USB-Stick mit AES-256 verschlüsseln: eine einfache Anleitung für Windows und Mac

Zahlen & Fakten

Warum ein unverschlüsselter USB-Stick ein Risiko ist

USB-Sticks sind klein, billig und schnell verloren: im Taxi, an der Hotelrezeption, in der Jacke in der Reinigung. Wer einen findet, muss ihn nur einstecken, um alles darauf zu lesen. Für die meisten Menschen sind das Ausweisscans, Gehaltsabrechnungen, Verträge, Steuererklärungen oder Familienfotos; bei Berufstätigen können es Kundendaten sein, die in vielen Ländern rechtliche Pflichten nach sich ziehen, wenn sie in falsche Hände geraten.

Verschlüsselung löst dieses Problem. Ein verschlüsselter Datenträger sieht für jeden ohne Passwort wie zufällige Daten aus. Verlieren Sie ihn, verlieren Sie die Hardware, nicht Ihre Privatsphäre.

AES-256 ohne Fachjargon erklärt

AES (Advanced Encryption Standard) ist der Algorithmus, der heute den Großteil der digitalen Welt schützt: WLAN-Netze, HTTPS-Websites, Smartphones, Banking-Apps und Festplattenverschlüsselung. Er wurde nach einem offenen internationalen Wettbewerb ausgewählt und 2001 vom US-amerikanischen National Institute of Standards and Technology (NIST) als FIPS 197 veröffentlicht.

Die Zahl nach AES gibt die Schlüssellänge an: 128, 192 oder 256 Bit. Ein 256-Bit-Schlüssel kann 2^256 Werte annehmen, eine Zahl mit 78 Stellen. Alle auszuprobieren ist mit keinem existierenden Computer möglich, selbst bei Milliarden Versuchen pro Sekunde über Milliarden Jahre.

Deshalb wird AES-256 oft als „Verschlüsselung auf Militärniveau“ bezeichnet: Das US-Komitee für nationale Sicherheitssysteme hat AES mit 192- oder 256-Bit-Schlüsseln zum Schutz STRENG GEHEIMER Informationen zugelassen (CNSS Policy No. 15). Der Ausdruck ist Marketing, aber die Tatsache dahinter stimmt.

Der Haken: Niemand greift AES selbst an. Angreifer erraten das Passwort, das den Schlüssel freigibt. Ein Laufwerk, das „mit AES-256 geschützt“ ist und das Passwort „12345678“ hat, ist nicht geschützt. Gute Verschlüsselungssoftware bremst das Erraten von Passwörtern absichtlich aus (sie schickt das Passwort tausendfach durch eine Schlüsselableitungsfunktion), doch ein langes, einzigartiges Passwort bleibt Ihr eigentlicher Schutz.

Fünf Wege, einen USB-Stick zu verschlüsseln

1. BitLocker To Go (Windows)

BitLocker To Go ist in Windows 11 und Windows 10 Pro, Enterprise und Education integriert. Windows Home kann es nicht aktivieren, kann aber meist einen auf einem Pro-PC verschlüsselten Datenträger entsperren, wenn Sie das Passwort kennen.

• 1. Sichern Sie zuerst die Dateien auf dem Stick.
• 2. Klicken Sie im Explorer mit der rechten Maustaste auf den USB-Stick und wählen Sie BitLocker aktivieren (unter Windows 11 bei Bedarf unter „Weitere Optionen anzeigen“).
• 3. Wählen Sie Kennwort zum Entsperren verwenden und geben Sie zweimal eine lange Passphrase ein.
• 4. Speichern Sie den 48-stelligen Wiederherstellungsschlüssel in Ihrem Microsoft-Konto, drucken Sie ihn aus oder legen Sie ihn auf einem anderen Gerät ab, niemals auf dem Stick selbst.
• 5. Wählen Sie Gesamtes Laufwerk verschlüsseln und dann den kompatiblen Modus, wenn der Stick an älteren Windows-Versionen genutzt wird.
• 6. Warten Sie, bis die Verschlüsselung abgeschlossen ist, bevor Sie den Stick abziehen.

Expertentipp: Standardmäßig verschlüsselt Windows Wechseldatenträger mit 128-Bit-AES. Administratoren von Pro-PCs können vor dem Verschlüsseln im Editor für lokale Gruppenrichtlinien 256-Bit-Schlüssel vorschreiben (BitLocker-Laufwerkverschlüsselung, „Verschlüsselungsmethode und Verschlüsselungsstärke für Laufwerk auswählen“).

2. Verschlüsseltes APFS (Mac)

Auf einem Mac können Sie einen Datenträger im Festplattendienstprogramm als APFS (verschlüsselt) formatieren oder ihn im Finder mit der rechten Maustaste anklicken und Verschlüsseln wählen. Sie legen ein Passwort und eine Merkhilfe fest; danach fragt der Datenträger bei jedem Anschließen nach dem Passwort.

Zwei Einschränkungen: Ein verschlüsseltes APFS-Laufwerk ist nur auf Macs lesbar, und das Formatieren löscht den Datenträger, also sichern Sie ihn vorher. Apple warnt außerdem, dass verschlüsselte Mac OS Extended (HFS+)-Volumes mit macOS 28 oder neuer nicht mehr funktionieren; haben Sie ein altes verschlüsseltes Laufwerk in diesem Format, wandeln Sie es vor dem Update in verschlüsseltes APFS um oder entschlüsseln Sie es.

3. VeraCrypt (Windows, Mac und Linux)

VeraCrypt ist ein kostenloser Open-Source-Nachfolger von TrueCrypt. Es kann einen ganzen USB-Stick verschlüsseln oder eine verschlüsselte „Container“-Datei anlegen, die Sie wie eine virtuelle Festplatte öffnen. Es unterstützt AES-256 und weitere Algorithmen und läuft unter Windows, macOS und Linux – die beste Wahl, wenn Sie zwischen Systemen wechseln.

Die Einschränkung: VeraCrypt muss auf dem Computer installiert sein, und laut Dokumentation benötigt auch der portable Modus Administratorrechte. Ideal für die eigenen Computer, weniger für das Business-Center eines Hotels oder einen abgeschotteten Büro-PC.

4. Ein verschlüsseltes 7-Zip-Archiv

Müssen Sie nur wenige Dateien schützen, kann das kostenlose 7-Zip ein .7z-Archiv mit AES-256-Verschlüsselung erstellen. Aktivieren Sie „Dateinamen verschlüsseln“, damit niemand auch nur sieht, was das Archiv enthält. Eine schnelle Lösung zum Versenden von Dokumenten, aber keine Methode, um bequem mit einem ganzen Laufwerk zu arbeiten: Zum Bearbeiten müssen Sie Dateien entpacken, wodurch unverschlüsselte Kopien auf dem Computer bleiben.

5. Ein hardwareverschlüsselter Stick mit Tastenfeld

Sticks mit Tastenfeld verschlüsseln die Daten im Stick selbst und werden mit einer PIN entsperrt, die direkt am Stick eingegeben wird. Sie funktionieren daher ohne Software unter Windows, Mac, Linux, auf Chromebooks und sogar an manchen Fernsehern oder Druckern. Kingstons IronKey Keypad 200 etwa nutzt XTS-AES-256-Bit-Hardwareverschlüsselung, sperrt sich nach zehn falschen Benutzer-PINs und löscht sich nach zehn falschen Admin-PINs kryptografisch.

Sie kosten ein Vielfaches eines einfachen Sticks, sind aber die einfachste Lösung für Profis, die mit sensiblen Daten arbeiten oder auf den genutzten Computern keine Software installieren dürfen. Achten Sie bei regulierten Daten auf eine Validierung nach FIPS 140-2 oder FIPS 140-3.

Gute Gewohnheiten, damit Verschlüsselung wirkt

• Verwenden Sie eine Passphrase statt eines Passworts: vier oder fünf zusammenhanglose Wörter, mindestens 15 Zeichen, nirgendwo sonst verwendet.
• Bewahren Sie den Wiederherstellungsschlüssel getrennt auf: in einem Passwort-Manager, auf Papier zu Hause oder bei BitLocker in Ihrem Microsoft-Konto. Ohne ihn bedeutet ein vergessenes Passwort, dass Ihre Dateien verloren sind.
• Halten Sie eine Sicherung an anderer Stelle bereit. Verschlüsselung schützt die Privatsphäre, nicht die Daten selbst: Ein defekter oder verlorener Stick bleibt verloren.
• Werfen Sie den Stick ordnungsgemäß aus, bevor Sie ihn abziehen, besonders während der Verschlüsselung.
• Entsperren Sie nur an vertrauenswürdigen Computern. Ist ein Laufwerk entsperrt, kann Schadsoftware auf diesem Computer es lesen.
• Halten Sie Ihr System aktuell und nutzen Sie einen Virenschutz, besonders wenn Sie den Stick an vielen PCs einstecken.
• Verschlüsseln Sie das ganze Laufwerk, nicht nur einen Ordner, wenn es mit Ihnen reist.

Fehler, die Verschlüsselung nutzlos machen

• 1. Das Passwort auf ein Etikett am Stick schreiben oder in einer Textdatei auf demselben Stick speichern.
• 2. Den BitLocker-Wiederherstellungsschlüssel auf dem verschlüsselten Stick ablegen.
• 3. Dateien vom verschlüsselten Stick auf den Desktop eines gemeinsam genutzten Computers kopieren und dort vergessen.
• 4. Ein kurzes oder wiederverwendetes Passwort wählen: Angreifer probieren zuerst geleakte Passwörter.
• 5. Davon ausgehen, dass ein online gekaufter „sicherer“ Stick verschlüsselt ist: Prüfen Sie, ob die Verschlüsselung aktiv ist und das Modell für den beruflichen Einsatz zertifiziert ist.

Häufig gestellte Fragen

Kann AES-256 geknackt werden? Nicht durch Ausprobieren aller Schlüssel. Praktische Angriffe zielen auf schwache Passwörter, Schadsoftware auf dem Computer oder einen falsch aufbewahrten Wiederherstellungsschlüssel.

Ist AES-256 besser als AES-128? Beide gelten heute als sicher. AES-256 bietet eine größere Sicherheitsreserve, auch gegenüber künftigen Quantencomputern, und wird daher für langfristige Geheimnisse empfohlen.

Kann ich mein verschlüsseltes Laufwerk an einem fremden Computer öffnen? Mit BitLocker auf den meisten Windows-PCs ja. Mit verschlüsseltem APFS nur an einem Mac. Mit VeraCrypt nur, wenn es installiert ist und Sie Administratorrechte haben. Mit einem Tastenfeld-Stick an fast jedem Gerät.

Macht Verschlüsselung den Stick langsamer? Bei Softwareverschlüsselung auf alten Computern ein wenig; moderne Prozessoren haben eine AES-Beschleunigung, sodass der Unterschied meist gering ist.

Was passiert, wenn ich das Passwort vergesse? Ohne Wiederherstellungsschlüssel sind die Daten verloren. Das ist der Preis echter Sicherheit.

Fazit

AES-256 ist nicht das schwache Glied: Richtig eingesetzt, bleibt ein verlorener USB-Stick unlesbar. Welche Methode passt, hängt von Ihren Computern ab. BitLocker To Go ist die naheliegende Wahl für Windows-Pro-Nutzer, verschlüsseltes APFS für reine Mac-Nutzer, VeraCrypt für alle, die zwischen Systemen wechseln, und ein Hardware-Stick mit Tastenfeld für Profis, die Schutz ohne Software brauchen. Was Sie auch wählen, das Wesentliche bleibt gleich: eine lange Passphrase, ein sicher aufbewahrter Wiederherstellungsschlüssel und eine Sicherung. Weitere Sicherheitstipps für den Alltag finden Sie in unserem Ratgeber zu Passwort-Managern.

Dieser Ratgeber beruht auf offiziellen Dokumentationen von NIST, auf Microsoft-bezogenen Anleitungen sowie auf Unterlagen von Apple, VeraCrypt und Kingston, die in unseren Quellen genannt sind. RealDigitalTech verkauft keines der genannten Produkte.