Einführung
Unverschlüsselte Endpunkte gehören zu den häufigsten Compliance-Lücken in jeder Umgebung. Ein verlorenes Laptop mit unverschlüsselter Festplatte ist ein Datenschutzverstoß; ein verlorenes Laptop mit verschlüsselter Festplatte ist ein Hardwareverlust.
Der Verschlüsselungsstatus-Monitor prüft, ob die primäre Partition jedes Geräts verschlüsselt ist, und erstellt eine Warnung, wenn dies nicht der Fall ist oder wenn die Verschlüsselung einen unerwarteten Zustand aufweist. Er funktioniert unter Windows (BitLocker), macOS (FileVault) und Linux (LUKS) und erfordert keine Schwellenwert- oder Dauerkonfiguration. Fügen Sie ihn einer Richtlinie hinzu und er beginnt sofort mit der Prüfung.
Funktionsweise
Der Monitor läuft auf dem Agenten. Er führt eine boolesche Prüfung durch: Ist die primäre Partition des Geräts verschlüsselt – ja oder nein. Es gibt keine Schwellenwerte, Dauern oder Bereiche, die konfiguriert werden müssen.
Die Prüfung deckt nur die primäre (Boot-)Partition ab. Sekundäre Laufwerke und zusätzliche Volumes werden nicht ausgewertet. Wenn Sie die Verschlüsselung auf sekundären Laufwerken überprüfen müssen, kombinieren Sie diesen Monitor mit einem Skript-Monitor, der die gewünschten Volumes prüft. Siehe Skript-Monitor ausführen.
🖥️ PLATTFORMHINWEIS:
Windows: Prüft den BitLocker-Schutzstatus auf dem Boot-Volume. Dies gibt an, ob der BitLocker-Schutz derzeit aktiv ist – nicht nur, ob das Volume verschlüsselt wurde. Ein vollständig verschlüsseltes Volume, dessen Schutz ausgesetzt ist (was vorübergehend bei bestimmten Windows-Updates und Firmware-Änderungen vorkommen kann), wird als nicht verschlüsselt gemeldet.
macOS: Prüft mithilfe einer nativen macOS-Prüfung, ob FileVault aktiviert ist.
Linux: Prüft auf LUKS-Verschlüsselung auf der Root-Partition (
/).
Monitor hinzufügen
Öffnen Sie die Monitor-Richtlinie, die auf die zu prüfenden Geräte abzielt, und klicken Sie dann auf + Neuen Monitor hinzufügen.
Name und Typ
Geben Sie einen Namen , der den Zweck des Monitors auf den ersten Blick erkennbar macht, z. B. „Festplattenverschlüsselungs-Status" oder „Arbeitsstationen – Verschlüsselungs-Compliance".
Setzen Sie Typ auf Verschlüsselungsstatus.
Sobald der Typ ausgewählt ist, bestätigt der Bereich, dass nichts weiteres eingestellt werden muss: Der Monitor überwacht ausschließlich die primäre Partition des Geräts, ohne jegliche Konfiguration.
Schweregrad
Setzen Sie Schweregrad , je nachdem, wie dringend Ihr Team ein unverschlüsseltes Gerät behandelt:
Information
Warnung
Kritisch
💡 TIPP: Wenn Ihre Kunden Compliance-Anforderungen haben (HIPAA, CMMC, Cyber-Versicherungsnachweise), sollten Sie „Kritisch" wählen. Ein unverschlüsselter Endpunkt beeinträchtigt zwar keine Leistung, ist aber für jede Stunde, die er bestehen bleibt, ein offener Compliance-Befund.
Behebung
Fügen Sie eine Automatisierung hinzu, die ausgeführt wird, wenn diese Warnung ausgelöst wird. Klicken Sie auf das Automatisierung auswählen Feld und wählen Sie eine aus, verwenden Sie das Link Symbol, um die ausgewählte Automatisierung in einem neuen Tab zu öffnen, das Auge Symbol, um eine Vorschau anzuzeigen, oder das × , um die Auswahl aufzuheben.
ℹ️ HINWEIS: Behebungen werden ausgeführt, wenn die Warnung erstellt wird, nicht wenn sie aufgelöst wird.
Unter Windows und macOS ist die natürliche Kombination eine Automatisierung, die auf der Festplattenverschlüsselung aktivieren Aktion, die BitLocker oder FileVault aktiviert und den Wiederherstellungsschlüssel in Level speichert. Das schließt den Kreislauf: Der Monitor erkennt die Lücke, die Automatisierung behebt sie, und die automatische Auflösung schließt die Warnung.
Unter Linux kann der Monitor LUKS erkennen, aber die Level- Festplattenverschlüsselung aktivieren Aktion ist nicht verfügbar. Verwenden Sie ausschließlich benachrichtigungsbasierte Nachverfolgung, manuelle Behebung oder eine getestete skriptbasierte Behebung für Ihre Umgebung.
⚠️ WARNUNG: Denken Sie vor der automatischen Behebung von Verschlüsselungen auf Servern und gemeinsam genutzten Computern nach. Die Aktivierung von BitLocker kann einen Neustart erfordern, und jede Verschlüsselungsänderung hat Auswirkungen auf den Wiederherstellungsschlüssel. Für Arbeitsstationen ist eine automatische Behebung in der Regel sicher. Für Server ist ein ausschließlich benachrichtigungsbasierter Ansatz mit manueller Nachverfolgung oft die bessere Wahl.
Empfänger benachrichtigen
Zwei Kontrollkästchen steuern, ob die Empfänger der Richtlinie eine E-Mail erhalten:
Bei Warnungserstellung sendet eine E-Mail, wenn die Warnung ausgelöst wird.
Bei Warnungsauflösung sendet eine E-Mail, wenn die Warnung aufgelöst wird.
Beide sind standardmäßig deaktiviert. Empfänger werden auf Ebene der Monitor-Richtlinie im Empfänger Abschnitt.
Automatische Auflösung
Der Warnung automatisch auflösen, wenn die Bedingungen nicht mehr zutreffen Schalter schließt die Warnung automatisch, sobald die primäre Partition wieder als verschlüsselt gemeldet wird – unabhängig davon, ob Ihre Behebungsautomatisierung die Verschlüsselung aktiviert hat oder ein Techniker sie manuell behoben hat.
Er ist für diesen Monitor standardmäßig deaktiviert. Aktivieren Sie ihn, wenn Sie den Monitor mit einer automatisierten Behebung kombinieren. Lassen Sie ihn deaktiviert, wenn jeder Verschlüsselungsbefund offen bleiben soll, bis jemand ihn überprüft hat.
Häufig gestellte Fragen
Warum wird für ein Gerät eine Warnung angezeigt, obwohl ich weiß, dass das Laufwerk verschlüsselt ist? Unter Windows liest der Monitor den BitLocker-Schutzstatus, nicht nur den Verschlüsselungszustand. Ein Volume, das vollständig verschlüsselt ist, dessen Schutz jedoch ausgesetzt ist (was vorübergehend bei bestimmten Windows-Updates vorkommt), wird als nicht verschlüsselt gemeldet, bis der Schutz wiederhergestellt ist. Wenn die Warnung nach Abschluss des Updates nicht verschwindet, überprüfen Sie
manage-bde -statusauf dem Gerät.Prüft dieser Monitor alle Laufwerke oder nur das Systemlaufwerk? Nur die primäre (Boot-)Partition. Sekundäre Laufwerke und Daten-Volumes werden auf keiner Plattform ausgewertet. Verwenden Sie einen Skript-Monitor, wenn Sie eine Abdeckung über das Boot-Volume hinaus benötigen.
Kann er Drittanbieterverschlüsselung wie VeraCrypt oder Symantec erkennen? Nein. Der Monitor prüft die betriebssystemeigenen Mechanismen: BitLocker unter Windows, FileVault unter macOS und LUKS unter Linux. Geräte, die Drittanbieter-Vollverschlüsselung verwenden, werden als nicht verschlüsselt gemeldet.
Ich habe den Monitor hinzugefügt, aber einige Geräte lösen nie eine Warnung aus und werden nie als ausgewertet angezeigt. Warum? Überprüfen Sie die Agentenversion. Ältere Agenten ignorieren Monitor-Typen, die sie nicht kennen, sodass Geräte mit veralteten Builds diese Prüfung überhaupt nicht ausführen. Aktualisieren Sie den Agenten, und der Monitor erfasst diese Geräte.
Kann die Warnung das Problem automatisch beheben? Unter Windows und macOS ja. Fügen Sie eine Automatisierung hinzu, die die Festplattenverschlüsselung aktivieren Aktion als Behebung. Level aktiviert BitLocker oder FileVault und speichert den Wiederherstellungsschlüssel. Aktivieren Sie die automatische Auflösung, damit die Warnung geschlossen wird, sobald die Verschlüsselung aktiv ist. Unter Linux ist die integrierte Aktion nicht verfügbar; verwenden Sie ausschließlich benachrichtigungsbasierte Nachverfolgung, manuelle Behebung oder eine getestete skriptbasierte Behebung.
Wer kann diesen Monitor erstellen und bearbeiten? Techniker mit Zugriff auf die jeweilige Monitor-Richtlinie. Berechtigungseinstellungen werden verwaltet unter Arbeitsbereich → Berechtigungen.