[Tutorial] verschlüsselte Datenablage mit rclone auf Cloudspeichern wie OneDrive, Dropbox, Mega, Google Drive, Nextcloud etc.

Liebe Community,

die ruhige Zeit zwischen den Jahren wird erfahrungsgemäß dafür verwendet, sich mit neuen Themen zu beschäftigen. Vielleicht steht auch der Wechsel vom immer neugierig werdenden Windows 10/11 hin zu einem freien OS wie Linux auf der Liste der guten Vorsätze für das neue Jahr.

Den wechselwilligen Anwendern und Anwenderinnen macht es Microsoft nicht leicht, vor allem, wenn sie bereits tief im Kaninchenbau von Office 365 / Microsoft 365 stecken. Ein Schmerzpunkt wird sein, dass Ihr aus Euren Windows Zeiten ein M365 Konto besitzt und dort z.B. ausgiebig OneDrive verwendet. Denn seien wir ehrlich. 6 TB Speicher für 99 Euro im Jahr bei einem M365 Familien-Abo sind preislich ziemlich unschlagbar.

Schlechte Nachricht: Es gibt keinen offiziellen OneDrive Sync-Client für Linux.

Gute Nachricht: Es gibt freie Alternativen, die Eure wertvollen Daten zusätzlich sogar VERSCHLÜSSELT ablegen können!

Eines muß Euch immer bewusst sein: Microsoft (wie auch alle anderen Clouddienste der großen Anbieter) scannt sämtliche Dateien in Euren OneDrives auf Inhalte, die gegen mitunter willkürlich definierten Nutzungsbedingungen eines US-Unternehmens wie Microsoft, Ansprüchen der Content-Industrie oder staatlichen Vorgaben (Stichwort "US Patriot Act") verstoßen und Euch im schlimmsten Fall unschuldig in einen Topf mit Kriminellen werfen. Deswegen sollte es unerlässlich sein, die eigenen Daten vor dem unberechtigten Zugriff Dritter so effektiv wie möglich zu schützen. Bei diesem Vorhaben gehört die Verschlüsselung zu Euren mächtigsten Waffen.

In diesem Tutorial möchte ich Euch daher eine Möglichkeit aufzeigen, wie ihr mit Linux ein OneDrive als sicheren Datenspeicher konfigurieren könnt und Eure Daten mit einem oder mehreren Rechnern manuell oder automatisiert synchroniseren könnt. Das Tutorial kann auch für andere Clouddienste wie z.B. Google Drive, Dropbox, Nextcloud etc. verwendet werden. In meinem konkreten Beispiel verwende ich OneDrive.

In meinem Tutorial benutze ich ein ArcoLinux auf Arch Architektur. Bis auf die Installation der Programme aus dem Repository unterscheidet sich der Ablauf aber nicht von anderen Distributionen wie Debian, Ubuntu, Linux Mint, Pop! OS, MX Linux etc.

Voraussetzungen

Damit Ihr Eure Daten mit dem Cloudanbieter synchronisieren könnt, benötigt Ihr folgendes:

• Einen Account beim Cloudanbieter ("ach, was?!" )
• Die beiden Linux Tools rsync und rclone. Beide Tools gibt es so ziemlich in jedem Repository der Linuxdistributionen.

Inhalt

Grob zusammengefasst werden im Tutorial folgende Schritte durchgeführt:

1. Installation von rsync und rclone aus dem Repository Eurer Linuxdistribution
2. Einrichtung der Verbindung von rclone zu OneDrive
3. Erstellung eines verschlüsselten Containers / "Knotens" (mir fällt keine bessere Übersetzung von 'Remote' ein)
4. Verschlüsseltes Kopieren und Synchronisierung einer Ordnerstruktur vom PC nach OneDrive
5. Kopieren und Synchronisierung einer verschlüsselten Ordnerstruktur aus dem OneDrive zurück auf den Rechner
6. Automatische Synchronisierung nach OneDrive über einen Cronjob einrichten

1) Installation von rsync und rclone

Die meisten Distros sollten rsync bereits vorinstalliert haben. Ob rsync und rclone bereits installiert sind, könnt Ihr über eine Konsole mit folgenden Befehlen überprüfen:

Arch:

pacman -Qi rsync
pacman -Qi rclone

Sollte ein Paket bereits installiert sein, sieht das Ergebnis so aus:

Sollte ein Paket nicht installiert sein, sieht das Ergebis so aus:

Debian/Ubuntu:

sudo apt list | grep rsync
sudo apt list | grep rclone

Sollte ein Paket bereits installiert sein, sieht das Ergebnis so aus:

Befehl, die Pakete zu installieren

Arch:

sudo pacman -S rsync
sudo pacman -S rclone

Debian/Ubuntu:

sudo apt install rsync
sudo apt install rclone

2) Verbindung zu OneDrive einrichten

Bevor ich die Verbindung zu OneDrive einrichte, erstelle ich im OneDrive vorab einen Ordner, den ich später als Stammverzeichnis für die verschlüsselte Ablage der Daten verwenden möchte. In meinem Beispiel ist heißt Ordner "My_encrypted_stuff"

In einer Konsole wird über das Kommando rclone config der Konfigurationsassistent gestartet.

Mit n wird ein neuer remote Knoten eingerichtet. Dieser Knoten erhält in meinem Beipiel den Namen "OneDrive". Ihr könnt aber auch einen anderen Namen frei vergeben. Ich benenne die Knoten der Übersichtlichkeit halber immer nach dem Cloudanbieter, den ich für die ganze Aktion verwende.

Aus der Liste der unterstützten Cloudanbieter wird nun der gewünschte Anbieter ausgewählt. In meinem Beispiel ist es die Nummer "31" für den Dienst OneDrive.

Die Abfrage nach der client_id und nach dem client_secret bleiben frei und werden mit ENTER bestätigt.

Im Fall von OneDrive gibt es regionale M365 Tenant-Abstufungen mit regulatorischen oder politischen Anpassungen (z.B. Global, US Government, Telekom-Cloud, ViaNet in China). In den allermeisten Fällen liegt das persönliche OneDrive in den globalen Tenants. In meinem Fall ist das auch so, deswegen wird die Option "1" ausgewählt.

Die Frage nach der erweiterten Konfiguration kann mit "n" übersprungen werden.

Nun muss rclone im M365 Konto dazu berechtigt werden, auf das OneDrive zugreifen zu dürfen. Dies geschieht über ein Authorisierungstoken. Dieser Vorgang erfolgt über einen Internetbrowser. Deswegen wird dieser Dialog mit "y" bestätigt.

Nun öffnet sich der Browser, fragt nach Euren M365 Anmeldedaten und fragt nach der Erlaubnis für den Zugriff durch rclone. Dieser Dialog wird durch einen Klick auf "Yes" bestätigt.

Nachdem der Browser "Success" anzeigt, wird in der Konsole die Einrichtung fortgesetzt. Da es verschiedene Arten von M365 Konten gibt, wird nun ausgewählt, ob es sich um ein persönliches OneDrive / OneDrive for Business oder SharePoint etc. handelt. In diesem Beispiel handelt es sich um ein persönliches OneDrive. Deswegen wähle ich Option "1" aus.

Im nächsten Schritt wird angegeben, ob es sich um ein persönliches OneDrive oder um eine OneDrive for Business handelt. In meinem Fall wurde das persönliche OneDrive gleich erkannt und ich kann daher nur Option "1" auswählen.

Es folgt ein Dialog, der mit "y"es oder "n"o bestätigt werden muss.

In meinem Beispiel ist alles korrekt, deswegen bestätige ich mit "y".

rclone zeigt Euch eine Zusammenfassung der Konfiguration und das Zugriffstoken auf das OneDrive an. Hier kann noch einmal überprüft werden, ob alles soweit OK ist. Um die Konfiguration zu speichern, wird der Dialog mit "y" bestätigt.

Damit ist rclone erfolgreich mit OneDrive verbunden und der Konfigurationsassistent kann entweder mit "q" verlassen, weitere remote Knoten hinzugefügt oder im Schritt 3 nun der verschlüsselte Knoten konfiguriert werden. In meinem Beispiel beende ich die Konfiguration mit "q".

Mit diesem Schritt ist der schwierigste Teil der Konfiguration abgeschlossen. Ihr könnt ab jetzt schon über rclone Dateien zum gerade erstellten Remote Knoten unverschlüsselt übertragen oder von dort herunterladen. Da wir aber das volle Potential von rclone ausnutzen und unsere Daten so sicher wie möglich ablegen wollen, richten wir noch eine Verschlüsselung ein.

3) Einen verschlüsselten Knoten für die zuvor eingerichtete Verbindung konfigurieren

In Schritt 2 haben wir einen oder mehrere Remote Knoten angelegt. Eine Übersicht der konfigurierten Knoten kann in der Konsole über den Befehl rclone listremotes ausgegeben werden.

In meinem Beispiel existiert nur ein Knoten namens "OneDrive:". Der Doppelpunkt hinter dem Namen wird von rclone automatisch erzeugt, um später für die Erzeugung der Dateipfade verwendet zu werden.

Über rclone config wird nun der Konfigurationsassistent aufgerufen und über "n" ein neuer remote Knoten konfiguriert. Da es sich in diesem Beispiel um einen Konten auf dem OneDrive handeln soll, der obendrein verschlüsselt sein soll, gebe ich ihm den Namen "OneDrive" und den Zusatz "Encrypted". Das hilft mir bei mehreren eingebundenen Anbietern dabei, schnell den richtigen Konten zu identifizieren. Ihr könnt den Namen aber auch nach Eurem Geschmack vergeben.

Wie schon in Schritt 2 wird nun auch hier jetzt die Nummer des Anbieters gewählt. Da es sich aber jetzt um einen VERSCHLÜSSELUNGSCONTAINER handelt, wird nicht OneDrive, sondern "Encrypt/Decrypt a remote" ausgewählt. In meinem Beispiel ist das die Nummer "14".

Nun wird der Name des Remote Knotens angegeben, der für die Verschlüsselung genutzt werden soll (also in meinem Beispiel der in Schritt 2 konfigurierte Knoten "OneDrive") und ggf. der Pfad zu dem Ordner, der als Stammverzeichnis verwendet werden soll.

In meinem Beispiel nehme ich den zuvor angelegten Ordner "My_encrypted_stuff". Daher gebe ich folgendes ein: OneDrive:My_encrypted_stuff

Im nächsten Schritt könnt Ihr festlegen, ob auch die Dateinamen verschlüsselt werden sollen, damit niemand am Namen erkennen kann, worum es sich bei dieser Datei handelt. Um die höchste Sicherheit zu erhalten, solltet Ihr das tun. Deshalb wähle ich die Option "1". Zusätzlich wird gefragt, ob auch die Verzeichnissnamen verschlüsselt werden sollen. Auch das solltet Ihr tun. Also wähle ich in meinem Fall auch hier die Option "1".

Nun kommt der allerwichtigste Teil, für den Ihr Euch besonders viel Zeit nehmen solltet!

Es wird nun der Schlüssel für die Verschlüsselung erzeugt. Diesen Schlüssel solltet Ihr Euch unbedingt notieren und sicher ablegen. Wenn Ihr diesen Schlüssel verliert, sind Eure Daten unwiederbringlich verloren!

Ihr habt hier die Möglichkeit, entweder ein eigenes starkes Kennwort zu vergeben oder eines generieren zu lassen. Normalerweise erstelle ich mir ein eigenes, hochkomplexes Kennwort, das ich dann auf allen Clients für rclone verwende.

In diesem Beispiel lasse ich mir aber ein sicheres Kennwort generieren, dass ich mir notiere und sicher verwahre, um es später auch auf anderen PCs mit rclone oder im Falle eines Systemrestores zur Wiederherstellung nutzen zu können.

Daher wähle ich in meinem Fall die Option "g", um ein sicheres Kennwort generieren zu lassen. Dieses Kennwort sollte mindestens 256 Bits stark sein. Wer richtig paranoid ist, wählt 512 bits oder sogar 1024 bits. In meinem Beipspiel wähle ich 512 bits - denn ich bin paranoid.

Ich werde dieses Kennwort für dieses Tutorial bewusst NICHT pixeln. Nach der Erstellung dieses Tutorial wird der hier verwendete M365 Account wieder gelöscht.

Nachdem das Passwort sicher notiert wurde, wird der Dialog mit "y" bestätigt.

Das Kennwort wird auf dem PC in die rclone Konfiguratonsdatei verschleiert gepeichert. Ihr könnt das Kennwort nochmal absichern, indem Ihr den Passwort-Hash mit einem weiteren Kennwort verschlüsselt (dieser Vorgang wird auch "salzen" genannt). Das würde ich immer empfehlen. Daher salze ich das Kennwort mit einem weiteren entweder generierten oder selbst gewählten Kennwort.

In meinem Beispiel lasse ich mir nochmal ein Kennwort mit 512 bits generieren. Auch dieses Passwort sollte sicher verwahrt werden! Das vorgeschlagene Passwort bestätige ich mit "y".

Die erweiterte Konfiguration wird mit "n" übersprungen und am Ende wird nochmal eine Zusammenfassung des neuen Knotens ausgegeben. Wenn alles OK ist, wird der der Dialog mit "y" bestätigt und der rclone Konfiguratonsassistent mit "q" verlassen.

Glückwunsch, nun habt Ihr rclone mit zwei Knoten konfiguriert:

• Einen Knoten für den unverschlüsselten Transfer zu OneDrive
• Einen Knoten für den verschlüsselten Transfer zu OneDrive.

4) Verschlüsseltes Kopieren und Synchronisierung einer Ordnerstruktur vom PC nach OneDrive

Nun können die Dateien aufs OneDrive geschrieben oder von dort heruntergeladen werden. Im Gegensatz zum klassischen OneDrive Clienten kann rclone zwischen einem einfachen Kopieren von Dateien (das bedeutet, dass geänderte Dateien im Ziel überschrieben aber gelöschte Dateien nicht automatisch im Ziel gelöscht werden) oder einer Synchronisation (gelöschte Daten werden auch im Ziel bei der Synchronisation gelöscht) unterscheiden.

Die Syntax ist dabei immer

rclone copy/sync -optionale_Paramater <Quelle> <Ziel>

Für beide Fälle zeige ich Euch ein Beispiel.

Szenario

Im Verzeichnis "Music" meines PCs habe ich Dateien, die ich verschlüsselt auf mein OneDrive kopieren will. Das Zielverzeichnis "My_encrypted_stuff" im OneDrive ist noch leer.

Kopieren

Mit folgendem Befehl kopiere ich den Ordner "Music" von einem lokalen PC auf das OneDrive in den verschlüsselten Knoten. Dabei soll der Zielordner "Music" automatisch angelegt werden:

rclone copy -Pv ~/Music/ OneDriveEncrypted:Music 

Über die Option -Pv möchte ich eine Fortschrittsanzeige sehen. Ansonsten würde mir nichts angezeigt werden, wenn rclone arbeitet.

Wenn alle Verzeichnisse und Dateien aus "Music" nach OneDrive kopiert wurden, könnt Ihr die Verzeichnisse und Dateien nun vollständig verschlüsselt im OneDrive Browserfenster finden. Es ist nicht mehr zu erkennen, worum es sich bei diesen Verzeichnissen und Dateien handelt.

Auf diesem Bild könnt Ihr die Ordnerstruktur auf dem lokalen PC und deren Zwilling im OneDrive sehen.

Schaut man in ein Verzeichnis hinein, sieht man auch nur verschlüsselte Inhalte. Der Cloudanbieter hat keine Möglichkeit, auf Namen oder Inhalte der Dateien zu schließen.

Mit rclone können die verschlüsselten Verzeichnisse automatisch entschlüsselt angezeigt werden. Das geht in der Konsole über den Befehl

rclone lsd OneDriveEncrypted:Music 

für Verzeichnisse oder

rclone ls OneDriveEncrypted:Music 

für Verzeichnisse und deren enthaltene Dateien.

Synchronisieren

Mit folgendem Befehl synchronisiere ich den Ordner "Music" mit dem Zielordner auf dem OneDrive:

rclone sync -Pv --check-first ~/Music/ OneDriveEncrypted:Music/

Verwendet man die Option --check-first , werden vor dem Kopieren oder der Synchronisierung die Dateien zwischen Quelle und Ziel abgeglichen und es werden nur die Ordner und Dateien überschrieben oder gelöscht, die in der Quelle verändert wurden.

In meinem Beispiel habe ich das Unterverzeichnis "Grendel - Soilbleed" aus dem Verzeichnis "Music" auf meinem PC gelöscht. Diese Änderung wird bei der Synchronisierung ins OneDrive übertragen.

5) Kopieren und Synchronisierung einer verschlüsselten Ordnerstruktur aus dem OneDrive zurück auf den Rechner

Nach dem gleichen Prinzip können Änderungen, die im OneDrive durchgeführt wurden, auch auf den PC zurück synchronisiert werden. In diesem Fall gebt Ihr das OneDrive Verzeichnis als Quelle und den lokalen PC als Ziel an.

Nach dem gleichen Prinzip können verschlüsselte Verzeichnisse und Dateien aus dem OneDrive auf den lokalen PC automatisch entschlüsselt übertragen werden.

In diesem Beispiel ist das Verzeinchnis "Music" auf dem PC komplett leer und ich will nun entweder einen bestimmten Ordner oder eine ganze Ordnerstruktur auf meinen PC übertragen. In diesem Beispiel nehme ich den Ordner "Pain - Psalms of Extinction" und schreibe ihn nach "Music" in ein neu zu erstellendes Verzeichnis namens "Coole Mucke".

Mit etwas Übung ist rclone sehr flott und schlank zu bedienen. Durch die Verschlüsselungsoption macht es die Verwendung der Cloudhoster vor dem Zugriff durch Dritte sicher. Sollten Daten wirklich einmal aufgrund eines Leaks oder durch einen Hackerangriff abgeflossen sein, sind diese Daten für Provider oder Angreifer unbrauchbar.

Nach dem gleichen Prinzip könnt Ihr auf verschiedenen Rechnern rclone installieren und konfigurieren. Solange Ihr für die verschlüsselten Knoten auf den PCs die selben Passwörter verwendet, können alle Rechner auf die verschlüsselten Inhalte zugreifen. In diesem Fall lasst Ihr Euch bei der Einrichtung keine Passwörter generieren, sondern gebt die Passwörter selber ein.

Für Debian und Ubuntu gibt es für rclone auch ein GUI "rclone Browser", mit dem Ihr ohne die Konsole Daten kopieren könnt.

6) Automatische Synchronisierung über einen Cronjob einrichten

Um nicht jedes Mal die Synchronisation manuell anzustoßen, bietet es sich an, einen cronjob zu erstellen, der nach Eurem Gusto die Inhalte zwischen OneDrive und dem PC synchronisiert.

In meinem Beispiel habe ich über crontab -e einen cronjob angelegt, zu zwischen 08 und 20 Uhr zu jeder halben Stunde das verschlüsselte Verzeichnis "Music" aus dem OneDrive auf meinen PC in das Verzeichnis "Music" synchronisiert. :

30 8-20 * * * rclone sync --check-first OneDriveEncrypted:Music/ ~/Music/

Weil ich synchronisiere, werden alle Dateien im lokalen Verzeichnis entfernt, die kein Pendant im OneDrive haben. Wenn ich Dateien im Zielordner lieber nicht löschen lassen möchte, so nehme ich statt dem Befehl rclone sync den Befehl rclone copy .

Für weitere Ordner oder die umgekehrte Richtung können zusätzliche cronjobs hinzugefügt werden.

Fazit

Damit solltet Ihr erfolgreich den von rclone unterstützten Cloudspeicher Eurer Wahl abhörsicher mit Linux Bordmitteln angebunden haben.

Es gibt sicher noch viele andere Methoden und Tools, solche nicht-selbstgehosteten Speicher sicher anzubinden. Für meinen Workflow und meine Einsatzgebiete hat sich rclone als die praktikabelste Lösung erwiesen.

Ich wünsche viel Spaß beim Experimentieren.

Euer Hähnchen

Zitat von KTT73

da fehlt das "copy" im Befehl

Danke für den Hinweis! Ich habe es korrigiert.

Zitat von olepaloma

Und eine funktionale Einschränkung gibt es dabei wahrscheinlich: die verschlüsselten Dateien lassen sich auf Smartphones und anderen Betriebssystemen nicht entschlüsseln - ODER?

Korrekt. Smartphones werden hier ein Problem haben. Ich habe gelesen, dass es Android User gibt, die über eine Terminalapp und einem gerooteten Phone rclone nutzen. Mangels Android Smartphone konnte ich das aber nicht verifizieren.

Meine Mobile Devices synce ich auf Nextcloud und mit der Cryptomator App. Allerdings ist das nicht kompatibel mit den über rclone verschlüsselten Dateien.

Zitat von Stardenver

Als mögliche Alternative unter Linux kann ich insync empfehlen. Die bieten Sync-Clients für alle Plattformen, also auch Linux. Damit kann man Dropbox, OneDrive und Google Drive synchronisieren. Das Ganze klappt auch selektiv und über verschiedene Ordner hinweg. Also ich kann sagen, synchronisiere mir Ordner A auf der Festplatte mit Ordner B im Cloudspeicher und Ordner C im Cloudspeicher mit Ordner D auf der Festplatte, usw

Cool, insync kenne ich noch gar nicht. Das schaue ich mir an.

Zitat von Gonzo-3004

Wer sein OneDrive auch im Dateimanager seiner Wahl anzeigen möchte kann hierzu ein Verzeichnis z.B. "onedrive" in seinem Home erstellen und mit folgendem Befehl mounten.

Code

rclone --vfs-cache-mode writes mount OneDrive: ~/onedrive

Geilomat! Das kannte ich noch gar nicht und es klappt richtig gut.