NTFS-bestandsversleuteling in- of uitschakelen in Windows

⚠️ Belangrijke opmerking over Windows-edities
EFS vereist een NTFS-bestandssysteem en wordt alleen ondersteund op de edities Windows Pro, Enterprise en Education. Gebruikt u Windows Home, dan zijn de hieronder beschreven opties grijs weergegeven of helemaal afwezig.

Het ingebouwde Encrypting File System (EFS) is een van de beste en meest toegankelijke tools voor NTFS-bestandsversleuteling in Windows. Als beheerder schakelt u het programma in of uit via de Editor voor lokaal groepsbeleid (GPO), de opdrachtprompt, PowerShell of Services. Gebruikt u EFS voor het eerst, bekijk dan onze handleiding hieronder om te zien hoe en wanneer u het NTFS-versleutelingssysteem inzet.

NTFS-bestandsversleuteling (EFS) begrijpen

NTFS, oftewel New Technology File System, is het bestandssysteem dat op harde schijven en solid-state drives (SSD’s) wordt gebruikt. EFS is daarentegen een geïntegreerd hulpprogramma dat bestanden en mappen op NTFS-schijven kan versleutelen. Zodra het is ingeschakeld, verhindert EFS dat gebruikers of applicaties de versleutelde bestanden openen zonder sleutel.

Anders dan BitLocker, dat de toegang tot een volledige schijf of volume kan vergrendelen, biedt EFS versleuteling op bestandsniveau. Daarmee voegt EFS vaak een extra beveiligingslaag toe op computers die door meerdere gebruikers worden gedeeld. Wilt u nog beter begrijpen hoe EFS werkt, bekijk dan deze korte visuele uitleg: ‘IT-gids: wat is Encrypting File System (EFS)?’.

NTFS-bestandsversleuteling inschakelen in Windows

Er zijn verschillende manieren om EFS in of uit te schakelen. We nemen de stappen hieronder door.

NTFS-versleuteling inschakelen via de Editor voor groepsbeleid (GPO)

1. Open de Editor voor lokaal groepsbeleid. (Zo doet u dat)
2. Ga naar Computerconfiguratie\Beheersjablonen\Systeem\Bestandssysteem\NTFS.
3. Dubbelklik in het rechterdeelvenster op het beleid Versleuteling op alle NTFS-volumes niet toestaan om het aan te passen.
4. Zet het op Uitgeschakeld of laat het op Niet geconfigureerd staan (de standaardinstelling) om NTFS-bestandsversleuteling toe te staan.
5. Klik op Toepassen en daarna op OK.

NTFS-versleuteling inschakelen via de opdrachtprompt of PowerShell

1. Open de opdrachtprompt of PowerShell met beheerdersrechten.
2. Typ fsutil behavior set disableencryption 0. Druk op Enter.
3. Start de computer opnieuw op om de wijzigingen door te voeren.

NTFS-versleuteling inschakelen via Services

1. Druk op Windows + R en typ services.msc. Druk op Enter.
2. Zoek Encrypting File System (EFS) en dubbelklik erop om Eigenschappen te openen.
3. Klik op het vervolgkeuzemenu Opstarttype en selecteer Handmatig (de standaardinstelling van Windows) of Automatisch.
4. Klik op Toepassen en vervolgens op OK om deze wijzigingen op te slaan.

Technische opmerking: standaard gebruikt Windows een “Trigger Start” voor EFS. Laat u het op Handmatig staan, dan kan het besturingssysteem de service direct starten op het moment dat u een versleuteld bestand opent. Dat bespaart systeembronnen op de achtergrond wanneer de service niet wordt gebruikt.

NTFS-bestandsversleuteling uitschakelen in Windows

We kunnen EFS ook uitschakelen via de GPO, de opdrachtprompt, PowerShell of Services.

NTFS-versleuteling uitschakelen via de Editor voor groepsbeleid (GPO)

1. Open de Editor voor lokaal groepsbeleid.
2. Ga naar Computerconfiguratie\Beheersjablonen\Systeem\Bestandssysteem\NTFS.
3. Dubbelklik in het rechterdeelvenster op het beleid Versleuteling op alle NTFS-volumes niet toestaan om het aan te passen.
4. Zet het op Ingeschakeld om NTFS-bestandsversleuteling te blokkeren.
5. Klik op Toepassen en daarna op OK.

NTFS-versleuteling uitschakelen via de opdrachtprompt of PowerShell

1. Open de opdrachtprompt of PowerShell met beheerdersrechten.
2. Typ fsutil behavior set disableencryption 1. Druk op Enter.
3. Start de computer opnieuw op om de wijzigingen door te voeren.

NTFS-versleuteling uitschakelen via Services

1. Druk op Windows + R en typ “services.msc”. Druk op Enter.
2. Zoek Encrypting File System (EFS) en dubbelklik erop om Eigenschappen te openen.
3. Klik op het vervolgkeuzemenu Opstarttype en selecteer Uitgeschakeld.
4. Klik op Toepassen en vervolgens op OK om deze wijzigingen op te slaan.

Afzonderlijke bestanden of mappen versleutelen in Windows

Zodra u NTFS-bestandsversleuteling hebt ingeschakeld, kunt u een bestand of map handmatig versleutelen met deze methoden:

Een bestand of map versleutelen via Verkenner

1. Klik met de rechtermuisknop op het bestand of de map die u wilt aanpassen.
2. Selecteer Eigenschappen.
3. Kies onder Kenmerken de optie Geavanceerd.
4. Vink het vakje aan naast Inhoud versleutelen om gegevens te beveiligen en klik op OK om te bevestigen.
5. Selecteer Toepassen.

Het systeem vraagt u ook of u de versleuteling wilt uitbreiden naar gerelateerde bestanden en mappen. Volg de aanwijzingen om verder te gaan. De versleutelde bestanden of mappen krijgen nu een slotpictogram. Om ze te ontgrendelen, volgt u dezelfde stappen.

Een bestand of map versleutelen via de opdrachtprompt of PowerShell

1. Typ via Windows Zoeken cmd of PowerShell. Voer het uit als administrator.
2. Gebruik de opdracht cipher om een bestand of map te versleutelen door het volgende te typen: cipher /e "C:\full\path\to\folder". (Zet aanhalingstekens om uw pad als mapnamen spaties bevatten.)

Als u de opdracht cipher zonder parameters gebruikt, toont deze de versleutelingsstatus van de huidige map. Hier vindt u de volledige lijst met cipher-parameters.

Versleutelde bestanden beheren

Windows EFS-versleuteling is een krachtige tool voor IT-beheerders en contentmanagers. Toch is gegevensbescherming op dit niveau niet compleet zonder een uitstekend back-upsysteem. Zo maakt u een back-up van beveiligingscertificaten en exporteert u ze voor herstel:

1. Druk op Windows + R, typ certmgr.msc en druk op Enter.
2. Vouw Persoonlijk > Certificaten uit.
3. Klik met de rechtermuisknop op het EFS-certificaat en selecteer Alle taken > Exporteren.
4. Selecteer in de Wizard Certificaat exporteren de optie Ja, de persoonlijke sleutel exporteren.
5. Kies Personal Information Exchange (.PFX) en neem alle certificaten in het certificeringspad op.

Om versleutelde bestanden op een andere NTFS-geformatteerde computer te openen, moet u het EFS-certificaat en de persoonlijke sleutel importeren. Ga naar Certificaatbeheer om het certificaat te importeren.

Beveiligingsgevolgen en beste praktijken

EFS biedt betrouwbare versleuteling, zeker op de meest recente Windows-versies. Toch blijft het voor beheerders cruciaal om een sterk groepsbeleid af te dwingen en een betrouwbaar back-upsysteem in stand te houden. Hieronder vindt u een aantal beveiligingsoverwegingen en aanbevolen praktijken voor het beheren van NTFS-bestandsversleuteling.

Beperk de toegang tot persoonlijke sleutels

Onbevoegde gebruikers kunnen de sleutel gebruiken om gegevens te ontsleutelen. Het is dus van groot belang om de persoonlijke sleutel op een veilige plek te bewaren. Het kan ook helpen om de toegang te beperken tot IT-beheerders of beveiligingsmedewerkers. Daarnaast is het gangbaar dat organisaties hun sleutels regelmatig vervangen. Zo blijft de integriteit van het algehele gegevensbeveiligingsbeleid behouden.

Pas op met gedwongen wachtwoordresets: als een beheerder met beheertools een wachtwoordreset afdwingt op een lokaal gebruikersaccount, verliest die gebruiker direct toegang tot al zijn EFS-versleutelde bestanden. Windows verbreekt tijdens een gedwongen reset de koppeling met de hoofdsleutel om de integriteit van de gegevens te beschermen. Zorg er altijd voor dat er een Domain Data Recovery Agent (DRA) is geconfigureerd in uw netwerkomgeving voordat u sterk op EFS leunt.

Houd back-ups van herstelcertificaten bij

Een veilige back-up van persoonlijke sleutels en herstelcertificaten is essentieel. Wijs bij voorkeur minstens twee beveiligingsagents aan om volledig gegevensverlies te voorkomen. Zeker wanneer een van de sleutels of certificaten verloren gaat. Maakt u deel uit van een beheerde omgeving, dan kunnen deze handelingen geautomatiseerd en op afstand gemonitord worden.

Wees voorzichtig bij het overzetten van bestanden

EFS-versleutelde bestanden verliezen hun versleuteling zodra ze naar niet-NTFS-opslag worden verplaatst, omdat EFS niet is ontworpen om gegevens tijdens overdracht te beschermen. Overweeg bij het overzetten van bestanden cloudopslag of een ander NTFS-geformatteerd opslagapparaat of een andere NTFS-locatie. Zorg er bovendien voor dat het ontvangende device een sterk wachtwoord- en gegevensbeveiligingsbeleid hanteert.

Naast Windows BitLocker en EFS kunt u software voor het beheer van versleutelingssleutels van derden gebruiken. Daarmee versterkt u uw back-ups, verbetert u de monitoring en ondersteunt u de compliance van uw organisatie.

Beveilig gevoelige bestanden of verwijder de versleuteling wanneer dat nodig is. Bekijk NTFS-bestandsversleuteling in- of uitschakelen in Windows.

Monitor schijfversleuteling op al uw devices

EFS beschermt afzonderlijke bestanden, maar de meeste organisaties hebben ook inzicht nodig in volledige schijfversleuteling op elk device. NinjaOne Endpoint management monitort BitLocker op Windows en FileVault op macOS en helpt IT-teams de bijbehorende herstelsleutels vanuit één portaal te beheren. Bekijk de veelgestelde vragen over Endpoint management van NinjaOne om te ontdekken hoe NinjaOne inzicht in versleuteling en compliance binnen uw hele wagenpark ondersteunt.