Verschlüsselte Dateien nach Passwortänderung

[Enroth 10]

Hallo zusammen,

 

hab ein dickes Problem.

 

Ein Kunde hat auf seinem Notebook sein Passwort geändert.

Was er anscheinend nicht wusste ist, dass die Windowsverschlüsselung eben

an diesem Passwort hängt.

Die folge ist, dass er an keine seiner Daten mehr herankommt.

 

Es handelt sich um ein Windows XP System.

Eine Sicherung der EFS Schlüssel gibt es nicht.

Wie ich feststellen musste wurde auch noch der lokale Administrator-

Account gelöscht. Allerdings gibt es einen zweiten Benutzer in der

Gruppe Administratoren.

 

Ein einfaches aufheben der Verschlüsselung funktioniert nicht.

Habs auch mit dem zweiten Account aus der Admin-Gruppe probiert.

Dort wurde zwar das Passwort nicht erneuert, aber auch hier kann man die

Verschlüsselung nicht abschalten.

 

Den Besitz zu übernehmen, wie ich es von Domains her kenne geht auf lokal

installierten System auch nicht.

 

Hat jemand einen Rat wir ich die Daten wieder lesbar machen kann.

 

 

Gruß

 

Enroth

[IThome 10]

Sein Passwort kann er selbst doch ändern, ohne die Schlüssel unbrauchbar zu machen. Oder ist das Kennwort von diesem User von einem Administrator zurückgesetzt worden ?

EFS, Credentials, and Private Keys from Certificates Are Unavailable After a Password Is Reset

[Gulp 261]

Jepp, eine Kennwortänderung ist üblicherweise für die EFS verschlüsselten Daten unerheblich, hier kommt es nur auf den Useraccount und seine SID an, logischerweise auf die beiden Schlüssel (öffentlich und privat) des Users und den automatisch erstellten FEK (File Encryption Key) der bei der Verwendung von EFS für jede zu verschlüsselnde Datei erstellt wird.

 

EFS verwendet den öffentlichen Schlüssel des Users zum Verschlüsseln und verwendet den privaten Schlüssel des Users zum Entschlüsseln (asymmetrische Verschlüsselung - ähnlich wie zB PGP).

 

siehe: Die Wiederherstellung von verschlüsselten Daten mit EFS (Encrypting File System) - Der 5-Minuten-Sicherheitstipp

 

Im Übrigen kann der in jedem XP System vorhandene User "Administrator" nicht gelöscht werden (man kann diesen allerhöchstens deaktivieren oder aber seine Adminrechte entfernen - dumm aber wenn man das tut und keinen Ersatz-Admin hat)

 

Grüsse

 

Gulp

[XP-Fan 219]

Hi,

 

hat der User seinen Laptop neu installiert und will nun auf seine Dateien

welche er vorher gesichert hat zugreifen ?

[Enroth 10]

Also wenn ich das richtig sehe sollte, nachdem was ihr sagt, das Problem gar nicht

auftauchen, wenn man das Passwort ändert.

 

Das System wurde nicht neu installiert.

Das Passwort wurde nicht vom Admin zurückgesetzt sonder selbst geändert.

Allerdings hat mir der Kunde erzählt, dass

aufgrund eines Defektes faktisch bis auf die Festplatte die gesamte Hardware

ausgetauscht wurde.

 

Kann es daran liegen ?

 

Fakt ist nun einmal, dass ich an die Daten nicht mehr herankomme nach dem das Passwort

für Windows geändert wurde.

[IThome 10]

Ja, das siehst Du richtig. Der Benutzer kann sein Kennwort so oft ändern, wie er will. Wer weiss, was da passiert ist, was durch den Hardwaretausch verloren gegangen ist (das Profil des Benutzers eventuell, Reparaturinstallation ?). Fakt allerdings ist, dass sich die Dateien dann nicht mehr wiederherstellen lassen ...

Ändere das Passwort nochmal auf den alten Wert (als Benutzer, nicht als Admin) und versuche den Zugriff, wenn das auch nicht klappt, sind die Daten sehr wahrscheinlich verloren ...

[Dr.Melzer 191]

Ich denke eher dass der Hardwaretausch das Problem verursacht hat. Ist die alte Hardware noch vorhanden? Wenn ja dann einfach mal die Platte zurückbauen und schaun ob ein Zugriff auf die Daten möglich ist.

[Enroth 10]

Ich geh auch davon aus, dass die Daten verloren sind.

 

Erstmal danke für eure Hilfe.

 

Eine kleine Hoffnung habe ich noch.

Anscheinend gibt es noch eine Datensicherung.

Die hat zwar nicht die verschlüsselten Daten gespeichert, aber

vielleicht kann ich da noch einmal ein paar Schlüssel kopieren,

wie sie in einem der LINK beschrieben sind.

 

 

MfG

 

Enroth