Bereitstellen der BitLocker-Verwaltung

Gilt für: Konfigurations-Manager (Current Branch)

Die BitLocker-Verwaltung im Konfigurations-Manager umfasst die folgenden Komponenten:

Bevor Sie BitLocker-Verwaltungsrichtlinien erstellen und bereitstellen:

Richtlinie erstellen

Wenn Sie diese Richtlinie erstellen und bereitstellen, aktiviert der Konfigurations-Manager-Client den BitLocker-Verwaltungs-Agent auf dem Gerät.

Hinweis

Zum Erstellen einer BitLocker-Verwaltungsrichtlinie benötigen Sie die Rolle "Volladministrator" im Konfigurations-Manager.

  1. Wechseln Sie in der Konfigurations-Manager-Konsole zum Arbeitsbereich "Assets und Compliance", erweitern Sie Endpunktschutz, und wählen Sie den Knoten "BitLocker-Verwaltung" aus.

  2. Wählen Sie im Menüband die Option BitLocker-Verwaltungssteuerungsrichtlinie erstellen aus.

  3. Geben Sie auf der Seite "Allgemein" einen Namen und optional eine Beschreibung an. Wählen Sie die Komponenten aus, die auf Clients mit dieser Richtlinie aktiviert werden sollen:

    • Betriebssystemlaufwerk: Verwalten, ob das Betriebssystemlaufwerk verschlüsselt ist

    • Festplattenlaufwerk: Verwalten der Verschlüsselung für andere Datenlaufwerke auf einem Gerät

    • Wechseldatenträger: Verwalten der Verschlüsselung für Laufwerke, die Sie von einem Gerät entfernen können, z. B. einen USB-Schlüssel

    • Clientverwaltung: Verwalten der Schlüsselwiederherstellungsdienstsicherung von Wiederherstellungsinformationen der BitLocker-Laufwerkverschlüsselung

  4. Konfigurieren Sie auf der Seite Setup die folgenden globalen Einstellungen für die BitLocker-Laufwerkverschlüsselung:

    Hinweis

    Konfigurations-Manager wendet diese Einstellungen an, wenn Sie BitLocker aktivieren. Wenn das Laufwerk bereits verschlüsselt ist oder in Bearbeitung ist, ändert jede Änderung dieser Richtlinieneinstellungen nichts an der Laufwerkverschlüsselung auf dem Gerät.

    Wenn Sie diese Einstellungen deaktivieren oder nicht konfigurieren, verwendet BitLocker die Standardverschlüsselungsmethode (AES 128-Bit).

    • Aktivieren Sie für Windows 8.1-Geräte die Option für die Laufwerkverschlüsselungsmethode und Verschlüsselungsstärke. Wählen Sie dann die Verschlüsselungsmethode aus.

    • Aktivieren Sie für Geräte unter Windows 10 oder höher die Option für die Laufwerkverschlüsselungsmethode und die Verschlüsselungsstärke (Windows 10 oder höher). Wählen Sie dann einzeln die Verschlüsselungsmethode für Betriebssystemlaufwerke, feste Datenlaufwerke und Wechseldatenlaufwerke aus.

    Weitere Informationen zu diesen und anderen Einstellungen auf dieser Seite finden Sie unter Einstellungsreferenz – Setup.

  5. Legen Sie auf der Seite "Betriebssystemlaufwerk " die folgenden Einstellungen fest:

    • Einstellungen für Betriebssystem-Laufwerkverschlüsselung: Wenn Sie diese Einstellung aktivieren, muss der Benutzer das Betriebssystemlaufwerk schützen, und BitLocker verschlüsselt das Laufwerk. Wenn Sie sie deaktivieren, kann der Benutzer das Laufwerk nicht schützen.

    Auf Geräten mit einem kompatiblen TPM können beim Start zwei Arten von Authentifizierungsmethoden verwendet werden, um zusätzlichen Schutz für verschlüsselte Daten bereitzustellen. Beim Starten des Computers kann nur das TPM für die Authentifizierung verwendet werden, oder es kann auch die Eingabe einer persönlichen Identifikationsnummer (PIN) erforderlich sein. Konfigurieren Sie die folgenden Einstellungen:

    • Schutzvorrichtung für Betriebssystemlaufwerk auswählen: Konfigurieren Sie es so, dass ein TPM und eine PIN oder nur das TPM verwendet werden.

    • Minimale PIN-Länge für Start konfigurieren: Wenn Sie eine PIN benötigen, ist dieser Wert die kürzeste Länge, die der Benutzer angeben kann. Der Benutzer gibt diese PIN beim Hochfahren des Computers ein, um das Laufwerk zu entsperren. Standardmäßig beträgt 4die Mindestlänge der PIN .

    Weitere Informationen zu diesen und anderen Einstellungen auf dieser Seite finden Sie unter Einstellungsreferenz – Betriebssystemlaufwerk.

  6. Legen Sie auf der Seite Festplattenlaufwerk die folgenden Einstellungen fest:

    • Verschlüsselung von festen Datenlaufwerken: Wenn Sie diese Einstellung aktivieren, verlangt BitLocker, dass Benutzer alle Festplattenlaufwerke schützen. Anschließend werden die Datenlaufwerke verschlüsselt. Wenn Sie diese Richtlinie aktivieren, aktivieren Sie entweder die automatische Entsperrung oder die Einstellungen für die Kennwortrichtlinie für das feste Datenlaufwerk.

    • Konfigurieren der automatischen Entsperrung für feste Datenlaufwerke: Erlauben oder schreiben Sie vor, dass BitLocker jedes verschlüsselte Datenlaufwerk automatisch entsperrt. Um die automatische Entsperrung zu verwenden, muss BitLocker auch das Betriebssystemlaufwerk verschlüsseln.

    Weitere Informationen zu diesen und anderen Einstellungen auf dieser Seite finden Sie unter Einstellungsreferenz – Festplattenlaufwerk.

  7. Legen Sie auf der Seite Wechseldatenträger die folgenden Einstellungen fest:

    • Verschlüsselung von Wechseldatenträgern: Wenn Sie diese Einstellung aktivieren und Benutzern erlauben, den BitLocker-Schutz anzuwenden, speichert der Konfigurations-Manager-Client Wiederherstellungsinformationen über Wechseldatenträger im Wiederherstellungsdienst auf dem Verwaltungspunkt. So können Benutzer das Laufwerk wiederherstellen, wenn sie den Kennwortschutz vergessen oder verloren haben.

    • Benutzern das Anwenden des BitLocker-Schutzes auf Wechseldatenträger gestatten: Benutzer können den BitLocker-Schutz für einen Wechseldatenträger aktivieren.

    • Kennwortrichtlinie für Wechseldatenträger: Verwenden Sie diese Einstellungen, um die Einschränkungen für Kennwörter zum Entsperren von BitLocker-geschützten Wechsellaufwerken festzulegen.

    Weitere Informationen zu diesen und anderen Einstellungen auf dieser Seite finden Sie unter Einstellungsreferenz – Wechseldatenträger.

  8. Legen Sie auf der Seite Clientverwaltung die folgenden Einstellungen fest:

    • BitLocker-Verwaltungsdienste konfigurieren: Wenn Sie diese Einstellung aktivieren, sichert Konfigurations-Manager automatisch und im Hintergrund wichtige Wiederherstellungsinformationen in der Standortdatenbank. Wenn Sie diese Einstellung deaktivieren oder nicht konfigurieren, speichert Konfigurations-Manager keine Informationen zur Schlüsselwiederherstellung.

      • Zu speichernde BitLocker-Wiederherstellungsinformationen auswählen: Konfigurieren Sie die Option so, dass ein Wiederherstellungskennwort und ein Schlüsselpaket oder nur ein Wiederherstellungskennwort verwendet wird.

      • Speichern von Wiederherstellungsinformationen im Nur-Text-Format zulassen: Ohne ein BitLocker-Verwaltungsverschlüsselungszertifikat speichert Konfigurations-Manager die Schlüsselwiederherstellungsinformationen im Nur-Text-Format. Weitere Informationen finden Sie unter Verschlüsseln von Wiederherstellungsdaten in der Datenbank.

    Weitere Informationen zu diesen und anderen Einstellungen auf dieser Seite finden Sie unter Einstellungsreferenz – Clientverwaltung.

  9. Schließen Sie den Assistenten ab.

Wenn Sie die Einstellungen einer vorhandenen Richtlinie ändern möchten, wählen Sie diese in der Liste aus, und klicken Sie dann auf Eigenschaften.

Wenn Sie mehrere Richtlinien erstellen, können Sie deren relative Priorität konfigurieren. Wenn Sie mehrere Richtlinien auf einem Client bereitstellen, bestimmt er die Einstellungen anhand des Prioritätswerts.

Ab Version 2006 können Sie Windows PowerShell-Cmdlets für diese Aufgabe verwenden. Weitere Informationen finden Sie unter New-CMBlmSetting.

Bereitstellen einer Richtlinie

  1. Wählen Sie im Knoten "BitLocker-Verwaltung" eine vorhandene Richtlinie aus. Wählen Sie im Menüband Bereitstellen aus.

  2. Wählen Sie eine Gerätesammlung als Ziel der Bereitstellung aus.

  3. Wenn das Gerät seine Laufwerke jederzeit verschlüsseln oder entschlüsseln soll, wählen Sie die Option "Wartung außerhalb des Wartungsfensters zulassen" aus. Wenn die Sammlung Wartungsfenster aufweist, wird diese BitLocker-Richtlinie trotzdem korrigiert.

  4. Konfigurieren Sie einen einfachen oder benutzerdefinierten Zeitplan. Der Client bewertet die Konformität basierend auf den im Zeitplan angegebenen Einstellungen.

  5. Klicken Sie auf "OK ", um die Richtlinie bereitzustellen.

Sie können mehrere Bereitstellungen derselben Richtlinie erstellen. Um zusätzliche Informationen zu den einzelnen Bereitstellungen anzuzeigen, wählen Sie die Richtlinie im Knoten BitLocker-Verwaltung aus, und wechseln Sie dann im Detailbereich zur Registerkarte Bereitstellungen. Sie können für diese Aufgabe auch Windows PowerShell-Cmdlets verwenden. Weitere Informationen finden Sie unter New-CMSettingDeployment.

Wichtig

Wenn eine RDP-Verbindung (Remotedesktopprotokoll) aktiv ist, startet der MBAM-Client keine BitLocker-Laufwerkverschlüsselungsaktionen. Schließen Sie alle Remotekonsolenverbindungen, und melden Sie sich bei einer Konsolensitzung mit einem Domänenbenutzerkonto an. Dann wird die BitLocker-Laufwerkverschlüsselung gestartet, und der Client lädt Wiederherstellungsschlüssel und -pakete hoch. Wenn Sie sich mit einem lokalen Benutzerkonto anmelden, wird die BitLocker-Laufwerkverschlüsselung nicht gestartet.

Sie können RDP verwenden, um eine Remoteverbindung mit der Konsolensitzung des Geräts mit dem /admin Switch herzustellen. Beispiel: mstsc.exe /admin /v:<IP address of device>

Eine Konsolensitzung findet entweder statt, wenn Sie sich an der physischen Konsole des Computers befinden, oder eine Remoteverbindung, die mit der Verbindung identisch ist, als ob Sie sich an der physischen Konsole des Computers befinden.

Überwachen

Zeigen Sie grundlegende Konformitätsstatistiken zur Richtlinienbereitstellung im Detailbereich des Knotens BitLocker-Verwaltung an:

  • Anzahl der Compliance
  • Anzahl von Fehlern
  • Anzahl von Verstößen

Wechseln Sie zur Registerkarte Bereitstellungen , um den Prozentsatz der Compliance und die empfohlenen Maßnahmen anzuzeigen. Wählen Sie die Bereitstellung und dann im Menüband die Option Status anzeigen aus. Durch diese Aktion wird die Ansicht auf den Arbeitsbereich "Überwachung ", Knoten Bereitstellungen , umgeschaltet. Ähnlich wie bei der Bereitstellung anderer Konfigurationsrichtlinienbereitstellungen wird in dieser Ansicht ein detaillierterer Status der Compliance angezeigt.

Wenn Sie verstehen möchten, warum Clients nicht mit der BitLocker-Verwaltungsrichtlinie konform sind, lesen Sie Codes für Nichtkompatibilität.

Weitere Informationen zur Problembehandlung finden Sie unter Problembehandlung für BitLocker.

Verwenden Sie zur Überwachung und Problembehandlung die folgenden Protokolle:

Clientprotokolle

  • MBAM-Ereignisprotokoll: Navigieren Sie in der Windows-Ereignisanzeige zu "Anwendungen und Dienste>"Microsoft>Windows>MBAM. Weitere Informationen finden Sie unter Informationen zu BitLocker-Ereignisprotokollen und Clientereignisprotokollen.

  • BitlockerManagementHandler.log und BitlockerManagement_GroupPolicyHandler.log standardmäßig im Pfad %WINDIR%\CCM\Logs der Clientprotokolle

Verwaltungspunktprotokolle (Wiederherstellungsdienst)

  • Ereignisprotokoll des Wiederherstellungsdiensts: Navigieren Sie in der Windows-Ereignisanzeige zu Anwendungen und Dienste>Microsoft>Windows>MBAM-Web. Weitere Informationen finden Sie unter Informationen zu BitLocker-Ereignisprotokollen und Serverereignisprotokollen.

  • Ablaufverfolgungsprotokolle des Wiederherstellungsdiensts: <Default IIS Web Root>\Microsoft BitLocker Management Solution\Logs\Recovery And Hardware Service\trace*.etl

Überlegungen zur Migration

Wenn Sie derzeit Microsoft BitLocker Administration and Monitoring (MBAM) verwenden, können Sie die Verwaltung nahtlos zum Konfigurations-Manager migrieren. Wenn Sie BitLocker-Verwaltungsrichtlinien in Konfigurations-Manager bereitstellen, laden Clients automatisch Wiederherstellungsschlüssel und -pakete in den Konfigurations-Manager-Wiederherstellungsdienst hoch.

Wichtig

Wenn Sie von der eigenständigen MBAM-Version zur BitLocker-Verwaltung im Konfigurations-Manager migrieren und vorhandene Funktionen der eigenständigen MBAM-Verwaltung benötigen, verwenden Sie keine eigenständigen MBAM-Server oder -Komponenten mit der BitLocker-Verwaltung von Konfigurations-Manager wieder. Wenn Sie diese Server wiederverwenden, funktioniert das eigenständige MBAM nicht mehr, wenn die BitLocker-Verwaltung im Konfigurations-Manager die zugehörigen Komponenten auf diesen Servern installiert. Führen Sie nicht das MBAMWebSiteInstaller.ps1 Skript aus, um die BitLocker-Portale auf eigenständigen MBAM-Servern einzurichten. Verwenden Sie beim Einrichten der BitLocker-Verwaltung im Konfigurations-Manager separate Server.

Konflikte mit Gruppenrichtlinien

Konfigurations-Manager implementiert nicht alle MBAM-Gruppenrichtlinieneinstellungen. Eigenständiges MBAM verwendet Domänengruppenrichtlinien, während Konfigurations-Manager lokale Richtlinien für die BitLocker-Verwaltung festlegt. Domänenrichtlinien setzen die BitLocker-Verwaltungsrichtlinien des lokalen Konfigurations-Manager außer Kraft. Wenn die eigenständige MBAM-Domänengruppenrichtlinie nicht mit der Konfigurations-Manager-Richtlinie übereinstimmt, schlägt die BitLocker-Verwaltung von Konfigurations-Manager fehl. Wenn beispielsweise eine Domänengruppenrichtlinie den eigenständigen MBAM-Server für Schlüsselwiederherstellungsdienste festlegt, kann die BitLocker-Verwaltung von Konfigurations-Manager nicht die gleiche Einstellung für den Verwaltungspunkt festlegen. Dieses Verhalten führt dazu, dass Clients ihre Wiederherstellungsschlüssel nicht an den BitLocker-Verwaltungsschlüsselwiederherstellungsdienst von Konfigurations-Manager auf dem Verwaltungspunkt melden.

Warnung

Der Konfigurations-Manager weist Funktionsparität mit eigenständigem MBAM auf. Mit Konfigurations-Manager sollte es keinen Grund geben, Domänengruppenrichtlinien festzulegen, um die BitLocker-Verwaltung zu konfigurieren. Um Konflikte und Probleme zu vermeiden, vermeiden Sie die Verwendung von Gruppenrichtlinien für BitLocker. Konfigurieren Sie alle Einstellungen über die BitLocker-Verwaltungsrichtlinien des Konfigurations-Manager.

TPM-Kennworthash

  • Vorherige MBAM-Clients laden den TPM-Kennworthash nicht in den Konfigurations-Manager hoch. Der Client lädt den TPM-Kennworthash nur einmal hoch.

  • Wenn Sie diese Informationen zum Konfigurations-Manager Wiederherstellungsdienst migrieren müssen, löschen Sie das TPM auf dem Gerät. Nach dem Neustart wird der neue TPM-Kennworthash in den Wiederherstellungsdienst hochgeladen.

Hinweis

Das Hochladen des TPM-Kennworthashs bezieht sich hauptsächlich auf Windows-Versionen vor Windows 10. Windows 10 oder höher speichert den TPM-Kennworthash standardmäßig nicht, sodass diese Geräte ihn normalerweise nicht hochladen. Weitere Informationen finden Sie unter Informationen zum TPM-Besitzerkennwort.

Erneute Verschlüsselung

Konfigurations-Manager verschlüsselt Laufwerke, die bereits mit BitLocker-Laufwerkverschlüsselung geschützt sind, nicht erneut. Wenn Sie eine BitLocker-Verwaltungsrichtlinie bereitstellen, die nicht dem aktuellen Schutz des Laufwerks entspricht, wird diese als nicht kompatibel gemeldet. Das Laufwerk ist weiterhin geschützt.

Sie haben z. B. MBAM verwendet, um das Laufwerk mit dem AES-XTS 128-Verschlüsselungsalgorithmus zu verschlüsseln, aber die Konfigurations-Manager-Richtlinie erfordert AES-XTS 256. Das Laufwerk ist nicht mit der Richtlinie kompatibel, obwohl das Laufwerk verschlüsselt ist.

Um dieses Verhalten zu umgehen, deaktivieren Sie zunächst BitLocker auf dem Gerät. Stellen Sie dann eine neue Richtlinie mit den neuen Einstellungen bereit.

Co-Management und Intune

Der Konfigurations-Manager-Clienthandler für BitLocker ist co-verwaltungsbewusst. Wenn das Gerät gemeinsam verwaltet wird und Sie die Endpoint Protection-Workload auf Intune umstellen, ignoriert der Konfigurations-Manager-Client seine BitLocker-Richtlinie. Das Gerät ruft die Windows-Verschlüsselungsrichtlinie von Intune ab.

Wichtig

Das Wechseln der Verschlüsselungsverwaltungsautorität unter Beibehaltung des gewünschten Verschlüsselungsalgorithmus erfordert keine zusätzlichen Aktionen auf dem Client. Wenn Sie jedoch die Verschlüsselungsverwaltungsautoritäten wechseln und sich auch der gewünschte Verschlüsselungsalgorithmus ändert, müssen Sie die erneute Verschlüsselung planen.

Weitere Informationen zum Verwalten von BitLocker mit Intune finden Sie in den folgenden Artikeln:

Nächste Schritte

Informationen zum BitLocker-Wiederherstellungsdienst

Einrichten von BitLocker-Berichten und -Portalen

  • Last updated on