehmen Schritt für Schritt einführen möchten, können Sie damit beginnen, Synchronized Encryption Richtlinien mit aktivierter Verschlüsselung zum Beispiel nur an die Endpoints der Marketing -Abteilung zu verteilen. Diese Endpoints werden dann Dateien entsprechend der Synchronized Encryption Richtlinien verschlüsseln.

Benutzer in anderen Abteilungen können dann nicht auf diese Dateien zugreifen, da die

Synchronized Encryption Richtlinien auf ihren Endpoints noch nicht ausgerollt wurden. Um diese Situation zu vermeiden, können Sie Lesezugriff-Richtlinien verteilen, die das Lesen von verschlüsselten Dateien ermöglichen. Damit können keine Daten verschlüsselt werden, jedoch können verschlüsselte Daten gelesen werden.

Voraussetzung:

■ SafeGuard Enterprise Server, Datenbank und Management Center sind fertig eingerichtet.

■

Das Synchronized Encryption Modul ist auf allen Endpoints installiert und kann sich mit dem Management Center verbinden (Konfigurationspaket ist installiert).

Sie haben eine Applikationenliste und eine Synchronized Encryption Richtlinie für die

Endpoints erstellt, die Daten verschlüsseln sollen.

Folgende Schritte sind für den Rollout von SafeGuard Enterprise Synchronized Encryption erforderlich:

1. Erstellen Sie eine Synchronized Encryption Richtlinie (anwendungsbasiert) im SafeGuard

Management Center.

2. Verteilen Sie die Richtlinie an die Benutzer, deren Endpoints Daten verschlüsseln sollen.

Im genannten Beispiel sind dies die Endpoints der Marketing-Abteilung.

3. Erstellen Sie Lesezugriff-Richtlinien.

Hinweis: Sie müssen gesonderte Richtlinien für Windows und Mac Endpoints erstellen.

4. Verteilen Sie die Lesezugriff-Richtlinien an alle übrigen Windows und Mac Endpoints. Im genannten Beispiel sind dies alle Endpoints außerhalb der Marketing-Abteilung.

5.1.1.5.1 Erstellen von Lesezugriff-Richtlinien für Windows Endpoints

1. Klicken Sie im Management Center auf Richtlinien.

2. Klicken Sie mit der rechten Maustaste auf Richtlinien, wählen Sie Neu und dann

Dateiverschlüsselung.

3. Geben Sie einen Namen für die Richtlinie ein und klicken Sie auf OK.

122

Administratorhilfe

4. Wählen Sie in der Registerkarte Dateiverschlüsselung die Option Anwendungsbasierend

(Synchronized Encryption) aus der Auswahlliste Verschlüsselungstyp.

Applikationenliste und Umfang der Verschlüsselung Optionen werden angezeigt.

5. Wählen Sie die Applikationenliste, die Sie zuvor in der Auswahlliste erstellt haben.

6. Wählen Sie aus der Auswahlliste Umfang der Verschlüsselung die Option Definierte

Speicherorte.

7. Wenn Sie die Registerkarte Dateiverschlüsselung verlassen, werden Sie aufgefordert,

Ihre Änderungen zu speichern.

8. Klicken Sie auf Ja.

9. Wechseln Sie zu Benutzer und Computer und aktivieren Sie die neue Richtlinie für die

Windows-Benutzer, die verschlüsselte Daten lesen, aber nicht selbst verschlüsseln können sollen.

Hinweis: Diese Richtlinie darf keinen Mac OS X Endpoints zugewiesen werden. Dies kann erreicht werden, indem Sie die Richtlinie nur für .Authentisierte Computer aktivieren, da Mac OS X Endpoints nur Benutzereinstellungen interpretieren. Ziehen Sie dazu die

Gruppe .Authentisierte Benutzer vom Richtlinien-Aktivierungsbereich in die Liste

Verfügbare Gruppen.

5.1.1.5.2 Erstellen von Lesezugriff-Richtlinien für Mac Endpoints

1. Klicken Sie im Management Center auf Richtlinien.

2. Klicken Sie mit der rechten Maustaste auf Richtlinien, wählen Sie Neu und dann

Dateiverschlüsselung.

3. Geben Sie einen Namen für die Richtlinie ein und klicken Sie auf OK.

4. Wählen Sie in der Registerkarte Dateiverschlüsselung die Option Pfadbasiert aus der

Auswahlliste Verschlüsselungstyp.

Eine Liste zum Definieren der Pfade für die pfadbasierte Verschlüsselung wird angezeigt.

5. Geben Sie folgende Pfade an und schließen Sie sie von der Verschlüsselung aus.

a) Netzwerkfreigaben: Verwenden Sie den Platzhalter <Network Shares> , um auf das

Root-Verzeichnis aller Mac OS X Netzwerkfreigaben zu verweisen.

b) Wechselmedien: Verwenden Sie den Platzhalter <Removables> , um auf das

Root-Verzeichnis aller Mac OS X Wechselmedien zu verweisen.

c) Cloudspeicher-Dienste Geben Sie einen oder mehrere Ordner ein, die mit der Cloud synchronisiert werden. Es werden nur lokale Pfade unterstützt.

d) Hinweis: Der folgende Pfad wird nur bei Microsoft Outlook für Mac 2011 benötigt.

<User Profile>\Library\Caches\TemporaryItems\Outlook Temp\ e) Hinweis: Der folgende Pfad wird nur bei Microsoft Outlook für Mac 2016 benötigt.

<%TMPDIR%>\com.microsoft.Outlook\Outlook Temp\ f) Hinweis: Die folgenden Pfade werden nur bei Apple Mail benötigt:

<User

Profile>\Library\Containers\com.apple.mail\Data\Library\Mail

Downloads\

<%TMPDIR%>\com.apple.mail\com.apple.mail\

6. Stellen Sie sicher, dass alle Pfade von der Verschlüsselung ausgenommen sind: In der

Spalte Modus ist für alle Pfade Ausschließen ausgewählt.

123

SafeGuard Enterprise

7. Wenn Sie die Registerkarte Dateiverschlüsselung verlassen, werden Sie aufgefordert,

Ihre Änderungen zu speichern.

8. Klicken Sie auf Ja.

9. Wechseln Sie zu Benutzer und Computer und weisen Sie die neue Richtlinie den

Mac-Benutzern zu, die verschlüsselte Daten lesen, aber nicht selbst verschlüsseln können sollen.

5.1.2 Daten verschlüsseln

SafeGuard Enterprise Synchronized Encryption beinhaltet ein vielseitiges

Dateiverschlüsselungs-Modul. Synchronized Encryption ermöglicht Ihnen, sensible Dateien anhand der Anwendung, mit der sie erstellt wurden, zu verschlüsseln. Die Verschlüsselung ist persistent, das bedeutet, Ihre Daten sind auch dann sicher, wenn sie an einen anderen

Ort verschoben, in die Cloud hochgeladen oder per E-Mail versandt werden. Abhängig von der Richtlinie werden bestimmte Dateitypen automatisch verschlüsselt. In manchen Fällen kann es jedoch erforderlich sein, einzelne Dateien manuell zu verschlüsseln oder entschlüsseln.

Im Windows Explorer und im OS X Finder sind verschlüsselte Dateien mit einem grünen

Schloss-Symbol gekennzeichnet.

Persistente Verschlüsselung

Windows

■ Wenn Sie eine verschlüsselte Datei von einem verschlüsselten Ordner in einen unverschlüsselten Ordner verschieben bleibt die Datei trotzdem verschlüsselt. Sie können die Datei öffnen und bearbeiten. Die Datei bleibt auch verschlüsselt, wenn Sie sie bearbeiten und speichern.

Mac OS X

■ Verschlüsselte Dateien aus sicheren Ordnern verschieben

Als Sicherheitsbeauftragter definieren Sie, welche Ordner auf Ihren Macs als sichere

Ordner gelten. Wenn Sie Synchronized Encryption verwenden, werden alle Dateien in sicheren Ordnern automatisch verschlüsselt.

Wenn Sie eine verschlüsselte Datei von einem sicheren Ordner in einen nicht-sicheren

Ordner verschieben bleibt die Datei trotzdem verschlüsselt. Sie können die Datei öffnen, jedoch wird der Inhalt verschlüsselt angezeigt. Sie müssen sie zuerst manuell entschlüsseln.

Wenn Sie eine verschlüsselte Datei in einem sicheren Ordner öffnen und in einen nicht-sicheren Ordner speichern wird die Datei automatisch entschlüsselt.

Richtlinien

■ Synchronized Encryption-Richtlinien werden nicht vereinigt. Es wird immer jene Richtlinie angewendet, die in der Hierarchie dem Zielobjekt (Benutzer/Computer) am nächsten ist.

Die Richtlinie, die gerade für einen Benutzer oder Computer in Kraft ist, wird in der

Registerkarte RSOP unter Benutzer Computer angezeigt.

Backup (Sicherung)

Wenn Sie Backup-Software verwenden (Dateiversionsverlauf unter Windows 8.x und Windows

10 oder Time Machine unter Mac OS X), haben Sie möglicherweise ältere Versionen von den

124

Administratorhilfe

Dateien, die Sie verschlüsseln möchten. Synchronized Encryption kann diese Dateien nicht verschlüsseln. Wir empfehlen, bestehende Sicherungsdateien zu verschlüsseln oder zu entfernen und automatische Sicherungen zu deaktivieren.

5.1.2.1 Synchronized Encryption-Schlüssel

SafeGuard Enterprise Synchronized Encryption verwendet nur einen Schlüssel für die

Verschlüsselung von Dateien: Root_Synchronized_Encryption@SGN

Der Schlüssel wird automatisch zugewiesen und steht allen Benutzern einer Domäne zur

Verfügung, nicht jedoch lokalen Benutzern.

5.1.2.2 Applikationenlisten

Für die anwendungsbasierte Dateiverschlüsselung müssen Sie Applikationenlisten erstellen.

Diese Listen enthalten Anwendungen (Applikationen) deren Dateien beim Erstellen oder

Speichern verschlüsselt werden. Nur Anwendungen auf Applikationenlisten können auf verschlüsselte Daten zugreifen. Alle anderen Anwendungen können in diesem Fall nur unleserliche, verschlüsselte Inhalte anzeigen. SafeGuard Enterprise stellt eine Vorlage einer einer Applikationenliste zur Verfügung, die Sie einfach an Ihre Anforderungen anpassen können. Sie enthält allgemeine Anwendungen, für die anwendungsbasierte

Dateiverschlüsselung aktiviert werden kann. Sie können die Verschlüsselung für einzelne

Anwendungen innerhalb von Gruppen oder für ganze Gruppen von Anwendungen aktivieren oder deaktivieren.

Hinweis: Bevor Sie Richtlinien vom Typ Anwendungsbasierend (Synchronized Encryption) erstellen können, müssen Sie Applikationenlisten anlegen.

Applikationenlisten für Mac

Für einige Anwendungen unter OS X müssen Sie bestimmte Pfade von der Verschlüsselung ausnehmen. Damit beispielsweise Microsoft Office 2011 problemlos funktioniert, müssen Sie

<Dokumente>\Microsoft-Benutzerdaten ausschließen. In der bereitgestellten Vorlage ist der Pfad bereits angegeben.

5.1.2.2.1 Erstellen von Applikationenlisten

1. Klicken Sie im Management Center auf Richtlinien.

2. Wechseln Sie in der Listenansicht Richtlinien zum Eintrag Applikationenlisten.

3. Klicken Sie mit der rechten Maustaste auf Vorlage und klicken Sie auf Applikationenlisten

duplizieren.

Template_1 wird angezeigt.

4. Klicken Sie mit der rechten Maustaste auf Template_1, wählen Sie Eigenschaften und geben Sie einen neuen Namen ein.

5. Klicken Sie auf OK.

6. Klicken Sie auf die neue Applikationenliste.

Im rechten Fensterbereich wird der Inhalt der Vorlage angezeigt.

7. Zum Erstellen von Applikationenlisten für Macs, wechseln Sie zur Registerkarte OS X.

8. Deaktivieren Sie in der Liste alle Applikationen, für die Sie keine Verschlüsselung wünschen.

Deaktivieren Sie das Kontrollkästchen Aktiv rechts neben Name der Applikationsgruppe um alle Applikationen in der Gruppe von der Verschlüsselung auszuschließen. Über das

Kontrollkästchen Aktiv rechts neben einer Applikation können Sie einzelne Applikationen deaktivieren.

125

SafeGuard Enterprise

9. Fügen Sie bestehenden Gruppen weitere Applikationen hinzu.

a) Klicken Sie mit der rechten Maustaste auf die Gruppe, der Sie eine Anwendung hinzufügen möchten, klicken Sie Neu und Anwendung.

b) Geben Sie im Feld Name der Applikation einen Namen für die Anwendung ein.

c) Definieren Sie im Feld Speicherort des Prozesses den Pfad und den Namen der ausführbaren Datei. Sie können den Pfad manuell eingeben oder die Platzhalter in der

Dropdownliste verwenden.

Sie können alle Versionen einer Anwendung unter einem Namen (Name der

Applikation) angeben. Zum Beispiel: Acrobat Reader 11.0 und Acrobat Reader DC unter Name der Applikation: Reader d) Dateierweiterung: Die Dateierweiterungen, die Sie hier definieren, haben keine

Auswirkung auf die Dateiverschlüsselung vom Typ Anwendungsbasierend

(Synchronized Encryption), sondern für die initiale Verschlüsselung bestehender

Dateien. Bestehende Dateien, für die Verschlüsselungsregeln gelten, werden nicht automatisch verschlüsselt. Um diese Dateien zu verschlüsseln, muss die initiale

Verschlüsselung auf den betreffenden Endpoints durchgeführt werden. Dateien mit den hier definierten Dateierweiterungen werden bei der initialen Verschlüsselung mit dem Synchronized Encryption Schlüssel verschlüsselt. Sie können Dateierweiterungen mit oder ohne Punkt (zum Beispiel ".txt" oder "txt") angeben. Platzhalter werden nicht unterstützt.

Der Ort, an dem die Initialverschlüsselung angewendet werden soll, muss in einer

Richtlinie für die Anwendungsbasierte Dateiverschlüsselung definiert werden.

Wenn Sie eine Anwendungsgruppe deaktivieren, werden die Dateierweiterungen, die

Sie innerhalb der Gruppe für die Initialverschlüsselung definiert haben, ebenfalls deaktiviert.

10. Nur für OS X : Fügen Sie nach Bedarf der Tabelle Ausgeschlossene Speicherorte Orte hinzu, die Sie von der Verschlüsselung ausnehmen möchten.

11. Fügen Sie weitere Applikationsgruppen hinzu:

Sie können Applikationsgruppen dazu nutzen, um verschiedene Teile einer Software-Suite unter einem gemeinsamen Knoten zu bündeln. So können Sie alle Teile gleichzeitig deaktivieren indem Sie nur die Gruppe aktivieren.

a) Klicken Sie mit der rechten Maustaste die Template-Baumstruktur, klicken Sie auf Neu und Applikationsgruppe.

b) Geben Sie im Feld Name der Applikationsgruppe einen Namen für die Gruppe ein.

c) Fügen Sie der Gruppe weitere Applikationen hinzu.

12. Wenn Sie die Template-Baumstruktur verlassen, werden Sie aufgefordert, Ihre Änderungen zu speichern.

13. Klicken Sie auf Ja.

Die neue Applikationenliste wird unter Applikationenlisten in der Listenansicht Richtlinien angezeigt. Sie können weitere Applikationslisten erstellen und sie in unterschiedlichen

Richtlinien für die anwendungsbasierte Dateiverschlüsselung verwenden.

Wir empfehlen, alle Anwendungen, die einen bestimmten Dateityp (zum Beispiel .docx) öffnen können, zu Applikationenliste hinzuzufügen. Anwendungen, die Daten über das Internet freigeben (zum Beispiel E-Mail-Clients, Browser), sollten keiner Applikationenliste hinzugefügt werden.

126

Administratorhilfe

5.1.2.3 Initialverschlüsselung

Initialverschlüsselung verschlüsselt alle Dateien entsprechend:

■

Dateiendungen, die in Applikationenlisten definiert sind, siehe Erstellen von

Applikationenlisten (Seite 125).

Einstellungen, die in Synchronized Encryption Richtlinien definiert sind, siehe

Erstellen von Richtlinien für anwendungsbasierte Dateiverschlüsselung

(Seite 129).

Die Initialverschlüsselung kann automatisch über eine Richtlinieneinstellung oder manuell von einem Benutzer angestoßen werden

Wird sie automatisch angestoßen, läuft sie im Hintergrund. Nach Abschluss wird ein Ereignis protokolliert.

Die Initialverschlüsselung startet jedes Mal, wenn Endpoints eine neue Synchronized

Encryption Richtlinie empfangen und immer wenn Benutzer sich an ihrem Endpoint anmelden.

Dies stellt sicher, dass Dateien immer entsprechend den Firmenrichtlinien verschlüsselt sind und keine Datei versehentlich unverschlüsselt bleibt.

Hinweis: Die Verarbeitung großer Datenmengen bei der Initialverschlüsselung kann zu einer eingeschränkten Performance der Endpoints führen.

Unter Windows können Benutzer die Initialverschlüsselung manuell über das Kontextmenü im Explorer starten (SafeGuard Dateiverschlüsselung > Gemäß Richtlinie verschlüsseln).

Der SafeGuard Dateiverschlüsselungs-Assistent zeigt Informationen zur Anzahl der zu verschlüsselnden Dateien sowie zum Fortschritt und Ergebnis der Verschlüsselung an.

Mac-Benutzer starten die Initialverschlüsselung in der Registerkarte Richtlinien im

Einstellungsbereich mit Klick auf Erzwinge alle Richtlinien.

Wenn Dateien gefunden werden, die mit einem anderen Schlüssel als dem Synchronized

Encryption Schlüssel verschlüsselt sind und Benutzer haben den verwendeten Schlüssel in ihrem Schlüsselring, dann werden diese Dateien mit dem Synchronized Encryption Schlüssel neu verschlüsselt. Dateien, die mit einem Schlüssel verschlüsselt sind, der im Schlüsselring des Benutzers nicht verfügbar ist, werden nicht verändert.

Die Orte, an denen die Initialverschlüsselung zur Anwendung kommt, werden in Richtlinien definiert.

5.1.2.3.1 Initialverschlüsselung auf Netzwerkfreigaben

Auf Netzwerkfreigaben kann die Initialverschlüsselung nicht automatisch per

Richtlinieneinstellung gestartet werden. Als Sicherheitsbeauftragter können Sie mit dem

Befehlszeilentool SGFileEncWizard.exe die Initialverschlüsselung für Netzwerkfreigaben von einem Computer aus starten, auf dem SafeGuard Enterprise Software installiert ist und der

Zugang zu den Netzwerkfreigaben hat.

Auf einem Computer mit SafeGuard Enterprise finden Sie das Tool unter

<SYSTEM>:\Programme (x86)\Sophos\SafeGuard Enterprise\Client\

Beachten Sie folgende Hinweise bevor Sie die Initialverschlüsselung starten:

■ Der Vorgang kann für Benutzer auf Endpoints ohne Synchronized Encryption (Modul nicht installiert oder Richtlinie nicht angewendet) zu Problemen führen. Diese Benutzer können keine Dateien öffnen, die mit Synchronized Encryption verschlüsselt wurden. Stellen Sie sicher, dass alle Benutzer, die Zugriff auf diese Dateien haben sollen, das Synchronized

Encryption Modul installiert und eine entsprechende Richtlinie angewendet haben.

■ Wenn Sie Dateien auf Netzwerkfreigaben, die bereits verschlüsselt sind, im Rahmen der

Initialverschlüsselung neu verschlüsseln wollen, benötigen Sie dazu alle Schlüssel in Ihrem

Schlüsselbund, die zur Verschlüsselung dieser Dateien verwendet wurden. Dateien, für die Sie keinen Schlüssel haben, bleiben mit dem ursprünglichen Schlüssel verschlüsselt.

127

SafeGuard Enterprise

Voraussetzungen für die Initialverschlüsselung auf Netzwerkfreigaben

■

Die Initialverschlüsselung muss auf einem Computer gestartet werden, auf dem die

SafeGuard Enterprise Endpoint Software installiert ist.

Der Endpoint muss Zugriff auf alle zu verschlüsselnden Netzwerkfreigaben haben.

Eine Synchronized Encryption Richtlinie, die alle zu verschlüsselnden Netzwerkfreigaben beinhaltet, muss auf dem Endpoint angewendet werden.

Alle Schlüssel, die zum Verschlüsseln der auf den Netzwerkfreigaben vorhandenen Dateien verwendet wurden, müssen in Ihrem Schlüsselring enthalten sein.

Initialverschlüsselung mit SGFileEncWizard

Sie können SGFileEncWizard.exe

mit folgenden Parametern aufrufen:

SGFileEncWizard.exe [<startpath>] [%POLICY] [/V0 | /V1 | /V2 | /V3]

[/X] [/L<logfile>]

■ <startpath> : Verarbeite den angegebenen Pfad und seine Unterordner. Mehrere Pfaden müssen durch Leerzeichen getrennt sein.

Hinweis:

Bei der Initialverschlüsselung auf Netzwerkfreigaben müssen Sie jede zu verschlüsselnde

Netzwerkfreigabe explizit angeben. Nur diese Pfade werden verschlüsselt. Geben Sie die

Pfade in UNC Notation an, um Probleme mit unterschiedlichen Laufwerksbuchstaben für gemappte Netzwerkfreigaben zu vermeiden. Nur absolute Pfade sind zulässig.

■ %POLICY: Wende Synchronized Encryption Richtlinie an definierten Orten an und verschlüssle Dateien wenn nötig neu. Es wird die Richtlinie verwendet, die an dem Endpoint angewendet wird, wo SGFileEncWizard.exe

gestartet wird.

Hinweis: Dieser Parameter kann für die Initialverschlüsselung auf Netzwerkfreigaben weggelassen werden.

■ Parameter /V0 : Keine Meldungen protokollieren.

■ Parameter /V1 : Nur Fehlermeldungen protokollieren.

■ Parameter /V2 : Geänderte Dateien protokollieren.

■ Parameter /V3 : Alle verarbeiteten Dateien protokollieren.

■ Parameter /L<path+logfile name> : Output in die angegebene Log-Datei schreiben.

■ Parameter /X : Fenster des Assistenten verbergen.

Beispiel:

SGFileEncWizard.exe \\my-filer-1\data1\users \\my-filer-1\data2

%POLICY /V3 /X /LC:\Logging\mylogfile.xml

Die Initialverschlüsselung wird für Dateien unter \\my-filer-1\data1\users and \\my-filer-1\data2 durchgeführt. Der Assistent wird nicht angezeigt und Informationen über alle verarbeiteten

Dateien werden in mylogfile.xml geschrieben.

128

Administratorhilfe

5.1.2.4 Erstellen von Richtlinien für anwendungsbasierte Dateiverschlüsselung

1. Erstellen Sie im Richtlinien Navigationsbereich eine neue Richtlinie vom Typ

Dateiverschlüsselung.

Die Registerkarte Dateiverschlüsselung wird angezeigt.

2. Wählen Sie Anwendungsbasierend (Synchronized Encryption) aus der

Verschlüsselungstyp Auswahlliste.

Applikationenliste und Umfang der Verschlüsselung Optionen werden angezeigt.

Hinweis: Informationen zum Verschlüsselungstyp Keine Verschlüsselung finden Sie

unter Richtlinien vom Typ Keine Verschlüsselung

(Seite 138).

3. Wählen Sie aus der Auswahlliste die Applikationenliste, die Sie vorher erstellt haben.

4. Wählen Sie aus der Auswahlliste Umfang der Verschlüsselung eine der folgenden

Optionen:

■ Überall: Verschlüsselung auf lokale Laufwerke, Wechselmedien, Cloud-Verzeichnisse und Netzlaufwerke angewendet. Sie können Ausnahmen definieren, wo keine anwendungsbasierte Verschlüsselung zur Anwendung kommen soll.

Hinweis: Für OS X bedeutet Überall, dass alle Dateien in einigen vordefinierten

Verzeichnissen verschlüsselt werden und so nur von den Anwendungen auf Ihrer

Applikationenliste verwendet werden können. Diese Verzeichnisse sind:

■

Ordner <Desktop>

■

Ordner <Documents>

■

Ordner <Downloads>

■

Ordner <Music>

■

Ordner <Pictures>

■

Ordner <Videos>

■ alle Netzwerkfreigaben

■ alle Wechselmedien

■ alle unterstützten Cloud Storage Anbieter

■ temporäre Ordner, in denen Microsoft Outlook und Apple Mail Mailanhänge speichern

Wichtig: Die Anwendung von Synchronized Encryption auf Netzwerkfreigaben kann bei manchen Benutzern Probleme hervorrufen. Wenn Dateien auf Netzwerkfreigaben von Benutzern verschlüsselt wurden, die den Synchronized Encryption Schlüssel in ihrem Schlüsselbund haben, können andere Benutzer, die diesen Schlüssel nicht besitzen, diese Dateien nicht öffnen. Um dies zu vermeiden, können Sie zuerst die

Netzwerkfreigaben von der Verschlüsselung ausnehmen und die Ausnahme erst dann aufheben, wenn alle Benutzer den Synchronized Encryption Schlüssel haben. Benutzer erhalten ihren Schlüssel wenn eine Synchronized Encryption Richtlinie auf ihrem

Endpoint angewendet wird. Alternativ können Sie den Schlüssel manuell im Management

Center zuweisen.

■ Definierte Speicherorte: Hier definieren Sie Speicherorte, wo die Verschlüsselung angewendet wird. Platzhalter für Pfad-Definitionen werden bereitgestellt. Sie können

Pfade in die Verschlüsselung einschließen oder ausschließen.

129

SafeGuard Enterprise

5. Abhängig von Ihrer Auswahl bei Umfang der Verschlüsselung können Sie Pfade definieren, wo anwendungsbasierte Verschlüsselung angewendet wird (Definierte

Speicherorte) oder Ausnahmen von der anwendungsbasierten Verschlüsselung definieren

(Überall).

Hinweis: Sie können Pfade für Windows und OS X in derselben Richtlinie definieren.

Platzhalter für die verschiedenen Systeme sind in der Auswahlliste Pfad verfügbar. Die

Spalte System zeigt, für welches Betriebssystem der Pfad gilt (Alle Systeme, Windows,

Mac OS X). Bewegen Sie den Mauszeiger über die Cloud Storage Platzhalter, um

Informationen anzuzeigen, für welches Betriebssystem Sie den Platzhalter verwenden können.

6. Setzen Sie in der Spalte Pfad den Pfad für die Anwendungsbasierend (Synchronized

Encryption) Dateiverschlüsselung:

■ Klicken Sie auf die Dropdown-Schaltfläche und wählen Sie einen Platzhalter für einen

Ordnernamen aus der Liste der verfügbaren Platzhalter aus.

Hinweis: Wenn Sie Ihren Cursor über die Listeneinträge führen, werden Tooltips angezeigt, die zeigen, wie ein Platzhalter üblicherweise auf einem Endpoint umgesetzt wird. Sie können nur gültige Platzhalter für jedes Betriebssystem eingeben. Für eine

Liste aller unterstützten Platzhalter, siehe Platzhalter für Pfade in anwendungsbasierten

File Encryption Verschlüsselungsregeln

(Seite 131).

Wichtig: Die Verschlüsselung des gesamten Benutzerprofils mit dem Platzhalter

<User Profile> kann zu einem instabilen Windows Desktop auf dem Endpoint führen.

■

Klicken Sie auf die Browse-Schaltfläche um den gewünschten Ordner im Dateisystem auszuwählen.

Sie können auch einfach einen Pfadnamen eingeben.

7. Wählen Sie den Modus für die Verschlüsselung:

■

Wählen Sie für Umfang der Verschlüsselung - Definierte Speicherorte entweder

Verschlüsseln, um die Applikationen auf der Applikationenliste zur Verschlüsselung ihrer Dateien unter diesem Pfad zu berechtigen, oder Ausschließen, wenn diese

Applikationen keine Dateien unter diesem Pfad verschlüsseln sollen. Sie können zum

Beispiel die Verschlüsselung für D:\Dokumente aktivieren und dabei das

Unterverzeichnis D:\Dokumente\Unverschlüsselt ausschließen.

Bei Umfang der Verschlüsselung - Überall können Sie nur Pfade von der

Verschlüsselung Ausschließen.

8. Fügen Sie nach Bedarf weitere Pfade hinzu.

9. Definieren Sie Einstellungen für die Initialverschlüsselung. Wählen Sie, wo bestehende

Dateien anhand der definierten Pfade verschlüsselt werden (Auf lokalen Laufwerken,

Auf Wechselmedien, Mit automatisch erkannten Cloud Storage Providern

gespeichert). Die Initialverschlüsselung startet wenn die Richtlinie am Endpoint angewendet wird oder wenn ein Wechselmedium verbunden wird.

10. Speichern Sie Ihre Änderungen.

Hinweis: Wenn Sie die Registerkarte Dateiverschlüsselung verlassen, werden Sie aufgefordert, Ihre Änderungen zu speichern.

11. Wechseln Sie zu Benutzer und Computer und weisen Sie die neue Richtlinie Ihren

Benutzergruppen zu.

130

Administratorhilfe

5.1.2.4.1 Platzhalter für Pfade in anwendungsbasierten File Encryption Verschlüsselungsregeln

Beim Angeben von Pfaden in Verschlüsselungsregeln in File Encryption Richtlinien können die folgenden Platzhalter verwendet werden. Um diese Platzhalter auszuwählen, klicken Sie auf die Dropdown-Schaltfläche des Felds Pfad.

Hinweis: Verwenden Sie immer umgekehrte Schrägstriche als Pfad-Trennzeichen, auch wenn Sie Richtlinien für File Encryption für Mac OS X erstellen. Auf diese Weise können Sie

Regeln auf beiden Betriebssystemen (Windows und Mac OS X) anwenden. Am Mac OS X

Client werden die umgekehrten Schrägstriche automatisch in Schrägstriche umgewandelt, um die Anforderungen des Mac OS X Betriebssystems zu erfüllen. Fehler bei der Verwendung von Platzhaltern werden protokolliert. Ungültige Verschlüsselungsregeln werden protokolliert und dann auf dem Endpoint verworfen.

Beispiel: Der Windows-Pfad <User Profile>\Dropbox\personal wird unter Mac OS

X so konvertiert: /Users/<Username>/Dropbox/personal .

Pfad-Platzhalter Betriebssystem

(Alle=Windows und Mac OS X)

Wert auf dem Endpoint

<%environment_variable_name%> Alle Wert der Umgebungsvariable. Beispiel:

<%USERNAME%>.

Hinweis: Wenn Umgebungsvariablen mehrere Speicherorte enthalten (zum

Beispiel die PATH Umgebungsvariable), werden die Pfade nicht in mehrere Regeln aufgeteilt. Dies verursacht einen Fehler und die Verschlüsselungsregel ist ungültig.

<Music>

Alle

Der virtuelle Ordner, der den Desktop des

Endpoints darstellt.

Der virtuelle Ordner für den Desktop-Bereich

Eigene Dateien (Äquivalent zu

CSIDL_MYDOCUMENTS). Typischer Pfad:

C:\Documente und

Einstellungen\Benutzername\Eigene Dateien.

Der Ordner in dem standardmäßig

Downloads gespeichert werden. Ein typischer

Pfad unter Windows ist

C:\Benutzer\Benutzername\Downloads.

Das Dateisystemverzeichnis, das als allgemeines Repository für Musikdateien dient. Typischer Pfad: C:\Documente und

Einstellungen\Benutzername\Eigene

Dateien\Eigene Musik.

Alle

Alle Das Dateisystemverzeichnis, das als allgemeines Repository für Bilddateien dient.

Typischer Pfad: C:\Documente und

131

SafeGuard Enterprise

Pfad-Platzhalter

Betriebssystem

(Alle=Windows und Mac OS X)

Wert auf dem Endpoint

Einstellungen\Benutzername\Eigene

Dateien\Eigene Bilder.

Alle

Das Dateisystemverzeichnis, das als allgemeines Repository für Dokumente für alle Benutzer dient. Typischer Pfad:

C:\Benutzer\<Benutzername>\Öffentlich.

Zeigt auf die Root-Verzeichnisse aller

Wechselmedien.

Der Profilordner des Benutzers. Typischer

Pfad: C:\Benutzer\Benutzername.

Hinweis: Die Verschlüsselung des gesamten Benutzerprofils mit diesem

Platzhalter kann zu einem instabilen

Windows Desktop auf dem Endpoint führen.

Alle

Windows

Das Dateisystemverzeichnis, das als allgemeines Repository für Videodateien für

Benutzer dient. Typischer Pfad:

C:\Documente und Einstellungen\Alle

Benutzer\Dateien\Eigene Videos.

Das Dateisystemverzeichnis, das als allgemeines Repository für Internet Cookies dient. Typischer Pfad: C:\Documente und

Einstellungen\Benutzername\Cookies.

Das Dateisystemverzeichnis, das als allgemeines Repository für die Favoriten des

Benutzers dient. Typischer Pfad:

C:\Documente und

Einstellungen\Benutzername\Favoriten.

Das Dateisystemverzeichnis, das als allgemeines Daten-Repository für lokale

Applikationen (ohne Roaming) dient.

Typischer Pfad: C:\Dokumente und

Einstellungen\Benutzername\Lokale

Einstellungen\Anwendungsdaten.

Das Dateisystemverzeichnis, das

Anwendungsdaten für alle Benutzer enthält.

Typischer Pfad: C:\Dokumente und

Einstellungen\Alle

Benutzer\Anwendungsdaten.

Der Programme-Ordner. Typischer Pfad:

\Programme. Für 64-Bit Systeme wird dies auf zwei Regeln erweitert: eine für 32-Bit

132

Administratorhilfe

Pfad-Platzhalter

System

Betriebssystem

(Alle=Windows und Mac OS X)

Wert auf dem Endpoint

Anwendungen und eine für 64-Bit

Anwendungen.

Windows

Das Dateisystemverzeichnis, das als allgemeines Repository für Musikdateien für alle Benutzer dient. Typischer Pfad:

C:\Documente und Einstellungen\Alle

Benutzer\Eigene Musik.

Das Dateisystemverzeichnis, das als allgemeines Repository für Bilddateien für alle Benutzer dient. Typischer Pfad:

C:\Documente und Einstellungen\Alle

Benutzer\Dateien\Eigene Bilder.

Windows

Das Dateisystemverzeichnis, das als allgemeines Repository für Videodateien für alle Benutzer dient. Typischer Pfad:

C:\Documente und Einstellungen\Alle

Benutzer\Dateien\Eigene Videos.

Das Dateisystemverzeichnis, das als allgemeines Repository für anwendungsspezifische Daten dient.

Typischer Pfad: C:\Dokumente und

Einstellungen\Benutzername\Anwendungsdaten.

Windows

Der Windows Systemordner. Typischer Pfad:

C:\Windows\System32. Für 64-Bit Systeme wird dies auf zwei Regeln erweitert: eine für

32-Bit Anwendungen und eine für 64-Bit

Anwendungen.

Das Dateisystemverzeichnis, das als

Staging-Bereich für Dateien, die auf eine CD geschrieben werden sollen, verwendet wird.

Typischer Pfad: C:\Dokumente und

Einstellungen\Benutzername\Lokale

Einstellungen\Microsoft\CD Burning.

Das Dateisystemverzeichnis, das als allgemeines Repository für temporäre

Internetdateien dient. Typischer Pfad:

C:\Dokumente und

Einstellungen\Benutzername\Lokale

Einstellungen\Temporary Internet Files.

Das Windows-Verzeichnis oder SYSROOT.

Dies entspricht den Umgebungsvariablen

%windir% oder %SYSTEMROOT%.

Typischer Pfad: C:\Windows.

133

SafeGuard Enterprise

Pfad-Platzhalter

<Root>

Betriebssystem

(Alle=Windows und Mac OS X)

Wert auf dem Endpoint

Mac OS X Mac OS X Stammverzeichnis. Wir empfehlen, keine Richtlinien für das Stammverzeichnis festzulegen, auch wenn dies technisch möglich ist.

Platzhalter für Cloud Storage

Anbieter

Box

Dropbox

Platzhalter für Cloud Storage Kann in CSD-Einstellung

(Cloud Storage Definition) verwendet werden.

<!Box!>

Wird aufgelöst in

Synchronisierungsapplikation,

Synchronisierungsordner

Für

Synchronisierungsapplikationen:

Der "Fully qualified"-Pfad der

Synchronisierungsapplikation, die von der

Box-Software benutzt wird.

Für

Synchronisierungsordner:

Der "Fully qualified"-Pfad des

Synchronisierungsordners, der von der

Box-Software benutzt wird.

<!Dropbox!> Synchronisierungsapplikation,

Synchronisierungsordner

Für

Synchronisierungsapplikationen:

Der "Fully qualified"-Pfad der

Synchronisierungsapplikation, die von der

Dropbox-Software benutzt wird.

Für

Synchronisierungsordner:

Der "Fully qualified"-Pfad des

Synchronisierungsordners, der von der

Dropbox-Software benutzt wird.

134

Administratorhilfe

Anbieter

Egnyte

Nur Windows

Google Drive

Platzhalter für Cloud Storage Kann in CSD-Einstellung

(Cloud Storage Definition) verwendet werden.

<!Egnyte!>

<!EgnytePrivate!>

<!EgnyteShared!>

Wird aufgelöst in

Synchronisierungsapplikation Der "Fully qualified"-Pfad der

Synchronisierungsapplikation, die von der

Egnyte-Software benutzt wird.

Synchronisierungsordner Alle privaten

Ordner in der

Egnyte Cloud

Storage. Für

Standard-Egnyte-Benutzer ist dies in der

Regel ein einzelner

Ordner. Für

Egnyte-Administratoren, wird dieser

Platzhalter in der Regel in mehrere Ordner umgesetzt.

Synchronisierungsordner Alle freigegebenen

Ordner in der

Egnyte Cloud

Storage.

Hinweis:

Änderungen an der Egnyte-Ordnerstruktur (auch das

Hinzufügen oder Entfernen von privaten oder freigegebenen

Ordnern) werden automatisch erkannt. Relevante Richtlinien werden automatisch aktualisiert.

Hinweis: Da sich Egnyte-Synchronisierungsordner im

Netzwerk befinden können, können Sie bei der Einstellung

Synchronisierungsordner Netzwerkpfade eingeben. Das

SafeGuard Enterprise Cloud Storage Modul wird standardmäßig auf Netzwerkdateisysteme angewendet. Wenn dies nicht erforderlich ist, können Sie dieses Verhalten deaktivieren, indem Sie eine Richtlinie vom Typ Allgemeine

Einstellungen definieren und unter Ignorierte Geräte die

Option Netzwerk auswählen.

<!GoogleDrive!> Synchronisierungsapplikation,

Synchronisierungsordner

Für

Synchronisierungsapplikationen:

Der "Fully

135

SafeGuard Enterprise

Anbieter

OneDrive

OneDrive for

Business

Platzhalter für Cloud Storage Kann in CSD-Einstellung

(Cloud Storage Definition) verwendet werden.

<!OneDrive!>

Wird aufgelöst in qualified"-Pfad der

Synchronisierungsapplikation, die von der

Google Drive

Software benutzt wird.

Für

Synchronisierungsordner:

Der "Fully qualified"-Pfad des

Synchronisierungsordners, der von der

Google Drive

Software benutzt wird.

Synchronisierungsapplikation,

Synchronisierungsordner

Für

Synchronisierungsapplikationen:

Der "Fully qualified"-Pfad der

Synchronisierungsapplikation, die von der

OneDrive-Software benutzt wird.

Für

Synchronisierungsordner:

Der "Fully qualified"-Pfad des

Synchronisierungsordners, der von der

OneDrive-Software benutzt wird.

Hinweis: SafeGuard Enterprise unterstützt keine Microsoft

Konten. Unter Windows 8.1 kann OneDrive nur verwendet werden, wenn der Windows-Benutzer ein Domänenbenutzer ist. Unter Windows 8.1 unterstützt SafeGuard Enterprise

OneDrive nicht für lokale Benutzer.

<!OneDriveForBusiness!> Synchronisierungsapplikation,

Synchronisierungsordner

Für

Synchronisierungsapplikationen:

Der "Fully qualified"-Pfad der

Synchronisierungsapplikation,

136

Administratorhilfe

Anbieter

SkyDrive

Nur Windows

Platzhalter für Cloud Storage Kann in CSD-Einstellung

(Cloud Storage Definition) verwendet werden.

Wird aufgelöst in die von der

OneDrive-Software benutzt wird.

Für

Synchronisierungsordner:

Der "Fully qualified"-Pfad des

Synchronisierungsordners, der von der

OneDrive-Software benutzt wird.

Hinweis: OneDrive for Business unterstützt nur das Speichern von verschlüsselten Dateien in lokalen Ordnern und deren

Synchronisierung mit der Cloud. Das direkte Speichern von verschlüsselten Dateien aus Microsoft Office 2013 in die

OneDrive for Business Cloud oder auf den SharePoint Server wird nicht unterstützt. Diese Dateien werden unverschlüsselt in der Cloud gespeichert.

Dateien, die mit SafeGuard Enterprise in der OneDrive for

Business Cloud verschlüsselt werden, können nicht mit

Microsoft Office 365 geöffnet werden.

<!SkyDrive!> Synchronisierungsapplikation,

Synchronisierungsordner

Für

Synchronisierungsapplikationen:

Der "Fully qualified"-Pfad der

Synchronisierungsapplikation, die von der

OneDrive-Software benutzt wird.

Für

Synchronisierungsordner:

Der "Fully qualified"-Pfad des

Synchronisierungsordners, der von der

OneDrive-Software benutzt wird.

Microsoft hat SkyDrive in OneDrive umbenannt, aber der

Platzhalter <!SkyDrive!> kann noch verwendet werden.

Daher können auch ältere Richtlinien mit diesem Platzhalter und SafeGuard Enterprise Endpoints vor Version 7, die den

Platzhalter <!OneDrive!> nicht auflösen können, verwendet

137

SafeGuard Enterprise

Anbieter Platzhalter für Cloud Storage Kann in CSD-Einstellung

(Cloud Storage Definition) verwendet werden.

werden. SafeGuard Enterprise Endpoints ab Version 7 können beide Platzhalter auflösen.

Wird aufgelöst in

5.1.2.5 Richtlinien vom Typ Keine Verschlüsselung

Werden Richtlinien entlang einer Hierarchiekette zugewiesen, so wirkt jene Richtlinie am stärksten, die näher beim Zielobjekt (Benutzer/Computer) ist. Das bedeutet: mit der Entfernung zum Zielobjekt verliert die Richtlinie immer mehr an Kraft - wenn nähere Richtlinien vorhanden sind. Richtlinien vom Typ Keine Verschlüsselung können dazu verwendet werden, die

Vererbung von Verschlüsselungsrichtlinien an bestimmten Stellen in der Hierarchie zu unterbrechen. Für untergeordnete Ebenen ist die Richtlinie vom Typ Keine Verschlüsselung ebenfalls gültig.

Das Verhalten am Endpoint ist vom Modul und der Version abhängig.

Endpoints mit Synchronized Encryption

Richtlinien vom Typ Anwendungsbasierend (Synchronized Encryption) werden NICHT vereinigt. Es wird immer jene Richtlinie angewendet, die in der Hierarchie dem Zielobjekt

(Benutzer/Computer) am nächsten ist. Ist sie die nächste, wird eine Richtlinie vom Typ Keine

Verschlüsselung wirksam.

Endpoints mit File Encryption Version 8

Richtlinien vom Typ Pfadbasiert werden vereinigt. Werden mehrere Richtlinien zugewiesen,

wird ihr Inhalt anhand bestimmter Regeln bewertet, siehe Regeln für die Zuweisung und

Auswertung von Richtlinien (Seite 254). Für das RSOP (Resulting Set of Policies), siehe

Pfadbasierte File Encryption-Richtlinien im RSOP

(Seite 166). Innerhalb einer Zuweisung, hat die Richtlinie mit der höchsten Priorität (1) Vorrang gegenüber einer Richtlinie mit einer geringeren Priorität. Hat sie die höchste Priorität, wird eine Richtlinie vom Typ Keine

Verschlüsselung wirksam.

Endpoints mit File Encryption vor Version 8

Eine Richtlinie vom Typ Keine Verschlüsselung hat auf diesen Endpoints keine Auswirkung.

Endpoints mit File Encryption 7.0 und älter können die Einstellung Verschlüsselungstyp nicht auflösen. Es gelten die Regeln von allen File Encryption Richtlinien vom Typ

Pfadbasiert.

Hinweis: Dies ist besonders dann relevant, wenn Sie Endpoints mit Version 8 und Endpoints mit älteren Versionen gleichzeitig betreiben.

5.1.3 Outlook-Add-in

Hinweis: Das Outlook Add-In ist nur für Windows Endpoints verfügbar.

Wenn Sie E-Mails mit Anhängen an Empfänger senden, die Synchronized Encryption verwenden, wird automatisch der Synchronized Encryption-Schlüssel verwendet. Sie brauchen sich nicht um die Verschlüsselung und Entschlüsselung zu kümmern. Wenn Sie E-Mails an

Empfänger außerhalb Ihres Firmennetzwerks senden, ist es ratsam, Anhänge zu verschlüsseln

138

Administratorhilfe um sensible Daten zu schützen. SafeGuard Enterprise beinhaltet ein Add-In für Microsoft

Outlook, das Ihnen das Verschlüsseln von Mailanhängen erleichtert. Wenn Sie eine E-Mail mit einem oder mehreren Anhängen versenden, werden Sie gefragt, wie Sie mit Ihren Dateien verfahren möchten. Die verfügbaren Optionen hängen vom Verschlüsselungsstatus der

Datei(en) ab, die Sie an die Mail anhängen.

5.1.3.1 Erstellen von Richtlinien zum Aktivieren des SafeGuard Outlook Add-In

So aktivieren Sie das SafeGuard Enterprise Synchronized Encryption Outlook Add-In:

1. Legen Sie im Richtlinien Navigationsbereich einen neue Richtlinie vom Typ Allgemeine

Einstellungen an oder wählen Sie eine vorhandene aus.

Die Registerkarte Allgemeine Einstellungen wird angezeigt.

2. Gehen Sie zum Abschnitt Einstellungen für das E-Mail Add-In.

3. Unter Email Add-In aktivieren wählen Sie Ja.

Das Add-In ist nun aktiv. Jedes Mal, wenn Benutzer ein E-Mail mit Anhang versenden, werden sie gefragt, wie die Anhänge behandelt werden sollen.

Zusätzlich können Sie Listen mit Domänen anlegen und definieren, wie Anhänge behandelt werden, die an diese bestimmten Domänen versendet werden.

4. Wählen Sie eine Methode unter Verschlüsselungsmethode für Domains auf Whitelists:

■

Verschlüsselt: Alle Anhänge in E-Mails an die bestimmten Domänen werden verschlüsselt. Benutzer werden nicht gefragt.

Keine Verschlüsselung: Anhänge in E-Mails an die bestimmten Domänen werden nicht verschlüsselt. Benutzer werden nicht gefragt.

Unverändert: Verschlüsselte Dateien werden verschlüsselt gesendet; unverschlüsselte

Dateien werden unverschlüsselt gesendet. Benutzer werden nicht gefragt.

Immer fragen: Benutzer werden jedes Mal gefragt, wie die Anhänge behandelt werden sollen.

5. Geben Sie eine oder mehrere Domänen ein, für die die Verschlüsselungsmethode gelten soll. Verwenden Sie bei mehreren Domänen ein Komma als Trennzeichen. Platzhalter und teilweise definierte Domänen werden nicht unterstützt.

6. Wenn Sie die Registerkarte Allgemeine Einstellungen verlassen, werden Sie aufgefordert,

Ihre Änderungen zu speichern.

7. Klicken Sie auf Ja.

8. Wechseln Sie zu Benutzer und Computer und weisen Sie die neue Richtlinie Ihren

Benutzergruppen zu.

5.1.4 Integration in Sophos Endpoint Protection

SafeGuard Enterprise Synchronized Encryption schützt Ihre Daten auf Endpoints, auf denen bösartiges Verhalten festgestellt wird, dadurch, dass Schlüssel entzogen werden.

Wichtig: Dieses Feature ist nur verfügbar, wenn Sie web-basierte Sophos Central Endpoint

Protection gemeinsam mit SafeGuard Enterprise verwenden.

Integration in Sophos Endpoint Protection sorgt für die Kommunikation zwischen Sophos

SafeGuard und Sophos Central Endpoint Protection. Dabei wird der Sicherheitsstatus zwischen

SafeGuard Enterprise und Sophos Central Endpoint Protection ausgetauscht. Wenn Ihr

System infiziert ist, schützt SafeGuard Enterprise Ihre sensiblen Daten. Wenn keine Schlüssel verfügbar sind, kann auf keine Daten zugegriffen werden.

139

SafeGuard Enterprise

In diesem Fall werden Benutzer darüber informiert, dass der Systemzustand schlecht ist, dass aber SafeGuard Enterprise ihre verschlüsselten Dateien schützt und sie deshalb nicht auf die Daten zugreifen können. Endpoints verbleiben in diesem Zustand bis sich der

Systemzustand verbessert. Erst dann stellt SafeGuard Enterprise die Schlüssel wieder zur

Verfügung. Benutzer werden darüber informiert, dass ihr Endpoint wieder sicher ist und sie wieder auf ihre verschlüsselten Daten zugreifen können.

In Situationen, wenn Sie den schlechten Systemzustand bestimmter Endpoints als nicht gerechtfertigt ansehen, können Sie Benutzern den Zugriff auf ihren Schlüsselring zurückgeben, indem Sie die Option Schlüssel auf gefährdeten Computern entziehen auf Nein setzen

und die geänderte Richtlinie auf die betroffenen Benutzergruppen anwenden, siehe Erstellen von Richtlinien zum Entziehen von Schlüsseln auf gefährdeten Computern

(Seite 140).

Wichtig: Beachten Sie, dass die Deaktivierung der Funktion Schlüssel auf gefährdeten

Computern entziehen ein Sicherheitsrisiko darstellt. Sie müssen die Situation davor sorgfältig analysieren und beurteilen.

Der Sicherheitszustand des Computers wird im Dialog Sophos SafeGuard Client Status am Endpoint angezeigt.

Voraussetzungen

■ Sophos Central Endpoint Protection 1.0.3 oder höher muss auf den Endpoints installiert sein.

Hinweis: Prüfen Sie unter Programme und Funktionen, ob Sophos System Protection verfügbar ist.

■ Eine Richtlinie vom Typ Allgemeine Einstellungen mit aktivierter Option Schlüssel auf

gefährdeten Computern entziehen muss zugewiesen sein.

5.1.4.1 Erstellen von Richtlinien zum Entziehen von Schlüsseln auf gefährdeten

Computern

So schützen Sie Daten, wenn bösartige Aktivitäten auf Endpoints festgestellt werden:

1. Legen Sie im Richtlinien Navigationsbereich einen neue Richtlinie vom Typ Allgemeine

Einstellungen an oder wählen Sie eine vorhandene aus.

Die Registerkarte Allgemeine Einstellungen wird angezeigt.

2. Wechseln Sie in den Bereich Dateiverschlüsselung.

3. Wählen Sie Ja in der Dropdown-Liste Schlüssel auf gefährdeten Computern entziehen.

Nun werden Schlüssel auf Computern, wo bösartige Aktivitäten festgestellt werden, entzogen. Eine Meldung wird protokolliert.

Hinweis: Bösartiges Verhalten wird unabhängig von den Einstellungen unter Schlüssel

auf gefährdeten Computern entziehen immer in der SafeGuard Enterprise Datenbank protokolliert.

4. Wenn Sie die Registerkarte Allgemeine Einstellungen verlassen, werden Sie aufgefordert,

Ihre Änderungen zu speichern.

5. Klicken Sie auf Ja.

6. Wechseln Sie zu Benutzer und Computer und weisen Sie die neue Richtlinie Ihren

Benutzergruppen zu.

140

Administratorhilfe

5.1.5 SafeGuard Enterprise Schlüsselring für mobile Geräte mit Sophos

Mobile Control freigeben

Schlüssel im SafeGuard Enterprise Schlüsselring können in der Sophos Secure Workspace

App bereitgestellt werden. Benutzer der App können dann die Schlüssel zum Entschlüsseln,

Lesen und Verschlüsseln von Dokumenten verwenden.

Die Schlüsselringe werden zwischen SafeGuard Enterprise und Sophos Mobile Control synchronisiert. Es werden keine Schlüssel am Sophos Mobile Control Server gespeichert.

Nur die Sophos Secure Workspace App kann die Schlüssel entschlüsseln.

Voraussetzungen

Folgende Voraussetzungen müssen für die Schlüsselring-Synchronisierung erfüllt sein:

■ Sie haben die Integration im SafeGuard Management Center eingerichtet.

■

Sie verwenden Sophos Mobile Control 6.1.

Sie haben ein externes Benutzermanagement für das Sophos Mobile Control 6.1 Self

Service Portal wie in der Dokumentation zu Sophos Mobile Control beschrieben eingerichtet und verwenden dieselbe Active Directory Benutzerdatenbank, die in SafeGuard Enterprise konfiguriert ist.

■

Sophos Secure Workspace wird von Sophos Mobile Control verwaltet.

Sie haben die Integration in Sophos Mobile Control eingerichtet.

Damit der Schlüsselring in Sophos Mobile Control verfügbar ist, müssen sich Benutzer zumindest einmal an SafeGuard Enterprise anmelden.

Features auf Mobilgeräten

Die Schlüsselring-Synchronisierung beinhaltet folgende Features:

■ Die Schlüssel aus dem SafeGuard Enterprise Schlüsselring eines Benutzers sind im

Sophos Secure Workspace Schlüsselring (SSW Schlüsselring) verfügbar.

■

Benutzer können weiterhin lokale Schlüssel verwenden, die in ihrem SSW Schlüsselring vor der Synchronisierung verfügbar waren.

Nachdem Sie die Schlüsselring-Synchronisierung eingerichtet haben, können Benutzer keine neuen lokalen Schlüssel mehr erstellen.

Aus Sicherheitsgründen werden die Schlüssel des SafeGuard Enterprise Schlüsselrings vom Gerät entfernt, wenn der Sophos Container gesperrt wird.

5.1.5.1 Einrichten der Schlüsselring-Synchronisierung

Wenn Sie die Schlüsselring-Synchronisierung aktivieren, können Benutzer von SafeGuard

Enterprise ihren Schlüsselring auch in der Sophos Secure Workspace App verwenden.

So richten Sie eine Verbindung zwischen Sophos Mobile Control und Sophos SafeGuard

Enterprise ein:

Hinweis: Sie sind dabei, Benutzer-Schlüsselringe für Mobilgeräte verfügbar zu machen.

Wenn diese Geräte den Regeln von Sophos Mobile Control (SMC) entsprechen, kann damit auf verschlüsselte Dateien zugegriffen werden. Wir empfehlen, mit dem SMC-Administrator

141

SafeGuard Enterprise zusammenzuarbeiten, um Compliance-Regeln zu erstellen und so unbefugtem Zugriff auf die

Daten vorzubeugen.

1. Laden Sie in der Sophos Mobile Control Konsole die Zertifikatsdatei für den Sophos Mobile

Control Server herunter.

Klicken Sie in der seitlichen Menüleiste in der Sophos Mobile Control Konsole unter

EINSTELLUNGEN auf Einstellungen > Systemeinstellungen und klicken Sie anschließend auf die Registerkarte SGN.

2. Klicken Sie im SafeGuard Management Center im Extras Menü auf Konfigurationspakete.

3. Wählen Sie Server.

4. Klicken Sie auf Hinzufügen.

Der Dialog Serverregistrierung wird angezeigt.

5. Verwenden Sie die Schaltfläche zum Durchsuchen, um Ihr Sophos Mobile Control

Serverzertifikat auszuwählen, das Sie heruntergeladen haben.

Wichtig: Lassen Sie den Namen im Feld Servername: unverändert.

6. Klicken Sie auf OK.

Der Sophos Mobile Control Server wird in der Registerkarte Server unter

Konfigurationspakete angezeigt.

7. Aktivieren Sie optional das Kontrollkästchen Recovery über Mobile Geräte.

Diese Option übermittelt die Recovery-Schlüssel für BitLocker und FileVault 2 an den

Sophos Mobile Control Server. Benutzer von Sophos Secure Workspace (von Sophos

Mobile Control verwaltet) können diese Schlüssel dann auf ihren Mobilgeräten anzeigen und für die Wiederherstellung verwenden, siehe

Schlüssel für die

Festplattenverschlüsselung mit mobilen Geräten synchronisieren (Seite 237).

Hinweis: Sophos Secure Workspace unterstützt Recovery per Mobilgerät ab Version 6.2.

Wir empfehlen, die Kompatibilität der Einstellungen mit Ihrem SMC-Administrator abzustimmen, da nur kompatible Mobilgeräte Recovery-Schlüssel empfangen können.

8. Wählen Sie Pakete für Managed Clients.

9. Klicken Sie auf Konfigurationspaket hinzufügen.

10. Geben Sie einen beliebigen Namen für das Konfigurationspaket ein.

11. Wählen Sie in der Spalte Primärer Server den Sophos Mobile Control Server aus der

Auswahlliste. Ein Sekundärer Server wird nicht benötigt.

12. Wählen Sie in der Spalte Transportverschlüsselung die Option SSL.

13. Geben Sie einen Ausgabepfad für das Konfigurationspaket (MSI) an.

14. Klicken Sie auf Konfigurationspaket erstellen.

Das Konfigurationspaket (MSI) wird im angegebenen Verzeichnis angelegt. Nun müssen Sie das Konfigurationspaket auf Sophos Mobile Control hochladen.

142

Administratorhilfe

5.1.6 Konfigurieren von Dateiverschlüsselungseinstellungen in Richtlinien vom Typ Allgemeine Einstellungen

Neben den in File Encryption Richtlinien vom VerschlüsselungstypAnwendungsbasierend definierten Verschlüsselungsregeln können Sie in Richtlinien vom Typ Allgemeine

Einstellungen folgende Einstellungen für die Dateiverschlüsselung konfigurieren:

■

Vertrauenswürdige Anwendungen (meist Virenschutzsoftware)

Ignorierte Geräte

5.1.6.1 Konfigurieren von vertrauenswürdigen Anwendungen für anwendungsbasierte

Dateiverschlüsselung

Sie können Anwendungen als vertrauenswürdig definieren, um ihnen Zugriff auf verschlüsselte

Dateien zu geben. Dies ist zum Beispiel notwendig, damit Antivirus-Software verschlüsselte

Dateien überprüfen kann.

Hinweis: Untergeordnete Prozesse werden nicht als vertrauenswürdig eingestuft.

1. Legen Sie im Richtlinien Navigationsbereich einen neue Richtlinie vom Typ Allgemeine

Einstellungen an oder wählen Sie eine vorhandene aus.

2. Klicken Sie unter Dateiverschlüsselung auf die Dropdown-Schaltfläche des Felds

Vertrauenswürdige Anwendungen.

3. Geben Sie im Editor-Listenfeld die Anwendungen ein, die Sie als vertrauenswürdig definieren möchten.

■

Sie können mehrere vertrauenswürdige Anwendungen in einer Richtlinie definieren.

Jede Zeile im Editor-Listenfeld definiert jeweils eine Anwendung.

Anwendungsnamen müssen auf .exe enden.

Anwendungsnamen müssen als Fully Qualified Paths mit Laufwerk/Verzeichnis definiert werden, zum Beispiel c:\dir\beispiel.exe

. Es reicht nicht aus, nur den Dateinamen einzugeben (zum Beispiel beispiel.exe

). Aus Gründen der Benutzerfreundlichkeit zeigt die Einzelzeilenansicht der Anwendungsliste nur die Dateinamen getrennt durch

Strichpunkte.

OS X: Es reicht nicht aus, nur das Anwendungspaket (zum Beispiel

/Applications/Scanner.app

) einzugeben. Die Anwendung muss als

/Applications/Scanner.app/Contents/MacOS/Scanner angegeben werden.

Die Anwendungsnamen können dieselben Platzhalter für Windows Shell Ordner und

Umgebungsvariablen wie die Verschlüsselungsregeln in File Encryption Richtlinen

enthalten. Für eine Liste aller unterstützten Platzhalter, siehe Platzhalter für Pfade in pfadbasierten Dateiverschlüsselungsregeln (Seite 161).

4. Speichern Sie Ihre Änderungen.

Hinweis: Die Richtlinieneinstellungen Vertrauenswürdige Anwendungen sind

Computereinstellungen. Die Richtlinie muss daher Computern, nicht Benutzern, zugewiesen werden. Andernfalls werden die Einstellungen nicht wirksam.

143

SafeGuard Enterprise

5.1.6.2 Ignorierte Geräte konfigurieren

Sie können Geräte als ignoriert definieren, um sie von der Dateiverschlüsselung auszuschließen. Sie können nur vollständige Geräte ausschließen.

1. Legen Sie im Richtlinien Navigationsbereich einen neue Richtlinie vom Typ Allgemeine

Einstellungen an oder wählen Sie eine vorhandene aus.

2. Klicken Sie unter Dateiverschlüsselung auf die Dropdown-Schaltfläche des Felds

Ignorierte Geräte.

3. Führen Sie im Editor-Listenfeld folgende Schritte durch: a) Wählen Sie Netzwerk wenn Sie keine Daten am Netzwerk verschlüsseln wollen.

b) Geben Sie die entsprechenden Gerätenamen an, um spezifische Geräte von der

Verschlüsselung auszuschließen. Dies ist zum Beispiel nützlich, wenn Sie Systeme von Dritt-Anbietern ausschließen müssen.

Hinweis: Sie können die Namen der derzeit im System benutzten Geräte mit Tools von Dritt-Anbietern (z. B. OSR Device Tree) anzeigen lassen. SafeGuard Enterprise protokolliert alle Geräte, mit denen eine Verbindung hergestellt wird. Mit Hilfe von

Registry Keys können Sie eine Liste von verbundenen und ignorierten Geräten aufrufen.

Für weitere Informationen, siehe Anzeige von ignorierten und verbundenen Geräten

(Windows) (Seite 144).

Sie können einzelne (Netzwerk)-Festplattenlaufwerke von der Verschlüsselung ausschließen, in dem Sie eine File Encryption Verschlüsselungsregel in einer File

Encryption Richtlinie erstellen und den Modus für die Verschlüsselung auf Ignorieren einstellen. Sie können diese Einstellung nur auf durch Windows verwaltete Laufwerke, nicht auf Mac OS X Volumes.

5.1.6.2.1 Anzeige von ignorierten und verbundenen Geräten (Windows)

Als Hilfestellung für die Definition von ignorierten Geräten können Sie mit Registry Keys ermitteln, welche Geräte für die Verschlüsselung in Betracht gezogen werden (verbundene

Geräte) und welche Geräte derzeit ignoriert werden. Die Liste mit ignorierten Geräten enthält nur Geräte, die tatsächlich auf dem Computer verfügbar sind und ignoriert werden. Wird ein

Gerät in einer Richtlinie als ignoriert definiert und das Gerät ist nicht verfügbar, so wird das

Gerät auch nicht aufgelistet.

Benutzen Sie folgende Registry Keys, um verbundene und ignorierte Geräte zu ermitteln:

■ HKLM\System\CurrentControlSet\Control\Utimaco\SGLCENC\Log\AttachedDevices

■ HKLM\System\CurrentControlSet\Control\Utimaco\SGLCENC\Log\IgnoredDevices

5.1.7 Anwendungsbasierte File Encryption-Richtlinien im RSOP

Da Synchronized Encryption Richtlinien nicht vereinigt werden, wird immer der Inhalt der

Richtlinie angezeigt, die gerade für einen Benutzer oder Computer in Kraft ist (Benutzer und

Computer > RSOP > Dateiverschlüsselung).

5.2 Festplattenverschlüsselung verwalten

Um Festplatten besonders schnell, einfach und zuverlässig zu verschlüsseln, greift SafeGuard

Enterprise auf die Verschlüsselungstechnologie des Betriebssystems zurück. Verwalten Sie

Schlüssel und Wiederherstellungsfunktionen für BitLocker- bzw. FileVault-verschlüsselte

Laufwerke ganz praktisch über das SafeGuard Management Center.

144

Administratorhilfe

5.2.1 BitLocker-Laufwerkverschlüsselung

BitLocker Drive Encryption ist ein in Microsoft Windows Betriebssysteme integriertes Feature für die Festplattenverschlüsselung mit Pre-Boot Authentication. BitLocker bietet Datenschutz durch die Verschlüsselung von Boot- sowie Daten-Laufwerken. Ab Windows 8 müssen Sie

BitLocker Drive Encryption statt SafeGuard Full Disk Encryption für die

Festplattenverschlüsselung verwenden.

SafeGuard Enterprise kann BitLocker Verschlüsselung auf einem Computer verwalten. Die

BitLocker-Verschlüsselung kann aktiviert und die Verwaltung von bereits mit BitLocker verschlüsselten Laufwerken übernommen werden.

SafeGuard Enterprise überprüft während der Installation am Endpoint und während dem ersten Neustart, ob die Hardware die Anforderungen für BitLocker mit SafeGuard

Challenge/Response erfüllt. Falls nicht, wird die SafeGuard Enterprise BitLocker Verwaltung ohne Challenge/Response ausgeführt. In diesem Fall kann der BitLocker Recovery-Schlüssel mit dem SafeGuard Management Center abgerufen werden.

5.2.1.1 Authentisierung mit BitLocker-Laufwerkverschlüsselung

Die BitLocker-Laufwerkverschlüsselung bietet verschiedene Authentisierungsoptionen für

Boot- und Datenlaufwerke.

Der Sicherheitsbeauftragte kann die verschiedenen Anmeldemodi in einer Richtlinie im

SafeGuard Management Center einstellen und sie an die BitLocker Endpoints verteilen.

Für SafeGuard Enterprise BitLocker-Benutzer sind folgende Anmeldemodi verfügbar:

■ TPM: Der Schlüssel für die Anmeldung wird auf dem TPM-Chip (Trusted Platform Module) gespeichert.

■ TPM + PIN: Der Schlüssel für die Anmeldung wird auf dem TPM-Chip gespeichert und zusätzlich wird eine PIN zur Anmeldung benötigt.

■

Systemstartschlüssel: Der Schlüssel für die Anmeldung wird auf einem USB-Stick gespeichert.

TPM + Systemstartschlüssel: Der Schlüssel für die Anmeldung wird auf dem TPM-Chip und auf einem USB-Stick gespeichert. Beides wird für die Anmeldung benötigt.

■ Kennwort: Der Benutzer muss ein Kennwort eingeben.

■ Systemstartschlüssel: Der Schlüssel für die Anmeldung wird auf einem USB-Stick gespeichert.

■

Kennwort oder Systemstartschlüssel: USB-Sticks werden nur verwendet, wenn

Kennwörter auf dem Client-Betriebssystem nicht unterstützt werden.

Auto-Unlock: Wenn das Boot-Laufwerk verschlüsselt ist, wird ein externer Schlüssel generiert und auf dem Boot-Laufwerk gespeichert. Die Datenlaufwerke werden dann automatisch verschlüsselt. Sie werden automatisch mit der Auto-Unlock-Funktion von

Bitlocker freigegeben.

Weitere Informationen zum Einrichten der Anmeldemodi finden Sie unter Authentisierung

(Seite 372).

145

SafeGuard Enterprise

5.2.1.1.1 Trusted Platform Module (TPM)

Das TPM ist ein Modul auf dem Motherboard, das einer Smartcard ähnelt und

Verschlüsselungsfunktionen sowie Vorgänge für die digitale Signatur ausführt. Es ist in der

Lage, Benutzerschlüssel anzulegen, zu speichern und zu verwalten. Das TPM ist gegen

Angriffe geschützt.

5.2.1.1.2 PIN und Kennwörter

Die Voraussetzungen für BitLocker PINs und Kennwörter werden in den Windows

Gruppenrichtlinien festgelegt und nicht durch die SafeGuard Enterprise-Einstellungen.

Hinweis: Kennwörter werden erst ab Windows 8 oder höher unterstützt.

Die betreffenden Einstellungen für Kennwörter sind im lokalen Gruppenrichtlinien-Editor

(gpedit.msc) zu finden:

Local Computer Policy > Computer Configuration > Administrative Templates > Windows

Components > BitLocker Drive Encryption > Operating System Drives > Configure use

of passwords for operating system drives und

Local Computer Policy > Computer Configuration > Administrative Templates > Windows

Components > BitLocker Drive Encryption > Fixed Data Drives > Configure use of

passwords for fixed data drives.

Die Einstellungen können auch über Active Directory angewendet werden.

PINs bestehen in der Regel nur aus Zahlen. Es kann jedoch die Verwendung aller

Tastaturzeichen (Zahlen, Buchstaben und Sonderzeichen/Symbole) zugelassen werden. Die

Einstellung, mit der diese erweiterten PINs zugelassen werden, ist im lokalen

Gruppenrichtlinien-Editor (gpedit.msc) unter Local Computer Policy - Computer

Configuration - Administrative Templates - Windows Components - BitLocker Drive

Encryption - Operating System Drives zu finden:

Wenn "Erweiterte PINs für Systemstart zulassen" auf "Aktiviert" gesetzt ist, sind erweiterte

PINs zulässig.

Wenn "Erweiterte PINs für Systemstart zulassen" auf "Nicht konfiguriert" gesetzt ist, sind in

SafeGuard Enterprise erweiterte PINs zulässig.

Wenn "Erweiterte PINs für Systemstart zulassen" auf "Deaktiviert" gesetzt ist, sind erweiterte

PINs nicht zulässig.

Hinweis: BitLocker unterstützt nur das EN-US Tastaturlayout. Benutzer könnten daher

Probleme bei der Eingabe erweiterter PINs oder komplexer Kennwörter haben. Wird das

Tastaturlayout vor dem Festlegen der neuen BitLocker-PIN oder des neuen

BitLocker-Kennworts nicht in EN-US geändert, muss für die Eingabe des gewünschten

Zeichens unter Umständen eine andere Taste gedrückt werden. Um sicherzustellen, dass der Benutzer beim Start die PIN oder das Kennwort richtig eingeben kann, wird vor der

Verschlüsselung eines Startvolumes ein Neustart durchgeführt.

5.2.1.2 Praxistipps: Richtlinieneinstellungen und Bedienung

Der Sicherheitsbeauftragte konfiguriert die Verschlüsselungsrichtlinien für die zu verschlüsselnden Laufwerke sowie eine Authentisierungsrichtlinie. Nach Möglichkeit sollte immer das TPM genutzt werden, aber auch ohne TPM sollte das Boot-Volume verschlüsselt werden. Die Benutzerinteraktion sollte auf ein Minimum beschränkt werden.

Gemäß diesen Anforderungen wählt der Sicherheitsbeauftragte die folgenden

Authentisierungseinstellungen (diese sind auch die Standardeinstellungen):

■ BitLocker Anmeldemodus für Boot-Laufwerke: TPM + PIN

146

Administratorhilfe

■

BitLocker Fallback-Anmeldemodus für Boot-Laufwerke: Kennwort oder

Systemstartschlüssel

BitLocker Anmeldemodus für Datenlaufwerke: Auto-Unlock

■ BitLocker Fallback-Anmeldemodus für Datenlaufwerke: Kennwort oder

Systemstartschlüssel

Der Sicherheitsbeauftragte erstellt eine Geräteschutzrichtlinie mit dem Ziel Interner Speicher und richtet für den Verschlüsselungsmodus Volume-basierend ein. Danach werden beide

Richtlinien auf die zu verschlüsselnden Endpoints angewendet.

Für SafeGuard Enterprise BitLocker-Benutzer gibt es folgende Szenarien:

Fall 1: Ein Benutzer meldet sich mit einem TPM bei einem Endpoint an.

1. Der Benutzer wird aufgefordert, eine PIN für das Boot-Volume einzugeben (z. B. Laufwerk

C: ).

2. Der Benutzer gibt die PIN ein und klickt auf Neu starten und verschlüsseln.

3. Das System testet die Hardware und überprüft, ob der Benutzer die PIN korrekt eingeben kann. Es startet neu und fordert den Benutzer zur Eingabe der PIN auf.

■

Wenn der Benutzer die PIN richtig eingibt, wird der Endpoint gestartet.

Gibt der Benutzer die PIN nicht richtig ein (z. B. aufgrund eines falschen Tastaturlayouts), kann er die Esc-Taste in der BitLocker Pre-Boot-Umgebung drücken, um den Test abzubrechen, und der Endpoint wird gestartet.

Falls es ein Problem mit der Hardware gibt (z. B. wenn das TPM nicht funktioniert), wird der Test abgebrochen und der Endpoint gestartet.

4. Der Benutzer meldet sich erneut an.

5. Wenn der Hardware-Test erfolgreich war (der Benutzer konnte die PIN richtig eingeben und es gab kein Problem mit dem TPM), beginnt die Verschlüsselung des Boot-Volume.

Andernfalls (wenn der Test fehlschlägt), wird ein Fehler angezeigt und das Volume nicht verschlüsselt. Schlägt der Test fehl, weil der Benutzer Esc in der Pre-Boot-Umgebung gedrückt hat, wird der Benutzer aufgefordert, erneut eine PIN einzugeben und einen

Neustart vorzunehmen (wie in Schritt 2; die Schritte 3, 4 und 5 werden wiederholt).

6. Die Verschlüsselung des Boot-Volume beginnt.

7. Die Verschlüsselung der Daten-Volumes beginnt ebenfalls, ohne dass eine Interaktion seitens des Benutzers erforderlich ist.

Fall 2: Ein Benutzer meldet sich bei einem Windows 8-Endpoint ohne TPM an.

1. Der Benutzer wird aufgefordert, ein Kennwort für das Boot-Volume einzugeben.

2. Der Benutzer gibt das Kennwort ein und klickt auf Neu starten und verschlüsseln.

3. Das System startet neu, führt einen Hardwaretest durch und der Benutzer meldet sich wie im Fall oben erneut an (genau wie in Fall 1, Schritte 3 bis 6, aber die Verweise auf das

TPM sind nicht relevant und anstelle einer PIN ist ein Kennwort erforderlich.)

4. Die Verschlüsselung des Boot-Volume beginnt.

5. Die Verschlüsselung der Daten-Volumes beginnt ebenfalls, ohne dass eine Interaktion seitens des Benutzers erforderlich ist.

Fall 3: Ein Benutzer meldet sich bei einem Windows 7-Endpoint ohne TPM an.

1. Der Benutzer wird aufgefordert, den Verschlüsselungsschlüssel für das Boot-Volume auf einem USB-Stick zu speichern.

2. Der Benutzer steckt einen USB-Stick ein und wählt Speichern und neu starten aus.

3. Das System startet neu, führt den Hardwaretest durch und der Benutzer meldet sich erneut an. (Gleicher Ablauf wie in den vorgenannten Fällen, aber der Benutzer muss beim Booten

147

SafeGuard Enterprise den USB-Stick einstecken. Es könnte ein Hardwarefehler auftreten, wenn der USB-Stick von der BitLocker Pre-Boot-Umgebung nicht gelesen werden kann.)

4. Die Verschlüsselung des Boot-Volume beginnt.

5. Die Verschlüsselung der Daten-Volumes beginnt ebenfalls, ohne dass eine Interaktion seitens des Benutzers erforderlich ist.

Fall 4: Der Sicherheitsbeauftragte ändert die Richtlinie und setzt den BitLocker

Fallback-Anmeldemodus für Boot-Laufwerke auf Kennwort. Ein Benutzer meldet sich bei einem Windows 7-Endpoint ohne TPM an.

1. Da der Endpoint kein TPM hat und Windows 7 keine Kennwörter für Boot-Volumes zulässt, wird das Boot-Volume nicht verschlüsselt.

2. Für jedes Nicht-Boot-Volume wird der Benutzer aufgefordert, den externen Schlüssel auf einem USB-Stick zu speichern. Die Verschlüsselung des betreffenden Volume beginnt, sobald der Benutzer auf Speichern klickt.

3. Wenn der Benutzer den Endpoint neu startet, muss der USB-Stick eingesteckt sein, damit die Nicht-Boot-Volumes entsperrt werden.

5.2.1.3 Voraussetzungen für die Verwaltung von BitLocker auf Endpoints

■ Um die Anmeldemethoden TPM + PIN, TPM + Systemstartschlüssel,

Systemstartschlüssel oder Kennwort verwenden zu können, muss die Gruppenrichtlinie

Zusätzliche Authentifizierung beim Start anfordern entweder in Active Directory oder lokal auf Computern aktiviert werden. Im Editor für lokale Gruppenrichtlinien (gpedit.msc) finden Sie die Gruppenrichtlinie hier:

Richtlinien für Lokaler Computer\Computerkonfiguration\Administrative

Vorlagen\Windows-Komponenten\BitLocker

Laufwerksverschlüsselung\Betriebssystemlaufwerke

Um Systemstartschlüssel zu verwenden, müssen Sie auch BitLocker ohne kompatibles

TPM zulassen in den Gruppenrichtlinien aktivieren.

■ Um TPM + PIN auf Tablets verwenden zu können, aktivieren Sie zusätzlich die

Gruppenrichtlinie Verwendung der BitLocker-Authentifizierung mit erforderlicher

Tastatureingabe vor dem Starten auf Slates aktivieren.

Hinweis: Die Gruppenrichtlinien sind bei der Installation auf dem Endpoint automatisch aktiviert. Stellen Sie sicher, dass die Einstellungen nicht von anderen Gruppenrichtlinien

überschrieben werden.

■ Eine BitLocker-Geräteschutzrichtlinie, die die Konfiguration eines TPM-basierten

Authentifizierungsmechanismus (zum Beispiel TPM, TPM+PIN, TPM +

Systemstartschlüssel) auslöst, leitet automatisch die TPM-Aktivierung ein. Der Benutzer wird informiert, dass das TPM aktiviert werden muss, und erhält eine Nachricht, wenn das

System neugestartet oder heruntergefahren werden muss (abhängig von dem verwendeten

TPM).

Hinweis: Wenn SafeGuard BitLocker Verwaltung auf einem Endpoint installiert ist, wird möglicherweise als Verschlüsselungsstatus eines Laufwerks Nicht vorbereitet angezeigt, siehe

Registerkarte Laufwerke

(Seite 262). Das bedeutet, dass das Laufwerk momentan nicht mit BitLocker verschlüsselt werden kann, weil notwendige Vorbereitungen noch nicht durchgeführt wurden. Das trifft nur auf verwaltetete Endpoints zu, weil nicht verwaltetete

Endpoints keine Bestandsinformationen melden können.

Mit dem Befehlszeilentool SGNState können Sie überprüfen, ob der Endpoint für BitLocker vorbereitet ist (Administratorrechte erforderlich). In manchen Fällen muss das Windows-Tool zur Laufwerkvorbereitung auf BitLocker ausgeführt werden. Weitere Informationen finden

Sie im Sophos Knowledgebase-Artikel 120819 .

148

Administratorhilfe

5.2.1.3.1 SafeGuard Challenge/Response für BitLocker

Um SafeGuard Enterprise BitLocker Challenge/Response verwenden zu können, müssen die folgenden Voraussetzungen erfüllt sein:

■ 64-Bit-Windows

■ UEFI Version 2.3.1 oder höher

■ Microsoft UEFI Zertifikat ist verfügbar oder Secure Boot ist deaktiviert.

■ NVRAM Booteinträge sind von Windows aus zugänglich

■ Windows im GPT-Modus installiert

■ Die Hardware ist in der POACFG.xml Datei nicht aufgelistet.

Sophos liefert eine Standard POACFG.xml Datei, die im Setup eingebettet ist. Es wird empfohlen, die neueste Datei herunterzuladen und dem Installationsprogramm bereitzustellen

SafeGuard Enterprise überprüft während der Installation am Endpoint und während dem ersten Neustart, ob die Hardware die Anforderungen für BitLocker mit SafeGuard

5.2.1.4 BitLocker Drive Encryption mit SafeGuard Enterprise verwalten

Die zentrale und vollständig transparente Verwaltung von BitLocker durch SafeGuard Enterprise ermöglicht die Anwendung in heterogenen IT-Umgebungen. SafeGuard Enterprise erweitert die Funktionalität von BitLocker signifikant. Über SafeGuard Enterprise lassen sich die

Sicherheitsrichtlinien für BitLocker zentral ausrollen. Bei der Verwaltung von BitLocker über

SafeGuard Enterprise stehen darüber hinaus äußerst wichtige Prozesse, wie

Schlüsselverwaltung und Schlüssel-Recovery, zur Verfügung.

Mit SafeGuard Enterprise können Sie BitLocker Drive Encryption vom SafeGuard Management

Center aus verwalten. Als Sicherheitsbeauftragter können Sie Verschlüsselungs- und

Authentisierungsrichtlinien einrichten und an die BitLocker-Endpoints verteilen.

Sobald ein BitLocker Endpoint im SafeGuard Management Center registriert ist, werden

Informationen zu Benutzer, Computer, Anmeldemodus und Verschlüsselungsstatus angezeigt.

Außerdem werden Ereignisse für BitLocker Endpoints protokolliert.

Endpoints, die mit BitLocker verschlüsselt sind, können auf die gleiche Weise verwaltet werden wie Endpoints mit SafeGuard Full Disk Encryption. Der Computertyp lässt sich über die

Registerkarte Bestand unter Benutzer und Computer ermitteln. Die Spalte

Verschlüsselungstyp zeigt an, ob es sich bei dem betreffenden Computer um einen

BitLocker-Endpoint handelt.

Hinweis: Während der Installation des SafeGuard Enterprise-Client auf Windows 7 muss die BitLocker-Funktion explizit ausgewählt werden, um die BitLocker-Verwaltung zu ermöglichen.

Weitere Informationen zu BitLocker To Go und SafeGuard Enterprise finden Sie unter BitLocker

To Go

(Seite 153).

149

SafeGuard Enterprise

5.2.1.5 Verschlüsselung mit dem von SafeGuard Enterprise verwalteten BitLocker

Mit der BitLocker Drive Encryption-Unterstützung in SafeGuard Enterprise können Sie

Boot-Volumes und Daten-Volumes mit BitLocker-Verschlüsselung und -Schlüsseln verschlüsseln. Darüber hinaus können Daten, z. B. von Wechselmedien, mit SafeGuard

Enterprise dateibasierender Verschlüsselung und SafeGuard Enterprise-Schlüsseln verschlüsselt werden. Dies ist keine BitLocker-Funktion, wird aber von SafeGuard Enterprise bereitgestellt.

5.2.1.5.1 BitLocker-Verschlüsselungsschlüssel

Bei der Verschlüsselung des Boot-Volumes oder anderer Volumes mit BitLocker über

SafeGuard Enterprise werden die Verschlüsselungsschlüssel immer durch BitLocker erzeugt.

BitLocker erzeugt jeweils einen Schlüssel für jedes Volume. Dieser Schlüssel lässt sich für keinen anderen Zweck verwenden.

Wenn BitLocker mit SafeGuard Enterprise verwendet wird, wird ein

Wiederherstellungsschlüssel in der SafeGuard Enterprise Datenbank gespeichert. Dies ermöglicht die Einrichtung eines Helpdesk- und Recovery-Mechanismus (ähnlich der SafeGuard

Enterprise Challenge/Response Funktionalität).

Es ist jedoch nicht möglich, Schlüssel global auszuwählen oder wiederzuverwenden, wie dies bei nativen SafeGuard Enterprise Clients der Fall ist. Die Schlüssel werden außerdem auch nicht im SafeGuard Management Center angezeigt.

Hinweis: BitLocker erlaubt Ihnen, Wiederherstellungsschlüssel in Active Directory zu sichern.

Dies passiert automatisch beim Verschlüsseln eines Volumes mit BitLocker, wenn die entsprechende Gruppenrichtlinie (GPO) aktiviert ist. Ist ein Volume bereits verschlüsselt, kann ein Administrator die BitLocker Wiederherstellungsschlüssel manuell mit dem Windows

Manage-BDE-Tool sichern (siehe "manage-bde -protectors -adbackup -?").

5.2.1.5.2 BitLocker-Algorithmen in SafeGuard Enterprise

BitLocker unterstützt die folgenden Advanced Encryption Standard (AES) Algorithmen:

■ AES-128

■ AES-256

AES-128 mit Diffuser und AES-256 mit Diffuser werden nicht mehr unterstützt. Laufwerke, die bereits mit einem Algorithmus mit Diffuser verschlüsselt wurden, können mit SafeGuard

Enterprise verwaltet werden.

5.2.1.5.3 Verschlüsselungsrichtlinien für die BitLocker-Laufwerkverschlüsselung

Der Sicherheitsbeauftragte kann eine Richtlinie für die (Erst-)Verschlüsselung im SafeGuard

Management Center anlegen und diese an die BitLocker Endpoints verteilen. Die Richtlinie wird daraufhin auf den Endpoints ausgeführt. Die in der Richtlinie angegebenen Laufwerke werden daraufhin mit BitLocker verschlüsselt.

Da die BitLocker Clients im SafeGuard Management Center transparent verwaltet werden, muss der Sicherheitsbeauftragte keine speziellen BitLocker-Einstellungen für die

Verschlüsselung vornehmen. SafeGuard Enterprise kennt den Status der Clients und wählt die BitLocker-Verschlüsselung entsprechend. Wird ein BitLocker Client mit SafeGuard

Enterprise installiert und wird die Volume-Verschlüsselung aktiviert, so werden die Volumes durch die BitLocker-Laufwerkverschlüsselung verschlüsselt.

Ein BitLocker Endpoint verarbeitet Richtlinien vom Typ Geräteschutz und Authentisierung.

150

Administratorhilfe

Die folgenden Einstellungen werden am Endpoint ausgewertet:

■ Einstellungen in einer Richtlinie des Typs Geräteschutz:

■ Ziel:Lokale Datenträger | Interner Speicher | Boot-Laufwerke | Andere Laufwerke

| Laufwerksbuchstaben A: -Z:

■

Verschlüsselungsmodus für Medien Volume-basierend | Keine Verschlüsselung

Algorithmus für die Verschlüsselung AES128 | AES256

Schnelle Initialverschlüsselung Ja | Nein

Nähere Informationen finden Sie unter

Geräteschutz

(Seite 389).

■ Einstellungen in einer Richtlinie des Typs Authentifizierung:

■

BitLocker Anmeldemodus für Boot-Laufwerke: TPM | TPM + PIN | TPM +

Systemstartschlüssel | Systemstartschlüssel |

BitLocker Fallback-Anmeldemodus für Boot-Laufwerke: Systemstartschlüssel

| Kennwort | Kennwort oder Systemstartschlüssel | Fehler

■

BitLocker Anmeldemodus für Datenlaufwerke: Auto-Unlock | Kennwort |

Systemstartschlüssel

BitLocker Fallback-Anmeldemodus für Datenlaufwerke: Kennwort | Kennwort

oder Systemstartschlüssel| Systemstartschlüssel

Nähere Informationen finden Sie unter

Authentisierung (Seite 372).

Alle anderen Einstellungen werden vom BitLocker Endpoint ignoriert.

5.2.1.5.4 Verschlüsselung auf einem durch BitLocker geschützten Computer

Vor Beginn der Verschlüsselung werden von BitLocker die Verschlüsselungsschlüssel generiert.

Abhängig vom System kann das Verhalten leicht abweichen.

Endpoints mit TPM

Wenn der Sicherheitsbeauftragte einen Anmeldemodus für BitLocker einrichtet, der TPM

(TPM, TPM+PIN oder TPM + Systemstartschlüssel) beinhaltet, wird die TPM-Aktivierung automatisch eingeleitet.

Das TPM (Trusted Platform Module) ist ein Hardware-Gerät, das BitLocker zum Speichern seiner Verschlüsselungsschlüssel verwendet. Die Schlüssel werden nicht auf der Festplatte des Computers gespeichert. Während des Startvorgangs muss das BIOS (Basic Input/Output

System) auf TPM zugreifen können. Wenn der Benutzer den Computer startet, bezieht

BitLocker diese Schlüssel automatisch vom TPM.

Endpoints ohne TPM

Wenn ein Endpoint nicht mit TPM ausgestattet ist, kann ein BitLocker-Systemstartschlüssel oder – falls auf dem Endpoint Windows 8 oder höher ausgeführt wird – ein Kennwort als

Anmeldemodus verwendet werden.

Ein BitLocker-Systemstartschlüssel kann mit einem USB-Stick zum Speichern der

Verschlüsselungsschlüssel generiert werden. Der Benutzer muss den Stick immer beim

Starten des Computers einstecken.

Wenn SafeGuard Enterprise BitLocker aktiviert, werden die Benutzer aufgefordert, den

BitLocker-Systemstartschlüssel zu speichern. Es öffnet sich ein Dialog, in dem die gültigen

Ziellaufwerke zum Speichern des Systemstartschlüssels angezeigt werden.

151

SafeGuard Enterprise

Bei Startvolumes ist es wesentlich, dass der Systemstartschlüssel verfügbar ist, wenn der

Endpoint gestartet wird. Der Systemstartschlüssel kann daher nur auf einem Wechselmedium gespeichert werden.

Bei Datenvolumes kann der BitLocker-Systemstartschlüssel auf einem verschlüsselten

Startvolume gespeichert werden. Dies erfolgt automatisch, wenn Auto-Unlock in der Richtlinie festgelegt ist.

BitLocker Recovery-Schlüssel

Für BitLocker Recovery bietet SafeGuard Enterprise einen Challenge/Response Mechanismus, der es erlaubt, Informationen auf vertraulichem Weg auszutauschen sowie den BitLocker

Recovery-Schlüssel vom Helpdesk zu beziehen, siehe Response für mit BitLocker verschlüsselte SafeGuard Enterprise Clients - UEFI Endpoints

(Seite 154) und

Recovery-Schlüssel für mit BitLocker verschlüsselte SafeGuard Enterprise Clients - BIOS

Endpoints

(Seite 155).

Damit Recovery-Vorgänge über Challenge/Response durchgeführt werden können oder ein

Abruf des Recovery-Schlüssels möglich ist, müssen die notwendigen Daten dem Helpdesk zur Verfügung gestellt werden. Die für den Recovery-Vorgang erforderlichen Daten werden in spezifischen Schlüssel-Recovery-Dateien gespeichert.

Hinweis: Wenn SafeGuard BitLocker Verwaltung ohne Challenge/Response auf einem

Standalone-Endpoint verwendet wird, dann wird der Recovery-Schlüssel nach einem

Recovery-Vorgang nicht geändert.

Hinweis: Wenn eine mit BitLocker verschlüsselte Festplatte in einem Computer durch eine neue Festplatte ersetzt wird, diese den Laufwerksbuchstaben der alten Festplatte erhält und ebenfalls mit BitLocker verschlüsselt wird, speichert SafeGuard Enterprise nur den BitLocker

Recovery-Schlüssel der neuen Festplatte.

Verwaltung von Laufwerken, die bereits mit BitLocker verschlüsselt sind

Sollte es bei der Installation von SafeGuard Enterprise auf Ihrem Computer Laufwerke geben, die bereits mit BitLocker verschlüsselt sind, übernimmt SafeGuard Enterprise die Verwaltung dieser Laufwerke.

Verschlüsselte Bootlaufwerke

■

Abhängig von der verwendeten SafeGuard Enterprise BitLocker Unterstützung werden

Sie möglicherweise aufgefordert, Ihren Computer neu zu starten. Es ist wichtig, dass Sie den Neustart so bald als möglich durchführen.

Wenn für das verschlüsselte Laufwerk eine SafeGuard Enterprise-Verschlüsselungsrichtlinie gilt:

■ SafeGuard Enterprise BitLocker Challenge/Response ist installiert: Die Verwaltung wird übernommen und SafeGuard Enterprise Challenge/Response ist möglich.

■ SafeGuard Enterprise BitLocker ist installiert: Die Verwaltung wird übernommen und

Recovery ist möglich.

■ Wenn für das verschlüsselte Laufwerk keine SafeGuard

Enterprise-Verschlüsselungsrichtlinie gilt:

■ SafeGuard Enterprise BitLocker Challenge/Response ist installiert: Es wird keine

Verwaltung übernommen und SafeGuard Enterprise Challenge/Response ist nicht möglich.

152

Administratorhilfe

■ SafeGuard Enterprise BitLocker ist installiert: Recovery ist möglich.

Verschlüsselte Festplatten

■ Wenn für das verschlüsselte Laufwerk eine SafeGuard Enterprise-Verschlüsselungsrichtlinie gilt:

Die Verwaltung wird übernommen und Recovery ist möglich.

■ Wenn für das verschlüsselte Laufwerk keine SafeGuard

Enterprise-Verschlüsselungsrichtlinie gilt:

SafeGuard Enterprise Recovery ist möglich.

5.2.1.5.5 Entschlüsselung mit BitLocker

Computer, die mit BitLocker verschlüsselt wurden, lassen sich nicht automatisch entschlüsseln.

Die Entschlüsselung kann entweder über den Menüpunkt BitLocker Drive Encryption in der Systemsteuerung oder mit dem Microsoft Befehlszeilentool "Manage-bde" ausgeführt werden.

Um Benutzern zu erlauben, mit BitLocker verschlüsselte Laufwerke manuell zu entschlüsseln, muss dem Endpoint eine Richtlinie ohne Verschlüsselungsregel für ein mit BitLocker verschlüsseltes Laufwerk zugewiesen werden. Benutzer starten die Entschlüsselung durch

Deaktivieren von BitLocker für das gewünschte Laufwerk BitLocker-

Laufwerksverschlüsselung in der Systemsteuerung oder über "Manage-bde".

5.2.1.6 BitLocker To Go

Mit BitLocker To Go können Sie Volumes auf Wechselmedien verschlüsseln, wenn die

Client-Komponenten für SafeGuard BitLocker installiert sind. BitLocker To Go kann jedoch nicht durch SafeGuard Enterprise verwaltet werden.

Informationen zum Deaktivieren von BitLocker To Go finden Sie unter Deaktivieren der

BitLocker To Go Verschlüsselung

(Seite 153).

BitLocker To Go ist nicht kompatibel mit SafeGuard Full Disk Encryption (volume-basierende

Festplattenverschlüsselung). Wenn Sie SafeGuard Full Disk Encryption installieren, wird

BitLocker To Go deaktiviert. Volumes und Wechselmedien, die bereits mit BitLocker To Go verschlüsselt sind, bleiben lesbar.

5.2.1.6.1 Deaktivieren der BitLocker To Go Verschlüsselung

1. Wählen Sie im Editor für lokale Gruppenrichtlinien Richtlinien für Lokaler Computer >

Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten >

BitLocker-Laufwerkverschlüsselung > Wechseldatenträger.

2. Klicken Sie mit der rechten Maustaste auf Verwendung von BitLocker auf

Wechseldatenträgern steuernund wählen Sie Ändern.

3. Wählen Sie Aktiviert.

4. Deaktivieren Sie unter Optionen die Option Benutzer können BitLocker-Schutz auf

Wechseldatenträger anwenden.

5. Wählen Sie unter Optionen die Option Benutzer können BitLocker-Schutz auf

Wechseldatenträgern anhalten und entschlüsseln.

6. Klicken Sie auf OK.

BitLocker To Go Verschlüsselung wird auf den Endpoints deaktiviert. Der Benutzer kann neue

Laufwerke nicht mehr mit BitLocker To Go verschlüsseln. Volumes und Wechselmedien, die bereits mit BitLocker To Go verschlüsselt sind, bleiben lesbar.

153

SafeGuard Enterprise

5.2.1.7 Protokollierte Ereignisse für BitLocker

Vom BitLocker Client gemeldete Ereignisse werden wie für alle anderen SafeGuard Enterprise

Clients protokolliert. Dabei wird nicht explizit erwähnt, dass sich das Ereignis auf einen

BitLocker Client bezieht. Die Berichte entsprechen den für jeden anderen SafeGuard Enterprise

Client erzeugten Berichten.

5.2.1.8 Recovery für BitLocker

Abhängig vom System bietet SafeGuard Enterprise ein Challenge/Response-Verfahren für die Recovery oder die Möglichkeit, beim Helpdesk den Recovery-Schlüssel zu beschaffen.

Genauere Informationen zu den Anforderungen für SafeGuard Enterprise Challenge/Response

finden Sie unter Voraussetzungen für die Verwaltung von BitLocker auf Endpoints (Seite 148).

Weitere Informationen zur Wiederherstellung auf Client-Ebene finden Sie in der SafeGuard

Enterprise Benutzerhilfe .

5.2.1.8.1 Response für mit BitLocker verschlüsselte SafeGuard Enterprise Clients - UEFI Endpoints

Für UEFI Endpoints, die bestimmte Voraussetzungen erfüllen, bietet SafeGuard Enterprise ein Challenge/Response-Verfahren für die Wiederherstellung. Auf UEFI Endpoints, die die

Voraussetzungen nicht erfüllen, wird automatisch SafeGuard BitLocker ohne

Challenge/Response installiert. Informationen über den Recovery-Vorgang bei diesen

Endpoints finden Sie unter

Recovery-Schlüssel für mit BitLocker verschlüsselte SafeGuard

Enterprise Clients - BIOS Endpoints (Seite 155).

1. Klicken Sie im SafeGuard Management Center auf Extras > Recovery um den

Recovery-Assistenten zu öffnen.

2. Wählen Sie auf der Recovery-Typ Seite die Option SafeGuard Enterprise Client

(Managed).

3. Wählen Sie unter Domäne die gewünschte Domäne aus der Liste.

4. Geben Sie unter Computer den gewünschten Computernamen ein oder wählen Sie ihn aus. Hierzu gibt es mehrere Möglichkeiten:

■ Um einen Namen auszuwählen, klicken Sie auf [...]. Klicken Sie anschließend auf Jetzt

suchen. Eine Liste mit Computern wird angezeigt. Wählen Sie den gewünschten

Computer aus und klicken Sie auf OK. Der Computername wird auf der Seite

Recovery-Typ angezeigt.

■ Geben Sie den Kurznamen des Computers direkt in das Feld ein. Wenn Sie auf Weiter klicken, wird der Name in der Datenbank gesucht. Der gefundene Computername wird als Distinguished Name angezeigt.

■ Geben Sie den Computernamen direkt als Distinguished Name ein, zum Beispiel:

CN=Desktop1,OU=Development,OU=Headquarter,DC=Sophos,DC=edu

5. Klicken Sie auf Weiter.

6. Wählen Sie das Volume, auf das zugegriffen werden soll, aus der Liste und klicken Sie auf Weiter.

7. Klicken Sie auf Weiter.

Eine Seite für die Eingabe des Challenge-Codes wird angezeigt.

8. Geben Sie den vom Benutzer erhaltenen Challenge-Code ein und klicken Sie auf Weiter.

9. Es wird ein Response-Code erzeugt. Teilen Sie dem Benutzer den Response-Code mit.

Hierzu steht eine Buchstabierhilfe zur Verfügung. Sie können den Response-Code auch in die Zwischenablage kopieren.

154

Administratorhilfe

Der Benutzer kann den Response-Code eingeben und wieder auf den Endpoint zugreifen.

5.2.1.8.2 Recovery-Schlüssel für mit BitLocker verschlüsselte SafeGuard Enterprise Clients - BIOS

Endpoints

Bei mit BitLocker verschlüsselten Computern lässt sich ein Volume, auf das nicht mehr zugegriffen werden kann, wiederherstellen.

1. Klicken Sie im SafeGuard Management Center auf Extras > Recovery um den

Recovery-Assistenten zu öffnen.

2. Wählen Sie auf der Recovery-Typ Seite die Option SafeGuard Enterprise Client

(Managed).

3. Wählen Sie unter Domäne die gewünschte Domäne aus der Liste.

4. Geben Sie unter Computer den gewünschten Computernamen ein oder wählen Sie ihn aus. Hierzu gibt es mehrere Möglichkeiten:

■ Um einen Namen auszuwählen, klicken Sie auf [...]. Klicken Sie anschließend auf Jetzt

suchen. Eine Liste mit Computern wird angezeigt. Wählen Sie den gewünschten

Computer aus und klicken Sie auf OK. Der Computername wird im Fenster

Recovery-Typ unter Domäne angezeigt.

■ Geben Sie den Computernamen direkt als Distinguished Name ein, zum Beispiel:

CN=Desktop1,OU=Development,OU=Headquarter,DC=Utimaco,DC=edu

5. Klicken Sie auf Weiter.

6. Wählen Sie das Volume, auf das zugegriffen werden soll, aus der Liste und klicken Sie auf Weiter.

7. Der Recovery-Assistent zeigt den 48-stelligen Recovery-Schlüssel an.

8. Teilen Sie dem Benutzer diesen Schlüssel mit.

Der Benutzer kann den Schlüssel eingeben, um den Zugriff auf das mit BitLocker verschlüsselte

Volume auf dem Endpoint wiederherzustellen.

5.2.2 FileVault 2 Verschlüsselung

FileVault 2 ist eine in OS X eingebaute Verschlüsselungstechnogie, die das ganze Laufwerk schützt und von SafeGuard Enterprise verwaltet werden kann.

5.2.2.1 FileVault 2 Festplattenverschlüsselung mit SafeGuard Enterprise verwalten

Mit SafeGuard Enterprise können Sie FileVault 2 Festplattenverschlüsselung vom SafeGuard

Management Center aus verwalten, wie einen nativen SafeGuard Enterprise Client.

Die SafeGuard Enterprise Client Installation beinhaltet nicht auch die Komponente für die

Verwaltung von FileVault 2. Sie muss separat installiert werden. Nähere Informationen finden

Sie in Ihrer Dokumentation für Sophos SafeGuard Native Device Encryption für Mac.

Die zentrale und vollständig transparente Verwaltung von FileVault2 durch SafeGuard

Enterprise ermöglicht die Anwendung in heterogenen IT-Umgebungen. Sicherheitsrichtlinien für verschiedene Plattformen können zentral ausgerollt werden.

155

SafeGuard Enterprise

5.2.2.2 Verwalten von FileVault 2 Endpoints im SafeGuard Management Center

Im SafeGuard Management Center lassen sich FileVault 2 Endpoints wie andere native

SafeGuard Endpoints verwalten. Als Sicherheitsbeauftragter können Sie

Verschlüsselungsrichtlinien für die FileVault 2 Endpoints einrichten und verteilen.

Sobald ein FileVault 2 Endpoint bei SafeGuard Enterprise registriert ist, werden Informationen zu Benutzer, Computer, Anmeldemodus und Verschlüsselungsstatus angezeigt. Darüber hinaus werden Ereignisse für FileVault 2 Clients protokolliert.

Die Verwaltung von FileVault 2 Clients in SafeGuard Enterprise ist transparent. Das heißt, die Verwaltungsfunktionen haben im Allgemeinen dieselbe Funktionsweise für FileVault 2 und native SafeGuard Enterprise Clients. Der Computertyp lässt sich in der Registerkarte

Bestand eines Containers unter Benutzer & Computer ermitteln. Die Spalte POA-Typ zeigt an, ob es sich bei dem betreffenden Computer um einen FileVault 2 Client handelt.

5.2.2.3 Verschlüsselungsrichtlinien für FileVault 2 Festplattenverschlüsselung

Der Sicherheitsbeauftragte kann eine Richtlinie für die Verschlüsselung im SafeGuard

Management Center anlegen und diese an die FileVault 2 Endpoints verteilen. Die Richtlinie wird daraufhin auf den Endpoints ausgeführt.

Da die FileVault 2 Endpoints im SafeGuard Management Center transparent verwaltet werden, muss der Sicherheitsbeauftragte keine speziellen FileVault 2-Einstellungen für die

Verschlüsselung vornehmen. SafeGuard Enterprise kennt den Status der Clients und wählt die FileVault 2-Verschlüsselung entsprechend.

Ein FileVault 2 Endpoint verarbeitet nur Richtlinien des Typs Geräteschutz mit dem Ziel

Boot-Laufwerke und einem Verschlüsselungsmodus für Medien, der auf

Volume-basierend oder Keine Verschlüsselung gesetzt ist. Alle anderen

Richtlinieneinstellungen werden ignoriert.

■

Volume-basierend aktiviert FileVault 2 auf dem Endpoint.

Keine Verschlüsselung erlaubt dem Benutzer den Mac zu entschlüsseln.

5.2.2.4 Recovery-Schlüssel für Mac-Endpoints

Der Zugriff auf mit FileVault 2 verschlüsselte SafeGuard Enterprise Clients kann mit folgenden

Schritten wiederhergestellt werden:

1. Wählen Sie auf der Recovery-Typ Seite die Option SafeGuard Enterprise Client

(Managed).

2. Wählen Sie unter Domäne die gewünschte Domäne aus der Liste.

3. Geben Sie unter Computer den gewünschten Computernamen ein oder wählen Sie ihn aus. Hierzu gibt es mehrere Möglichkeiten:

■ Um einen Namen auszuwählen, klicken Sie auf [...]. Klicken Sie anschließend auf Jetzt

suchen. Eine Liste mit Computern wird angezeigt. Wählen Sie den gewünschten

Computer aus und klicken Sie auf OK. Der Computername wird im Fenster

Recovery-Typ unter Domäne angezeigt.

■ Geben Sie den Computernamen direkt als Distinguished Name ein, zum Beispiel:

CN=Desktop1,OU=Development,OU=Headquarter,DC=Utimaco,DC=edu

156

Administratorhilfe

4. Klicken Sie auf Weiter.

5. Der Recovery-Assistent zeigt den 24-stelligen Recovery-Schlüssel an.

6. Teilen Sie dem Benutzer diesen Schlüssel mit.

Der Benutzer kann den Recovery-Schlüssel eingeben, um sich am Mac-Endpoint anzumelden und das Kennwort zurückzusetzen.

5.3 Pfadbasierte Dateiverschlüsselung

Das SafeGuard Enterprise Modul File Encryption bietet pfadbasierte Dateiverschlüsselung auf lokalen Festplatten und im Netzwerk, speziell für Arbeitsgruppen bei Netzwerkfreigaben.

Im SafeGuard Management Center definieren Sie die Regeln für die dateibasierende

Verschlüsselung in File Encryption Richtlinien. In diesen Richtlinien geben Sie die Zielordner für File Encryption, den Verschlüsselungsmodus und den Schlüssel für die Verschlüsselung an. In Richtlinien vom Typ Allgemeine Einstellungen können Sie festlegen, wie bestimmte

Anwendungen und Dateisysteme auf Endpoints in Zusammenhang mit File Encryption behandelt werden sollen. Sie können ignorierte und vertrauenswürdige Anwendungen sowie ignorierte Geräte angeben. Außerdem können Sie die persistente Verschlüsselung für File

Encryption aktivieren.

Für die Verschlüsselung können persönliche Schlüssel verwendet werden. Ein persönlicher

Schlüssel, der für einen Benutzer aktiv ist, gilt nur für diesen bestimmten Benutzer und kann nicht anderen Benutzern zugewiesen oder mit diesen gemeinsam benutzt werden. Sie können persönliche Schlüssel im SafeGuard Management Center unter Benutzer & Computer erzeugen.

Wenn Endpoints eine File Encryption Richtlinie zugewiesen wurde, werden die Dateien in den von der Richtlinie abgedeckten Speicherorten ohne Benutzerinteraktion transparent verschlüsselt:

■

Neue Dateien in den relevanten Speicherorten werden automatisch verschlüsselt.

Wenn Benutzer den Schlüssel für eine verschlüsselte Datei haben, können sie den Inhalt lesen und ändern.

Wenn Benutzer den Schlüssel für eine verschlüsselte Datei nicht haben, wird der Zugriff verweigert.

Wenn ein Benutzer auf einem Endpoint, auf dem File Encryption nicht installiert ist, auf eine verschlüsselte Datei zugreift, wird der verschlüsselte Inhalt angezeigt.

Sind in den durch die Verschlüsselungsrichtlinie abgedeckten Speicherorten bereits Dateien vorhanden, so werden diese nicht automatisch verschlüsselt. Die Benutzer müssen auf dem

Endpoint eine Initialverschlüsselung im SafeGuard Assistent für Dateiverschlüsselung durchführen. Weitere Informationen hierzu finden Sie in der SafeGuard Enterprise

Benutzerhilfe.

Hinweis:

SafeGuard File Encryption ist mit der in Windows integrierten EFS-Verschlüsselung und

Dateikomprimierung nicht kompatibel. Wenn die EFS-Verschlüsselung aktiviert ist, erhält sie

Priorität vor etwaig anwendbaren File Encryption Verschlüsselungsregeln. In den relevanten

Ordnern angelegte Dateien können in diesem Fall nicht von File Encryption verschlüsselt werden. Wenn die Komprimierung aktiviert ist, hat die Verschlüsselung durch File Encryption eine höhere Priorität. Dateien werden verschlüsselt, jedoch nicht komprimiert. Um Dateien mit File Encryption zu verschlüsseln, muss die EFS-Verschlüsselung oder die Komprimierung zunächst deaktiviert werden. Dies kann manuell oder durch Ausführen des SafeGuard

Enterprise Assistenten für die Initialverschlüsselung erfolgen.

157

SafeGuard Enterprise

Hinweis:

Für weitere Informationen zu SafeGuard File Encryption für Mac, siehe

Über SafeGuard File

Encryption für Mac

(Seite 106) und die SafeGuard Enterprise für Mac Benutzerhilfe.

5.3.1 Konfigurieren von Verschlüsselungsregeln in pfadbasierten File

Encryption Richtlinien

Die Regeln für die dateibasierende Verschlüsselung im Netzwerk definieren Sie in einer

Richtlinie des Typs File Encryption.

Hinweis: Wenn bestimmte Ordner verschlüsselt werden (zum Beispiel C:\Programme), bewirkt dies unter Umständen, dass das Betriebssystem oder bestimmte Anwendungen nicht mehr laufen. Stellen Sie bei der Definition von Verschlüsselungsregeln sicher, dass diese

Ordner nicht verschlüsselt werden.

1. Legen Sie im Richtlinien Navigationsbereich einen neue Richtlinie vom Typ File

Encryption an oder wählen Sie eine vorhandene aus.

Die Registerkarte Dateiverschlüsselung wird angezeigt.

2. Wählen Sie Pfadbasiert aus der Verschlüsselungstyp Auswahlliste.

Die Tabelle für die Definition, wo anwendungsbasierte Dateiverschlüsselung am Endpoint angewendet wird, wird angezeigt.

Hinweis: Ältere Versionen von SafeGuard Enterprise verfügen nicht über die Einstellung

Verschlüsselungstyp.Wenn Sie Ihr Management Center aktualisieren, werden bestehende

File Encryption Richtlinien zu Richtlinien vom Typ Pfadbasiert konvertiert. Informationen

zum Verschlüsselungstyp Keine Verschlüsselung finden Sie unter Richtlinien vom Typ

Keine Verschlüsselung (Seite 138).

3. Geben Sie in der Spalte Pfad den Pfad (d. h. den Ordner) an, der durch File Encryption verschlüsselt werden soll:

■ Klicken Sie auf die Dropdown-Schaltfläche und wählen Sie einen Platzhalter für einen

Ordnernamen aus der Liste der verfügbaren Platzhalter aus.

Hinweis: Wenn Sie Ihren Cursor über die Listeneinträge führen, werden Tooltips angezeigt, die zeigen, wie ein Platzhalter üblicherweise auf einem Endpoint umgesetzt wird. Geben Sie nur gültige Platzhalter ein. Für eine Liste aller unterstützten Platzhalter,

siehe Platzhalter für Pfade in pfadbasierten Dateiverschlüsselungsregeln

(Seite 161).

Wichtig: Die Verschlüsselung des gesamten Benutzerprofils mit dem Platzhalter

<User Profile> kann zu einem instabilen Windows Desktop auf dem Endpoint führen.

■

Klicken Sie auf die Browse-Schaltfläche um den gewünschten Ordner im Dateisystem auszuwählen.

Sie können auch einfach einen Pfadnamen eingeben.

Hinweis: Für nützliche Informationen für die Konfiguration von Pfaden in File Encryption

Verschlüsselungsregeln, siehe Zusätzliche Informationen für die Konfiguration von Pfaden in pfadbasierten File Encryption-Regeln

(Seite 160).

4. Wählen Sie in der Spalte Anwendungsbereich:

■

Nur dieser Ordner, um die Regeln nur auf den Ordner anzuwenden, der in der Spalte

Pfad angegeben ist, oder

Mit Unterordnern, um die Regel auch auf alle Unterordner des Ordners anzuwenden.

158

Administratorhilfe

5. Legen Sie in der Spalte Modus fest, wie File Encryption den in der Spalte Pfad angegebenen Ordner behandeln soll:

■

Wählen Sie Verschlüsseln, um neue Dateien im Ordner zu verschlüsseln. Der Inhalt der vorhandenen verschlüsselten Dateien wird transparent entschlüsselt, wenn ein

Benutzer mit dem erforderlichen Schlüssel auf die Dateien zugreift. Hat der Benutzer nicht den erforderlichen Schlüssel, wird der Zugriff verweigert.

Wenn Sie Ausschließen auswählen, werden neue Dateien im Ordner nicht verschlüsselt. Sie können diese Option verwenden, wenn Sie zum Beispiel einen

Unterordner von der Verschlüsselung ausnehmen möchten, dessen übergeordneter

Ordner bereits von einer Regel mit der Option Verschlüsseln abgedeckt ist.

Wenn Sie Ignorieren auswählen, werden die Dateien im Ordner von File Encryption nicht beachtet. Neue Dateien werden im Klartext gespeichert. Wenn ein Benutzer auf bereits verschlüsselte Dateien in diesem Ordner zugreift, wird der verschlüsselte Inhalt angezeigt. Dabei spielt es keine Rolle, ob der Benutzer den erforderlichen Schlüssel hat oder nicht.

6. Wählen Sie in der Spalte Schlüssel den Schlüssel, der für den Verschlüsseln Modus verwendet werden soll. Sie können Schlüssel verwenden, die in Benutzer & Computer erstellt und angewendet wurden.

■ Klicken Sie auf die Browse-Schaltfläche, um den Dialog Schlüssel suchen zu öffnen.

Klicken Sie auf Jetzt suchen, um eine Liste mit allen verfügbaren Schlüsseln aufzurufen.

Wählen Sie den gewünschten Schlüssel aus.

Hinweis: Computerschlüssel werden in dieser Liste nicht angezeigt. Sie können von

File Encryption nicht benutzt werden, da sie nur auf einem einzelnen Computer verfügbar sind. Mit diesen Schlüssel können daher Benutzergruppen nicht auf dieselben Daten zugreifen.

■ Klicken Sie auf die Schaltfläche Persönlicher Schlüssel mit dem Schlüsselsymbol, um den Platzhalter Persönlicher Schlüssel in die Spalte Schlüssel einzufügen. Auf dem Endpoint wird dieser Platzhalter in den aktiven persönlichen Schlüssel des angemeldeten SafeGuard Enterprise Benutzers umgesetzt. Wenn die relevanten

Benutzer noch keine aktiven persönlichen Schlüssel haben, werden diese automatisch angelegt. Sie können persönliche Schlüssel für einzelne oder mehrere Benutzer unter

Benutzer & Computer erzeugen. Für weitere Informationen, siehe Persönliche

Schlüssel für die dateibasierende Verschlüsselung mit File Encryption

(Seite 293).

7. Der System Typ (Windows, Mac OS X oder Alle Plattformen für Windows und Mac

OSX systems) werden automatisch zugewiesen.

8. Fügen Sie je nach Anforderung weitere Verschlüsselungsregeln hinzu und speichern Sie

Ihre Änderungen.

Hinweis: Alle File Encryption Verschlüsselungsregeln, die über Richtlinien zugewiesen und für Benutzer/Computer an unterschiedlichen Knoten unter Benutzer & Computer aktiviert werden, werden kumuliert. Die Reihenfolge der Verschlüsselungsregeln innerhalb einer File Encryption Richtlinie ist für die Evaluierung auf dem Endpoint nicht von

Bedeutung. Innerhalb einer File Encryption Richtlinie können Sie die Regeln durch Ziehen mit der Maus zur besseren Übersicht nach Wunsch anordnen.

159

SafeGuard Enterprise

5.3.1.1 Zusätzliche Informationen für die Konfiguration von Pfaden in pfadbasierten File

Encryption-Regeln

Beachten Sie beim Konfigurieren von Pfaden in File Encryption Verschlüsselungsregeln die folgenden Informationen:

■

Ein Pfad darf nur Zeichen enthalten, die auch in Dateisystemen verwendet werden können.

Zeichen wie <, >, * und $ sind nicht zulässig.

Geben Sie nur gültige Platzhalter ein. Für eine Liste aller unterstützten Platzhalter, siehe

Platzhalter für Pfade in pfadbasierten Dateiverschlüsselungsregeln (Seite 161).

Hinweis: Die Namen von Umgebungsvariablen werden durch das SafeGuard Management

Center nicht überprüft. Sie müssen nur auf dem Endpoint vorhanden sein.

■

Das Feld Pfad gibt immer einen Ordner an. Sie können keine Regel für eine einzelne Datei festlegen. Außerdem können Sie keine Platzhalter für Ordnernamen, Dateinamen oder

Dateierweiterungen verwenden.

Absolute und relative Regeln

Sie können absolute und relative Regeln definieren. Eine absolute Regel definiert einen bestimmten Ordner, zum Beispiel C:\encrypt . Eine relative Regel enthält keine UNC

Server/Freigabe Informationen, Laufwerksbuchstaben oder Informationen zu

übergeordneten Ordnern. In einer relativen Regel wird zum Beispiel ein Pfad wie der folgende verwendet: encrypt_sub . In diesem Fall werden alle Dateien auf allen

Laufwerken (einschließlich Speicherorte im Netzwerk), die sich in einem Ordner mit der

Bezeichnung encrypt_sub (oder in einem untergeordneten Ordner) befinden, von der

Regel abgedeckt.

Hinweis: Relative Pfade werden nur auf Windows-Endpoints unterstützt.

■ Lange Ordnernamen und 8.3 Notation

Geben Sie für File Encryption Verschlüsselungsregeln immer die langen Ordnernamen an, da die 8.3 Bezeichnungen für lange Ordnernamen von Computer zu Computer unterschiedlich sein können. 8.3 Namensregeln werden vom durch SafeGuard Enterprise geschützten Endpoint automatisch bei Anwendung der relevanten Richtlinien erkannt. Es sollte keine Rolle spielen, ob Anwendungen lange Ordnernamen oder 8.3 Namen für den

Zugriff auf Dateien verwenden. Verwenden Sie für relative Regeln kurze Ordnernamen um sicherzustellen, dass die Regel umgesetzt werden kann, egal ob eine Anwendung lange Ordnernamen oder 8.3 Notation verwendet.

■ UNC und verbundene Laufwerke

Ob Sie Regeln in UNC Notation oder basierend auf verbundenen Laufwerksbuchstaben anwenden, hängt von Ihren spezifischen Anforderungen ab:

■ Verwenden Sie UNC Notation, wenn sich die Server- und Freigabenamen wahrscheinlich nicht ändern, die verbundenen Laufwerksbuchstaben jedoch von Benutzer zu Benutzer unterschiedlich sein können.

■ Verwenden Sie verbundene Laufwerksbuchstaben, wenn diese unverändert beibehalten werden, Servernamen aber geändert werden können.

Wenn Sie UNC verwenden, geben Sie einen Servernamen und einen Freigabenamen an, zum Beispiel \\server\share.

File Encryption gleicht die UNC Namen und die verbundenen Laufwerksbuchstaben intern ab. In einer Regeln muss ein Pfad somit entweder als UNC-Pfad oder mit verbundenen

Laufwerksbuchstaben definiert sein.

160

Administratorhilfe

Hinweis: Da Benutzer u. U. ihre verbundenen Laufwerksbuchstaben ändern können, empfehlen wir, aus Sicherheitsgründen UNC-Pfade in File Encryption

Verschlüsselungsregeln zu verwenden.

■ Offline-Ordner

Bei Anwendung der Windows Funktion Offline verfügbar machen müssen Sie keine speziellen Regeln für lokale (Offline) Kopien von Ordnern erstellen. Neue Dateien in der lokalen Kopie eines Ordners, der offline verfügbar gemacht wurde, werden entsprechend den Regeln für den ursprünglichen (Netzwerk-)Speicherplatz verschlüsselt.

Hinweis: Für weitere Informationen zur Benennung von Dateien und Pfaden, siehe http://msdn.microsoft.com/en-us/library/aa365247.aspx

5.3.1.2 Platzhalter für Pfade in pfadbasierten Dateiverschlüsselungsregeln

Hinweis: Verwenden Sie immer Backslashes als Trennzeichen, auch wenn Sie

Dateiverschlüsselungsregeln für Mac OS X festlegen. Auf diese Weise können Sie Regeln auf beiden Betriebssystemen (Windows und Mac OS X) anwenden. Am Mac OS X Client werden die umgekehrten Schrägstriche automatisch in Schrägstriche umgewandelt, um die

Anforderungen des Mac OS X Betriebssystems zu erfüllen. Fehler bei der Verwendung von

Platzhaltern werden protokolliert. Ungültige Verschlüsselungsregeln werden protokolliert und dann auf dem Endpoint verworfen.

Beispiel: Der Windows-Pfad <User Profile>\Dropbox\personal wird unter Mac OS

X so konvertiert: /Users/<Username>/Dropbox/personal .

Pfad-Platzhalter Betriebssystem

(Alle=Windows und Mac OS X)

Wert auf dem Endpoint

<%environment_variable_name%> Alle Wert der Umgebungsvariable. Beispiel:

<%USERNAME%>.

Hinweis: Wenn Umgebungsvariablen mehrere Speicherorte enthalten (zum

Beispiel die PATH Umgebungsvariable), werden die Pfade nicht in mehrere Regeln aufgeteilt. Dies verursacht einen Fehler und die Verschlüsselungsregel ist ungültig.

Alle

Der virtuelle Ordner, der den Desktop des

Endpoints darstellt.

Das ist der virtuelle Ordner für den

Desktop-Bereich Eigene Dateien (Äquivalent zu CSIDL_MYDOCUMENTS). Typischer

Pfad: C:\Documente und

Einstellungen\Benutzername\Eigene Dateien.

Der Ordner in dem standardmäßig

Downloads gespeichert werden. Ein typischer

161

SafeGuard Enterprise

Pfad-Platzhalter

<Music>

Betriebssystem

(Alle=Windows und Mac OS X)

Wert auf dem Endpoint

Pfad unter Windows ist

C:\Benutzer\Benutzername\Downloads.

Alle Das Dateisystemverzeichnis, das als allgemeines Repository für Musikdateien dient. Typischer Pfad: C:\Documente und

Einstellungen\Benutzername\Eigene

Dateien\Eigene Musik.

Alle

Das Dateisystemverzeichnis, das als allgemeines Repository für Bilddateien dient.

Typischer Pfad: C:\Documente und

Einstellungen\Benutzername\Eigene

Dateien\Eigene Bilder.

Das Dateisystemverzeichnis, das als allgemeines Repository für Dokumente für alle Benutzer dient. Typischer Pfad:

C:\Benutzer\<Benutzername>\Öffentlich.

Zeigt auf die Root-Verzeichnisse aller

Wechselmedien.

Der Profilordner des Benutzers. Typischer

Pfad: C:\Benutzer\Benutzername.

Hinweis: Die Verschlüsselung des gesamten Benutzerprofils mit diesem

Platzhalter kann zu einem instabilen

Windows Desktop auf dem Endpoint führen.

Alle

Windows

Das Dateisystemverzeichnis, das als allgemeines Repository für Videodateien für alle Benutzer dient. Typischer Pfad:

C:\Documente und Einstellungen\Alle

Benutzer\Dateien\Eigene Videos.

Das Dateisystemverzeichnis, das als allgemeines Repository für Internet Cookies dient. Typischer Pfad: C:\Documente und

Einstellungen\Benutzername\Cookies.

Das Dateisystemverzeichnis, das als allgemeines Repository für die Favoriten des

Benutzers dient. Typischer Pfad:

C:\Documente und

Einstellungen\Benutzername\Favoriten.

Das Dateisystemverzeichnis, das als allgemeines Daten-Repository für lokale

Applikationen (ohne Roaming) dient.

162

Administratorhilfe

Pfad-Platzhalter

System

Betriebssystem

(Alle=Windows und Mac OS X)

Wert auf dem Endpoint

Typischer Pfad: C:\Dokumente und

Einstellungen\Benutzername\Lokale

Einstellungen\Anwendungsdaten.

Windows Das Dateisystemverzeichnis, das

Anwendungsdaten für alle Benutzer enthält.

Typischer Pfad: C:\Dokumente und

Einstellungen\Alle

Benutzer\Anwendungsdaten.

Windows

Der Programme-Ordner. Typischer Pfad:

\Programme. For 64-Bit Systeme wird dies auf zwei Regeln erweitert: eine für 32-Bit

Anwendungen und eine für 64-Bit

Anwendungen.

Das Dateisystemverzeichnis, das als allgemeines Repository für Musikdateien für alle Benutzer dient. Typischer Pfad:

C:\Documente und Einstellungen\Alle

Benutzer\Eigene Musik.

Das Dateisystemverzeichnis, das als allgemeines Repository für Bilddateien für alle Benutzer dient. Typischer Pfad:

C:\Documente und Einstellungen\Alle

Benutzer\Dateien\Eigene Bilder.

Das Dateisystemverzeichnis, das als allgemeines Repository für Videodateien für alle Benutzer dient. Typischer Pfad:

C:\Documente und Einstellungen\Alle

Benutzer\Dateien\Eigene Videos.

Windows

Das Dateisystemverzeichnis, das als allgemeines Repository für anwendungsspezifische Daten dient.

Typischer Pfad: C:\Dokumente und

Einstellungen\Benutzername\Anwendungsdaten.

Der Windows Systemordner. Typischer Pfad:

C:\Windows\System32. For 64-Bit Systeme wird dies auf zwei Regeln erweitert: eine für

32-Bit und eine für 64-Bit.

Das Dateisystemverzeichnis, das als

Staging-Bereich für Dateien, die auf eine CD geschrieben werden sollen, verwendet wird.

Typischer Pfad: C:\Dokumente und

Einstellungen\Benutzername\Lokale

Einstellungen\Microsoft\CD Burning.

163

SafeGuard Enterprise

Pfad-Platzhalter Betriebssystem

(Alle=Windows und Mac OS X)

Wert auf dem Endpoint

<Temporary Internet Folder> Windows

<Root>

Windows

Mac OS X

Das Dateisystemverzeichnis, das als allgemeines Repository für Temporäre

Internetdateien dient. Typischer Pfad:

C:\Dokumente und

Einstellungen\Benutzername\Lokale

Einstellungen\Temporary Internet Files.

Das Windows-Verzeichnis oder SYSROOT.

Dies entspricht den Umgebungsvariablen

%windir% oder %SYSTEMROOT%.

Typischer Pfad: C:\Windows.

Mac OS X Stammverzeichnis. Es wird nicht empfohlen, Richtlinien für das

Stammverzeichnis festzulegen, auch wenn dies technisch möglich ist.

5.3.2 Konfigurieren der pfadbasierten Dateiverschlüsselung in Richtlinien vom Typ Allgemeine Einstellungen

Neben den in File Encryption Richtlinien vom VerschlüsselungstypPfadbasiert definierten

Verschlüsselungsregeln können Sie in Richtlinien vom Typ Allgemeine Einstellungen folgende Einstellungen für die Dateiverschlüsselung konfigurieren:

■

Vertrauenswürdige Anwendungen

Ignorierte Anwendungen

■

Ignorierte Geräte

Persistente Verschlüsselung aktivieren

5.3.2.1 Konfigurieren von vertrauenswürdigen und ignorierten Anwendungen für File

Encryption

Sie können Anwendungen als vertrauenswürdig definieren, um ihnen Zugriff auf verschlüsselte

Dateien zu geben. Dies ist zum Beispiel notwendig, damit Antivirus-Software verschlüsselte

Dateien überprüfen kann.

Sie können Anwendungen als ignoriert definieren, um sie von der transparenten

Dateiverschlüsselung/Dateientschlüsselung auszuschließen. Wenn Sie zum Beispiel ein

Backup-Programm als ignorierte Anwendung definieren, bleiben die vom Programm gesicherten verschlüsselten Daten verschlüsselt.

Hinweis: Untergeordnete Prozesse werden nicht als vertrauenswürdig/ignoriert eingestuft.

1. Legen Sie im Richtlinien Navigationsbereich einen neue Richtlinie vom Typ Allgemeine

Einstellungen an oder wählen Sie eine vorhandene aus.

2. Klicken Sie unter Dateiverschlüsselung auf die Dropdown-Schaltfläche der Felder

Vertrauenswürdige Anwendungen oder Ignorierte Anwendungen.

164

Administratorhilfe

3. Geben Sie im Editor-Listenfeld die Anwendungen ein, die Sie als vertrauenswürdig/ignoriert definieren möchten.

■

Sie können mehrere vertrauenswürdige/ignorierte Anwendungen in einer Richtlinie definieren. Jede Zeile im Editor-Listenfeld definiert jeweils eine Anwendung.

Anwendungsnamen müssen auf .exe enden.

■

Anwendungsnamen müssen als Fully Qualified Paths mit Laufwerk/Verzeichnis definiert werden, zum Beispiel "c:\dir\beispiel.exe". Es reicht nicht aus, nur den Dateinamen einzugeben (zum Beispiel "beispiel.exe"). Aus Gründen der Benutzerfreundlichkeit zeigt die Einzelzeilenansicht der Anwendungsliste nur die Dateinamen getrennt durch

Strichpunkte.

Die Anwendungsnamen können dieselben Platzhalter für Windows Shell Ordner und

Umgebungsvariablen wie die Verschlüsselungsregeln in File Encryption Richtlinen

enthalten. Für eine Liste aller unterstützten Platzhalter, siehe Platzhalter für Pfade in pfadbasierten Dateiverschlüsselungsregeln (Seite 161).

4. Speichern Sie Ihre Änderungen.

Hinweis: Die Richtlinieneinstellungen Vertrauenswürdige Anwendungen und Ignorierte

Anwendungen sind Computereinstellungen. Die Richtlinie muss daher Computern, nicht

Benutzern, zugewiesen werden. Andernfalls werden die Einstellungen nicht wirksam.

5.3.2.2 Ignorierte Geräte konfigurieren

Sie können Geräte als ignoriert definieren, um sie von der Dateiverschlüsselung auszuschließen. Sie können nur vollständige Geräte ausschließen.

1. Legen Sie im Richtlinien Navigationsbereich einen neue Richtlinie vom Typ Allgemeine

Einstellungen an oder wählen Sie eine vorhandene aus.

2. Klicken Sie unter Dateiverschlüsselung auf die Dropdown-Schaltfläche des Felds

Ignorierte Geräte.

3. Führen Sie im Editor-Listenfeld folgende Schritte durch: a) Wählen Sie Netzwerk wenn Sie keine Daten am Netzwerk verschlüsseln wollen.

b) Geben Sie die entsprechenden Gerätenamen an, um spezifische Geräte von der

Verschlüsselung auszuschließen. Dies ist zum Beispiel nützlich, wenn Sie Systeme von Dritt-Anbietern ausschließen müssen.

Registry Keys können Sie eine Liste von verbundenen und ignorierten Geräten aufrufen.

Für weitere Informationen, siehe Anzeige von ignorierten und verbundenen Geräten

(Windows) (Seite 144).

Sie können einzelne (Netzwerk)-Festplattenlaufwerke von der Verschlüsselung ausschließen, in dem Sie eine File Encryption Verschlüsselungsregel in einer File

5.3.2.2.1 Anzeige von ignorierten und verbundenen Geräten (Windows)

Als Hilfestellung für die Definition von ignorierten Geräten können Sie mit Registry Keys ermitteln, welche Geräte für die Verschlüsselung in Betracht gezogen werden (verbundene

Geräte) und welche Geräte derzeit ignoriert werden. Die Liste mit ignorierten Geräten enthält nur Geräte, die tatsächlich auf dem Computer verfügbar sind und ignoriert werden. Wird ein

165

SafeGuard Enterprise

Gerät in einer Richtlinie als ignoriert definiert und das Gerät ist nicht verfügbar, so wird das

Gerät auch nicht aufgelistet.

Benutzen Sie folgende Registry Keys, um verbundene und ignorierte Geräte zu ermitteln:

■ HKLM\System\CurrentControlSet\Control\Utimaco\SGLCENC\Log\AttachedDevices

■ HKLM\System\CurrentControlSet\Control\Utimaco\SGLCENC\Log\IgnoredDevices

5.3.2.3 Konfigurieren der persistenten Verschlüsselung für File Encryption

Der Inhalt von mit File Encryption verschlüsselten Dateien wird jeweils direkt entschlüsselt, wenn der Benutzer den erforderlichen Schlüssel hat. Wenn der Inhalt in einer neuen Datei an einem Ablageort gespeichert wird, für den keine Verschlüsselungsregel gilt, bleibt die resultierende neue Datei unverschlüsselt.

Mit persistenter Verschlüsselung bleiben Kopien von verschlüsselten Dateien auch dann verschlüsselt, wenn sie an einem Speicherort abgelegt werden, für den keine

Verschlüsselungsregel gilt.

Sie können die persistente Verschlüsselung in Richtlinien vom Typ Allgemeine Einstellungen konfigurieren. Die Richtlinieneinstellung Persistente Verschlüsselung aktivieren ist standardmäßig aktiviert.

Hinweis: Wenn Dateien an ein ignoriertes Gerät oder in einen Ordner kopiert oder verschoben werden, für den eine Richtlinie mit dem Modus für die Verschlüsselung Ignorieren gilt, hat die Einstellung Persistente Verschlüsselung aktivieren keine Auswirkungen.

5.3.3 Mehrere pfadbasierte Dateiverschlüsselungsregeln

Alle File Encryption Verschlüsselungsregeln, die über Richtlinien zugewiesen und für

Benutzer/Computer an unterschiedlichen Knoten unter Benutzer & Computer im SafeGuard

Management Center aktiviert werden, werden kumuliert.

Sie können eine allgemeine File Encryption Richtlinie mit Regeln, die für alle Benutzer relevant sind, am Stammverzeichnisknoten und Richtlinien für spezifischere Anforderungen an den einzelnen Unterknoten zuweisen. Alle Regeln aus allen Richtlinien, die

Benutzern/Computern zugewiesen sind, werden kumuliert und treten auf dem Endpoint in

Kraft.

5.3.3.1 Pfadbasierte File Encryption-Richtlinien im RSOP

Wenn für einen Benutzer/Computer mehrere File Encryption Richtlinien gelten, zeigt die

Registerkarte RSOP (Resulting Set of Policies) unter Benutzer & Computer die Summe aller

File Encryption Verschlüsselungsregeln aus allen File Encryption Richtlinien an. Die Regeln werden in der Reihenfolge ihrer Evaluierung auf dem Endpoint-Computer sortiert (siehe

Reihenfolge der Evaluierung von anwendungsbasierten Dateiverschlüsselungsregeln auf

Endpoints

(Seite 167)).

Die Spalte Name der Richtlinie gibt an, woher die einzelnen Regeln stammen.

Für doppelte Regeln wird die zweite (und dritte usw.) Regel mit einem Symbol markiert. Dieses

Symbol bietet auch einen Tooltip, der Sie informiert, das die Regel auf dem Endpoint verworfen wird, da sie ein Duplikat einer Regel mit einer höheren Priorität ist.

166

Administratorhilfe

5.3.4 Reihenfolge der Evaluierung von anwendungsbasierten

Dateiverschlüsselungsregeln auf Endpoints

File Encryption Verschlüsselungsregeln werden auf Endpoints in einer Reihenfolge sortiert, die bewirkt, dass genauer definierte Speicherorte zuerst evaluiert werden.

■ Wenn zwei Regeln mit den gleichen Einstellungen für Pfad und Anwendungsbereich aus Richtlinien stammen, die unterschiedlichen Knoten zugewiesen sind, wird die Regel aus der Richtlinie angewendet, die sich näher am Benutzerobjekt in Benutzer & Computer befindet.

■

Wenn zwei Regeln mit den gleichen Einstellungen für Pfad und Anwendungsbereich aus Richtlinien stammen, die demselben Knoten zugewiesen sind, wird die Regel aus der

Richtlinie mit der höchsten Priorität angewendet.

Absolute Regeln werden vor relativen Regeln evaluiert, zum Beispiel c\encrypt vor encrypt

. Für weitere Informationen, siehe Zusätzliche Informationen für die Konfiguration von Pfaden in pfadbasierten File Encryption-Regeln

(Seite 160).

■

Regeln mit einem Pfad mit mehr Unterverzeichnissen werden vor Regeln mit einem Pfad mit weniger Unterverzeichnissen evaluiert.

Mit UNC definierte Regeln werden vor Regeln mit Laufwerksbuchstabeninformationen evaluiert.

Regeln, bei denen die Option Nur dieser Ordner aktiviert ist, werden vor Regeln ohne diese Option evaluiert.

Regeln mit dem Modus Ignorieren werden vor Regeln mit dem Modus Verschlüsseln oder Ausschließen evaluiert.

Regeln mit dem Modus Ausschließen werden vor Regeln mit dem Modus Verschlüsseln evaluiert.

Wenn bei zwei Regeln die aufgelisteten Kriterien übereinstimmen, werden die Regeln in alphabetischer Reihenfolge evaluiert.

5.3.5 Konflikte bei pfadbasierten File Encryption-Regeln

Da einem Benutzer/Computer mehrere File Encryption Richtlinien zugewiesen werden können, treten u. U. Konflikte auf. Ein Regelkonflikt besteht, wenn die Regeln dieselben Werte für

Pfad, Modus und Unterverzeichnis enthalten, jedoch unterschiedliche Schlüssel. In diesem

Fall gilt die Regel aus der File Encryption Richtlinie mit der höheren Priorität. Die andere

Regel wird verworfen.

5.3.6 Pfadbasierte Dateiverschlüsselung und SafeGuard Data Exchange

Mit SafeGuard Data Exchange lassen sich Daten, die auf mit Endpoint-Computern verbundenen

Wechselmedien gespeichert werden, verschlüsseln und mit anderen Benutzern austauschen.

Für SafeGuard Data Exchange wird dateibasierende Verschlüsselung benutzt.

Wenn sowohl SafeGuard Data Exchange als auch File Encryption (pfadbasierte

Dateiverschlüsselung) auf einem Endpoint installiert ist, kann es vorkommen, dass eine

SafeGuard Data Exchange Verschlüsselungsrichtlinie für ein Laufwerk auf dem Computer definiert ist und gleichzeitig File Encryption Richtlinien für Ordner auf demselben Laufwerk gelten. Ist dies der Fall, so erhält die SafeGuard Data Exchange Richtlinie Vorrang vor den

File Encryption Richtlinien. Neue Dateien werden gemäß der SafeGuard Data Exchange

Richtlinie verschlüsselt.

167

SafeGuard Enterprise

Für weitere Informationen zu SafeGuard Data Exchange, siehe SafeGuard Data Exchange

(Seite 174).

5.4 Cloud Storage

Das SafeGuard Enterprise Modul Cloud Storage bietet dateibasierende Verschlüsselung von in der Cloud gespeicherten Daten.

Das Modul beeinflusst nicht die Art und Weise, wie Benutzer mit in der Cloud gespeicherten

Daten arbeiten. Die Benutzer verwenden weiterhin die anbieterspezifischen

Synchronisationsapplikationen zum Übertragen von Daten an die Cloud und Empfangen von

Daten aus der Cloud. Das Modul Cloud Storage stellt sicher, dass die lokalen Kopien der in der Cloud gespeicherten Daten transparent verschlüsselt werden. Sie werden somit immer in verschlüsselter Form in der Cloud gespeichert.

Für Cloud Storage legen Sie im SafeGuard Management Center Cloud Storage Definitionen an und verwenden diese als Ziel für Richtlinien vom Typ Geräteschutz. Es stehen für mehrere

Cloud Storage Anbieter, zum Beispiel Dropbox oder Egnyte, vordefinierte Cloud Storage

Definitionen zur Verfügung.

Wenn für Endpoints eine Cloud Storage Richtlinie gilt, werden die Dateien in den von der

Richtlinie abgedeckten Speicherorten ohne Benutzerinteraktion transparent verschlüsselt:

■ Verschlüsselte Dateien werden an die Cloud synchronisiert.

■ Aus der Cloud erhaltene verschlüsselte Dateien können wie üblich mit Applikationen modifiziert werden.

Mit SafeGuard Portable kann auf durch Cloud Storage verschlüsselte Dateien auf Endpoints ohne SafeGuard Enterprise Cloud Storage zugegriffen werden. Verschlüsselte Dateien können so auch in diesem Fall gelesen werden.

Hinweis: Cloud Storage verschlüsselt nur neue in der Cloud gespeicherte Daten. Wurden

Daten bereits vor der Installation des Moduls Cloud Storage in der Cloud gespeichert, so werden diese Daten nicht automatisch verschlüsselt. Wenn Sie solche Daten verschlüsseln möchten, müssen Sie sie zunächst aus der Cloud entfernen und dann wieder einfügen.

5.4.1 Anforderungen für Software von Cloud Storage Anbietern

Damit die Verschlüsselung für in der Cloud gespeicherte Daten möglich ist, muss die Software des Cloud Storage Anbieters

■ auf dem Computer, auf dem das Modul Cloud Storage installiert ist, laufen.

■

■ eine Anwendung (oder einen Systemdienst) im lokalen Dateisystem für die Synchronisierung zwischen der Cloud und dem lokalen System enthalten.

die synchronisierten Daten im lokalen Dateisystem speichern.

5.4.2 Anlegen von Cloud Storage Definitionen

Im SafeGuard Management Center stehen für mehrere Cloud Storage Anbieter, zum Beispiel

Dropbox oder Egnyte, vordefinierte Cloud Storage Definitionen zur Verfügung. Sie können die in den vordefinierten Cloud Storage Definitionen festgelegten Pfade nach Ihren

Anforderungen ändern oder eine neue Cloud Storage Definition erstellen und Werte aus der vordefinierten als Grundlage kopieren. Dies ist vor allem dann hilfreich, wenn Sie nur einen

Teil der Daten in der Cloud Storage verschlüsseln möchten. Sie können auch eigene Cloud

Storage Definitionen anlegen.

168

Administratorhilfe

Hinweis: Wenn bestimmte Ordner verschlüsselt werden (zum Beispiel der Dropbox

Installationsordner), bewirkt dies unter Umständen, dass das Betriebssystem oder bestimmte

Anwendungen nicht mehr laufen. Stellen Sie beim Anlegen von Cloud Storage Definitionen für Geräteschutz Richtlinien sicher, dass diese Ordner nicht verschlüsselt werden.

1. Wählen Sie im Richtlinien Navigationsbereich Cloud Storage Definitionen.

2. Klicken Sie im Kontextmenü von Cloud Storage Definitionen auf Neu > Cloud Storage

Definition.

3. Der Neue Cloud Storage Definition Dialog wird angezeigt. Geben Sie einen Namen für die Cloud Storage Definition ein.

4. Klicken Sie auf OK. Die Cloud Storage Definition wird mit dem eingegebenen Namen unter dem Stammknoten Cloud Storage Definitionen im Richtlinien Navigationsbereich angezeigt.

5. Wählen Sie die Cloud Storage Definition aus. Im Arbeitsbereich auf der rechten Seite wird der Inhalt der Cloud Storage Definition angezeigt:

■

Name des Ziels:

Der zu Beginn eingegebene Name. Dieser wird zur Referenzierung der Cloud Storage

Definition als Ziel für eine Richtlinie des Typs Geräteschutz benutzt.

Synchronisierungsapplikation:

■

Geben Sie den Pfad und die Anwendung für die Synchronisierung der Daten mit der

Cloud ein (zum Beispiel: <Desktop>\dropbox\dropbox.exe). Die Applikation muss sich auf einem lokalen Laufwerk befinden.

Synchronisierungsordner:

Geben Sie den/die Ordner ein, der/die mit der Cloud synchronisiert wird/werden. Es werden nur lokale Pfade unterstützt.

Hinweis: Für Pfade in den Einstellungen Synchronisierungsapplikation und

Synchronisierungsordner werden die gleichen Platzhalter wie für File Encryption

unterstützt, siehe Platzhalter für Pfade in pfadbasierten Dateiverschlüsselungsregeln

(Seite 161).

5.4.2.1 Platzhalter für Cloud Storage Anbieter

Als Sicherheitsbeauftragter können Sie Platzhalter für Cloud Storage Anbieter verwenden, um Synchronisierungsapplikationen und Synchronisierungsordner zu definieren. Diese

Platzhalter stehen für unterstützte Cloud Storage Applikationen von Drittanbietern. Mit den

Platzhaltern können Sie eine bestimmte Applikation eines Drittanbieters angeben und denselben Platzhalter zum Verweis auf die Synchronisierungsordner verwenden, die von der

Applikation zur Synchronisierung verwendet werden.

Platzhalter für Cloud Storage Anbieter werden zwischen <!

und !> gesetzt.

Platzhalter Anbieter

Box <!Box!>

Kann in CSD-Einstellung verwendet werden.

Wird aufgelöst in

Synchronisierungsapplikation,

Synchronisierungsordner

Für

Synchronisierungsapplikationen:

Der "Fully qualified"-Pfad der

Synchronisierungsapplikation,

169

SafeGuard Enterprise

Anbieter

Dropbox

Platzhalter

<!Dropbox!>

Kann in CSD-Einstellung verwendet werden.

Wird aufgelöst in die von der Box-Software benutzt wird.

Für

Synchronisierungsordner:

Der "Fully qualified"-Pfad des

Synchronisierungsordners, der von der Box-Software benutzt wird.

Synchronisierungsapplikation,

Synchronisierungsordner

Für

Synchronisierungsapplikationen:

Der "Fully qualified"-Pfad der

Synchronisierungsapplikation, die von der

Dropbox-Software benutzt wird.

Für

Synchronisierungsordner:

Der "Fully qualified"-Pfad des

Synchronisierungsordners, der von der

Dropbox-Software benutzt wird.

Egnyte

Nur Windows

<!Egnyte!> Synchronisierungsapplikation Der "Fully qualified"-Pfad der

Synchronisierungsapplikation, die von der

Egnyte-Software benutzt wird.

<!EgnytePrivate!> Synchronisierungsordner Alle privaten Ordner in der Egnyte Cloud

Storage. Für

Standard-Egnyte-Benutzer ist dies in der Regel ein einzelner Ordner. Für

Egnyte-Administratoren, wird dieser Platzhalter in der Regel in mehrere

Ordner umgesetzt.

<!EgnyteShared!> Synchronisierungsordner Alle freigegebenen

Ordner in der Egnyte

Cloud Storage.

170

Administratorhilfe

Anbieter Platzhalter Kann in CSD-Einstellung verwendet werden.

Wird aufgelöst in

Hinweis:

Änderungen an der Egnyte-Ordnerstruktur (auch das Hinzufügen oder Entfernen von privaten oder freigegebenen Ordnern) werden automatisch erkannt. Die entsprechenden Richtlinien werden automatisch angepasst.

Hinweis: Da sich Egnyte-Synchronisierungsordner im Netzwerk befinden können, können Sie bei der Einstellung Synchronisierungsordner Netzwerkpfade eingeben.

Das SafeGuard Enterprise Cloud Storage Modile verbindet sich daher standardmäßig mit Netzwerkdateisystemen. Wenn dies nicht erforderlich ist, können Sie dieses

Verhalten deaktivieren, indem Sie eine Richtlinie vom Typ Allgemeine Einstellungen definieren und unter Ignorierte Geräte die Option Netzwerk auswählen.

Google Drive <!GoogleDrive!> Synchronisierungsapplikation,

Synchronisierungsordner

Für

Synchronisierungsapplikationen:

Der "Fully qualified"-Pfad der

Synchronisierungsapplikation, die von der Google Drive

Software benutzt wird.

Für

Synchronisierungsordner:

Der "Fully qualified"-Pfad des

Synchronisierungsordners, der von der Google Drive

Software benutzt wird.

OneDrive <!OneDrive!> Synchronisierungsapplikation,

Synchronisierungsordner

Für

Synchronisierungsapplikationen:

Der "Fully qualified"-Pfad der

Synchronisierungsapplikation, die von der

OneDrive-Software benutzt wird.

Für

Synchronisierungsordner:

Der "Fully qualified"-Pfad der

Synchronisierungsordner, die von der

OneDrive-Software benutzt werden.

Hinweis: SafeGuard Enterprise unterstützt keine Microsoft Konten. Unter Windows

8.1 kann OneDrive nur benutzt werden, wenn der Windows Benutzer ein

Domänenbenutzer ist. Unter Windows 8.1 unterstützt SafeGuard Enterprise OneDrive nicht für lokale Benutzer.

171

SafeGuard Enterprise

Anbieter

OneDrive for

Business

Platzhalter Kann in CSD-Einstellung verwendet werden.

Wird aufgelöst in

<!OneDriveForBusiness!> Synchronisierungsapplikation,

Synchronisierungsordner

Für

Synchronisierungsapplikationen:

Der "Fully qualified"-Pfad der

Synchronisierungsapplikation, die von der

OneDrive-Software benutzt wird.

Für

Synchronisierungsordner:

Der "Fully qualified"-Pfad der

Synchronisierungsordner, die von der

OneDrive-Software benutzt werden.

Hinweis: OneDrive for Business unterstützt nur das Speichern von verschlüsselten

Dateien in lokalen Ordnern und ihre Synchronisierung mit der Cloud. Die Speicherung von verschlüsselten Dateien von Microsoft Office 2013 Applikationen direkt in der

OneDrive for Business-Cloud oder direkt am SharePoint Server wird nicht unterstützt.

Diese Dateien werden unverschlüsselt in der Cloud gespeichert.

Von SafeGuard Enterprise in der OneDrive for Business-Cloud verschlüsselte Dateien können nicht von Microsoft Office 365 geöffnet werden.

SkyDrive

Nur Windows

<!SkyDrive!> Synchronisierungsapplikation,

Synchronisierungsordner

Für

Synchronisierungsapplikationen:

Der "Fully qualified"-Pfad der

Synchronisierungsapplikation, die von der

OneDrive-Software benutzt wird.

Für

Synchronisierungsordner:

Der "Fully qualified"-Pfad der

Synchronisierungsordner, die von der

OneDrive-Software benutzt werden.

Da Microsoft SkyDrive auf OneDrive umbenannt hat, ist der <!SkyDrive!>

Platzhalter immer noch verfügbar.

Auf diese Weise können ältere Richtlinien und SafeGuard Enterprise Endpoints vor

Version 7, die den <!OneDrive!> Platzhalter nicht handhaben können, ohne

Änderungen verwendet werden. SafeGuard Enterprise Endpoints Version 7 können beide Platzhalter handhaben.

172

Administratorhilfe

Beispiel

Wenn Sie Dropbox als Cloud Storage Anbieter nutzen, können Sie für die

Synchronisierungsapplikation einfach <!Dropbox!> eingeben. Wenn Sie den

Synchronisierungsordner nicht explizit angeben, wird <!Dropbox!> auch in die Liste mit

Ordnern unter Synchronisierungsordner kopiert.

In diesem Beispiel wird davon ausgegangen, dass

■

Sie die <!Dropbox!> für die Synchronisierungsapplikation und <!Dropbox!>\encrypt für den Synchronisierungsordner in der Cloud Storage Definition verwendet haben,

Dropbox auf dem Endpoint installiert ist

■ Der Benutzer :\dropbox als Ordner, der mit Dropbox synchronisiert werden soll, konfiguriert hat.

Wenn der durch SafeGuard Enterprise geschützte Endpoint eine Richtlinie mit einer solchen

Cloud Storage Definition (CSD) erhält, werden die Platzhalter in der CSD automatisch entsprechend dem Pfad der Dropbox.exe für die Synchronisierungsapplikation umgesetzt.

Außerdem wird die Dropbox-Konfiguration gelesen und die Verschlüsselungsrichtlinie auf den Ordner d:\dropbox\encrypt eingestellt.

5.4.2.2 Exportieren und Importieren von Cloud Storage Definitionen

Als Sicherheitsbeauftragter können Sie Cloud Storage Definitionen exportieren und importieren.

Eine Cloud Storage Definition wird als .xml-Datei exportiert.

■ Um eine Cloud Storage Definition zu exportieren, wählen Sie im Kontextmenü der gewünschten Cloud Storage Definition im Bereich Richtlinie den Befehl Cloud Storage

Definition exportieren.

■ Um eine Cloud Storage Definition zu importieren, wählen Sie im Kontextmenü des Cloud

Storage Definition Knotens im Bereich Richtlinie den Befehl Cloud Storage Definition

importieren.

Beide Befehle sind auch im Menü Aktionen des SafeGuard Management Center verfügbar.

5.4.3 Erstellen einer Geräteschutz-Richtlinie mit dem Ziel Cloud Storage

Die Cloud Storage Definitionen müssen bereits angelegt worden sein. Es stehen für mehrere

Cloud Storage Anbieter, zum Beispiel Dropbox oder Egnyte, vordefinierte Cloud Storage

Definitionen zur Verfügung.

Die Einstellungen für die Verschlüsselung von Cloud Storage Daten legen Sie in einer Richtlinie vom Typ Geräteschutz fest.

1. Erstellen Sie im Richtlinien Navigationsbereich eine neue Richtlinie vom Typ

Geräteschutz.

2. Wählen eine Cloud Storage Definition als Ziel aus.

3. Klicken Sie auf OK. Die neu angelegte Richtlinie wird im Navigationsfenster unter

Richtlinien angezeigt. Im Aktionsbereich werden alle Einstellungen für die Richtlinie vom

Typ Geräteschutzangezeigt. Die Einstellungen können dort geändert werden.

4. Wählen Sie für die Option Verschlüsselungsmodus für Medien die Einstellung

Dateibasierend. Volume-basierende Verschlüsselung wird nicht unterstützt.

173

SafeGuard Enterprise

5. Wählen Sie unter Algorithmus für die Verschlüsselung den Algorithmus, der für die

Verschlüsselung der Daten in den Synchronisierungsordnern, die in der Cloud Storage

Definition definiert sind, verwendet werden soll.

6. Mit den Einstellungen Schlüssel für die Verschlüsselung und Für Verschlüsselung

definierter Schlüssel definieren Sie den Schlüssel oder die Schlüssel, die für die

Verschlüsselung verwendet werden sollen. Für weitere Informationen, siehe

Geräteschutz

(Seite 389).

7. Wenn Sie die Einstellung SafeGuard Portable auf das Ziel kopieren aktivieren, wird

SafeGuard Portable in jeden Synchronisierungsordner kopiert, sobald Inhalte in den Ordner geschrieben werden. SafeGuard Portable ist eine Anwendung, mit der verschlüsselte

Dateien auf Windows-Computern, auf denen SafeGuard Enterprise installiert ist.

Hinweis: Um verschlüsselte Daten, die in der Cloud gespeichert sind, mit Benutzern zu teilen, die SafeGuard Enterprise nicht installiert haben, sollten die Benutzer zum Erzeugen

lokaler Schlüssel berechtigt sein, siehe Lokale Schlüssel (Seite 175).

8. Mit der Option Klartext-Ordner können Sie einen Ordner definieren, der von der

Verschlüsselung ausgeschlossen wird. Daten in Unterordnern des definierten

Klartext-Ordners werden ebenfalls von der Verschlüsselung ausgeschlossen. SafeGuard

Cloud Storage erstellt automatisch leere Klartext-Ordner in allen in der Cloud Storage

Definition definierten Synchronisierungsordnern.

5.4.4 Protokollierung des Dateizugriffs im Cloud-Speicher

Mit der Funktion Berichte im SafeGuard Management Center lässt sich der Dateizugriff im

Cloud-Speicher protokollieren (Datei-Tracking). Für Datei-Tracking spielt es keine Rolle, ob für die Dateien eine Verschlüsselungsrichtlinie gilt.

In einer Richtlinie vom Typ Protokollierung können Sie Folgendes konfigurieren:

■ Protokollierung eines Ereignisses, wenn eine Datei oder ein Verzeichnis auf dem

Wechselmedium erstellt wird.

■

Protokollierung eines Ereignisses, wenn eine Datei oder ein Verzeichnis auf dem

Wechselmedium umbenannt wird.

Protokollierung eines Ereignisses, wenn eine Datei oder ein Verzeichnis auf dem

Wechselmedium gelöscht wird.

Für weitere Informationen, siehe Datei-Tracking-Bericht für Wechselmedien und Cloud-Speicher

(Seite 338).

5.5 SafeGuard Data Exchange

Mit SafeGuard Data Exchange lassen sich Daten, die auf mit Endpoint-Computern verbundenen

Wechselmedien gespeichert werden, verschlüsseln und mit anderen Benutzern austauschen.

Alle Ver- und Entschlüsselungsprozesse laufen transparent und mit minimaler

Benutzerinteraktion ab.

Nur Benutzer, die über die entsprechenden Schlüssel verfügen, können den Inhalt der verschlüsselten Daten lesen. Alle nachfolgenden Verschlüsselungsprozesse laufen transparent.

In der zentralen Administration definieren Sie, wie Daten auf Wechselmedien behandelt werden sollen.

Als Sicherheitsbeauftragter legen Sie die spezifischen Einstellungen in einer Richtlinie vom

Typ Geräteschutz mit Wechselmedien als Ziel des Geräteschutzes fest.

174

Administratorhilfe

Wählen Sie für SafeGuard Data Exchange Dateibasierend als Verschlüsselungsmodus

für Medien.

5.5.1 Gruppenschlüssel

Für den Austausch von verschlüsselten Daten zwischen Benutzern müssen SafeGuard

Enterprise Gruppenschlüssel verwendet werden. Wenn sich der Gruppenschlüssel in den

Schlüsselringen der Benutzer befindet, erhalten diese vollen transparenten Zugriff auf die mit ihren Computern verbundenen Wechselmedien.

Auf Computern ohne SafeGuard Enterprise ist der Zugriff auf verschlüsselte Daten auf

Wechselmedien nicht möglich. Eine Ausnahme ist hier der zentrale definierte

Domänen-/Gruppenschlüssel, der in Verbindung mit der Medien-Passphrase benutzt werden kann.

Hinweis: Um verschlüsselte Daten auf Wechselmedien auch auf/mit Computern ohne

SafeGuard Enterprise zu benutzen/weiterzugeben, können Sie SafeGuard Portable benutzen.

Für SafeGuard Portable ist die Verwendung von lokalen Schlüsseln oder einer

Medien-Passphrase erforderlich.

5.5.2 Lokale Schlüssel

SafeGuard Data Exchange unterstützt die Verschlüsselung mit lokalen Schlüsseln. Lokale

Schlüssel werden auf dem Benutzercomputer erzeugt und können zur Verschlüsselung von

Wechselmedien benutzt werden. Die Schlüssel werden durch Eingabe einer Passphrase erstellt. In der SafeGuard Enterprise Datenbank wird jeweils eine Sicherungskopie des lokalen

Schlüssels erstellt.

Hinweis: Ein Benutzer ist standardmäßig dazu berechtigt, lokale Schlüssel zu erzeugen.

Sollen Benutzer nicht dazu berechtigt sein, so müssen Sie diese Option explizit deaktivieren.

Dies muss in einer Richtlinie vom Typ Geräteschutz mit Lokale Datenträger als Ziel des

Geräteschutzes festgelegt werden (Allgemeine Einstellungen > Benutzer darf einen

lokalen Schlüssel erzeugen > Nein).

Werden lokale Schlüssel zum Verschlüsseln von Dateien auf Wechselmedien verwendet, lassen sich diese Dateien auf einem Computer ohne SafeGuard Data Exchange mit SafeGuard

Portable entschlüsseln. Beim Öffnen der Dateien mit SafeGuard Portable wird der Benutzer dazu aufgefordert, die Passphrase einzugeben, die beim Erzeugen des Schlüssels angegeben wurde. Wenn dem Benutzer die Passphrase bekannt ist, kann er die Datei öffnen.

Mit SafeGuard Portable erhält jeder Benutzer, der die entsprechende Passphrase kennt,

Zugang zu verschlüsselten Dateien auf Wechselmedien. Auf diese Weise ist ein Austausch von verschlüsselten Daten mit Partnern, die SafeGuard Enterprise nicht installiert haben, möglich. Sie benötigen lediglich SafeGuard Portable sowie die Passphrase für die Dateien, auf die sie zugreifen sollen.

Durch Verwendung von verschiedenen lokalen Schlüsseln für die Verschlüsselung von Dateien auf Wechselmedien lässt sich der Zugang zu den Dateien sogar selektiv einschränken. Zum

Beispiel: Sie verschlüsseln die Dateien auf einem USB-Stick mit einem Schlüssel mit der

Passphrase mein_lokalerSchlüssel. Für eine einzelne Datei mit dem Dateinamen

FürPartner.doc verwenden Sie die Passphrase partner_lokalerSchlüssel. Wenn Sie den

USB-Stick nun an einen Partner weitergeben und ihm die Passphrase partner_lokalerSchlüssel mitteilen, hat dieser nur Zugriff auf die Datei FürPartner.doc.

Hinweis: Standardmäßig wird SafeGuard Portable automatisch auf die am System angeschlossenen Wechselmedien kopiert, sobald Inhalte auf die von einer

Verschlüsselungsregel abgedeckten Medien geschrieben werden. Um SafeGuard Portable

175

SafeGuard Enterprise nicht auf die Wechselmedien zu kopieren, deaktivieren Sie die Option SafeGuard Portable

auf das Ziel kopieren in einer Richtlinie vom Typ Geräteschutz.

5.5.3 Medien-Passphrase

SafeGuard Data Exchange ermöglicht es Ihnen festzulegen, dass eine einzige

Medien-Passphrase für alle Wechselmedien - mit Ausnahme von optischen Medien - auf den

Endpoints erstellt werden muss. Die Medien-Passphrase ermöglicht sowohl den Zugriff auf alle zentral definierten Domänen-/Gruppenschlüssel als auch auf alle in SafeGuard Portable verwendeten lokalen Schlüssel. Der Benutzer muss nur eine einzige Passphrase eingeben und erhält Zugriff auf alle verschlüsselten Dateien in SafeGuard Portable. Dabei spielt es keine Rolle, welcher lokale Schlüssel für die Verschlüsselung verwendet wurde.

Auf jedem Endpoint wird automatisch ein einzigartiger Medienverschlüsselungsschlüssel für die Datenverschlüsselung für jedes Medium erstellt. Dieser Schlüssel ist durch die

Medien-Passphrase und einen zentral definierten Domänen-/Gruppenschlüssel gesichert.

Auf einem Computer mit SafeGuard Data Exchange ist es daher nicht notwendig, die

Medien-Passphrase einzugeben, um auf die verschlüsselten Dateien auf Wechselmedien zuzugreifen. Der Zugriff wird automatisch gewährt, wenn sich der entsprechende Schlüssel im Schlüsselring des Benutzers befindet.

Der zu verwendende Domänen-/Gruppenschlüssel muss unter Für Verschlüsselung

definierter Schlüssel festgelegt werden.

Die Medien-Passphrase-Funktionalität steht zur Verfügung, wenn die Option Benutzer darf

eine Medien-Passphrase für Wechselmedien erzeugen in einer Richtlinie vom Typ

Geräteschutz aktiviert ist.

Nach dem Wirksamwerden dieser Einstellung auf dem Endpoint wird der Benutzer automatisch aufgefordert, eine Medien-Passphrase einzugeben, wenn er zum ersten Mal Wechselmedien mit dem Computer verbindet. Die Medien-Passphrase ist auf allen Computern, auf denen sich der Benutzer anmelden darf, gültig. Der Benutzer kann die Medien-Passphrase auch

ändern. In diesem Fall findet automatisch eine Synchronisierung statt, wenn die

Medien-Passphrase auf dem Computer und die Medien-Passphrase der Wechselmedien nicht mehr synchron sind.

Sollte der Benutzer die Medien-Passphrase vergessen, so kann er diese ohne

Helpdesk-Unterstützung wiederherstellen.

Hinweis: Um die Medien-Passphrase zu aktivieren, aktivieren Sie die Option Benutzer darf

eine Medien-Passphrase für Wechselmedien erzeugen in einer Richtlinie vom Typ

Geräteschutz. Diese Einstellung steht nur dann zur Verfügung, wenn Sie als Ziel des

Geräteschutzes die Option Wechselmedien gewählt haben.

5.5.3.1 Medien-Passphrase und Standalone-Endpoints

Auf einem Standalone-Endpoint (d. h. auf einem Endpoint, der nicht zentral verwaltet wird) stehen ohne aktivierte Medien-Passphrase-Funktion nach der Installation keine Schlüssel zur Verfügung, da Standalone-Endpoints nur lokale Schlüssel verwenden. Vor der Benutzung der Verschlüsselung muss der Benutzer einen Schlüssel erzeugen.

Ist die Medien-Passphrase-Funktionalität in einer Wechselmedienrichtlinie für diese Endpoints aktiviert, so wird der Medienverschlüsselungsschlüssel automatisch auf dem Endpoint erzeugt und kann direkt nach Abschluss der Installation für die Verschlüsselung verwendet werden.

Der Schlüssel steht als „vordefinierter“ Schlüssel im Schlüsselring des Benutzers zur Verfügung und wird in Dialogen für die Schlüsselauswahl als <Benutzername> angezeigt.

Falls verfügbar, werden die Medienverschlüsselungsschlüssel auch für alle initialen

Verschlüsselungsvorgänge verwendet.

176

Administratorhilfe

5.5.4 Best Practice

Dieser Abschnitt beschreibt einige typische Anwendungsfälle für SafeGuard Data Exchange und deren Umsetzung durch Erstellen der entsprechenden Richtlinien.

Bob und Alice sind zwei Mitarbeiter des gleichen Unternehmens und haben beide SafeGuard

Data Exchange installiert. Joe ist ein externer Partner. Auf seinem Computer ist SafeGuard

Enterprise nicht installiert.

5.5.4.1 Unternehmensinterne Anwendung

Bob möchte verschlüsselte Daten auf Wechselmedien an Alice weitergeben. Beide gehören derselben Gruppe an und haben daher den entsprechenden Gruppenschlüssel in ihrem

SafeGuard Enterprise Schlüsselring. Da sie den Gruppenschlüssel benutzen, können sie transparent auf die verschlüsselten Dateien zugreifen, ohne eine Passphrase eingeben zu müssen.

Die notwendigen Einstellungen legen Sie in einer Richtlinie vom Typ

Geräteschutz\Wechselmedien fest:

■ Verschlüsselungsmodus für Medien: Dateibasierend

■ Schlüssel für die Verschlüsselung: Definierter Schlüssel aus der Liste

■ Definierter Schlüssel aus der Liste: <Gruppen-/Domänenschlüssel> (z. B.

group_users_Bob_Alice@DC=...), um sicherzustellen, dass beide denselben Schlüssel benutzen

Wenn die Firmenrichtlinien zusätzlich festlegen, dass alle Dateien auf Wechselmedien immer verschlüsselt werden sollen, fügen Sie folgende Einstellungen hinzu:

■ Initialverschlüsselung aller Dateien: Ja

Stellt sicher, dass Dateien auf Wechselmedien verschlüsselt werden, sobald die

Wechselmedien zum ersten Mal mit dem System verbunden werden.

■ Benutzer darf Initialverschlüsselung abbrechen: Nein

Der Benutzer kann die Initialverschlüsselung nicht abbrechen, um sie z. B. zu einem späteren Zeitpunkt durchzuführen.

■ Benutzer darf auf unverschlüsselte Dateien zugreifen: Nein

Werden auf Wechselmedien unverschlüsselte Dateien entdeckt, so wird der Zugriff auf diese Dateien verweigert.

■ Benutzer darf Dateien entschlüsseln: Nein

Der Benutzer darf Dateien auf Wechselmedien nicht entschlüsseln.

■ SafeGuard Portable auf das Ziel kopieren: Nein

Für die gemeinsame Benutzung von Wechselmedien innerhalb der Arbeitsgruppe ist

SafeGuard Portable nicht erforderlich. Außerdem würde SafeGuard Portable das

Entschlüsseln von Dateien auf Computern ohne SafeGuard Enterprise erlauben.

Die Benutzer können Daten einfach durch Austausch von Wechselmedien gemeinsam nutzen.

Wenn sie die Wechselmedien mit ihren Computern verbinden, haben sie transparenten Zugriff auf verschlüsselte Dateien.

177

SafeGuard Enterprise

Hinweis: Dieser Anwendungsfall kann durch Benutzung von SafeGuard Enterprise Device

Encryption umgesetzt werden. Hier ist das gesamte Wechselmedium sektorbasierend verschlüsselt.

5.5.4.2 Anwendung bei Heimarbeit oder für persönlichen Gebrauch auf Dritt-Computern

■ Heimarbeit:

Bob möchte seine verschlüsselten Wechselmedien auf seinem Computer zuhause benutzen, auf dem SafeGuard Enterprise nicht installiert ist. Auf seinem Computer zuhause entschlüsselt Bob Dateien mit SafeGuard Portable. Da für alle seine Wechselmedien eine einzige Medien-Passphrase definiert ist, muss Bob nur SafeGuard Portable öffnen und die Medien-Passphrase eingeben. Danach hat Bob transparenten Zugriff auf alle verschlüsselten Dateien, unabhängig davon, welcher lokale Schüssel für die

Verschlüsselung verwendet wurde.

■ Persönlicher Gebrauch auf Dritt-Computern:

Bob verbindet das Wechselmedium mit Joes (externer Partner) Computer und gibt die

Medien-Passphrase ein, um Zugriff auf die auf dem Medium gespeicherten verschlüsselten

Dateien zu erhalten. Bob kann die Dateien nun - verschlüsselt oder unverschlüsselt - auf

Joes Computer kopieren.

Verhalten auf dem Endpoint:

■ Bob verbindet das Wechselmedium zum ersten Mal mit dem Computer.

■ Der Medienverschlüsselungsschlüssel, der für jedes Medium einzigartig ist, wird automatisch erzeugt.

■ Bob wird aufgefordert, die Medien-Passphrase für die Offline-Nutzung über SafeGuard

Portable einzugeben.

■ Der Benutzer muss nichts über den zu verwendenden Schlüssel oder den Schlüsselring wissen. Der Medienverschlüsselungsschlüssel wird ohne Benutzerinteraktion immer für die Datenverschlüsselung verwendet. Der Medienverschlüsselungsschlüssel ist für den

Benutzer auch nicht sichtbar. Nur der zentral definierte Gruppen-/Domänenschlüssel ist sichtbar.

■ Bob und Alice haben innerhalb der gleichen Gruppe oder Domäne transparenten Zugriff, da sie beide den gleichen Gruppen-/Domänenschlüssel verwenden.

■ Wenn Bob auf verschlüsselte Dateien auf Wechselmedien auf einem Computer ohne

SafeGuard Data Exchange zugreifen möchte, kann er die Medien-Passphrase in SafeGuard

Portable benutzen.

Die notwendigen Einstellungen legen Sie in einer Richtlinie vom Typ

Geräteschutz\Wechselmedien fest:

■ Verschlüsselungsmodus für Medien: Dateibasierend

■ Schlüssel für die Verschlüsselung: Definierter Schlüssel aus der Liste

Definierter Schlüssel aus der Liste: <Gruppen-/Domänenschlüssel> (z. B.

group_users_Bob_Alice@DC=...), um sicherzustellen, dass beide denselben Schlüssel benutzen.

■ Benutzer darf eine Medien-Passphrase für Wechselmedien erzeugen: Ja

178

Administratorhilfe

Der Benutzer definiert eine Medien-Passphrase auf seinem Computer, die für alle seine

Wechselmedien gilt.

■ SafeGuard Portable auf das Ziel kopieren: Ja

SafeGuard Portable gibt dem Benutzer in einem System ohne SafeGuard Data Exchange

Zugriff auf alle verschlüsselten Dateien auf den Wechselmedien durch die Eingabe einer einzigen Medien-Passphrase.

Wenn die Firmenrichtlinien zusätzlich festlegen, dass alle Dateien auf Wechselmedien immer verschlüsselt werden sollen, fügen Sie folgende Einstellungen hinzu:

■ Initialverschlüsselung aller Dateien: Ja

Stellt sicher, dass Dateien auf Wechselmedien verschlüsselt werden, sobald die

Wechselmedien zum ersten Mal mit dem System verbunden werden.

■ Benutzer darf Initialverschlüsselung abbrechen: Nein

Der Benutzer kann die Initialverschlüsselung nicht abbrechen, um sie z. B. zu einem späteren Zeitpunkt durchzuführen.

■ Benutzer darf auf unverschlüsselte Dateien zugreifen: Nein

Werden auf Wechselmedien unverschlüsselte Dateien entdeckt, so wird der Zugriff auf diese Dateien verweigert.

■ Benutzer darf Dateien entschlüsseln: Nein

Der Benutzer darf Dateien auf Wechselmedien nicht entschlüsseln.

Im Büro haben sowohl Bob als auch Alice transparenten Zugriff auf verschlüsselte Dateien auf Wechselmedien. Zuhause oder auf Dritt-Computern können sie verschlüsselte Dateien mit SafeGuard Portable öffnen. Die Benutzer müssen nur die Medien-Passphrase eingeben und erhalten somit Zugriff auf alle verschlüsselten Dateien. Dies ist eine einfache und sichere

Methode für die Verschlüsselung von Daten auf allen Wechselmedien. Ziel dieser Konfiguration ist es, die Benutzerinteraktion auf ein Minimum zu reduzieren und trotzdem jede Datei auf

Wechselmedien zu verschlüsseln und den Benutzern Zugriff auf die verschlüsselten Dateien im Offline-Modus zu geben. Der Benutzer darf Dateien auf Wechselmedien nicht entschlüsseln.

Hinweis: In dieser Konfiguration sind Benutzer nicht dazu berechtigt, lokale Schlüssel zu erzeugen, da dies in diesem Anwendungsfall nicht notwendig ist. Dies muss in einer Richtlinie vom Typ Geräteschutz mit Lokale Datenträger als Ziel des Geräteschutzes festgelegt werden (Allgemeine Einstellungen > Benutzer darf einen lokalen Schlüssel erzeugen >

Nein).

■ SafeGuard Portable auf Wechselmedien kopieren: Nr.

Für die gemeinsame Benutzung von Wechselmedien innerhalb der Arbeitsgruppe ist

SafeGuard Portable nicht erforderlich. Außerdem würde SafeGuard Portable das

Entschlüsseln von Dateien auf Computern ohne SafeGuard Enterprise erlauben.

Im Büro haben die Benutzer transparenten Zugriff auf verschlüsselte Dateien auf

Wechselmedien. Zuhause öffnen sie verschlüsselte Dateien mit SafeGuard Portable. Die

Benutzer müssen nur die Medien-Passphrase eingeben und erhalten somit Zugriff auf alle verschlüsselten Dateien, unabhängig davon, welcher Schlüssel für die Verschlüsselung verwendet wurde.

179

SafeGuard Enterprise

5.5.4.3 Weitergabe von Wechselmedien an externe Partner

Hinweis: Dieses Beispiel gilt nur für Windows Endpoints.

Bob möchte ein verschlüsseltes Medium an Joe (externer Partner) weitergeben, der SafeGuard

Data Exchange nicht installiert hat und daher SafeGuard Portable verwenden muss. Bob möchte Joe jedoch nicht auf alle verschlüsselten Dateien auf dem Wechselmedium Zugriff geben. Er kann hierzu einen lokalen Schlüssel erzeugen und die Dateien mit dem lokalen

Schlüssel verschlüsseln. Joe kann nun mit SafeGuard Portable die verschlüsselten Dateien mit der Passphrase des lokalen Schlüssels öffnen. Bob dagegen kann immer noch die

Medien-Passphrase für den Zugriff auf alle Dateien auf dem Wechselmedium benutzen.

Verhalten auf dem Computer:

■ Bob verbindet das Wechselmedium zum ersten Mal mit dem Computer. Der

Medienverschlüsselungsschlüssel, der für jedes Medium einzigartig ist, wird automatisch erzeugt.

■ Bob wird aufgefordert, die Medien-Passphrase für die Offline-Nutzung einzugeben.

■ Der Medienverschlüsselungsschlüssel wird ohne Benutzerinteraktion für die

Datenverschlüsselung verwendet, aber...

■ Bob kann nun einen lokalen Schlüssel (z. B. mit der Bezeichnung JoeSchlüssel) für die

Verschlüsselung der spezifischen Dateien, die mit Joe ausgetauscht werden sollen, erzeugen oder auswählen.

■ Bob und Alice haben innerhalb der gleichen Gruppe oder Domäne transparenten Zugriff, da sie beide den gleichen Gruppen-/Domänenschlüssel verwenden.

■ Wenn Bob auf verschlüsselte Dateien auf Wechselmedien auf einem Computer ohne

SafeGuard Data Exchange zugreifen möchte, kann er die Medien-Passphrase in SafeGuard

Portable benutzen.

■ Joe kann auf die spezifischen Dateien durch Eingabe der Passphrase des Schlüssels

JoeSchlüssel zugreifen, ohne auf die restlichen Dateien auf dem Wechselmedium zugreifen zu müssen.

Die notwendigen Einstellungen legen Sie in einer Richtlinie vom Typ

Geräteschutz\Wechselmedien fest:

■ Verschlüsselungsmodus für Medien: Dateibasierend

■ Schlüssel für die Verschlüsselung: Beliebiger Schlüssel im Schlüsselring des

Benutzers

Ermöglicht dem Benutzer die Auswahl unterschiedlicher Schlüssel für die Verschlüsselung von Dateien auf Wechselmedien.

Für Verschlüsselung definierter Schlüssel: <Gruppen-/Domänenschlüssel> (z. B.

group_users_Bob_Alice@DC=...), um sicherzustellen, dass beide denselben Schlüssel benutzen und um beiden den transparenten Zugriff auf Wechselmedien zu ermöglichen, wenn sie sie mit ihren Computern im Büro verbinden.

■ Benutzer darf eine Medien-Passphrase für Wechselmedien erzeugen: Ja

Der Benutzer definiert eine Medien-Passphrase auf seinem Computer, die für alle seine

Wechselmedien gilt.

180

Administratorhilfe

■ SafeGuard Portable auf das Ziel kopieren: Ja

SafeGuard Portable gibt dem Benutzer in einem System ohne SafeGuard Data Exchange

Zugriff auf alle verschlüsselten Dateien auf den Wechselmedien durch die Eingabe einer einzigen Medien-Passphrase.

Wenn die Firmenrichtlinien zusätzlich festlegen, dass alle Dateien auf Wechselmedien immer verschlüsselt werden sollen, fügen Sie folgende Einstellungen hinzu:

■ Initialverschlüsselung aller Dateien: Ja

Stellt sicher, dass Dateien auf Wechselmedien verschlüsselt werden, sobald die

Wechselmedien zum ersten Mal mit dem System verbunden werden.

■ Benutzer darf Initialverschlüsselung abbrechen: Nein

Der Benutzer kann die Initialverschlüsselung nicht abbrechen, um sie z. B. zu einem späteren Zeitpunkt durchzuführen.

■ Benutzer darf auf unverschlüsselte Dateien zugreifen: Nein

Werden auf Wechselmedien unverschlüsselte Dateien entdeckt, so wird der Zugriff auf diese Dateien verweigert.

■ Benutzer darf Dateien entschlüsseln: Nein

Der Benutzer darf Dateien auf Wechselmedien nicht entschlüsseln.

Im Büro haben sowohl Bob als auch Alice transparenten Zugriff auf verschlüsselte Dateien auf Wechselmedien. Zuhause können sie verschlüsselte Dateien mit SafeGuard Portable durch Eingabe der Medien-Passphrase öffnen. Wenn Bob oder Alice die Wechselmedien an einen Dritt-Computer weitergeben möchten, auf dem SafeGuard Data Exchange nicht installiert ist, können sie mit lokalen Schlüsseln sicherstellen, dass externe Partner nur auf einige spezifische Dateien zugreifen können. Dies ist eine erweiterte Konfiguration, die durch die

Möglichkeit, lokale Schlüssel auf den Computern zu erzeugen, ein höheres Maß an

Benutzerinteraktion umfasst.

Hinweis: Voraussetzung für diesen Beispielanwendungsfall ist es, dass der Benutzer dazu berechtigt ist, lokale Schlüssel zu erzeugen (Standardeinstellung in SafeGuard Enterprise).

5.5.5 Konfigurieren von vertrauenswürdigen und ignorierten Anwendungen für SafeGuard Data Exchange

Sie können Anwendungen als vertrauenswürdig definieren, um ihnen Zugriff auf verschlüsselte

Dateien zu geben. Dies ist zum Beispiel notwendig, damit Antivirus-Software verschlüsselte

Dateien überprüfen kann.

Sie können Anwendungen als ignoriert definieren, um sie von der transparenten

Dateiverschlüsselung/Dateientschlüsselung auszuschließen. Wenn Sie zum Beispiel ein

Backup-Programm als ignorierte Anwendung definieren, bleiben die vom Programm gesicherten verschlüsselten Daten verschlüsselt.

Hinweis: Untergeordnete Prozesse werden nicht als vertrauenswürdig/ignoriert eingestuft.

1. Legen Sie im Richtlinien Navigationsbereich einen neue Richtlinie vom Typ Allgemeine

Einstellungen an oder wählen Sie eine vorhandene aus.

2. Klicken Sie unter Dateiverschlüsselung auf die Dropdown-Schaltfläche der Felder

Vertrauenswürdige Anwendungen oder Ignorierte Anwendungen.

181

SafeGuard Enterprise

3. Geben Sie im Editor-Listenfeld die Anwendungen ein, die Sie als vertrauenswürdig/ignoriert definieren möchten.

■

Sie können mehrere vertrauenswürdige/ignorierte Anwendungen in einer Richtlinie definieren. Jede Zeile im Editor-Listenfeld definiert jeweils eine Anwendung.

Anwendungsnamen müssen auf .exe enden.

■ Anwendungsnamen müssen als Fully Qualified Paths mit Laufwerk/Verzeichnis definiert werden. Es reicht nicht aus, nur den Dateinamen einzugeben (zum Beispiel

"beispiel.exe"). Aus Gründen der Benutzerfreundlichkeit zeigt die Einzelzeilenansicht der Anwendungsliste nur die Dateinamen getrennt durch Strichpunkte.

4. Speichern Sie Ihre Änderungen.

Hinweis: Die Richtlinieneinstellungen Vertrauenswürdige Anwendungen und Ignorierte

Anwendungen sind Computereinstellungen. Die Richtlinie muss daher Computern, nicht

Benutzern, zugewiesen werden. Andernfalls werden die Einstellungen nicht wirksam.

5.5.6 Konfigurieren von ignorierten Geräten für SafeGuard Data Exchange

Sie können Geräte als ignoriert definieren, um sie von der Dateiverschlüsselung auszuschließen. Sie können nur vollständige Geräte ausschließen.

1. Legen Sie im Richtlinien Navigationsbereich einen neue Richtlinie vom Typ Allgemeine

Einstellungen an oder wählen Sie eine vorhandene aus.

2. Klicken Sie unter Dateiverschlüsselung auf die Dropdown-Schaltfläche des Felds

Ignorierte Geräte.

3. Geben Sie die entsprechenden Gerätenamen ein, um spezifische Geräte von der

Verschlüsselung auszuschließen. Dies ist zum Beispiel nützlich, wenn Sie Systeme von

Dritt-Anbietern ausschließen müssen.

Hinweis: Sie können die Namen der derzeit im System benutzten Geräte mit Tools von

Dritt-Anbietern (z. B. OSR Device Tree) anzeigen lassen. SafeGuard Enterprise protokolliert alle Geräte, mit denen eine Verbindung hergestellt wird. Mit Hilfe von Registry Keys können

Sie eine Liste von verbundenen und ignorierten Geräten aufrufen.

5.5.6.1 Anzeigen von verbundenen und ignorierten Geräten für die SafeGuard Data

Exchange Konfiguration

Als Hilfestellung für die Definition von ignorierten Geräten können Sie mit Registry Keys ermitteln, welche Geräte für die Verschlüsselung in Betracht gezogen werden (verbundene

Geräte) und welche Geräte derzeit ignoriert werden. Die Liste mit ignorierten Geräten enthält nur Geräte, die tatsächlich auf dem Computer verfügbar sind und ignoriert werden. Wird ein

Gerät in einer Richtlinie als ignoriert definiert und das Gerät ist nicht verfügbar, so wird das

Gerät auch nicht aufgelistet.

Benutzen Sie folgende Registry Keys, um verbundene und ignorierte Geräte zu ermitteln:

■ HKLM\System\CurrentControlSet\Control\Utimaco\SGLCENC\Log\AttachedDevices

■ HKLM\System\CurrentControlSet\Control\Utimaco\SGLCENC\Log\IgnoredDevices

182

Administratorhilfe

5.5.7 Konfigurieren der persistenten Verschlüsselung für SafeGuard Data

Exchange

Der Inhalt von mit SafeGuard Data Exchange verschlüsselten Dateien wird jeweils direkt entschlüsselt, wenn der Benutzer den erforderlichen Schlüssel hat. Wenn der Inhalt in einer neuen Datei an einem Ablageort gespeichert wird, für den keine Verschlüsselungsregel gilt, bleibt die resultierende neue Datei unverschlüsselt.

Mit persistenter Verschlüsselung bleiben Kopien von verschlüsselten Dateien auch dann verschlüsselt, wenn sie an einem Speicherort abgelegt werden, für den keine

Verschlüsselungsregel gilt.

Hinweis:

■

Wenn Dateien an ein ignoriertes Gerät oder in einen Ordner kopiert oder verschoben werden, für den eine Richtlinie mit dem Modus für die Verschlüsselung Ignorieren gilt, hat die Einstellung Persistente Verschlüsselung aktivieren keine Auswirkungen.

Kopiervorgänge werden anhand des Dateinamens erkannt. Wenn ein Benutzer eine verschlüsselte Datei mit Speichern unter unter einem anderen Dateinamen an einem

Speicherort speichert, für den keine Verschlüsselungsregel gilt, ist die Datei unverschlüsselt.

5.5.8 Protokollierung des Dateizugriffs auf Wechselmedien

Mit der Funktion Berichte des SafeGuard Management Center lässt sich der Dateizugriff auf

Wechselmedien protokollieren (Datei-Tracking). Für Datei-Tracking spielt es keine Rolle, ob für Dateien auf Wechselmedien eine Verschlüsselungsrichtlinie gilt.

In einer Richtlinie vom Typ Protokollierung können Sie Folgendes konfigurieren:

■ Protokollierung eines Ereignisses, wenn eine Datei oder ein Verzeichnis auf dem

Wechselmedium angelegt wird.

■

Protokollierung eines Ereignisses, wenn eine Datei oder ein Verzeichnis auf dem

Wechselmedium umbenannt wird.

Protokollierung eines Ereignisses, wenn eine Datei oder ein Verzeichnis vom

Wechselmedium gelöscht wird.

Für weitere Informationen, siehe Datei-Tracking-Bericht für Wechselmedien und Cloud-Speicher

(Seite 338).

5.5.9 SafeGuard Data Exchange und File Encryption

Das SafeGuard Enterprise Modul File Encryption bietet dateibasierende Verschlüsselung im

Netzwerk, speziell für Arbeitsgruppen bei Netzwerkfreigaben.

Wenn sowohl SafeGuard Data Exchange als auch File Encryption auf einem Endpoint installiert ist, kann es vorkommen, dass eine SafeGuard Data Exchange Verschlüsselungsrichtlinie für ein Laufwerk auf dem Computer definiert ist und gleichzeitig File Encryption Richtlinien für

Ordner auf demselben Laufwerk gelten. Ist dies der Fall, so erhält die SafeGuard Data

Exchange Richtlinie Vorrang vor den File Encryption Richtlinien. Neue Dateien werden gemäß der SafeGuard Data Exchange Richtlinie verschlüsselt.

Weitere Informationen finden Sie unter Pfadbasierte Dateiverschlüsselung (Seite 157).

183

SafeGuard Enterprise

5.6 SafeGuard Full Disk Encryption

SafeGuard Full Disk Encryption mit SafeGuard Power-on Authentication (POA) ist das Sophos

Modul zur Verschlüsselung von Laufwerken auf Endpoints. Es wird mit einer von Sophos entwickelten Pre-Boot Authentication namens SafeGuard Power-on Authentication (POA) geliefert, die Anmeldeoptionen wie Smartcard und Fingerabdruck sowie einen

Challenge/Response Mechanismus für die Wiederherstellung unterstützt.

Dateien werden transparent verschlüsselt. Wenn Benutzer Dateien öffnen, bearbeiten und speichern, werden sie nicht zur Ver- oder Entschlüsselung aufgefordert. Full Disk Encryption kann volume- oder dateibasierend durchgeführt werden, mit unterschiedlichen Schlüsseln und Algorithmen.

Als Sicherheitsbeauftragter legen Sie die Einstellungen für die Verschlüsselung in einer

Sicherheitsrichtlinie vom Typ Geräteschutz fest. Für weitere Informationen, siehe Mit

Richtlinien arbeiten

(Seite 91) und

Geräteschutz (Seite 389).

Hinweis: SafeGuard Full Disk Encryption ist nur für Endpoints mit Windows 7 (BIOS) verfügbar. Wenn Sie Windows 7 UEFI oder eine neuere Version von Windows verwenden, nutzen Sie die integrierte Windows BitLocker Drive Encryption-Funktionalität. Nähere

Informationen finden Sie unter

BitLocker-Laufwerkverschlüsselung (Seite 145).

5.6.1 Volume-basierende Festplattenverschlüsselung

Mit der volume-basierenden Festplattenverschlüsselung werden alle Daten auf einem Volume

(einschließlich Boot-Dateien, Pagefiles, Hibernation Files, temporäre Dateien,

Verzeichnisinformationen usw.) verschlüsselt. Benutzer müssen sich in ihrer Arbeitsweise nicht anpassen oder auf Sicherheit achten.

Um volume-basierende Verschlüsselung auf Endpoints anzuwenden, erstellen Sie eine

Richtlinie vom Typ Geräteschutz und wählen Sie bei Verschlüsselungsmodus für Medien

die Einstellung Volume-basierend. Für weitere Informationen, siehe Geräteschutz (Seite

389).

Hinweis:

■ Die Volume-basierende Verschlüsselung/Entschlüsselung wird für Laufwerke ohne

Laufwerksbuchstaben nicht unterstützt.

■

Wenn für ein Volume oder einen Volume-Typ eine Verschlüsselungsrichtlinie existiert und die Verschlüsselung des Volumes schlägt fehl, darf der Benutzer nicht auf das Volume zugreifen.

Endpoints können während der Verschlüsselung/Entschlüsselung heruntergefahren und neu gestartet werden.

Wenn auf die Entschlüsselung die Deinstallation folgt, empfehlen wir, den Endpoint nicht in einen Energiesparmodus oder den Ruhezustand zu versetzen.

■ Wenn nach der volume-basierenden Verschlüsselung eine Richtlinie auf einen

Endpoint-Computer angewendet wird, die die Entschlüsselung erlaubt, ist Folgendes zu beachten: Nach einer vollständigen volume-basierenden Verschlüsselung muss der

Endpoint-Computer mindestens einmal neu gestartet werden, bevor die Entschlüsselung gestartet werden kann.

Hinweis: Im Gegensatz zur SafeGuard BitLocker Drive Encryption unterstützt die

Volume-basierende SafeGuard-Verschlüsselung keine GUID Partition Table (GPT) Disks.

Die Installation wird abgebrochen, wenn eine solche Disk gefunden wird. Wenn dem System später eine GPT Disk hinzugefügt wird, werden Volumes auf der Disk verschlüsselt. Beachten

184

Administratorhilfe

Sie, dass die SafeGuard Recovery-Tools – wie z. B. BE_Restore.exe und recoverkeys.exe

– mit solchen Volumes nicht zurechtkommen. Sophos empfiehlt dringend, eine Verschlüsselung von GPT Disks zu vermeiden. Zum Entschlüsseln von Volumes, die unbeabsichtigt verschlüsselt wurden, ändern Sie Ihre SafeGuard Enterprise Richtlinien entsprechend und ermöglichen Sie dem Benutzer die Entschlüsselung.

5.6.1.1 Volume-basierende Verschlüsselung und die Windows 7 Systempartition

Für Windows 7 Professional, Enterprise und Ultimate wird auf den Endpoints eine

Systempartition angelegt, der kein Laufwerksbuchstabe zugeordnet ist. Diese System-Partition kann nicht von SafeGuard Enterprise verschlüsselt werden.

5.6.1.2 Schnelle Initialverschlüsselung

SafeGuard Enterprise bietet die schnelle Initialverschlüsselung als Spezialmodus für die volume-basierende Verschlüsselung. Dieser Modus reduziert den Zeitraum, der für die initiale

Verschlüsselung (oder die endgültige Entschlüsselung) von Volumes auf Endpoints benötigt wird. Dies wird dadurch erreicht, dass nur auf den Festplattenspeicherplatz zugegriffen wird, der tatsächlich in Gebrauch ist.

Für die schnelle Initialverschlüsselung gelten folgende Voraussetzungen:

■ Die schnelle Initialverschlüsselung funktioniert nur auf NTFS-formatierten Volumes.

■ Bei NTFS-formatierten Volumes mit einer Cluster-Größe von 64 KB kann die schnelle

Initialverschlüsselung nicht angewendet werden.

Hinweis: Dieser Modus kann zu einem unsichereren Zustand führen, wenn eine Platte vor der Verwendung mit SafeGuard Enterprise bereits in Gebrauch war. Nicht verwendete Sektoren können noch Daten enthalten. Daher ist die schnelle Initialverschlüsselung standardmäßig deaktiviert.

Um die schnelle Initialverschlüsselung zu aktivieren, wählen Sie die Einstellung Schnelle

Initialverschlüsselung in einer Richtlinie vom Typ Geräteschutz.

Hinweis: Für die Entschlüsselung eines Volumes wird unabhängig von der gewählten

Richtlinieneinstellung immer die schnelle Initialverschlüsselung verwendet. Für die

Entschlüsselung gelten ebenfalls die angegebenen Einschränkungen.

5.6.1.3 Volume-basierende Verschlüsselung und Unidentified File System Objects

Unidentified File System Objects sind Volumes, die von SafeGuard Enterprise nicht eindeutig als verschlüsselt oder unverschlüsselt identifiziert werden können. Existiert für ein Unidentified

File System Object eine Verschlüsselungsrichtlinie, so wird der Zugriff auf das Volume verweigert. Existiert keine Verschlüsselungsrichtlinie, so kann der Benutzer auf das Volume zugreifen.

Hinweis: Existiert für ein Unidentified File System Object eine Verschlüsselungsrichtlinie, bei der die Richtlinieneinstellung Schlüssel für die Verschlüsselung auf eine Option eingestellt ist, die die Schlüsselauswahl ermöglicht (z. B. Beliebiger Schlüssel im

Schlüsselring des Benutzers), so entsteht zwischen der Anzeige des

Schlüsselauswahldialogs und der Verweigerung des Zugriffs auf das Volume eine zeitliche

Lücke. Während dieser Zeit kann auf das Volume zugegriffen werden. So lange der

Schlüsselauswahldialog nicht vom Benutzer bestätigt wird, besteht Zugriff auf das Volume.

Um dies zu vermeiden, geben Sie einen vorausgewählten Schlüssel für die Verschlüsselung an. Für weitere Informationen zu den relevanten Richtlinieneinstellungen, siehe

Geräteschutz

(Seite 389). Diese zeitliche Lücke entsteht auch dann für mit dem Endpoint verbundene

Unidentified File System Objects, wenn der Benutzer zu dem Zeitpunkt, an dem die

185

SafeGuard Enterprise

Verschlüsselungsrichtlinie wirksam wird, bereits Dateien auf dem Volume geöffnet hat. In diesem Fall, kann nicht gewährleistet werden, dass der Zugriff auf das Volume verweigert wird, da dies zu Datenverlust führen könnte.

5.6.1.4 Verschlüsselung von Volumes mit aktivierter Autorun-Funktionalität

Wenn Sie auf Volumes, für die die Autorun-Funktionalität aktiviert ist, eine

Verschlüsselungsrichtlinie anwenden, so können folgende Probleme auftreten:

■ Das Volume wird nicht verschlüsselt.

■ Wenn es sich um ein Unidentified File System Object handelt, wird der Zugriff nicht verweigert.

5.6.1.5 Dateibasierende Festplattenverschlüsselung

Die dateibasierende Verschlüsselung stellt sicher, dass alle Daten verschlüsselt sind (außer

Boot Medium und Verzeichnisinformationen). Mit dateibasierender Verschlüsselung lassen sich auch optische Medien wie CD/DVD verschlüsseln. Außerdem können Daten mit

Fremdrechnern, auf denen SafeGuard Enterprise nicht installiert ist, ausgetauscht werden

(soweit von der Richtlinie erlaubt), siehe SafeGuard Data Exchange (Seite 174).

Hinweis: Boot-Volumes werden niemals dateibasierend verschlüsselt. Sie sind automatisch von einer dateibasierenden Verschlüsselung ausgenommen, auch wenn eine entsprechende

Regel definiert ist.

Hinweis: Daten, die mit dateibasierender Verschlüsselung verschlüsselt sind, können nicht komprimiert werden. Umgekehrt können auch komprimierte Dateien nicht dateibasierend verschlüsselt werden.

Um dateibasierende Verschlüsselung auf Endpoints anzuwenden, erstellen Sie eine Richtlinie vom Typ Geräteschutz und wählen Sie bei Verschlüsselungsmodus für Medien die

Einstellung Dateibasierend.

5.6.1.5.1 Standardverhalten beim Speichern von Dateien

Da sich Anwendungen beim Speichern von Dateien unterschiedlich verhalten, bietet SafeGuard

Enterprise zwei Verfahren für das Behandeln von verschlüsselten Dateien, die geändert wurden.

Wurde eine Datei mit einem anderen Schlüssel als dem Standardschlüssel des Volumes verschlüsselt und Sie bearbeiten und speichern die Datei, so würde man erwarten, dass der

Verschlüsselungsschlüssel beibehalten wird. Es wurde ja eine Datei bearbeitet, keine neue erstellt. Viele Anwendungen speichern jedoch Dateien, indem sie eine Kombination aus

Speichern-, Löschen- und Umbenennen-Vorgängen ausführen (z. B. Microsoft Office). Ist dies der Fall, so verwendet SafeGuard Enterprise in der Standardeinstellung den

Standardschlüssel für diesen Verschlüsselungsvorgang und ändert somit den für die

Verschlüsselung verwendeten Schlüssel.

Wenn Sie dieses Verhalten ändern und den für die Verschlüsselung verwendeten Schlüssel in jedem Fall beibehalten möchten, können Sie einen Registry Key auf dem Endpoint ändern.

Um den zuvor verwendeten Schlüssel beim Speichern von geänderten Dateien beizubehalten:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\UTIMACO\SGLCENC]

"ActivateEncryptionTunneling"=dword:00000001

186

Administratorhilfe

So kehren Sie zur Standardeinstellung zurück, die die Verwendung eines anderen Schlüssels

(Standardschlüssel) beim Speichern von geänderten Dateien zulässt:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\UTIMACO\SGLCENC]

"ActivateEncryptionTunneling"=dword:00000000

Hinweis: Änderungen an dieser Einstellung werden erst nach einem Neustart des Endpoint wirksam.

5.6.2 SafeGuard Enterprise Power-on Authentication (POA)

Hinweis: Diese Beschreibung gilt für Windows 7 Endpoints mit SafeGuard

Festplattenverschlüsselung.

SafeGuard Enterprise identifiziert den Benutzer bereits, bevor das Betriebssystem startet.

Hierbei startet vorher ein SafeGuard Enterprise eigener Systemkern. Dieser ist gegen

Modifikationen geschützt und versteckt auf der Festplatte gespeichert. Erst wenn sich der

Benutzer in der SafeGuard POA korrekt authentisiert hat, wird das Betriebssystem (Windows) von der verschlüsselten Partition aus gestartet. Die Anmeldung an Windows erfolgt später automatisch. Analog wird verfahren, wenn sich ein Endpoint im Ruhezustand (Hibernation,

Suspend to Disk) befindet und wieder eingeschaltet wird.

Die SafeGuard Power-on Authentication bietet unter anderem folgende Vorteile:

■ Grafische Benutzeroberfläche, mit Mausunterstützung und verschiebbaren Fenstern, und damit einfache, übersichtliche Bedienung.

■ Vom Firmenkunden per Richtlinie anpassbares grafisches Layout (Hintergrundbild,

Anmeldebild, Willkommensmeldung etc.).

■ Unterstützung für eine Reihe von Smartcard-Lesegeräten und Smartcards.

187

SafeGuard Enterprise

■ Unterstützung von Windows-Benutzerkonten und Kennwörtern bereits zum Pre-Boot

Zeitpunkt, keine separaten Zugangsdaten mehr, die sich der Benutzer merken muss.

■ Unterstützung von Unicode und damit auch fremdsprachigen Kennwörtern bzw.

Benutzeroberflächen.

5.6.2.1 Ablauf der Anmeldung

SafeGuard Enterprise arbeitet mit zertifikatsbasierter Anmeldung. Deswegen benötigt ein

Benutzer zur erfolgreichen Anmeldung in der SafeGuard Power-on Authentication Schlüssel und Zertifikate. Benutzerspezifische Schlüssel und Zertifikate werden jedoch erst nach einer erfolgreichen Windows-Anmeldung erzeugt. Nur Benutzer, die sich erfolgreich an Windows angemeldet haben, können sich später auch in der SafeGuard Power-on Authentication authentisieren.

Um den Ablauf der Anmeldung eines Benutzers in SafeGuard Enterprise zu verdeutlichen, im Folgenden eine kurze Einführung. Eine detaillierte Beschreibung der SafeGuard

POA-Anmeldevorgänge finden Sie in der SafeGuard Enterprise Benutzerhilfe.

SafeGuard Autologon

Nach dem Neustart erscheint bei der ersten Anmeldung am Endpoint der SafeGuard Enterprise

Autologon.

Was passiert?

1. Ein Autouser wird angemeldet.

2. Der Computer registriert sich automatisch am SafeGuard Enterprise Server.

3. Der Maschinenschlüssel wird an den SafeGuard Enterprise Server geschickt und in der

SafeGuard Enterprise Datenbank abgelegt.

4. Die Maschinenrichtlinien werden an den Endpoint geschickt.

Anmeldung an Windows

Der Windows-Anmeldedialog wird angezeigt. Der Benutzer meldet sich an.

Was passiert?

1. Benutzername und ein Hash-Wert der Benutzerdaten werden an den Server geschickt.

2. Benutzerrichtlinien, Zertifikate und Schlüssel werden erzeugt und an den Endpoint geschickt.

3. Die SafeGuard POA wird aktiviert.

SafeGuard POA-Anmeldung

Nach dem Neustart des Endpoint erscheint die SafeGuard POA.

Was passiert?

1. Zertifikate und Schlüssel für den Benutzer sind vorhanden, und er kann sich in der

SafeGuard POA anmelden.

188

Administratorhilfe

2. Alle Daten sind sicher mit dem öffentlichen RSA Schlüssel des Benutzers verschlüsselt.

3. Alle weiteren Benutzer, die sich anmelden wollen, müssen erst in die SafeGuard POA importiert werden.

5.6.2.1.1 Anmeldeverzögerung

Auf einem durch SafeGuard Enterprise geschützten Endpoint tritt eine Anmeldeverzögerung in Kraft, wenn ein Benutzer während der Anmeldung an Windows oder an die SafeGuard

Power-on Authentication falsche Anmeldeinformationen eingibt. Mit jedem fehlgeschlagenen

Anmeldeversuch verlängert sich jeweils die Anmeldeverzögerung. Nach einer fehlgeschlagenen

Anmeldung erscheint ein Dialog, der die verbleibende Verzögerungszeit anzeigt.

Hinweis: Wenn ein Benutzer während der Anmeldung mit Token eine falsche PIN eingibt, tritt keine Anmeldeverzögerung ein.

Sie können die Anzahl an erlaubten Anmeldeversuchen in einer Richtlinie vom Typ

Authentisierung über die Option Maximalanzahl von erfolglosen Anmeldeversuchen festlegen. Wenn die Maximalanzahl an erfolglosen Anmeldeversuchen erreicht ist, wird der

Endpoint gesperrt. Um eine Computersperre aufzuheben, kann der Benutzer ein

Challenge/Response-Verfahren starten.

5.6.2.2 Registrieren weiterer SafeGuard Enterprise-Benutzer

Der erste Benutzer, der sich in Windows anmeldet, ist automatisch in der SafeGuard POA registriert. Zunächst kann sich kein weiterer Windows-Benutzer in der SafeGuard POA anmelden.

Weitere Benutzer müssen mit Hilfe des ersten Benutzers importiert werden. Eine detaillierte

Beschreibung zum Importieren weiterer Benutzer finden Sie in der SafeGuard Enterprise

Benutzerhilfe.

Eine Richtlinieneinstellung legt fest, wer einen neuen Benutzer importieren darf. Sie finden diese Richtlinie im SafeGuard Management Center unter

Richtlinien

■ Typ: Spezifische Computereinstellungen

■ Feld: Registrieren von neuen SGN-Benutzern erlauben

Standardeinstellung: Besitzer

Wer der Besitzer eines Endpoint ist, wird im SafeGuard Management Center festgelegt unter

Benutzer und Computer

■ <Endpoint-Name> markieren

■ Registerkarte Benutzer

5.6.2.3 Benutzertypen

Es gibt verschiedene Benutzertypen in SafeGuard Enterprise. Weitere Informationen darüber, wie das Standardverhalten dieser Benutzertypen geändert werden kann, finden Sie unter

Richtlinientypen und ihre Anwendungsfelder (Seite 365).

■ Besitzer: Der Benutzer, der sich als erster nach der Installation von SafeGuard Enterprise an einem Endpoint anmeldet, wird nicht nur als SGN-Benutzer eingetragen, sondern auch als Besitzer dieses Endpoints. Sofern die Standardeinstellungen nicht geändert wurden,

189

SafeGuard Enterprise kann der Besitzer es anderen Benutzern ermöglichen, sich an dem Endpoint anzumelden und SGN-Benutzer zu werden.

■ SGN-Benutzer: Ein „vollwertiger“ SGN-Benutzer kann sich bei der SafeGuard Power-on

Authentication anmelden, wird der UMA (User Machine Assignment - Benutzer-Computer

Zuordnung) hinzugefügt und erhält ein Benutzerzertifikat und einen Schlüsselring für den

Zugriff auf verschlüsselte Daten.

■ SGN Windows-Benutzer: Ein SGN Windows-Benutzer wird nicht zur SafeGuard POA hinzugefügt, verfügt jedoch über einen Schlüsselring, mit dem er wie ein SGN-Benutzer auf verschlüsselte Dateien zugreifen kann. Er wird auch zur UMA hinzugefügt, d. h. er darf sich auf diesem Endpoint bei Windows anmelden.

■ SGN-Gastbenutzer: SGN-Gastbenutzer werden nicht zur UMA hinzugefügt, erhalten keine Berechtigungen zum Anmelden an der SafeGuard POA, bekommen kein Zertifikat und keinen Schlüsselring zugewiesen und werden nicht in der Datenbank gespeichert.

Unter

Spezifische Computereinstellungen - Grundeinstellungen

(Seite 395) finden Sie

Informationen darüber, wie verhindert wird, dass sich SGN-Gastbenutzer bei Windows anmelden.

■ Service Account: Mit Service Accounts können sich Benutzer (z. B. Mitarbeiter des

IT-Teams, Rollout-Beauftragte) nach der Installation von SafeGuard Enterprise an Endpoints anmelden, ohne die SafeGuard POA zu aktivieren und ohne dass sie als SGN-Benutzer

(Besitzer) zu den Endpoints hinzugefügt werden. Benutzer, die in eine Service Account-Liste aufgenommen wurden, werden nach ihrer Windows-Anmeldung am Endpoint als

SGN-Gastbenutzer behandelt.

■ POA-Benutzer: Nach Aktivierung der POA ist es unter Umständen noch erforderlich, administrative Aufgaben auszuführen. POA-Benutzer sind vordefinierte lokale Konten, die die POA absolvieren dürfen. Eine automatische Anmeldung an Windows erfolgt nicht. Die

Benutzer müssen sich an Windows mit ihren vorhandenen Windows-Benutzerkonten anmelden. Diese Benutzerkonten werden im Bereich Benutzer & Computer des SafeGuard

Management Center definiert (Benutzername und Kennwort) und werden dem Endpoint

in POA-Gruppen zugewiesen. Für weitere Informationen, siehe POA-Benutzer für die

Anmeldung an der SafeGuard POA

(Seite 201).

5.6.2.4 Konfigurieren der SafeGuard Power-on Authentication

Der SafeGuard POA-Dialog besteht aus folgenden Komponenten:

■ Anmeldebild

■ Dialogtexte

■ Sprache des Tastaturlayouts

Das Erscheinungsbild des SafeGuard POA-Dialogs können Sie über Richtlinieneinstellungen im SafeGuard Management Center an Ihre jeweiligen Anforderungen anpassen.

5.6.2.4.1 Hintergrund- und Anmeldebild

In der Standardeinstellung werden Bilder im SafeGuard-Design als Hintergrund- und

Anmeldebild angezeigt. Es ist jedoch möglich, andere Bilder anzuzeigen, z. B. ein Firmenlogo.

Hintergrund- und Anmeldebilder werden über eine Richtlinie vom Typ Allgemeine

Einstellungen festgelegt.

190

Administratorhilfe

Hintergrund- und Anmeldebilder müssen bestimmten Anforderungen entsprechen, damit sie in SafeGuard Enterprise verwendet werden können:

Hintergrundbild in der POA

Maximale Dateigröße für alle Hintergrundbilder: 500 KB

SafeGuard Enterprise unterstützt für Hintergrundbilder zwei Varianten:

■ 1024x768 (VESA-Modus)

Farben: keine Einschränkung

Richtlinie vom Typ Allgemeine Einstellungen, Option Hintergrundbild in der POA.

■ 640 x 480 (VGA-Modus)

Farben: 16

Richtlinie vom Typ Allgemeine Einstellungen, Option Hintergrundbild in der POA

(niedrige Auflösung)

Anmeldebild

Maximale Dateigröße für alle Anmeldebilder: 100 KB

SafeGuard Enterprise unterstützt für Anmeldebilder zwei Varianten:

■ 413x140

Farben: keine Einschränkung

Richtlinie vom Typ Allgemeine Einstellungen, Option Anmeldebild in der POA

■ 413x140

Farben: 16

Richtlinie vom Typ Allgemeine Einstellungen, Option Anmeldebild in der POA (niedrige

Auflösung)

Bilder müssen zunächst als Dateien (BMP, PNG, JPG) erstellt werden und können dann im

Navigationsbereich registriert werden.

5.6.2.4.1.1 Registrieren von Bildern

1. Klicken Sie im Richtlinien Navigationsbereich mit der rechten Maustaste auf Bilder und wählen Sie Neu > Bild.

2. Geben Sie unter Bildname einen Namen für das Bild ein.

3. Wählen Sie über die Schaltfläche [...] das zuvor erstellte Bild aus.

4. Klicken Sie auf OK.

Das neue Bild wird als Unterknoten des Eintrags Bilder im Richtlinien-Navigationsbereich angezeigt. Ist ein Bild markiert, wird es im Aktionsbereich angezeigt. Das Bild kann jetzt beim

Erstellen von Richtlinien ausgewählt werden.

Sie können so weitere Bilder registrieren. Alle registrierten Bilder werden als Unterknoten angezeigt.

Hinweis: Mit der Schaltfläche Bild ändern können Sie das zugeordnete Bild austauschen.

191

SafeGuard Enterprise

5.6.2.4.2 Benutzerdefinierter Informationstext in der SafeGuard POA

Sie können in der SafeGuard POA folgende benutzerdefinierte Informationstexte anzeigen lassen:

■ Infotext beim Starten eines Challenge/Response-Verfahrens zur Hilfe bei der Anmeldung

(z. B.: “Bitte rufen Sie Ihren Support unter der Telefonnummer 01234-56789 an.”).

Mit der Option Texte in einer Richtlinie des Typs Allgemeine Einstellungen können Sie einen Informationstext definieren.

■ Rechtliche Hinweise, die nach der Anmeldung an der SafeGuard POA angezeigt werden.

Mit der Option Text für rechtliche Hinweise in einer Richtlinie des Typs Spezifische

Computereinstellungen können Sie einen Text für rechtliche Hinweise definieren.

■ Text mit zusätzlichen Informationen, der nach der Anmeldung an der SafeGuard POA angezeigt werden soll.

Mit der Option Text für zusätzliche Informationen in einer Richtlinie des Typs Spezifische

Computereinstellungen können Sie einen Text für zusätzliche Informationen definieren.

5.6.2.4.2.1 Registrieren von Informationstexten

Die Textdateien mit den gewünschten Informationen müssen erstellt werden, bevor sie im

SafeGuard Management Center registriert werden können. Die maximale Dateigröße für

Informationstexte beträgt 50 KB. SafeGuard Enterprise verwendet nur Unicode UTF-16 kodierte Texte. Wenn Sie die Textdateien nicht in diesem Format erstellen, werden sie bei der Registrierung automatisch in dieses Format konvertiert. Bei der Verwendung von

Sonderzeichen in den Informationstexten für die SafeGuard POA sollte vorsichtig vorgegangen werden. Einige dieser Zeichen werden u. U. nicht korrekt dargestellt.

So registrieren Sie Informationstexte:

1. Klicken Sie im Richtlinien Navigationsbereich mit der rechten Maustaste auf Texte und wählen Sie Neu > Text.

2. Geben Sie unter Textelementname einen Namen für den anzeigenden Text ein.

3. Klicken Sie auf [...] um einen zuvor erstellten Text auszuwählen. Wenn eine Konvertierung notwendig ist, wird eine entsprechende Meldung angezeigt.

4. Klicken Sie auf OK.

Das neue Textelement wird als Unterknoten des Eintrags Texte im

Richtlinien-Navigationsbereich angezeigt. Ist ein Textelement markiert, wird sein Inhalt im

Aktionsbereich auf der rechten Seite angezeigt. Das Textelement kann jetzt beim Erstellen von Richtlinien ausgewählt werden.

Um weitere Textelemente zu registrieren, gehen Sie wie beschrieben vor. Alle registrierten

Textelemente werden als Unterknoten angezeigt.

Hinweis: Mit der Schaltfläche Text ändern können Sie weiteren Text zum bestehenden Text hinzufügen. Wenn Sie auf diese Schaltfläche klicken, wird ein Dialog geöffnet, in dem eine weitere Textdatei ausgewählt werden kann. Der in dieser Datei enthaltene Text wird am Ende des bestehenden Textes eingefügt.

5.6.2.4.3 Sprache der SafeGuard POA-Dialogtexte

Alle Texte in der SafeGuard POA werden nach der Installation der SafeGuard Enterprise

Verschlüsselungssoftware mit den Standardeinstellungen in der Sprache angezeigt, die bei der Installation von SafeGuard Enterprise in den Regions- und Sprachoptionen von Windows als Standardsprache am Endpoint eingestellt ist.

192

Administratorhilfe

Sie können die Sprache der SafeGuard POA-Dialogtexte nach der Installation von SafeGuard

Enterprise mit einer der beide folgenden Methoden umstellen:

■ Ändern Sie die Standardsprache in den Windows Regions- und Sprachoptionen auf dem

Endpoint. Nachdem der Benutzer den Endpoint zweimal neu gestartet hat, ist die neue

Spracheinstellung in der SafeGuard POA aktiv.

■ Erstellen Sie eine Richtlinie des Typs Allgemeine Einstellungen, legen Sie die Sprache im Feld Sprache am Client fest und übertragen Sie die Richtlinie auf den Endpoint.

Hinweis: Wenn Sie eine Richtlinie erstellen und sie an den Endpoint übertragen, gilt die in der Richtlinie festgelegte Sprache anstelle der in den Windows Regions- und Sprachoptionen angegebenen Sprache.

5.6.2.4.4 Tastaturlayout

Beinahe jedes Land hat ein eigenes Tastaturlayout. In der SafeGuard POA macht sich das

Tastaturlayout bei der Eingabe von Benutzernamen, Kennwort und Response Code bemerkbar.

SafeGuard Enterprise übernimmt standardmäßig das Tastaturlayout in die SafeGuard POA, das zum Zeitpunkt der Installation in den Regions- und Sprachoptionen von Windows gesetzt ist. Ist unter Windows „Deutsch“ als Tastaturlayout gesetzt, wird in der SafeGuard POA das deutsche Tastaturlayout verwendet.

Die Sprache des verwendeten Tastaturlayouts wird in der SafeGuard POA angezeigt, z. B.

„EN“ für Englisch. Neben dem Standard-Tastaturlayout kann das US-Tastaturlayout (Englisch) gewählt werden.

Es gibt bestimmte Ausnahmefälle:

■ Das Tastaturlayout wird zwar unterstützt, aufgrund fehlender Schriften (z. B. bei Bulgarisch) werden im Feld Benutzername aber nur Sonderzeichen angezeigt.

■ Es ist kein spezielles Tastaturlayout verfügbar (z. B. Dominikanische Republik). In solchen

Fällen greift die SafeGuard POA auf das Original-Tastaturlayout zurück. Für die

Dominikanische Republik ist dies „Spanisch“.

■ Wenn Benutzername oder Kennwort aus Zeichen bestehen, die vom ausgewählten

Tastaturlayout oder dem Original-Tastaturlayout nicht unterstützt werden, kann sich der

Benutzer nicht an der SafeGuard POA anmelden.

Hinweis: Alle nicht unterstützten Tastaturlayouts verwenden standardmäßig das

US-Tastaturlayout. Das bedeutet, dass auch nur Zeichen erkannt und eingegeben werden können, die im US-Tastaturlayout unterstützt werden. Benutzer können sich demnach nur an der SafeGuard POA anmelden, wenn ihre Benutzernamen und Kennwörter sich aus Zeichen zusammensetzen, die vom US-Tastaturlayout oder dem entsprechenden Original-Layout unterstützt werden.

Virtuelle Tastatur

SafeGuard Enterprise bietet die Möglichkeit, in der SafeGuard POA eine virtuelle Tastatur anzeigen zu lassen. Der Benutzer kann dann z. B. Anmeldeinformationen durch Klick auf die am Bildschirm angezeigten Tasten eingeben.

Als Sicherheitsbeauftragter können Sie die Anzeige der virtuellen Tastatur in einer Richtlinie vom Typ Spezifische Computereinstellungen über die Option Virtuelle Tastatur in der

POA aktivieren/deaktivieren.

193

SafeGuard Enterprise

Die Unterstützung der virtuellen Tastatur muss über eine Richtlinieneinstellung aktiviert/deaktiviert werden.

Für die virtuelle Tastatur werden verschiedene Layouts angeboten und das Layout kann mit den gleichen Einstellungen wie das normale Tastaturlayout geändert werden.

5.6.2.4.4.1 Ändern des Tastaturlayouts

Das normale einschließlich des virtuellen Tastaturlayouts der SafeGuard Power-on

Authentication kann nachträglich geändert werden.

1. Wählen Sie Start > Systemsteuerung > Regions- und Sprachoptionen > Erweitert.

2. Wählen Sie auf der Registerkarte Regionale Einstellungen die gewünschte Sprache aus.

3. Wählen Sie dann auf der Registerkarte Erweitert unter Standardeinstellungen für

Benutzerkonten die Option Alle Einstellungen auf das aktuelle Benutzerkonto und

Standardbenutzerprofil anwenden.

4. Klicken Sie auf OK.

Die SafeGuard POA merkt sich das bei der letzten erfolgreichen Anmeldung verwendete

Tastaturlayout und aktiviert dieses beim nächsten Anmelden automatisch. Hierzu sind zwei

Neustarts des Endpoint notwendig. Wenn dieses gemerkte Tastaturlayout über die Regions-

und Sprachoptionen abgewählt wird, bleibt es dem Anwender noch so lange erhalten, bis er eine andere Sprache ausgewählt hat.

Hinweis: Zusätzlich ist es notwendig, die Sprache des Tastatur-Layouts für andere, nicht-Unicode-Programme, zu ändern.

Falls die gewünschte Sprache nicht auf dem Endpoint vorhanden ist, werden Sie von Windows evtl. aufgefordert, die Sprache zu installieren. Danach müssen Sie den Endpoint zweimal neu starten, damit das neue Tastaturlayout von der SafeGuard Power-on Authentication eingelesen und dann auch über diese eingestellt werden kann.

Sie können das gewünschte Tastaturlayout der SafeGuard Power-on Authentication mit der

Maus oder mit der Tastatur (Alt+Shift) ändern.

Sie können über Start > Ausführen > regedit > HKEY_USERS\.DEFAULT\Keyboard

Layout\Preload einsehen, welche Sprachen auf dem System installiert und damit verfügbar sind.

5.6.2.5 In der SafeGuard Power-on Authentication unterstützte Hotkeys

Bestimmte Hardware-Einstellungen und -Funktionalitäten können Probleme beim Starten des

Endpoint verursachen, die dazu führen, dass der Rechner im Startvorgang hängen bleibt.

Die SafeGuard Power-on Authentication unterstützt eine Reihe von Hotkeys, mit denen sich

Hardware-Einstellungen und Funktionalitäten modifizieren lassen. Darüber hinaus sind in die auf dem Endpoint zu installierende .MSI-Datei Grey Lists und Black Lists integriert, die

Funktionen abdecken, von denen ein solches Problemverhalten bekannt ist.

Wir empfehlen, vor jeder größer angelegten SafeGuard Enterprise Installation die aktuelle

Version der SafeGuard POA-Konfigurationsdatei zu installieren. Die Datei wird monatlich aktualisiert und steht im Sophos Knowledgebase-Artikel 65700 zum Download bereit.

Sie können diese Datei anpassen, um die Hardware einer spezifischen Umgebung abzudecken.

Hinweis: Wenn Sie eine angepasste Datei definieren, wird nur diese verwendet, nicht die in der .msi-Datei integrierte Datei. Die Standarddatei wird nur angewendet, wenn keine SafeGuard

POA-Konfigurationsdatei definiert ist oder keine gefunden wird.

Um die SafeGuard POA-Konfigurationsdatei zu installieren, geben Sie folgenden Befehl ein:

194

Administratorhilfe

MSIEXEC /i <Client-MSI-Paket> POACFG=<Pfad der SafeGuard

POA-Konfigurationsdatei>

Sie können uns bei der Optimierung der Hardware-Kompatibilität unterstützen, indem Sie ein von uns zur Verfügung gestelltes Tool ausführen. Dieses Tool liefert ausschließlich

Hardware-relevante Informationen. Das Tool ist einfach zu bedienen. Die gesammelten

Informationen werden zur Hardware-Konfigurationsdatei hinzugefügt.

Weitere Informationen finden Sie im Sophos Knowledgebase-Artikel 110285 .

Die folgenden Hotkeys werden in der SafeGuard POA unterstützt:

■ Shift F3 = USB Legacy Unterstützung (An/Aus)

■ Shift F4 = VESA Grafikmodus (Aus/An)

■ Shift F5 = USB 1.x und 2.0 Unterstützung (Aus/An)

■ Shift F6 = ATA Controller (Aus/An)

■ Shift F7 = nur USB 2.0 Unterstützung (Aus/An)

USB 1.x Unterstützung bleibt wie über Shift F5 gesetzt.

■ Shift F9 = ACPI/APIC (Aus/An)

USB Hotkeys Abhängigkeitsmatrix

Shift F3 aus an aus an aus an aus an

Shift F5 an an aus aus aus aus an an

Shift F7 an an an an aus aus aus aus

Legacy an an an aus an aus an an

USB 1.x

an an aus aus an an aus aus

USB 2.0

aus aus aus aus an an aus aus

Anmerkung

Standard

1., 2.

1. Shift F5 deaktiviert sowohl die Unterstützung von USB 1.x als auch von USB 2.0.

Hinweis: Wenn Sie Shift F5 drücken, reduziert sich die Wartezeit bis zum Starten der

SafeGuard POA erheblich. Beachten Sie jedoch, dass bei Benutzung einer USB-Tastatur oder einer USB-Maus am betreffenden Computer diese Geräte durch Drücken von Shift

F5 möglicherweise deaktiviert werden.

2. Wenn die USB-Unterstützung nicht aktiviert ist, versucht die SafeGuard POA, BIOS SMM zu benutzen anstatt den USB-Controller zu sichern und wiederherzustellen. Der

Legacy-Modus kann in diesem Szenario funktionieren.

195

SafeGuard Enterprise

3. Die Legacy-Unterstützung ist aktiviert, die USB-Unterstützung ist aktiviert. Die SafeGuard

POA versucht, den USB-Controller zu sichern und wiederherzustellen. Der Computer kann sich je nach eingesetzter BIOS-Version aufhängen.

Es besteht die Möglichkeit, Änderungen, die über Hotkeys vorgenommen werden können, bei der Installation der SafeGuard Enterprise Verschlüsselungssoftware über eine mst Datei bereits vorzudefinieren. Verwenden Sie dazu den entsprechenden Aufruf in Verbindung mit msiexec.

NOVESA

NOLEGACY

ALTERNATE:

NOATA

ACPIAPIC

Bestimmt, ob VESA- oder VGA-Modus verwendet wird: 0 = VESA-Modus

(Standard), 1 = VGA-Modus

Bestimmt, ob nach der SafeGuard POA-Anmeldung Legacy-Unterstützung aktiviert ist: 0 = Legacy-Unterstützung aktiviert, 1 = Legacy-Unterstützung nicht aktiviert

(Standard)

Bestimmt, ob USB-Geräte von der SafeGuard POA unterstützt werden: 0 =

USB-Unterstützung ist aktiviert (Standard), 1 = keine USB-Unterstützung

Bestimmt, ob der int13-Gerätetreiber verwendet wird: 0 =

Standard-ATA-Gerätetreiber (Standard), 1 = Int13-Gerätetreiber

Bestimmt, ob ACPI/APIC-Unterstützung verwendet wird: 0 = keine

ACPI/APIC-Unterstützung (Standard), 1 = ACPI/APIC-Unterstützung aktiv

5.6.2.6 Deaktivierte SafeGuard POA und Lenovo Rescue and Recovery

Sollte auf dem Computer die SafeGuard Power-on Authentication deaktiviert sein, so sollte zum Schutz vor dem Zugriff auf verschlüsselte Dateien aus der Rescue and Recovery

Umgebung heraus die Rescue and Recovery Authentisierung eingeschaltet sein.

Detaillierte Informationen zur Aktivierung der Rescue and Recovery Authentisierung finden

Sie in der Lenovo Rescue and Recovery Dokumentation.

5.6.3 Administrative Zugangsoptionen für Endpoints

Hinweis: Die folgenden Beschreibungen beziehen sich auf Windows Endpoints, die mit

SafeGuard Enterprise mit SafeGuard Power-on Authentication geschützt sind.

Um es Benutzern zu ermöglichen, sich nach der Installation von SafeGuard Enterprise zur

Durchführung von administrativen Aufgaben an Endpoints anzumelden, bietet SafeGuard

Enterprise zwei verschiedene Benutzerkontotypen.

■ Service Accounts für die Windows-Anmeldung

Mit Service Accounts können sich Benutzer (z. B. Rollout-Beauftragte, Mitglieder des

IT-Teams) nach der Installation von SafeGuard Enterprise an Endpoints anmelden

(Windows-Anmeldung), ohne die SafeGuard Power-on Authentication zu aktivieren. Die

Benutzer werden auch nicht als SafeGuard Enterprise Benutzer zum Endpoint hinzugefügt.

Service Account Listen werden im Bereich Richtlinien des SafeGuard Management Center angelegt und über Richtlinien den Endpoints zugewiesen. Benutzer, die in eine Service

Account Liste aufgenommen wurden, werden bei der Anmeldung am Endpoint als

Gastbenutzer behandelt.

196

Administratorhilfe

Hinweis: Service Account Listen werden den Endpoints über Richtlinien zugewiesen. Sie sollten bereits im ersten SafeGuard Enterprise Konfigurationspaket, das Sie für die

Konfiguration der Endpoints erstellen, enthalten sein.

Für weitere Informationen, siehe

Service Account Listen für die Windows-Anmeldung

(Seite 197).

■ POA-Benutzer für die Anmeldung an der SafeGuard POA

POA-Benutzer sind vordefinierte lokale Benutzerkonten, die es Benutzern (z. B. Mitgliedern des IT-Teams) ermöglichen, sich nach der Aktivierung der SafeGuard POA an Endpoints zur Ausführung administrativer Aufgaben anzumelden (SafeGuard POA-Anmeldung).

Diese Benutzerkonten werden im Bereich Benutzer & Computer des SafeGuard

Management Center definiert (Benutzername und Kennwort) und werden den Endpoints

über POA-Gruppen in Konfigurationspaketen zugewiesen.

Für weitere Informationen, siehe POA-Benutzer für die Anmeldung an der SafeGuard POA

(Seite 201).

5.6.4 Service Account Listen für die Windows-Anmeldung

Hinweis: Service Accounts werden nur von Windows Endpoints unterstützt, die von SafeGuard

Enterprise mit SafeGuard Power-on Authentication geschützt werden.

Bei den meisten Implementationen von SafeGuard Enterprise installiert zunächst ein

Rollout-Team neue Computer in einer Umgebung. Danach folgt die Installation von SafeGuard

Enterprise. Zu Installations- und Prüfungszwecken meldet sich der Rollout-Beauftragte dann am jeweiligen Computer an, bevor der Endbenutzer diesen erhält und die Möglichkeit hat, die SafeGuard Power-on Authentication zu aktivieren.

So ergibt sich folgendes Szenario:

1. SafeGuard Enterprise wird auf einem Endpoint installiert.

2. Nach dem Neustart des Endpoint meldet sich der Rollout-Beauftragte an.

3. Der Rollout-Beauftragte wird zur SafeGuard POA hinzugefügt und die POA wird aktiv. Der

Rollout-Benutzer wird Besitzer des Endpoint.

Wenn der Endbenutzer den Endpoint erhält, kann er sich nicht an der SafeGuard POA anmelden. Er muss ein Challenge/Response-Verfahren durchführen.

Um zu verhindern, dass administrative Vorgänge auf einem durch SafeGuard Enterprise geschützten Endpoint bewirken, dass die SafeGuard Power-on Authentication aktiviert wird und Rollout-Beauftragte als Benutzer zum Endpoint hinzugefügt werden, ermöglicht SafeGuard

Enterprise das Anlegen von Listen mit Service Accounts. Die in den Listen enthaltenen

Benutzer werden dadurch als SafeGuard Enterprise Gastbenutzer behandelt

Mit Service Accounts ergibt sich folgendes Szenario:

1. SafeGuard Enterprise wird auf einem Endpoint installiert.

2. Der Endpoint wird neu gestartet und ein Rollout-Beauftragter, der in einer Service Account

Liste aufgeführt ist, meldet sich an.

3. Gemäß der auf den Computer angewendeten Service Account Liste wird der Benutzer als

Service Account erkannt und als Gastbenutzer behandelt.

Der Rollout-Beauftragte wird nicht zur SafeGuard POA hinzugefügt und die POA wird nicht aktiviert. Der Rollout-Beauftragte wird nicht Besitzer des Endpoint. Der Endbenutzer kann sich anmelden und die SafeGuard POA aktivieren.

197

SafeGuard Enterprise

Hinweis: Service Account Listen werden den Endpoints über Richtlinien zugewiesen. Sie sollten bereits im ersten SafeGuard Enterprise Konfigurationspaket, das Sie für die

Konfiguration der Endpoints erstellen, enthalten sein.

5.6.4.1 Anlegen von Service Account Listen und Hinzufügen von Benutzern

1. Klicken Sie im Navigationsbereich auf Richtlinien.

2. Markieren Sie im Richtlinien-Navigationsbereich den Eintrag Service Account Listen.

3. Klicken Sie im Kontextmenü von Service Account Listen auf Neu > Service Account

Liste.

4. Geben Sie einen Namen für die Service Account Liste ein und klicken Sie auf OK.

5. Markieren Sie die neue Liste unter Service Account Listen im

Richtlinien-Navigationsfenster.

6. Klicken Sie im Arbeitsbereich mit der rechten Maustaste, um das Kontextmenü für die

Service Account Liste zu öffnen. Wählen Sie Hinzufügen im Kontextmenü.

Eine neue Benutzerzeile wird hinzugefügt.

7. Geben Sie den Benutzernamen und den Domänennamen in den entsprechenden Spalten ein und drücken Sie Enter. Um weitere Benutzer hinzuzufügen, wiederholen Sie diesen

Schritt.

8. Speichern Sie Ihre Änderungen, indem Sie auf das Speichern Symbol in der Symbolleiste klicken.

Die Service Account Liste ist registriert und kann beim Anlegen einer Richtlinie ausgewählt werden.

5.6.4.2 Zusätzliche Informationen zur Eingabe von Benutzer- und Domänennamen

Für die Definition von Benutzern in Service Account Listen in den beiden Feldern

Benutzername und Domänenname gibt es unterschiedliche Vorgehensweisen. Darüber hinaus gelten für die Eingabewerte in diesen Feldern bestimmte Einschränkungen.

Verschiedene Anmeldekombinationen abdecken

Durch die beiden separaten Felder Benutzername und Domänenname pro Listeneintrag lassen sich alle möglichen Anmeldekombinationen (z. B. „Benutzer@Domäne oder

„Domäne\Benutzer“) abdecken.

Um mehrere Kombinationen aus Benutzername und Domänenname anzugeben, können Sie

Asterisken (*) als Platzhalter verwenden. Ein * ist als erstes Zeichen, als letztes Zeichen und als einziges Zeichen zulässig.

Zum Beispiel:

■ Benutzername: Administrator

■ Domänenname: *

Mit dieser Kombination geben Sie alle Benutzer mit dem Benutzernamen „Administrator“ an, die sich an einem Netzwerk oder an einer beliebigen lokalen Maschine anmelden.

Der vordefinierte Domänenname [LOCALHOST], der in der Dropdownliste des Felds

Domänenname zur Verfügung steht, steht für die Anmeldung an einem beliebigen lokalen

Computer.

198

Administratorhilfe

Zum Beispiel:

■ Benutzername: "Admin*"

■ Domänenname: [LOCALHOST]

Mit dieser Kombination geben Sie alle Benutzer an, deren Benutzernamen mit Admin beginnen und die sich an einer beliebigen lokalen Maschine anmelden.

Benutzer können sich auf verschiedene Art und Weise anmelden.

Zum Beispiel:

■ Benutzer: test, Domäne: mycompany

■ Benutzer: test, Domäne: mycompany.com.

Da Domänenangaben in Service Account Listen nicht automatisch aufgelöst werden, gibt es drei mögliche Methoden für das korrekte Angeben der Domäne:

■ Sie wissen genau, wie sich der Benutzer anmelden wird, und geben die Domäne entsprechend exakt ein.

■ Sie erstellen mehrere Einträge in der Service Account Liste.

■ Sie verwenden Platzhalter, um alle unterschiedlichen Fälle abzudecken (Benutzer: test,

Domäne: mycompany*).

Hinweis: Windows verwendet möglicherweise nicht dieselbe Zeichenfolge und kürzt Namen ab. Um dadurch entstehende Probleme zu vermeiden, empfehlen wir, den FullQualifiedName und den Netbios-Namen einzugeben oder Platzhalter zu verwenden.

Einschränkungen

Asterisken sind nur als erstes, letztes und einziges Zeichen zulässig. Beispiele für gültige und ungültige Zeichenfolgen:

■ Gültige Zeichenfolgen sind z. B.: Admin*, *, *strator, *minis*.

■ Ungültige Zeichenfolgen sind z. B.: **, Admin*trator, Ad*minst*.

Darüber hinaus gelten folgende Einschränkungen:

■ Das Zeichen ? ist in Benutzernamen nicht zulässig.

■ Die Zeichen / \ [ ] : ; | = , + * ? < > " sind in Domänennamen nicht zulässig.

5.6.4.3 Bearbeiten und Löschen von Service Account Listen

Als Sicherheitsbeauftragter mit der Berechtigung Service Account Listen ändern können

Sie Service Account Listen jederzeit bearbeiten oder löschen:

■ Um eine Service Account Liste zu bearbeiten, klicken Sie auf der Liste im

Richtlinien-Navigationsfenster. Die Service Account Liste wird im Aktionsbereich geöffnet und Sie können Benutzernamen zufügen, löschen oder ändern.

■ Um eine Service Account Liste zu löschen, wählen Sie die Liste im

Richtlinien-Navigationsfenster aus, öffnen Sie das Kontextmenü und wählen Sie Löschen.

199

SafeGuard Enterprise

5.6.4.4 Zuweisen einer Service Account Liste in einer Richtlinie

1. Legen Sie eine Richtlinie vom Typ Authentisierung an oder wählen Sie eine bereits vorhandene aus.

2. Wählen Sie unter Anmeldeoptionen die gewünschte Service Account Liste aus der

Dropdownliste des Felds Service Account Liste aus.

Hinweis: Die Standardeinstellung dieses Felds ist [Keine Liste], d. h. es gilt keine Service

Account Liste. Rollout-Beauftragte, die sich nach der Installation von SafeGuard Enterprise an dem Endpoint anmelden, werden somit nicht als Gastbenutzer behandelt und können die SafeGuard Power-on Authentication aktivieren sowie zum Endpoint hinzugefügt werden.

Um die Zuweisung einer Service Account Liste rückgängig zu machen, wählen Sie die

Option [Keine Liste].

3. Speichern Sie Ihre Änderungen, indem Sie auf das Speichern Symbol in der Symbolleiste klicken.

Sie können die Richtlinie nun an die Endpoints übertragen, um die Service Accounts auf den

Endpoints zur Verfügung zu stellen.

Hinweis: Wenn Sie unterschiedliche Service Account Listen in verschiedenen Richtlinien auswählen, die alle nach dem RSOP (Resulting Set of Policies, die für einen bestimmten

Computer/eine bestimmte Gruppe geltenden Einstellungen) relevant sind, setzt die Service

Account Liste in der zuletzt angewandten Richtlinie alle zuvor zugewiesenen Service Account

Listen außer Kraft. Service Account Listen werden nicht zusammengeführt. Um das RSOP unter Benutzer & Computer einzusehen, brauchen Sie zumindest das Zugriffsrecht

Schreibgeschützt für die relevanten Objekte.

5.6.4.5 Übertragen der Richtlinie an den Endpoint

Service Account Listen sind während der Installation in der Rollout-Phase einer Implementation besonders hilfreich und wichtig. Es wird daher empfohlen, die Service Account Einstellungen unmittelbar nach der Installation an den Endpoint zu übertragen. Um die Service Account

Liste zu diesem Zeitpunkt auf dem Endpoint zur Verfügung zu stellen, nehmen Sie in das erste Konfigurationspaket, das Sie zur Konfiguration des Endpoint nach der Installation erstellen, eine Richtlinie vom Typ Authentisierung mit den entsprechenden Einstellungen auf.

Sie können die Einstellungen für die Service Account Liste jederzeit ändern, eine neue

Richtlinie erstellen und diese an die Endpoints übertragen.

5.6.4.6 Anmeldung auf einem Endpoint mit einem Service Account

Bei der ersten Windows-Anmeldung nach dem Neustart des Endpoint meldet sich ein Benutzer, der auf einer Service Account Liste aufgeführt ist, an dem Endpoint als SafeGuard Enterprise

Gastbenutzer an. Diese erste Windows-Anmeldung an diesem Endpoint löst weder eine ausstehende Aktivierung der SafeGuard Power-on Authentication aus, noch wird durch die

Anmeldung der Benutzer zum Endpoint hinzugefügt. Das SafeGuard Enterprise System Tray

Icon zeigt in diesem Fall auch nicht den Balloon Tool Tip „Initialer Benutzerabgleich abgeschlossen“ an.

Anzeige des Service Account Status auf dem Endpoint

Der Gastbenutzer-Anmeldestatus wird auch über das System Tray Icon angezeigt. Weitere

Informationen zum System Tray Icon finden Sie in der SafeGuard Enterprise Benutzerhilfe,

200

Administratorhilfe

Kapitel System Tray Icon und Balloon-Ausgabe (Beschreibung des SGN-Benutzerstatus

Felds).

5.6.4.7 Protokollierte Ereignisse für Service Account Listen

Die in Zusammenhang mit Service Account Listen durchgeführten Aktionen werden über die folgenden Ereignisse protokolliert:

SafeGuard Management Center

■ Service Account Liste <Name> angelegt.

■

Service Account Liste <Name> geändert.

Service Account Liste <Name> gelöscht.

Durch SafeGuard Enterprise geschützte Endpoints

■ Windows-Benutzer <Domäne/Benutzer> hat sich um <Zeit> an Maschine

<Domäne/Computer> als SGN Service Account angemeldet.

■

Neue Service Account Liste importiert.

Service Account Liste <Name> gelöscht.

5.6.5 POA-Benutzer für die Anmeldung an der SafeGuard POA

Hinweis: POA-Benutzer werden nur von Windows Endpoints unterstützt, die von SafeGuard

Enterprise mit SafeGuard Power-on Authentication geschützt werden.

Nach der Installation von SafeGuard Enterprise und der Aktivierung der SafeGuard Power-on

Authentication (POA), kann der Zugang zu Endpoints für administrative Aufgaben notwendig sein. Mit POA-Benutzern können sich Benutzer (z. B. Mitglieder des IT-Teams) zur

Durchführung von administrativen Aufgaben an der SafeGuard Power-on Authentication anmelden, ohne ein Challenge/Response-Verfahren durchführen zu müssen. Eine automatische Anmeldung an Windows erfolgt nicht. Die Benutzer müssen sich an Windows mit ihren vorhandenen Windows-Benutzerkonten anmelden.

Sie können POA-Benutzer anlegen, diese in POA-Gruppen gruppieren und die Gruppen den

Endpoints zuweisen. Die Benutzer, die in der POA-Gruppe enthalten sind, werden zur

SafeGuard POA hinzugefügt und können sich mit Ihrem vordefinierten Benutzernamen und

Kennwort an der POA anmelden.

Hinweis: Für die Verwaltung von POA-Benutzern und POA-Gruppen benötigen Sie das

Zugriffsrecht Voller Zugriff für den POA Knoten unter Benutzer & Computer.

5.6.5.1 Erstellen von POA-Benutzern

Für das Erstellen von POA-Benutzern und POA-Gruppen benötigen Sie das Zugriffsrecht

Voller Zugriff für den POA Knoten unter Benutzer & Computer.

1. Klicken Sie im Navigationsbereich des SafeGuard Management Center auf Benutzer &

Computer.

2. Wählen Sie im Benutzer & Computer Navigationsfenster unter POA den Knoten

POA-Benutzer.

3. Klicken Sie im POA-Benutzer Kontextmenü auf Neu > Neuen Benutzer erstellen.

Der Dialog Neuen Benutzer erstellen wird angezeigt.

4. Geben Sie im Feld Vollständiger Name einen Namen (den Anmeldenamen) für den neuen

POA-Benutzer ein.

201

SafeGuard Enterprise

5. Optional können Sie eine Beschreibung für den neuen POA-Benutzer eingeben.

6. Geben Sie ein Kennwort für den neuen POA-Benutzer ein und bestätigen Sie es.

Hinweis: Aus Sicherheitsgründen sollte das Kennwort bestimmten

Mindest-Komplexitätsanforderungen entsprechen. Zum Beispiel sollte es eine Mindestlänge von 8 Zeichen haben und sowohl aus numerischen als auch alphanumerischen Zeichen bestehen. Ist das hier eingegebene Kennwort zu kurz, so wird eine entsprechende

Warnungsmeldung angezeigt.

7. Klicken Sie auf OK.

Der neue POA-Benutzer wird angelegt und unter POA-Benutzer im Benutzer & Computer

Navigationsbereich angezeigt.

5.6.5.2 Ändern des Kennworts für einen POA-Benutzer

Für das Bearbeiten von POA-Benutzern und POA-Gruppen benötigen Sie das Zugriffsrecht

Voller Zugriff für den POA Knoten unter Benutzer & Computer.

1. Klicken Sie im Navigationsbereich des SafeGuard Management Center auf Benutzer &

Computer.

2. Wählen Sie im Benutzer & Computer Navigationsfenster unter POA, POA-Benutzer den relevanten POA-Benutzer.

3. Wählen Sie im Kontextmenü des POA-Benutzers den Befehl Eigenschaften.

Der Eigenschaften-Dialog für den POA-Benutzer wird angezeigt.

4. Geben Sie in der Registerkarte Allgemein unter Benutzerkennwort das neue Kennwort ein und bestätigen Sie es.

5. Klicken Sie auf OK.

Für den relevanten POA-Benutzer gilt das neue Kennwort.

5.6.5.3 Löschen von POA-Benutzern

Für das Löschen von POA-Benutzern und POA-Gruppen benötigen Sie das Zugriffsrecht

Voller Zugriff für den POA Knoten unter Benutzer & Computer.

1. Klicken Sie im Navigationsbereich des SafeGuard Management Center auf Benutzer &

Computer.

2. Wählen Sie im Benutzer & Computer Navigationsfenster unter POA, POA-Benutzer den relevanten POA-Benutzer.

3. Klicken Sie mit der rechten Maustaste auf den POA-Benutzer und wählen Sie Löschen aus dem Kontextmenü.

Der POA-Benutzer wird gelöscht. Es wird nicht mehr im Benutzer & Computer

Navigationsfenster angezeigt.

Hinweis: Wenn der Benutzer einer oder mehreren POA-Gruppen angehört, wird er auch aus allen Gruppen entfernt. Der POA-Benutzer steht jedoch noch so lange auf dem Endpoint zur Verfügung, bis die Zuweisung der POA-Gruppe aufgehoben wird.

5.6.5.4 Erstellen von POA-Gruppen

Für das Erstellen von POA-Gruppen benötigen Sie das Zugriffsrecht Voller Zugriff für den

POA Knoten unter Benutzer & Computer.

202

Administratorhilfe

Damit die POA-Gruppen Endpoints zugewiesen werden können, müssen sie in Gruppen zusammengefasst werden.

1. Klicken Sie im Navigationsbereich des SafeGuard Management Center auf Benutzer &

Computer.

2. Wählen Sie im Benutzer & Computer Navigationsbereich unter POA den Knoten

POA-Gruppen.

3. Klicken Sie im POA-Gruppen Kontextmenü auf Neu > Neue Gruppe erstellen.

Der Neue Gruppe erstellen Dialog wird angezeigt.

4. Geben Sie im Feld Vollständiger Name einen Namen für die neue POA-Gruppe ein.

5. Geben Sie optional eine Beschreibung ein.

6. Klicken Sie auf OK.

Die neue POA-Gruppe ist angelegt. Sie wird unter POA-Gruppen im Benutzer & Computer

Navigationsfenster angezeigt. Sie können nun POA-Benutzer zur Gruppe hinzufügen.

5.6.5.5 Hinzufügen von Benutzern zu POA-Gruppen

Für das Bearbeiten von POA-Gruppen benötigen Sie das Zugriffsrecht Voller Zugriff für den

POA Knoten unter Benutzer & Computer.

1. Klicken Sie im Navigationsbereich des SafeGuard Management Center auf Benutzer &

Computer.

2. Wählen Sie im Benutzer & Computer Navigationsfenster unter POA, POA-Gruppe die relevante POA-Gruppe.

Im Aktionsbereich des SafeGuard Management Center auf der rechten Seite wird die

Mitglieder Registerkarte angezeigt

3. Klicken Sie in der SafeGuard Management Center Symbolleiste auf das Hinzufügen

Symbol (grünes Pluszeichen).

Der Mitgliedobjekt auswählen Dialog wird angezeigt

4. Wählen Sie den Benutzer, den Sie zur Gruppe hinzufügen möchten.

5. Klicken Sie auf OK.

Der POA-Benutzer wird zur Gruppe hinzugefügt und in der Registerkarte Mitglieder angezeigt.

5.6.5.6 Entfernen von Benutzern aus POA-Gruppen

Für das Bearbeiten von POA-Gruppen benötigen Sie das Zugriffsrecht Voller Zugriff für den

POA Knoten unter Benutzer & Computer.

1. Klicken Sie im Navigationsbereich des SafeGuard Management Center auf Benutzer &

Computer.

2. Wählen Sie im Benutzer & Computer Navigationsfenster unter POA, POA-Gruppe die relevante POA-Gruppe.

Im Aktionsbereich des SafeGuard Management Center auf der rechten Seite wird die

Mitglieder Registerkarte angezeigt

3. Wählen Sie den Benutzer, den Sie aus der Gruppe entfernen möchten.

4. Klicken Sie in der SafeGuard Management Center Symbolleiste auf das Löschen Symbol

(rotes Kreuzzeichen).

Der Benutzer wird aus der Gruppe entfernt.

203

SafeGuard Enterprise

5.6.5.7 Zuweisen von POA-Benutzern zu Endpoints

Hinweis: Damit die POA-Gruppen Endpoints zugewiesen werden können, müssen sie in

Gruppen zusammengefasst werden.

Wie Sie POA-Benutzer Endpoints zuweisen, hängt vom Endpoint-Typ ab:

■ Für zentral verwaltete Endpoints können POA-Gruppen im Bereich Benutzer & Computer in der Registerkarte POA-Gruppen-Zuweisung zugewiesen werden.

■ Für Standalone-Endpoints, die im Standalone-Modus laufen und keine Verbindung zum

SafeGuard Enterprise Server haben, muss ein Konfigurationspaket mit einer POA-Gruppe erstellt und an die Computer verteilt werden.

5.6.5.7.1 Zuweisen von POA-Benutzern zu zentral verwalteten Endpoints

Um POA-Benutzer zu zentral verwalteten Endpoints zuzuweisen, benötigen Sie die

Zugriffsrechte Voller Zugriff oder Schreibgeschützt für die relevante POA-Gruppe sowie das Zugriffsrecht Voller Zugriff für die relevanten Container.

1. Klicken Sie im Navigationsbereich des SafeGuard Management Center auf Benutzer &

Computer.

2. Wählen Sie im Benutzer & Computer Navigationsbereich den gewünschten Container.

3. Wählen Sie im Aktionsbereich des SafeGuard Management Center die Registerkarte POA

Gruppenzuweisung.

Unter POA-Gruppen auf der rechten Seite werden alle verfügbaren POA-Gruppen angezeigt.

4. Ziehen Sie die gewünschte POA-Gruppe aus POA-Gruppen in den POA

Gruppenzuweisung Aktionsbereich.

Gruppenname und Gruppen-DSN der POA-Gruppe werden im Aktionsbereich angezeigt.

5. Speichern Sie Ihre Änderungen in der Datenbank.

Alle Mitglieder der zugewiesenen POA-Gruppe werden an alle Endpoints im ausgewählten

Container übertragen.

Sie können die Zuweisung aufheben oder die zugewiesene POA-Gruppe ändern, indem Sie wie beschrieben vorgehen und Gruppen von und in die Registerkarte POA Gruppenzuweisung und den Bereich POA-Gruppen ziehen.

Wenn Sie Ihre Änderungen in der Datenbank gespeichert haben, gilt die neue Zuweisung.

5.6.5.7.2 Zuweisen von POA-Benutzern zu Standalone-Endpoints

Um POA-Benutzer zu Standalone-Endpoints zuzuweisen, benötigen Sie die Zugriffsrechte

Schreibgeschützt oder Voller Zugriff für die relevante POA-Gruppe.

POA-Benutzer werden Standalone-Endpoints (im Standalone-Modus betrieben) in

Konfigurationspaketen zugewiesen.

1. Wählen Sie im SafeGuard Management Center aus dem Menü Extras den Befehl

Konfigurationspakete.

2. Wählen Sie ein vorhandenes Konfigurationspaket aus oder erstellen Sie ein neues.

3. Wählen Sie eine POA-Gruppe aus, die Sie zuvor im Bereich Benutzer & Computer des

SafeGuard Management Center erstellt haben.

Darüber hinaus steht standardmäßig eine keine Liste Gruppe zur Auswahl zur Verfügung.

Diese Gruppe kann dazu verwendet werden, die Zuweisung einer POA-Gruppe auf

Endpoints zu löschen.

204

Administratorhilfe

4. Geben Sie einen Ausgabepfad für das Konfigurationspaket an.

5. Klicken Sie auf Konfigurationspaket erstellen.

6. Installieren Sie das Konfigurationspaket auf den Endpoints.

Durch Installation des Konfigurationspakets werden die Benutzer aus der Gruppe zur

SafeGuard POA auf den Endpoints hinzugefügt. Die POA-Benutzer stehen für die Anmeldung an die POA zur Verfügung.

Hinweis: Wenn Sie Standalone-Endpoints auf zentral verwaltete Endpoints migrieren, bleiben die POA-Benutzer aktiv, wenn Sie auch im SafeGuard Management Center zugewiesen wurden. Die in den POA-Gruppen, die mit Konfigurationspaketen installiert wurden, gesetzten

Kennwörter werden auf die im SafeGuard Management Center angegebenen Kennwörter gesetzt. Kennwörter, die mit F8 geändert wurden, werden überschrieben.

5.6.5.7.3 Aufheben der POA-Benutzer Zuweisung bei Standalone-Endpoints

POA-Benutzer lassen sich von Standalone-Endpoints entfernen, indem Sie eine leere

POA-Gruppe zuweisen:

1. Wählen Sie im Tools Menü des SafeGuard Management Center den Befehl

Konfigurationspakete.

2. Wählen Sie ein vorhandenes Konfigurationspaket aus oder erstellen Sie ein neues.

3. Wählen Sie eine leere POA-Gruppe, die Sie zuvor im Bereich Benutzer & Computer des

SafeGuard Management Center angelegt haben, oder die keine Liste POA-Gruppe, die standardmäßig unter Konfigurationspakete zur Verfügung steht.

4. Geben Sie einen Ausgabepfad für das Konfigurationspaket an.

5. Klicken Sie auf Konfigurationspaket erstellen.

6. Installieren Sie das Konfigurationspaket auf den Endpoints.

Durch Installation des Konfigurationspakets werden alle POA-Benutzer von den Endpoints entfernt. Somit werden alle relevanten Benutzer aus der SafeGuard POA entfernt.

5.6.5.7.4 Ändern der POA-Benutzer Zuweisungen auf Standalone-Endpoints

1. Legen Sie eine neue POA-Gruppe an oder ändern Sie eine bestehende Gruppe.

2. Erstellen Sie ein neues Konfigurationspaket und wählen Sie die neue oder modifizierte

POA-Gruppe aus.

3. Installieren Sie das Konfigurationspaket auf den Endpoints.

Die neue POA-Gruppe steht auf dem Endpoint zur Verfügung. Alle enthaltenen Benutzer werden zur POA hinzugefügt. Die neue Gruppe überschreibt die alte. POA-Gruppen werden nicht miteinander kombiniert.

5.6.5.8 Anmeldung an einem Endpoint mit einem POA-Benutzer

1. Schalten Sie den Endpoint ein.

Der SafeGuard Power-on Authentication Anmeldedialog wird angezeigt.

2. Geben Sie den Benutzernamen und das Kennwort des vordefinierten POA-Benutzers ein.

Sie werden nicht automatisch an Windows angemeldet. Der Windows-Anmeldedialog wird angezeigt.

3. Wählen Sie im Domäne Feld die Domäne <POA>.

4. Melden Sie sich mit Ihrem vorhandenen Windows-Benutzerkonto an Windows an.

205

SafeGuard Enterprise

5.6.5.8.1 Lokale Kennwortänderung

Wurde das Kennwort eines POA-Benutzers mit F8, geändert, so wird die Änderung nicht mit anderen Endpoints synchronisiert. Der Administrator muss das Kennwort für diesen Benutzer zentral ändern.

5.6.6 Benutzer-Computer Zuordnung (UMA)

SafeGuard Enterprise verwaltet die Informationen, welcher Benutzer sich an welchem

Computer anmelden darf, in einer Liste, für die der Begriff UMA (User Machine Assignment bzw. Benutzer-Computer Zuordnung) verwendet wird.

Voraussetzung für die Aufnahme in die UMA ist, dass sich der Benutzer einmal an einem

Computer mit installiertem SafeGuard Enterprise angemeldet hat und als „kompletter“ Benutzer, im Sinne von SafeGuard Enterprise, im SafeGuard Management Center vorhanden ist. Als

„komplett“ wird ein Benutzer dann bezeichnet, wenn für ihn nach der ersten Anmeldung ein

Zertifikat erzeugt und danach sein Schlüsselring aufgebaut wurde. Erst dann ist die Möglichkeit gegeben, dass diese Benutzerdaten auch auf andere Computer repliziert werden können.

Nach der Replikation kann sich der Benutzer auch auf diesen Computern in der SafeGuard

POA anmelden.

In der Standardeinstellung wird der erste Benutzer, der sich nach der Installation von

SafeGuard Enterprise an den Computer anmeldet, in der UMA als Besitzer dieses Computers eingetragen.

Dieses Attribut erlaubt es dem Benutzer, nachdem er sich im Rahmen der SafeGuard Power-on

Authentication authentisiert hat, weiteren Benutzern die Anmeldung an diesem Computer zu

ermöglichen, (siehe Registrieren weiterer SafeGuard Enterprise-Benutzer

(Seite 189)). Dadurch werden auch sie in die UMA für diesen Computer aufgenommen.

So wird automatisch eine Liste aufgebaut, die bestimmt, welcher Benutzer sich an welchem

Computer anmelden darf. Diese Liste kann im SafeGuard Management Center bearbeitet werden.

5.6.6.1 Benutzer-Computer Zuordnung (UMA) im SafeGuard Management Center

Im SafeGuard Management Center kann eine Zuordnung von Benutzern zu bestimmten

Computern vorgenommen werden. Wird ein Benutzer im SafeGuard Management Center einem Computer zugeordnet (oder umgekehrt), wird diese Zuweisung in die UMA aufgenommen. Seine Benutzerdaten (Zertifikat, Schlüssel usw.) werden auf diesen Rechner repliziert, und er kann sich an diesen Computer anmelden. Wenn ein Benutzer aus der UMA entfernt wird, werden alle Benutzerdaten automatisch aus der SafeGuard POA gelöscht. Der

Benutzer kann sich dann nicht mehr an der SafeGuard POA mit Benutzername und Kennwort anmelden.

Hinweis: Um die Benutzer und Computer Zuordnung unter Benutzer & Computer einzusehen, benötigen Sie mindestens das Zugriffsrecht Schreibgeschützt für eines der beteiligten Objekte (Benutzer oder Computer). Um die Zuweisung zu definieren oder zu

ändern, benötigen Sie das Zugriffsrecht Voller Zugriff für beide beteiligten Objekte. Die

UMA-Anzeige zeigt die verfügbaren Benutzer/Maschinen gefiltert nach Ihren Zugriffsrechten.

In der UMA-Anzeige, die die Computern zugewiesenen Benutzer und umgekehrt zeigt, werden

Objekte, für die Sie nicht die erforderlichen Zugriffsrechte haben, zu Ihrer Information angezeigt.

Sie können die Zuordnung jedoch nicht ändern.

Im Rahmen dieser Zuordnung kann auch festgelegt bzw. geändert werden, wem es erlaubt ist, weiteren Benutzern die Anmeldung an diesen Computer zu ermöglichen.

206

Administratorhilfe

Unter Typ wird im SafeGuard Management Center angezeigt, wie der Benutzer in die

SafeGuard Enterprise Datenbank aufgenommen wurde. Übernommen gibt an, dass der

Benutzer auf einem Endpoint in die UMA für den Computer aufgenommen worden ist.

Hinweis: Wird im SafeGuard Management Center keine Zuweisung vorgenommen und kein

Benutzer als Besitzer festgelegt, wird der Benutzer, der sich als erster nach der Installation von SafeGuard Enterprise an den Computer anmeldet, als Besitzer eingetragen. Dieser

Benutzer kann weiteren Benutzern die Anmeldung an diesem Computer zu ermöglichen,

siehe Registrieren weiterer SafeGuard Enterprise-Benutzer (Seite 189). Werden im SafeGuard

Management Center diesem Computer nachträglich Benutzer zugewiesen, so können sich diese dann auch in der SafeGuard Power-On Authentication anmelden. Voraussetzung dafür ist allerdings, dass es sich um komplette Benutzer (deren Zertifikat und Schlüssel bereits existieren) handelt. Die Erlaubnis durch den Besitzer des Computers ist dann nicht notwendig.

Über folgende Einstellungen kann festgelegt werden, wem es erlaubt ist, weitere Benutzer in die UMA aufzunehmen:

■ Kann Besitzer werden Die Auswahl dieser Einstellung ist Voraussetzung dafür, dass ein

Benutzer als Besitzer eines Computers eingetragen werden kann.

■ Benutzer ist Besitzer: Ist diese Einstellung ausgewählt, wird dieser Benutzer als Besitzer in die UMA eingetragen. Es kann jeweils nur ein Benutzer pro Computer als Besitzer in der UMA eingetragen werden.

Wer Benutzer in die UMA aufnehmen darf, wird zusätzlich über die Richtlinieneinstellung

Registrieren von neuen SGN-Benutzern erlauben in einer Richtlinie vom Typ Spezifische

Computereinstellungen gesteuert. Die Einstellung Registrierung von SGN

Windows-Benutzern aktivieren in Richtlinien vom Typ Spezifische

Computereinstellungen legt fest, ob SGN Windows-Benutzer auf dem Endpoint registriert und zur UMA hinzugefügt werden können.

■ Registrieren von neuen SGN-Benutzern erlauben

Niemand

Auch der als Besitzer eingetragene Benutzer kann keinen weiteren Benutzern die Aufnahme in die UMA ermöglichen. Die Funktionalität, dass ein Besitzer weitere Aufnahmen ermöglichen kann, wird damit deaktiviert.

Besitzer (Standardeinstellung)

Hinweis: Ein Sicherheitsbeauftragter kann im SafeGuard Management Center immer

Benutzer hinzufügen.

Jeder

Hebt die Einschränkung auf, dass nur der Besitzer Benutzer hinzufügen darf.

Hinweis: Bei Endpoints, auf denen das Device Encryption-Modul nicht installiert ist, muss die Einstellung Registrieren von neuen SGN-Benutzern erlauben auf Jeder gesetzt sein, wenn es auf dem Endpoint möglich sein soll, der UMA mehrere Benutzer hinzuzufügen, die Zugriff auf ihre Schlüsselringe haben sollen. Sonst können Benutzer nur im Management Center hinzugefügt werden. Diese Option ist wird nur auf zentral verwalteten Endpoints ausgewertet. Weitere Informationen finden Sie im Sophos

Knowledgebase-Artikel 110659 .

■ Registrierung von SGN Windows-Benutzern aktivieren

Wenn Sie Ja auswählen, können SGN Windows-Benutzer auf dem Endpoint registriert werden. Ein SGN Windows-Benutzer wird nicht zur SafeGuard POA hinzugefügt, verfügt jedoch über einen Schlüsselring, mit dem er auf verschlüsselte Dateien zugreifen kann wie ein SGN-Benutzer. Wenn Sie diese Einstellung wählen, werden alle Benutzer, die

207

SafeGuard Enterprise andernfalls SGN-Gast-Benutzer geworden wären, zu SGN Windows-Benutzern. Die

Benutzer werden zur UMA hinzugefügt, sobald sie sich an Windows angemeldet haben.

SGN Windows-Benutzer lassen sich auf zentral verwalteten Endpoints automatisch und auf Standalone-Endpoints manuell aus der UMA entfernen. Für weitere Informationen, siehe

Spezifische Computereinstellungen - Grundeinstellungen (Seite 395).

Beispiel:

Das folgende Beispiel zeigt, wie Sie im SafeGuard Management Center festlegen können, dass sich ausschließlich drei bestimmte Benutzer (Benutzer_a, Benutzer_b, Benutzer_c) auf dem Computer Computer_ABC anmelden können.

Ausgangssituation: Sie legen im SafeGuard Management Center das gewünschte Verhalten fest. SafeGuard Enterprise wird in der Nacht auf allen Endpoints installiert. Am Morgen sollen sich die Benutzer an ihrem Computer anmelden können.

1. Weisen Sie im SafeGuard Management Center Benutzer_a, Benutzer_b, Benutzer_c dem

Computer Computer_ABC zu. (Benutzer & Computer -> Computer_ABC auswählen ->

Benutzer via Drag&Drop zuweisen). Damit haben Sie eine UMA festgelegt.

2. Setzen Sie in einer Richtlinie vom Typ Spezifische Computereinstellungen die Einstellung

Registrieren von neuen SGN-Benutzern erlauben auf Niemand. Da es Benutzer_a,

Benutzer_b, Benutzer_c nicht erlaubt werden soll, Benutzer hinzuzufügen, ist es nicht notwendig, einen Benutzer als Besitzer festzulegen.

3. Weisen Sie die Richtlinie dem Computer zu bzw. an einer Stelle in der Verzeichnisstruktur zu, wo sie für den Computer wirksam wird.

Bei der Anmeldung des ersten Benutzers an Computer_ABC wird ein Autologon für die

SafeGuard POA ausgeführt. Die Computerrichtlinien werden an den Endpoint geschickt. Da

Benutzer_a in der UMA eingetragen ist, wird er im Zuge der Windows-Anmeldung komplettiert.

Seine Benutzerrichtlinien, Zertifikate und Schlüssel werden an den Endpoint geschickt. Die

SafeGuard POA wird aktiviert.

Hinweis: Der Benutzer kann über die Statusausgabe im SafeGuard Tray Icon überprüfen, wann dieser Vorgang abgeschlossen ist.

Benutzer_a existiert nun als kompletter Benutzer in SafeGuard Enterprise und kann sich bei der nächsten Anmeldung in der SafeGuard POA authentisieren und wird automatisch angemeldet.

Benutzer_a fährt nun den Computer herunter und Benutzer_b will sich anmelden. Da die

SafeGuard POA aktiviert ist, findet kein Autologon mehr statt.

Für die Benutzer_b und Benutzer_c gibt es nun zwei Möglichkeiten, Zugang zu diesem

Computer zu erlangen.

■ Benutzer_a deaktiviert im SafeGuard POA-Anmeldedialog die Option Durchgehende

Anmeldung an Windows und meldet sich an.

■ Benutzer_b authentisiert sich über Challenge/Response in der SafeGuard POA.

In beiden Fällen wird anschließend der Windows-Anmeldedialog angezeigt.

Benutzer_b kann dort seine Windows-Anmeldeinformationen eingeben. Seine

Benutzerrichtlinien, Zertifikate und Schlüssel werden an den Endpoint geschickt. Er wird in der SafeGuard POA aktiviert. Benutzer_b existiert nun als kompletter Benutzer in SafeGuard

Enterprise. Er kann sich bei der nächsten Anmeldung in der SafeGuard POA authentisieren und wird automatisch angemeldet.

Es wurde in der Computerrichtlinie zwar festgelegt, dass auf diesem Computer niemand

Benutzer importieren darf, da sie sich aber bereits in der UMA befinden, können Benutzer_b

208

Administratorhilfe und Benutzer_c durch die Windows-Anmeldung dennoch komplettiert und in der SafeGuard

POA aktiviert werden.

Alle anderen Benutzer werden nicht in die UMA aufgenommen und können sich daher niemals an der SafeGuard Power-on Authentication authentisieren. Alle Benutzer, die sich an Windows anmelden und nicht Benutzer_a, Benutzer_b oder Benutzer_c sind, werden in diesem Szenario nicht in die UMA aufgenommen und daher auch nie in der SafeGuard POA aktiv.

Sie können im SafeGuard Management Center später weitere Benutzer hinzufügen. Allerdings steht ihr Schlüsselring nach der ersten Anmeldung noch nicht zur Verfügung, da eine

Synchronisierung erst durch diese Anmeldung angestoßen wird. Nach einer erneuten

Anmeldung steht auch der Schlüsselring zur Verfügung und die Benutzer können entsprechend den geltenden Richtlinien auf den Computer zugreifen. Haben sie sich zuvor noch an keinem

Endpoint erfolgreich angemeldet, können sie wie zuvor beschrieben aufgenommen werden.

Hinweis: Wenn das letzte gültige Benutzerzertifikat von einem SO oder MSO aus der UMA entfernt wurde, kann jeder Benutzer die SafeGuard POA des entsprechenden Computers absolvieren. Dasselbe gilt, wenn sich die Domain des Endpoints ändert. Dann sind nur

Windows-Anmeldeinformationen zum Anmelden am Computer, zum Reaktivieren der

SafeGuard POA und das Hinzufügen als neuer Besitzer nötig.

5.6.6.1.1 Benutzer sperren

Durch Auswählen des Kontrollkästchens in der Spalte Benutzer sperren wird dem Benutzer die Anmeldung an diesem Computer verboten. Wenn der betreffende Benutzer angemeldet ist, wenn eine Richtlinie, die diese Einstellung enthält, wird der Benutzer abgemeldet.

5.6.6.1.2 Gruppen

Im SafeGuard Management Center können auch Computergruppen einem Benutzer (Konto) bzw. Benutzergruppen einem Computer zugewiesen werden.

So erstellen Sie eine Gruppe: Klicken Sie unter Benutzer & Computer mit der rechten

Maustaste auf den relevanten Objektknoten, bei dem Sie die Gruppe erstellen möchten.

Wählen Sie dann Neu und Neue Gruppe erzeugen. Geben Sie in Neue Gruppe erzeugen unter Vollst. Name den Namen der Gruppe und nach Wunsch eine Beschreibung ein. Klicken

Sie auf OK.

Beispiel: Service-Konto

Auf diese Weise ist es z. B. einfach möglich, über ein Service-Konto eine große Anzahl

Computer zu warten. Dazu müssen sich die Computer in einer Gruppe befinden. Diese Gruppe wird dann einem Service-Konto (Benutzer) zugewiesen. Der Besitzer des Service-Kontos kann sich dann an alle Computer dieser Gruppe anmelden.

Ebenso kann durch das Zuweisen einer Gruppe, die verschiedene Benutzer enthält, diesen

Benutzern in einem einfachen Schritt die Anmeldung an einem bestimmten Computer ermöglicht werden.

5.6.6.2 Zuweisen von Benutzer- und Computergruppen

Um die Benutzer und Computer Zuordnung unter Benutzer & Computer einzusehen, benötigen Sie mindestens das Zugriffsrecht Schreibgeschützt für eines der beteiligten Objekte

(Benutzer oder Computer). Um die Zuweisung zu definieren oder zu ändern, benötigen Sie das Zugriffsrecht Voller Zugriff für beide beteiligten Objekte. Die UMA-Anzeige zeigt die verfügbaren Benutzer/Maschinen gefiltert nach Ihren Zugriffsrechten.

Hinweis: Das Zuweisen einzelner Benutzer an einen Computer oder umgekehrt, funktioniert analog zur Beschreibung für Gruppen.

1. Klicken Sie auf Benutzer & Computer.

209

SafeGuard Enterprise

2. Zum Zuweisen einer Gruppe von Computern zu einem Benutzer markieren Sie den

Benutzer.

3. Klicken Sie im Aktionsbereich auf die Registerkarte Computer.

Unter Verfügbare Computer werden alle Computer und Computergruppen angezeigt.

4. Ziehen Sie die gewünschten Gruppen aus der Liste der Verfügbaren Gruppen in den

Aktionsbereich.

5. Ein Dialog, in dem Sie gefragt werden, ob der Benutzer Besitzer aller Computer werden können soll, wird angezeigt.

Ist für einen Computer im SafeGuard Management Center kein Besitzer festgelegt, wird der erste Benutzer, der sich an diesen Computer anmeldet, automatisch als Besitzer eingetragen. Damit hat er das Recht, anderen Benutzern Zugriff auf diesen Computer zu erlauben. Voraussetzung dafür ist, dass er das Recht Kann Besitzer werden besitzt.

■ Beantworten Sie diese Frage mit Ja, kann der Benutzer, wenn er sich als erster an diesen Computer anmeldet, Besitzer werden und damit weiteren Benutzern Zugriff gewähren.

■ Beantworten Sie diese Frage mit Nein, ist der Benutzer nicht Besitzer dieses Computers.

Für ein Service-Konto ist es in der Regel nicht notwendig, dass der Inhaber dieses Kontos

Besitzer der Computer werden kann. Diese Einstellung kann nach der initialen Zuweisung geändert werden.

Nach der Beantwortung der Frage werden alle Computer aus der zugewiesenen Gruppe im

Aktionsbereich angezeigt.

Der Benutzer darf sich jetzt an allen Computern anmelden, die so zugewiesen wurden.

Die Zuweisung einer Benutzergruppe an einen einzelnen Computer funktioniert analog zu dieser Beschreibung.

5.6.7 Sicheres Wake on LAN (WOL)

Im SafeGuard Management Center können Sie Richtlinieneinstellungen für Sicheres Wake

on LAN (WOL) definieren, um Endpoints für Software-Rollout-Vorgänge vorzubereiten. Nach dem Wirksamwerden einer solchen Richtlinie auf Endpoints werden die notwendigen Parameter

(z. B. SafeGuard POA-Deaktivierung und ein Zeitabstand für Wake on LAN) direkt an die

Endpoints übertragen, wo sie analysiert werden.

Das Rollout-Team kann durch die zur Verfügung gestellten Kommandos ein Scheduling-Skript so gestalten, dass die größtmögliche Sicherheit des Endpoint trotz deaktivierter SafeGuard

POA gewährleistet bleibt.

Hinweis: Wir weisen an dieser Stelle ausdrücklich darauf hin, dass auch das zeitlich begrenzte

"Ausschalten" der SafeGuard POA für eine bestimmte Anzahl von Boot-Vorgängen ein

Absenken des Sicherheitsniveaus bedeutet.

Die Einstellungen für Sicheres Wake On LAN (WOL) definieren Sie in einer Richtlinie des

Typs Spezifische Computereinstellungen.

5.6.7.1 Sicheres Wake on LAN (WOL): Beispiel

Das SW-Rollout-Team informiert den SafeGuard Enterprise Sicherheitsbeauftragten (SO)

über einen geplanten SW-Rollout für den 25. September 2014 zwischen 03.00 und 06.00

Uhr. Es sind 2 Neustarts notwendig. Der lokale Software Rollout Agent muss sich an Windows anmelden können.

210

Administratorhilfe

Im SafeGuard Management Center, erstellt der Sicherheitsbeauftragter eine Richtlinie vom

Typ Spezifische Computereinstellungen mit den folgenden Einstellung und ordnet Sie den relevanten Endpoints zu.

Richtlinieneinstellung Wert

Anzahl der automatischen Anmeldungen (0 = kein

WOL)

Anmeldung an Windows während WOL erlaubt

Beginn des Zeitfensters für externen WOL Start

Ende des Zeitfensters für externen WOL Start

24.Sept. 2014, 12:00

25.Sept. 2014, 06:00

Für weitere Informationen zu den einzelnen Einstellungen, siehe Spezifische

Computereinstellungen - Grundeinstellungen

(Seite 395).

Da die Anzahl an automatischen Anmeldungen auf 5 eingestellt ist, startet der Endpoint fünfmal ohne Authentisierung durch die SafeGuard POA.

Hinweis: Wir empfehlen, für Wake on LAN immer drei Neustarts mehr als notwendig zu erlauben, um unvorhergesehene Probleme zu umgehen.

Das Zeitintervall setzt der SO auf 12:00 Uhr mittags auf den Tag vor dem SW-Roll-Out. Somit kann das Scheduling-Skript SGMCMDIntn.exe rechtzeitig starten und WOL ist spätestens am 25.09 um 03:00 Uhr gestartet.

Das SW-Roll-Out-Team erstellt 2 Kommandos für das Scheduling-Skript:

■ Starte am 24. Sept. 2014, 12.15 Uhr SGMCMDIntn.exe -WOLstart

■ Starte am 26. Sept. 2014, 09.00 Uhr SGMCMDIntn.exe -WOLstop

Das SW-Rollout-Skript wird auf den 25.09.2014, 03.00 Uhr datiert. Am Ende des Skripts kann

WOL explizit wieder deaktiviert werden mit SGMCMDIntn.exe -WOLstop.

Alle Endpoints, die sich bis zum 24.Sept. 2014 anmelden und mit den Roll-out Servern in

Verbindung treten, erhalten die neue Richtlinie und die Scheduling-Kommandos.

Jeder Endpoint, auf dem der Scheduler zwischen dem 24. Sept. 2014,12:00 Uhr und dem

26. Sept. 2014, 09:00 Uhr das Kommando SGMCMDIntn -WOLstart auslöst, fällt in das obige

WOL-Zeitintervall und aktiviert demzufolge Wake on LAN.

5.6.8 Recovery-Optionen

Für Recovery-Vorgänge bietet SafeGuard Enterprise verschiedene Optionen, die auf unterschiedliche Szenarien zugeschnitten sind:

■ Recovery für die Anmeldung mit Local Self Help

Local Self Help ermöglicht es Benutzern, die Ihr Kennwort vergessen haben, sich selbständig und ohne Unterstützung des Helpdesk an ihrem Computer anzumelden. So erhalten Benutzer auch in Situationen, in denen sie keine Telefon- oder Netzwerkverbindung und somit auch kein Challenge/Response-Verfahren nutzen können (z. B. an Bord eines

Flugzeugs), wieder Zugang zu ihrem Computer. Um sich anzumelden, müssen sie lediglich

211

SafeGuard Enterprise eine bestimmte Anzahl an vordefinierten Fragen in der SafeGuard Power-on Authentication beantworten.

Local Self Help reduziert die Anzahl an Helpdesk-Anforderungen für Recovery-Vorgänge, die die Anmeldung betreffen. Helpdesk-Mitarbeitern werden somit Routine-Aufgaben abgenommen und sie können sich auf komplexere Support-Anforderungen konzentrieren.

Für weitere Informationen, siehe

Recovery mit Local Self Help

(Seite 212).

■ Recovery mit Challenge/Response

Das Challenge/Response-Verfahren ist ein sicheres und effizientes Recovery-System, das Benutzer unterstützt, die sich nicht mehr an ihrem Computer anmelden oder nicht mehr auf verschlüsselte Daten zugreifen können. Während eines

Challenge/Response-Verfahrens übermittelt der Benutzer einen auf dem Endpoint erzeugten

Challenge-Code an den Helpdesk-Beauftragten. Dieser erzeugt auf der Grundlage des

Challenge-Codes einen Response-Code, der den Benutzer zum Ausführen einer bestimmten Aktion auf dem Computer berechtigt.

Mit Recovery über Challenge/Response bietet SafeGuard Enterprise verschiedene

Workflows für typische Recovery-Szenarien, für die die Unterstützung durch einen Helpdesk erforderlich ist.

Für weitere Informationen, siehe

Recovery mit Challenge/Response (Seite 216).

■ Systemwiederherstellung für SafeGuard Full Disk Encryption

SafeGuard Enterprise bietet verschiedene Methoden und Tools für Recovery-Vorgänge in Bezug auf wichtige System- und SafeGuard Enterprise Komponenten, z. B.:

■ Beschädigter MBR

■ SafeGuard Enterprise Kernel-Probleme

■ Probleme in Bezug auf Volume-Zugriff

■ Windows Bootprobleme

Für weitere Informationen, siehe Systemwiederherstellung für SafeGuard Full Disk Encryption

(Seite 233).

5.6.8.1 Recovery mit Local Self Help

Hinweis: Local Self Help ist nur für Windows 7 Endpoints mit SafeGuard Power-on

Authentication (POA) verfügbar.

Über Local Self Help können sich Benutzer, die Ihr Kennwort vergessen haben, ohne

Unterstützung des Helpdesks wieder an ihrem Computer anmelden. Local Self Help reduziert die Anzahl an Helpdesk-Anforderungen für Recovery-Vorgänge, die die Anmeldung betreffen.

Helpdesk-Mitarbeitern werden somit Routine-Aufgaben abgenommen und sie können sich auf komplexere Support-Anforderungen konzentrieren.

Mit Local Self Help erhalten Benutzer auch in Situationen, in denen sie keine Telefon- oder

Netzwerkverbindung und somit auch kein Challenge/Response-Verfahren nutzen können (z.

B. an Bord eines Flugzeugs), wieder Zugang zu ihrem Computer. Um sich anzumelden, muss der Benutzer lediglich eine bestimmte Anzahl an vordefinierten Fragen in der SafeGuard

Power-on Authentication beantworten.

Die zu beantwortenden Fragen können Sie als zuständiger Sicherheitsbeauftragter zentral vordefinieren und per Richtlinie an die Endpoints verteilen. Als Vorlage bieten wir Ihnen ein

212

Administratorhilfe vordefiniertes Fragenthema an. Sie können dieses Fragenthema unverändert verwenden oder es bearbeiten. Sie können die Benutzer auch per Richtlinie berechtigen, selbst Fragen zu definieren.

Wenn Local Self Help per Richtlinie aktiviert ist, steht den Endbenutzern ein Local Self Help

Assistent zur Verfügung, der sie bei der ersten Beantwortung und bei der Bearbeitung von

Fragen unterstützt.

Detaillierte Informationen zu Local Self Help auf dem Endpoint finden Sie in der SafeGuard

Enterprise Benutzerhilfe im Kapitel Recovery mit Local Self Help.

5.6.8.1.1 Definieren der Parameter für Local Self Help in einer Richtlinie

Die Einstellungen für Local Self Help definieren Sie in einer Richtlinie vom Typ Allgemeine

Einstellungen unter Recovery für die Anmeldung - Local Self Help. Hier aktivieren Sie die Funktion zur Benutzung auf den Endpoints und legen weitere Berechtigungen und

Parameter fest.

Local Self Help aktivieren

Um die Funktion Local Self Help für die Benutzung auf Endpoints zu aktivieren, wählen Sie im Feld Local Self Help aktivieren die Einstellung Ja.

Nach dem Wirksamwerden der Richtlinie auf den Endpoints sind die Benutzer aufgrund dieser

Einstellung berechtigt, Local Self Help für Recovery-Vorgänge, die die Anmeldung betreffen, zu benutzen. Hierzu müssen die Benutzer die Funktion auf Ihrem Computer durch

Beantwortung einer festgelegten Anzahl der erhaltenen Fragen oder durch Erstellung und

Beantwortung eigener Fragen (je nach Berechtigung) aktivieren.

Nach dem Erhalt der Richtlinie und dem Neustart des Computers steht den Benutzern dafür der Local Self Help Assistent über das System Tray Icon in der Windows-Taskleiste zur

Verfügung.

Konfigurieren der Funktion Local Self Help

Sie können folgende Optionen für Local Self Help in einer Richtlinie des Typs Allgemeine

Einstellungen definieren.

■ Mindestlänge der Antwort

Legen Sie die Mindestlänge der Antworten in Zeichen fest. Die Standardeinstellung ist 1.

■ Willkommenstext unter Windows

Sie können einen individuellen Informationstext angeben, der beim Starten des Local Self

Help Assistenten auf dem Endpoint im ersten Dialog angezeigt werden soll. Dieser Text muss zuvor erstellt und registriert werden.

■ Benutzer dürfen eigene Fragen festlegen

Für die Hinterlegung der Fragen und Antworten für Local Self Help gibt es folgende

Möglichkeiten:

■ Sie definieren als Sicherheitsbeauftragter die Fragen und verteilen Sie an die Benutzer.

Die Benutzer sind nicht dazu berechtigt, eigene Fragen zu definieren.

■ Sie definieren als Sicherheitsbeauftragter die Fragen und verteilen Sie an die Benutzer.

Die Benutzer sind dazu berechtigt, zusätzlich eigene Fragen zu definieren. Bei der

Beantwortung der für die Aktivierung von Local Self Help notwendigen Mindestanzahl

213

SafeGuard Enterprise

■ an Fragen können die Benutzer zwischen vorgegebenen und eigenen Fragen wählen oder eine Kombination aus beiden verwenden.

Sie berechtigen die Benutzer dazu, eigene Fragen zu definieren und geben keine vordefinierten Fragen vor. Die Benutzer aktivieren Local Self Help durch Definition und

Beantwortung eigener Fragen.

Um die Benutzer dazu zu berechtigen, eigene Fragen zu definieren, wählen Sie im Feld

Benutzer dürfen eigene Fragen festlegen die Einstellung Ja.

5.6.8.1.2 Definieren von Fragen

Voraussetzung dafür, dass Local Self Help auf dem Endpoint verwendet werden kann, ist die

Hinterlegung einer vordefinierten Anzahl an Fragen. Als Sicherheitsbeauftragter mit den erforderlichen Rechten können Sie festlegen, wie viele Fragen Benutzer beantworten müssen, um Local Self Help auf den Endpoints zu aktivieren. Sie können auch festlegen, wie viele

Fragen in der SafeGuard POA per Zufallsprinzip ausgewählt werden. Um sich über Local Self

Help an der SafeGuard Power-on Authentication anzumelden, muss der Benutzer alle in der

POA angezeigten Fragen korrekt beantworten.

Als Sicherheitsbeauftragter mit den erforderlichen Rechten können Sie Local Self Help Fragen im SafeGuard Management Center registrieren und bearbeiten.

Hinweis:

Nicht alle Zeichen, die in Windows eingegeben werden können, können von der SafeGuard

POA verarbeitet werden. Hebräische oder arabische Zeichen können z. B. nicht verwendet werden.

5.6.8.1.3 Festlegen der Anzahl an zu beantwortenden Fragen

Sie können die Anzahl an Fragen, die während der Konfiguration von Local Self Help und in der SafeGuard POA beantwortet werden müssen, festlegen.

1. Markieren Sie im Richtlinien Navigationsbereich den Eintrag Local Self Help Fragen.

2. Im Aktionsbereich können Sie unter Local Self Help Parameter zwei verschiedene Werte für die Anzahl an Local Self Help Fragen festlegen: a) Geben Sie im Feld Mindestanzahl der verfügbaren Fragen/Antworten an, wie viele

Fragen die Benutzer im Local Self Help Assistenten beantworten müssen, um Local

Self Help auf den Endpoints zu aktivieren.

Die hier angegebene Anzahl an Fragen muss auf dem Endpoint mit den entsprechenden

Antworten verfügbar sein, damit Local Self Help aktiv ist.

b) Geben Sie im Feld Anzahl der in der POA gestellten Fragen an, wie viele Fragen die Benutzer in der SafeGuard POA beantworten müssen, wenn Sie sich mit Local Self

Help anmelden.

Die in der SafeGuard POA angezeigten Fragen werden per Zufallsprinzip aus den

Fragen, die der Benutzer im Local Self Help Assistenten beantwortet hat, ausgewählt.

Der im Feld Mindestanzahl der verfügbaren Fragen/Antworten angegebene Wert muss höher sein als der Wert im Feld Anzahl der in der POA gestellten Fragen. Ist dies nicht der Fall, so wird beim Speichern Ihrer Änderungen eine Fehlermeldung angezeigt.

Die Felder haben folgende Standardwerte:

■ Mindestanzahl der verfügbaren Fragen/Antworten: 10

■ Anzahl der in der POA gestellten Fragen: 5

214

Administratorhilfe

3. Speichern Sie Ihre Änderungen in der Datenbank.

Die festgelegten Werte für die Fragenanzahl gelten für die Local Self Help Konfiguration, die an die Endpoints übertragen wird.

5.6.8.1.4 Verwenden der Vorlage

Für Local Self Help ist ein vordefiniertes Fragenthema verfügbar. Sie finden dieses

Fragenthema im SafeGuard Management Center unter Local Self Help Fragen.

Sie können das vordefinierte Fragenthema unverändert verwenden, bearbeiten oder löschen.

5.6.8.1.5 Import von Fragenthemen

Mit dem Importvorgang können Sie Ihre eigenen als .XML-Dateien angelegten Fragenlisten importieren.

1. Erstellen Sie ein neues Fragenthema (siehe

Erstellen eines neuen Fragenthemas und

Hinzufügen von Fragen (Seite 215)).

2. Markieren Sie im Richtlinien Navigationsbereich das neue Fragenthema unter Local Self

Help Fragen.

3. Klicken Sie im Arbeitsbereich mit der rechten Maustaste. Das Kontextmenü für das

Fragenthema wird geöffnet. Wählen Sie Importieren.

4. Wählen Sie das Verzeichnis, in dem das Fragenthema abgelegt ist, sowie das gewünschte

Fragenthema und klicken Sie auf Öffnen.

Die importierten Fragen werden im Arbeitsbereich angezeigt. Sie können das Fragenthema nun unverändert speichern oder bearbeiten.

5.6.8.1.6 Erstellen eines neuen Fragenthemas und Hinzufügen von Fragen

Sie können neue Fragenthemen zu unterschiedlichen Themenbereichen erstellen. Somit können Sie Benutzern mehrere Fragenthemen zur Verfügung stellen, aus denen sie das für sie am besten geeignete Thema auswählen können.

1. Markieren Sie im Richtlinien Navigationsbereich den Eintrag Local Self Help Fragen.

2. Klicken Sie mit der rechten Maustaste auf Local Self Help Fragen und wählen Sie Neu

> Fragenthema.

3. Geben Sie einen Namen für das Fragenthema ein und klicken Sie auf OK.

4. Markieren Sie im Richtlinien Navigationsbereich das neue Fragenthema unter Local Self

Help Fragen.

5. Klicken Sie im Arbeitsbereich mit der rechten Maustaste. Das Kontextmenü für das

Fragenthema wird geöffnet. Wählen Sie Hinzufügen im Kontextmenü.

Eine neue Fragenzeile wird hinzugefügt.

6. Geben Sie Ihre Frage ein und drücken Sie Enter. Um weitere Fragen hinzuzufügen, wiederholen Sie diesen Vorgang.

7. Speichern Sie Ihre Änderungen, indem Sie auf das Speichern Symbol in der Symbolleiste klicken.

Ihr Fragenthema ist registriert. Es wird der Richtlinie vom Typ Allgemeine Einstellungen,

über die Local Self Help auf den Endpoints aktiviert wird, automatisch mitgegeben.

5.6.8.1.7 Bearbeiten von Fragenthemen

1. Markieren Sie das gewünschte Fragenthema unter Local Self Help Fragen im Richtlinien

Navigationsbereich.

215

SafeGuard Enterprise

2. Sie können nun Fragen hinzufügen, ändern oder löschen.

■ Um Fragen hinzuzufügen, klicken Sie im Arbeitsbereich mit der rechten Maustaste, um das Kontextmenü anzuzeigen. Klicken Sie im Kontextmenü auf Hinzufügen. Der

Fragenliste wird eine neue Zeile hinzugefügt. Geben Sie Ihre Frage auf der Zeile ein.

■ Um Fragen zu ändern, klicken Sie auf den Fragentext im Arbeitsbereich. Bei der gewählten Frage wird ein Stiftsymbol angezeigt. Geben Sie auf der Fragenzeile Ihre

Änderungen ein.

■ Um Fragen zu löschen, markieren Sie die gewünschte Frage durch Klicken auf das graue Kästchen zu Beginn der Fragenzeile im Arbeitsbereich und wählen Sie im

Kontextmenü des Frageneintrags Entfernen.

3. Speichern Sie Ihre Änderungen, indem Sie auf das Speichern Symbol in der Symbolleiste klicken.

Ihr geändertes Fragenthema ist registriert. Es wird der Richtlinie vom Typ Allgemeine

Einstellungen, über die Local Self Help auf den Endpoints aktiviert wird, mitgegeben.

5.6.8.1.8 Löschen von Fragenthemen

Um ein Fragenthema zu löschen, klicken Sie mit der rechten Maustaste auf das Fragenthema unter Local Self Help Fragen im Richtlinien Navigationsbereich und wählen Sie Löschen.

Hinweis: Wenn Sie ein Fragenthema löschen, nachdem die Benutzer bereits Fragen aus diesem Thema zur Aktivierung von Local Self Help auf ihren Computern beantwortet haben, werden die Antworten der Benutzer ungültig, da die Fragen nicht mehr vorhanden sind.

5.6.8.1.9 Registrieren von Willkommenstexten

Sie können einen Willkommenstext registrieren, der im ersten Dialog des Local Self Help

Assistenten angezeigt werden soll.

Die Textdateien mit den gewünschten Informationen müssen erstellt werden, bevor sie im

SafeGuard Management Center registriert werden können. Die maximale Dateigröße für

Informationstexte beträgt 50 KB. SafeGuard Enterprise verwendet nur Unicode UTF-16 kodierte Texte. Wenn Sie die Textdateien nicht in diesem Format erstellen, werden sie bei der Registrierung automatisch in dieses Format konvertiert.

1. Klicken Sie im Richtlinien Navigationsbereich mit der rechten Maustaste auf Texte und wählen Sie Neu > Text.

2. Geben Sie unter Textelementname einen Namen für den anzeigenden Text ein.

3. Klicken Sie auf [...] um einen zuvor erstellten Text auszuwählen. Wenn eine Konvertierung notwendig ist, wird eine entsprechende Meldung angezeigt.

4. Klicken Sie auf OK.

Das neue Textelement wird als Unterknoten des Eintrags Texte im Richtlinien

Navigationsbereich angezeigt. Ist ein Textelement markiert, wird sein Inhalt im Aktionsbereich auf der rechten Seite angezeigt. Das Textelement kann jetzt beim Erstellen von Richtlinien ausgewählt werden.

Um weitere Textelemente zu registrieren, gehen Sie wie beschrieben vor. Alle registrierten

Textelemente werden als Unterknoten angezeigt.

5.6.8.2 Recovery mit Challenge/Response

Zur Optimierung von Workflows im Unternehmen und zur Reduzierung von Helpdesk-Kosten bietet SafeGuard Enterprise eine Challenge/Response Recovery-Lösung. Mit einem benutzerfreundlichen Challenge/Response-Verfahren unterstützt SafeGuard Enterprise

216

Administratorhilfe

Benutzer, die sich an ihrem Computer nicht mehr anmelden oder nicht auf verschlüsselte

Daten zugreifen können.

Diese Funktionalität ist im SafeGuard Enterprise Management Center in Form eines

Recovery-Assistenten integriert.

Nutzen und Vorteile des Challenge/Response-Verfahrens

Das Challenge/Response-Verfahren ist ein sicheres und effizientes Recovery-System.

■ Während des gesamten Vorgangs werden keine vertraulichen Daten in unverschlüsselter

Form ausgetauscht.

■ Informationen, die unberechtigte Dritte durch Mitverfolgen dieses Vorgangs erhalten könnten, lassen sich weder zu einem späteren Zeitpunkt noch auf anderen Geräten verwenden.

■ Für den Computer, auf den zugegriffen werden soll, muss während des Vorgangs keine

Online-Netzwerkverbindung bestehen. Der Response Code-Assistent für den Helpdesk läuft auch auf einem Standalone-Endpoint ohne Verbindung zum SafeGuard Enterprise

Server. Eine komplexe Infrastruktur ist nicht notwendig.

■ Der Benutzer kann schnell wieder mit dem Computer arbeiten. Es gehen keine verschlüsselten Daten verloren, nur weil der Benutzer das Kennwort vergessen hat.

Typische Notfälle, in denen Hilfe beim Helpdesk angefordert wird

■ Ein Benutzer hat sein Kennwort für die Anmeldung vergessen. Der Computer ist gesperrt.

■ Ein Benutzer hat seinen Token/seine Smartcard vergessen oder verloren.

■ Der lokale Cache der SafeGuard Power-on Authentication ist teilweise beschädigt.

■ Ein Benutzer ist krank oder im Urlaub und ein Kollege muss auf die Daten auf dem

Computer zugreifen.

■ Ein Benutzer möchte auf ein Volume zugreifen, das mit einem Schlüssel verschlüsselt ist, der auf dem Computer nicht verfügbar ist.

SafeGuard Enterprise bietet für diese typischen Notfälle unterschiedliche Recovery-Workflows, die dem Benutzer wieder den Zugang zu seinem Computer ermöglichen.

5.6.8.2.1 Challenge/Response Workflow

Das Challenge/Response-Verfahren basiert auf zwei Komponenten:

■ Endpoint, auf dem der Challenge Code erzeugt wird.

■ SafeGuard Management Center, in dem Sie als Helpdesk-Beauftragter mit ausreichenden

Rechten einen Response-Code erstellen, der den Benutzer zur Ausführung der angeforderten Aktion auf dem Computer berechtigt.

217

SafeGuard Enterprise

Hinweis: Für ein Challenge/Response-Verfahren benötigen Sie das Zugriffsrecht Voller

Zugriff für die beteiligten Computer/Benutzer.

1. Der Benutzer fordert auf dem Endpoint einen Challenge-Code an. Je nach Recovery-Typ wird der Challenge-Code in der SafeGuard Power-on Authentication oder über das

KeyRecovery Tool angefordert.

Es wird ein Challenge-Code aus Ziffern und Buchstaben erzeugt und angezeigt.

2. Der Benutzer wendet sich an den Helpdesk und übermittelt die notwendige

Identifizierungsinformationen sowie den Challenge-Code.

3. Der Helpdesk-Beauftragte startet den Recovery-Assistenten im SafeGuard Management

Center.

4. Der Helpdesk-Beauftragte wählt den entsprechenden Recovery-Typ, bestätigt die

Identifikationsinformationen sowie den Challenge-Code und wählt die gewünschte

Recovery-Aktion aus.

Ein Response-Code in Form einer ASCII-Zeichenfolge wird generiert und angezeigt.

5. Der Helpdesk übermittelt den Response-Code per Telefon oder Text-Mitteilung an den

Benutzer.

6. Der Benutzer gibt den Response-Code ein. Je nach Recovery-Typ erfolgt dies in der

SafeGuard POA oder über das KeyRecovery Tool.

Der Benutzer kann die autorisierte Aktion, z. B. Rücksetzen des Kennworts, ausführen und wieder mit dem Computer arbeiten.

5.6.8.2.2 Wann muss der Benutzer sein Kennwort ändern?

Im Rahmen eines SafeGuard Enterprise Recovery-Vorgangs muss der Benutzer u. U. sein

Windows-Kennwort ändern. Die folgende Tabelle zeigt, wann es erforderlich ist, das Kennwort zu ändern. Die ersten vier Spalten zeigen spezifische Bedingungen, die während des

Challenge/Response-Verfahrens auftreten können. Die letzte Spalte gibt basierend auf den

Bedingungen aus den ersten vier Spalten an, ob der Benutzer sein Kennwort ändern muss.

Nein

Bedingung: C/R mit

Benutzeranmeldung und Anzeige des

Kennworts

Bedingung: C/R mit

Benutzeranmeldung

Bedingung:

Domänen-Controller verfügbar

Bedingung: Option zur

Kennwortanzeige vom Benutzer abgelehnt

Ergebnis: Benutzer muss sein

Windows-Kennwort

ändern

Nein

Nein

218

Administratorhilfe

5.6.8.2.3 Starten des Recovery-Assistenten

Damit Sie in der Lage sind, ein Recovery-Verfahren auszuführen, stellen Sie sicher, dass Sie

über die erforderlichen Rechte und Berechtigungen verfügen.

1. Melden Sie sich am SafeGuard Management Center an.

2. Klicken Sie auf Extras > Recovery in der Menüleiste.

Der SafeGuard Recovery-Assistent wird gestartet. Sie können wählen, welchen Recovery-Typ

Sie verwenden möchten.

5.6.8.2.4 Recovery-Typen

Wählen Sie den Recovery-Typ, den Sie verwenden möchten. Folgende Recovery-Typen stehen zur Verfügung:

■ SafeGuard Enterprise Clients (managed)

Challenge/Response für zentral durch das SafeGuard Management Center verwaltete

Endpoints. Sie werden im Bereich Benutzer und Computer des SafeGuard Management

Centers angezeigt.

■ Virtuelle Clients

In komplexen Recovery-Situationen, zum Beispiel wenn die SafeGuard POA beschädigt ist, lässt sich der Zugriff auf verschlüsselte Daten auf einfache Art und Weise mit

Challenge/Response wieder herstellen. In diesem Fall werden spezifische Dateien mit der

Bezeichnung virtuelle Clients verwendet. Diese Art von Dateien ist sowohl für zentral verwaltete Computer als auch für Standalone-Endpoints verfügbar.

■ Sophos SafeGuard Clients (Standalone)

Challenge/Response für Standalone-Endpoints Diese Endpoints haben nie eine Verbindung zum SafeGuard Enterprise Server. Die erforderlichen Recovery-Informationen basieren auf der Schlüssel-Recovery-Datei. Diese Datei wird auf jedem Endpoint während der

Installation der Sophos SafeGuard Verschlüsselungssoftware erzeugt. Um in diesem Fall

Challenge/Response zur Verfügung zu stellen, muss die Schlüssel-Recovery-Datei dem

SafeGuard Enterprise Helpdesk zur Verfügung stehen, zum Beispiel auf einer

Netzwerkfreigabe.

Hinweis: Darüber hinaus steht das Recovery-Verfahren Local Self Help zur Verfügung, für das keine Unterstützung durch den Helpdesk benötigt wird.

5.6.8.2.5 Challenge/Response für SafeGuard Enterprise Clients (Managed)

SafeGuard Enterprise bietet ein Recovery-Verfahren für in der Datenbank registrierte Endpoints für verschiedene Recovery-Szenarien, z. B. Kennwort-Recovery.

Das Challenge/Response-Verfahren wird sowohl für native SafeGuard Enterprise Computer als auch für mit BitLocker verschlüsselte Endpoints unterstützt. Das System ermittelt den

Computertyp dynamisch. Der Recovery-Workflow wird dementsprechend angepasst.

5.6.8.2.5.1 Recovery-Aktionen für SafeGuard Enterprise Clients

Der Recovery Workflow richtet sich danach, für welchen Typ von Endpoint das

Recovery-Verfahren angefordert wird.

Hinweis: Für mit BitLocker verschlüsselte Computer steht als Recovery-Aktion nur die

Wiederherstellung des Schlüssels, der für die Verschlüsselung eines spezifischen Volumes verwendet wurde, zur Verfügung. Eine Recovery-Aktion für Kennwörter ist nicht verfügbar.

5.6.8.2.5.1.1

Best Practice für das Wiederherstellen des Kennworts auf SafeGuard POA-Ebene

219

SafeGuard Enterprise

Wir empfehlen, folgende Methoden anzuwenden, wenn der Benutzer sein Kennwort vergessen hat, um zu vermeiden, dass das Kennwort zentral zurückgesetzt werden muss:

■ Benutzen Sie Local Self Help.

Mit Recovery über Local Self Help kann sich der Benutzer das aktuelle Kennwort anzeigen lassen und dieses weiterhin benutzen, ohne es zurücksetzen zu müssen. Bei der Benutzung von Local Self Help ist außerdem keine Unterstützung durch den Helpdesk erforderlich.

■ Bei Anwendung von Challenge/Response für SafeGuard Enterprise Clients

(Managed):

Wir empfehlen, das Kennwort vor dem Challenge/Response-Verfahren nicht zentral im

Active Directory zurückzusetzen. Dadurch wird gewährleistet, dass das Kennwort zwischen

Windows und SafeGuard Enterprise synchron bleibt. Stellen Sie sicher, dass der

Windows-Helpdesk entsprechend informiert ist.

Erzeugen Sie als SafeGuard Enterprise Helpdesk-Beauftragter eine Response für das Booten

des SGN Clients mit Benutzeranmeldung mit der Option Benutzerkennwort anzeigen.

Dies bietet den Vorteil, dass das Kennwort nicht im Active Directory geändert werden muss.

Der Benutzer kann mit dem alten Kennwort weiterarbeiten und dieses später nach Wunsch lokal ändern.

5.6.8.2.5.1.2

Wiederherstellen des Kennworts auf SafeGuard POA-Ebene

Eines der am häufigsten auftretenden Recovery-Szenarien besteht darin, dass Benutzer ihr

Kennwort vergessen haben. SafeGuard Enterprise wird standardmäßig mit aktivierter

SafeGuard Power-on Authentication (POA) installiert. Das SafeGuard POA-Kennwort, mit dem auf den Computer zugegriffen wird, ist identisch mit dem Windows-Kennwort.

Wenn der Benutzer das Kennwort auf der SafeGuard POA-Ebene vergessen hat, generiert der Helpdesk-Beauftragte eine Response mit der Option SGN Client mit Benutzeranmeldung

booten, ohne das Benutzerkennwort anzuzeigen. In diesem Fall startet der Computer jedoch nach der Eingabe des Response-Codes bis zum Betriebssystem. Der Benutzer muss das

Kennwort auf Windows-Ebene ändern, vorausgesetzt, die Domäne ist erreichbar. Danach kann der Benutzer sich sowohl an Windows als auch an der SafeGuard Power-on

Authentication mit dem neuen Kennwort anmelden.

5.6.8.2.5.1.3

Anzeigen des Benutzerkennworts

SafeGuard Enterprise bietet Benutzern die Möglichkeit, sich ihr Kennwort während des

Challenge/Response-Verfahrens anzeigen zu lassen. Dies bietet den Vorteil, dass das

Kennwort nicht im Active Directory geändert werden muss. Diese Option ist verfügbar, wenn die Anforderung SGN Client mit Benutzeranmeldung booten gestellt wird.

5.6.8.2.5.1.4

Ein anderer Benutzer muss den durch SafeGuard Enterprise geschützten Endpoint starten

In diesem Fall startet der Benutzer, der Zugriff benötigt, den Endpoint und gibt seinen

Benutzernamen ein. Der Benutzer fordert dann eine Challenge an. Der SafeGuard Helpdesk generiert eine Response vom Typ SGN Client mit Benutzeranmeldung booten mit aktivierter

durchgehender Anmeldung an Windows. Der Benutzer wird angemeldet und kann den

Computer benutzen.

5.6.8.2.5.1.5

Wiederherstellen des SafeGuard Enterprise Policy-Cache

Diese Aktion wird notwendig, wenn der SafeGuard Policy Cache beschädigt ist. Im Local

Cache werden alle Schlüssel, Richtlinien, Benutzerzertifikate und Audit-Dateien gespeichert.

Standardmäßig ist Recovery für die Anmeldung bei einem beschädigten Local Cache deaktiviert. Er wird automatisch aus seiner Sicherungskopie wiederhergestellt. In diesem Fall ist für das Reparieren des Local Cache kein Challenge/Response-Verfahren erforderlich.

Wenn der Local Cache mit einem Challenge/Response-Verfahren repariert werden soll,

220

Administratorhilfe können Sie den Recovery-Vorgang per Richtlinie aktivieren. In diesem Fall wird der Benutzer bei einem beschädigten Local Cache automatisch dazu aufgefordert, ein

Challenge/Response-Verfahren zu starten.

5.6.8.2.5.1.6

SafeGuard Data Exchange: Recovery-Vorgänge bei vergessenem Kennwort

SafeGuard Data Exchange ohne Device Encryption bietet für den Fall, dass der Benutzer sein Kennwort vergessen hat, keinen Recovery-Vorgang über Challenge/Response. In diesem

Fall müssen Sie das Kennwort im Active Directory ändern. Melden Sie sich ohne Sophos

Credential Provider am Endpoint an und stellen Sie die Benutzerkonfiguration auf dem Endpoint wieder her.

5.6.8.2.5.2 Response für SafeGuard Enterprise Clients

1. Wählen Sie auf der Recovery-Typ Seite die Option SafeGuard Enterprise Client

(Managed).

2. Wählen Sie unter Domäne die gewünschte Domäne aus der Liste.

3. Geben Sie unter Computer den gewünschten Computernamen ein oder wählen Sie ihn aus. Hierzu gibt es mehrere Möglichkeiten:

■ Um einen Namen auszuwählen, klicken Sie auf [...]. Klicken Sie anschließend auf Jetzt

suchen. Eine Liste mit Computern wird angezeigt. Wählen Sie den gewünschten

Computer aus und klicken Sie auf OK. Der Computername wird auf der Seite

Recovery-Typ angezeigt.

■ Geben Sie den Computernamen direkt als Distinguished Name ein, zum Beispiel:

CN=Desktop1,OU=Development,OU=Headquarter,DC=Sophos,DC=edu

4. Klicken Sie auf Weiter.

5. Wählen Sie die Domäne des Benutzers.

6. Geben Sie den Benutzernamen ein. Hierfür gibt es mehrere Möglichkeiten:

■ Um den Benutzernamen auszuwählen, klicken Sie auf [...] im Abschnitt

Benutzer-Information des Dialogs Recovery für die Anmeldung. Klicken Sie anschließend auf Jetzt suchen. Eine Liste mit Benutzernamen wird angezeigt. Wählen

Sie den gewünschten Namen und klicken Sie auf OK. Der Benutzername wird auf der

Seite Recovery-Typ angezeigt.

■ Geben Sie den Benutzernamen direkt ein. Stellen Sie sicher, dass der Name korrekt geschrieben ist.

7. Klicken Sie auf Weiter.

Eine Seite für die Eingabe des Challenge-Codes wird angezeigt.

8. Geben Sie den vom Benutzer erhaltenen Challenge-Code ein und klicken Sie auf Weiter.

Der Challenge-Code wird geprüft. Wenn der Code nicht korrekt eingegeben wurde, wird unterhalb des Blocks, der den Fehler enthält, der Text Ungültige Challenge angezeigt.

221

SafeGuard Enterprise

9. Wenn der Challenge-Code korrekt eingegeben wurde, werden die vom SafeGuard

Enterprise Client angeforderte Aktion sowie die möglichen Recovery-Aktionen auf dem

Client angezeigt. Die möglichen Response-Aktionen richten sich nach den Aktionen, die auf Client-Seite beim Aufrufen der Challenge angefordert wurden. Wenn auf Client-Seite zum Beispiel Crypto Token erforderlich angefordert wurde, stehen für die Response die

Aktionen SGN Client mit Benutzeranmeldung booten und SGN Client ohne

Benutzeranmeldung booten zur Verfügung.

10. Wählen Sie die Aktion, die der Benutzer ausführen soll.

11. Wenn Sie SGN Client mit Benutzeranmeldung booten ausgewählt haben, können Sie zusätzlich auch die Option Benutzerkennwort anzeigen wählen, um das Kennwort auf dem Zielcomputer anzeigen zu lassen.

12. Klicken Sie auf Weiter.

13. Es wird ein Response-Code erzeugt. Teilen Sie dem Benutzer den Response-Code mit.

Hierzu steht eine Buchstabierhilfe zur Verfügung. Sie können den Response-Code auch in die Zwischenablage kopieren.

Der Benutzer kann nun den Response-Code auf dem Endpoint eingeben und die autorisierte

Aktion durchführen.

5.6.8.2.6 Challenge/Response mit virtuellen Clients

Mit Recovery über Challenge/Response mit virtuellen Clients bietet SafeGuard Enterprise ein

Recovery-Verfahren für verschlüsselte Volumes in komplexen Notfallsituationen, z. B., wenn die SafeGuard POA beschädigt ist. Dieses Verfahren lässt sich sowohl auf zentral verwaltete

Endpoints als auch auf Standalone Endoints anwenden.

Hinweis: Recovery mit virtuellen Clients sollte nur in komplexen Notfallsituationen angewendet werden. Wenn zum Beispiel nur ein Schlüssel für die Wiederherstellung eines Volumes fehlt, ist es am besten, den fehlenden Schlüssel dem Schlüsselbund des entsprechenden Benutzers zuzuweisen, um den Zugriff auf das Volume zu ermöglichen.

5.6.8.2.6.1 Recovery Workflow mit virtuellen Clients

Über folgenden allgemeinen Workflow lässt sich der Zugang zum verschlüsselten Endpoint wiederherstellen:

1. Sie erhalten die SafeGuard Enterprise Recovery Disk vom technischen Support.

Für den Helpdesk steht die Windows PE Recovery Disk mit den aktuellen SafeGuard

Enterprise Filter-Treibern auf der Sophos Support-Website zum Download zur Verfügung.

Weitere Informationen finden Sie im Sophos Knowledgebase-Artikel 108805 .

2. Erstellen Sie den virtuellen Client im SafeGuard Management Center, siehe

Anlegen von virtuellen Clients

(Seite 240).

3. Exportieren Sie den virtuellen Client in eine Datei, siehe Export von virtuellen Clients (Seite

241).

4. Optional können Sie mehrere virtuelle Clients in eine Datei exportieren, siehe Anlegen und Exportieren von Schlüsseldateien für den Recovery-Vorgang (Seite 241).

5. Booten Sie den Endpoint von der Recovery Disk.

6. Importieren Sie die Datei mit dem virtuellen Client in das KeyRecovery Tool.

7. Starten Sie die Challenge im KeyRecovery Tool.

8. Bestätigen Sie den virtuellen Client im SafeGuard Management Center.

9. Wählen Sie die erforderliche Recovery-Aktion.

10. Geben Sie den Challenge-Code im SafeGuard Management Center ein.

11. Generieren Sie den Response-Code im SafeGuard Management Center.

12. Geben Sie den Response-Code im KeyRecovery Tool ein.

Auf den Computer kann wieder zugegriffen werden.

222

Administratorhilfe

5.6.8.2.6.2 Booten des Computers von der Recovery Disk.

Voraussetzung: Stellen Sie sicher, dass die Boot-Reihenfolge im BIOS das Booten von CD erlaubt.

1. Fordern Sie vom technischen Support von Sophos die SafeGuard Enterprise Windows

PE Disk an.

Für den Helpdesk steht die Windows PE Recovery Disk mit den aktuellen SafeGuard

Enterprise Filter-Treibern auf der Sophos Support-Website zum Download zur Verfügung.

Weitere Informationen finden Sie im Sophos Knowledgebase-Artikel 108805 .

2. Legen Sie auf dem Endpoint die Recovery Disk ein und starten Sie den Computer. Der integrierte Dateimanager wird geöffnet. Hier sehen Sie auf einen Blick die bereitgestellten

Volumes und Laufwerke.

Der Inhalt des verschlüsselten Laufwerks ist im Dateimanager nicht sichtbar. In den

Eigenschaften des verschlüsselten Laufwerks werden weder das Dateisystem, noch die

Kapazität sowie der verwendete/freie Speicherplatz angegeben.

223

SafeGuard Enterprise

3. Klicken Sie unten im Bereich Quick Launch des Dateimanagers auf das

KeyRecovery-Symbol, um das KeyRecovery Tool zu öffnen. Das Key Recovery Tool zeigt die Schlüssel-ID verschlüsselter Laufwerke.

4. Suchen Sie nach der Schlüssel-ID des Laufwerks, auf das Sie zugreifen möchten. Die

Schlüssel-ID wird später abgefragt.

Im nächsten Schritt importieren Sie den virtuellen Client in das Key Recovery Tool.

5.6.8.2.6.3 Import des virtuellen Client in das KeyRecovery Tool

Voraussetzung:

■ Der Computer wurde von der Recovery Disk gebootet.

■ Stellen Sie sicher, dass das USB-Laufwerk mit der Datei recoverytoken.tok

erfolgreich bereitgestellt wurde.

1. Wählen Sie im Windows PE Dateimanager das Laufwerk aus, auf dem der virtuelle Client gespeichert ist. Die Datei recoverytoken.tok wird auf der rechten Seite angezeigt.

224

Administratorhilfe

2. Wählen Sie die Datei recoverytoken.tok aus und ziehen Sie sie auf das Laufwerk, auf dem sich das KeyRecovery Tool befindet. Legen Sie die Datei hier im Verzeichnis

Toos\SGN-Tools ab.

225

SafeGuard Enterprise

5.6.8.2.6.4 Starten einer Challenge im KeyRecovery Tool

1. Klicken Sie unten im Bereich Quick Launch des Windows PE Dateimanagers auf das

KeyRecovery-Symbol, um das KeyRecovery Tool zu öffnen. Das Key Recovery Tool zeigt die Schlüssel-ID verschlüsselter Laufwerke.

Das Tool startet und zeigt eine Liste aller Volumes mit den jeweiligen

Verschlüsselungsinformationen (Schlüssel-ID).

2. Wählen Sie das Volume, das Sie entschlüsseln möchten und klicken Sie auf Import mit

C/R, um den Challenge-Code zu erzeugen.

Die Datei mit dem virtuellen Client wird als Referenz in der SafeGuard Enterprise Datenbank verwendet und in der Challenge angegeben. Der Challenge-Code wird erzeugt und angezeigt.

3. Übermitteln Sie den Namen des virtuellen Clients und den Challenge-Code an den

Helpdesk, z. B. über Telefon oder eine Textmitteilung. Hierzu steht eine Buchstabierhilfe zur Verfügung.

5.6.8.2.6.5 Bestätigen des virtuellen Client

Voraussetzung: Der virtuelle Client muss im SafeGuard Management Center unter Virtuelle

Clients angelegt worden sein und er muss in der Datenbank zur Verfügung stehen.

1. Klicken Sie im SafeGuard Management Center auf Extras > Recovery, um den

Recovery-Assistenten zu öffnen.

2. Wählen Sie unter Recovery-Typ die Option Virtueller Client.

3. Geben Sie den Namen des virtuellen Client ein, den Sie vom Benutzer erhalten haben.

Hierzu gibt es verschiedene Möglichkeiten:

■ Geben Sie den eindeutigen Namen direkt ein.

226

Administratorhilfe

■ Wählen Sie einen Namen, indem Sie auf [...] im Abschnitt Virtueller Client des Dialogs

Recovery-Typ klicken. Klicken Sie anschließend auf Jetzt suchen. Eine Liste mit virtuellen Clients wird angezeigt. Wählen Sie den gewünschten virtuellen Client aus und klicken Sie auf OK. Der Name des virtuellen Clients wird nun auf der Recovery-Typ

Seite unter Virtueller Client angezeigt.

4. Klicken Sie auf Weiter, um den Namen der Datei mit dem virtuellen Client zu bestätigen.

Im nächsten Schritt wählen Sie die erforderliche Recovery-Aktion aus.

5.6.8.2.6.6 Auswählen der erforderlichen Recovery-Aktion

1. Wählen Sie bei Virtueller Client auf der Angeforderte Aktion Seite eine der folgenden

Optionen:

■ Wählen Sie Schlüssel angefordert, um einen einzelnen Schlüssel für den Zugriff auf ein verschlüsseltes Volume auf dem Computer wiederherzustellen.

Diese Option ist sowohl für zentral verwaltete Endpoints als auch für

Standalone-Endpoints verfügbar.

■ Wählen Sie Kennwort für Schlüsseldatei angefordert, um mehrere Schlüssel für den

Zugriff auf verschlüsselte Volumes auf dem Computer wiederherzustellen. Die Schlüssel werden in einer Datei gespeichert, die mit einem Zufallskennwort verschlüsselt wird, das in der Datenbank abgelegt ist. Das Kennwort ist für jede angelegte Schlüsseldatei einzigartig. Das Kennwort wird innerhalb des Response-Codes an den Zielcomputer

übertragen.

Diese Option ist nur für zentral verwaltete Endpoints verfügbar.

2. Klicken Sie auf Weiter.

5.6.8.2.6.7 Auswahl des angeforderten Schlüssel (einzelner Schlüssel)

Voraussetzung:

Sie müssen den erforderlichen virtuellen Client im Recovery-Assistenten des SafeGuard

Management Center sowie die Recovery-Aktion Schlüssel angefordert ausgewählt haben.

1. Wählen Sie im Recovery-Assistenten auf der Seite Virtueller Client aus, ob die Aktion von einem zentral verwalteten-Endpoint oder einem Standalone-Endpoint angefordert wird.

■ Wählen Sie für zentral verwaltete Endpoints Recovery-Schlüssel für einen SafeGuard

Enterprise Managed Client. Klicken Sie auf [...]. In Schlüssel suchen können Sie sich die Schlüssel nach Schlüssel-ID oder symbolischem Namen anzeigen lassen.

Klicken Sie auf Jetzt suchen, wählen Sie den Schlüssel und klicken Sie auf OK.

Hinweis: Eine Response kann nur für zugewiesene Schlüssel erzeugt werden. Ist ein

Schlüssel inaktiv, d. h. der Schlüssel ist nicht mindestens einem Benutzer zugewiesen, ist eine Response mit einem virtuellen Client nicht möglich. In diesem Fall kann der inaktive Schlüssel zunächst einem beliebigen Benutzer zugewiesen werden. Danach kann eine Response für den Schlüssel generiert werden.

227

SafeGuard Enterprise

■ Wählen Sie für Standalone-Endpoints Recovery-Schlüssel für einen Sophos

SafeGuard Standalone Client. Klicken Sie neben dieser Option auf [...], um nach der entsprechenden Datei zu suchen. Zur Vereinfachung der Identifizierung tragen die

Recovery-Dateien den Namen des Computers: computername.GUID.xml. Wählen Sie die Datei aus und klicken Sie auf Öffnen.

Hinweis: Die Schlüssel-Recovery-Datei, die zur Wiederherstellung des Zugriffs auf den Computer erforderlich ist, muss dem Helpdesk zur Verfügung stehen, z. B. über eine Netzwerkfreigabe.

2. Klicken Sie auf Weiter. Die Seite für die Eingabe des Challenge-Codes wird angezeigt.

Der angeforderte Schlüssel wird mit dem Response-Code an die Benutzerumgebung

übertragen.

5.6.8.2.6.8 Auswahl des angeforderten Schlüssel (mehrere Schlüssel)

Voraussetzung:

Diese Option ist nur für zentral verwaltete Endpoints verfügbar.

Sie müssen die Schlüsseldatei zuvor im SafeGuard Management Center unter Schlüssel

imd Zertifikate angelegt haben und das Kennwort, mit dem die Datei verschlüsselt ist, muss in der Datenbank gespeichert sein.

Sie müssen den erforderlichen virtuellen Client im Recovery-Assistenten des SafeGuard

Management Center sowie die Recovery-Aktion Kennwort für Schlüsseldatei angefordert ausgewählt haben.

1. Um eine Schlüsseldatei auszuwählen, klicken Sie auf die [...] Schaltfläche neben dieser

Option. Klicken Sie in Schlüsseldatei auf Jetzt suchen. Wählen Sie die Schlüsseldatei aus und klicken Sie auf OK.

2. Klicken Sie zur Bestätigung auf Weiter.

Die Seite für die Eingabe des Challenge-Codes wird angezeigt.

5.6.8.2.6.9 Eingeben des Challenge-Codes und Erzeugen des Response-Codes

Voraussetzung:

Sie müssen den erforderlichen virtuellen Client im Recovery-Assistenten des SafeGuard

Management Center sowie die erforderliche Recovery-Aktion ausgewählt haben.

1. Geben Sie den vom Benutzer erhaltenen Challenge-Code ein und klicken Sie auf Weiter.

Der Challenge-Code wird geprüft.

Wenn der Challenge-Code korrekt eingegeben wurde, wird der Response-Code erzeugt.

Wenn der Code nicht korrekt eingegeben wurde, wird unterhalb des Blocks, der den Fehler enthält, der Text Ungültige Challenge angezeigt.

2. Teilen Sie dem Benutzer den Response-Code mit. Hierzu steht eine Buchstabierhilfe zur

Verfügung. Sie können den Response-Code auch in die Zwischenablage kopieren.

Wenn Sie Schlüssel angefordert als Recovery-Aktion ausgewählt haben, wird der angeforderte Schlüssel im Response-Code an die Benutzerumgebung übertragen.

Wenn Sie Kennwort für Schlüsseldatei angefordert als Recovery-Aktion ausgewählte haben, wird das Kennwort für die verschlüsselte Schlüsseldatei im Response-Code übertragen.

Die Schlüsseldatei wird daraufhin gelöscht.

228

Administratorhilfe

5.6.8.2.6.10 Eingeben des Response-Codes im KeyRecovery Tool

1. Geben Sie im KeyRecovery Tool auf dem Endpoint den Response-Code ein, den Sie vom

Helpdesk erhalten haben.

Mit dem Response-Code wird der erforderliche Recovery-Schlüssel übertragen.

2. Klicken Sie auf OK. Das für das Challenge/Response-Verfahren gewählte Laufwerk wird entschlüsselt.

229

SafeGuard Enterprise

3. Um sicherzustellen, dass die Entschlüsselung erfolgreich durchgeführt werden konnte, wählen Sie das entschlüsselte Laufwerk im Windows PE Dateimanager aus:

Der Inhalt des entschlüsselten Laufwerks wird nun im Dateimanager angezeigt. Das

Dateisystem und die Kapazität sowie der benutzte/freie Speicherplatz werden nun in den

Eigenschaften des entschlüsselten Laufwerks angegeben.

Der Zugriff auf die Daten, die auf dieser Partition gespeichert sind, ist wiederhergestellt. Nach der erfolgreichen Entschlüsselung haben Sie auf dem entsprechenden Laufwerk Lese- und

Schreibzugriff für Daten. Sie können Daten vom und auf das Laufwerk kopieren.

5.6.8.2.7 Challenge/Response für Sophos SafeGuard Clients (Standalone)

SafeGuard Enterprise bietet Challenge/Response für Recovery-Vorgänge, z. B. wenn der

Benutzer sein Kennwort vergessen oder es zu oft falsch eingegeben hat, auch für

Standalone-Endpoints (Sophos SafeGuard Clients Standalone). Standalone-Endpoints haben nie eine Verbindung zum SafeGuard Enterprise Server, auch nicht vorübergehend. Sie werden im Standalone-Modus betrieben.

Die für Challenge/Response-Vorgänge benötigten Recovery-Informationen basieren in diesem

Fall auf der Schlüssel-Recovery-Datei. Diese Schlüssel-Recovery-Datei wird auf jedem

Standalone-Endpoint während der Installation der SafeGuard Enterprise

Verschlüsselungssoftware erzeugt. Die Schlüssel-Recovery-Datei muss dem SafeGuard

Enterprise Helpdesk zur Verfügung stehen, zum Beispiel auf einer Netzwerkfreigabe.

Um die Suche nach und die Gruppierung von Recovery-Dateien zu vereinfachen, enthalten die Dateinamen den Namen des Computers: computername.GUID.xml

. Somit sind

Suchvorgänge mit Asterisken (*) als Platzhalter möglich, z. B.: *.GUID.xml.

Hinweis: Wenn ein Computer umbenannt wird, wird er im Local Cache nicht automatisch entsprechend umbenannt. Im Local Cache werden alle Schlüssel, Richtlinien,

Benutzerzertifikate und Audit-Dateien gespeichert. Für die Datei-Generierung muss der neue

230

Administratorhilfe

Computername daher aus dem Local Cache entfernt werden, so dass nur der vorige Name verbleibt, auch wenn der Computer unter Windows umbenannt wird.

5.6.8.2.7.1 Recovery-Aktionen für Sophos SafeGuard Clients (standalone)

Für einen Standalone-Endpoint kann in den folgenden Situationen ein

Challenge/Response-Verfahren gestartet werden:

■ Der Benutzer hat das Kennwort zu oft falsch eingegeben.

■ Der Benutzer hat das Kennwort vergessen.

■ Ein beschädigter Local Cache muss repariert werden.

Für einen Standalone-Endpoint steht kein Benutzerschlüssel in der Datenbank zur Verfügung.

Somit ist in einem Challenge/Response-Verfahren nur die Recovery-Aktion SGN Client ohne

Benutzeranmeldung booten möglich.

Das Challenge/Response-Verfahren ermöglicht das Booten des Computers durch die

SafeGuard Power-on Authentication. Der Benutzer kann sich dann an Windows anmelden.

Mögliche Recovery-Anwendungsfälle:

Der Benutzer hat das Kennwort auf SafeGuard POA-Ebene zu oft falsch eingegeben und der Computer wurde gesperrt. Der Benutzer weiß jedoch das Kennwort.

Der Computer ist gesperrt und der Benutzer wird dazu aufgefordert, ein

Challenge/Response-Verfahren zu starten, um wieder Zugriff auf den Computer zu erhalten.

Da der Benutzer das Kennwort noch weiß, muss es nicht zurückgesetzt werden. Das

Challenge/Response-Verfahren ermöglicht das Booten des Computers durch die SafeGuard

Power-on Authentication. Der Benutzer kann dann das korrekte Kennwort auf Windows-Ebene eingeben und den Computer wieder benutzen.

Der Benutzer hat das Kennwort vergessen

Hinweis: Wir empfehlen, Local Self Help einzusetzen, um ein vergessenes Kennwort wiederherzustellen. Mit Local Self Help können Benutzer sich das aktuelle Benutzerkennwort anzeigen lassen und es weiterhin zur Anmeldung verwenden. Dadurch wird ein Rücksetzen des Kennworts vermieden. Außerdem muss der Helpdesk nicht um Hilfe gebeten werden.

Wenn das Kennwort über ein Challenge/Response-Verfahren wiederhergestellt wird, muss das Kennwort zurückgesetzt werden.

1. Das Challenge/Response-Verfahren ermöglicht das Booten des Computers durch die

SafeGuard Power-on Authentication.

2. Da Ihnen das Kennwort nicht bekannt ist, können der Benutzer es im Windows-Dialog nicht eingeben. Das Kennwort muss auf Windows-Ebene zurückgesetzt werden. Hierzu sind weitere Recovery-Vorgänge außerhalb von SafeGuard Enterprise erforderlich, die

über Windows-Standard-Verfahren durchgeführt werden müssen.

Hinweis: Wir empfehlen, das Kennwort vor dem Challenge/Response-Verfahren nicht zentral im Active Directory zurückzusetzen. Dadurch wird gewährleistet, dass das Kennwort zwischen Windows und SafeGuard Enterprise synchron bleibt. Stellen Sie sicher, dass der Windows-Helpdesk entsprechend informiert ist.

Wir empfehlen, die folgenden Methoden für das Zurücksetzen des Kennworts auf

Windows-Ebene:

■

Über ein Service-Benutzerkonto oder ein Administratorkonto mit den erforderlichen

Windows-Rechten auf dem Endpoint

■

Über eine Windows-Kennwortrücksetz-Diskette auf dem Endpoint

231

SafeGuard Enterprise

Als Helpdesk-Beauftragter können Sie den Benutzer darüber informieren, welche

Methode benutzt werden soll, und ihm die zusätzlichen Windows-Anmeldeinformationen oder die erforderliche Diskette zur Verfügung stellen.

3. Der Benutzer gibt das neue Kennwort ein, dass der Helpdesk auf Windows-Ebene zurückgesetzt hat. Unmittelbar muss der Benutzer das Kennwort in ein nur ihm bekanntes

Kennwort ändern. Basierend auf dem neu gewählten Windows-Kennwort wird ein neues

Benutzerzertifikat erzeugt. Dies ermöglicht es dem Benutzer, sich mit dem neuen Kennwort wieder an seinem Computer und an der SafeGuard Power-on Authentication anzumelden.

Hinweis: Schlüssel für SafeGuard Data Exchange: Wenn ein Kennwort zurückgesetzt und ein neues Zertifikat erstellt wird, können die zuvor für SafeGuard Data Exchange erzeugten lokalen Schlüssel noch verwendet werden, wenn der Endpoint Mitglied einer

Domäne ist. Wenn der Endpoint Mitglied einer Arbeitsgruppe ist, muss dem Benutzer die

SafeGuard Data Exchange Passphrase bekannt sein, damit diese lokalen Schlüssel reaktiviert werden können.

Der Local Cache muss repariert werden.

Im Local Cache werden alle Schlüssel, Richtlinien, Benutzerzertifikate und Audit-Dateien gespeichert. Standardmäßig ist Recovery für die Anmeldung bei einem beschädigten Local

Cache deaktiviert, d. h. der Local Cache wird automatisch aus seiner Sicherungskopie wiederhergestellt. In diesem Fall ist für das Reparieren des Local Cache kein

Challenge/Response-Verfahren erforderlich. Soll der Local Cache jedoch explizit mit einem

Challenge/Response-Verfahren repariert werden, so lässt sich Recovery für die Anmeldung

über eine Richtlinie aktivieren. In diesem Fall wird der Benutzer bei einem beschädigten Local

Cache automatisch dazu aufgefordert, ein Challenge/Response-Verfahren zu starten.

5.6.8.2.7.2 Erzeugen einer Response für Standalone-Endpoints mit der Schlüssel-Recovery-Datei

Hinweis: Die Schlüssel-Recovery-Datei, die während der Installation der SafeGuard Enterprise

Verschlüsselungssoftware generiert wurde, muss an einem Speicherort abgelegt sein, auf den der Helpdesk-Beauftragte Zugriff hat. Darüber hinaus muss der Name der Datei bekannt sein.

1. Wählen Sie in der Menüleiste des SafeGuard Management Center Extras > Recovery, um den Recovery-Assistenten zu öffnen.

2. Wählen Sie unter Recovery-Typ die Option Sophos SafeGuard Client (Standalone).

3. Suchen Sie nach der Schlüssel-Recovery-Datei, indem Sie auf die [...] Schaltfläche neben dem Feld Schlüssel-Recovery-Datei klicken. Zur Vereinfachung der Identifizierung tragen die Recovery-Dateien den Namen des Computers: computername.GUID.xml.

4. Geben Sie den vom Benutzer erhaltenen Challenge-Code ein und klicken Sie auf Weiter.

Der Challenge-Code wird geprüft.

Wenn der Challenge-Code korrekt eingegeben wurde, werden die vom Endpoint-Computer angeforderte Recovery-Aktion sowie die möglichen Recovery-Aktionen angezeigt. Wenn der Code nicht korrekt eingegeben wurde, wird unterhalb des Blocks, der den Fehler enthält, der Text Ungültige Challenge angezeigt.

5. Wählen Sie die vom Benutzer durchzuführende Aktion aus und klicken Sie auf Weiter.

6. Es wird ein Response-Code erzeugt. Teilen Sie den Response-Code dem Benutzer mit.

Hierzu steht eine Buchstabierhilfe zur Verfügung. Sie können den Response-Code auch in die Zwischenablage kopieren.

Der Benutzer kann den Response-Code eingeben, die angeforderte Aktion ausführen und dann wieder mit dem Computer arbeiten.

232

Administratorhilfe

5.6.8.3 Systemwiederherstellung für SafeGuard Full Disk Encryption

SafeGuard Enterprise verschlüsselt Dateien und Laufwerke transparent. Darüber hinaus können auch Bootlaufwerke verschlüsselt werden, so dass Entschlüsselungsfunktionalitäten wie Code, Verschlüsselungsalgorithmen und Verschlüsselungsschlüssel sehr früh in der

Bootphase verfügbar sein müssen. Folglich kann auf verschlüsselte Informationen nicht zugegriffen werden, wenn entscheidende SafeGuard Enterprise Module nicht verfügbar sind oder nicht funktionieren.

Die folgenden Abschnitte beschreiben mögliche Probleme und Recovery-Verfahren.

5.6.8.3.1 Daten-Recovery durch Booten von einem externen Medium

Dieser Recovery-Typ kann angewendet werden, wenn sich der Benutzer nicht mehr auf das verschlüsselte Volume zugreifen kann. In diesem Fall kann der Zugriff auf die verschlüsselten

Daten durch Booten des Computers über eine für SafeGuard Enterprise angepasste Windows

PE Recovery Disk wiederhergestellt werden.

Voraussetzungen:

■ Der Benutzer, der vom externen Medium bootet, muss dazu berechtigt sein. Das muss im

BIOS des Computers so konfiguriert sein.

■ Der Computer muss das Booten von anderen Medien außer von der fest eingebauten

Festplatte unterstützen.

So erhalten Sie wieder Zugriff auf die verschlüsselten Daten auf dem Computer:

1. Fordern Sie beim technischen Support von Sophos die SafeGuard Enterprise Windows

PE Disk an.

Für den Helpdesk steht die Windows PE Recovery Disk mit den aktuellen SafeGuard

Enterprise Filter-Treibern auf der Sophos Support-Website zum Download zur Verfügung.

Weitere Informationen finden Sie im Sophos Knowledgebase-Artikel 108805 .

2. Legen Sie die Windows PE Recovery Disk ein.

3. Starten Sie den Computer von der Recovery Disk und führen Sie ein Challenge/Response

mit einem virtuellen Client durch. Für weitere Informationen, siehe Challenge/Response mit virtuellen Clients (Seite 222).

Der Zugriff auf die Daten, die auf dieser Partition gespeichert sind, ist wiederhergestellt.

Hinweis: Je nach verwendetem BIOS funktioniert das Booten von der Disk u. U. nicht.

5.6.8.3.2 Beschädigter MBR

Zur Problembehebung im Fall eines beschädigten MBR bietet SafeGuard Enterprise das Tool

BE_Restore.exe

Eine detaillierte Beschreibung zur Wiederherstellung eines beschädigten MBR finden Sie in der SafeGuard Enterprise Tools-Anleitung.

5.6.8.3.3 Beschädigter Kernel-Bootcode

Es kann auf eine Festplatte mit einem beschädigten Kernel-Bootcode zugegriffen werden.

Denn Schlüssel werden getrennt vom Kernel in der so genannten KSA (Key Storage Area) gespeichert. Durch die Trennung von Kernel und Schlüsseln können solche Laufwerke angeschlossen an einen anderen Computer entschlüsselt werden.

Dazu benötigt der Benutzer, der sich an dem anderen Computer anmeldet, einen Schlüssel der KSA der nicht bootbaren Partition in seinem Schlüsselring.

233

SafeGuard Enterprise

Im schlimmsten Fall ist die Partition nur mit dem Boot_Key des anderen Computers verschlüsselt. In diesem Fall muss der Haupt-Sicherheitsbeauftragte oder der

Recovery-Beauftragte dem Benutzer diesen Boot_Key zuweisen.

Für weitere Informationen, siehe

„Slaven“ einer Festplatte (Seite 235).

5.6.8.3.4 Volumes

SafeGuard Enterprise bietet die volume-basierende Verschlüsselung. Dies beinhaltet die

Speicherung von Verschlüsselungsinformationen bestehend aus Bootsektor, primärer bzw.

Backup-KSA und Originalbootsektor auf jedem Laufwerk selbst.

Wenn eine der folgenden Bedingungen zutrifft, besteht auf das jeweilige Volume kein Zugriff mehr:

■ Beide Key Storage Areas (KSA) sind zur gleichen Zeit beschädigt.

■ Der Original-MBR ist beschädigt.

5.6.8.3.4.1 Bootsektor

Der Bootsektor eines Volumes wird bei der Verschlüsselung gegen den SafeGuard Enterprise

Bootsektor ausgetauscht.

Der SafeGuard Enterprise Bootsektor enthält Informationen über

■ den Ort der primären und Backup-KSA in Clustern und Sektoren bezogen auf den Start der Partition

■ die Größe der KSA

Auch wenn der SafeGuard Enterprise Bootsektor zerstört ist, ist kein Zugriff auf verschlüsselte

Volumes möglich.

Das Tool BE_Restore kann den zerstörten Bootsektor wiederherstellen. Weitere Informationen hierzu finden Sie in der SafeGuard Enterprise Tools-Anleitung.

5.6.8.3.4.2 Originaler Bootsektor

Beide KSAs enthalten den originalen Bootsektor. Das ist jener, der ausgeführt wird, nachdem der DEK (Data Encryption Key) entschlüsselt wurde und der Algorithmus und der Schlüssel in den BE Filtertreiber geladen wurden.

Ist dieser Bootsektor defekt, kann Windows nicht auf das Volume zugreifen. Normalerweise wird die bekannte Fehlermeldung „Gerät ist nicht formatiert. Möchten Sie es jetzt formatieren?

Ja/Nein“ angezeigt.

SafeGuard Enterprise wird den DEK für dieses Volume dennoch laden. Jedes Tool, das den

Bootsektor reparieren kann, soll dennoch laufen - vorausgesetzt, es passiert den SafeGuard

Enterprise Upper Volume Filter.

5.6.8.3.5 Windows Bootprobleme

SafeGuard Enterprise ist mit seinem kryptographischen Konzept der volume-spezifischen

Schlüssel (Bootsektor, Key Storage Area KSA) sehr flexibel.

Sie können ein beschädigtes System durch Booten eines Wiederherstellungsmediums von der SafeGuard Power-on Authentication aus (Windows PE mit dem SafeGuard Enterprise

Verschlüsselungs-Subsystem installiert) retten. Diese Medien haben einen transparenten

Ver-/Entschlüsselungszugriff auf mit SafeGuard Enterprise verschlüsselte Volumes. Der Grund für das nicht bootbare System kann von dort aus beseitigt werden.

234

Administratorhilfe

5.6.8.3.5.1 Verschlüsselungs-Subsystem

Verschlüsselungs-Subsysteme sind z. B. BEFLT.sys Systeme. Führen Sie das unter Windows

Bootprobleme beschriebene Verfahren aus und reparieren Sie das System.

5.6.8.3.6 Setup WinPE für SafeGuard Enterprise

Um Zugriff auf verschlüsselte Laufwerke mit dem BOOTKEY eines Computers innerhalb einer

WinPE Umgebung zu erhalten, stellt SafeGuard Enterprise WinPE mit notwendigen SafeGuard

Enterprise Funktionsmodulen wie Treibern zur Verfügung. Um SetupWinPE zu starten, geben

Sie folgenden Befehl ein:

SetupWinPE -pe2 <WinPE Image-Datei>

WinPE Image-Datei ist dabei die vollständige Pfadangabe des I386 Verzeichnisses für eine WinPE-CD.

SetupWinPE führt alle erforderlichen Änderungen durch.

Hinweis: Über eine derartige WinPE-Umgebung kann nur auf verschlüsselte Laufwerke zugegriffen werden, die mit dem BOOTKEY verschlüsselt sind. Auf Laufwerke, die mit einem

Benutzerschlüssel verschlüsselt sind, kann nicht zugegriffen werden, da die Schlüssel in dieser Umgebung nicht verfügbar sind.

5.6.8.3.7 „Slaven“ einer Festplatte

SafeGuard Enterprise erlaubt das Slaven von verschlüsselten Volumes oder Festplatten. Es gestattet dem Endbenutzer, dem Windows-Administrator, dem SafeGuard Enterprise

Sicherheitsbeauftragten trotz sektorbasierter Verschlüsselung neue Volumes oder Festplatten anzuschließen oder zu entfernen.

Die Key Storage Area (KSA) eines Volumes enthält selbst alle notwendigen Informationen:

■ Den zufallsgenerierten DEK (Data Encryption Key)

■ Eine Identifikation für den Verschlüsselungsalgorithmus, mit dem das Volume verschlüsselt ist.

■ Die Liste von GUIDs der KEKs (Key Encryption Keys), die den DEK verschlüsseln und entschlüsseln können.

■ Das Volume selbst enthält seine Größe.

Auf ein mit SafeGuard Enterprise verschlüsseltes Volume kann von allen SafeGuard Enterprise

Endpoints zugegriffen werden, vorausgesetzt der Benutzer oder der Computer besitzt einen

KEK des KSA des Volumes im Schlüsselring.

Benutzer oder Computer müssen den durch den KEK verschlüsselten DEK entschlüsseln können.

Auf ein Volume, das mit einem verteilbaren KEK, wie einem OU-, Gruppen- oder

Domänenschlüssel verschlüsselt ist, kann von vielen Benutzern und Computern zugegriffen werden, da viele Benutzer/Computer einer Domäne diesen Schlüssel in ihrem Schlüsselring haben.

Jedoch kann auf ein Volume, das nur mit dem individuellen Bootschlüssel

(“Boot_machinename”) des durch SafeGuard Enterprise geschützten Endpoint verschlüsselt wird, nur von diesem Computer selbst zugegriffen werden.

Soll ein Volume nicht in seinem originalen Computer booten, kann es in einem anderen durch

SafeGuard Enterprise geschützten Endpoint „geslaved“ werden. Dann kann aber auf den korrekten Bootschlüssel nicht zugegriffen werden. Der Zugriff darauf muss möglich gemacht werden.

235

SafeGuard Enterprise

Immer wenn der Benutzer versucht, von einem anderen Computer auf das Volume zuzugreifen, ist dies möglich, weil jetzt erneut Übereinstimmung zwischen den KEKs im KSA und den

Schlüsselringen der anderen Benutzer oder Computer besteht.

5.6.8.3.7.1 Beispiel

Alice besitzt ihren individuellen Benutzerschlüssel. Immer, wenn sie sich an ihrem anderen

Computer anmeldet („Laptop_Alice”), hat sie keinen Zugriff auf das Volume, das mit dem

Bootschlüssel des Computers „SGNCLT” verschlüsselt ist.

Der durch SafeGuard Enterprise geschützte Endpoint „SGNCLT” besitzt nur seinen eigenen

Bootschlüssel „BOOT_SGNCLT”.

Der Sicherheitsbeauftragte teilt Alice den Bootschlüssel „BOOT_SGNCLT” auf folgende Weise zu:

1. Auswahl des Benutzers Alice

2. Klick auf das „Fernglas“-Symbol in der SafeGuard Enterprise Symbolleiste. Das startet den Suchdialog, in dem auch Bootschlüssel angezeigt werden können.

3. Auswahl des Schlüssels „BOOT_SGNCLT”.

Jetzt verfügt Alice über zwei Schlüssel – „User_Alice“ und „BOOT_SGNCLT”. Das kann unter

Schlüssel und Zertifikate überprüft werden.

Der Schlüssel „BOOT_SGNCLT” ist zweimal zugewiesen – zum Computer SGNCLT und zum

Benutzer Alice.

Alice ist es nun möglich, auf das verschlüsselte Volume von jedem anderen SafeGuard

Enterprise Client zuzugreifen, auf dem sie sich anmelden kann.

Dann kann sie auf einfache Weise Tools, wie den Windows Explorer oder regedit.exe, verwenden, um die Ursache des Bootproblems zu beseitigen.

Wenn im schlimmsten Fall das Problem nicht gelöst werden kann, kann sie Daten auf ein anderes Laufwerk sichern, das Volume neu formatieren oder es ganz neu aufsetzen.

5.7 SafeGuard Configuration Protection

Das Modul SafeGuard Configuration Protection ist ab SafeGuard Enterprise 6.1 nicht mehr verfügbar. Die entsprechende Richtlinie sowie der Suspension Wizard sind im SafeGuard

Management Center 8.0 weiterhin für SafeGuard Enterprise 6 oder auch 5.60 Clients mit installiertem Configuration Protection, die mit einem 8.0 Management Center verwaltet werden, verfügbar.

Weitere Informationen zu SafeGuard Configuration Protection finden Sie in der SafeGuard

Enterprise 6 Administratorhilfe: http://www.sophos.com/de-de/medialibrary/PDFs/documentation/sgn_60_h_eng_admin_help.pdf

236

Administratorhilfe

6 Recovery

6.1 Schlüssel für die Festplattenverschlüsselung mit mobilen Geräten synchronisieren

Recovery-Schlüssel für BitLocker und FileVault 2 können an den Sophos Mobile Control

Server gesendet werden. Sie werden zum SafeGuard Enterprise Schlüsselring hinzugefügt und können von Benutzern von Sophos Secure Workspace (verwaltet über Sophos Mobile

Control) auf deren Mobilgerät dargestellt und für die Wiederherstellung verwendet werden.

Sophos Secure Workspace unterstützt Recovery per Mobilgerät ab Version 6.2. Nähere

Informationen dazu finden Sie in der Sophos Secure Workspace 6.2 Benutzerhilfe.

Anforderungen:

■ Die Synchronisierung der Schlüsselringe werden zwischen SafeGuard Enterprise und

Sophos Mobile Control muss konfiguriert werden. Die Option Recovery über Mobile

Geräte muss aktiviert sein, siehe

SafeGuard Enterprise Schlüsselring für mobile Geräte mit Sophos Mobile Control freigeben (Seite 141).

■

Sophos Secure Workspace 6.2 muss auf den Mobilgeräten verwendet werden.

Benutzer müssen SGN-Benutzer an den Endpoints sein. Sie müssen auf den betroffenen

Endpoints in einer Benutzer-Computer Zuordnung (UMA) sein.

■ Benutzer müssen an einem bestimmten Computer angemeldet sein, von dem sie die

Schlüssel für die Festplattenverschlüsselung bekommen.

Hinweis: Um die Menge der übermittelten Daten zu beschränken, werden nur die Schlüssel von zehn Endpoints zum Schlüsselring hinzugefügt. Es werden die zehn Computer herangezogen, die zuletzt Kontakt zum Server hatten.

6.1.1 Recovery-Schlüssel auf mobilen Geräten anzeigen

Hinweis: Sophos Secure Workspace muss im Sophos Mobile Control Container installiert sein.

So zeigen Sie den Recovery-Schlüssel für einen Computer an:

1. Tippen Sie im Menü auf Recovery-Schlüssel um eine Liste der Ihnen zugewiesenen

Computer anzuzeigen.

2. Tippen Sie auf den Namen eines Computers um seinen Recovery-Schlüssel anzuzeigen.

3. Um Ihren Computer zu entsperren, folgen Sie den Anweisungen von BitLocker (Windows) beziehungsweise FileVault (Mac OS X) auf Ihrem Computerbildschirm.

6.2 Recovery für BitLocker

Abhängig vom System bietet SafeGuard Enterprise ein Challenge/Response-Verfahren für die Recovery oder die Möglichkeit, beim Helpdesk den Recovery-Schlüssel zu beschaffen.

Genauere Informationen zu den Anforderungen für SafeGuard Enterprise Challenge/Response

finden Sie unter Voraussetzungen für die Verwaltung von BitLocker auf Endpoints (Seite 148).

237

SafeGuard Enterprise

Weitere Informationen zur Wiederherstellung auf Client-Ebene finden Sie in der SafeGuard

Enterprise Benutzerhilfe .

6.2.1 Response für mit BitLocker verschlüsselte SafeGuard Enterprise

Clients - UEFI Endpoints

Für UEFI Endpoints, die bestimmte Voraussetzungen erfüllen, bietet SafeGuard Enterprise ein Challenge/Response-Verfahren für die Wiederherstellung. Auf UEFI Endpoints, die die

Voraussetzungen nicht erfüllen, wird automatisch SafeGuard BitLocker ohne

Challenge/Response installiert. Informationen über den Recovery-Vorgang bei diesen

Endpoints finden Sie unter

Recovery-Schlüssel für mit BitLocker verschlüsselte SafeGuard

Enterprise Clients - BIOS Endpoints (Seite 155).

1. Klicken Sie im SafeGuard Management Center auf Extras > Recovery um den

Recovery-Assistenten zu öffnen.

2. Wählen Sie auf der Recovery-Typ Seite die Option SafeGuard Enterprise Client

(Managed).

3. Wählen Sie unter Domäne die gewünschte Domäne aus der Liste.

4. Geben Sie unter Computer den gewünschten Computernamen ein oder wählen Sie ihn aus. Hierzu gibt es mehrere Möglichkeiten:

■ Um einen Namen auszuwählen, klicken Sie auf [...]. Klicken Sie anschließend auf Jetzt

suchen. Eine Liste mit Computern wird angezeigt. Wählen Sie den gewünschten

Computer aus und klicken Sie auf OK. Der Computername wird auf der Seite

Recovery-Typ angezeigt.

■ Geben Sie den Computernamen direkt als Distinguished Name ein, zum Beispiel:

CN=Desktop1,OU=Development,OU=Headquarter,DC=Sophos,DC=edu

5. Klicken Sie auf Weiter.

6. Wählen Sie das Volume, auf das zugegriffen werden soll, aus der Liste und klicken Sie auf Weiter.

7. Klicken Sie auf Weiter.

Eine Seite für die Eingabe des Challenge-Codes wird angezeigt.

8. Geben Sie den vom Benutzer erhaltenen Challenge-Code ein und klicken Sie auf Weiter.

9. Es wird ein Response-Code erzeugt. Teilen Sie dem Benutzer den Response-Code mit.

Hierzu steht eine Buchstabierhilfe zur Verfügung. Sie können den Response-Code auch in die Zwischenablage kopieren.

Der Benutzer kann den Response-Code eingeben und wieder auf den Endpoint zugreifen.

6.2.2 Recovery-Schlüssel für mit BitLocker verschlüsselte SafeGuard

Enterprise Clients - BIOS Endpoints

Bei mit BitLocker verschlüsselten Computern lässt sich ein Volume, auf das nicht mehr zugegriffen werden kann, wiederherstellen.

1. Klicken Sie im SafeGuard Management Center auf Extras > Recovery um den

Recovery-Assistenten zu öffnen.

238

Administratorhilfe

2. Wählen Sie auf der Recovery-Typ Seite die Option SafeGuard Enterprise Client

(Managed).

3. Wählen Sie unter Domäne die gewünschte Domäne aus der Liste.

4. Geben Sie unter Computer den gewünschten Computernamen ein oder wählen Sie ihn aus. Hierzu gibt es mehrere Möglichkeiten:

■ Um einen Namen auszuwählen, klicken Sie auf [...]. Klicken Sie anschließend auf Jetzt

suchen. Eine Liste mit Computern wird angezeigt. Wählen Sie den gewünschten

Computer aus und klicken Sie auf OK. Der Computername wird im Fenster

Recovery-Typ unter Domäne angezeigt.

■ Geben Sie den Computernamen direkt als Distinguished Name ein, zum Beispiel:

CN=Desktop1,OU=Development,OU=Headquarter,DC=Utimaco,DC=edu

5. Klicken Sie auf Weiter.

6. Wählen Sie das Volume, auf das zugegriffen werden soll, aus der Liste und klicken Sie auf Weiter.

7. Der Recovery-Assistent zeigt den 48-stelligen Recovery-Schlüssel an.

8. Teilen Sie dem Benutzer diesen Schlüssel mit.

Der Benutzer kann den Schlüssel eingeben, um den Zugriff auf das mit BitLocker verschlüsselte

Volume auf dem Endpoint wiederherzustellen.

6.3 Recovery-Schlüssel für Mac-Endpoints

Der Zugriff auf mit FileVault 2 verschlüsselte SafeGuard Enterprise Clients kann mit folgenden

Schritten wiederhergestellt werden:

1. Wählen Sie auf der Recovery-Typ Seite die Option SafeGuard Enterprise Client

(Managed).

2. Wählen Sie unter Domäne die gewünschte Domäne aus der Liste.

3. Geben Sie unter Computer den gewünschten Computernamen ein oder wählen Sie ihn aus. Hierzu gibt es mehrere Möglichkeiten:

■ Um einen Namen auszuwählen, klicken Sie auf [...]. Klicken Sie anschließend auf Jetzt

suchen. Eine Liste mit Computern wird angezeigt. Wählen Sie den gewünschten

Computer aus und klicken Sie auf OK. Der Computername wird im Fenster

Recovery-Typ unter Domäne angezeigt.

■ Geben Sie den Computernamen direkt als Distinguished Name ein, zum Beispiel:

CN=Desktop1,OU=Development,OU=Headquarter,DC=Utimaco,DC=edu

4. Klicken Sie auf Weiter.

5. Der Recovery-Assistent zeigt den 24-stelligen Recovery-Schlüssel an.

6. Teilen Sie dem Benutzer diesen Schlüssel mit.

239

SafeGuard Enterprise

Der Benutzer kann den Recovery-Schlüssel eingeben, um sich am Mac-Endpoint anzumelden und das Kennwort zurückzusetzen.

6.4 Virtuelle Clients

Hinweis: Virtuelle Clients können nur für SafeGuard Full Disk Encryption mit SafeGuard

Power-on Authentication (POA) verwendet werden.

Virtuelle Clients sind spezifische verschlüsselte Schlüsseldateien, die im Rahmen eines

Challenge/Response-Verfahrens für Recovery-Zwecke verwendet werden können, wenn die benötigten Benutzerinformationen nicht zur Verfügung stehen und ein

Challenge/Response-Verfahren normalerweise nicht möglich wäre (z. B. bei beschädigter

SafeGuard POA).

Um in dieser komplexen Recovery-Situation ein Challenge/Response-Verfahren zu ermöglichen, lassen sich spezifische Dateien, die als virtuelle Clients bezeichnet werden, erstellen. Diese Dateien müssen vor dem Challenge/Response-Verfahren an den Benutzer verteilt werden. Mit virtuellen Clients lasst sich ein Challenge/Response-Verfahren mit einem

Schlüssel-Recovery Tool auf dem Endpoint-Computer starten. Der Benutzer muss dann nur den Helpdesk-Beauftragten über den/die benötigten Schlüssel informieren und den

Response-Code eingeben, um wieder Zugriff auf die verschlüsselten Volumes zu erhalten.

Der Zugriff kann entweder mit Hilfe eines einzelnen Schlüssels oder mit Hilfe einer verschlüsselten Schlüsseldatei, die mehrere Schlüssel enthält, wiederhergestellt werden.

Im Bereich Schlüssel und Zertifikate des SafeGuard Management Centers haben Sie folgende Möglichkeiten:

■ Virtuelle Clients anlegen und exportieren

■ Verschlüsselte Schlüsseldateien mit mehreren Schlüsseln anlegen und exportieren

■ Virtuelle Clients und exportierte Schlüsseldateien anzeigen lassen und filtern

■ Virtuelle Clients löschen

6.4.1 Anlegen von virtuellen Clients

Virtuelle Clients können für verschiedene Computer und in mehreren

Challenge/Response-Verfahren benutzt werden.

1. Klicken Sie im SafeGuard Management Center auf Schlüssel & Zertifikate.

2. Klicken Sie im Navigationsfenster auf der linken Seite auf Virtuelle Clients.

3. Klicken Sie in der Symbolleiste auf Virtuellen Client hinzufügen.

4. Geben Sie einen eindeutigen Namen für den virtuellen Client ein und klicken Sie auf OK.

Die virtuellen Clients werden anhand der hier eingegebenen Namen in der Datenbank identifiziert.

5. Klicken Sie auf das Speichern Symbol in der Symbolleiste, um den virtuellen Client in der

Datenbank zu speichern.

Der neue virtuelle Client wird im Aktionsbereich angezeigt.

240

Administratorhilfe

6.4.2 Export von virtuellen Clients

Nach dem Anlegen des virtuellen Client muss dieser in eine Datei exportiert werden. Diese

Datei hat immer die Bezeichnung recoverytoken.tok

und muss an den Helpdesk verteilt werden. Beim Starten eines Challenge/Response-Verfahrens über ein Recovery Tool, z. B.

bei einer beschädigten SafeGuard POA, muss diese Datei in der Endpoint-Umgebung zur

Verfügung stehen. Der Benutzer muss die Datei recoverytoken.tok

im selben Verzeichnis ablegen, in dem sich auch das Recovery Tool befindet, damit ein

Challenge/Response-Verfahren unterstützt wird.

1. Klicken Sie im SafeGuard Management Center auf Schlüssel & Zertifikate.

2. Klicken Sie im Navigationsfenster auf der linken Seite auf Virtuelle Clients.

3. Klicken Sie im Aktionsbereich auf das Lupensymbol, um nach dem gewünschten virtuellen

Client zu suchen. Die verfügbaren virtuellen Clients werden angezeigt.

4. Wählen Sie den gewünschten Eintrag im Aktionsbereich aus und klicken Sie in der

Symbolleiste auf Virtuellen Client exportieren.

5. Wählen Sie einen Speicherort für die Datei recoverytoken.tok

und klicken Sie auf

OK. Eine entsprechende Meldung wird angezeigt.

6. Verteilen Sie die virtuelle Client-Datei recoverytoken.tok

an die betreffenden SafeGuard

Enterprise Benutzer.

Speichern Sie die Datei an einem sicheren Ort, zum Beispiel auf einem USB-Stick. Beim

Starten eines Challenge/Response-Verfahrens muss diese Datei im selben Verzeichnis wie das Recovery Tool abgelegt sein.

6.4.3 Anlegen und Exportieren von Schlüsseldateien für den

Recovery-Vorgang

Sind mehrere Schlüssel erforderlich, um den Zugriff auf ein verschlüsseltes Volume im Rahmen eines Recovery-Verfahrens mit virtuellen Clients wiederherzustellen, so kann der

Sicherheitsbeauftragte diese Schlüssel in einer exportierten Schlüsseldatei zusammenfassen.

Diese Schlüsseldatei wird mit einem Zufallskennwort verschlüsselt, das in der Datenbank gespeichert wird. Das Kennwort ist für jede angelegte Schlüsseldatei einzigartig.

Die verschlüsselte Schlüsseldatei muss an den Benutzer übertragen werden und ihm beim

Starten eines Challenge/Response-Verfahrens über ein Recovery Tool zur Verfügung stehen.

Im Rahmen des Challenge/Response-Verfahrens wird das Kennwort für die Schlüsseldatei mit dem Response-Code übertragen. Die Schlüsseldatei kann daraufhin mit dem Kennwort entschlüsselt werden und es besteht wieder Zugriff auf alle Volumes, die mit den verfügbaren

Schlüsseln verschlüsselt sind.

Um Schlüsseldateien zu exportieren, benötigen Sie das Zugriffsrecht Voller Zugriff für die

Objekte, denen die relevanten Schlüssel zugewiesen sind.

1. Klicken Sie im SafeGuard Management Center auf Schlüssel & Zertifikate.

2. Klicken Sie im Navigationsfenster auf der linken Seite zunächst auf Virtuelle Clients und dann auf Exportierte Schlüsseldateien.

3. Klicken Sie in der Symbolleiste auf Schlüssel in eine Schlüsseldatei exportieren.

241

SafeGuard Enterprise

4. Geben Sie im Dialog Schlüssel in eine Schlüsseldatei exportieren folgende Informationen ein: a) Verzeichnis: Klicken Sie auf [...], um einen Speicherort für die Schlüsseldatei auszuwählen.

b) Dateiname: Die Schlüsseldatei ist mit einem Zufallskennwort verschlüsselt, das hier angezeigt wird. Sie können den hier angezeigten Namen nicht ändern.

c) Klicken Sie auf Schlüssel hinzufügen oder Schlüssel entfernen, um Schlüssel hinzuzufügen oder zu entfernen. Ein Popup-Fenster, in dem Sie nach den gewünschten

Schlüsseln suchen und diese auswählen können, wird angezeigt. Klicken Sie auf OK, um die Auswahl zu bestätigen.

d) Klicken Sie auf OK, um Ihre Angaben zu bestätigen.

5. Verteilen Sie diese Schlüsseldatei an die betreffende Endpoint-Umgebung. Sie muss vor der Eingabe des Response-Codes auf dem Endpoint zur Verfügung stehen.

6.4.4 Virtuelle Clients anzeigen und Ansicht filtern

Um Ihnen das Auffinden des erforderlichen virtuellen Clients oder Schlüssels während eines

Challenge/Response-Verfahrens zu erleichtern, bietet der Bereich Schlüssel und Zertifikate des SafeGuard Management Centers verschiedene Filter- und Suchfunktionalitäten.

6.4.5 Ansichten für virtuelle Clients

1. Klicken Sie im Navigationsfenster auf der linken Seite auf Virtuelle Clients.

2. Klicken Sie auf das Lupensymbol, um eine vollständige Liste aller virtuellen Clients zu erstellen.

3. Filtern Sie die virtuellen Clients nach Symbolischer Name oder Schlüssel-GUID.

6.4.6 Ansichten für exportierte Schlüsseldateien

1. Klicken Sie im SafeGuard Management Center zunächst auf Virtuelle Clients und dann auf Exportierte Schlüsseldateien.

2. Klicken Sie auf das Lupensymbol, um eine vollständige Liste aller exportierten

Schlüsseldateien zu erstellen.

3. Klicken Sie auf das + Symbol neben der gewünschten Schlüsseldatei, um die in der Datei enthaltenen Schlüssel anzuzeigen.

6.4.7 Löschen von virtuellen Clients

1. Öffnen Sie das SafeGuard Management Center und klicken Sie auf Schlüssel und

Zertifikate.

2. Klicken Sie im Navigationsfenster auf der linken Seite auf Virtuelle Clients.

3. Klicken Sie im Aktionsbereich auf das Lupensymbol, um nach dem gewünschten virtuellen

Client zu suchen. Die verfügbaren virtuellen Clients werden angezeigt.

4. Wählen Sie den gewünschten Eintrag im Aktionsbereich aus und klicken Sie in der

Symbolleiste auf Virtuellen Client löschen.

5. Speichern Sie ihre Änderungen in der Datenbank, indem Sie in der Symbolleiste auf das

Symbol Speichern klicken.

242

Administratorhilfe

Der virtuelle Client wird aus der Datenbank gelöscht.

6.5 So reparieren Sie eine beschädigte Management

Center Installation: