Cryptomator: vertrauliche Dateien vor dem Cloud-Upload verschlüsseln

Cryptomator ist eine zusätzliche Verschlüsselungsschicht für Dateien, die du etwa in einem synchronisierten Cloud-Ordner speicherst. Du arbeitest mit einem geöffneten Tresor; der Speicherdienst erhält die verschlüsselten Dateien. Plane den Umgang mit dem Tresor als eigenen Arbeitsschritt ein.

Den Schutzumfang kennen

Laut Projektdokumentation werden Dateiinhalte und Namen verschlüsselt. Bestimmte Metadaten wie Dateigrössen und Zeitangaben bleiben erkennbar. Ein geöffneter Tresor schützt nicht vor Schadsoftware, die auf deinem Gerät mitliest. Auch Programme können beim Bearbeiten unverschlüsselte Arbeits- oder Sicherungskopien ausserhalb des Tresors anlegen.

Schlüssel und Sicherung zusammen planen

Sichere den vollständigen verschlüsselten Tresor zusätzlich zur laufenden Synchronisation. Ein Wiederherstellungsschlüssel ersetzt diese Dateikopie nicht. Den Schlüssel kannst du bei einem gesperrten, ausgewählten Tresor unter Vault Options → Password → Display Recovery Key nach Eingabe des Tresorpassworts anzeigen. Bewahre ihn wie ein Passwort geschützt und auch ohne Zugriff auf diesen Tresor erreichbar auf.

Ein normaler Passwortwechsel verschlüsselt nicht sämtliche Dateien neu; der Wiederherstellungsschlüssel bleibt gültig. Wurde ein schwaches Passwort oder der Schlüssel bekannt, ist daher ein neu angelegter Tresor mit anschliessender Datenübernahme zu prüfen. Bereits abgeflossene Kopien werden dadurch nicht zurückgerufen. Die Dokumentation zu Passwort und Wiederherstellung erklärt den Unterschied.

Ein Probetresor mit klarer Trennung

Die folgenden Schritte beziehen sich auf die Desktop-App. Cryptomator übernimmt die Verschlüsselung; die Synchronisation erledigt weiterhin die Software deines Cloud-Anbieters.

1. Wähle «Create New Vault» und gib dem Probetresor einen eindeutigen Namen, etwa «Dokumente-Test». Die Beschriftung kann je nach Sprache abweichen.
2. Wähle als Speicherort einen Ordner innerhalb deiner eingerichteten Cloud-Synchronisation. Dort liegen später die verschlüsselten Tresordaten.
3. Setze ein eigenes starkes Passwort und sichere den Wiederherstellungsschlüssel. Für den ersten Versuch sind keine Experteneinstellungen nötig.
4. Entsperre den Tresor und öffne über die Schaltfläche zum Anzeigen des Tresors das lesbare Laufwerk im Finder oder Explorer. Hier legst du Dokumente ab; ändere die internen Dateien im verschlüsselten Speicherordner nicht manuell.

Nach dem Sperren ist dieses lesbare Laufwerk nicht mehr zugänglich. Die verschlüsselten Daten bleiben am gewählten Speicherort. Eine vorher auf den Desktop kopierte Datei bleibt dagegen ausserhalb des Tresors.

Lege eine harmlose Textdatei im geöffneten Tresor an. Schliesse das Dokument und sperre den Tresor. Warte auf die vollständige Synchronisation. Öffne danach denselben Tresor auf dem zweiten Gerät und kontrolliere den Text. Dieser Ablauf prüft deine Konfiguration; er ist kein kryptografischer Sicherheitstest.

So erkennst du ein Problem früh

Eine Konfliktdatei, ein fehlender Ordner oder eine dauerhaft laufende Synchronisation ist ein Grund, mit weiteren Änderungen zu warten. Öffne nicht abwechselnd mehrere Geräte und überschreibe dabei mögliche funktionierende Stände. Sichere zuerst den vorhandenen Zustand und orientiere dich an der Fehlerhilfe des Projekts.

Prüfe bei deinem Bearbeitungsprogramm ausserdem den Ort von Downloads, Exporten und temporären Kopien. Ein PDF, das du auf den Desktop exportierst, liegt ausserhalb des Tresors. Das Schliessen von Cryptomator verschlüsselt diese separate Datei nicht nachträglich.

Eine Datei aus der Sicherung zurückholen

Für einen überschaubaren Probelauf nutzt du nur die harmlose Testdatei. Stelle eine vollständige Tresorsicherung an einem separaten Ort ausserhalb eines synchronisierten Cloud-Ordners wieder her. Füge diese Kopie über «Open Existing Vault» hinzu: Wähle vault.cryptomator oder, falls nur diese vorhanden ist, masterkey.cryptomator.

Entsperre die Kopie mit dem zum Sicherungszeitpunkt gültigen Passwort. Öffne die Testdatei und kontrolliere ihren Inhalt. Zum Zurückholen kopierst du die lesbare Datei in den geöffneten aktuellen Tresor; überschreibe nicht pauschal dessen interne Dateien. Das entspricht dem empfohlenen Wiederherstellungsweg des Projekts.

Dieser Test beantwortet eine andere Frage als die Synchronisationsprobe: Ist ein älterer, unabhängig gesicherter Stand tatsächlich lesbar? Mehr dazu im Ratgeber Synchronisation oder Backup.

Für wen der Aufwand passt

Ein zusätzlicher Tresor passt gut zu einer bewusst verwalteten Dokumentenablage. Für spontane Zusammenarbeit mit vielen Personen musst du den Zugang und mögliche Konflikte gesondert lösen. Ein Cloud-Link auf die verschlüsselten internen Dateien ist noch kein bequem nutzbarer Dokumentenlink.

Erledigt, wenn: Beide vorgesehenen Geräte lesen denselben Testinhalt und du hast einen vollständigen Sicherungsweg. Der Vergleich mit eigenständigen Cloud-Diensten hilft, wenn dir der zusätzliche Ablauf zu aufwendig ist.

Weiterlesen und Quellen

Für die Wahl des zugrunde liegenden Speicherdienstes: Sechs Fragen vor dem Cloud-Umzug.

Cryptomator: Sicherheitsziele und Grenzen · Tresor anlegen · Tresor öffnen und sperren.

Redaktioneller Stand: 23. Oktober 2026.