Zavelix IT-Praxistipp: BitLocker – Laufwerke von Firmen-PCs verschlüsseln

Worum geht es in diesem Praxistipp?

Dies ist ein allgemeiner Zavelix IT-Praxistipp und keine Nachricht zu einem aktuellen Ereignis. Er beschreibt, wie sich Laufwerke von Firmen-PCs mit BitLocker verschlüsseln lassen.

BitLocker ist eine Windows-Funktion, die ganze Laufwerke verschlüsselt. Sie soll verhindern, dass Daten abfließen, wenn ein Gerät verloren geht, gestohlen oder unsachgemäß ausgemustert wird. Ohne Verschlüsselung könnte jemand die Festplatte in ein anderes Gerät einbauen oder mit Angriffswerkzeugen auf die Daten zugreifen. Mit BitLocker bleiben die Daten dabei unlesbar, auch wenn ein Gerät ausgemustert oder weitergegeben wird.

TPM, PIN und Startschlüssel

Den besten Schutz bietet BitLocker zusammen mit einem Trusted Platform Module (TPM). Dieser Hardwarebaustein hilft zu erkennen, ob ein ausgeschaltetes Gerät manipuliert wurde. Zusätzlich kann der Start gesperrt werden, bis eine PIN eingegeben oder ein USB-Stick mit Startschlüssel eingesteckt wird. Das ergibt eine Art Mehrfaktor-Anmeldung vor dem Start.

Ohne TPM lässt sich das Systemlaufwerk ebenfalls verschlüsseln, dann aber nur mit Startschlüssel auf einem Wechseldatenträger oder mit Passwort. Das Passwort ist laut Microsoft nicht sicher, weil es keine Sperre nach Fehlversuchen gibt, und ist standardmäßig deaktiviert. Beide Varianten bieten keine Integritätsprüfung vor dem Start.

Voraussetzungen und Lizenzen

Für die Integritätsprüfung wird TPM 1.2 oder neuer benötigt, dazu eine passende BIOS- oder UEFI-Firmware. Bei TPM 2.0 muss der Modus nativ UEFI sein, Legacy und CSM müssen abgeschaltet sein. Secure Boot wird zusätzlich empfohlen. Wer den BIOS-Modus ändern will, sollte vorher das Werkzeug mbr2gpt.exe nutzen, sonst startet das Betriebssystem womöglich nicht mehr.

Die Festplatte braucht mindestens zwei Partitionen: das Betriebssystemlaufwerk mit NTFS und ein unverschlüsseltes Systemlaufwerk, empfohlen sind etwa 350 MB. Auf neuen Geräten legt Windows diese automatisch an. Zur Lizenz: Windows Pro, Enterprise, Pro Education/SE und Education unterstützen die Aktivierung von BitLocker. Die Lizenzanforderungen für die Verwaltung sind laut Quelle davon getrennt.

Geräteverschlüsselung und Wiederherstellungsschlüssel

Die Geräteverschlüsselung aktiviert BitLocker auf geeigneten Geräten automatisch, betrifft aber nur das Betriebssystemlaufwerk und fest eingebaute Laufwerke, nicht USB-Laufwerke. Bei Geräten, die mit Microsoft Entra ID oder Active Directory verbunden sind, wird der Wiederherstellungsschlüssel dort gesichert, danach wird der Klartextschlüssel entfernt. Bei reinen lokalen Konten bleibt das Gerät ungeschützt, obwohl die Daten verschlüsselt sind. Standardmäßig wird XTS-AES 128 Bit verwendet. Soll ein anderes Verfahren gelten, muss ein bereits verschlüsseltes Gerät zuerst entschlüsselt werden.

Was sollten Unternehmen jetzt tun?

Mit diesen Schritten gehen Sie strukturiert vor:

• Bestand prüfen: Haben alle PCs ein TPM, UEFI-Modus und Secure Boot? Die Geräteinformationen (msinfo32.exe) helfen bei der Prüfung.
• Lizenz klären: Sind die eingesetzten Windows-Editionen für BitLocker berechtigt?
• Schutzvariante festlegen: TPM, möglichst mit PIN oder Startschlüssel; Passwort ohne TPM vermeiden.
• Verschlüsselungsmethode vor dem Rollout per Richtlinie festlegen, damit Geräte nicht mit dem Standard starten und später entschlüsselt werden müssen.
• Wiederherstellungsschlüssel zentral in Entra ID oder Active Directory sichern und den Zugriff darauf regeln.
• Ausmusterung einplanen: Verschlüsselte Geräte machen Daten beim Recycling unlesbar.
• Pilotgruppe testen, dann alle Geräte nachziehen und den Status dokumentieren.