FileVault aktivieren und den Mac verschlüsseln

FileVault ist die eingebaute Festplattenverschlüsselung von macOS. Sie aktivieren sie unter Systemeinstellungen > Datenschutz und Sicherheit > FileVault mit einem Klick auf „Einschalten“, wählen einen Weg zur Wiederherstellung und lassen den Mac anschließend im Hintergrund verschlüsseln. Danach sind Ihre Daten bei ausgeschaltetem Mac ohne Passwort oder Wiederherstellungsschlüssel nicht lesbar, auch nicht nach Ausbau des Speichers.

Wie FileVault zusammen mit Backups, Firewall und Aktivierungssperre ein Gesamtpaket ergibt, beschreibt der Überblick Backup und Sicherheit am Mac. Hier finden Sie die ausführliche Anleitung und die Antworten auf die häufigsten Fragen.

Warum Verschlüsselung wichtig ist

Ohne Verschlüsselung schützt das Anmeldepasswort nur den Zugang über die Benutzeroberfläche. Wer das Gerät in die Hände bekommt, könnte bei älteren Macs den Speicher ausbauen oder den Mac in einem besonderen Modus starten und Dateien auslesen. Mit FileVault ist der Inhalt des Startvolumes ohne Schlüssel nur Datensalat.

Besonders wichtig ist das bei MacBooks, die unterwegs gestohlen werden oder liegen bleiben können, bei beruflich genutzten Geräten mit Kundendaten und bei Macs, auf denen Passwörter, Steuerunterlagen oder Gesundheitsdaten liegen.

Status prüfen

1. Öffnen Sie die Systemeinstellungen und wählen Sie Datenschutz und Sicherheit.
2. Scrollen Sie zum Abschnitt FileVault. Dort steht, ob FileVault für das Startvolume eingeschaltet ist.

Für Fortgeschrittene zeigt der Befehl fdesetup status im Terminal denselben Status an. Auf vielen neuen Macs wird FileVault bereits bei der Ersteinrichtung vorgeschlagen und ist deshalb oft schon aktiv.

FileVault einschalten: Schritt für Schritt

1. Erstellen Sie vorher ein aktuelles Backup, etwa mit Time Machine.
2. Öffnen Sie Systemeinstellungen > Datenschutz und Sicherheit und klicken Sie bei FileVault auf Einschalten.
3. Bestätigen Sie mit Ihrem Administratorpasswort oder Touch ID.
4. Wählen Sie, wie Sie den Zugang wiederherstellen möchten, falls Sie Ihr Passwort vergessen:
   • Apple-Account erlauben, die Festplatte zu entsperren: bequem, setzt aber voraus, dass Sie auf Ihren Apple-Account zugreifen können.
   • Wiederherstellungsschlüssel erstellen: macOS zeigt eine lange Zeichenfolge aus Buchstaben und Zahlen an. Sie liegt nur bei Ihnen.
5. Haben Sie den Schlüssel gewählt, schreiben Sie ihn vollständig ab und prüfen Sie jede Stelle. Ein Bildschirmfoto auf demselben Mac hilft im Ernstfall nicht.
6. Gibt es weitere Benutzer auf dem Mac, legt macOS fest, wer die Festplatte beim Start entsperren darf. Benutzer, die nicht freigegeben sind, können sich erst anmelden, nachdem ein berechtigter Benutzer den Mac gestartet hat.
7. Klicken Sie auf Fortfahren. Die Verschlüsselung läuft im Hintergrund, Sie können normal weiterarbeiten.

Wichtig: Ohne Anmeldepasswort, ohne Wiederherstellungsschlüssel und ohne Zugriff über den Apple-Account sind die Daten endgültig verloren. Weder Apple noch eine Werkstatt kann sie entschlüsseln.

Apple-Account oder Wiederherstellungsschlüssel?

Option	Vorteile	Nachteile
Apple-Account	nichts aufzuschreiben, Zurücksetzen bequem am Anmeldebildschirm	abhängig vom Zugang zum Apple-Account und zur Zwei-Faktor-Authentifizierung
Wiederherstellungsschlüssel	unabhängig von Online-Konten, volle Kontrolle	Schlüssel muss sicher und getrennt verwahrt werden, Verlust ist endgültig

Für die meisten Privatanwender ist der Wiederherstellungsschlüssel die robustere Wahl, sofern Sie ihn zuverlässig aufbewahren. Gute Orte sind ein Ordner mit wichtigen Unterlagen, ein Passwortmanager, auf den Sie auch von anderen Geräten zugreifen, oder beides. Ungeeignet sind ein Zettel in der Laptoptasche und eine Datei auf demselben Mac.

In Firmen wird oft ein zentral verwalteter Schlüssel über eine Geräteverwaltung hinterlegt. Ist Ihr Mac verwaltet, fragen Sie die IT, bevor Sie FileVault-Einstellungen ändern.

Wie lange die Verschlüsselung dauert

Bei Macs mit Apple-Chip und Intel-Macs mit T2-Chip ist der interne Speicher ohnehin hardwareseitig verschlüsselt. FileVault koppelt den Schlüssel zusätzlich an Ihr Passwort, deshalb ist die Aktivierung dort meist nach kurzer Zeit abgeschlossen. Bei älteren Intel-Macs ohne T2 muss macOS jedes Bit einmal umschreiben, was je nach Datenmenge mehrere Stunden dauert. Lassen Sie ein MacBook dabei am Netzteil. Den Fortschritt sehen Sie im FileVault-Bereich der Systemeinstellungen.

Was FileVault schützt und was nicht

FileVault schützt die Daten, wenn der Mac ausgeschaltet ist. Ist er eingeschaltet und Sie sind angemeldet, sind die Daten entschlüsselt verfügbar. Daraus ergeben sich ein paar praktische Regeln:

• Unterwegs ausschalten statt zuklappen: Ein Mac im Ruhezustand ist weniger gut geschützt als ein ausgeschalteter.
• Bildschirmsperre nutzen: Lassen Sie den Mac nach kurzer Inaktivität sperren und verlangen Sie sofort das Passwort. Sperren können Sie jederzeit mit ⌃⌘Q.
• Externe Laufwerke separat verschlüsseln: FileVault gilt nur für das Startvolume. Externe Laufwerke verschlüsseln Sie im Finder per Rechtsklick mit „Verschlüsseln“ oder beim Formatieren im Festplattendienstprogramm.
• Backups verschlüsseln: Aktivieren Sie bei Time Machine die Option „Backup verschlüsseln“.
• Starkes Anmeldepasswort wählen: Die Verschlüsselung ist nur so stark wie das Passwort, das sie schützt.

Häufige Fehler und wie Sie sie vermeiden

Fehler	Folge	Besser so
Schlüssel nur als Bildschirmfoto auf dem Mac	im Ernstfall nicht erreichbar	auf Papier und im Passwortmanager eines anderen Geräts
Schlüssel falsch abgeschrieben	Entsperren schlägt fehl	jede Vierergruppe direkt nach dem Abschreiben vergleichen
Backup unverschlüsselt	Daten liegen offen auf dem Backup-Laufwerk	Time-Machine-Verschlüsselung einschalten
Kein Backup vor dem Einschalten	bei Stromausfall auf alten Intel-Macs Risiko für Daten	vorher sichern und MacBook ans Netzteil
Schwaches Anmeldepasswort	Verschlüsselung leicht zu umgehen	lange Passphrase statt kurzer Zahlenfolge

Mehrere Benutzer auf einem Mac

Auf einem Familien- oder Büro-Mac mit mehreren Konten gilt FileVault für das gesamte Startvolume, nicht pro Benutzer. Jeder Benutzer, der den Mac beim Start entsperren darf, kann das mit seinem eigenen Passwort. Alle anderen Benutzer melden sich erst an, nachdem der Mac von einem berechtigten Konto entsperrt wurde. Gastbenutzer haben bei aktivem FileVault nur eingeschränkten Zugang, meist lediglich zu Safari. Prüfen Sie nach dem Anlegen eines neuen Kontos in den FileVault-Einstellungen, ob es den Mac entsperren darf, und passen Sie das bei Bedarf an.

Wiederherstellungsschlüssel ändern oder FileVault ausschalten

Haben Sie den Schlüssel verlegt, solange Sie noch Zugang zum Mac haben, sollten Sie sofort handeln: FileVault ausschalten, die Entschlüsselung abwarten und FileVault mit einem neuen Schlüssel wieder einschalten. Erfahrene Nutzer können den Schlüssel auch per Terminal mit sudo fdesetup changerecovery -personal neu erstellen.

Ausschalten lässt sich FileVault an derselben Stelle in den Systemeinstellungen. Das ist selten sinnvoll, etwa wenn ein Programm für Datenrettung oder eine Werkstatt ausdrücklich ein unverschlüsseltes Volume verlangt. Schalten Sie FileVault danach wieder ein.

Passwort vergessen bei aktivem FileVault

Am Anmeldebildschirm bietet macOS nach mehreren falschen Eingaben an, das Passwort mit dem Apple-Account oder dem Wiederherstellungsschlüssel zurückzusetzen, je nachdem, was Sie beim Einschalten gewählt haben. Den ausführlichen Ablauf für alle Fälle beschreibt der Artikel Mac-Passwort vergessen.

FileVault beim Verkauf und bei Reparaturen

Für den Verkauf ist FileVault ein Vorteil: Beim Löschen über „Alle Inhalte und Einstellungen löschen“ wird der Schlüssel verworfen, die alten Daten sind danach nicht mehr lesbar. Die vollständige Checkliste steht unter Mac vor dem Verkauf zurücksetzen.

Vor einer Reparatur sollten Sie FileVault nicht ausschalten. Für den Funktionstest fragen Werkstätten teils nach einem Zugang. Legen Sie dafür im Zweifel ein eigenes Benutzerkonto ohne persönliche Daten an, statt Ihr Passwort herauszugeben.