Viele SSDs verschlüsseln alles, was sie speichern, ganz von selbst. Diese selbstverschlüsselnden Laufwerke (Self-Encrypting Drives, SED) klingen ideal: kein Tempoverlust, nichts zu installieren. Der Haken: Sie vertrauen einer geschlossenen Firmware, die Sie nicht prüfen können, und Forscher haben mehr als einmal gezeigt, dass dieses Vertrauen nicht immer gerechtfertigt ist.
- Ist das sicher? Es hängt von einer Firmware ab, die Sie nicht prüfen können. Studien von 2015 und 2018 fanden gravierende Lücken in Laufwerken großer Hersteller.
- BitLocker verschlüsselt seit September 2019 standardmäßig in Software. Früher verschlüsselte Laufwerke laufen eventuell noch im Hardware-Modus.
- Prüfen können Sie das mit
manage-bde -status. - Sicherere Wahl: Software-Verschlüsselung zusätzlich zur Verschlüsselung des Laufwerks.
Was ist ein selbstverschlüsselndes Laufwerk?
Ein SED hat eine Verschlüsselungseinheit im Controller. Jeder Sektor wird mit einem Datenschlüssel verschlüsselt, den das Laufwerk selbst erzeugt und intern aufbewahrt. Die Verschlüsselung ist immer aktiv und kostet keine Leistung.
Ihre Daten schützt das Schloss davor: das Passwort, das beim Einschalten diesen Schlüssel freigibt. Ist kein Passwort gesetzt, entschlüsselt das Laufwerk alles für jeden, der es anschließt.
Ein echter Vorteil: Ein SED lässt sich in Sekunden löschen, indem man seinen Schlüssel vernichtet (kryptografisches Löschen). Praktisch, wenn Sie ein Laufwerk ausmustern oder verkaufen.
Was Forscher gefunden haben
| Jahr | Laufwerke | Schwachstelle |
|---|---|---|
| 2015 | Externe Festplatten Western Digital My Passport | Schwache Schlüsselerzeugung, Lecks aus dem Arbeitsspeicher, Hintertüren (je nach Controller); teils ganz ohne Passwort entschlüsselbar |
| 2018 | Crucial MX100, MX200, MX300; Samsung 840 EVO, 850 EVO (Modus “ATA High”), T3, T5 | CVE-2018-12037: Passwort nicht kryptografisch mit dem Schlüssel verbunden; mit physischem Zugriff und manipulierter Firmware kam man ohne Passwort an die Daten |
| 2018 | Samsung 840 EVO | CVE-2018-12038: Nach einer Passwortänderung konnte eine alte Kopie des Schlüssels (ungeschützt oder mit dem alten Passwort) im Flash-Speicher mit Wear-Leveling zurückbleiben |
Quellen: “got HW crypto?” von Gunnar Alendal, Christian Kison und “modg” (2015); “Self-encrypting deception” von Carlo Meijer und Bernard van Gastel, Radboud-Universität, Niederlande (November 2018, IEEE Symposium on Security and Privacy 2019).
Crucial veröffentlichte Firmware-Updates; Samsung behob die Lücken bei den externen T3 und T5 und empfahl für die internen 840 und 850 EVO Software-Verschlüsselung. Getestet wurden nur wenige Modelle. Der Hinweis VU#395981 des CERT/CC warnt, dass andere Laufwerke ähnliche Probleme haben können, und empfiehlt Software-Verschlüsselung statt der des Laufwerks.
Wie Microsoft reagiert hat
Das eigentliche Problem: BitLocker hat die Verschlüsselung früher automatisch an ein eDrive abgegeben. Windows meldete das Laufwerk als geschützt, die Sicherheit hing aber vollständig von der Firmware der SSD ab.
| Wann | Was sich änderte |
|---|---|
| 6. November 2018 | Sicherheitsempfehlung ADV180028 (“Guidance for configuring BitLocker to enforce software encryption”): Art der Verschlüsselung prüfen, Software-Verschlüsselung per Gruppenrichtlinie erzwingen |
| September 2019 | Windows-10-Updates (zum Beispiel KB4516071): BitLocker nutzt Hardware-Verschlüsselung nur, wenn ein Administrator sie per Richtlinie erlaubt; bereits verschlüsselte Laufwerke behalten ihre Art |
| Heute | Microsoft-Dokumentation zu verschlüsselten Festplatten: Ohne konfigurierte Richtlinien zur hardwarebasierten Verschlüsselung nutzt BitLocker Software-Verschlüsselung |
Die Lage im Jahr 2026
- BitLocker und die Geräteverschlüsselung verschlüsseln standardmäßig in Software, außer ein Administrator erlaubt ausdrücklich die des Laufwerks.
- Alte Installationen können noch betroffen sein: Wurde BitLocker vor Herbst 2019 auf einer eDrive-SSD eingeschaltet, läuft sie womöglich noch im Hardware-Modus (eine geänderte Richtlinie verschlüsselt Daten nicht neu).
- "Hardwarebeschleunigtes BitLocker" ist etwas anderes: Seit Ende 2025 gibt BitLocker auf einigen neuen PCs (zuerst Intel Core Ultra Series 3 vPro) die Rechenarbeit an eine Krypto-Einheit im Prozessor ab. Die Schlüssel verwaltet weiterhin BitLocker, die SSD spielt keine Rolle.
- Die Firmware von SEDs bleibt eine Blackbox: Ein Teil der gemeldeten Lücken wurde per Firmware geschlossen, für den Rest wurde Software-Verschlüsselung empfohlen, und zu aktuellen Modellen gibt es kaum öffentliche unabhängige Untersuchungen.
- Hardware-verschlüsselte USB-Sticks mit Tastenfeld können sinnvoll sein, aber auch hier vertrauen Sie dem Hersteller.
So prüfen Sie, ob Ihr Laufwerk Hardware-Verschlüsselung nutzt
manage-bde -statusAuf englischem Windows heißt die Zeile "Encryption Method".
- XTS-AES 128 oder XTS-AES 256 (ältere Installationen: AES 128 oder AES 256): Software-Verschlüsselung. So soll es sein.
- Hardware-Verschlüsselung (englisch "Hardware Encryption"): Die SSD verschlüsselt selbst, und BitLocker verlässt sich auf ihre Firmware.
- Hardwarebeschleunigung (englisch "Hardware accelerated"): die oben beschriebene Auslagerung an den Prozessor, die Schlüssel kontrolliert BitLocker.
Nutzt ein Laufwerk Hardware-Verschlüsselung, stellen Sie es wie in ADV180028 beschrieben auf Software um:
In den Gruppenrichtlinien (Windows Pro, Enterprise, Education) im Bereich für BitLocker die Richtlinie zur Verwendung hardwarebasierter Verschlüsselung für den passenden Laufwerkstyp (Betriebssystem-, Festplatten- oder Wechseldatenträger) deaktivieren. Auf englischem Windows heißt sie "Configure use of hardware-based encryption for ...".
Warten Sie, bis die Entschlüsselung fertig ist. Neu formatieren müssen Sie nicht.
Wird ein Laufwerk als unverschlüsselt angezeigt und haben Sie nie ein Laufwerkspasswort (im BIOS oder per Herstellertool) gesetzt, schützt seine eingebaute Verschlüsselung gar nichts, auch wenn auf der Verpackung "256-Bit-AES" steht.
Warum Software-Verschlüsselung die sicherere Wahl ist
- Der Schlüssel öffnet sich nur mit Ihrem Passwort (oder einem TPM), kein Firmware-Schalter
- Überprüfbar: BitLocker ist dokumentiert und seit Jahren erforscht, VeraCrypt ist Open Source und öffentlich auditiert
- Ihre Einstellungen: Cryptic Disk bietet AES, Serpent, Twofish und weitere (auch als Kaskade) und eine absichtlich langsame Schlüsselableitung gegen Brute Force (Kryptografie)
- Unabhängig vom Laufwerk: derselbe Schutz auf einer neuen SSD oder einem anderen PC
- Geringer Aufwand: Moderne Prozessoren haben eingebaute AES-Befehle
- Geschlossene Controller-Firmware
- Wie Passwort und Schlüssel verknüpft sind, ist kaum prüfbar
- Gravierende Lücken 2015 und 2018
- Schutz hängt vom Laufwerksmodell ab
Sie müssen sich nicht entscheiden: Das SED verschlüsselt im Hintergrund weiter, und Software-Verschlüsselung darüber ergänzt ein Schloss, das nicht von der Firmware abhängt.
Was Sie einsetzen sollten
Unsicher, welches Werkzeug passt? Siehe Verschlüsselungssoftware für Windows.
Häufige Fragen
Ist die Hardware-Verschlüsselung von SSDs sicher?
Das hängt von einer Firmware ab, die Sie nicht prüfen können, und Studien fanden gravierende Lücken bei großen Herstellern. Betrachten Sie sie als zusätzliche Schicht, nicht als einzigen Schutz.
Nutzt BitLocker die Hardware-Verschlüsselung meiner SSD?
Seit September 2019 standardmäßig nicht. Weist manage-bde -status auf Hardware-Verschlüsselung hin, ist das der Fall: Stellen Sie wie oben beschrieben auf Software um.
Kann man eine Festplattenverschlüsselung knacken?
Gute Software-Verschlüsselung mit einem langen Passwort lässt sich per Brute Force praktisch nicht knacken. Echte Angriffe zielen auf schwache Passwörter, nicht gesperrte PCs, Schlüssel im Arbeitsspeicher oder Fehler wie bei den SEDs. Mehr dazu: Lassen sich verschlüsselte Dateien knacken?.
Sollte ich die Hardware-Verschlüsselung meines Laufwerks abschalten?
Meist geht das nicht und ist auch nicht nötig: Eine Opal-SSD verschlüsselt intern immer. Verlassen Sie sich nur nicht allein darauf, und stellen Sie BitLocker im Hardware-Modus auf Software um.
Funktioniert Cryptic Disk auf selbstverschlüsselnden Laufwerken?
Ja. Es verschlüsselt in Software und funktioniert daher mit jeder Partition und jedem externen Laufwerk, das Windows als normalen Datenträger erkennt. Für die Systempartition nutzen Sie BitLocker oder VeraCrypt.
Ohne Einschränkungen während der Testphase. Windows 11, 10, 8.1, 8, 7, Vista und XP.
Kostenfreier Test Preise & Kauf