ThinkPad L390 im BIOS absichern

[Tron0070]

Hallo Leute, ich habe ein neuen Laptop (ThinkPad L390) und will diesen im BIOS absichern und hoffe jemand von Euch hat Erfahrung damit.

Ich hab leider nicht so viel Erfahrung, da mein PC den ich vorher verwendet habe schon über 10 Jahre alt ist und dementsprechend nicht die aktuellen Sicherheitsmaßnahmen hat wie moderne Hardware.

Um Fehler und Überraschungen zu vermeiden würde ich gern die BIOS Einstellungen die ich vornehmen werde vorher mit Euch besprechen.

Mit den folgenden BIOS Einstellungen würde ich meinen Laptop absichern um eine maximal Sicherheit zu gewährleisten.
Dass bei Diebstahl keiner an meine Dateien kommt und der Laptop unbrauchbar ist ohne das Passwort zu kennen.

BIOS
Security
Password

Supervisor Password:	Enabled
Lock UEFI BIOS Settings:	Enabled
Password at Restart:	Disabled
Password at Boot Device List:	Enabled
Password Count Exceeded Error:	Enabled
Set Minimum Length:	Disabled
Power-On Password:	Enabled
Hard Disk Password:	Enabled

Eingebaute SSD Samsung SSD PM981 1TB, M.2

Gibt es noch weitere sicherheitsrelevante Einstellungen oder Änderungsvorschläge die ich im BIOS vornehmen kann bzw. sollte?

Gruß Tron

 

[john.smiles]

Ich hätte die HDD eher über Veracrypt oder Windows Bitlocker verschüsselt, dann kommst du selber im Schadensfall einfacher an deine Daten.

 

[Tron0070]

Hallo john.smiles, vielen Dank für deinen Beitrag.

Ich wusste gar nicht, dass man mit Veracrypt/Bitlocker im Schadensfall an seine Daten kommt. Ich dachte die sind dann genauso wertlos.

Aber ist auch egal. Da ich für ein Backup sorge.

 

[Rossie]

Die BIOS-Sperre lässt sich überwinden (Chip tauschen...). Um auf Nummer Sicher zu gehen, musst die Daten verschlüsseln.

 

[Tron0070]

Hallo Rossie, vielen Dank für deinen Beitrag.

Das mit dem Chip tauschen habe ich auch schon gelesen.
Also sind im Falle eines Diebstahls des Laptops die Daten sicher mit "Hard Disk Password: Enabled"
aber der Laptop kann weiterverwendet werden, wenn der Chip getauscht wird.

Habe ich das so richtig verstanden?

 

[Rossie]

Wenn ein User-Password gesetzt ist, sollten die Daten sicher sein, ja. Es gibt Tools dafür, das Passwort zu löschen, aber meines Wissens nur gleichzeitig mit den Daten.

 

[Tron0070]

Meinst du mit "User-Password" das "Hard Disk Password: Enabled" oder ist "User-Password" eine andere Option?

 

[Rossie]

Schon diese Option. Danach muss man festlegen, ob Master und User-Kennwort für die Festplatte verwendet werden sollen. User reicht aus, wenn man nur ein Notebook administriert.

 

[alxa]

Tipp am Rande:
Es gibt für die meisten Lenovo Laptops keine Hacktools und Lenovo tauscht keine Chips und resettet die Passworte auch nicht bei Bedarf.
Wenn du bei Lenovo im BIOS Passworte setzt und diese dann versehentlich wegschmeisst, kannst du dir von Lenovo ein neues Mainboard kaufen (bzw. faktisch den Laptop wegwerfen).

Heb dir solche Passworte also gut auf...sonst hast du im Problemfall sowohl einen neuen Briefbeschwerer daheim und einen Grund, den nächsten Laptop zu kaufen

 

[snaxilian]

Schutz deiner Daten: Bitlocker oder Veracrypt mit ausreichend starkem Kennwort.
Schutz des Laptops: Schwer. Du kannst zwar ein Kennwort setzen dass bei Änderungen im BIOS/UEFI und dem Booten benötigt wird aber so das BIOS/UEFI kann zurück gesetzt werden.

Ein technisch halbwegs versierter Dieb tauscht also deine HDD/SSD gegen eine neue aus und setzt das BIOS/UEFI zurück.

Manche Lenovo Laptops haben ein UEFI Feature namens CompuTrace. Zusammen mit der passenden (kostenpflichtigen) Software kann der Laptop auch getrackt werden wenn die Platte getauscht wurde und das Laptop am Internet hängt. Aber ist recht teuer und aus IT-Sicherheit hat CompuTrace sich bisher nicht gerade mit Ruhm bekleckert...

 

[Evil E-Lex]

Das Zurücksetzen eines UEFI BIOS mit gesetztem Supervisor Passwort ist je nach Gerät alles andere als simpel. Speziell für Lenovo finde ich nur Lösungen von indischen Anbietern, die das nur gegen Bezahlung machen.
Selbstredend schützt das Passwort nicht vor dem Diebstahl ansich. Der Dieb weiß ja nichts von dem Passwortschutz. Daher ist es aus meiner Sicht der Nutzen des Supervisor Passwort fraglich, solange andere Maßnahmen wie Datenträgerverschlüsselung genutzt werden.

 

[Tron0070]

Heb dir solche Passworte also gut auf...

Ja, wäre blöd wenn ich es vergesse.

Schutz deiner Daten: Bitlocker oder Veracrypt mit ausreichend starkem Kennwort.

Extra Tools (Bitlocker, Veracrypt ) wollte ich nicht unbedingt nehmen.

Ein technisch halbwegs versierter Dieb tauscht also deine HDD/SSD gegen eine neue aus und setzt das BIOS/UEFI zurück.

Aber die Daten auf der SSD sind sicher, da der Schlüssel auf der Festplatte liegt. Wenn ich die SSD in einen anderen Laptop einbaue, braucht man immer noch das Passwort welches ich für die SSD gesetzt habe.

Es sei denn, man könnte das BIOS Passwort auslesen. Weil ich habe überall das gleiche Passwort genommen (Supervisor Password, Lock UEFI BIOS Settings, Power-On Password, Hard Disk Password).

Überall das gleiche Passwort zu verwenden wird wahrscheinlich nicht empfohlen aber ich will es ja auch nicht vergessen. Und wenn ich beim Booten jedes mal das Passwort eingeben muss, vergesse ich es auch nicht.

Es soll auch nicht Fort Knox sein. Bei Verlust des Laptops sollte man nur nicht so einfach an die Daten auf der SSD kommen.

Noch eins:
Wie kann ich testen ob die SSD wirklich verschlüsselt ist? Leider kann ich die SSD nirgendwo anders einbauen. Reicht es wenn ich ein Live-Linux (Knoppix o.ä.) nehme und versuche darauf zuzugreifen?

Oder gibt es noch andere Methoden zu testen, ob die SSD verschlüsselt ist?

Ich frage nur, weil ich mal gelesen habe, dass jemand auch seine SSD im BIOS verschlüsselt hat und als er die SSD in einem anderen PC einbaute, ohne weiteres darauf zugreifen konnte.

 

[Evil E-Lex]

Es soll auch nicht Fort Knox sein. Bei Verlust des Laptops sollte man nur nicht so einfach an die Daten auf der SSD kommen.

Und warum verschlüsselt du die SSD dann nicht einfach mit Veracrypt oder Bitlocker? Das ist viel sinnvoller als ein halbes Dutzend Passwörter zu setzen.

Ergänzung (30. August 2019)

Wie kann ich testen ob die SSD wirklich verschlüsselt ist? Leider kann ich die SSD nirgendwo anders einbauen. Reicht es wenn ich ein Live-Linux (Knoppix o.ä.) nehme und versuche darauf zuzugreifen?

Nein, da die SSD bereits nach Eingabe des SSD-Passworts entsperrt wird. Du kannst es nur testen, indem du die SSD an ein anderes System anschließt, diese nicht entsperrst und dann mit einem Hex-Editor auf die SSD schaust. (Oder du startet dein System und brichst die SSD-Passworteingabe ab. Das erlauben aber nicht alle Geräte.) Du wirst nur Datensalat zu sehen bekommen.

Nebenbei: Weil es grad in einem Thread nebenan wieder auftauchte und auch hier so schön passt: