Viele neue Macs, die es derzeit zu kaufen gibt, bringen Apples neuen T2-Coprozessor mit. Nur das MacBook 12" wie auch das MacBook Pro 13" ohne Touch Bar und der iMac (ohne Pro) kommen noch ohne den Zusatz-Chip daher – das neue MacBook Air und der Mac mini bringen beide den T2-Chip mit. Der kleine, auf der ARM-Architektur basierende Prozessor übernimmt dabei viele Funktionen, zum Beispiel das Überwachen des Startvorganges, die Steuerung der Mikrofone und der FaceTime-Kamera sowie das Management der Touch Bar.


Auch für die Verschlüsselung der internen SSD ist der T2-Chip verantwortlich. Dies hat gleich zwei Vorteile: Erstens muss nicht die CPU die aufwändige Ver- und Entschlüsselung der Daten vornehmen und zweitens sind die Schlüssel und Passwörter niemals vom Hauptprozessor her auslesbar. Selbst wenn das Betriebssystem komplett kompromittiert wurde, sind die Schlüssel sicher.

FileVault, so Apples Produktname für die Verschlüsselung von Volumes, arbeitet auf Macs mit T2-Coprozessor anders als auf sonstigen Macs. Ist FileVault auf Macs ohne T2-Prozessor nicht aktiviert, werden die Daten unverschlüsselt auf die interne SSD oder Festplatte geschrieben – da die Daten nicht verschlüsselt werden müssen, ist die Schreib- und Lesegeschwindigkeit höher. Auf Macs mit T2-Prozessor werden die Daten immer verschlüsselt, völlig unabhängig davon, ob FileVault aktiviert ist oder nicht. Dazu wird ein zufällig generierter Schlüssel verwendet, welcher sicher im T2-Chip hinterlegt ist.

Auf Macs ohne T2-Chip muss bei Aktivierung von FileVault die gesamte Festplatte verschlüsselt werden – ein langwieriger Prozess. Zwar geschieht dies für den Nutzer unsichtbar im Hintergrund, der Mac ist während dieser Zeit aber langsamer als gewohnt. Anders auf Macs mit T2-Prozessor: Da dort die Daten bereits verschlüsselt vorliegen, wird FileVault quasi ohne Zeitverzögerung aktiviert – die SSD muss nicht erneut verschlüsselt werden. Apple verwendet dann zum Verschlüsseln der Daten nicht mehr nur den zufällig generierten Schlüssel, sondern auch das eingegebene FileVault-Passwort. Der zufällig generierte Schlüssel kann zum Entschlüsseln der Daten nicht mehr alleine ohne das dazugehörige Passwort verwendet werden – dies lässt der T2-Chip nach Aktivieren von FileVault nicht mehr zu.


Wie genau FileVault auf Macs mit und ohne T2-Coprozessor funktioniert, beschreibt Apple im "Apple T2 Security Chip"-Guide.