Zavelix IT-Praxistipp: BitLocker auf Firmen-PCs richtig einsetzen
Ein Praxistipp, wie Unternehmen Laufwerke ihrer Firmen-PCs mit BitLocker verschlüsseln. Er erklärt Voraussetzungen, die Rolle des TPM und die sichere Ablage der Wiederherstellungsschlüssel. Dies ist keine Nachricht zu einem aktuellen Ereignis.
Zavelix IT-Praxistipp – praktische Empfehlung, keine aktuelle Nachricht.
Warum Laufwerke verschlüsseln?
Geht ein Notebook verloren oder wird es gestohlen, können Daten ausgelesen werden, etwa indem die Festplatte in ein anderes Gerät eingebaut wird. BitLocker verschlüsselt ganze Laufwerke und schützt so vor Datenabfluss bei verlorenen, gestohlenen oder unsachgemäß ausgemusterten Geräten. Auch bei Recycling oder Entsorgung bleiben die Daten unlesbar.
Dieser Beitrag ist ein allgemeiner Praxistipp und bezieht sich nicht auf ein aktuelles Ereignis.
Die Rolle des TPM
Den besten Schutz bietet BitLocker zusammen mit einem Trusted Platform Module (TPM), einem verbreiteten Hardwarebaustein. Es hilft sicherzustellen, dass das Gerät im ausgeschalteten Zustand nicht manipuliert wurde. Zusätzlich kann der Start bis zur Eingabe einer PIN oder dem Einstecken eines USB-Startschlüssels gesperrt werden. Das ergibt eine Mehrfaktor-Authentifizierung.
Ohne TPM ist die Verschlüsselung des Systemlaufwerks mit Startschlüssel auf einem Wechseldatenträger oder mit Passwort möglich. Die Passwortvariante gilt als unsicher, weil es keine Sperre nach Fehlversuchen gibt, und ist standardmäßig deaktiviert. Beide Varianten bieten keine Integritätsprüfung vor dem Systemstart.
Voraussetzungen im Überblick
Für die TPM-Prüfung wird TPM 1.2 oder neuer benötigt, dazu eine TCG-konforme BIOS- oder UEFI-Firmware. TPM 2.0 wird im Legacy- und CSM-Modus nicht unterstützt; hier muss der native UEFI-Modus aktiv sein, Secure Boot wird zusätzlich empfohlen. BitLocker steht laut Microsoft in Windows Pro, Enterprise, Pro Education/SE und Education zur Verfügung. Lizenzanforderungen für die Aktivierung und für die zentrale Verwaltung unterscheiden sich.
Geräteverschlüsselung und Wiederherstellungsschlüssel
Die Geräteverschlüsselung aktiviert BitLocker auf geeigneten Geräten automatisch und erfasst Systemlaufwerk sowie fest eingebaute Laufwerke, nicht aber USB-Laufwerke. Bei Geräten, die mit Microsoft Entra ID oder Active Directory verbunden sind, wird der Wiederherstellungsschlüssel dorthin gesichert und danach der temporäre ungeschützte Schlüssel entfernt. Bei reinen lokalen Konten bleibt das Gerät trotz verschlüsselter Daten ungeschützt. Standardmäßig wird XTS-AES 128 Bit genutzt; ein anderes Verfahren muss vor Beginn der Verschlüsselung per Richtlinie festgelegt werden, sonst ist erst eine Entschlüsselung nötig.
Was sollten Unternehmen jetzt tun?
Planen Sie die Einführung vorab und prüfen Sie Hardware und Lizenzen.
- Prüfen Sie pro Gerät, ob TPM und UEFI-Modus passen (Systeminformationen, msinfo32.exe).
- Aktivieren Sie Secure Boot, wo möglich.
- Erwägen Sie zusätzlich eine Start-PIN für höheren Schutz.
- Legen Sie Verschlüsselungsmethode und Richtlinien fest, bevor Geräte verschlüsseln.
- Sichern Sie Wiederherstellungsschlüssel zentral in Entra ID oder Active Directory.
- Vermeiden Sie reine lokale Konten auf Firmengeräten.
- Testen Sie die Wiederherstellung mit einem Pilotgerät.
Zavelix Einschätzung
🟢 Information
Dieser Beitrag wurde mit KI-Unterstützung erstellt und vor der Veröffentlichung von Zavelix redaktionell geprüft. Maßgeblich sind die verlinkten Originalquellen.