VeraCrypt ist der Nachfolger von TrueCrypt und dient zur Verschlüsselung der Festplatte im Computer bzw. des ganzen Betriebssystems. Das Programm wurde ursprünglich von zwei kaum in der Öffentlichkeit stehenden Programmierern entwickelt, bis diese plötzlich beide von diesem Projekt zurücktraten. Es wurde vermutet, dass sie zurücktreten mussten, weil sie ggf. von staatlichen Akteuren dazu aufgefordert wurden. Kann dieses bedeuten, dass die Software zu gut war? Und staatliche Stellen sich die Zähne an der Festplattenverschlüsselung ausgebissen haben?
Die letzte Version von TrueCrypt 7.1a ist nach wie vor im Netz verfügbar und funktioniert wunderbar. Interessant ist, dass die Entwickler bei dem Stopp ihres Projektes als Grund auch mit anklingen ließen, dass TrueCrypt 7.1 Schwächen habe und daher nicht weiter genutzt werden sollte. Auch dieses kann eine lancierte und damit gewollte bzw. aufgezwungene Nachricht sein, damit diese starke Verschlüsselung in der Version 7.1a nicht weiter eingesetzt wird.
Da TrueCrypt immer schon quell-offen war, hat das Programm bei einem Entwickler und Kryptologen in Frankreich eine neue Heimat unter dem Namen VeraCrypt gefunden. Ebenso erfolgte bei der Übernahme des Projektes eine Sicherheitsüberprüfung von TrueCrypt. Es wurden nur geringe Mängel gefunden, die inzwischen schon ausgebessert wurden. Das Programm wurde seinerzeit wie auch heute also grundlegend nicht in Frage gestellt. Insofern ist auch derzeit weiter davon auszugehen, dass es sich um eine beabsichtigte strategische Nachricht gehandelt haben könnte, dass TrueCrypt 7.1 Schwächen habe. Denn potenzielle, leichte Schwächen kann jeder Code haben und diese werden i.d.R. bei der nächsten Version ausgebessert.
Das Programm TrueCrypt bzw. heute VeraCrypt hat dabei zwei wesentliche kryptographische Funktionen: Es kann einen auch über mehrere Gigabyte großen Container erstellen, also eine Datei wie »container.dat«, die dann verschlüsselt ist und ein eigenes neues Laufwerk, einen neuen Datei-Pfad, enthält. So kann man alle seine Dokumente darin sicher aufbewahren. Die Dokumente sind unverschlüsselt, aber durch Speicherung in diesem verschlüsselten Container, quasi als Hülle, werden sie erst mit einem Passwort zugänglich.
Die zweite Grundfunktion besteht darin, dass man nicht einen Pfad in eine Container-Datei packt, sondern gleich das ganze Betriebssystem verschlüsselt. Dann muss die Nutzerin bzw. der Nutzer beim Start des Laptops erst ein Passwort eingeben, bevor überhaupt das Betriebssystem startet.
Dieses ist beispielsweise sinnvoll, wenn Firmen-Laptops im Firmenwagen frei auf dem Beifahrersitz liegen und nach dieser Einladung gestohlen werden. Die Diebin bzw. der Dieb kann den Laptop jedoch bei Installation von VeraCrypt ohne Kenntnis des Passwortes nicht starten und selbst bei ausgebauter Festplatte können die Daten nicht ausgelesen werden.
Veracrypt wird zunehmend beim Einsatz in Unternehmen durch eine ähnliche Funktion im Microsoft Betriebssystem Windows zurückgedrängt: Bitlocker. Auch Windows startet mit dieser Option von Bitlocker nur, wenn ein Passwort eingegeben ist.
Ebenso haben Linux-Betriebssysteme eigene Verschlüsselungen für die Daten-Partition.
Firmen müssten somit also nicht mehr VeraCrypt zusätzlich installieren. Es ist jedoch (natürlich und mutmaßlich) davon auszugehen, dass staatliche Stellen (bzw. zumindest das Unternehmen Microsoft als Anbieter selbst) Bitlocker jederzeit »locker« öffnen können. Für die einfache Laptop-Diebin bzw. -Dieb ist es jedoch nicht möglich, diese Verschlüsselung zu überwinden - und für die IT-Abteilungen ist es wiederum einmal bequem, keine weitere Software aufspielen zu müssen.
Abbildung 1: VeraCrypt – Container Erstellung
Für die Privatanwenderin und den Privatanwender mag die Situation jedoch anders aussehen. Diese möchten ggf. eine sichere Software anwenden und eine quell-offene Software dazu: VeraCrypt ist also das Mittel der Wahl für den privaten Anwendungsfall, um den Laptop oder die Festplatte eines Computers zu verschlüsseln.
Inzwischen wurde VeraCrypt auch vom Deutschen Bundesamt für Sicherheit in der Informationstechnik (BSI) auditiert: »Bei der Untersuchung von VeraCrypt wurden keine gravierenden Schwachstellen identifiziert.«
Wie Anwenderinnen und Anwender auch mit weiteren Applikationen einzelne Dateien – statt ganzer Pfade, Betriebssysteme oder Festplatten – verschlüsseln, kommen wir später noch. Denn im Wesentlichen wollen Nutzerinnen und Nutzer ja ihre Dateien verschlüsselt wissen, wenn sie diese z.B. auf einem Datenträger oder in der Cloud ablegen, oder wenn sie Text mit einem Messenger versenden. Betrachten wir daher im Folgenden zunächst einmal Kommunikationsprogramme: die Messenger.
Quelle: Tenzer, Theo - Sonderausgabe mit einem Vorwort von "Aktion Freiheit statt Angst e.V.": Open-Source Verschlüsselung - Quell-offene Software zur Demokratisierung von Kryptographie, Schutz vor Überwachung, Norderstedt 2024, ISBN 9783757853150.