Aufgaben zur vollständigen Datenträgerverschlüsselung erstellen und prüfen

Full Disk Encryption and Decryption verteilt Aufgaben zur Datei- oder Entschlüsselung an ausgewählte Endpunkte. „Full Disk“ bedeutet nicht, dass ein gesamter Datenträger als Einheit verschlüsselt wird: Die tatsächliche Verarbeitung ist durch Pfade, Dateitypen, Endpunktstatus und weitere Bedingungen begrenzt. Nicht alle Dateien werden zwangsläufig verarbeitet.

Die Beschreibung des Dateiabgleichs gilt für Windows-Endpunkte. Andere Plattformen und konkrete Geschäftsumgebungen sind vor der Nutzung separat zu prüfen. Die Schritte verwenden die englischen Bezeichnungen der Verwaltungskonsole.

Vor der Ausführung

• Verwenden Sie ein Administratorkonto mit Aufgabenverwaltungsrecht und prüfen Sie Zielendpunkte, Aufgabentyp, Geschäftszeitfenster und Lizenz. Testen Sie zuerst wenige Endpunkte statt unmittelbar großflächig auszuführen.
• Bereiten Sie nach Organisationsverfahren eine Sicherung und ein Wiederherstellungsverfahren vor und prüfen Sie deren Funktion. Entschlüsselung kann den Schutzstatus ändern, Verschlüsselung den Zugriff von Geschäftssoftware beeinträchtigen. Verwenden Sie für erste Tests wiederherstellbare Dateien ohne sensible Daten.
• Bestimmen Sie Verzeichnisse, Dateitypen sowie auszuschließende System- und Geschäftsverzeichnisse und behandeln Sie geöffnete Dateien angemessen. Ein Endpunkt muss die Aufgabe empfangen und ausführen; erfolgreiche Erstellung bedeutet keinen Abschluss.
• Prüfen Sie für Richtliniendateitypen zunächst Authorized Software, deren Prozessregeln und die geltende Richtlinie. Vergewissern Sie sich, dass der Zielendpunkt die Richtlinie empfangen hat und die Dateitypen zur Aufgabe passen. Geeignete vorhandene Einstellungen können ohne erneutes Speichern für jede Aufgabe verwendet werden. Nur bei Änderungsbedarf pflegt eine berechtigte Person Software und Regeln, wählt die Software in der geltenden Richtlinie, speichert die gesamte Richtlinie und prüft den Empfang am Endpunkt. Siehe Verschlüsselungsrichtlinie für autorisierte Software.

Aufgabe erstellen

1. Öffnen Sie in der transparenten Dokumentenverschlüsselung Full Disk Encryption and Decryption und wählen Sie die Aufgabenerstellung.
2. Geben Sie unter Task Type einen Namen ein, wählen Sie die vollständige Datei-Verschlüsselung oder -Entschlüsselung sowie sofortige oder zeitgesteuerte Ausführung. Die entsprechenden Optionen heißen Full Disk Encrypt, Full Disk Decrypt, Run Now und Scheduled.
3. Geben Sie bei Zeitplanung eine Ausführungszeit und Time Basis an. Console Local Time bestimmt den geplanten Zeitpunkt anhand der lokalen Konsolenzeit bei Erstellung; Endpoint Local Time verwendet die lokale Zeit jedes Zielendpunkts. Prüfen Sie tatsächliche Ausführung bei Zeitzonenunterschieden oder Offline-Endpunkten einzeln. Die beiden Zeitgrundlagen heißen Console Local Time und Endpoint Local Time.
4. Wählen Sie unter Path Settings ausgeschlossene oder angegebene Positionen und fügen Sie mindestens eine gültige Regel hinzu. Wählen Sie nach Oberfläche Umgebungsvariablen oder eigene Pfade und prüfen Sie Eignung am Ziel sowie vorhandene Standardausschlüsse. Die entsprechenden Optionen heißen Ignored Paths und Specified Paths sowie Environment Variable und Custom Path.
5. Bestimmen Sie unter File Type Settings, ob Richtliniendateitypen verwendet werden. Bei Deaktivierung ist mindestens ein benutzerdefinierter Typ erforderlich. Mehrere Typen können nach Oberflächenhinweis durch Semikolon getrennt werden, etwa *.doc;*.pdf. Dies ist keine Standardrichtlinie. Der Schalter für Richtliniendateitypen heißt Use Policy File Types.
6. Wählen Sie unter Target Endpoints die Testendpunkte. Prüfen Sie Aufgabe, Zeit, beide Pfadarten und Dateitypen und senden Sie. Meldet die Oberfläche ausstehende gleichartige Aufgaben, prüfen Sie diese zuerst, um doppelte Verteilung zu vermeiden. Die Auswahl erfolgt unter Target Endpoints.
7. Prüfen Sie nach Erstellung Namen, Typ und Status in der Aufgabenliste und öffnen Sie Details zur Ausführung auf jedem Endpunkt.

Verarbeitungsumfang prüfen

Das Umschalten des Pfadtyps ändert nur die aktuell bearbeitete Liste und löscht die andere Regelart nicht automatisch. Prüfen Sie vor dem Senden sowohl Ausschlüsse als auch angegebene Positionen. Ein angegebener Bereich kann weiterhin durch Ausschlüsse begrenzt sein; kontrollieren Sie beim Zurückschalten, ob zuvor hinzugefügte Zielregeln bestehen bleiben.

Prüfen Sie auch Dateitypen: Nach erneutem Aktivieren der Richtliniendateitypen können zuvor hinzugefügte benutzerdefinierte Typen weiterhin beteiligt sein. Falls sie nicht mehr benötigt werden, deaktivieren Sie die Option zunächst, entfernen die unnötigen Typen, aktivieren bei Bedarf erneut und prüfen die Einstellung.

Auf Windows-Endpunkten kann eine Datei nur nach Prüfung von Ausschluss-, Zielpfad und Dateityp verarbeitet werden. Systemgeschützte oder anderweitig nicht passende Dateien können ausgeschlossen werden. Prüfen Sie den tatsächlichen Bereich mit Testdateien.

Auf Windows-Endpunkten verwendet eine Umgebungsvariablenregel eine maschinenweite Variable im Format %VARIABLENNAME%. Sie muss auf jedem Ziel existieren und zu einem vorhandenen lokalen absoluten Verzeichnis aufgelöst werden. Leere Werte, nicht aufgelöste Variablen, Platzhalter oder Netzwerkpfade können die Ausführung verhindern. Verlassen Sie sich nicht auf persönliche Variablen des angemeldeten Benutzers. Prüfen Sie jeden Testendpunkt und nehmen Sie nicht an, dass angegebene Pfade Netzwerkfreigaben unterstützen.

Beim Durchlaufen können untergeordnete Verzeichnislinks oder Junctions übersprungen werden. Prüfen Sie bei dort liegenden Geschäftsdateien das tatsächliche Verzeichnis und den Verarbeitungsumfang gesondert. Die automatische Laufwerksauflistung überspringt als USB erkannte Laufwerke; ausdrücklich angegebene Pfade und andere Medien sind separat zu prüfen. Dateitypen werden anhand der Erweiterung abgeglichen; Dateien ohne Erweiterung gelangen über diese Typregeln nicht in den Umfang.

Ergebnis prüfen und Aufgabe abbrechen

1. Prüfen Sie in der Liste Gesamtstatus und Fortschritt und in den Details Status sowie Start- und Endzeit jedes Endpunkts.
2. Prüfen Sie zugehörige Protokolle und Dateiergebnisse, insbesondere Fehlerursachen und betroffene Dateien. Behandeln Sie belegte Dateien, nicht prüfbaren Status oder Fehler einzeln nach Organisationsverfahren. Gesamtfortschritt ersetzt keine Prüfung einzelner Dateien.
3. Wenn die Aufgabe nicht weiterlaufen soll, wählen und bestätigen Sie den Abbruch in einem von der Oberfläche erlaubten Status. Prüfen Sie anschließend Endpunktstatus und bereits erzielte Ergebnisse weiter.
4. Ein Abbruch setzt bereits verarbeitete Dateien nicht zurück. Behandeln Sie verschlüsselte oder entschlüsselte Dateien nach dem geprüften Sicherungs- und Wiederherstellungsverfahren; gehen Sie nicht von automatischer Rückkehr zum Ausgangszustand aus.

Ein Windows-Endpunkt kann auch ohne passende Dateien Erfolg melden; bereits im Zielzustand befindliche Dateien können übersprungen werden. Gleichen Sie Protokolle, Zielpfade und Testdateien ab und folgern Sie aus dem Erfolgsstatus allein keine Dateiumwandlung.

Häufige Probleme

• Erstellung nicht möglich: Prüfen Sie Namen, Zeitplanung, aktuelle Pfadliste, Dateitypen, Zielendpunkte und ausstehende gleichartige Aufgaben.
• Erfolg ohne geänderten Dateistatus: Prüfen Sie beide Pfadarten, Dateitypen, geltende Endpunktrichtlinie und Ausgangszustand. Auch ohne Treffer kann die Aufgabe erfolgreich enden.
• Einzelne Dateien fehlgeschlagen: Prüfen Sie Ergebnisse und Ursachen, Dateibelegung und Endpunktbedingungen und behandeln Sie sie nach Organisationsverfahren.
• Einzelne Endpunkte unvollständig: Prüfen Sie Onlinezustand, geplante Zeit, lokale Endpunktzeit und Ausführungsstatus einzeln. Der Abschluss anderer Endpunkte beweist keinen Gesamtabschluss.
• Ausgangszustand wiederherstellen: Stoppen Sie die Ausweitung, kontaktieren Sie den Administrator und nutzen Sie das geprüfte Sicherungs- und Wiederherstellungsverfahren. Abbruch oder Löschen der Aufgabe stellt keine Dateien wieder her.