BitLocker-Wiederherstellungsbildschirm vor dem Start

Während der BitLocker-Wiederherstellung ist der Pre-Boot-Wiederherstellungsbildschirm ein wichtiger Berührungspunkt für Benutzer. Er bietet eine benutzerdefinierte Wiederherstellungsnachricht, die auf die Bedürfnisse der Organization zugeschnitten ist, eine direkte Wiederherstellungs-URL für zusätzlichen Support sowie strategische Hinweise, die Benutzer beim Auffinden ihres Wiederherstellungsschlüssels unterstützen.

Dieser Artikel befasst sich mit den verschiedenen Elementen, die auf dem Pre-Boot-Wiederherstellungsbildschirm angezeigt werden, und erläutert, wie Richtlinieneinstellungen und der Status von Wiederherstellungsschlüsseln die präsentierten Informationen beeinflussen. Ob es sich um eine personalisierte Nachricht oder praktische Anleitungen handelt, der Pre-Boot-Wiederherstellungsbildschirm wurde entwickelt, um den Wiederherstellungsprozess für Benutzer zu optimieren.

Standard-Preboot-Wiederherstellungsbildschirm

Benutzerdefinierte Wiederherstellungsnachricht

Mit den BitLocker-Richtlinieneinstellungen können Sie eine benutzerdefinierte Wiederherstellungsnachricht und URL auf dem BitLocker-Wiederherstellungsbildschirm vor dem Start konfigurieren. Die benutzerdefinierte Wiederherstellungsnachricht und die URL können die Adresse des Self-Service-Wiederherstellungsportals von BitLocker, die interne IT-Website oder eine Telefonnummer für den Support enthalten.

Weitere Informationen zum Konfigurieren einer benutzerdefinierten Wiederherstellungsnachricht mit Richtlinieneinstellungen finden Sie unter Konfigurieren von Preboot-Wiederherstellungsnachricht und URL.

Wichtige Hinweise zur Wiederherstellung

BitLocker-Metadaten enthalten Informationen darüber, wann und wo ein BitLocker-Wiederherstellungsschlüssel gespeichert wurde. Diese Informationen werden nicht über die Benutzeroberfläche oder eine öffentliche API verfügbar gemacht. Sie wird ausschließlich vom BitLocker-Wiederherstellungsbildschirm in Form von Hinweisen verwendet, die einem Benutzer helfen, den Wiederherstellungsschlüssel eines Volumes zu finden. Auf dem Wiederherstellungsbildschirm werden Hinweise angezeigt, die sich auf den Speicherort des Schlüssels beziehen. Die Hinweise gelten sowohl für den Wiederherstellungsbildschirm des Start-Managers als auch für den WinRE-Entsperrbildschirm.

Es gibt Regeln, welche Hinweise während der Wiederherstellung angezeigt werden (in der Reihenfolge der Verarbeitung):

1. Immer benutzerdefinierte Wiederherstellungsmeldung anzeigen, wenn über Richtlinieneinstellungen konfiguriert
2. Immer generischen Hinweis anzeigen : Weitere Informationen finden Sie unter https://aka.ms/recoverykeyfaq
3. Wenn mehrere Wiederherstellungsschlüssel auf dem Volume vorhanden sind, priorisieren Sie den zuletzt erstellten (und erfolgreich gesicherten) Wiederherstellungsschlüssel
4. Priorisieren Sie Schlüssel mit erfolgreicher Sicherung gegenüber Schlüsseln, die noch nie gesichert wurden
5. Priorisieren Sie Sicherungshinweise in der folgenden Reihenfolge für Remotesicherungsspeicherorte:
   • Microsoft-Konto
   • Microsoft Entra ID
   • Active Directory
6. Wenn ein Schlüssel gedruckt und in der Datei gespeichert wurde, wird ein kombinierter Hinweis angezeigt Suchen Sie nach einem Ausdruck oder einer Textdatei mit dem Schlüssel anstelle von zwei separaten Hinweisen
7. Wenn mehrere Sicherungen desselben Typs (remote oder lokal) für denselben Wiederherstellungsschlüssel durchgeführt wurden, priorisieren Sie Sicherungsinformationen mit dem neuesten Sicherungsdatum
8. Es gibt keinen spezifischen Hinweis für Schlüssel, die in einem lokalen Active Directory gespeichert sind. In diesem Fall wird eine benutzerdefinierte Nachricht (sofern konfiguriert) oder eine allgemeine Nachricht "Kontaktieren Sie den Helpdesk Ihrer organization" angezeigt
9. Wenn zwei Wiederherstellungsschlüssel vorhanden sind und nur einer gesichert wurde, fordert das System den gesicherten Schlüssel an, auch wenn der andere Schlüssel neuer ist

Bildschirm mit zusätzlichen Wiederherstellungsinformationen

Ab Windows 11, Version 24H2, verbessert der BitLocker-Wiederherstellungsbildschirm vor dem Start die Informationen zu Wiederherstellungsfehlern. Der Wiederherstellungsbildschirm enthält detailliertere Informationen über die Art des Wiederherstellungsfehlers und ermöglicht es Benutzern, das Problem besser zu verstehen und zu beheben.

In den nächsten Abschnitten werden die Codes für jede BitLocker-Fehlerkategorie beschrieben. In jedem Abschnitt gibt es eine Tabelle mit der Fehlermeldung, die auf dem Wiederherstellungsbildschirm angezeigt wird, und der Ursache des Fehlers. Einige Tabellen enthalten mögliche Lösungen.

Die Fehlerkategorien sind:

• Initiiert vom Benutzer
• Codeintegrität
• Gerätesperrung
• Startkonfiguration
• TPM
• Protektor
• Unknown

Initiiert vom Benutzer

Codeintegrität

Das Erzwingen der Treibersignatur wird verwendet, um die Codeintegrität des Betriebssystems sicherzustellen.

Gerätesperrung

Die Funktion für den Schwellenwert für die Gerätesperre ermöglicht es Administratoren, die Windows-Anmeldung mit BitLocker-Schutz zu konfigurieren. Nach der konfigurierten Anzahl fehlgeschlagener Windows-Anmeldeversuche wird das Gerät neu gestartet und kann nur mithilfe einer BitLocker-Wiederherstellungsmethode wiederhergestellt werden.

Um diese Funktion nutzen zu können, müssen Sie die Richtlinieneinstellung Interaktive Anmeldung konfigurieren: Der Schwellenwert für die Computerkontosperrung befindet sich unter Computerkonfiguration>Windows-Einstellungen>Sicherheitseinstellungen>Lokale Richtlinien>Sicherheitsoptionen. Alternativ können Sie die Richtlinieneinstellung "Exchange ActiveSyncMaxFailedPasswordAttempts" oder den DeviceLock-Konfigurationsdienstanbieter (CSP) verwenden.

Startkonfiguration

Die Startkonfigurationsdatenbank (Boot Configuration Datenbank, BCD) enthält wichtige Informationen für die Windows-Startumgebung.

Weitere Informationen finden Sie unter Einstellungen für Startkonfigurationsdaten und BitLocker.

TPM

Das Trusted Platform Module (TPM) ist kryptografische Hardware oder Firmware, die zum Sichern eines Geräts verwendet wird. BitLocker erstellt einen TPM-Schutz , um den Schutz der Verschlüsselungsschlüssel zu verwalten, die zum Verschlüsseln Ihrer Daten verwendet werden.

Beim Start versucht BitLocker, mit dem TPM zu kommunizieren, um das Gerät zu entsperren und auf Ihre Daten zuzugreifen.

Weitere Informationen finden Sie unter Trusted Platform Module – Technologieübersicht und BitLocker und TPM.

Protektor

TPM-Schutzvorrichtungen

Das TPM enthält mehrere Plattformkonfigurationsregister (Platform Configuration Registers, PCRs), die im Validierungsprofil des BitLocker-TPM-Schutzes verwendet werden können. Die PCRs werden verwendet, um die Integrität des Startprozesses zu überprüfen, d. h., dass die Startkonfiguration und der Startfluss nicht manipuliert wurden.

Die BitLocker-Wiederherstellung kann das Ergebnis unerwarteter Änderungen in den PCRs sein, die im TPM-Schutzvalidierungsprofil verwendet werden. Änderungen an PCRs, die nicht im TPM-Schutzprofil verwendet werden, haben keinen Einfluss auf BitLocker.

Weitere Beispiele finden Sie unter BitLocker-Wiederherstellungsszenarien.

Sonderfälle für PCR 7

Wenn der TPM-Schutz PCR 7 im Validierungsprofil verwendet, erwartet BitLocker, dass PCR 7 einen bestimmten Satz von Ereignissen für Secure Boot misst. Diese Messungen sind in der UEFI-Spezifikation definiert. Weitere Informationen finden Sie unter Statische Vertrauenswurzelmessungen.

Unknown