BitLocker-Praxisleitfaden — Laufwerksverschlüsselung, die mit der Verwaltung des Wiederherstellungsschlüssels beginnt

„Nach dem Zurücksetzen des PCs erschien beim nächsten Start ein noch nie gesehener blauer Bildschirm, der nach einem 48-stelligen Schlüssel fragte.“ „Wir haben nur das BIOS aktualisiert, und schon kam der Bildschirm für den Wiederherstellungsschlüssel – so einen Schlüssel hat uns niemand gegeben.“ „Beim neuen PC habe ich gesehen, dass ‚Geräteverschlüsselung‘ von selbst aktiv ist. Das dürfte die Fachanwendungen ausbremsen – können wir das einfach abschalten?“ – Anfragen dieser Art von Kunden haben sich im letzten Jahr spürbar gehäuft.

Der Hintergrund ist eindeutig. Seit Windows 11 Version 24H2 läuft bei einer sauber installierten PC standardmäßig die „Geräteverschlüsselung“ (die automatische Aktivierung von BitLocker). Auch die Hardwarevoraussetzungen wurden gelockert, sodass sich der Kreis der betroffenen PCs deutlich erweitert hat. Mit anderen Worten: BitLocker ist längst nicht mehr „etwas, das große Unternehmen bewusst einführen“, sondern „etwas, das auch bei KMU-PCs kommentarlos mit einzieht“. In dieser Lage ist die einzige Lebensader der Wiederherstellungsschlüssel – und der gefährlichste Zustand ist der, in dem die Verschlüsselung voranschreitet, während dieser Schlüssel unter niemandes Kontrolle steht.

Dieser Artikel richtet sich an IT-Verantwortliche und Geschäftsführung von KMU sowie an Entwickler, die Fachanwendungen oder Anlagen-PCs betreuen, und stellt BitLocker nicht als „etwas zum Abschalten“, sondern als „etwas, das man beherrschen sollte“ dar. Gestützt auf Primärquellen wie Microsoft Learn (Stand August 2026) behandelt er die Unterschiede zwischen den Editionen, das Mindestmaß an Funktionsweise rund um TPM und Schlüssel, eine Entscheidungstabelle für den Speicherort des Wiederherstellungsschlüssels, die Aktivierung und den Betrieb im Unternehmen, den Umgang mit Vorfällen und schließlich den Zusammenhang mit der Entsorgung.

1. Zuerst das Ergebnis

• BitLocker ist eine Windows-Funktion, die ein ganzes Laufwerk verschlüsselt und so Datenabfluss durch Verlust, Diebstahl oder unsachgemäße Entsorgung verhindert. Auch gegen einen Angriff, bei dem die Festplatte ausgebaut und in einen anderen PC eingebaut wird, lassen sich die Daten bei Verschlüsselung nicht lesen.¹
• Das voll ausgestattete BitLocker lässt sich nur auf Pro/Enterprise/Pro Education/Education aktivieren. Die vereinfachte Variante, die „Geräteverschlüsselung“, steht auf allen Editionen einschließlich Home zur Verfügung.¹
• Ab Windows 11 24H2 wurden die Voraussetzungen für die automatische Geräteverschlüsselung gelockert. Die Anforderungen HSTI/Modern Standby und „keine nicht autorisierten DMA-Schnittstellen“ wurden abgeschafft; bei Abschluss der OOBE (Ersteinrichtung) nach einer sauberen Installation initialisiert sich die Verschlüsselung nun standardmäßig auf vielen PCs, die TPM und UEFI Secure Boot erfüllen.²
• Das „Starten“ der Verschlüsselung und das „Aktivieren“ des Schutzes sind zwei verschiedene Dinge. Der Schutz wird erst aktiviert (scharfgeschaltet), sobald die Sicherung des Wiederherstellungsschlüssels bei einem Microsoft-Konto, Entra ID oder (mit konfigurierter Wiederherstellungsrichtlinie) AD DS erfolgreich war. Ein PC, der ausschließlich ein lokales Konto nutzt und nirgendwo sichern kann, bleibt trotz Verschlüsselung ungeschützt.¹²
• Für den Speicherort des Wiederherstellungsschlüssels (das 48-stellige Wiederherstellungskennwort) gibt es faktisch vier Optionen: Entra ID / AD DS / Microsoft-Konto / Ausdruck bzw. Datei. Der Standardablauf lautet: bei Entra-ID-Beitritt nach Entra ID, bei AD-Domänenbeitritt nach AD DS, andernfalls in das Microsoft-Konto des Administrators.¹³
• Der Wiederherstellungsschlüssel wird nicht nur im Störfall verlangt. Firmware-Updates, Änderungen der Secure-Boot-Konfiguration, das Löschen des TPM, ein Mainboard-Tausch, der Wechsel des Laufwerks – jede Veränderung der Startumgebung kann das auslösen. Vor geplanten Arbeiten ist das vorübergehende Aussetzen (Suspend) des Schutzes die Standardpraxis.³
• Die Standard-Verschlüsselungsmethode ist XTS-AES 128 Bit. Um die Methode nachträglich zu ändern, ist Entschlüsseln und erneutes Verschlüsseln nötig, daher lohnt es sich, das gleich beim ersten Mal endgültig festzulegen. Bei einem neuen Laufwerk lässt sich mit „nur belegten Speicherplatz verschlüsseln“ die anfängliche Verschlüsselungszeit deutlich verkürzen.⁴⁵
• Wird nach dem Wiederherstellungsschlüssel gefragt und lässt er sich nicht vorweisen, bleibt für die Daten des PCs nur das Aufgeben. Auch der Microsoft-Support kann einen verlorenen Schlüssel nicht wiederbeschaffen. Genau deshalb lautet das Thema dieses Artikels nicht „ob verschlüsselt werden soll“, sondern „wo der Wiederherstellungsschlüssel gespeichert wird und wer ihn abrufen kann“.⁶

2. Der Unterschied zwischen BitLocker und Geräteverschlüsselung — was pro Edition verfügbar ist

Zunächst zur Begrifflichkeit. „BitLocker“ und „Geräteverschlüsselung“ sind zwei Gesichter derselben Verschlüsselungstechnik.

• BitLocker (voll ausgestattet): Pro Laufwerk aktiviert, mit Authentifizierungsmethoden wie TPM+PIN und Startupschlüssel, Steuerung über Gruppenrichtlinie/Intune sowie Verwaltung über manage-bde.exe oder PowerShell – die administratorseitige Erscheinungsform.
• Geräteverschlüsselung (Device Encryption): Ein Mechanismus, der BitLocker auf PCs, die die Voraussetzungen erfüllen, automatisch aktiviert. In der Einstellungen-App erscheint ein Schalter „Geräteverschlüsselung“, der nur das Betriebssystemlaufwerk und interne feste Laufwerke verschlüsselt (externe/USB-Laufwerke sind ausgenommen).¹

Die Unterstützung nach Edition sieht wie folgt aus.¹

Was sich mit Windows 11 24H2 geändert hat

Die automatische Geräteverschlüsselung gab es schon vorher, doch sie richtete sich vor allem an relativ neue mobile PCs, die Bedingungen wie „Modern Standby oder HSTI-konform“ und „keine von außen per DMA erreichbaren Anschlüsse“ erfüllten. Mit Windows 11 Version 24H2 wurden diese beiden Anforderungen abgeschafft, sodass als zentrale verbleibende Bedingungen im Wesentlichen „TPM (1.2 oder 2.0) vorhanden“ und „UEFI Secure Boot aktiviert“ übrig bleiben. Auch die Praxis, dass OEMs nicht autorisierte DMA-Busse in der Registrierung (AllowedBuses) eintragen, ist damit hinfällig; dieser Schlüssel selbst wird ab 24H2 ignoriert. Diese Lockerung der Voraussetzungen gilt allerdings nicht für Windows-IoT-Editionen.²

Als Ergebnis initialisiert sich die Verschlüsselung nun standardmäßig auch auf ganz gewöhnlichen Desktop-PCs, sobald nach einer sauberen Installation (einschließlich Zurücksetzen/Neueinrichtung) die OOBE abgeschlossen wird. Wichtig ist hier die Unterscheidung zwischen „Initialisierung“ und „Aktivierung des Schutzes“.

• Zum Zeitpunkt des OOBE-Abschlusses ist das Laufwerk mit einem Clear Key (einem ungeschützten temporären Schlüssel) verschlüsselt. Der Explorer zeigt ein Warnsymbol.¹
• Erst wenn die Anmeldung mit einem Microsoft-Konto oder einem Entra-ID-Konto erfolgreich ist – oder bei einem domänenverbundenen PC die Sicherung bei (richtlinienkonfiguriertem) AD DS gelingt –, wird ein TPM-Schutz erstellt und der Clear Key entfernt. Erst dann ist der Schutz aktiv.¹²
• Ein PC, der nur mit einem lokalen Konto genutzt wird, bleibt trotz Verschlüsselung ungeschützt.¹

Dieser Ablauf lässt sich wie folgt darstellen.

flowchart TB
    A["Saubere Installation / Zurücksetzen<br/>(Windows 11 24H2 oder neuer)"] --> B{"Werden Voraussetzungen wie<br/>TPM + UEFI Secure Boot erfüllt?"}
    B -- "Nicht erfüllt" --> Z["Keine Verschlüsselung"]
    B -- "Erfüllt" --> C["Verschlüsselung wird bei OOBE-Abschluss initialisiert<br/>(Clear Key = ungeschützter temporärer Schlüssel)"]
    C --> D{"Wohin wird der<br/>Wiederherstellungsschlüssel gesichert?"}
    D -- "Microsoft-Konto / Entra ID /<br/>AD DS (Richtlinie konfiguriert)" --> E["Sicherung des Wiederherstellungsschlüssels erfolgreich"]
    E --> F["TPM-Schutz erstellt, Clear Key entfernt<br/>= Schutz wird aktiviert (scharfgeschaltet)"]
    D -- "Nur lokales Konto<br/>(kein Sicherungsziel)" --> G["Bleibt verschlüsselt, Schutz jedoch inaktiv<br/>(Warnsymbol wird angezeigt)"]

Genau dieser Mechanismus steckt hinter „plötzlich war alles verschlüsselt“. Organisationen, die im Zuge des Support-Endes von Windows 10 auf Windows-11-PCs umstellen (Entscheidung zum Support-Ende von Windows 10), müssen die Verwaltung des Wiederherstellungsschlüssels in die Kitting-Prozedur einbauen, unter der Annahme, dass neue PCs von Anfang an in diesem Zustand ankommen.

Ob das eigene Gerät betroffen ist, lässt sich prüfen, indem Sie die Systeminformationen (msinfo32.exe) als Administrator öffnen und die Zeile „Unterstützung der Geräteverschlüsselung“ betrachten. „Erfüllt die Voraussetzungen“ bedeutet, dass das Gerät infrage kommt.¹

3. Das Mindestmaß an Funktionsweise — TPM und der Schlüssel

Was den BitLocker-Schlüssel schützt, ist das TPM (Trusted Platform Module). Die Aufgabe des TPM ist es, zu bestätigen, dass das Gerät nicht manipuliert wurde, während das Betriebssystem offline war, und den Verschlüsselungsschlüssel nur freizugeben, wenn die Startprüfung bestanden wird. Genau das ermöglicht, dass beides zugleich gilt: Ein reguläres Windows startet, ohne dass der Nutzer irgendetwas eingeben muss, während eine lediglich ausgebaute Festplatte nicht gelesen werden kann.¹ Die Funktionsweise des TPM selbst (die Struktur, die Schlüssel nie herausgibt, PCRs, Measured Boot) wird bebildert in „Was ist das TPM in Windows?“ erklärt.

Was bei jedem Start geschieht, lässt sich so darstellen.

flowchart TB
    ON["Einschalten"] --> M["TPM misst die Startumgebung<br/>(Firmware, Boot-Konfiguration usw.)"]
    M --> Q{"Stimmt das Messergebnis<br/>mit dem gewohnten überein?"}
    Q -- "Stimmt überein" --> UN["TPM gibt den Verschlüsselungsschlüssel frei"]
    UN --> BOOT["Normaler Start<br/>(Nutzer gibt nichts ein)"]
    Q -- "Weicht ab" --> REC["Wiederherstellungsmodus<br/>der 48-stellige Wiederherstellungsschlüssel wird verlangt"]
    REC --> K1["Bei Eingabe des Wiederherstellungsschlüssels: Start"]
    REC --> K2["Ohne Eingabemöglichkeit:<br/>Daten nicht abrufbar"]

Zusätzlich zum TPM lässt sich auch eine mehrstufige Konfiguration wählen, bei der beim Start zwingend eine PIN eingegeben oder ein Startupschlüssel (eine Schlüsseldatei auf einem USB-Stick) eingesteckt werden muss. Auch ein PC ohne TPM kann das Betriebssystemlaufwerk über die Startupschlüssel-Methode verschlüsseln, doch die Kennwort-Methode besitzt keinen Sperrmechanismus und ist anfällig für Brute-Force-Angriffe, weshalb sie standardmäßig deaktiviert ist.¹

Wann wird der Wiederherstellungsschlüssel verlangt?

Da das TPM prüft, „ob die Startumgebung wie gewohnt ist“, gerät auch der rechtmäßige Besitzer in den Wiederherstellungsmodus, wenn sich die Umgebung ändert. Die von Microsoft genannten typischen Auslöser sind:³

• Aktualisierung früher Boot-Komponenten, etwa ein BIOS-/UEFI-Firmware-Update
• Das TPM wurde ausgeschaltet, deaktiviert oder gelöscht, oder ein TPM-Selbsttest ist fehlgeschlagen
• Eine Änderung der vom TPM-Prüfprofil genutzten PCR (Platform Configuration Register) – hier wirkt sich auch eine Änderung der Secure-Boot-Einstellung aus
• Ein Mainboard-Tausch (Wechsel zu einem neuen TPM)
• Ein BitLocker-geschütztes Laufwerk wurde in einen anderen PC eingebaut
• An-/Abdocken einer Dockingstation, Änderung der NTFS-Partitionstabelle, Änderung des Boot-Managers, PXE-Boot
• Wiederholte Fehleingaben der PIN, oder (bei TPM-1.2-Geräten) eine Änderung der Startgerätereihenfolge

Mit anderen Worten: „Nach dem BIOS-Update wurde der Wiederherstellungsschlüssel verlangt“ ist weder ein Defekt noch ein Angriff, sondern Verhalten wie vorgesehen. Vor geplanten Arbeiten (Firmware-Update oder Hardware-Tausch) den Schutz vorübergehend auszusetzen (Suspend) ist die Standardpraxis; auch während der Aussetzung bleibt das Laufwerk verschlüsselt, und nach der Arbeit lässt sich der Betrieb ohne Eingabe des Wiederherstellungsschlüssels fortsetzen. Standardmäßig wird der Schutz bei einem Neustart automatisch wieder aktiviert (die Anzahl der Neustarts lässt sich auch angeben).³

# Vor dem Firmware-Update aussetzen. Da standardmäßig der Schutz nach einem
# einzigen Neustart automatisch wieder aktiviert wird, kann bei Updates mit
# mehreren Neustarts der zweite und jeder weitere Neustart am
# Wiederherstellungsbildschirm hängen bleiben.
# -RebootCount 0 unterbindet die automatische Wiederaufnahme; die Wiederaufnahme
# nach Abschluss der Arbeit wird stattdessen fest in die Prozedur eingebaut
Suspend-BitLocker -MountPoint C: -RebootCount 0
# Nach der Arbeit unbedingt wieder aufnehmen (da -RebootCount 0 keine automatische
# Wiederaufnahme auslöst, ist dieser Schritt zwingend)
Resume-BitLocker -MountPoint C:

Zur Terminologie: Die technische Dokumentation unterscheidet zwischen dem „Wiederherstellungskennwort“, der 48-stelligen Zahl, und dem „Wiederherstellungsschlüssel“, der auf einem USB-Stick gespeicherten .bek-Datei,³ doch die verbrauchernahen Bildschirme wie auch dieser Artikel folgen der weit verbreiteten Konvention, die 48-stellige Zahl als „Wiederherstellungsschlüssel“ zu bezeichnen.

4. Entscheidungstabelle für den Speicherort des Wiederherstellungsschlüssels — wie zwischen den vier Optionen wählen

Das ist der Kern dieses Artikels. Für den Speicherort des Wiederherstellungsschlüssels gibt es faktisch vier Optionen, und die Wahl ergibt sich fast automatisch aus der Anmeldeform des PCs. Zunächst die Entscheidungstabelle.

Bei hybrid eingebundenen Geräten (sowohl AD als auch Entra ID) wird das Wiederherstellungskennwort in beiden gesichert.⁴

Als Organisation sind drei Punkte zu beachten.

1. Legen Sie einen einzigen „Speicherort für das Unternehmen“ fest. Ist der Entra-ID-Beitritt weit fortgeschritten, ist das Entra ID; bei lokalem AD ist es AD DS. Ein Zustand, in dem der Wiederherstellungsschlüssel eines Firmen-PCs nur im persönlichen Microsoft-Konto eines Mitarbeiters liegt, bricht bei dessen Ausscheiden oder Versetzung sofort zusammen.
2. Gehen Sie nicht davon aus, dass AD DS „automatisch mitläuft“. Die Sicherung nach AD DS setzt eine Richtlinienkonfiguration voraus (siehe unten). Zudem behält Active Directory den Verlauf der Wiederherstellungskennwörter dauerhaft bei; alte Schlüssel werden nicht automatisch gelöscht, solange das Computerobjekt nicht entfernt wird.³
3. Wenn Sie sich für Dateispeicherung entscheiden, seien Sie beim Speicherort streng. Die Datei mit dem Wiederherstellungsschlüssel muss an einem anderen Ort als dem PC selbst gespeichert werden, etwa in einem Netzwerkordner.⁵ Wer den Wiederherstellungsschlüssel besitzt, hat Zugriff auf alle Daten des Laufwerks; eine vom geschützten PC getrennte Aufbewahrung und eine kontrollierte Zugriffsvergabe sind daher unverzichtbar.³

Feststellen, wie es um den eigenen PC gerade steht

Führen Sie in einem Terminal mit Administratorrechten eines der folgenden aus.⁵

# PowerShell: Verschlüsselungsstatus und Art der Schutzvorrichtungen prüfen
Get-BitLockerVolume C: | Format-List
# Wiederherstellungskennwort (48-stellig) und dessen ID prüfen
(Get-BitLockerVolume -MountPoint C).KeyProtector

:: Eingabeaufforderung: Status prüfen
manage-bde -status
:: Liste der Schutzvorrichtungen (TPM, Wiederherstellungskennwort usw.) und der 48-stellige Wert
manage-bde -protectors -get C:

In der Ausgabe von manage-bde -protectors -get C: erscheint der 48-stellige Wiederherstellungsschlüssel als „Numerisches Kennwort“ (Numerical Password); die ersten acht Stellen der ebenfalls angezeigten ID dienen auf dem Wiederherstellungsbildschirm als Anhaltspunkt, um abzugleichen, „welcher Schlüssel es ist“.⁶

Das Wiederherstellungskennwort eines bereits verschlüsselten PCs lässt sich auch nachträglich nach Entra ID oder AD DS sichern.⁵

# Zunächst die ID des Wiederherstellungskennworts ermitteln, dann ausführen
# Sicherung nach Entra ID
BackupToAAD-BitLockerKeyProtector -MountPoint C: -KeyProtectorId "{ID}"
# Sicherung nach AD DS
Backup-BitLockerKeyProtector -MountPoint C: -KeyProtectorId "{ID}"

:: Mit manage-bde
manage-bde -protectors -aadbackup C: -id {ID}
manage-bde -protectors -adbackup C: -id {ID}

Die Bestandsaufnahme, „ob der Wiederherstellungsschlüssel aller PCs im Speicherort des Unternehmens liegt“, ist – wie die von der IPA-Leitlinie für KMU beschriebenen grundlegenden Maßnahmen zur Informationssicherheit – keine einmalige Angelegenheit, sondern gehört auf ein laufend geführtes Verzeichnis („Wo sollten KMU bei der Sicherheit anfangen?“).

5. Aktivierung und Betrieb im Unternehmen — Richtlinie, Befehle, Verschlüsselungsmethode

5.1. Per Richtlinie die „Aktivierung ohne Wiederherstellungsschlüssel“ untersagen

Die BitLocker-Einstellungen lassen sich sowohl über Gruppenrichtlinie (GPO) als auch über MDM (die BitLocker-CSP, etwa in Intune) konfigurieren.⁴ Aus Sicht der Verwaltung des Wiederherstellungsschlüssels ist die wichtigste Richtlinie „Wiederherstellungsmethode für vom BitLocker geschützte Betriebssystemlaufwerke auswählen“. Hier konfigurieren Sie Folgendes.⁴³

• Wiederherstellungsinformationen in AD DS speichern (nur das Wiederherstellungskennwort oder einschließlich des Schlüsselpakets)
• „BitLocker erst aktivieren, wenn die Wiederherstellungsinformationen in AD DS gespeichert sind“ aktivieren – der Dreh- und Angelpunkt der Unfallvermeidung: Ohne erfolgreiche Sicherung darf die Verschlüsselung gar nicht erst beginnen. Bei dieser Konfiguration wird das Wiederherstellungskennwort automatisch erzeugt

Bei Entra-ID-eingebundenen Geräten, die über Intune verwaltet werden, gilt dasselbe Prinzip: Machen Sie die Sicherung des Wiederherstellungsschlüssels zur Pflicht und aktivieren Sie erst dann die Verschlüsselung. Wiederherstellungsschlüssel in Entra ID lassen sich über das Entra-Verwaltungscenter, das Intune-Verwaltungscenter, PowerShell oder Microsoft Graph abrufen und auch an den Helpdesk delegieren.³

5.2. Verschlüsselungsmethode — Standard ist XTS-AES 128

Wird keine Verschlüsselungsmethode konfiguriert, verwendet BitLocker standardmäßig XTS-AES 128 Bit. Auch die Geräteverschlüsselung setzt standardmäßig auf XTS-AES 128. Über die Richtlinie „Laufwerkverschlüsselungsmethode und Verschlüsselungsstärke auswählen“ lässt sich auf XTS-AES 256 o. Ä. umstellen, doch Microsofts Empfehlung lautet, für alle Laufwerke XTS-AES zu verwenden und die Schlüssellänge je nach Geräteleistung (und branchenspezifischen regulatorischen Anforderungen) zwischen 128 und 256 zu wählen.⁴¹

Zu beachten ist, dass sich die Methode eines bereits verschlüsselten Laufwerks nachträglich nicht ändern lässt. Um Methode oder Schlüssellänge zu ändern, muss erst entschlüsselt und dann erneut verschlüsselt werden.¹ Besteht ein Grund wie „regulatorische Anforderungen verlangen 256 Bit“, sollten Sie das gleich zu Beginn des Rollouts endgültig festlegen.

5.3. Nur belegten Speicherplatz verschlüsseln vs. das gesamte Laufwerk

Ein weiterer Punkt, den Sie bei der Aktivierung wählen, ist der Verschlüsselungsumfang. Microsofts Richtschnur dafür ist eindeutig.⁵

• Nur belegten Speicherplatz verschlüsseln: für ein neues Laufwerk, auf dem noch nie Daten lagen. Die erste Verschlüsselung ist schnell
• Das gesamte Laufwerk verschlüsseln: für ein bereits genutztes Laufwerk – eines, auf dem schon Daten lagen und auf dem gelöschte Dateien zurückbleiben können

Der Grund: Der Speicherplatz gelöschter Dateien erscheint dem Dateisystem als „freier Speicherplatz“, wird also bei „nur belegter Speicherplatz“ nicht verschlüsselt und lässt sich bis zum Überschreiben mit forensischen Werkzeugen wiederherstellen.⁵ Für die Praxis genügt die Faustregel: Bei einem frisch gekitteten neuen PC reicht „nur belegter Speicherplatz“, bei nachträglicher Anwendung auf einen bereits genutzten PC die vollständige Verschlüsselung.

5.4. Aktivierung über PowerShell

Das Grundmuster für einen skriptgesteuerten Rollout sieht so aus.⁵

# 1. Zunächst die Schutzvorrichtung "Wiederherstellungskennwort" (48-stellig) hinzufügen
#    (die Verschlüsselung beginnt zu diesem Zeitpunkt noch nicht). Auch wenn durch
#    frühere Versuche bereits mehrere Wiederherstellungskennwörter vorhanden sind,
#    lässt sich anhand der ID-Differenz vor/nach dem Hinzufügen genau das gerade
#    hinzugefügte identifizieren
$before = (Get-BitLockerVolume -MountPoint C).KeyProtector.KeyProtectorId
Add-BitLockerKeyProtector -MountPoint C: -RecoveryPasswordProtector | Out-Null
$rpId = (Get-BitLockerVolume -MountPoint C).KeyProtector |
    Where-Object { $_.KeyProtectorType -eq 'RecoveryPassword' -and $_.KeyProtectorId -notin $before } |
    Select-Object -ExpandProperty KeyProtectorId

# 2. Das hinzugefügte Wiederherstellungskennwort in den Speicherort des Unternehmens
#    sichern. Schlägt dieser Schritt fehl, darf die Verschlüsselung nicht fortgesetzt
#    werden, daher bricht -ErrorAction Stop den Ablauf bei einem Fehler ab
#    (dieser Schritt gilt erst als abgeschlossen, wenn der Schlüssel im
#    Entra-Verwaltungscenter/in AD sichtbar ist)
BackupToAAD-BitLockerKeyProtector -MountPoint C: -KeyProtectorId $rpId -ErrorAction Stop
# Bei AD DS: Backup-BitLockerKeyProtector -MountPoint C: -KeyProtectorId $rpId -ErrorAction Stop

# 3. Erst nach erfolgreicher Sicherung mit der Verschlüsselung beginnen. 3a und 3b
#    schließen sich gegenseitig aus — führen Sie nur eine der beiden Varianten aus
#    (auch Methode und Umfang legen Sie hier endgültig fest)

# 3a. Standardkonfiguration: nur TPM (für Geräte, die unbeaufsichtigt neu starten müssen)
Enable-BitLocker C: -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmProtector

# 3b. TPM+PIN-Konfiguration (für stationäre Geräte mit hohen Sicherheitsanforderungen).
#     Anstelle von 3a ausführen.
#     Die PIN wird für jedes Gerät einzeln vor Ort eingegeben. Sie im Klartext ins
#     Skript einzubetten, würde allen Geräten dieselbe PIN geben und das Skript
#     selbst zu einer Leckstelle machen
$Pin = Read-Host -AsSecureString -Prompt "PIN für dieses Gerät"
Enable-BitLocker C: -EncryptionMethod XtsAes256 -UsedSpaceOnly -Pin $Pin -TPMandPinProtector

Diese Reihenfolge – „erst das Wiederherstellungskennwort hinterlegen, dann die Verschlüsselung beginnen“ – ist entscheidend. Beginnen Sie stattdessen mit Enable-BitLocker -TpmProtector, bleibt bei einem Abbruch mitten im Vorgang ein PC übrig, bei dem nur der TPM-Schutz aktiv ist, ohne eine hinterlegte Wiederherstellungsmöglichkeit – beim nächsten Firmware-Update oder Hardware-Wechsel drohen dann die Daten verloren zu gehen. Mit der obigen Reihenfolge hat bei einem Abbruch die Verschlüsselung noch nicht begonnen, und es genügt, erneut zu beginnen. Beim Rollout im Unternehmen lässt sich dieser halbfertige Zustand zusätzlich auf Richtlinienebene verhindern, wenn die in 5.1 genannte Richtlinie „BitLocker erst aktivieren, wenn Wiederherstellungsinformationen gespeichert sind“ bereits greift. „Verschlüsselung niemals beginnen, bevor die erfolgreiche Sicherung bestätigt ist“ ist die eiserne Regel für den unternehmensweiten Rollout.

6. Umgang mit Vorfällen — wenn „der Wiederherstellungsschlüssel verlangt wird“ oder „nicht auffindbar ist“

6.1. Erscheint der Wiederherstellungsbildschirm, zuerst die ersten acht Stellen der Schlüssel-ID

Der blaue Wiederherstellungsbildschirm zeigt eine Wiederherstellungsschlüssel-ID. Auch wenn mehrere Kopien vorliegen, lässt sich der richtige Schlüssel durch Abgleich der ersten acht Stellen der ID identifizieren.⁶ Wo zu suchen ist, zeigt die Tabelle aus Abschnitt 4; gehen Sie sie der Reihe nach durch.

1. Der Speicherort des Unternehmens (Entra-ID-Verwaltungscenter/Intune oder AD DS) – über Administrator oder Helpdesk
2. Das eigene Konto des Nutzers – bei einem Arbeitskonto aka.ms/aadrecoverykey, bei einem persönlichen Microsoft-Konto aka.ms/myrecoverykey⁶
3. Die bei der Aktivierung angelegte Kopie – ausgedrucktes Papier, eine Datei auf einem USB-Stick, eine gespeicherte Textdatei⁶

flowchart TB
    REC["Blauer Wiederherstellungsbildschirm<br/>die Wiederherstellungsschlüssel-ID wird angezeigt"] --> ID["Die ersten 8 Stellen der Schlüssel-ID notieren"]
    ID --> ORG["1. Speicherort des Unternehmens<br/>(Entra-ID-Verwaltungscenter/Intune bzw. AD DS)"]
    ORG -- "Passender Schlüssel vorhanden" --> INPUT["Die 48 Stellen eingeben und starten"]
    ORG -- "Nicht gefunden" --> SELF["2. Das eigene Konto des Nutzers<br/>aka.ms/aadrecoverykey / aka.ms/myrecoverykey"]
    SELF -- "Passender Schlüssel vorhanden" --> INPUT
    SELF -- "Nicht gefunden" --> PAPER["3. Kopie aus der Aktivierung<br/>(ausgedrucktes Papier, USB-Stick, Datei)"]
    PAPER -- "Passender Schlüssel vorhanden" --> INPUT
    PAPER -- "Nicht gefunden" --> LOST["Nur noch Zurücksetzen (kompletter Datenverlust) möglich<br/>auch Microsoft kann ihn nicht wiederbeschaffen"]
    INPUT --> AFTER["Ursache klären und den verwendeten<br/>Wiederherstellungsschlüssel ungültig machen und neu ausstellen (Abschnitt 6.3)"]

Machen Sie es sich zudem zur Gewohnheit, zu klären, „warum der Wiederherstellungsmodus ausgelöst wurde“. Gibt es einen erkennbaren Anlass – ein BIOS-Update am Vortag, eine geänderte Secure-Boot-Einstellung –, ist das Verhalten wie vorgesehen. Tritt es dagegen ohne erkennbaren Anlass wiederholt auf, lohnt es sich, auch einen Hardwaredefekt oder eine Manipulation durch physischen Zugriff in Betracht zu ziehen.³

6.2. Wenn er sich partout nicht finden lässt

Es ist eine harte Wahrheit, aber findet sich der Wiederherstellungsschlüssel nicht, gibt es keine Möglichkeit, die Daten dieses verschlüsselten Laufwerks abzurufen. Bei einem vom Unternehmen verwalteten PC ist die Rückfrage bei der IT-Abteilung die letzte Rettung; bleibt auch das ohne Ergebnis, bleibt nur die Zurücksetzung des Geräts (vollständiger Datenverlust). Der Microsoft-Support kann einen verlorenen Wiederherstellungsschlüssel weder bereitstellen noch neu erzeugen.⁶

Das als „die Daten sind wegen der Verschlüsselung verloren gegangen“ zu deuten, verkehrt die Kausalität. Die Ursache liegt darin, dass die Verwaltung des Wiederherstellungsschlüssels nie zu einem verlässlichen Prozess gemacht wurde – dieselbe Lücke in der Verwaltung wäre im Diebstahlsfall als Datenleck sichtbar geworden.

6.3. Verwendete Wiederherstellungsschlüssel als Einwegartikel behandeln — Vorgehen bei Reparatur, Verlust und Ausscheiden

• Beim Einschicken zur Reparatur: Wenn Sie dem Reparaturdienstleister den Wiederherstellungsschlüssel übergeben haben (oder übergeben haben könnten), fügen Sie nach der Rückkehr des Geräts zuerst ein neues Wiederherstellungskennwort hinzu, bestätigen die erfolgreiche Sicherung nach Entra ID / AD DS und löschen erst danach das übergebene Wiederherstellungskennwort. Löschen Sie zuerst, bleibt das Laufwerk ohne Wiederherstellungsmöglichkeit zurück, falls das Hinzufügen oder die Sicherung fehlschlägt – die Reihenfolge ist also entscheidend. Auch Microsoft empfiehlt, ein verwendetes Wiederherstellungskennwort ungültig zu machen; die gesamte Abfolge aus Hinzufügen, Sichern und Löschen lässt sich per Befehl abschließen.⁵ Bei Entra-ID-eingebundenen Geräten gibt es zudem eine Richtlinie, die ein verwendetes Wiederherstellungskennwort automatisch rotiert. Der Standardwert ist bei Entra-ID-eingebundenen Geräten aktiv, funktioniert aber nur, wenn die Richtlinie zur Pflichtsicherung der Wiederherstellungsinformationen (5.1) konfiguriert ist. Prüfen Sie diese Voraussetzung und ob der Schlüssel tatsächlich ausgetauscht wird, bevor Sie sich auf die automatische Rotation verlassen.⁴
• Bei Verlust eines PCs: Prüfen Sie anhand von Aufzeichnungen der in Abschnitt 4 genannten Befehlsausgaben oder über Ihr Verwaltungswerkzeug, ob der Schutz aktiv war (TPM-Schutz erstellt, Clear Key entfernt); war das Gerät verschlüsselt, sind Sie in der Lage zu erklären, dass „die Daten auf der Festplatte nicht lesbar sind“. Das ist der wichtigste Grund, die Bestandsaufnahme im Normalbetrieb durchzuführen.
• Beim Ausscheiden von Mitarbeitern/der Rückgabe eines PCs: Vorrangig ist zu vermeiden, dass der Wiederherstellungsschlüssel des zurückgegebenen PCs ausschließlich im persönlichen Microsoft-Konto des ausscheidenden Mitarbeiters liegt. Ist die Bündelung im Speicherort des Unternehmens (Abschnitt 4) umgesetzt, beschränkt sich die Arbeit bei der Rückgabe auf das erneute Kitting und die Neuausstellung des Wiederherstellungskennworts.

Der Ablauf im Reparaturfall lässt sich beispielsweise so darstellen.

flowchart LR
    S["Zur Reparatur einschicken<br/>(Wiederherstellungsschlüssel möglicherweise übergeben)"] --> B["PC kommt zurück"]
    B --> N["Neues Wiederherstellungskennwort hinzufügen"]
    N --> BK["Erfolgreiche Sicherung nach<br/>Entra ID / AD DS bestätigen"]
    BK --> D["Übergebenes Wiederherstellungskennwort<br/>ungültig machen (löschen)"]
    D --> OK["Verzeichnis aktualisieren, fertig"]

7. Der Zusammenhang mit der Entsorgung — ein bereits verschlüsselter Datenträger erleichtert die Entsorgung

Der Nutzen von BitLocker beschränkt sich nicht auf die Nutzungszeit. War das Laufwerk von Anfang an verschlüsselt, bleibt bei der Entsorgung auf dem Datenträger nur Chiffretext übrig. BitLocker wurde von vornherein als Funktion konzipiert, die nicht nur bei Verlust und Diebstahl, sondern auch bei „unsachgemäß entsorgten Geräten“ Datenabfluss verhindert; das Unlesbarmachen der Daten bei Entsorgung oder Recycling eines geschützten Geräts gehört zu ihrem Zweck.¹

Allerdings bedeutet Verschlüsselung nicht, dass sich die Löschprozedur bei der Entsorgung (Zurücksetzen, ein dediziertes Löschwerkzeug, physische Zerstörung) überspringen ließe. Verschlüsselung ist eine Versicherung, die „das Risiko senkt, dass vor der Löschung oder bei unmöglicher Löschung Klartext von der Festplatte gelesen wird“, kein Ersatz für eine überprüfbare Löschung. Darüber hinaus kommt bei einem Unternehmen, das Verschlüsselung im Einsatz hat, eine eigene Aufgabe hinzu – das Aufräumen der Kopien des Wiederherstellungsschlüssels (Papier, Datei, Eintrag in AD oder Entra ID). Auch wenn der Datenträger gelöscht wurde, ist die Entsorgung im Verzeichnis nicht abgeschlossen, solange eine Kopie des Wiederherstellungsschlüssels noch existiert. Nehmen Sie auch das Löschen alter Schlüssel als Teil der Entsorgungsprozedur auf.

Bei der Entsorgung eines PCs gibt es allerdings auch Aspekte jenseits der Verschlüsselung – das Trennen von Konten und Lizenzen, das Anlagenverzeichnis, Nachweise. Das Gesamtvorgehen ist als Checkliste in „Was vor der Entsorgung eines Windows-PCs zu erledigen ist“ zusammengefasst; nutzen Sie diese ergänzend, wenn Sie einen auf Verschlüsselung aufbauenden Entsorgungsablauf aufbauen.

8. Aus Sicht des Entwicklers von Fachanwendungen — Leistung, Anlagen-PCs, Klonverteilung

Abschließend einige Hinweise aus der Perspektive, wer Fachanwendungen oder Anlagensteuerungs-PCs betreut.

• Beim Leistungseinfluss gilt zunächst „mit dem Standard von 128 Bit messen“. Microsoft selbst macht die Wahl der Schlüssellänge von der Geräteleistung abhängig: 256 Bit bei leistungsstarkem Laufwerk und CPU, sonst 128 Bit.⁴ Umgekehrt bedeutet das: Auf modernen PCs beeinflusst das standardmäßige XTS-AES 128 das gefühlte Verhalten einer Fachanwendung nur selten; auch in unserer eigenen Erfahrung gab es außer bei Anwendungen mit besonders schwerer Datei-E/A so gut wie nie Probleme. Bei Zweifeln sollten Sie die E/A vor und nach der Verschlüsselung mit produktionsnaher Datenmenge messen und danach entscheiden – „fühlt sich langsamer an, also abschalten“ ist der falsche Weg.
• Für die Anwendung ist die Verschlüsselung transparent. BitLocker verschlüsselt das gesamte Volume, das Verhalten der Datei-API ändert sich nicht. Umgekehrt heißt das: Geheimnisse, die eine App zur Laufzeit auf der laufenden Maschine verarbeitet (Verbindungszeichenfolgen, API-Schlüssel), lassen sich mit BitLocker nicht schützen, da auf einem angemeldeten Rechner das Laufwerk entschlüsselt sichtbar ist. Dafür ist DPAPI o. Ä. zuständig („Wo Geheimnisse von Windows-Apps gespeichert werden“).
• Bei Anlagen- und Kiosk-PCs entscheidet „lässt sich unbeaufsichtigt neu starten“ über die Konfiguration. Bei einer reinen TPM-Konfiguration läuft auch die Wiederherstellung nach Stromausfall unbeaufsichtigt an, während TPM+PIN oder ein Startupschlüssel bei jedem Start menschliches Eingreifen erfordern und sich für unbeaufsichtigten Betrieb nicht eignen. Andererseits birgt eine reine TPM-Konfiguration das Risiko, bei den in Abschnitt 3 genannten Auslösern (Firmware-Update usw.) am Wiederherstellungsbildschirm hängen zu bleiben; daher ist es zentral für den Betrieb, den Wiederherstellungsschlüssel abseits des Einsatzorts (verschlossene Aufbewahrung plus Verzeichnis) zu hinterlegen und im Wartungshandbuch der Anlage „Suspend-BitLocker vor Arbeiten“ ausdrücklich festzuhalten. Das Härten unbeaufsichtigter Endgeräte insgesamt behandelt „Fachterminals mit dem Kioskmodus absichern“. Die Lockerung der Voraussetzungen der automatischen Geräteverschlüsselung in 24H2 gilt zwar nicht für Windows-IoT-Editionen,² das bedeutet aber nicht, „bei IoT findet keine automatische Verschlüsselung statt“. Bei Geräten, die die Voraussetzungen von vor der Lockerung erfüllen (HSTI/Modern Standby usw.), kann automatische Verschlüsselung wie bisher auftreten; es ist daher sicherer, auch bei Anlagen-PCs eine Statusprüfung mit manage-bde -status in die Kitting-Prozedur aufzunehmen.
• Bei der Klonverteilung nicht „erst verschlüsseln, dann imagen“. Ein Wiederherstellungskennwort ist spezifisch für das Gerät, das es erzeugt hat.³ Verzichten Sie darauf, ein Master-Image mit bereits aktiviertem Schutz zu klonen; setzen Sie stattdessen nach der Verteilung pro PC in dieser Reihenfolge an: Aktivierung (oder automatische Verschlüsselung bei der OOBE) → Sicherung des Wiederherstellungsschlüssels. Ist Ihr Kitting bereits skriptgesteuert („PC-Kitting mit winget + PowerShell automatisieren“), müssen Sie nur die Aktivierung und Sicherungsbestätigung aus 5.4 als letzten Schritt ergänzen.

9. Zusammenfassung

• Bei einer sauberen Installation ab Windows 11 24H2 initialisiert sich die Geräteverschlüsselung standardmäßig auf PCs, die TPM und UEFI Secure Boot erfüllen. Die Anforderungen HSTI/Modern Standby und DMA wurden abgeschafft, sodass sich der Kreis bis hin zu gewöhnlichen Desktop-PCs erweitert hat.
• Die richtige Reaktion auf „wurde von selbst verschlüsselt“ ist nicht die Deaktivierung, sondern die Klärung, wo der Wiederherstellungsschlüssel liegt. Wer abschaltet, verliert den Schutz bei Verlust, Diebstahl und Entsorgung, und einmal abgeschaltet, aktiviert er sich nicht automatisch wieder.
• Für den Speicherort des Wiederherstellungsschlüssels gibt es vier Optionen – Entra ID / AD DS / Microsoft-Konto / Ausdruck bzw. Datei –, die sich weitgehend aus der Anmeldeform ergeben. Legen Sie einen Speicherort für das Unternehmen fest und prüfen Sie im Bestand, ob alle PCs dort erfasst sind.
• Die Prüfung erfolgt mit manage-bde -protectors -get C: oder (Get-BitLockerVolume -MountPoint C).KeyProtector, eine nachträgliche Sicherung mit BackupToAAD-BitLockerKeyProtector / Backup-BitLockerKeyProtector.
• Der Wiederherstellungsschlüssel wird auch beim rechtmäßigen Besitzer durch Firmware-Updates, Änderungen der Secure-Boot-Konfiguration, Hardware-Tausch und Ähnliches verlangt. Nehmen Sie ein Suspend-BitLocker vor geplanten Arbeiten in Ihr Handbuch auf.
• Die Standardmethode ist XTS-AES 128; eine nachträgliche Änderung erfordert Entschlüsseln und erneutes Verschlüsseln. Bei einem neuen Laufwerk genügt die Verschlüsselung nur des belegten Speicherplatzes.
• Machen Sie einen verwendeten Wiederherstellungsschlüssel ungültig und stellen Sie ihn neu aus, lassen Sie keinen Schlüssel im Konto eines ausgeschiedenen Mitarbeiters zurück, und entsorgen Sie bei der Geräteentsorgung auch die Kopien des Schlüssels – ein Wiederherstellungsschlüssel ist nicht „einmal ausgestellt, damit erledigt“, sondern etwas, das über seinen gesamten Lebenszyklus verwaltet werden muss.
• Verschlüsselung dient auch als Versicherung bei der Entsorgung, ist aber kein Ersatz für die Löschprozedur (Zurücksetzen, Löschwerkzeuge, physische Zerstörung). Nicht BitLocker abzuschalten, sondern es zusammen mit der Verwaltung des Wiederherstellungsschlüssels zu beherrschen, ist die realistische Lösung für KMU.

Verwandte Artikel

• Was ist das TPM in Windows? — Bebildert erklärt: der Safe, der Schlüssel nie herausgibt, und Measured Boot
• Was vor der Entsorgung eines Windows-PCs zu erledigen ist — Praktische Checkliste für Datenlöschung, Kontentrennung und Backups
• Die realistische Lösung nach dem Support-Ende von Windows 10 — Entscheidungstabelle für ESU, LTSC und Neuanschaffung
• Wo sollten KMU bei der Sicherheit anfangen? — Ein Durchgang durch die IPA-„Informationssicherheitsleitlinien für KMU“, 4. Ausgabe
• Fachterminals mit dem Kioskmodus absichern — Wahl zwischen Assigned Access und Shell Launcher sowie Betriebsdesign
• PC-Kitting mit winget + PowerShell automatisieren — das Handbuch ausführbar machen
• Wo Geheimnisse von Windows-Apps gespeichert werden — Best Practices rund um DPAPI

Verwandte Beratungsleistungen

Die KomuraSoft LLC übernimmt die Konzeption des Verschlüsselungsbetriebs für Windows-Umgebungen einschließlich Fachanwendungen und Anlagen-PCs (Gestaltung des Speicherorts für Wiederherstellungsschlüssel, Einbindung ins Kitting, BitLocker-Konfiguration auf Anlagen-PCs) sowie Beratung zur Leistungsprüfung und Fehlersuche bei Fachanwendungen in verschlüsselten Umgebungen. Es reicht, wenn Sie zunächst nur klären möchten, ob sich ein Anlagen-PC gefahrlos verschlüsseln lässt.

• Technische Beratung und Design-Review
• Windows-Anwendungsentwicklung
• Fehleruntersuchung und Ursachenanalyse
• Kontakt

Referenzlinks

Verwandte Artikel

Aktuelle Artikel mit denselben Schlagwörtern führen zu verwandten Themen weiter.

Verwandte Themen

Diese Seiten ordnen den Artikel in einen größeren Leistungs- und Entscheidungskontext ein.

Leistungen zu diesem Thema

Dieser Artikel ist direkt mit den folgenden Leistungen verbunden.

Häufige Fragen

Fragen, die in Beratungen zu diesem Artikelthema häufig gestellt werden.

Ich habe bemerkt, dass „Geräteverschlüsselung“ von allein aktiviert wurde. Darf ich sie deaktivieren?

Eine Deaktivierung wird nicht empfohlen. Bei einer sauberen Installation ab Windows 11 Version 24H2 initialisiert sich die Geräteverschlüsselung standardmäßig auf PCs, die Bedingungen wie TPM und Secure Boot erfüllen, sodass es aussieht, als hätte sie sich „von selbst eingeschaltet“. Das ist der Mechanismus, der Ihre Daten bei Verlust oder Diebstahl schützt; schalten Sie ihn aus, verlieren Sie diesen Schutz, und einmal ausgeschaltet, aktiviert er sich nicht automatisch wieder. Was zu tun ist, ist nicht die Deaktivierung, sondern die Prüfung des Wiederherstellungsschlüssels, etwa mit manage-bde -protectors -get C:, und sicherzustellen, dass er an dem vom Unternehmen festgelegten Ort gespeichert ist – etwa in einem Microsoft-Konto, in Entra ID oder in AD.

Wo befindet sich der BitLocker-Wiederherstellungsschlüssel?

Der Speicherort hängt davon ab, wie sich der PC anmeldet. Bei einem mit einem persönlichen Microsoft-Konto eingerichteten PC lässt er sich auflisten, indem Sie sich mit demselben Konto unter https://aka.ms/myrecoverykey anmelden. Bei einem in die firmeneigene Entra ID (Arbeitskonto) eingebundenen PC finden Sie ihn unter https://aka.ms/aadrecoverykey über „BitLocker-Schlüssel anzeigen“. Bei einem in eine lokale AD-Domäne eingebundenen PC kann ein Administrator ihn, sofern die Richtlinie konfiguriert ist, unterhalb des Computerobjekts abrufen. Daneben kann es einen Ausdruck auf Papier oder eine Kopie auf einem USB-Stick oder in einer Datei geben. Der Abgleich mit den ersten acht Ziffern der auf dem Wiederherstellungsbildschirm angezeigten Wiederherstellungsschlüssel-ID ermöglicht es, den richtigen Schlüssel zu identifizieren.

Lässt sich BitLocker auch auf einem Windows-11-Home-PC nutzen?

Welche Funktionen verfügbar sind, hängt von der Edition ab. Das voll ausgestattete BitLocker, einschließlich PIN-Ergänzung und Richtlinienverwaltung, lässt sich nur auf Pro/Enterprise/Education-Varianten aktivieren, nicht auf Home. Die vereinfachte Variante, die Geräteverschlüsselung, ist dagegen auf allen Editionen einschließlich Home verfügbar und schaltet sich automatisch ein, sofern Voraussetzungen wie TPM und UEFI Secure Boot erfüllt sind. Für die Aktivierung des Schutzes ist allerdings eine Anmeldung mit einem Microsoft-Konto mit Administratorrechten nötig; mit einer reinen lokalen Anmeldung bleibt sie ungeschützt. Wird der PC als Firmengerät verwaltet, empfehlen wir eine Konfiguration, die auf Pro aufbaut und den Wiederherstellungsschlüssel zentral über Entra ID oder AD verwaltet.

Nach einem BIOS- (UEFI-Firmware-)Update wurde ich nach dem Wiederherstellungsschlüssel gefragt. Warum?

BitLocker nutzt das TPM, um zu prüfen, ob die Startumgebung unverändert ist, und wenn sich durch ein Firmware-Update, eine Änderung der Secure-Boot-Konfiguration, das Löschen des TPM, einen Mainboard-Tausch o. Ä. die beim Start gemessenen Werte ändern, stuft es das als „ungewohnte Umgebung“ ein und wechselt in den Wiederherstellungsmodus. Das ist kein Defekt, sondern Verhalten wie vorgesehen. Vor einer geplanten Aktualisierung lässt sich der Schutz mit Suspend-BitLocker (oder manage-bde -protectors -disable C:) vorübergehend aussetzen; dann lässt sich die Arbeit ohne Eingabe des Wiederherstellungsschlüssels durchführen. Auch während der Aussetzung bleibt das Laufwerk verschlüsselt, und standardmäßig wird der Schutz beim nächsten Neustart automatisch wieder aktiviert.

Wenn sich der Wiederherstellungsschlüssel nicht finden lässt, lassen sich die Daten trotzdem retten?

Ohne den richtigen Wiederherstellungsschlüssel (das 48-stellige Wiederherstellungskennwort) oder ein anderes Entsperrverfahren gibt es keine Möglichkeit, die Daten auf dem verschlüsselten Laufwerk zu retten. Auch der Microsoft-Support stellt ausdrücklich klar, dass er einen verlorenen Wiederherstellungsschlüssel weder neu ausstellen noch wiederbeschaffen kann. Bei einem vom Unternehmen verwalteten PC prüfen Sie zunächst mit der IT-Abteilung; bei einem privaten PC suchen Sie auf der Wiederherstellungsschlüssel-Seite des Microsoft-Kontos, nach einem ausgedruckten Exemplar oder nach einer .bek-/.txt-Datei auf einem USB-Stick. Findet sich nichts davon, bleibt nur die Zurücksetzung (Neuinstallation) des PCs, und die Daten gehen verloren. Genau deshalb sollten Sie, bevor Sie diskutieren, ob Sie die Verschlüsselung abschalten, zuerst sicherstellen, dass der Wiederherstellungsschlüssel jedes PCs unter der Kontrolle des Unternehmens steht.

Autorenprofil

Profilseite des Artikelautors.

Go Komura

Geschäftsführer von KomuraSoft LLC

Spezialisiert auf Windows-Softwareentwicklung, technische Beratung und Fehleranalyse, insbesondere bei bestehenden Systemen und schwer reproduzierbaren Störungen.