Cloud-Backup mit Cryptomator verschlüsseln: Tresor anlegen in 8 Schritten

Cloud-Backup mit Cryptomator verschlüsseln heißt: Du legst einen passwortgeschützten Tresor direkt in deinem Cloud-Ordner an, Cryptomator verschlüsselt jede Datei einzeln auf deinem Rechner, und erst danach lädt Dropbox, OneDrive oder Google Drive sie hoch. Du brauchst dafür die kostenlose Desktop-App (aktuell 1.19.3), ein langes Passwort und einen sicher abgelegten Wiederherstellungsschlüssel. Beim Anbieter landen nur unlesbare Dateien und verschlüsselte Dateinamen.

Was „clientseitig“ bedeutet – und was es nicht ersetzt

Clientseitig heißt: Die Verschlüsselung passiert auf deinem Gerät, bevor die Daten den Rechner verlassen. Der Cloud-Anbieter sieht ausschließlich Chiffrat und besitzt den Schlüssel nie. Das ist der Unterschied zur „Verschlüsselung beim Anbieter“, bei der Dropbox & Co. die Schlüssel selbst halten und technisch – oder auf richterliche Anordnung – mitlesen könnten.

Cryptomator ist quelloffen (GPL) und auf dem Desktop komplett kostenlos. Es läuft unter Windows (ab Version 10 1803), macOS (ab 11) und Linux; für Smartphones gibt es Apps ab Android 8 und iOS 14. Das Tool verschlüsselt jede Datei einzeln statt in einen großen Container – genau deshalb synchronisiert dein Cloud-Client hinterher nur die geänderten Dateien und nicht jedes Mal ein Riesen-Archiv.

Ein Punkt, der oft untergeht: Ein Tresor in der Cloud ist eine Kopie, kein vollwertiges Backup-Konzept. Löschst du eine Datei im entsperrten Tresor, ist sie nach dem Sync auch oben weg. Wer sauber sichern will, hält sich weiter an 3-2-1: drei Kopien, zwei Medien, eine außer Haus – der verschlüsselte Cloud-Tresor ist dabei das „außer Haus“-Exemplar.

Das brauchst du vorher

• Einen lokal eingerichteten Cloud-Sync-Ordner, also den OneDrive-, Dropbox- oder Google-Drive-Ordner auf deiner Festplatte. Reine Weboberflächen ohne lokalen Ordner funktionieren mit diesem Weg nicht.
• Die Cryptomator-Desktop-App von der offiziellen Quelle cryptomator.org/downloads – nicht aus Download-Portalen, die Installer umpacken.
• Ein langes, einmalig verwendetes Passwort. Eine Passphrase aus vier bis fünf Wörtern ist hier praktikabler als ein kurzes Sonderzeichen-Kürzel, das du dir ohnehin nicht merkst.
• Einen Ablageort für den Wiederherstellungsschlüssel, der nicht in derselben Cloud liegt: ausgedruckt im Ordner, im Passwortmanager oder auf einem USB-Stick in der Schublade.
• Ein paar Minuten Ruhe. Bevor du große Datenmengen in den Tresor schiebst, sollte eine aktuelle lokale Sicherung existieren – falls beim ersten Sync etwas schiefläuft, kopierst du dann einfach neu.

Cloud-Backup mit Cryptomator verschlüsseln: Tresor anlegen in 8 Schritten

1. Cryptomator öffnen und links unten auf „+ Tresor hinzufügen“ → „Neuen Tresor erstellen“ klicken.
2. Einen Namen vergeben, zum Beispiel Backup-Tresor. Dieser Name wird der Ordnername im Dateisystem und ist für den Anbieter sichtbar – nenn ihn also nicht „Steuer 2025″.
3. Als Speicherort deinen Cloud-Ordner wählen: über „Eigener Ort“ und „Durchsuchen…“ in den lokalen OneDrive-/Dropbox-/Drive-Ordner navigieren. Das ist der entscheidende Schritt – liegt der Tresor dort, synchronisiert der Cloud-Client ihn automatisch mit.
4. Ein Passwort vergeben und bestätigen. Es gibt keine „Passwort vergessen“-Funktion mit Reset-Mail, keine Hintertür und keinen Support, der dich wieder reinlässt.
5. Den Wiederherstellungsschlüssel anzeigen lassen und sichern. Ohne Passwort und ohne diesen Schlüssel ist der Tresor unwiderruflich verloren. Diesen Schritt nicht wegklicken „und später nachholen“ – später kommt selten.
6. Tresor erstellen lassen und mit dem Passwort entsperren. Cryptomator bindet ihn als virtuelles Laufwerk beziehungsweise Ordner ein. Unter Windows kannst du das Entsperren seit Version 1.17 auch an Windows Hello koppeln – Fingerabdruck, Gesicht oder PIN statt Tipparbeit.
7. Das entsperrte Laufwerk öffnen und deine Backup-Dateien hineinkopieren. Im Cloud-Ordner liegen sie in diesem Moment bereits verschlüsselt; der Sync-Client lädt sie hoch, ohne je Klartext zu sehen. Bei der ersten großen Kopie den Rechner laufen lassen, bis der Client „aktuell“ meldet.
8. Nach getaner Arbeit den Tresor wieder sperren. Im gesperrten Zustand ist nirgends Klartext sichtbar – auch nicht für jemanden, der sich an deinen entsperrten Rechner setzt.

Einen bereits vorhandenen Tresor bindest du übrigens am schnellsten per Doppelklick auf die Datei vault.cryptomator im Tresor-Ordner ein; die App fragt dann direkt nach dem Passwort.

Was die Apps für Android und iOS 2026 kosten

Wer sein Cloud-Backup mit Cryptomator verschlüsseln will, macht das auf dem Smartphone spiegelbildlich: Die App verbindet sich mit demselben Cloud-Konto, du tippst dein Passwort ein und siehst die entschlüsselten Dateien. Das Preismodell hat sich allerdings geändert, und viele ältere Anleitungen nennen noch die alten Zahlen.

• Android: seit Juli 2026 Freemium. Lesender Zugriff ist dauerhaft kostenlos, dazu gibt es 30 Tage Vollversion zum Testen. Schreibzugriff – also Dateien hinzufügen, ändern, verwalten – schaltest du per einmaligem In-App-Kauf oder per Abo frei. Wer die alte Vollversion gekauft hat, behält sie.
• iOS: Download frei mit Lesezugriff, Schreibzugriff per einmaligem In-App-Kauf.
• Preis: regulär 29,99 € für die App-Vollversion beziehungsweise das Supporter-Zertifikat, mit regional angepassten Preisen und gelegentlichen Aktionen (im Juli 2026 lief der Sale bei 14,99 €).
• Desktop: bleibt vollständig kostenlos. Nur der dunkle Modus ist an das freiwillige Supporter-Zertifikat gekoppelt – die Verschlüsselung selbst ist es nie.

Wenn etwas klemmt

Der Cloud-Client meldet Dateikonflikte. Entsperre den Tresor immer nur auf einem Gerät gleichzeitig und warte, bis der Sync durch ist, bevor du ihn am zweiten öffnest. Gleichzeitiges Schreiben von zwei Rechnern erzeugt Konfliktkopien – die sind verschlüsselt nicht mehr per Blick zu sortieren.

„Tresor nicht gefunden“ nach Neuinstallation. Der Tresor ist nur ein Ordner mit den Dateien vault.cryptomator und masterkey.cryptomator sowie dem Verzeichnis d. Nach einem Systemwechsel fügst du ihn über „Vorhandenen Tresor öffnen“ wieder hinzu, sobald der Cloud-Ordner fertig synchronisiert ist. Es geht dabei nichts verloren.

Sehr lange Datei- und Ordnernamen. Überschreitet ein verschlüsselter Name 220 Zeichen, kürzt Cryptomator ihn automatisch und legt ihn als .c9s-Eintrag ab. Stolpert trotzdem ein anderes Tool über zu lange Pfade, hilft ein Cloud-Ordner näher an der Laufwerkswurzel, etwa C:\Cloud statt fünf Ebenen tief im Benutzerprofil.

Der Sync lädt ewig. Normal beim ersten Befüllen: Jede Datei ist neu, also lädt der Client alles hoch. Danach werden nur geänderte Dateien übertragen. Wenn dauerhaft alles neu hochgeladen wird, liegt der Tresor meist doppelt – etwa lokal und in einem zweiten synchronisierten Ordner.

Backup vor dem Experimentieren. Wer mit Tresor-Ordnern hantiert, sie verschiebt oder umbenennt, sollte vorher eine lokale Kopie des Ordners ziehen. Ein halb verschobener Tresor ist ärgerlich, ein halb verschobener Tresor ohne Kopie ist teuer.

Warum du die App aktuell halten solltest

Im März 2026 hat das Cryptomator-Team eine Schwachstelle beim Entsperren Hub-verwalteter Tresore geschlossen: Ein Angreifer mit Schreibzugriff auf die verschlüsselten Daten konnte die App dazu bringen, ein Session-Token an einen fremden Server zu schicken. Gefixt ist das ab Desktop 1.19.1, Android 1.12.3 und iOS 2.8.3 (Herstellermeldung). Normale, lokal angelegte Tresore – also der Fall aus dieser Anleitung – waren nicht betroffen, und die Inhalte blieben durchgehend verschlüsselt.

Die Lehre daraus ist trotzdem allgemeingültig: Verschlüsselungssoftware ist genau so gut wie ihr Patchstand. Aktuell ist Version 1.19.3 auf allen Desktop-Plattformen; die App meldet Updates selbst, und ein Blick ins Menü nach einem größeren Sicherheitshinweis kostet 30 Sekunden.

Wie Cryptomator verschlüsselt (für die Neugierigen)

Jeder Tresor besitzt zwei 256-Bit-Masterkeys – einen zum Verschlüsseln, einen für die Authentifizierung. Dateiinhalte werden in Blöcken von maximal 32 KiB mit AES-GCM verschlüsselt, jeder Block mit eigener Nonce und Authentifizierungs-Tag; davor steht ein 68 Byte großer Dateikopf. Die Datei- und Ordnernamen verschlüsselt AES-SIV, wobei die Verzeichnis-ID mit authentifiziert wird – dadurch fällt es auf, wenn jemand Dateien zwischen Ordnern verschiebt (Dokumentation zur Tresor-Architektur).

Dein Passwort ist dabei nicht der Schlüssel. Aus ihm leitet Cryptomator lokal über scrypt – eine absichtlich langsame, speicherhungrige Funktion – einen Schlüssel ab, der die Masterkeys umschließt. Das macht Brute-Force-Angriffe teuer, weil jeder Rateversuch Rechenzeit und Arbeitsspeicher kostet. Die verpackten Masterkeys liegen in masterkey.cryptomator im Tresor selbst; der Wiederherstellungsschlüssel ist der einzige zweite Weg zu ihnen.

Wer für die IHK-Prüfung lernt, hat hier ein sauberes Lehrbeispiel für das Schutzziel Vertraulichkeit: Der Dienstanbieter speichert die Daten vollständig, kann sie aber zu keinem Zeitpunkt lesen. Und weil AES-GCM und AES-SIV zusätzlich authentifizieren, deckt der Aufbau gleich das Schutzziel Integrität mit ab – manipulierte Blöcke fallen beim Entschlüsseln auf, statt still durchzurutschen.

Häufige Fragen

Ist Cryptomator kostenlos?

Die Desktop-Versionen für Windows, macOS und Linux sind kostenlos und quelloffen (GPL). Nur der dunkle Modus hängt am freiwilligen Supporter-Zertifikat. Bei den Mobil-Apps ist der Lesezugriff gratis, der Schreibzugriff kostet regulär 29,99 Euro.

Was passiert, wenn ich mein Tresor-Passwort vergesse?

Dann kommst du nur noch mit dem Wiederherstellungsschlüssel an die Daten, den du beim Anlegen des Tresors gesichert hast. Fehlen beide, sind die Dateien unwiderruflich verloren – es gibt keine Reset-Funktion und keine Hintertür.

Mit welchen Cloud-Diensten funktioniert Cryptomator?

Mit jedem Dienst, der einen lokalen Sync-Ordner anbietet: Dropbox, OneDrive, Google Drive, pCloud und weitere, dazu WebDAV und S3. Der Tresor liegt einfach in diesem Ordner und wird automatisch mitsynchronisiert.

Kann der Cloud-Anbieter meine Daten lesen?

Nein. Die Verschlüsselung passiert clientseitig auf deinem Gerät, bevor die Dateien hochgeladen werden. Der Anbieter sieht nur verschlüsselte Inhalte und verschlüsselte Dateinamen und besitzt den Schlüssel nie.

Ersetzt ein Cryptomator-Tresor ein Backup?

Nein. Der Tresor schützt die Vertraulichkeit, nicht vor Löschung: Was du im entsperrten Tresor löschst, ist nach dem Sync auch in der Cloud weg. Plane weiter nach 3-2-1 mit einer zusätzlichen lokalen Sicherung.