Dateien und Ordner mit EFS in Windows verschlüsseln
Windows 10 · Windows 11 · EFS-Zertifikat sichern

Was ist EFS in Windows und wann sollten Sie es verwenden?

Encrypting File System (EFS) ist eine integrierte Windows-Funktion, mit der einzelne Dateien und Ordner auf NTFS-formatierten Laufwerken verschlüsselt werden können. Anders als BitLocker, das ein komplettes Laufwerk schützt, ist EFS für selektive Verschlüsselung auf Dateiebene gedacht: Sie entscheiden genau, welche Dokumente, Ordner oder Projektdateien geschützt werden sollen.

EFS ist mit Ihrem Windows-Benutzerkonto und dessen Verschlüsselungszertifikat verknüpft. Wenn Sie mit dem richtigen Benutzer angemeldet sind, lassen sich verschlüsselte Dateien normal öffnen. Andere Benutzer auf demselben PC, Personen, die ein anderes Betriebssystem starten, oder Nutzer, die verschlüsselte Dateien ohne Zertifikat kopieren, können den ursprünglichen Inhalt nicht lesen.

Typische Einsatzbereiche für EFS-Verschlüsselung

• Private Dokumente auf einem gemeinsam genutzten Windows-PC schützen.
• Arbeitsordner verschlüsseln, ohne das gesamte Laufwerk zu verschlüsseln.
• Sensible Dateien vor anderen lokalen Benutzerkonten unlesbar machen.
• Zusätzlichen Schutz auf Dateiebene auf einem internen NTFS-Laufwerk einrichten.

Wann EFS nicht die beste Wahl ist

• Für Wechseldatenträger, die auf vielen Computern funktionieren müssen, da auch das EFS-Zertifikat verfügbar sein muss.
• Für vollständigen Geräteschutz gegen Diebstahl, wofür BitLocker meist besser geeignet ist.
• Für Dateien, die breit mit Personen geteilt werden sollen, die keine EFS-Zertifikate besitzen.
• Für Cloud-Backup-Ordner, sofern Sie nicht genau wissen, wie Ihre Backup-Software verschlüsselte Dateien verarbeitet.

Bevor Sie Dateien mit EFS in Windows 10 oder Windows 11 verschlüsseln

EFS lässt sich einfach aktivieren, hat aber wichtige Voraussetzungen und Risiken. Die wichtigste Regel lautet: Sichern Sie Ihr EFS-Zertifikat und den privaten Schlüssel sofort, nachdem Sie die erste Datei verschlüsselt haben. Ohne dieses Zertifikat können Sie nach einer Windows-Neuinstallation, einem PC-Reset, dem Löschen des Benutzerprofils oder dem Verschieben der Dateien auf einen anderen Computer den Zugriff auf Ihre verschlüsselten Daten verlieren.

Prüfen, ob das Laufwerk NTFS verwendet

1. Öffnen Sie den Datei-Explorer.
2. Klicken Sie mit der rechten Maustaste auf das Laufwerk, auf dem die Dateien gespeichert sind.
3. Wählen Sie Eigenschaften.
4. Prüfen Sie Dateisystem. Dort sollte NTFS stehen.

So verschlüsseln Sie einen Ordner mit EFS im Windows-Datei-Explorer

Der einfachste Weg zur Nutzung von EFS führt über die Eigenschaften des Ordners. Diese Methode ist besonders praktisch, wenn alle neuen Dateien innerhalb eines Ordners automatisch verschlüsselt werden sollen.

1. Öffnen Sie den Datei-Explorer.
2. Klicken Sie mit der rechten Maustaste auf den Ordner, den Sie schützen möchten.
3. Wählen Sie Eigenschaften.
4. Klicken Sie auf der Registerkarte Allgemein auf Erweitert.
5. Aktivieren Sie Inhalt verschlüsseln, um Daten zu schützen.
6. Klicken Sie auf OK und danach auf Übernehmen.
7. Wenn Windows fragt, wie die Änderung angewendet werden soll, wählen Sie Änderungen für diesen Ordner, Unterordner und Dateien übernehmen, wenn bereits vorhandene Inhalte ebenfalls verschlüsselt werden sollen.
8. Klicken Sie auf OK und warten Sie, bis Windows die Daten verschlüsselt hat.

Nach dem Aktivieren der Verschlüsselung kann Windows Datei- und Ordnernamen im Datei-Explorer grün anzeigen. Das weist darauf hin, dass die Elemente mit EFS verschlüsselt sind.

So verschlüsseln Sie eine einzelne Datei mit EFS in Windows

Sie können auch eine einzelne Datei verschlüsseln, ohne den gesamten Ordner zu verschlüsseln. Windows kann jedoch empfehlen, auch den übergeordneten Ordner zu verschlüsseln. Der Grund: Einige Anwendungen erstellen beim Bearbeiten temporäre Kopien. Ist der Ordner nicht verschlüsselt, können temporäre Daten unverschlüsselt geschrieben werden.

1. Klicken Sie mit der rechten Maustaste auf die Datei, die Sie verschlüsseln möchten.
2. Wählen Sie Eigenschaften.
3. Klicken Sie auf der Registerkarte Allgemein auf Erweitert.
4. Aktivieren Sie Inhalt verschlüsseln, um Daten zu schützen.
5. Klicken Sie auf OK.
6. Klicken Sie auf Übernehmen.
7. Wenn Sie dazu aufgefordert werden, wählen Sie, ob nur die Datei oder auch der übergeordnete Ordner verschlüsselt werden soll.

Sollte auch der übergeordnete Ordner verschlüsselt werden?

In den meisten Fällen ja. Die Verschlüsselung des gesamten Ordners bietet besseren Schutz, weil temporäre Dateien, neu gespeicherte Versionen und kopierte Dateien innerhalb dieses Ordners automatisch geschützt bleiben können. Nur eine einzelne Datei zu verschlüsseln ist für schnellen Schutz nützlich, als langfristiger Arbeitsablauf aber weniger zuverlässig.

So sichern Sie Ihr EFS-Verschlüsselungszertifikat und den privaten Schlüssel

Das EFS-Zertifikat ist der Schlüssel zu Ihren verschlüsselten Daten. Wenn Windows Sie auffordert, das Dateiverschlüsselungszertifikat zu sichern, sollten Sie dies sofort tun. Alternativ können Sie den Export manuell über die Zertifikatverwaltung starten.

Methode 1: EFS-Zertifikat über die Windows-Benachrichtigung sichern

1. Achten Sie nach dem Verschlüsseln der ersten Datei oder des ersten Ordners auf die Benachrichtigung Dateiverschlüsselungszertifikat und Schlüssel sichern.
2. Klicken Sie auf die Benachrichtigung.
3. Wählen Sie Jetzt sichern.
4. Folgen Sie dem Zertifikatexport-Assistenten.
5. Wählen Sie, dass der private Schlüssel exportiert werden soll.
6. Wählen Sie das Format Personal Information Exchange (.PFX).
7. Legen Sie ein starkes Passwort für die exportierte Zertifikatsdatei fest.
8. Speichern Sie die .PFX-Datei an einem sicheren Ort, zum Beispiel auf einem verschlüsselten externen Laufwerk.

Methode 2: EFS-Zertifikat manuell exportieren

1. Drücken Sie Win + R.
2. Geben Sie certmgr.msc ein und drücken Sie Enter.
3. Öffnen Sie Eigene Zertifikate → Zertifikate.
4. Suchen Sie das Zertifikat, bei dessen vorgesehenen Zwecken Encrypting File System aufgeführt ist.
5. Klicken Sie mit der rechten Maustaste auf das Zertifikat und wählen Sie Alle Aufgaben → Exportieren.
6. Wählen Sie im Assistenten Ja, privaten Schlüssel exportieren.
7. Wählen Sie .PFX, legen Sie ein Passwort fest und speichern Sie die Datei.

So verwenden Sie den Cipher-Befehl zum Verschlüsseln von Dateien mit EFS

Fortgeschrittene Benutzer können EFS über die Eingabeaufforderung oder Windows Terminal mit dem Befehl cipher verwalten. Das ist nützlich für Skripte, die Prüfung des Verschlüsselungsstatus oder das gleichzeitige Verschlüsseln vieler Dateien.

Einen Ordner und seine vorhandenen Dateien verschlüsseln

cipher /e /s:"C:\Users\YourName\Documents\Private"

Dieser Befehl aktiviert die EFS-Verschlüsselung für den ausgewählten Ordner und verarbeitet Dateien in Unterordnern.

Einen Ordner und seine Dateien entschlüsseln

cipher /d /s:"C:\Users\YourName\Documents\Private"

Verschlüsselungsstatus anzeigen

cipher "C:\Users\YourName\Documents\Private"

Aktuelles EFS-Zertifikat über die Befehlszeile sichern

cipher /x "%USERPROFILE%\Desktop\EFS-Backup.pfx"

Windows fordert Sie auf, das exportierte Zertifikat mit einem Passwort zu schützen. Verschieben Sie die .PFX-Datei nach dem Export vom Desktop an einen sicheren Sicherungsort.

So entschlüsseln Sie EFS-Dateien und Ordner in Windows

Die Entschlüsselung erfolgt im selben Fenster für erweiterte Attribute, das auch für die Verschlüsselung verwendet wird. Sie müssen als Benutzer angemeldet sein, der Zugriff auf den privaten EFS-Schlüssel hat.

1. Klicken Sie mit der rechten Maustaste auf die verschlüsselte Datei oder den verschlüsselten Ordner.
2. Wählen Sie Eigenschaften.
3. Klicken Sie auf der Registerkarte Allgemein auf Erweitert.
4. Deaktivieren Sie Inhalt verschlüsseln, um Daten zu schützen.
5. Klicken Sie auf OK und anschließend auf Übernehmen.
6. Wenn Sie einen Ordner entschlüsseln, wählen Sie, ob die Änderung nur auf den Ordner oder auch auf alle Unterordner und Dateien angewendet werden soll.

Entschlüsseln über die Eingabeaufforderung

cipher /d "C:\Users\YourName\Documents\Private\file.docx"

Für eine ganze Ordnerstruktur verwenden Sie die Option /s:

cipher /d /s:"C:\Users\YourName\Documents\Private"

So geben Sie den Zugriff auf EFS-verschlüsselte Dateien für einen anderen Benutzer frei

EFS kann zusätzlichen Windows-Benutzern Zugriff auf eine verschlüsselte Datei erlauben, ist aber nicht dasselbe wie eine normale Ordnerfreigabe. Der andere Benutzer benötigt ein geeignetes EFS-Zertifikat, und der Zugriff muss zur verschlüsselten Datei hinzugefügt werden.

1. Klicken Sie mit der rechten Maustaste auf die verschlüsselte Datei.
2. Öffnen Sie Eigenschaften.
3. Klicken Sie auf Erweitert.
4. Klicken Sie neben der Verschlüsselungsoption auf Details.
5. Klicken Sie auf Hinzufügen.
6. Wählen Sie das Benutzerzertifikat aus, das Zugriff auf die Datei erhalten soll.
7. Übernehmen Sie die Änderungen.

EFS-Fehlerbehebung: Häufige Probleme und Lösungen

Die Option „Inhalt verschlüsseln, um Daten zu schützen“ ist ausgegraut

Das passiert meist, wenn sich die Datei nicht auf einem NTFS-Laufwerk befindet, die Windows-Edition EFS nicht unterstützt, die Datei als komprimiert markiert ist oder die Verschlüsselung per Richtlinie deaktiviert wurde.

• Prüfen Sie, ob das Laufwerk NTFS verwendet.
• Verschieben Sie die Datei auf ein internes NTFS-Laufwerk und versuchen Sie es erneut.
• Deaktivieren Sie die NTFS-Komprimierung für die Datei oder den Ordner.
• Prüfen Sie, ob Ihre Organisation EFS über Gruppenrichtlinien deaktiviert hat.

Verschlüsselte Dateien lassen sich nach einer Windows-Neuinstallation nicht öffnen

Importieren Sie das zuvor exportierte .PFX-Zertifikat in das aktuelle Benutzerkonto:

1. Doppelklicken Sie auf die .PFX-Sicherungsdatei.
2. Verwenden Sie den Zertifikatimport-Assistenten.
3. Importieren Sie das Zertifikat in den Zertifikatspeicher Aktueller Benutzer.
4. Geben Sie das Passwort ein, das Sie beim Export des Zertifikats festgelegt haben.
5. Versuchen Sie erneut, die verschlüsselten Dateien zu öffnen.

Verschlüsselte Dateien verlieren die Verschlüsselung nach dem Kopieren

Das Verhalten von EFS hängt vom Ziel ab. Beim Kopieren auf ein Nicht-NTFS-Laufwerk, beim Hochladen über bestimmte Apps oder beim Speichern in einem Archiv kann der EFS-Schutz entfernt werden. Wenn Sie portable Verschlüsselung benötigen, verwenden Sie stattdessen einen passwortgeschützten verschlüsselten Container oder ein verschlüsseltes Archiv.

Dateien sind verschlüsselt, aber der Ordnername ist nicht grün

Die Farbanzeige im Datei-Explorer kann deaktiviert sein. Um den tatsächlichen Status zu prüfen, öffnen Sie die Dateieigenschaften oder führen Sie den Befehl cipher für den Ordner aus.

Häufig gestellte Fragen zur EFS-Verschlüsselung in Windows