BitLocker und Geräteverschlüsselung

Nach einem BIOS-Update begrüßt dich der PC mit einem blauen Bildschirm und will eine 48-stellige Zahl. Weißt du, wo sie liegt, ist das Problem in zwei Minuten gelöst. Wenn nicht, kann es alles auf dem Laufwerk kosten.

Kurz gesagt

BitLocker ist die in Windows eingebaute Laufwerksverschlüsselung. Sie verschlüsselt Volumes mit AES im XTS- oder CBC-Modus und Schlüsseln von 128 oder 256 Bit [1]. Mit einem TPM stellt BitLocker sicher, dass das Gerät im ausgeschalteten Zustand nicht manipuliert wurde [2]. Die Geräteverschlüsselung ist eine vereinfachte Form, die BitLocker auf geeigneten Geräten automatisch einschaltet [2]. Warum will Windows den BitLocker-Wiederherstellungsschlüssel? Weil BitLocker eine Änderung bemerkt hat, die es nicht prüfen kann, etwa an Firmware oder Hardware; dann öffnet nur noch der 48-stellige Wiederherstellungsschlüssel das Laufwerk [3][4]. Unsere Einschätzung: Bevor du Firmware, Hardware oder Partitionen anfasst, solltest du wissen, wo dein Wiederherstellungsschlüssel liegt.

So funktioniert’s

1. Das TPM als Türsteher. Den größten Schutz bietet BitLocker mit einem Trusted Platform Module, das gemeinsam mit BitLocker sicherstellt, dass das Gerät im ausgeschalteten Zustand nicht manipuliert wurde [2].
2. Geräteverschlüsselung. Die Geräteverschlüsselung schaltet BitLocker auf manchen Geräten automatisch ein und verschlüsselt das Betriebssystemlaufwerk und feste Laufwerke, aber keine USB-Laufwerke [2]. Seit Windows 11, Version 24H2, entfallen die früheren Voraussetzungen DMA und HSTI/Modern Standby, sodass mehr Geräte infrage kommen [2]. Laut Microsoft gibt es die Geräteverschlüsselung in allen Windows-Versionen, das volle BitLocker lässt sich in Pro, Enterprise, Pro Education/SE und Education einschalten [2].
3. Wohin der Schlüssel geht. Bei der Geräteverschlüsselung lädt ein Administrator, der sich mit einem Microsoft-Konto anmeldet, den Wiederherstellungsschlüssel in dieses Konto hoch; bei Geräten in Microsoft Entra ID oder Active Directory wird er dort gesichert [2]. Ein Gerät nur mit lokalen Konten bleibt ungeschützt, obwohl die Daten verschlüsselt sind [2]. Schaltest du BitLocker selbst ein, wählst du den Speicherort für den Schlüssel [5].
4. Was die Wiederherstellung auslöst. Microsoft nennt unter anderem eine geänderte Startreihenfolge im BIOS, ein- oder ausgebaute Hardware, den Umzug des Laufwerks in einen anderen Rechner, ein ausgeschaltetes, deaktiviertes oder gelöschtes TPM sowie Änderungen an Firmware, Start-Manager oder Startkonfigurationsdaten [3].
5. Die 48 Ziffern. Das Wiederherstellungskennwort besteht aus 48 Ziffern in acht Gruppen. Du gibst es mit den Funktionstasten ein, weil die Zifferntasten vor dem Windows-Start nicht auf jeder Tastatur funktionieren [3].
6. Anhalten statt hoffen. Firmware-Updates, die nicht über Windows Update kommen, können den PC beim nächsten Neustart in die Wiederherstellung schicken, wenn du BitLocker nicht vorher anhältst; das gilt, wenn BitLocker Secure Boot nicht zur Integritätsprüfung nutzt, was manage-bde -protectors -get anzeigt [3]. Während BitLocker angehalten ist, bleiben die Daten verschlüsselt, der Schlüssel ist aber nur durch einen unverschlüsselt auf dem Laufwerk abgelegten Schlüssel (Clear Key) geschützt, bis der Schutz wieder läuft [3].
7. Keine Hintertür. Der Microsoft-Support kann einen verlorenen Wiederherstellungsschlüssel weder abrufen noch bereitstellen oder neu erzeugen. Ohne ihn musst du das Gerät zurücksetzen, und dabei werden alle deine Dateien entfernt [4].

Ein Praxisbeispiel

Vor einem BIOS-Update prüfst du in einer Eingabeaufforderung mit Administratorrechten, welche Schutzvorrichtungen das Systemlaufwerk hat:

manage-bde -protectors -get C:

Die Liste zeigt die Schlüsselschutzvorrichtungen, darunter das numerische Kennwort, also den Wiederherstellungsschlüssel [7]. In der PowerShell zeigt (Get-BitLockerVolume -MountPoint C).KeyProtector dieselben Einträge [6]. Danach prüfst du von einem anderen Gerät unter aka.ms/myrecoverykey, ob dein Microsoft-Konto einen Schlüssel enthält [4], und hältst BitLocker an, bevor du die Firmware aktualisierst [3]. Das ist ein allgemeiner Ablauf und kein Protokoll von unserem eigenen PC.

Prüfliste

• Prüfe, ob deine Laufwerke verschlüsselt sind, bevor du Firmware, Hardware oder Partitionen änderst [3].
• Such deinen Wiederherstellungsschlüssel jetzt, unter aka.ms/myrecoverykey, auf einem Ausdruck oder einem USB-Stick, und nicht erst, wenn der blaue Bildschirm erscheint [4].
• Bewahre eine Kopie des Schlüssels außerhalb des verschlüsselten PCs auf [4].
• Halte BitLocker vor Firmware-Updates an, die nicht über Windows Update kommen [3].
• Melde dich mit einem Microsoft- oder Arbeitskonto an, wenn du dich auf die Geräteverschlüsselung verlässt, denn mit nur lokalen Konten bleibt das Laufwerk ungeschützt [2].