Einführung
Unverschlüsselte Endpunkte gehören zu den häufigsten Compliance-Lücken in jeder Umgebung. Ein verlorener Laptop mit einer unverschlüsselten Festplatte ist ein Datenleck; ein verlorener Laptop mit einer verschlüsselten Festplatte ist ein Hardwareverlust.
Der Monitor für den Verschlüsselungsstatus prüft, ob die primäre Partition jedes Geräts verschlüsselt ist, und erstellt eine Warnung, wenn dies nicht der Fall ist oder wenn sich die Verschlüsselung in einem unerwarteten Zustand befindet. Er funktioniert unter Windows (BitLocker), macOS (FileVault) und Linux (LUKS) und erfordert keine Schwellenwert- oder Dauerkonfiguration. Fügen Sie ihn einer Richtlinie hinzu und er beginnt sofort mit der Überprüfung.
Funktionsweise
Der Monitor wird auf dem Agenten ausgeführt. Er führt eine boolesche Prüfung durch: Ist die primäre Partition des Geräts verschlüsselt, ja oder nein. Es gibt keine Schwellenwerte, Dauern oder Bereiche, die konfiguriert werden müssen.
Die Prüfung umfasst nur die primäre (Boot-)Partition. Sekundäre Laufwerke und zusätzliche Volumes werden nicht ausgewertet. Wenn Sie die Verschlüsselung auf sekundären Laufwerken überprüfen müssen, kombinieren Sie diesen Monitor mit einem Skript-Monitor, der die gewünschten Volumes prüft. Siehe Skript-Monitor ausführen.
🖥️ PLATTFORMHINWEIS:
Windows: Prüft den BitLocker-Schutzstatus auf dem Boot-Volume. Dies gibt an, ob der BitLocker-Schutz derzeit aktiv ist, nicht nur ob das Volume verschlüsselt wurde. Ein vollständig verschlüsseltes Volume, bei dem der Schutz ausgesetzt ist (was vorübergehend bei bestimmten Windows-Updates und Firmware-Änderungen passiert), wird als nicht verschlüsselt gemeldet.
macOS: Prüft mithilfe einer nativen macOS-Prüfung, ob FileVault aktiviert ist.
Linux: Prüft auf LUKS-Verschlüsselung der Root-Partition (
/).
Monitor hinzufügen
Öffnen Sie die Monitor-Richtlinie, die auf die zu prüfenden Geräte abzielt, und klicken Sie dann auf + Neuen Monitor hinzufügen.
Name und Typ
Geben Sie einen Namen , der den Zweck des Monitors auf einen Blick erkenntlich macht, wie z. B. „Festplattenverschlüsselungsstatus" oder „Arbeitsstationen – Verschlüsselung-Compliance".
Setzen Sie Typ auf Verschlüsselungsstatus.
Sobald der Typ ausgewählt ist, bestätigt das Fenster, dass nichts weiteres einzustellen ist: Der Monitor überwacht nur die primäre Partition des Geräts, ohne weitere Konfiguration.
Schweregrad
Setzen Sie Schweregrad entsprechend der Dringlichkeit, mit der Ihr Team ein unverschlüsseltes Gerät behandelt:
Information
Warnung
Kritisch
💡 TIPP: Wenn Ihre Kunden Compliance-Anforderungen haben (HIPAA, CMMC, Cyber-Versicherungsnachweise), sollten Sie „Kritisch" wählen. Ein unverschlüsselter Endpunkt beeinträchtigt zwar keine Leistung, stellt aber für jede Stunde, die er offen bleibt, einen offenen Compliance-Befund dar.
Behebung
Fügen Sie eine Automatisierung hinzu, die ausgeführt wird, wenn diese Warnung ausgelöst wird. Klicken Sie auf das Automatisierung auswählen Feld und wählen Sie eine aus, verwenden Sie das Link Symbol, um die ausgewählte Automatisierung in einem neuen Tab zu öffnen, das Auge Symbol, um eine Vorschau anzuzeigen, oder das × um die Auswahl aufzuheben.
ℹ️ HINWEIS: Behebungen werden ausgeführt, wenn die Warnung erstellt wird, nicht wenn sie sich auflöst.
Unter Windows und macOS ist die natürliche Kombination eine Automatisierung, die auf der Festplattenverschlüsselung aktivieren Aktion, die BitLocker oder FileVault aktiviert und den Wiederherstellungsschlüssel in Level speichert. Das schließt den Kreis: Der Monitor erkennt die Lücke, die Automatisierung behebt sie, und die automatische Auflösung schließt die Warnung.
Unter Linux kann der Monitor LUKS erkennen, aber Level's Festplattenverschlüsselung aktivieren Aktion ist nicht verfügbar. Verwenden Sie ausschließlich Benachrichtigungen, manuelle Behebung oder eine getestete skriptbasierte Behebung für Ihre Umgebung.
⚠️ WARNUNG: Überlegen Sie sorgfältig, bevor Sie die Verschlüsselung auf Servern und gemeinsam genutzten Rechnern automatisch beheben. Die Aktivierung von BitLocker kann einen Neustart erfordern, und jede Verschlüsselungsänderung hat Auswirkungen auf den Wiederherstellungsschlüssel. Für Arbeitsstationen ist eine automatische Behebung in der Regel sicher. Für Server ist ein rein benachrichtigungsbasierter Ansatz mit manueller Nachverfolgung oft die bessere Wahl.
Empfänger benachrichtigen
Zwei Kontrollkästchen steuern, ob die Empfänger der Richtlinie per E-Mail benachrichtigt werden:
Bei Warnungserstellung sendet eine E-Mail, wenn die Warnung ausgelöst wird.
Bei Warnungsauflösung sendet eine E-Mail, wenn die Warnung aufgelöst wird.
Beide sind standardmäßig deaktiviert. Empfänger werden auf Ebene der Monitor-Richtlinie verwaltet, im Empfänger Abschnitt.
Automatische Auflösung
Der Warnung automatisch auflösen, wenn die Bedingungen nicht mehr zutreffen Umschalter schließt die Warnung automatisch, sobald die primäre Partition wieder als verschlüsselt gemeldet wird – unabhängig davon, ob dies durch Ihre Behebungsautomatisierung oder manuell durch einen Techniker erreicht wurde.
Dieser ist für diesen Monitor standardmäßig deaktiviert. Aktivieren Sie ihn, wenn Sie den Monitor mit automatischer Behebung kombinieren. Lassen Sie ihn deaktiviert, wenn jeder Verschlüsselungsbefund offen bleiben soll, bis jemand ihn überprüft.
Häufig gestellte Fragen
Warum wird bei einem Gerät eine Warnung angezeigt, obwohl ich weiß, dass das Laufwerk verschlüsselt ist? Unter Windows liest der Monitor den BitLocker-Schutzstatus, nicht nur den Verschlüsselungszustand. Ein Volume, das vollständig verschlüsselt ist, aber dessen Schutz ausgesetzt ist (was bei bestimmten Windows-Updates vorübergehend häufig vorkommt), wird als nicht verschlüsselt gemeldet, bis der Schutz wieder aufgenommen wird. Wenn sich die Warnung nach Abschluss des Updates nicht auflöst, überprüfen Sie
manage-bde -statusauf dem Gerät.Prüft der Monitor alle Laufwerke oder nur das Systemlaufwerk? Nur die primäre (Boot-)Partition. Sekundäre Laufwerke und Daten-Volumes werden auf keiner Plattform ausgewertet. Verwenden Sie einen Skript-Monitor, wenn Sie eine Abdeckung über das Boot-Volume hinaus benötigen.
Kann der Monitor Drittanbieter-Verschlüsselung wie VeraCrypt oder Symantec erkennen? Nein. Der Monitor prüft die betriebssystemeigenen Mechanismen: BitLocker unter Windows, FileVault unter macOS und LUKS unter Linux. Geräte mit Drittanbieter-Festplattenverschlüsselung werden als nicht verschlüsselt gemeldet.
Ich habe den Monitor hinzugefügt, aber einige Geräte lösen nie eine Warnung aus und werden nie als ausgewertet angezeigt. Warum? Überprüfen Sie die Agentenversion. Ältere Agenten ignorieren Monitor-Typen, die sie nicht erkennen. Daher führen Geräte mit veralteten Versionen diese Prüfung überhaupt nicht aus. Aktualisieren Sie den Agenten und der Monitor erfasst diese Geräte.
Kann die Warnung das Problem automatisch beheben? Unter Windows und macOS ja. Fügen Sie eine Automatisierung hinzu, die die Festplattenverschlüsselung aktivieren Aktion als Behebung. Level aktiviert BitLocker oder FileVault und speichert den Wiederherstellungsschlüssel. Aktivieren Sie die automatische Auflösung, damit die Warnung geschlossen wird, sobald die Verschlüsselung aktiv ist. Unter Linux ist die integrierte Aktion nicht verfügbar; verwenden Sie ausschließlich Benachrichtigungen, manuelle Behebung oder eine getestete skriptbasierte Behebung.
Wer kann diesen Monitor erstellen und bearbeiten? Techniker mit Zugriff auf die entsprechende Monitor-Richtlinie. Berechtigungseinstellungen werden in Arbeitsbereich → Berechtigungen.