Cloud-Speicher-Sicherheit: Google Drive & iCloud

Das grundlegende Problem mit Cloud-Speicher

Wenn Sie eine Datei auf Google Drive, Dropbox oder iCloud hochladen, verschlüsselt der Anbieter Ihre Daten während der Übertragung und im Ruhezustand. Das klingt beruhigend. Es ist jedoch nicht dasselbe wie Ende-zu-Ende-Verschlüsselung.

Bei der Standard-Cloud-Verschlüsselung hält der Anbieter die Verschlüsselungsschlüssel. Er kann Ihre Dateien entschlüsseln für:

• Strafverfolgungsanfragen und Gerichtsbeschlüsse
• Compliance-Audits
• Werbeanalysen (Google hat dies historisch getan)
• Interne Untersuchungen
• Sicherheits-Scans (Virenscans, CSAM-Erkennung)
• Einen unredlichen Mitarbeiter mit Zugang

Ende-zu-Ende-Verschlüsselung (E2EE) bedeutet, dass nur Sie die Schlüssel halten. Der Anbieter kann Ihre Daten nicht entschlüsseln, auch nicht bei einer Vorladung. Diese Unterscheidung ist für sensible Dokumente enorm wichtig.

Was die wichtigsten Anbieter tatsächlich tun

Google Drive

Google verschlüsselt Dateien mit AES-256 im Ruhezustand und TLS bei der Übertragung. Google hält die Schlüssel. Google scannt Dateien – nach Malware, Richtlinienverstößen und historisch gesehen auch zur Werbeinformation. Google wird gültigen rechtlichen Anfragen nachkommen. Ihre Dateien sind vor Google nicht privat.

iCloud

Apple verschlüsselt die meisten iCloud-Daten, hat historisch jedoch die Schlüssel für iCloud-Backups gehalten – einschließlich Ihrer iMessages, die auf dem Gerät Ende-zu-Ende-verschlüsselt sind, aber unverschlüsselt in iCloud gesichert werden. Apples Advanced Data Protection (eingeführt Ende 2022) ermöglicht echte E2EE für die meisten iCloud-Kategorien, einschließlich Backups, iCloud Drive, Fotos und Notizen. Dies ist opt-in und standardmäßig nicht aktiviert. Aktivieren Sie es in Einstellungen > [Ihr Name] > iCloud > Erweiterter Datenschutz.

Hinweis: iCloud Mail, Kontakte und Kalender bleiben außerhalb von E2EE, da sie mit Nicht-Apple-Servern interoperieren müssen.

Dropbox

Dropbox hält Verschlüsselungsschlüssel für alle Dateien. Dropbox hat Strafverfolgungsanfragen entsprochen. Wie Google könnte ein Dropbox-Mitarbeiter mit entsprechendem Zugang Ihre Dateien lesen. Es gibt keine Ende-zu-Ende-Verschlüsselungsoption für Standard-Dropbox.

OneDrive

Microsoft hält die Schlüssel und wird rechtlichen Anfragen nachkommen. Microsoft 365 Personal Vault fügt eine zusätzliche Authentifizierungsebene hinzu, bietet jedoch keine E2EE.

Anbieter, die echte E2EE anbieten

Proton Drive

Proton Drive verwendet Zero-Knowledge-Ende-zu-Ende-Verschlüsselung. Proton hält keine Schlüssel für Ihre Daten. Schweizer Jurisdiktion, geprüft. Geeignet für sensible Dokumente. Kostenlose Stufe verfügbar mit kostenpflichtigen Plänen für mehr Speicher.

Tresorit

Ende-zu-Ende-verschlüsselt, Zero-Knowledge, mit Sitz in der Schweiz/Ungarn. Starke Unternehmens- und Team-Funktionen. Wird von Anwaltskanzleien, Journalisten und Gesundheitsorganisationen genutzt. Teurer als Mainstream-Optionen.

Filen

Open-Source, Zero-Knowledge-E2EE-Cloud-Speicher. Deutlich günstiger als Tresorit. Geprüft. Eine gute Balance aus Preis und Datenschutz.

Dateien vor dem Hochladen verschlüsseln

Sie müssen den Anbieter nicht wechseln. Sie können Dateien lokal verschlüsseln, bevor Sie sie auf Google Drive, Dropbox oder einen anderen Dienst hochladen. Wenn der Anbieter kompromittiert oder vorgeladen wird, erhält er Chiffretext, den er nicht lesen kann.

Cryptomator

Cryptomator ist das empfohlene Tool dafür. Es ist kostenlos, Open-Source und erstellt einen verschlüsselten Tresor in Ihrem vorhandenen Cloud-Speicherordner. Sie arbeiten normal mit Dateien – Cryptomator verschlüsselt sie transparent, bevor sie synchronisiert werden.

Einrichtung:

1. Laden Sie Cryptomator von cryptomator.org herunter (überprüfen Sie die Signatur)
2. Erstellen Sie einen neuen Tresor in Ihrem Dropbox- oder Google-Drive-Ordner
3. Setzen Sie eine starke Passphrase (speichern Sie sie in Ihrem Passwort-Manager)
4. Fügen Sie Dateien normal zum Tresor hinzu – sie werden verschlüsselt mit der Cloud synchronisiert

Der Anbieter sieht nur verschlüsselte Blobs mit zufälligen Dateinamen. Selbst Metadaten über Ihre Dateien werden verschleiert.

VeraCrypt

Für große Archive oder Backups eignen sich VeraCrypt-Container gut. Erstellen Sie eine verschlüsselte Container-Datei, fügen Sie Ihre Dateien hinzu, schließen Sie den Container, dann laden Sie die Container-Datei hoch. Mehr Aufwand als Cryptomator für den täglichen Gebrauch, aber hervorragend für die Archivierung.

7-Zip mit AES-256

Für die schnelle Weitergabe sensibler Dateien ist ein 7-Zip-Archiv mit AES-256-Verschlüsselung und einer starken Passphrase akzeptabel. Senden Sie die Passphrase über einen anderen Kanal (Signal, nicht E-Mail).

Praktische Empfehlungen nach Anwendungsfall

Alltägliche Dateien, Fotos, Dokumente – Standard-Google-Drive oder iCloud ist ausreichend. Diese Dateien sind nicht sensibel genug, um Mehraufwand zu rechtfertigen.

Sensible persönliche Dokumente (Steuererklärungen, Reisepassscans, Krankenakten) – verwenden Sie Cryptomator-Tresore über Ihrem vorhandenen Speicher oder wechseln Sie zu Proton Drive.

Geschäftssensible Dokumente (Verträge, geistiges Eigentum, Rechtsdokumente) – Proton Drive oder Tresorit mit erzwungener E2EE.

Backups – aktivieren Sie iCloud Advanced Data Protection, wenn Sie Apple nutzen. Verschlüsseln Sie andernfalls lokale Backups mit VeraCrypt, bevor Sie sie hochladen.

Das Teilen nicht vergessen

Cloud-Verschlüsselung schützt Dateien im Ruhezustand. Wenn Sie einen Link teilen, gewähren Sie Zugang. Seien Sie vorsichtig bei:

• Teilen mit "Jeder mit dem Link", wenn Sie eine bestimmte Person meinten
• Geteilte Ordner, auf die mehrere Personen Zugriff haben – ein kompromittiertes Konto einer Person gewährt Zugang zu allen
• Drittanbieter-Apps, die mit Ihrem Cloud-Speicher verbunden sind (überprüfen Sie diese in den Einstellungen Ihres Anbieters)

Die wichtigste Erkenntnis

Anbieterverschlüsselung ist nicht Ihre Verschlüsselung. Wählen Sie für alles Sensible entweder einen Zero-Knowledge-Anbieter oder verschlüsseln Sie Dateien, bevor sie Ihr Gerät verlassen. Die dafür nötigen Tools sind kostenlos, Open-Source und nicht schwer zu verwenden.