Ein verschlüsselter USB-Stick nimmt die digitalen Kopien eurer Ausweise, Urkunden und Verträge auf. Das BBK rät, von wichtigen Dokumenten eine digitale Kopie zu machen, und nennt als einen Ort dafür den USB-Stick (BBK, Vorsorgen für Krisen und Katastrophen, S. 25 (öffnet neues Fenster)). In diese Liste kommen nur Sticks, die im Stick selbst verschlüsseln und sich an einer eigenen Tastatur oder über eine Software entsperren lassen, die vom Stick startet. Ob die Verschlüsselung hält, was der Hersteller verspricht, könnt ihr selbst nicht prüfen. Darum zählt für uns der Eintrag im Register des Cryptographic Module Validation Program von NIST (NIST, CMVP (öffnet neues Fenster)), mit Zertifikatsnummer und Stand. Von 19 angesehenen Sticks haben wir 13 nach unseren Kriterien eingeordnet. Vorn sehen wir Sticks, die ihr an der Tastatur am Stick entsperrt, weil dann auf dem Rechner nichts laufen muss.
Inhalt
✓Lohnt sich, wenn
- ihr digitale Kopien eurer Ausweise, Urkunden und Verträge an einem zweiten Ort lagern wollt, etwa bei Verwandten oder in der Dokumentenmappe im Notgepäck, und sie verschlüsselt sein sollen
- ihr die Kopien auch an einem fremden Rechner oder Handy öffnen wollt, ohne dort etwas zu installieren
- ihr lieber am Stick eine PIN eintippt, als jedes Mal ein verschlüsseltes Archiv mit Programm und Passwort zu öffnen
- ihr den Stick ab und zu an einen USB-Anschluss steckt. Beide Sticks aus dem Vergleich entsperren mit einem eingebauten Akku für die Tastatur, der dort lädt; vor der ersten Nutzung rät Kingston zu 30 bis 60 Minuten Laden, DataLocker zu einer Stunde.
✕Braucht ihr nicht, wenn
- ihr schon einen Stick oder eine Festplatte habt und eure Kopien mit einer kostenlosen Software verschlüsselt. Das BSI nennt dafür etwa 7-Zip.
- ihr den Stick als einzige Kopie nutzen wollt. USB-Sticks sind laut Verbraucherzentrale deutlich kurzlebiger als Festplatten, sie rät zu mindestens zwei Speichermedien.
- ihr einen ganzen Rechner sichern wollt. Diese Liste ist für Dokumentenscans und eine Auswahl Fotos gedacht.
Kingston IronKey Keypad 200, 64 GB
Kingston IronKey Keypad 200, 64 GB
USB-Stick mit eigener PIN-Tastatur, der laut Hersteller per Hardware mit XTS-AES 256 Bit verschlüsselt und laut Datenblatt an jedem System läuft, das USB-Massenspeicher unterstützt. Für verschlüsselte Kopien eurer Dokumente.
- Verschlüsselung
- XTS-AES 256 Bit, Hardware
- Speicher
- 64 GB
- Garantie
- 3 Jahre (eingeschränkt)
Warum diese
Das Keypad 200 erfüllt unsere Kriterien am besten unter den Sticks, für die wir ein lieferbares Angebot gefunden haben und bei denen in unserer Recherche kein Ausschluss offen geblieben ist. Sein Verschlüsselungsmodul steht im Register des NIST unter Zertifikat #5133 nach FIPS 140-3 mit Gesamtlevel 3, Status aktiv seit dem 14.01.2026 (Stand Oktober 2026), und die Variante IKKP200/64GB steht in der Hardwareliste. Im Datenblatt steht daneben noch „FIPS 140-3 Level 3 (ausstehend)“, maßgeblich ist für uns das Register. Die PIN mit 8 bis 15 Stellen gebt ihr an der Tastatur des Sticks ein, Software braucht er laut Anleitung nicht. Kingston liefert die Anleitung auch auf Deutsch, Leuchtanzeigen zeigen gesperrt, entsperrt und eine falsche PIN-Eingabe, und mit einer Admin-PIN lässt sich eine vergessene Benutzer-PIN ersetzen, ohne dass die Daten verloren gehen. Nach 10 falschen Eingaben in Folge löscht er je nach Einrichtung die Benutzer-PIN oder Schlüssel und Daten. Nur-Lesen gibt es für eine Sitzung oder global. Kingston nennt im Datenblatt eine Lagertemperatur von -20 bis 60 °C und gibt drei Jahre Garantie. In unserer Einordnung stehen der datAshur PRO+C und der datAshur PRO+A von iStorage vor ihm. Bei beiden ist für uns noch offen, wer in der EU für das Produkt verantwortlich ist, für den PRO+C haben wir außerdem kein Angebot gefunden, das wir verlinken können. Beide stehen unter „Auch angesehen“.
- Nachprüfbar zertifizierte VerschlüsselungFIPS 140-3 Level 3, #5133stark
- Funktioniert im ErnstfallPIN am Stick, ohne Softwarestark
- Hält durchLagerung -20 bis 60 °C, IP68 ohne Tiefesolide
- Schutz gegen Durchprobieren der PIN10 Versuche, PIN 8–15 Stellenstark
- Nur-Lesen-Modusglobal und je Sitzungstark
Was uns stört
- Zur Schutzart IP68 nennen Datenblatt und Anleitung keine Tiefe und Dauer, laut Datenblatt soll der Stick nur sauber und trocken verwendet werden (Stand Oktober 2026).
- Der Stecker ist USB-A. USB-C gibt es als eigene Variante, einen Adapter nennt das Datenblatt nicht.
Was Käufer berichten
30 Berichte · Amazon (amazon.de, .co.uk, .fr, .it, .es) · 13 Berichte datiert, Dezember 2022 bis Juli 2026 · Stand 28.10.2026
Was sich in den Berichten wiederholt
Etwa ein Fünftel der Berichte beschreibt den Stick als robust oder hochwertig verarbeitet, das betrifft Hält durch. Ob er Bedienbar unter Stress ist, sehen die Berichte unterschiedlich: Einige Käufer kamen ohne Mühe zurecht, ähnlich viele brauchten nach eigener Beschreibung die Anleitung oder etwas Einarbeitung, und mehrere finden die Eingabe am Tastenfeld umständlich. Mehrere Berichte nennen als Vorteil, dass sich der Stick ohne zusätzliche Software öffnen lässt, was zu Funktioniert im Ernstfall gehört.
Was nicht ins Bild passt
Ein Käufer findet die Bedienung wegen der vielen Tastendrücke so umständlich, dass er die Sticks nicht mehr nutzt. Ein anderer beschreibt Bedienung und Leuchtanzeigen als leicht verständlich.
Was das für euch heißt
Plant für die Einrichtung etwas Zeit mit der Anleitung ein und übt das Entsperren einmal mit unwichtigen Dateien, bevor die Kopien eurer Dokumente daraufkommen. Wer mit kleinen Tasten schlecht zurechtkommt, probiert die PIN-Eingabe gleich nach dem Kauf mehrmals aus.
So haben wir gezählt
7 von 30 Rezensionen loben Qualität oder Robustheit des Sticks.
5 von 30 Käufern fielen Einrichtung oder Bedienung leicht.
4 von 30 Rezensionen beschreiben, dass die Einrichtung erst mit der Anleitung oder nach etwas Einarbeitung gelang.
3 von 30 Käufern erscheint die Eingabe am Tastenfeld umständlich, wegen kleiner Tasten oder vieler Tastendrücke.
3 von 30 Rezensionen nennen als Vorteil, dass der Stick ohne zusätzliche Software auskommt.
Fundstellen
- Amazon: Kundenrezensionen zum Kingston IronKey Keypad 200 (amazon.de, .co.uk, .fr, .it, .es)
Gezielte, nicht repräsentative Auswahl öffentlich zugänglicher Berichte von einer Plattform, die Zahlen gelten nur für diese Auswahl. Amazon führt die Rezensionen aller Speichergrößen zusammen, die meisten Berichte nennen keine Größe.
2 Modelle im Vergleich
| Merkmal |
Unsere Wahl
Kingston IronKey Keypad 200, 64 GB |
DataLocker Sentry K350 64 GB |
|---|---|---|
| Zertifikat im NIST-Register | #5133, FIPS 140-3 Level 3, aktiv | #5092, FIPS 140-3 Level 3, aktiv |
| Entsperren | PIN am Tastenfeld mit Leuchtanzeigen | Passwort am Tastenfeld mit Bildschirm |
| Länge | 8 bis 15 Stellen | ab 8 Zeichen |
| Nach 10 Fehlversuchen | Benutzer-PIN gelöscht (mit Admin-PIN) oder Daten und Schlüssel | Daten und Schlüssel gelöscht (ab Werk, bis 50 einstellbar) |
| Nur-Lesen | global oder je Sitzung | dauerhaft oder je Anmeldung |
| Schutzart laut Hersteller | IP68, ohne Tiefe und Dauer | IP68 im Datenblatt, IP67 in der Web-Anleitung |
| Anschluss | USB-A, USB-C als eigene Variante | USB-A, USB-C-Zubehör separat |
| Sprache | Anleitung auch Deutsch | Gerät Englisch, Anleitung auf Deutsch nicht gefunden |
| Garantie | 3 Jahre | 3 Jahre |
| Preis | Preis beim Händler | 305,00 EUR |
| Kaufen | Bei Amazon | Ansehen DataLocker Sentry K350 64 GB |
Preise Stand 09.11., 09:51 · können sich geändert haben
So haben wir ausgewählt
FachkriterienWas eine Verschlüsselter USB-Stick können muss
-
Nachprüfbar zertifizierte Verschlüsselung20 %
Ob ein Stick so verschlüsselt, wie er verspricht, könnt ihr selbst nicht nachprüfen. Das übernehmen akkreditierte Prüflabore: Das Cryptographic Module Validation Program (CMVP) von NIST und dem kanadischen Centre for Cyber Security validiert Verschlüsselungsmodule nach FIPS 140-3 und führt die Zertifikate mit Status, Level und Hardwareversionen in einem öffentlichen Register (NIST, CMVP (öffnet neues Fenster)). FIPS 140-3 kennt vier aufsteigende Sicherheitsstufen (NIST, FIPS 140-3 (öffnet neues Fenster)). Ab Level 2 muss ein Eingriff ins Gehäuse Spuren hinterlassen. Level 3 soll außerdem verhindern, dass ein Angreifer bei einem Eingriff an die Schlüssel kommt, und verlangt eine Anmeldung, die die Person erkennt und nicht nur ihre Rolle (NIST, FIPS 140-2, Abschnitte 1.2 und 1.3 (öffnet neues Fenster)). Zertifikate nach FIPS 140-2 kommen am 22.09.2026 auf die historische Liste, für bestehende Systeme dürfen die Module weiter genutzt werden (NIST, FIPS 140-3 Transition (öffnet neues Fenster)); deshalb solide, nicht stark. Eine Angabe wie „AES nach FIPS 197“ reicht nicht: Die Validierung eines Algorithmus ist nur Voraussetzung, sie macht ein Produkt noch nicht zu einem nach FIPS 140 validierten (NIST, CAVP (öffnet neues Fenster)). Zum Verfahren gehört die Betriebsart: Für die Vertraulichkeit von Daten auf Speichermedien hat NIST XTS-AES zugelassen (NIST, SP 800-38E (öffnet neues Fenster)); nennt ein Hersteller Algorithmus, Schlüssellänge oder Betriebsart nicht, greift der Ausschluss. Maßgeblich ist der Registereintrag, nicht das Datenblatt, und die Teilenummer muss passen, weil ein Zertifikat nur die dort genannten Varianten abdeckt. Das BSI führt zugelassene Produkte in der BSI-Schrift 7164 (BSI, Liste zugelassener Produkte (öffnet neues Fenster)) und hat für tragbare verschlüsselte Datenträger ein Schutzprofil nach Common Criteria mit der Stufe EAL2 zertifiziert (BSI, BSI-CC-PP-0081 (öffnet neues Fenster)). Die Zuordnung zu den Stufen ist eine redaktionelle Setzung. Gewicht 20: Die geprüfte Verschlüsselung ist der Grund, einen solchen Stick zu nehmen statt eines vorhandenen Sticks mit einer kostenlosen Verschlüsselungssoftware, wie sie das BSI nennt (BSI, Verschlüsselung mit Software & Hardware (öffnet neues Fenster)).
Stark heißt: Aktives Zertifikat nach FIPS 140-3 mit Gesamtlevel 3 oder 4 im Register des NIST-CMVP, und die Teilenummer der bewerteten Variante steht in der Hardwareliste des Zertifikats. Gleichwertig: gültige BSI-Zulassung für das Gerät in der BSI-Schrift 7164. -
Schutz gegen Durchprobieren der PIN10 %
Eine kurze Zahlen-PIN schützt nur, wenn niemand beliebig oft raten kann. Der Personalausweis kommt mit einer sechsstelligen PIN aus und sperrt die Online-Ausweisfunktion nach drei falschen Eingaben (BSI, Der Personalausweis (öffnet neues Fenster)). Für den Stick rechnen wir so, als redaktionelle Setzung: Eine PIN aus 8 Ziffern hat 100 Millionen Möglichkeiten, wer zehnmal rät, trifft mit einer Wahrscheinlichkeit von 1 zu 10 Millionen. Bei 6 Ziffern und zehn Versuchen sind es 1 zu 100.000. Stark heißt deshalb mindestens 8 Stellen und Löschen nach höchstens zehn Fehlversuchen. Die Kehrseite: Ist alles gelöscht, sind auch eure Kopien weg. Darum zählt bei „Bedienbar unter Stress“ eine zweite PIN, und darum ist der Stick nie die einzige Kopie (siehe „Hält durch“).
Stark heißt: Laut Anleitung werden Schlüssel oder Daten nach höchstens 10 Fehlversuchen in Folge gelöscht, und die PIN oder das Passwort hat mindestens 8 Stellen. -
Nur-Lesen-Modus10 %
Im Notquartier, bei Verwandten oder auf dem Amt steckt ihr den Stick vielleicht an einen Rechner, den ihr nicht kennt. Das BSI rät, ein Sicherungsmedium nur dann anzustecken, wenn der Rechner sicher nicht infiziert ist, damit Schadsoftware die Sicherung nicht beschädigt (BSI, Schritt für Schritt zur Datensicherung, Abschnitt Windows (öffnet neues Fenster)). Verschlüsselung allein schützt laut BSI nicht vor Malware (BSI, Datenverschlüsselung (öffnet neues Fenster)). Im Nur-Lesen-Modus öffnet ihr die Dateien, ohne dass der fremde Rechner etwas auf den Stick schreiben kann. Lesen kann er die entsperrten Dateien trotzdem. Dauerhaft ist richtig für den Stick in der Mappe, für eine Sitzung, wenn ihr zu Hause neue Scans aufspielt. Die Stufen sind eine redaktionelle Setzung.
Stark heißt: Laut Anleitung oder Datenblatt lässt sich ein Nur-Lesen-Modus dauerhaft und auch nur für eine einzelne Sitzung einschalten. -
Gewicht und Packmaß5 %
Lässt es sich gepackt tragen, und passt es zum Rest des Notgepäcks?
Stark heißt: Kappe oder Hülle schützt Stecker und Tastenfeld, und der Stick hat eine Öse für Schlüsselring oder Band.
GrundkriterienWas wir bei jedem Produkt fragen
-
Funktioniert im Ernstfall20 %
Läuft es ohne Strom, ohne Netz und ohne App?
Stark heißt: Entsperren per PIN an der Tastatur des Sticks; laut Hersteller ohne Software und ohne Treiber an jedem Gerät nutzbar, das USB-Massenspeicher unterstützt, ausdrücklich genannt mindestens Windows, macOS, Linux und Android. -
Hält durch15 %
Wie lange halten Lebensdauer, Lagerfähigkeit und Haltbarkeit?
Stark heißt: Schutzart nach EN 60529 von mindestens IP67 (bei IP68 mit Tiefe und Dauer laut Hersteller), und das Datenblatt nennt einen Lagertemperaturbereich. -
Bedienbar unter Stress10 %
Klappt es im Dunkeln, mit kalten Händen und ohne Anleitung?
Stark heißt: Alle drei: Anleitung des Herstellers auf Deutsch, Leuchtanzeige für gesperrt, entsperrt und Fehleingabe laut Anleitung, und eine zweite PIN (Admin- oder Wiederherstellungs-PIN), mit der sich eine vergessene Benutzer-PIN ersetzen lässt, ohne dass die Daten verloren gehen. -
Alltagstauglich5 %
Nützt es auch, wenn gerade nichts passiert?
Stark heißt: Bewertete Variante mit mindestens 32 GB, und laut Hersteller passt der Stick an USB-A und an USB-C (zwei Stecker oder Adapter im Lieferumfang). -
Verfügbarkeit und Support5 %
Ist es lieferbar, gibt es Ersatzteile, ist der Hersteller in fünf Jahren noch da?
Stark heißt: Mindestens 3 Jahre Herstellergarantie, Kundendienst in der EU per Telefon oder E-Mail, und der Hersteller veröffentlicht Firmware-Stände oder Sicherheitshinweise zum Modell.
Was bei uns rausfliegt
Diese Punkte verrechnen wir nicht mit anderen Stärken. Wer einen davon verletzt, kommt nicht in die Auswahl.
- Kein in der EU verantwortlicher Wirtschaftsakteur angegeben
- Hersteller ohne eigene Webseite oder ohne auffindbare Herstellerangaben
- Schutzversprechen wie wasserdicht oder feuerfest ohne Prüfnorm oder Prüfbedingungen
- Hersteller nennt für die Verschlüsselung nicht Algorithmus, Schlüssellänge und Betriebsart (zum Beispiel AES mit 256 Bit im XTS-Modus)
- Für das Verschlüsselungsmodul ist weder ein Eintrag im NIST-CMVP-Register (aktiv, historisch oder „Modules In Process“) noch ein Common-Criteria-Zertifikat noch eine BSI-Zulassung nachprüfbar, oder der Registereintrag ist widerrufen
- Einrichten oder Entsperren braucht eine Internetverbindung, eine App oder ein Benutzerkonto beim Hersteller
Worauf das beruht: Herstellerdatenblätter, die einschlägigen Normen und Kennzeichnungen, öffentlich zugängliche Testberichte und Erfahrungen von Nutzerinnen und Nutzern. Selbst ausprobiert haben wir die Geräte noch nicht. Sobald das passiert, steht es am jeweiligen Produkt. Dazu kommt unsere Auswertung öffentlich zugänglicher Käuferberichte; Umfang und Grenzen stehen bei jedem Produkt. So arbeiten wir
Auch angesehen
- iStorage datAshur PRO+CIn unserer Einordnung vorn: Zertifikat #4918 nach FIPS 140-3 mit Gesamtlevel 3 im Register des NIST (aktiv, Stand Oktober 2026), PIN mit 8 bis 15 Stellen am Stick, laut iStorage IP68 bei 1,5 Metern Wassertiefe für 30 Minuten, USB-C mit Adapter auf USB-A im Lieferumfang. Einen in der EU verantwortlichen Wirtschaftsakteur haben wir auf Produktseite, Kontaktseite und der Seite zur Produkt-Compliance nicht gefunden, genannt ist nur iStorage in Großbritannien (Stand Oktober 2026). Bis das geklärt ist, steht er auf keinem Platz. Ein Angebot in der bewerteten Größe 32 GB, das wir verlinken können, haben wir außerdem nicht gefunden.
- iStorage datAshur PRO+ADie Ausführung mit USB-A-Stecker, im Register des NIST unter demselben Zertifikat #4918 geführt, laut iStorage ebenfalls IP68 bei 1,5 Metern für 30 Minuten. Auch hier haben wir auf Produktseite, Kontaktseite und der Seite zur Produkt-Compliance keinen in der EU verantwortlichen Wirtschaftsakteur gefunden (Stand Oktober 2026). Bis das geklärt ist, steht er auf keinem Platz.
- Kingston IronKey Keypad 200CDas Keypad 200 mit USB-C-Stecker, im Register des NIST unter demselben Zertifikat #5133 geführt, dort bis 256 GB in der Hardwareliste. Ein Angebot in 64 GB, das wir verlinken können, haben wir nicht gefunden (Stand Oktober 2026).
- DataLocker Sentry K350Im Register des NIST unter Zertifikat #5092 nach FIPS 140-3 mit Gesamtlevel 3 (aktiv, Stand Oktober 2026), die 64-GB-Variante steht in der Hardwaretabelle der Security Policy. Das Passwort tippt ihr am Tastenfeld mit Bildschirm ein, Nur-Lesen gibt es dauerhaft oder für eine einzelne Anmeldung, und DataLocker veröffentlicht Firmware-Stände. In unserer Einordnung steht er hinter dem Keypad 200, vor allem weil wir im Supportportal von DataLocker keine Anleitung auf Deutsch gefunden haben und Datenblatt, Produktseite und Anleitung weder Kappe noch Hülle noch Öse nennen (Stand Oktober 2026). Ihr findet ihn im Vergleich.
- Kingston IronKey D500SZertifikat #5029 nach FIPS 140-3 mit Gesamtlevel 3 im Register des NIST (aktiv, Stand Oktober 2026), laut Datenblatt IP67 und fünf Jahre Garantie. Eine Tastatur am Stick hat er nicht, das Passwort gebt ihr am Rechner ein. Kompatibel ist er laut Datenblatt mit Windows 11 und 10, macOS 12 bis 15 und, mit begrenzten Funktionen, Linux ab Kernel 4.4. Ein Angebot in 64 GB, das wir verlinken können, haben wir nicht gefunden.
- Kingston IronKey Vault Privacy 50 64 GBAusgeschlossen: Für das Verschlüsselungsmodul ist weder ein Eintrag im NIST-CMVP-Register (aktiv, historisch oder „Modules In Process“) noch ein Common-Criteria-Zertifikat noch eine BSI-Zulassung nachprüfbar, oder der Registereintrag ist widerrufen.
Häufige Fragen
Was bedeutet FIPS 140-3 Level 3 bei einem USB-Stick?
FIPS 140-3 ist eine Norm des US-amerikanischen NIST für Verschlüsselungsmodule mit vier aufsteigenden Sicherheitsstufen (NIST, FIPS 140-3 (öffnet neues Fenster)). Ab Level 2 muss ein Eingriff ins Gehäuse Spuren hinterlassen, Level 3 soll zusätzlich verhindern, dass ein Angreifer dabei an die Schlüssel kommt (NIST, FIPS 140-2, Abschnitte 1.2 und 1.3 (öffnet neues Fenster)). Ob ein Modul die Anforderungen erfüllt, prüfen unabhängige akkreditierte Labore, das Cryptographic Module Validation Program von NIST und dem kanadischen Centre for Cyber Security validiert und führt die Zertifikate in einem öffentlichen Register (NIST, CMVP (öffnet neues Fenster)). Maßgeblich ist für uns dieser Eintrag mit Nummer, Status und Varianten, nicht das Datenblatt: Kingston schreibt beim Keypad 200 im Datenblatt „Zertifikat Nr. 5133“ und zugleich „FIPS 140-3 Level 3 (ausstehend)“, im Register ist #5133 (öffnet neues Fenster) seit dem 14.01.2026 aktiv (Stand Oktober 2026).
Muss der Akku im Stick geladen sein?
Beide Sticks haben einen eingebauten Akku, mit dem ihr PIN oder Passwort eingebt, bevor der Stick am Rechner steckt. Geladen wird er am USB-Anschluss. Kingston empfiehlt, das Keypad 200 vor der ersten Nutzung 30 bis 60 Minuten an einen USB-Anschluss mit Strom zu stecken, beim Laden im gesperrten Zustand blinkt die blaue LED alle 5 Sekunden (Kingston, Bedienungsanleitung Keypad 200 (öffnet neues Fenster)). Wie oft er bei langer Lagerung nachgeladen werden soll, nennen Anleitung, Datenblatt und Produktseite nicht (Stand Oktober 2026). DataLocker rät, den K350 vor der ersten Nutzung eine Stunde zu laden (DataLocker, Sentry K350 (öffnet neues Fenster)). Laut Anleitung entlädt sich sein Akku langsam, wenn er mehrere Monate nicht benutzt wird, und er lässt sich auch allein mit dem Strom vom USB-Anschluss entsperren (DataLocker, User Guide K350, S. 7 (öffnet neues Fenster)). Steckt den Stick deshalb bei jeder Durchsicht eurer Dokumentenmappe eine Weile an.
Was passiert, wenn ihr die PIN vergesst?
Ab Werk löschen beide Sticks nach 10 falschen Eingaben in Folge Schlüssel und Daten. Eine zweite PIN fängt das ab: Beim Keypad 200 wird mit eingerichteter Admin-PIN nach 10 falschen Benutzer-PINs nur die Benutzer-PIN gelöscht, die Daten bleiben über die Admin-PIN erreichbar; 10 falsche Admin-PINs löschen alles (Kingston, Bedienungsanleitung, Abschnitt 23 (öffnet neues Fenster)). Beim K350 kann der Admin, wenn ein Benutzer eingerichtet ist, den Benutzer ab- und wieder einschalten; danach legt der Benutzer ein neues Passwort an, die Daten bleiben laut Anleitung erhalten. Falsche Eingaben von Benutzer und Admin zählen dort zusammen (DataLocker, User Guide K350, S. 7, 11 und 12 (öffnet neues Fenster)). Das BSI rät, eine Sicherheitskopie des Schlüssels möglichst an einem anderen Ort unter Verschluss aufzubewahren (BSI, Datenverschlüsselung (öffnet neues Fenster)). Legt die Admin-PIN also getrennt vom Stick ab.
Reicht nicht ein normaler USB-Stick mit Verschlüsselungssoftware?
Ja, wenn ihr mit Programm und Passwort zurechtkommt. Das BSI nennt für die Verschlüsselung einzelner Dateien zahlreiche, teils kostenlose Programme, als Beispiel unter den Packprogrammen 7-Zip. Bei USB-Sticks muss dafür laut BSI oft eine Software auf dem Rechner gestartet werden (BSI, Verschlüsselung mit Software & Hardware (öffnet neues Fenster)). Ein Stick mit eigener Tastatur braucht das nicht, das hilft, wenn ihr an einem fremden Gerät an die Kopien müsst. Vor Schadsoftware schützt Verschlüsselung laut BSI nicht (BSI, Datenverschlüsselung (öffnet neues Fenster)). An einem fremden Rechner hilft deshalb der Nur-Lesen-Modus, den beide Sticks aus dem Vergleich haben: Lesen kann der Rechner die entsperrten Dateien trotzdem, etwas auf den Stick schreiben nicht.
Wie lange halten die Daten auf einem USB-Stick?
Das lässt sich nicht verlässlich sagen. Laut Verbraucherzentrale sind die Flash-Speicher in USB-Sticks deutlich kurzlebiger und anfälliger für Datenverluste als Festplatten, und Sticks werden mit dem Alter unter Umständen nicht mehr erkannt. Sie rät, digitale Dateien auf mindestens zwei Speichermedien zu sichern (Verbraucherzentrale, Daten gut und lange sichern, Stand Juni 2023 (öffnet neues Fenster)). Herstellerangaben zum Datenerhalt bewerten wir nicht, weil wir keine frei zugängliche Norm gefunden haben, nach der sie bei Sticks vergleichbar wären. Für die Lagerung nennt DataLocker beim K350 -20 bis 60 °C und für mehr als eine Woche -20 bis 40 °C, Kingston beim Keypad 200 -20 bis 60 °C.
Warum fehlen manche bekannte Sticks?
Wir ordnen nur Sticks ein, deren Verschlüsselungsmodul im Register des NIST steht (aktiv, historisch oder als „Modules In Process“), ein Common-Criteria-Zertifikat hat oder vom BSI zugelassen ist, und deren Hersteller Algorithmus, Schlüssellänge und Betriebsart nennt. Von 19 angesehenen Sticks schieden 6 aus, 5 davon wegen eines fehlenden Zertifikats. Einen davon, den Kingston IronKey Vault Privacy 50, nennen wir mit Grund unter „Auch angesehen“.
Was sich geändert hat
- Liste neu aufgebaut, 19 Modelle angesehen, 13 nach unseren Kriterien eingeordnet.
