BitLocker-Übersicht

BitLocker ist ein Windows-Sicherheitsfeature, das Verschlüsselung für ganze Volumes bereitstellt, um die Bedrohungen durch Datendiebstahl oder Offenlegung durch verlorene, gestohlene oder unangemessen außer Betrieb gesetzte Geräte zu behandeln.

Daten auf einem verloren gegangenen oder gestohlenen Gerät sind anfällig für nicht autorisierte Zugriffe durch das Ausführen eines Softwareangriffstools oder die Übertragung der Festplatte des Geräts auf ein anderes Gerät. BitLocker verringert das Risiko durch nicht autorisierten Datenzugriff, indem der Datei- und Systemschutz verbessert wird, sodass nicht auf Daten zugegriffen werden kann, wenn BitLocker-geschützte Geräte außer Betrieb genommen oder wiederverwendet werden.

BitLocker und TPM

BitLocker bietet maximalen Schutz, wenn es mit einem Trusted Platform Module (TPM) verwendet wird, einer allgemeinen Hardwarekomponente, die auf Windows-Geräten installiert ist. Das TPM arbeitet mit BitLocker zusammen, um sicherzustellen, dass ein Gerät nicht manipuliert wurde, während das System offline ist.

Zusätzlich zum TPM kann BitLocker den normalen Startvorgang sperren, bis der Benutzer eine persönliche Identifikationsnummer (PIN) angibt oder einen Wechseldatenträger einführt, der einen Startschlüssel enthält. Diese Sicherheitsmaßnahmen bieten eine mehrstufige Authentifizierung und die Gewissheit, dass der Ruhezustand des Geräts erst gestartet oder aus dem Ruhezustand fortgesetzt werden kann, wenn die richtige PIN oder ein Systemstartschlüssel bereitgestellt wird.

Auf Geräten, die nicht über ein TPM verfügen, kann BitLocker weiterhin zur Verschlüsselung des Betriebssystemlaufwerks verwendet werden. Diese Implementierung erfordert vom Benutzer entweder:

• Verwenden Sie einen Systemstartschlüssel, bei dem es sich um eine Datei handelt, die auf einem Wechseldatenträger gespeichert ist und zum Starten des Geräts oder zum Fortsetzen aus dem Ruhezustand verwendet wird.
• Verwenden Sie ein Kennwort. Diese Option ist nicht sicher, da sie Brute-Force-Angriffen ausgesetzt ist, da es keine Kennwortsperrlogik gibt. Daher wird von der Kennwortoption abgeraten und sie ist standardmäßig deaktiviert.

Beide Optionen bieten nicht die Systemintegritätsprüfung vor dem Start, die BitLocker mit einem TPM bietet.

Die folgenden Screenshots zeigen den BitLocker-Preboot-Bildschirm, wenn ein Startschlüssel, eine PIN oder ein Kennwort zum Starten des Geräts erforderlich ist:

Systemanforderungen

Für BitLocker gelten die folgenden Anforderungen:

• Damit BitLocker die von einem TPM bereitgestellte Überprüfung der Systemintegrität verwenden kann, muss auf dem Gerät TPM 1.2 oder höher installiert sein. Wenn ein Gerät nicht über ein TPM verfügt, ist das Speichern eines Systemstartschlüssels auf einem Wechseldatenträger obligatorisch, wenn BitLocker aktiviert wird.

• Ein Gerät mit einem TPM muss außerdem eine Trusted Computing Group (TCG)-kompatible BIOS und UEFI-Firmware besitzen. Die BIOS- oder UEFI-Firmware stellt eine Vertrauenskette für den Pre-Boot-Start her, und die Unterstützung für TCG-spezifische Static Root of Trust Measurement TCG umfassen. Ein Computer ohne TPM benötigt keine TCG-kompatible Firmware.

• Die System-BIOS- oder UEFI-Firmware (für TPM- und Nicht-TPM-Geräte) muss die Geräteklasse für USB-Massenspeicher und das Lesen von Dateien auf einem USB-Laufwerk in der Pre-Boot-Umgebung unterstützen.

  Hinweis

  TPM 2.0 wird im Legacy - und Compatibility Support Module (CSM) Modus des BIOS nicht unterstützt. Bei Geräten mit TPM 2.0 muss der BIOS-Modus auf natives UEFI eingestellt sein. Die Optionen Legacy und CSM müssen deaktiviert sein. Für zusätzliche Sicherheit aktivieren Sie das Feature zum sicheren Booten .

  Ein installiertes Betriebssystem auf Hardware im Legacy-Modus verhindert das Booten des Betriebssystems, wenn der BIOS-Modus auf UEFI geändert wird. Verwenden Sie das Tool mbr2gpt.exe vor dem Ändern des BIOS-Modus, der das Betriebssystem und die Festplatte auf die Unterstützung von UEFI vorbereitet.

• Die Festplatte muss mit mindestens zwei Laufwerken partitioniert werden:

  • Das Betriebssystemlaufwerk (oder Startlaufwerk) enthält das Betriebssystem und unterstützende Dateien. Es muss mit dem NTFS-Dateisystem formatiert sein.

  • Das Systemlaufwerk enthält Dateien, die zum Starten, Entschlüsseln und Laden des Betriebssystems erforderlich sind. BitLocker ist auf diesem Laufwerk nicht aktiviert. Damit BitLocker funktioniert, muss das Systemlaufwerk die folgenden Angaben ausführen:

    • darf nicht verschlüsselt sein.
    • Muss vom Betriebssystemlaufwerk abweichen.
    • Muss mit dem FAT32-Dateisystem auf Computern formatiert sein, die UEFI-basierte Firmware verwenden, oder mit dem NTFS-Dateisystem auf Computern, die BIOS-Firmware verwenden.
    • Es wird eine Größe von etwa 350 MB empfohlen. Nach dem Aktivieren von BitLocker sollten Sie etwa 250 MB freien Speicherplatz haben.

    Wichtig

    Bei der Installation auf einem neuen Gerät erstellt Windows automatisch die Partitionen, die für BitLocker erforderlich sind.

    Wenn das Laufwerk als einzelner zusammenhängender Speicherplatz vorbereitet wurde, benötigt BitLocker ein neues Volume für die Startdateien. BdeHdCfg.exe kann das Volume erstellen. Weitere Informationen zur Verwendung des Tools finden Sie unter "bdehdcfg " in der Command-Line-Referenz.

Windows-Edition und Lizenzierungsanforderungen

In der folgenden Tabelle sind die Windows-Editionen aufgeführt, die die BitLocker-Aktivierung unterstützen:

BitLocker-Aktivierungslizenzberechtigungen werden durch die folgenden Lizenzen gewährt:

Weitere Informationen zur Windows-Lizenzierung finden Sie unter Übersicht über die Windows-Lizenzierung.

Geräteverschlüsselung

Die Geräteverschlüsselung ist ein Windows-Feature, das einigen Geräten eine einfache Möglichkeit bietet, die BitLocker-Verschlüsselung automatisch zu aktivieren. Die Geräteverschlüsselung ist in allen Windows-Versionen verfügbar und erfordert, dass ein Gerät entweder Modern Standby - oder HSTI-Sicherheitsanforderungen erfüllt. Die Geräteverschlüsselung darf keine extern zugänglichen Ports haben, die DMA-Zugriff ermöglichen. Die Geräteverschlüsselung verschlüsselt nur das Betriebssystemlaufwerk und die Festplattenlaufwerke, nicht aber externe/USB-Laufwerke.

Im Gegensatz zu einer standardmäßigen BitLocker-Implementierung ist die Geräteverschlüsselung automatisch aktiviert, sodass das Gerät immer geschützt ist. Wenn eine saubere Installation von Windows und die Out-of-Box-Erfahrung abgeschlossen sind, ist das Gerät für die erste Verwendung vorbereitet. Als Teil dieser Vorbereitung wird die Geräteverschlüsselung auf dem Betriebssystemlaufwerk und den Festplattenlaufwerken auf dem Computer mit einem unverschlüsselten Schlüssel initialisiert, der dem standardmäßigen BitLocker-Status "Angehalten" entspricht. In diesem Zustand wird das Laufwerk mit einem Warnsymbol im Windows Explorer angezeigt. Das gelbe Warnsymbol wird entfernt, nachdem der TPM-Schutz erstellt und der Wiederherstellungsschlüssel gesichert wurde.

• Wenn das Gerät in Microsoft Entra ID oder in die Active Directory-Domäne eingebunden ist, wird der unverschlüsselte Schlüssel entfernt, sobald der Wiederherstellungsschlüssel erfolgreich in Microsoft Entra ID oder Active Directory Domain Services (AD DS) gesichert wurde. Die folgenden Richtlinieneinstellungen müssen aktiviert sein, damit der Wiederherstellungsschlüssel gesichert werden kann: Wählen Sie aus, wie BitLocker-geschützte Betriebssystemlaufwerke wiederhergestellt werden können.
  • Für mit Microsoft Entra verbundene Geräte: Das Wiederherstellungskennwort wird automatisch erstellt, wenn sich der Benutzer bei Microsoft Entra ID authentifiziert, dann wird der Wiederherstellungsschlüssel auf Microsoft Entra ID gesichert, der TPM-Schutz wird erstellt und der unverschlüsselte Schlüssel wird entfernt.
  • Für Geräte, die mit AD DS verbunden sind: Das Wiederherstellungskennwort wird automatisch erstellt, wenn der Computer der Domäne beitritt. Anschließend wird der Wiederherstellungsschlüssel in AD DS gesichert, der TPM-Schutz wird erstellt und der unverschlüsselte Schlüssel entfernt.
• Wenn das Gerät nicht mit Microsoft Entra oder der Active Directory-Domäne verknüpft ist, ist ein Microsoft-Konto mit Administratorrechten für das Gerät erforderlich. Wenn der Administrator ein Microsoft-Konto zur Anmeldung verwendet, wird der unverschlüsselte Schlüssel entfernt, ein Wiederherstellungsschlüssel wird in das Microsoft-Onlinekonto hochgeladen, und eine TPM-Schutzvorrichtung wird erstellt. Sollte ein Gerät den Wiederherstellungsschlüssel benötigen, wird der Benutzer angewiesen, ein alternatives Gerät zu verwenden und zu einer URL für den Zugriff auf den Wiederherstellungsschlüssel zu navigieren, um den Wiederherstellungsschlüssel mit seinen Microsoft-Kontoanmeldeinformationen abzurufen.
• Wenn ein Gerät nur lokale Konten verwendet, bleibt es ungeschützt, obwohl die Daten verschlüsselt sind.

Wenn ein Gerät anfänglich nicht für die Geräteverschlüsselung qualifiziert ist, dann aber eine Änderung vorgenommen wird, die dazu führt, dass das Gerät qualifiziert ist (z. B. durch Aktivieren des sicheren Starts), aktiviert die Geräteverschlüsselung BitLocker automatisch, sobald es erkannt wird.

Ob ein Gerät die Anforderungen für die Geräteverschlüsselung erfüllt, können Sie in der Systeminformations-App (msinfo32.exe) überprüfen. Wenn das Gerät die Anforderungen erfüllt, wird in den Systeminformationen eine Zeile angezeigt, die lautet:

Unterschied zwischen BitLocker und Geräteverschlüsselung

• Die Geräteverschlüsselung aktiviert BitLocker automatisch auf Geräten, die für die Geräteverschlüsselung qualifiziert sind, wobei der Wiederherstellungsschlüssel automatisch in Microsoft Entra ID, AD DS oder dem Microsoft-Konto des Benutzers gesichert wird.
• Die Geräteverschlüsselung fügt in der App Einstellungen eine Einstellung für die Geräteverschlüsselung hinzu, mit der die Geräteverschlüsselung ein- oder ausgeschaltet werden kann.
  • Auf der Benutzeroberfläche "Einstellungen" wird die Geräteverschlüsselung erst angezeigt, wenn die Verschlüsselung abgeschlossen ist.

Geräteverschlüsselung deaktivieren

Es wird empfohlen, die Geräteverschlüsselung für alle Systeme aktiviert zu lassen, die sie unterstützen. Sie können jedoch die automatische Geräteverschlüsselung verhindern, indem Sie die folgende Registrierungseinstellung ändern:

Weitere Informationen zur Geräteverschlüsselung finden Sie unter Hardwareanforderungen für die BitLocker-Geräteverschlüsselung.

Nächste Schritte