Help, er staat een Mac op mijn netwerk (10): de FileVault-sleutel die niemand heeft

Aflevering 10 van de serie Help, er staat een Mac op mijn netwerk.

Wat er gebeurde

Maandagochtend, eerste dag na de zomervakantie. Henk van sales staat bij het bureau van Ruud. Bruin, uitgerust, en met een MacBook Pro onder zijn arm die hij vasthoudt als een zieke kat.

“Hij wil mijn wachtwoord niet.”

“Welk wachtwoord heb je geprobeerd?”

“Allemaal. Ook die van de wifi in het hotel.”

Ruud zet zijn mok neer. Op de mok staat “Have you tried turning it off and on again?”, en dat had Henk inmiddels ook al drie keer gedaan. Het verhaal komt er in stukjes uit. Henk had de Mac in het voorjaar zelf gekocht en ingericht, “want dat kan ik zelf wel”, en hem pas een paar weken later via de Bedrijfsportal in Intune gezet. Drie weken Kreta later is het wachtwoord dat hij toen verzon verdwenen. Net als zijn zonnebrand, die ligt nog in de hotelkamer.

Ruud doet wat twintig jaar Windows hem geleerd heeft. Entra-beheercentrum open, apparaat opzoeken, door naar de BitLocker-sleutels. Niets. “In Windows zat dat gewoon onder het apparaat in Entra…”

Sam kijkt over Ruuds schouder mee. “Mag ik even? FileVault-sleutels staan niet in Entra, die staan in Intune. Maar als Henk FileVault zelf heeft aangezet voordat de Mac werd ingeschreven, heeft Intune die sleutel nooit gekregen.” Een paar klikken later staat het er: versleuteld, ja. Herstelsleutel: geen.

“Henk, heb je je iPhone bij je? Nieuwere macOS-versies bewaren de herstelsleutel ook in je sleutelhanger. Dan staat hij misschien in de Wachtwoorden-app.” Henk kijkt schuldig. iCloud-sleutelhanger staat uit. “Ik vertrouw die cloud niet.” Op dezelfde iPhone staan 4.000 vakantiefoto’s in iCloud.

Ruud kijkt naar de Mac, dan naar Henk, dan naar zijn ingelijste Windows 2000-certificaat aan de muur. Alsof dat raad weet.

Wat er echt aan de hand is

Eerst het goede nieuws, voor de beveiliging dan. Op een Mac met Apple silicon is de interne opslag altijd versleuteld, ook als FileVault uit staat. De sleutel wordt dan alleen door de hardware beschermd, in de Secure Enclave. Zet je FileVault aan, dan wordt die sleutel extra beschermd met het wachtwoord van de gebruiker. Daarom is FileVault aanzetten op een moderne Mac binnen een paar tellen klaar. Er hoeft niets meer versleuteld te worden, er komt alleen een slot bij.

Het slechte nieuws is precies hetzelfde verhaal. Zonder wachtwoord of herstelsleutel kom je er niet in. Apple heeft geen achterdeur, en de oude truc met de schijf in een andere Mac hangen bestaat niet meer: de SSD zit vast op het moederbord en target disk mode wordt op Apple silicon niet meer ondersteund.

Er zijn drie manieren om een vergeten wachtwoord te omzeilen:

• Persoonlijke herstelsleutel (PRK). Een code van 24 letters en cijfers die ontstaat als FileVault aangaat. De gebruiker ziet hem een keer. Volgens Apple bewaart macOS hem ook in de sleutelhanger, dus met iCloud-sleutelhanger aan staat hij in de Wachtwoorden-app. Bij Henk dus niet.
• Herstel via Apple Account. Bij het instellen kun je kiezen dat je Apple Account het wachtwoord mag herstellen. Thuis prima. Voor een bedrijf betekent het dat je bedrijfsdata afhangt van iemands privéaccount.
• Institutionele herstelsleutel (IRK). Een certificaat voor alle Macs tegelijk. Klinkt als de oplossing voor beheerders, maar Apple zegt het zelf: op Apple silicon heeft een IRK geen praktische waarde, omdat je hem niet in recoveryOS kunt gebruiken. Apple raadt hem niet meer aan.

Wat je als organisatie wilt, is de persoonlijke herstelsleutel opgeslagen in je MDM. Dat heet escrow, en het is precies hetzelfde idee als de BitLocker-sleutel in Entra. Intune bewaart de sleutel, kan hem periodiek vervangen, een beheerder kan hem opvragen en de gebruiker kan hem zelf ophalen via de Bedrijfsportal-website.

Waarom ging het bij Henk mis? Intune slaat een sleutel op als een Intune-beleid FileVault aanzet, of als de gebruiker de sleutel van een zelf versleutelde Mac uploadt. Henk deed geen van beide. Het beleid kwam binnen, zag dat FileVault al aan stond, en daar bleef het bij.

En Platform SSO? Dat redt je hier niet automatisch. Met de Secure Enclave-methode blijft het lokale wachtwoord los van Entra, dus een wachtwoordreset in Entra verandert niets aan het FileVault-slot. Met de methode Wachtwoord is het Entra-wachtwoord wel het lokale wachtwoord, maar volgens Microsoft werkt een nieuw Entra-wachtwoord bij het FileVault-opstartscherm pas vanaf macOS 15. En let op: als je het wachtwoord reset met een herstelsleutel, gaan de Platform SSO-sleutels in de Secure Enclave verloren en moet de Mac opnieuw registreren. Vervelend, maar te overzien.

Zo los je het op

Voor Henk: als er echt geen sleutel is

1. Zoek eerst overal. Intune (apparaat, Monitor, Recovery keys), de Bedrijfsportal-website, de Wachtwoorden-app op elk apparaat met hetzelfde Apple Account, en het papiertje in de bureaula. Probeer op het inlogscherm een paar keer een fout wachtwoord: als herstel via Apple Account aan stond, biedt de Mac dat nu aan.
2. Niets gevonden? Dan is de data weg. Niet lastig, niet duur, gewoon weg. Hoe eerder iedereen dat accepteert, hoe sneller Henk weer kan werken.
3. Kijk wat elders veilig staat. Dit was het moment van Sam. Terwijl Ruud nog naar de muur keek, had Sam in het OneDrive-overzicht al gezien dat Henks Bureaublad en Documenten via OneDrive-mapback-up meeliepen. Mail staat in Exchange, offertes in SharePoint. Verloren: een map Downloads vol pdf’s en een playlist die “Kreta 2026” heette.
4. Wis de Mac. Zet hem uit, houd de aan/uit-knop ingedrukt tot je Opties ziet en start Herstel. Kom je niet verder omdat er geen wachtwoord is, kies dan in het menu Herstelassistent voor Wis Mac. Installeer daarna macOS opnieuw vanuit Herstel.
5. Denk aan Activeringsslot. Stond Zoek mijn aan met Henks privé Apple Account, dan vraagt de Mac na het wissen om dat account. Dat wachtwoord kent Henk gelukkig wel, dat staat op zijn iPhone. Je kunt de Mac ook vooraf verwijderen via Zoek apparaten op iCloud.com. Weet niemand het, dan rest alleen Apple Support met een aankoopbewijs. Precies daarom wil je dat bedrijfs-Macs via Apple Business binnenkomen en niet aan iemands privéaccount hangen.
6. Schrijf de Mac opnieuw in, nu met een FileVault-beleid dat vanaf dag een de sleutel opslaat.

Voor de rest: zorg dat er altijd een sleutel is

1. Maak een FileVault-beleid. In Intune: Endpoint security, Disk encryption, Create Policy, platform macOS, profiel macOS FileVault. Zet Enable aan en Use Recovery Key op Enabled. Vul bij Location een zin in als “Je herstelsleutel vind je op portal.manage.microsoft.com onder Apparaten”. Stel Recovery Key Rotation In Months in, bijvoorbeeld op 6.
2. Nieuwe Macs via Apple Business: met de instellingencatalogus kun je FileVault al in de Configuratieassistent afdwingen (Force Enable in Setup Assistant, met Defer op Enabled en Await final configuration in je inschrijvingsprofiel). Werkt vanaf macOS 14.
3. Bestaande Macs zoals die van Henk moet Intune overnemen. Optie een: de gebruiker gaat naar de Bedrijfsportal-website, kiest de Mac en Store recovery key, vult de huidige sleutel in, en Intune controleert en vervangt hem. Optie twee: de gebruiker draait in Terminal sudo fdesetup changerecovery -personal, krijgt een nieuwe sleutel en Intune pakt die bij de volgende synchronisatie op.
4. Zet het eigendom op Bedrijf. Een Mac die via de Bedrijfsportal binnenkomt, staat vaak als Persoonlijk. Van persoonlijke apparaten mag je als beheerder de sleutel niet inzien.
5. Controleer het. Kijk in het versleutelingsrapport onder Devices, Monitor. Open per Mac de herstelsleutel (dat wordt gelogd, prima). Laat een gebruiker de sleutel een keer ophalen via de Bedrijfsportal, en test hem op de Mac met sudo fdesetup validaterecovery.
6. Maak het verplicht met een nalevingsbeleid dat versleuteling vereist.

De les van Ruud

Een sleutel die alleen in iemands hoofd zit, is geen sleutel maar een gok. En hoofden gaan op vakantie. Ruud heeft die middag het FileVault-beleid aangezet, alle Macs nagelopen en een briefje op zijn monitor geplakt: “Entra is voor BitLocker. Intune is voor FileVault. Henk is voor sales.”

Meer lezen: Apple Business, Entra ID en Intune en Mac in een Windows-netwerk.

Dit is aflevering 10 van Help, er staat een Mac op mijn netwerk. Hulp nodig bij Macs in je organisatie? Mail naar frank@analystict.nl.