PC richtig absichern mit Syskey

Windows speichert alle Ihre Benutzernamen und Passwörter in einer Kennwortdatenbank (Security Accounts Manager, SAM) auf der Festplatte.

Das Problem: Tools wie das kostenlose Ophcrack können die Datenbank leicht knacken und die Passwörter lesen.Mehr Schutz gegen unbefugten Zugriff auf Ihren PC bietet das in Windows ab XP enthaltene Tool Syskey.

Syskey verschlüsselt die Kennwortdatenbank auf Ihrer Festplatte. Das Passwort hierfür kann bis zu 128 Zeichen lang sein. Knack-Tools wie Ophcrack können aus einer so verschlüsselten Kennwortdatenbank nur noch mit extrem hohem Aufwand Passwörter auslesen. Für Sie bedeutet das, dass Sie bei jedem PC-Start noch vor der eigentlichen Windows-Anmeldung ein zusätzliches Kennwort eingeben müssen.

Wer ganz auf Nummer sicher gehen will, der schützt den Schlüssel für die Kennwortdatenbank nicht mit einem Passwort. Er deponiert den Schlüssel vielmehr auf einem USB-Stick. Knack-Tools ist damit jede Angriffsmöglichkeit entzogen. Ein Schlüssel auf dem USB-Stick benötigt deshalb auch gar kein Passwort mehr.

Für Sie bedeutet das, dass Sie bei jedem PC-Start den USB-Stick einstecken müssen.

Dieser Artikel beschreibt zunächst, wie Sie ein zusätzliches Passwort für den Systemstart einrichten. Anschließend erklärt er, wie Sie den Schlüssel für die Kennwortdatenbank auf einem USB-Stick deponieren.

Sie erstellen mit Hilfe von Syskey einen Schlüssel für die Kennwortdatenbank. Den Schlüssel schützen Sie mit einem Passwort.

Starten Sie Syskey mit [Windows R] und syskey. Klicken Sie auf „Aktualisieren“. Wählen Sie die Option „Kennwort für den Systemstart“ und tragen Sie das Passwort ein . Klicken Sie auf „OK“.

Sie speichern den Schlüssel für die Kennwortdatenbank auf Ihrem USB-Stick.

Das Tool Syskey stammt aus einer Zeit, als es noch keine USB-Sticks gab. Zu dieser Zeit arbeiteten alle Anwender noch mit Disketten. Das Diskettenlaufwerk trägt üblicherweise die Bezeichnung „A:“. Syskey erwartet den Schlüssel folglich auf Laufwerk „A:“. Sorgen Sie also dafür, dass Ihr USB-Stick als Laufwerk „A:“ erscheint.

Falls Sie in Ihrem PC noch ein Diskettenlaufwerk haben, müssen Sie es im BIOS zuerst deaktivieren, damit der Laufwerkbuchstabe „A:“ frei wird.

Rufen Sie dazu das BIOS-Setup auf: Drücken Sie beim Start mehrmals die Taste [Entf] oder [F1]. Welche Taste es bei Ihrem Rechner ist, steht im Handbuch Ihres Mainboards oder PCs. Die Option zum Deaktivieren des Floppy-Laufwerks finden Sie im BIOS im Menü „Main“ oder unter „Standard CMOS Features“. Deaktivieren Sie hier das Floppy-Laufwerk. Verlassen Sie das BIOS über „Save&Exit Setup“. Starten Sie den PC ganz normal.

Weisen Sie dem USB-Stick den Laufwerkbuchstaben „A:“ zu. Stecken Sie den USB-Stick ein und starten Sie die Datenträgerverwaltung mit [Windows R] und diskmgmt.msc. Unten in der Liste erscheint der USB-Stick. Klicken Sie mit der rechten Maustaste darauf und wählen Sie „Laufwerkbuchstaben und -pfade ändern…“. Klicken Sie auf „Ändern…“ und weisen Sie dem Stick den Buchstaben „A“ zu. Bestätigen Sie alles mit „OK“ und „Ja“. Der USB-Stick ist jetzt Laufwerk „A:“.

Erstellen Sie nun den Schlüssel für die Kennwortdatenbank auf dem USB-Stick. Stecken Sie den USB-Stick ein. Starten Sie Syskey mit [Windows R] und syskey. Klicken Sie auf „Aktualisieren“. Wählen Sie „Systemstartschlüssel auf Diskette speichern“ und klicken Sie auf „OK“. Jetzt erstellt Syskey den Schlüssel und speichert ihn unter dem Namen „StartKey.Key“ im Hauptverzeichnis Ihres USB-Sticks.

Ab sofort lässt sich der PC nur noch mit dem Stick starten. Sollten Sie ihn verlieren oder sollte er kaputtgehen, dann müssen Sie Windows neu installieren. Speichern Sie sicherheitshalber „StartKey.Key“ auf einem zweiten USB-Stick, dem Sie ebenfalls den Laufwerkbuchstaben „A:“ zuweisen.

Bitte beachten Sie: Wenn Sie einmal mit Syskey die Kennwortdatenbank verschlüsselt haben, dann lässt sich das nicht wieder zurücknehmen. Es gibt trotzdem zwei Möglichkeiten, den PC-Start wieder zu vereinfachen.

Sie können einmal in Syskey „Kennwort für den Systemstart“ wählen und das Kennwortfeld leer lassen. Dann müssen Sie beim PC-Start nur noch die Eingabetaste drücken.

Eine andere Möglichkeit ist, in Syskey auszuwählen, dass der Schlüssel lokal, also auf der Festplatte, gespeichert wird. Dann läuft der PC-Start ohne Nachfrage durch. Das geht so lange gut, wie die Festplatte nicht defekt ist an der Stelle, an der der Schlüssel gespeichert ist. Sollte das passieren, müssten Sie mit einem Rettungssystem Ihre Daten retten und Windows neu installieren.