EFS verschlüsselt ausgewählte Dateien und Ordner für ein bestimmtes Windows-Benutzerkonto, während BitLocker ein vollständiges Laufwerk schützt. EFS eignet sich damit für eine gezielte Trennung von Dateien zwischen Benutzern desselben Computers. BitLocker ist die passendere Wahl, wenn ein gestohlener, ausgebauter oder anderweitig offline untersuchter Datenträger insgesamt unlesbar bleiben soll. Beide Verfahren können parallel eingesetzt werden, lösen aber unterschiedliche Sicherheitsaufgaben.
Die wichtigste Vorsichtsregel lautet: Bei EFS muss das zugehörige Verschlüsselungszertifikat gesichert werden, bei BitLocker der Wiederherstellungsschlüssel. Fehlt das jeweilige Wiederherstellungsmittel nach einem Kontoverlust, einer Neuinstallation oder einer Hardwareänderung, können die geschützten Daten dauerhaft unzugänglich werden.
Der grundlegende Unterschied liegt in der Verschlüsselungsebene
Das Encrypting File System, kurz EFS, ist eine Funktion des NTFS-Dateisystems. Du wählst einzelne Dateien oder Ordner aus, die Windows mit einem Zertifikat deines Benutzerkontos verknüpft. Nach der Anmeldung kann dein Konto diese Inhalte normalerweise ohne zusätzliche Kennwortabfrage öffnen. Andere Benutzer erhalten keinen Zugriff, sofern sie nicht ausdrücklich als berechtigte Benutzer hinterlegt wurden.
BitLocker arbeitet eine Ebene tiefer. Die Laufwerkverschlüsselung schützt ein gesamtes Volume, beispielsweise die Windows-Systempartition oder ein zusätzliches internes Laufwerk. Für Wechseldatenträger gibt es die verwandte Funktion BitLocker To Go. Nach dem Entsperren des Laufwerks stehen die darauf gespeicherten Dateien den jeweils geltenden Windows-Berechtigungen entsprechend zur Verfügung.
Ein anschaulicher Vergleich: EFS ähnelt verschlossenen Dokumentenmappen innerhalb eines Büros. BitLocker verschließt dagegen das gesamte Büro, solange niemand berechtigt eingetreten ist. Ist das BitLocker-Laufwerk während des laufenden Windows-Betriebs entsperrt, übernehmen Benutzerkonten, NTFS-Berechtigungen und gegebenenfalls EFS die weitere Zugriffskontrolle.
EFS und BitLocker nach denselben Kriterien verglichen
Was wird verschlüsselt?
EFS schützt die markierten Dateien sowie neu angelegte Dateien in entsprechend verschlüsselten Ordnern. Unmarkierte Inhalte auf demselben Laufwerk bleiben davon unberührt. BitLocker verschlüsselt dagegen das komplette ausgewählte Volume einschließlich freier Speicherbereiche, Systemdateien und temporärer Daten, soweit diese auf dem geschützten Volume liegen.
Wovor schützt das Verfahren?
EFS kann Dateien vor anderen lokalen Benutzerkonten abschirmen. Es schützt jedoch nicht zuverlässig gegen jeden Zugriff aus deinem bereits angemeldeten Konto. Schadsoftware, ein Fernzugriffswerkzeug oder eine Person, die deine aktive Sitzung übernehmen kann, arbeitet möglicherweise mit deinen Benutzerrechten und kann dadurch auch entschlüsselte Inhalte lesen.
BitLocker richtet sich vor allem gegen Offline-Zugriffe. Wird eine SSD ausgebaut oder ein Computer von einem anderen System gestartet, soll der Inhalt ohne Entsperrmethode nicht lesbar sein. BitLocker ersetzt aber weder ein starkes Windows-Anmeldeverfahren noch restriktive Benutzerrechte. Ein entsperrter und angemeldeter Rechner stellt berechtigten Prozessen die Daten transparent zur Verfügung.
Wovon hängt die Entschlüsselung ab?
Bei EFS hängt der Zugriff am privaten Schlüssel des Verschlüsselungszertifikats. Dieser befindet sich üblicherweise im Zertifikatspeicher des betreffenden Benutzerprofils. Ein gleichnamiges Benutzerkonto oder dasselbe Kennwort nach einer Windows-Neuinstallation stellt diesen privaten Schlüssel nicht automatisch wieder her.
Bei BitLocker wird ein Volume über die konfigurierte Schutzmethode entsperrt. Beim Systemlaufwerk kann dabei unter anderem das Trusted Platform Module, kurz TPM, beteiligt sein. Für Ausnahmefälle ist der BitLocker-Wiederherstellungsschlüssel entscheidend. Welche Schutzmethoden vorhanden sind, hängt von Gerät, Windows-Edition und Konfiguration ab.
Was passiert beim Kopieren?
Das Verhalten von EFS hängt vom Ziel ab. Beim Verschieben innerhalb desselben NTFS-Volumes bleibt die Verschlüsselung in der Regel erhalten. Beim Kopieren kann die Zieldatei die Verschlüsselung des Zielordners übernehmen. Wird eine EFS-Datei auf ein Dateisystem übertragen, das EFS nicht unterstützt, kann sie im Zuge des Kopierens entschlüsselt gespeichert werden, sofern dein Konto zum Entschlüsseln berechtigt ist. Ein bloßes EFS-Merkmal garantiert somit nicht, dass jede spätere Kopie verschlüsselt bleibt.
BitLocker schützt das Quelllaufwerk als Ganzes. Kopierst du eine Datei von einem entsperrten BitLocker-Laufwerk auf einen unverschlüsselten USB-Stick, ist die Kopie nicht automatisch durch BitLocker geschützt. Für den Schutz des Zielmediums muss auch dieses passend verschlüsselt werden.
Wie werden mehrere Benutzer behandelt?
EFS ist benutzerbezogen. Weitere Benutzer können bei geeigneter Konfiguration für eine Datei berechtigt werden, benötigen dann aber ihr eigenes EFS-Zertifikat. Das macht EFS für gezielt getrennte Datenbestände interessant, erhöht jedoch den Verwaltungsaufwand.
BitLocker entscheidet zunächst, ob das Laufwerk entsperrt werden darf. Auf einem bereits entsperrten Windows-System bestimmen anschließend die Dateiberechtigungen, welche Benutzer welche Inhalte öffnen dürfen. BitLocker allein trennt zwei gleichzeitig nutzbare Windows-Konten deshalb nicht auf Dateiebene voneinander.
Welche Verschlüsselung passt zu welchem Einsatz?
- Notebook oder PC gegen Datendiebstahl absichern: BitLocker ist die vorrangige Wahl, weil das gesamte Systemlaufwerk geschützt werden soll.
- Einige vertrauliche Dateien vor anderen lokalen Konten verbergen: EFS kann passen, wenn NTFS verwendet wird und das Zertifikat zuverlässig gesichert sowie verwaltet wird.
- Externe Festplatte oder USB-Datenträger schützen: BitLocker To Go ist auf unterstützten Windows-Ausgaben für diesen Zweck vorgesehen. Die Nutzbarkeit auf anderen Betriebssystemen muss vorab geprüft werden.
- Gemeinsam verwendeter Ordner mit mehreren berechtigten Personen: EFS ist nur sinnvoll, wenn die Zertifikate und Berechtigungen verwaltet werden können. In Unternehmensumgebungen können dafür zusätzliche Wiederherstellungs- und Richtlinienstrukturen bestehen.
- Schutz vor Schadsoftware im angemeldeten Konto: Keines der beiden Verfahren genügt allein. Hier sind Updates, eingeschränkte Rechte, Microsoft Defender beziehungsweise eine andere Sicherheitslösung und verlässliche Sicherungen maßgeblich.
Für viele private Windows-Rechner ist die Entscheidung damit eindeutig: Das komplette Gerät wird mit einer verfügbaren Laufwerkverschlüsselung geschützt. EFS kommt nur ergänzend infrage, wenn wirklich eine dateibezogene Trennung benötigt wird und die Zertifikatssicherung verstanden ist.
Verfügbarkeit in Windows richtig prüfen
Die verfügbaren Funktionen hängen von Windows-Edition, Geräteausstattung und Verwaltung ab. EFS gehört typischerweise nicht zum Funktionsumfang einer Home-Edition. Die vollständige BitLocker-Verwaltung ist ebenfalls editionsabhängig. Manche Geräte bieten stattdessen eine vereinfachte Geräteverschlüsselung, deren Voraussetzungen und Bedienung sich von der vollständigen BitLocker-Oberfläche unterscheiden können.
Öffne winver, um die installierte Windows-Version anzuzeigen. Die Edition findest du außerdem in den Systeminformationen unter dem Bereich zu Windows-Spezifikationen. Auf einem Firmen-PC können Richtlinien Schalter ausblenden, Wiederherstellungsinformationen zentral hinterlegen oder eine bestimmte Verschlüsselung erzwingen. Ein fehlender Menüpunkt beweist daher nicht, dass der Datenträger unverschlüsselt ist.
Den BitLocker-Status kannst du in einer als Administrator geöffneten Eingabeaufforderung auslesen:
manage-bde -statusDer Befehl verändert nichts. Er zeigt die erkannten Volumes und unter anderem deren Konvertierungs- sowie Schutzstatus an. Achte darauf, das richtige Laufwerk zu beurteilen: Ein verschlüsseltes Datenlaufwerk bedeutet nicht automatisch, dass auch das Windows-Systemlaufwerk geschützt ist.
Ob eine bestimmte Datei EFS verwendet, lässt sich über ihre Eigenschaften prüfen: Öffne Eigenschaften, wähle im Register Allgemein die erweiterten Attribute und kontrolliere die Option zur Inhaltsverschlüsselung. Alternativ liest der folgende Befehl den Verschlüsselungsstatus einer angegebenen Datei aus:
cipher /c "C:\Pfad\Datei.ext"Ersetze den Beispielpfad durch den tatsächlichen vollständigen Pfad. cipher /c zeigt Informationen an und verschlüsselt die Datei nicht neu. Bei Pfaden mit Leerzeichen müssen die geraden Anführungszeichen erhalten bleiben.
Der kritische Punkt bei EFS: das Zertifikat
EFS wirkt im Alltag fast unsichtbar, weil Windows die Datei nach der Anmeldung automatisch entschlüsselt. Genau das kann zu einer gefährlichen Fehleinschätzung führen: Das Windows-Kennwort ist nicht der eigentliche EFS-Schlüssel. Entscheidend sind das Zertifikat und der dazugehörige private Schlüssel im Benutzerprofil.
Eine Sicherung muss den privaten Schlüssel enthalten und mit einem eigenen Kennwort geschützt werden. Windows kann nach der ersten EFS-Nutzung eine Aufforderung zur Zertifikatssicherung anzeigen. Alternativ lässt sich die Zertifikatsverwaltung des Benutzerkontos öffnen und das EFS-Zertifikat einschließlich privatem Schlüssel exportieren. Die genaue Oberfläche kann sich je nach Windows-Ausgabe unterscheiden.
Bewahre die exportierte Zertifikatsdatei nicht ausschließlich auf demselben Computer oder demselben Laufwerk auf. Fällt dieser Datenträger aus, wäre die Sicherung zusammen mit den verschlüsselten Dateien verloren. Das Kennwort der exportierten Datei und den Speicherort solltest du getrennt und geschützt dokumentieren.
Eine normale Dateisicherung der EFS-Dateien ersetzt den Zertifikatsexport nicht. Ein Backup kann technisch vollständig sein und trotzdem wertlos werden, wenn auf dem Wiederherstellungssystem der passende private Schlüssel fehlt.
Der kritische Punkt bei BitLocker: die Wiederherstellungsmethode
BitLocker kann im normalen Betrieb automatisch über die vorgesehene Schutzmethode entsperrt werden. Ändert sich eine sicherheitsrelevante Startkonfiguration oder steht die übliche Methode nicht zur Verfügung, kann Windows den Wiederherstellungsschlüssel verlangen. Dieser Schlüssel gehört nicht in eine ungeschützte Textdatei auf dem verschlüsselten Laufwerk.
Je nach Einrichtung kann der Wiederherstellungsschlüssel in einem Microsoft-Konto, in einer Organisationsverwaltung, auf einem getrennten Datenträger oder als Ausdruck hinterlegt sein. Prüfe vor Änderungen an Firmware, TPM, Startkonfiguration oder Hardware, ob du den Schlüssel tatsächlich wiederfinden und dem richtigen Gerät beziehungsweise Volume zuordnen kannst.
Die sichtbare Existenz eines Wiederherstellungsschlüssels genügt nicht als vollständige Kontrolle. Vergleiche die angezeigte Schlüsselkennung mit dem verlangten Eintrag, wenn mehrere Geräte oder Laufwerke vorhanden sind. Entschlüssele BitLocker nicht vorschnell als vermeintliche Reparaturmaßnahme; häufig reicht es, den korrekten Wiederherstellungsweg zu sichern und die Ursache der Abfrage getrennt zu prüfen.
Warum die Kombination beider Verfahren sinnvoll sein kann
BitLocker und EFS schließen sich nicht aus. Ein mit BitLocker geschütztes Systemlaufwerk kann zusätzlich EFS-Dateien enthalten. BitLocker verhindert dann den einfachen Offline-Zugriff auf das gesamte Volume. Nach dem regulären Start trennt EFS ausgewählte Dateien anhand der Benutzerzertifikate.
Diese Kombination erhöht allerdings die Zahl der Wiederherstellungsmittel: Du brauchst sowohl den BitLocker-Wiederherstellungsschlüssel als auch eine Sicherung des EFS-Zertifikats. Der BitLocker-Schlüssel entschlüsselt keine einzelne EFS-Datei, und das EFS-Zertifikat entsperrt kein BitLocker-Volume. Beide Schlüsselarten sind nicht gegeneinander austauschbar.
Der zusätzliche Aufwand lohnt sich vor allem, wenn mehrere Personen denselben Windows-PC mit getrennten Konten verwenden und einzelne Datenbestände auch nach dem Entsperren des Geräts voneinander abgeschirmt bleiben müssen. Auf einem allein genutzten Computer bietet EFS neben BitLocker oft weniger Zusatznutzen, als zunächst vermutet wird.
Grenzen, die beide Verfahren nicht lösen
Verschlüsselung ist kein Ersatz für ein Backup. Werden Dateien im entsperrten Zustand versehentlich gelöscht, beschädigt oder durch Schadsoftware verändert, verschlüsseln EFS und BitLocker lediglich den betroffenen Datenträgerinhalt weiter. Eine getrennte, getestete Datensicherung bleibt erforderlich.
Auch Freigaben und Cloud-Synchronisation verlangen eine eigene Betrachtung. Wird eine entschlüsselte Datei von Windows an einen Dienst oder auf ein anderes Dateisystem übertragen, gelten dort die Schutzmechanismen des Ziels. Aus dem EFS-Status der lokalen Quelldatei folgt nicht automatisch eine Ende-zu-Ende-Verschlüsselung beim Empfänger. Ebenso schützt BitLocker Daten während der Speicherung auf seinem Volume, nicht pauschal während jeder Übertragung.
Administratorkonten und Dateiberechtigungen bleiben ebenfalls wichtig. EFS kann zwar eine zusätzliche Hürde gegenüber anderen Konten bilden, doch Fehlkonfigurationen, exportierte Schlüssel oder eine übernommene Sitzung verändern die Sicherheitslage. BitLocker wiederum schützt ein bereits entsperrtes System nicht vor Zugriffen, die mit gültigen Benutzerrechten stattfinden.
Eine sichere Entscheidung in vier Schritten
- Bestimme zuerst das Risiko: Soll ein verlorenes Gerät geschützt werden, wähle die Laufwerksebene. Sollen einzelne Dateien zwischen lokalen Benutzern getrennt werden, prüfe EFS.
- Kontrolliere Windows-Edition, Dateisystem und vorhandenen Verschlüsselungsstatus, bevor du etwas aktivierst. Ein vorhandener Schutz darf nicht versehentlich überschrieben oder deaktiviert werden.
- Sichere das passende Wiederherstellungsmittel außerhalb des geschützten Datenträgers: bei EFS das Zertifikat mit privatem Schlüssel, bei BitLocker den Wiederherstellungsschlüssel.
- Teste den Zugriff mit einer unwichtigen Datei beziehungsweise überprüfe die Zuordnung des BitLocker-Schlüssels, bevor du große Datenbestände oder das Systemlaufwerk einbeziehst.
Für den Geräteschutz ist BitLocker beziehungsweise die auf dem Gerät verfügbare Windows-Laufwerkverschlüsselung die maßgebliche Lösung. EFS bleibt ein spezialisiertes Werkzeug für ausgewählte NTFS-Dateien und benutzerbezogene Zugriffsgrenzen. Wer diese Ebenen trennt und beide Wiederherstellungswege sauber sichert, vermeidet die häufigste Fehlannahme: dass eine einzige Verschlüsselungsfunktion automatisch jedes Datenszenario abdeckt.
