In einer Zeit, in der zunehmend viele persönliche Informationen in digitaler Form vorliegen, gewinnt eine zuverlässige Verschlüsselung immer mehr an Bedeutung. Wer Opfer eines Identitätsdiebstahls wird, kann immensen finanziellen Schaden davontragen. Apple stellte in macOS bereits vor Jahren die Weichen, um den persönlichen Datenbestand zu verschlüsseln – mehr noch: die Verschlüsselung zur Standardeinstellung zu erheben. Und selbst wer FileVault beim Einrichten seines Macs nicht aktiviert hat, kann dies in kürzester Zeit nachholen.


Die Funktion verbirgt sich in der App „Einstellungen“ unter „Datenschutz & Sicherheit“. Scrollen Sie ganz nach unten – FileVault ist der zweite Eintrag; sein Symbol ist ein Haus-Icon mit einem Kombinationsschloss-Dreher an der Vorderseite. Klicken Sie auf die Zeile, erscheinen die (spärlichen) Details der Funktion: der Schalter zum Ein- oder Ausschalten der Funktion sowie – bei aktivem FileVault – die (optionale) Anzeigemöglichkeit des Wiederherstellungsschlüssels.

FileVault einschalten
Um die laufwerksweite Verschlüsselung einzuschalten, sind nur wenige Klicks notwendig. Beim Aktivieren fragt macOS nach, ob Sie den Wiederherstellungsschlüssel automatisiert in iCloud ablegen lassen wollen, oder ob er in der Passwörter-App abgelegt werden soll. Wählen Sie Variante 2, erscheint der Wiederherstellungsschlüssel im Klartext. Schreiben Sie ihn analog auf ein Blatt Papier oder drucken Sie ein Bildschirmfoto aus. Da er lokal in der Passwörter-App gespeichert wird, können Sie ihn jedoch auch jederzeit nachträglich anzeigen lassen.

FileVault überprüfen
Ist FileVault aktiv, sollten Sie gelegentlich überprüfen, ob der Wiederherstellungsschlüssel funktioniert. Dafür müssen Sie einen Ausflug ins Terminal unternehmen – hier gibt es ein Programm, welches eine Wiederherstellung „ausprobiert“. Dafür geben Sie folgenden Befehl ein, um ihn mit der Eingabetaste zu bestätigen:


Dann werden Sie zunächst nach Ihrem Administrationskennwort gefragt und anschließend zur Eingabe des Wiederherstellungsschlüssels aufgefordert. Beides müssen Sie blind eingeben, das Terminal zeigt Ihre Eingabe nicht an. Im Zweifelsfall schreiben Sie das Wiederherstellungskennwort in eine Notiz und kopieren es daraus, um diese im Nachgang wieder zu löschen. Funktioniert der Schlüssel, gibt das Terminal ein knappes „true“ aus.



Kein Rechenaufwand – denn verschlüsselt wird immer
In einem umfangreichen Blog-Beitrag zu FileVault erklärt Howard Oakley die Geschichte und Funktionsweise von FileVault in macOS. Der wichtigste Aspekt für angehende FileVault-Nutzer: Der Mac wird dadurch nicht langsamer, denn eigentlich verschlüsseln Macs mit Apple Silicon (sowie Intel-Macs mit T2-Sicherheits-Chips) ohnehin alle Daten, welche auf dem Daten-Volume des Betriebssystems landen. Beim Aktivieren von FileVault wird lediglich der Schlüssel (Volume Encryption Key) durch eine zusätzliche Sicherheitsbarriere versehen: Er wird mit einem Key Encryption Key (KEK) verschlüsselt. Das Ganze findet innerhalb der Secure Enclave statt und ist binnen weniger Sekunden ein- und wieder ausgeschaltet. Danach kann ein Zugriff auf die persönlichen Daten nur dann erfolgen, nachdem der Nutzer sein Kennwort eingegeben hat. Nur in virtuellen Maschinen, auf externen Laufwerken und bei Intel-Macs ohne T2-Sicherheits-Chip verlangt FileVault einige zusätzliche Prozessorleistung; in diesem Fall kann es nach Aktivierung einige Zeit dauern, bis sämtliche Daten im Hintergrund verschlüsselt wurden.


Entscheidungshilfe: iCloud oder Wiederherstellungsschlüssel?
Welchen Mechanismus Sie wählen, um beim Verlust des Admin-Kennworts den Datenzugriff wiederherzustellen, ist eine Frage des Bedarfs: Wenn Sie FileVault an Ihren iCloud-Account koppeln, können Sie die Verschlüsselung mithilfe Ihres iCloud-Kennworts zurücksetzen. Das ist für die private Nutzung oftmals eine gute Idee. Bei einem Firmengerät, auf dem sich Geschäftsunterlagen befinden, welche in Ausnahmefällen auch Kollegen übernehmen sollen, ist der Wiederherstellungsschlüssel die beste Wahl. Sie können diesen beispielsweise in einem versiegelten Umschlag in einer Büroschublade deponieren. Diese Methode empfiehlt sich ebenso, falls Sie der iCloud möglichst wenig Kontrolle über Ihre Kernnwörter und Dokumentenzugriffe einräumen wollen. In diesem Fall sollten Sie sich den Wiederherstellungsschlüssel aufschreiben und aus der Passwörter-App löschen, denn sonst wird dieser (entsprechend den Synchronisierungseinstellungen) via iCloud synchronisiert.

Warum „Passwort zurückgesetzt“?
Bei aktivierter FileVault-Funktion erscheint in fetten Lettern der Text „Passwort zurückgesetzt“. Dies muss Sie nicht beunruhigen, denn hierbei handelt es sich lediglich um einen Übersetzungsfehler. Hier sollte „Passwort zurücksetzen“ stehen, denn darunter bietet macOS lediglich die Anzeige des Wiederherstellungsschlüssels an.