Referenz zu BitLocker-Einstellungen

Gilt für: Configuration Manager (Current Branch)

BitLocker-Verwaltungsrichtlinien im Configuration Manager enthalten die folgenden Richtliniengruppen:

• Setup
• Betriebssystemlaufwerk
• Festes Laufwerk
• Wechseldatenträger
• Kundenverwaltung

In den folgenden Abschnitten werden Konfigurationen für die Einstellungen in jeder Gruppe beschrieben und vorgeschlagen.

Setup

Die Einstellungen auf dieser Seite konfigurieren globale BitLocker-Verschlüsselungsoptionen.

Laufwerkverschlüsselungsmethode und Verschlüsselungsstärke

Empfohlene Konfiguration: Aktiviert mit der Standardverschlüsselungsmethode oder einer höheren Methode.

Windows 8.1-Geräte

Aktivieren Sie für Windows 8.1-Geräte die Option für die Laufwerkverschlüsselungsmethode und Verschlüsselungsstärke, und wählen Sie eine der folgenden Verschlüsselungsmethoden aus:

• AES 128-Bit mit Diffusor
• AES 256-Bit mit Diffusor
• AES 128-Bit (Standard)
• AES 256-Bit

Weitere Informationen zum Erstellen dieser Richtlinie mit Windows PowerShell finden Sie unter New-CMBLEncryptionMethodPolicy.

Windows 10- oder höhere Geräte

Aktivieren Sie für Geräte unter Windows 10 oder höher die Option für die Laufwerkverschlüsselungsmethode und die Verschlüsselungsstärke (Windows 10 oder höher). Wählen Sie dann einzeln eine der folgenden Verschlüsselungsmethoden für Betriebssystemlaufwerke, Festplattenlaufwerke und Wechseldatenlaufwerke aus:

• AES-CBC 128-Bit
• AES-CBC 256-Bit
• XTS-AES 128-Bit (Standard)
• XTS-AES 256-Bit

Weitere Informationen zum Erstellen dieser Richtlinie mit Windows PowerShell finden Sie unter New-CMBLEncryptionMethodWithXts.

Allgemeine Verwendungshinweise für Laufwerkverschlüsselung und Verschlüsselungsstärke

• Wenn Sie diese Einstellungen deaktivieren oder nicht konfigurieren, verwendet BitLocker die Standardverschlüsselungsmethode.

• Configuration Manager wendet diese Einstellungen an, wenn Sie BitLocker aktivieren.

• Wenn das Laufwerk bereits verschlüsselt ist oder in Bearbeitung ist, ändert jede Änderung dieser Richtlinieneinstellungen nichts an der Laufwerkverschlüsselung auf dem Gerät.

• Wenn Sie den Standardwert verwenden, zeigt der BitLocker-Computerkonformitätsbericht möglicherweise die Verschlüsselungsstärke als unbekannt an. Um dieses Problem zu umgehen, aktivieren Sie diese Einstellung, und legen Sie einen expliziten Wert für die Verschlüsselungsstärke fest.

Verhindern des Überschreibens von Arbeitsspeicher beim Neustart

Empfohlene Konfiguration: Nicht konfiguriert

Konfigurieren Sie diese Richtlinie, um die Neustartleistung zu verbessern, ohne dass BitLocker-Geheimnisse beim Neustart im Arbeitsspeicher überschrieben werden.

Wenn Sie diese Richtlinie nicht konfigurieren, entfernt BitLocker seine geheimen Schlüssel beim Neustart des Computers aus dem Arbeitsspeicher.

Weitere Informationen zum Erstellen dieser Richtlinie mit Windows PowerShell finden Sie unter New-CMNoOverwritePolicy.

Überprüfen der Compliance der Verwendungsregel für Smartcard-Kartenzertifikate

Empfohlene Konfiguration: Nicht konfiguriert

Konfigurieren Sie diese Richtlinie für die Verwendung des auf Smartcard-Zertifikaten basierenden BitLocker-Schutzes. Geben Sie dann den Objektbezeichner des Zertifikats an.

Wenn Sie diese Richtlinie nicht konfigurieren, verwendet BitLocker den Standardobjektbezeichner 1.3.6.1.4.1.311.67.1.1 , um ein Zertifikat anzugeben.

Weitere Informationen zum Erstellen dieser Richtlinie mit Windows PowerShell finden Sie unter New-CMScCompliancePolicy.

Eindeutige Organisationsbezeichner

Empfohlene Konfiguration: Nicht konfiguriert

Konfigurieren Sie diese Richtlinie so, dass ein zertifikatbasierter Datenwiederherstellungs-Agent oder der BitLocker To Go-Reader verwendet wird.

Wenn Sie diese Richtlinie nicht konfigurieren, verwendet BitLocker das Feld "Identifizierung" nicht.

Wenn Ihre organization höhere Sicherheitsmaßnahmen erfordert, konfigurieren Sie das Feld "Identifizierung". Legen Sie dieses Feld auf allen adressierten USB-Geräten fest, und richten Sie es an dieser Einstellung aus.

Weitere Informationen zum Erstellen dieser Richtlinie mit Windows PowerShell finden Sie unter New-CMUidPolicy.

Betriebssystemlaufwerk

Mit den Einstellungen auf dieser Seite werden die Verschlüsselungseinstellungen für das Laufwerk konfiguriert, auf dem Windows installiert ist.

Einstellungen für Laufwerkverschlüsselung des Betriebssystems

Empfohlene Konfiguration: Aktiviert

Wenn Sie diese Einstellung aktivieren, muss der Benutzer das Betriebssystemlaufwerk schützen, und BitLocker verschlüsselt das Laufwerk. Wenn Sie sie deaktivieren, kann der Benutzer das Laufwerk nicht schützen. Wenn Sie diese Richtlinie nicht konfigurieren, ist BitLocker-Schutz auf dem Betriebssystemlaufwerk nicht erforderlich.

Wenn Sie Geräte ohne Trusted Platform Module (TPM) haben, verwenden Sie die Option BitLocker ohne kompatibles TPM zulassen (erfordert ein Kennwort). Mit dieser Einstellung kann BitLocker das Betriebssystemlaufwerk verschlüsseln, auch wenn das Gerät nicht über ein TPM verfügt. Wenn Sie diese Option zulassen, fordert Windows den Benutzer auf, ein BitLocker-Kennwort anzugeben.

Auf Geräten mit einem kompatiblen TPM können beim Start zwei Arten von Authentifizierungsmethoden verwendet werden, um zusätzlichen Schutz für verschlüsselte Daten bereitzustellen. Beim Starten des Computers kann nur das TPM für die Authentifizierung verwendet werden, oder es kann auch die Eingabe einer persönlichen Identifikationsnummer (PIN) erforderlich sein. Konfigurieren Sie die folgenden Einstellungen:

• Schutzvorrichtung für Betriebssystemlaufwerk auswählen: Konfigurieren Sie es so, dass ein TPM und eine PIN oder nur das TPM verwendet werden.

• Minimale PIN-Länge für Start konfigurieren: Wenn Sie eine PIN benötigen, ist dieser Wert die kürzeste Länge, die der Benutzer angeben kann. Der Benutzer gibt diese PIN beim Hochfahren des Computers ein, um das Laufwerk zu entsperren. Standardmäßig beträgt 4die Mindestlänge der PIN .

Weitere Informationen zum Erstellen dieser Richtlinie mit Windows PowerShell finden Sie unter New-CMBMSOSDEncryptionPolicy.

Erweiterte PINs für den Start zulassen

Empfohlene Konfiguration: Nicht konfiguriert

Konfigurieren Sie BitLocker für die Verwendung erweiterter Start-PINs. Diese PINs ermöglichen die Verwendung von mehr Zeichen wie Groß- und Kleinbuchstaben, Symbolen, Zahlen und Leerzeichen. Diese Einstellung wird angewendet, wenn Sie BitLocker aktivieren.

Wenn Sie diese Einstellung aktivieren, können alle neuen BitLocker-Start-PINs dem Benutzer erweiterte PINs erstellen.

• ASCII-only-PINs erforderlich: Verbessern Sie die Kompatibilität von erweiterten PINs mit Computern, die den Typ oder die Anzahl der Zeichen begrenzen, die Sie in der Pre-Boot-Umgebung eingeben können.

Wenn Sie diese Richtlinieneinstellung deaktivieren oder nicht konfigurieren, verwendet BitLocker keine erweiterten PINs.

Weitere Informationen zum Erstellen dieser Richtlinie mit Windows PowerShell finden Sie unter New-CMEnhancedPIN.

Kennwortrichtlinie für Betriebssystemlaufwerke

Empfohlene Konfiguration: Nicht konfiguriert

Verwenden Sie diese Einstellungen, um die Einschränkungen für Kennwörter zum Entsperren von BitLocker-geschützten Betriebssystemlaufwerken festzulegen. Wenn Sie Nicht-TPM-Schutzvorrichtungen auf Betriebssystemlaufwerken zulassen, konfigurieren Sie die folgenden Einstellungen:

• Konfigurieren Sie die Kennwortkomplexität für Betriebssystemlaufwerke: Um Komplexitätsanforderungen für das Kennwort zu erzwingen, wählen Sie Kennwortkomplexität erforderlich aus.

• Mindestkennwortlänge für Betriebssystemlaufwerk: Standardmäßig beträgt 8die Mindestlänge .

• Nur ASCII-Kennwörter für Wechseldatenträger des Betriebssystems erforderlich

Wenn Sie diese Richtlinieneinstellung aktivieren, können Benutzer ein Kennwort konfigurieren, das die von Ihnen definierten Anforderungen erfüllt.

Weitere Informationen zum Erstellen dieser Richtlinie mit Windows PowerShell finden Sie unter New-CMOSPassphrase.

Allgemeine Verwendungshinweise für die Kennwortrichtlinie für Betriebssystemlaufwerke

• Damit diese Einstellungen für Komplexitätsanforderungen wirksam sind, aktivieren Sie auch die Gruppenrichtlinieneinstellung Kennwort muss Komplexitätsanforderungen inComputerkonfiguration>Windows-Einstellungen>Sicherheitseinstellungen>Kontorichtlinien>Kennwortrichtlinie aktivieren.

• BitLocker erzwingt diese Einstellungen, wenn Sie es aktivieren, nicht wenn Sie ein Volume entsperren. Mit BitLocker können Sie ein Laufwerk mit einer der auf dem Laufwerk verfügbaren Schutzvorrichtungen entsperren.

• Wenn Sie Gruppenrichtlinien verwenden, um FIPS-konforme Algorithmen für Verschlüsselung, Hashing und Signatur zu aktivieren, können Sie als BitLocker-Protektor keine Kennwörter zulassen.

Zurücksetzen von Plattformvalidierungsdaten nach der BitLocker-Wiederherstellung

Empfohlene Konfiguration: Nicht konfiguriert

Steuert, ob Windows die Plattformvalidierungsdaten aktualisiert, wenn es nach der BitLocker-Wiederherstellung gestartet wird.

Wenn Sie diese Einstellung aktivieren oder nicht konfigurieren, aktualisiert Windows in diesem Fall die Plattformvalidierungsdaten.

Wenn Sie diese Richtlinieneinstellung deaktivieren, aktualisiert Windows in diesem Fall keine Plattformvalidierungsdaten.

Weitere Informationen zum Erstellen dieser Richtlinie mit Windows PowerShell finden Sie unter New-CMTpmAutoResealPolicy.

Pre-Boot-Wiederherstellungsmeldung und URL

Empfohlene Konfiguration: Nicht konfiguriert

Wenn BitLocker das Betriebssystemlaufwerk sperrt, verwenden Sie diese Einstellung, um eine benutzerdefinierte Wiederherstellungsmeldung oder eine URL auf dem BitLocker-Wiederherstellungsbildschirm vor dem Start anzuzeigen. Diese Einstellung gilt nur für Geräte unter Windows 10 oder höher.

Wenn Sie diese Einstellung aktivieren, wählen Sie eine der folgenden Optionen für die Pre-Boot-Wiederherstellungsmeldung aus:

• Standardwiederherstellungsmeldung und URL verwenden: Zeigen Sie die Standard-BitLocker-Wiederherstellungsmeldung und -URL im BitLocker-Wiederherstellungsbildschirm vor dem Start an. Wenn Sie zuvor eine benutzerdefinierte Wiederherstellungsmeldung oder -URL konfiguriert haben, verwenden Sie diese Option, um die Standardnachricht rückgängig zu machen.

• Benutzerdefinierte Wiederherstellungsnachricht verwenden: Fügen Sie eine benutzerdefinierte Nachricht in den BitLocker-Wiederherstellungsbildschirm vor dem Start ein.

  • Option für benutzerdefinierte Wiederherstellungsmeldung: Geben Sie die anzuzeigende benutzerdefinierte Nachricht ein. Wenn Sie auch eine Wiederherstellungs-URL angeben möchten, schließen Sie sie als Teil dieser benutzerdefinierten Wiederherstellungsnachricht ein. Die maximale Zeichenfolgenlänge beträgt 32.768 Zeichen.

• Benutzerdefinierte Wiederherstellungs-URL verwenden: Ersetzen Sie die Standard-URL, die im BitLocker-Wiederherstellungsbildschirm vor dem Start angezeigt wird.

  • Option für benutzerdefinierte Wiederherstellungs-URL: Geben Sie die anzuzeigende URL ein. Die maximale Zeichenfolgenlänge beträgt 32.768 Zeichen.

Weitere Informationen zum Erstellen dieser Richtlinie mit Windows PowerShell finden Sie unter New-CMPrebootRecoveryInfo.

Einstellungen für die Erzwingung von Verschlüsselungsrichtlinien (Betriebssystemlaufwerk)

Empfohlene Konfiguration: Aktiviert

Konfigurieren Sie die Anzahl der Tage, die Benutzer die BitLocker-Kompatibilität für das Betriebssystemlaufwerk verschieben können. Die Nachfrist für Nichtkompatibilität beginnt, wenn der Configuration Manager sie zum ersten Mal als nicht kompatibel erkennt. Nach Ablauf dieses Aktivierungszeitraums können Benutzer die erforderliche Aktion nicht mehr verschieben oder eine Ausnahme beantragen.

Wenn für den Verschlüsselungsprozess Benutzereingaben erforderlich sind, wird in Windows ein Dialogfeld angezeigt, das der Benutzer erst schließen kann, wenn er die erforderlichen Informationen eingegeben hat. Für zukünftige Benachrichtigungen bei Fehlern oder Status wird diese Einschränkung nicht gelten.

Wenn BitLocker keine Benutzerinteraktion erfordert, um eine Schutzvorrichtung hinzuzufügen, startet BitLocker nach Ablauf des Aktivierungszeitraums die Verschlüsselung im Hintergrund.

Wenn Sie diese Einstellung deaktivieren oder nicht konfigurieren, verlangt Configuration Manager von Benutzern nicht, dass sie BitLocker-Richtlinien einhalten.

Um die Richtlinie sofort durchzusetzen, legen Sie einen Aktivierungszeitraum von 0fest.

Weitere Informationen zum Erstellen dieser Richtlinie mit Windows PowerShell finden Sie unter New-CMUseOsEnforcePolicy.

Festes Laufwerk

Die Einstellungen auf dieser Seite konfigurieren die Verschlüsselung für andere Datenlaufwerke in einem Gerät.

Verschlüsselung von Festplattenlaufwerken mit fester Festplatte

Empfohlene Konfiguration: Aktiviert

Verwalten Sie Ihre Anforderungen an die Verschlüsselung von Festplattenlaufwerken. Wenn Sie diese Einstellung aktivieren, verlangt BitLocker, dass Benutzer alle Festplattenlaufwerke schützen. Anschließend werden die Datenlaufwerke verschlüsselt.

Wenn Sie diese Richtlinie aktivieren, aktivieren Sie entweder die automatische Entsperrung oder die Einstellungen für die Kennwortrichtlinie für das feste Datenlaufwerk.

• Konfigurieren der automatischen Entsperrung für feste Datenlaufwerke: Erlauben oder schreiben Sie vor, dass BitLocker jedes verschlüsselte Datenlaufwerk automatisch entsperrt. Um die automatische Entsperrung zu verwenden, muss BitLocker auch das Betriebssystemlaufwerk verschlüsseln.

Wenn Sie diese Einstellung nicht konfigurieren, verlangt BitLocker nicht, dass Benutzer Festplattenlaufwerke unter Schutz stellen.

Wenn Sie diese Einstellung deaktivieren, können Benutzer ihre Festplattenlaufwerke nicht unter BitLocker-Schutz stellen. Wenn Sie diese Richtlinie deaktivieren, nachdem BitLocker Festplattenlaufwerke verschlüsselt hat, entschlüsselt BitLocker die Festplattenlaufwerke.

Weitere Informationen zum Erstellen dieser Richtlinie mit Windows PowerShell finden Sie unter New-CMBMSFDVEncryptionPolicy.

Schreibzugriff auf Festplattenlaufwerke verweigern, die nicht durch BitLocker geschützt sind

Empfohlene Konfiguration: Nicht konfiguriert

BitLocker-Schutz für Windows erforderlich, um Daten auf Festplattenlaufwerke auf dem Gerät zu schreiben. BitLocker wendet diese Richtlinie an, wenn Sie es aktivieren.

Wenn Sie diese Einstellung aktivieren:

• Wenn BitLocker ein festes Datenlaufwerk schützt, wird es von Windows mit Lese- und Schreibzugriff bereitgestellt.

• Alle Festplattenlaufwerke, die nicht von BitLocker geschützt werden, werden von Windows als schreibgeschützt bereitgestellt.

Wenn Sie diese Einstellung nicht konfigurieren, bindet Windows alle Festplattenlaufwerke mit Lese- und Schreibzugriff ein.

Weitere Informationen zum Erstellen dieser Richtlinie mit Windows PowerShell finden Sie unter New-CMFDVDenyWriteAccessPolicy.

Feste Kennwortrichtlinie für Datenlaufwerk

Empfohlene Konfiguration: Nicht konfiguriert

Verwenden Sie diese Einstellungen, um die Einschränkungen für Kennwörter zum Entsperren von BitLocker-geschützten Festplattenlaufwerken festzulegen.

Wenn Sie diese Einstellung aktivieren, können Benutzer ein Kennwort konfigurieren, das Ihren definierten Anforderungen entspricht.

Um die Sicherheit zu erhöhen, aktivieren Sie diese Einstellung, und konfigurieren Sie dann die folgenden Einstellungen:

• Kennwort für Festplattenlaufwerk erforderlich: Benutzer müssen ein Kennwort angeben, um ein BitLocker-geschütztes Festplattenlaufwerk zu entsperren.

• Konfigurieren Sie die Kennwortkomplexität für feste Datenlaufwerke: Um Komplexitätsanforderungen für das Kennwort zu erzwingen, wählen Sie Kennwortkomplexität erforderlich aus.

• Mindestkennwortlänge für festes Datenlaufwerk: Standardmäßig beträgt 8die Mindestlänge .

Wenn Sie diese Einstellung deaktivieren, können Benutzer kein Kennwort konfigurieren.

Wenn die Richtlinie nicht konfiguriert ist, unterstützt BitLocker Kennwörter mit den Standardeinstellungen. Die Standardeinstellungen enthalten keine Anforderungen an die Kennwortkomplexität und erfordern nur acht Zeichen.

Weitere Informationen zum Erstellen dieser Richtlinie mit Windows PowerShell finden Sie unter New-CMFDVPassPhrasePolicy.

Allgemeine Verwendungshinweise für die Kennwortrichtlinie für feste Datenlaufwerke

• Damit diese Einstellungen für Komplexitätsanforderungen wirksam sind, aktivieren Sie auch die Gruppenrichtlinieneinstellung Kennwort muss Komplexitätsanforderungen inComputerkonfiguration>Windows-Einstellungen>Sicherheitseinstellungen>Kontorichtlinien>Kennwortrichtlinie aktivieren.

• BitLocker erzwingt diese Einstellungen, wenn Sie es aktivieren, nicht wenn Sie ein Volume entsperren. Mit BitLocker können Sie ein Laufwerk mit einer der auf dem Laufwerk verfügbaren Schutzvorrichtungen entsperren.

• Wenn Sie Gruppenrichtlinien verwenden, um FIPS-konforme Algorithmen für Verschlüsselung, Hashing und Signatur zu aktivieren, können Sie als BitLocker-Protektor keine Kennwörter zulassen.

Einstellungen für die Erzwingung von Verschlüsselungsrichtlinien (festes Datenlaufwerk)

Empfohlene Konfiguration: Aktiviert

Konfigurieren Sie die Anzahl der Tage, die Benutzer die BitLocker-Compliance für feste Datenlaufwerke verschieben können. Die Nachfrist für die Nichtkompatibilität beginnt, wenn der Configuration Manager das Festplattenlaufwerk zum ersten Mal als nicht konform erkennt. Die Richtlinie für feste Datenlaufwerke wird erst erzwungen, wenn das Betriebssystemlaufwerk kompatibel ist. Nach Ablauf des Aktivierungszeitraums können Benutzer die erforderliche Aktion nicht mehr verschieben oder eine Ausnahme beantragen.

Wenn für den Verschlüsselungsprozess Benutzereingaben erforderlich sind, wird in Windows ein Dialogfeld angezeigt, das der Benutzer erst schließen kann, wenn er die erforderlichen Informationen eingegeben hat. Für zukünftige Benachrichtigungen bei Fehlern oder Status wird diese Einschränkung nicht gelten.

Wenn BitLocker keine Benutzerinteraktion erfordert, um eine Schutzvorrichtung hinzuzufügen, startet BitLocker nach Ablauf des Aktivierungszeitraums die Verschlüsselung im Hintergrund.

Wenn Sie diese Einstellung deaktivieren oder nicht konfigurieren, verlangt Configuration Manager von Benutzern nicht, dass sie BitLocker-Richtlinien einhalten.

Um die Richtlinie sofort durchzusetzen, legen Sie einen Aktivierungszeitraum von 0fest.

Weitere Informationen zum Erstellen dieser Richtlinie mit Windows PowerShell finden Sie unter New-CMUseFddEnforcePolicy.

Wechseldatenträger

Über die Einstellungen auf dieser Seite wird die Verschlüsselung für Wechseldatenträger, z. B. USB-Sticks, konfiguriert.

Verschlüsselung von Wechseldatenträgern

Empfohlene Konfiguration: Aktiviert

Mit dieser Einstellung wird die Verwendung von BitLocker auf Wechseldatenträgern gesteuert.

• Benutzern das Anwenden des BitLocker-Schutzes auf Wechseldatenträger gestatten: Benutzer können den BitLocker-Schutz für einen Wechseldatenträger aktivieren.

• Benutzern das Anhalten und Entschlüsseln von BitLocker auf Wechseldatenträgern gestatten: Benutzer können die BitLocker-Laufwerkverschlüsselung von einem Wechseldatenträger entfernen oder vorübergehend anhalten.

Wenn Sie diese Einstellung aktivieren und Benutzern erlauben, den BitLocker-Schutz anzuwenden, speichert der Configuration Manager-Client Wiederherstellungsinformationen über Wechseldatenträger im Wiederherstellungsdienst auf dem Verwaltungspunkt. So können Benutzer das Laufwerk wiederherstellen, wenn sie den Kennwortschutz vergessen oder verloren haben.

Wenn Sie diese Einstellung aktivieren:

• Aktivieren der Einstellungen für die Kennwortrichtlinie für Wechseldatenträger

• Deaktivieren Sie die folgenden Gruppenrichtlinieneinstellungen im>Systemwechselspeicherzugriff für Benutzer- & Computerkonfigurationen:

  • Alle Wechselmedienklassen: Gesamten Zugriff verweigern
  • Wechseldatenträger: Schreibzugriff verweigern
  • Wechseldatenträger: Lesezugriff verweigern

Wenn Sie diese Einstellung deaktivieren, können Benutzer BitLocker nicht auf Wechseldatenträgern verwenden.

Weitere Informationen zum Erstellen dieser Richtlinie mit Windows PowerShell finden Sie unter New-CMRDVConfigureBDEPolicy.

Schreibzugriff auf Wechseldatenträger verweigern, die nicht durch BitLocker geschützt sind

Empfohlene Konfiguration: Nicht konfiguriert

BitLocker-Schutz für Windows erforderlich, um Daten auf Wechseldatenträger auf dem Gerät zu schreiben. BitLocker wendet diese Richtlinie an, wenn Sie es aktivieren.

Wenn Sie diese Einstellung aktivieren:

• Wenn BitLocker einen Wechseldatenträger schützt, wird er von Windows mit Lese- und Schreibzugriff bereitgestellt.

• Wechseldatenträger, die nicht von BitLocker geschützt werden, werden von Windows als schreibgeschützt bereitgestellt.

• Wenn Sie die Option zum Verweigern des Schreibzugriffs auf Geräte aktivieren, die in einer anderen Organisation konfiguriert sind, gewährt BitLocker nur Schreibzugriff auf Wechsellaufwerke mit Identifikationsfeldern, die mit den zulässigen Identifikationsfeldern übereinstimmen. Definieren Sie diese Felder mit den globalen Einstellungen für die eindeutigen Organisationsbezeichnerauf der Setupseite.

Wenn Sie diese Einstellung deaktivieren oder nicht konfigurieren, bindet Windows alle Wechseldatenträger mit Lese- und Schreibzugriff ein.

Weitere Informationen zum Erstellen dieser Richtlinie mit Windows PowerShell finden Sie unter New-CMRDVDenyWriteAccessPolicy.

Kennwortrichtlinie für Wechseldatenträger

Empfohlene Konfiguration: Aktiviert

Verwenden Sie diese Einstellungen, um die Einschränkungen für Kennwörter zum Entsperren von BitLocker-geschützten Wechsellaufwerken festzulegen.

Wenn Sie diese Einstellung aktivieren, können Benutzer ein Kennwort konfigurieren, das Ihren definierten Anforderungen entspricht.

Um die Sicherheit zu erhöhen, aktivieren Sie diese Einstellung, und konfigurieren Sie dann die folgenden Einstellungen:

• Kennwort für Wechseldatenträger erforderlich: Benutzer müssen ein Kennwort angeben, um einen von BitLocker geschützten Wechseldatenträger zu entsperren.

• Konfigurieren Sie die Kennwortkomplexität für Wechseldatenträger: Um Komplexitätsanforderungen für das Kennwort zu erzwingen, wählen Sie Kennwortkomplexität erforderlich aus.

• Mindestkennwortlänge für Wechseldatenträger: Standardmäßig beträgt 8die Mindestlänge .

Wenn Sie diese Einstellung deaktivieren, können Benutzer kein Kennwort konfigurieren.

Wenn die Richtlinie nicht konfiguriert ist, unterstützt BitLocker Kennwörter mit den Standardeinstellungen. Die Standardeinstellungen enthalten keine Anforderungen an die Kennwortkomplexität und erfordern nur acht Zeichen.

Weitere Informationen zum Erstellen dieser Richtlinie mit Windows PowerShell finden Sie unter New-CMRDVPassPhrasePolicy.

Allgemeine Verwendungshinweise für die Kennwortrichtlinie für Wechseldatenträger

• Damit diese Einstellungen für Komplexitätsanforderungen wirksam sind, aktivieren Sie auch die Gruppenrichtlinieneinstellung Kennwort muss Komplexitätsanforderungen inComputerkonfiguration>Windows-Einstellungen>Sicherheitseinstellungen>Kontorichtlinien>Kennwortrichtlinie aktivieren.

• BitLocker erzwingt diese Einstellungen, wenn Sie es aktivieren, nicht wenn Sie ein Volume entsperren. Mit BitLocker können Sie ein Laufwerk mit einer der auf dem Laufwerk verfügbaren Schutzvorrichtungen entsperren.

• Wenn Sie Gruppenrichtlinien verwenden, um FIPS-konforme Algorithmen für Verschlüsselung, Hashing und Signatur zu aktivieren, können Sie als BitLocker-Protektor keine Kennwörter zulassen.

Kundenverwaltung

Die Einstellungen auf dieser Seite konfigurieren BitLocker-Verwaltungsdienste und -Clients.

BitLocker-Verwaltungsdienste

Empfohlene Konfiguration: Aktiviert

Wenn Sie diese Einstellung aktivieren, sichert Configuration Manager automatisch und im Hintergrund wichtige Wiederherstellungsinformationen in der Standortdatenbank. Wenn Sie diese Einstellung deaktivieren oder nicht konfigurieren, speichert Configuration Manager keine Informationen zur Schlüsselwiederherstellung.

• Zu speichernde BitLocker-Wiederherstellungsinformationen auswählen: Konfigurieren Sie den Schlüsselwiederherstellungsdienst, um BitLocker-Wiederherstellungsinformationen zu sichern. Es bietet eine administrative Methode zur Wiederherstellung von Daten, die von BitLocker verschlüsselt wurden, wodurch Datenverlust aufgrund fehlender Schlüsselinformationen verhindert werden kann.

• Speichern von Wiederherstellungsinformationen im Nur-Text-Format zulassen: Ohne ein BitLocker-Verwaltungsverschlüsselungszertifikat für SQL Server speichert Configuration Manager die Schlüsselwiederherstellungsinformationen im Nur-Text-Format. Weitere Informationen finden Sie unter Verschlüsseln von Wiederherstellungsdaten in der Datenbank.

• Häufigkeit der Clientüberprüfung des Status (Minuten): Bei der konfigurierten Häufigkeit überprüft der Client die BitLocker-Schutzrichtlinien und den Status auf dem Computer und sichert auch den Clientwiederherstellungsschlüssel. Standardmäßig überprüft der Configuration Manager-Client den BitLocker-Status alle 90 Minuten.

  Wichtig

  Legen Sie diesen Wert nicht auf weniger als 60 fest. Ein kleinerer Häufigkeitswert kann dazu führen, dass der Client kurzzeitig ungenaue Konformitätszustände meldet.

Weitere Informationen zum Erstellen dieser Richtlinien mit Windows PowerShell finden Sie unter:

• Set-CMBlmPlaintextStorage
• New-CMBMSClientConfigureCheckIntervalPolicy

Ausnahmerichtlinie für Benutzer

Empfohlene Konfiguration: Nicht konfiguriert

Konfigurieren Sie eine Kontaktmethode, mit der Benutzer eine Ausnahme von der BitLocker-Verschlüsselung beantragen können.

Wenn Sie diese Richtlinieneinstellung aktivieren, stellen Sie die folgenden Informationen bereit:

• Maximale Anzahl von Tagen zum Verschieben: Gibt an, um wie viele Tage der Benutzer eine erzwungene Richtlinie verschieben kann. Standardmäßig ist 7 dieser Wert Tage (eine Woche).

• Kontaktmethode: Geben Sie an, wie Benutzer eine Ausnahme beantragen können: URL, E-Mail-Adresse oder Telefonnummer.

• Kontakt: Geben Sie die URL, E-Mail-Adresse oder Telefonnummer an. Wenn ein Benutzer eine Ausnahme vom BitLocker-Schutz anfordert, wird ein Windows-Dialogfeld mit Anweisungen zur Anwendung angezeigt. Configuration Manager überprüft die von Ihnen eingegebenen Informationen nicht.

  • URL: Verwenden Sie das Standard-URL-Format, https://website.domain.tld. Windows zeigt die URL als Link an.

  • E-Mail-Adresse: Verwenden Sie das Standardformat für E-Mail-Adressen. user@domain.tld Windows zeigt die Adresse als folgenden Link an: mailto:user@domain.tld?subject=Request exemption from BitLocker protection.

  • Telefonnummer: Geben Sie die Nummer an, die Ihre Benutzer anrufen sollen. Windows zeigt die Zahl mit der folgenden Beschreibung an: Please call <your number> for applying exemption.

Wenn Sie diese Einstellung deaktivieren oder nicht konfigurieren, zeigt Windows den Benutzern die Anweisungen für Ausnahmeanträge nicht an.

Weitere Informationen zum Erstellen dieser Richtlinie mit Windows PowerShell finden Sie unter New-CMBMSUserExemptionPolicy.

URL für den Link zur Sicherheitsrichtlinie

Empfohlene Konfiguration: Aktiviert

Geben Sie eine URL an, die Benutzern als Unternehmenssicherheitsrichtlinie in Windows angezeigt werden soll. Verwenden Sie diesen Link, um Benutzern Informationen zu den Verschlüsselungsanforderungen bereitzustellen. Es wird angezeigt, wenn BitLocker den Benutzer auffordert, ein Laufwerk zu verschlüsseln.

Wenn Sie diese Einstellung aktivieren, konfigurieren Sie die URL des Sicherheitsrichtlinien-Links.

Wenn Sie diese Einstellung deaktivieren oder nicht konfigurieren, zeigt BitLocker den Link zur Sicherheitsrichtlinie nicht an.

Weitere Informationen zum Erstellen dieser Richtlinie mit Windows PowerShell finden Sie unter New-CMMoreInfoUrlPolicy.

Nächste Schritte

Wenn Sie diese Richtlinienobjekte mit Windows PowerShell erstellen, verwenden Sie das Cmdlet New-CMBlmSetting. Dieses Cmdlet erstellt ein BitLocker-Verwaltungsrichtlinieneinstellungsobjekt, das alle angegebenen Richtlinien enthält. Um die Richtlinieneinstellungen für eine Sammlung bereitzustellen, verwenden Sie das Cmdlet New-CMSettingDeployment .