BitLocker verlangt den Wiederherstellungsschlüssel: Wenn das Firmen-Notebook den Zugriff verweigert

Verschlüsselt, ohne es zu wissen

Windows aktiviert die Geräteverschlüsselung bei geeigneten Geräten inzwischen häufig automatisch. Bei Neuinstallationen von Windows 11 ab Version 24H2 wird die automatische Geräteverschlüsselung vorbereitet und nach Anmeldung mit einem Microsoft- oder Entra-Konto aktiviert; der Wiederherstellungsschlüssel landet dann automatisch im jeweiligen Konto. Bei lokalen Konten greift diese automatische Aktivierung nicht. Risiken entstehen vor allem bei Geräten, deren Schlüssel nicht zentral dokumentiert wurde – etwa nach manueller BitLocker-Aktivierung, bei übernommenen Bestandsgeräten oder nach Änderungen an der Geräteverwaltung. In Unternehmen ohne zentrale Verwaltung über Active Directory oder Microsoft Entra ID weiß häufig niemand, welche Geräte im Bestand überhaupt verschlüsselt sind und wo die zugehörigen Schlüssel liegen.

Wann BitLocker den Schlüssel verlangt

Bei Systemlaufwerken prüft das Trusted Platform Module (TPM) beim Start, ob die Startumgebung unverändert ist. Registriert das Modul eine Abweichung, gibt es den Schlüssel nicht frei, und Windows fragt den Wiederherstellungsschlüssel ab. Auslöser können UEFI- und Firmware-Updates sein, Änderungen an Secure-Boot-Einstellungen, ein zurückgesetztes TPM oder der Einbau des Laufwerks in einen anderen Rechner. Nach einem Mainboard-Defekt steht auch das bisherige TPM nicht mehr zur Verfügung. Dann wird ein außerhalb des Geräts gesicherter Wiederherstellungsmechanismus entscheidend – in typischen Konfigurationen der 48-stellige Recovery-Key.

Was das Labor leisten kann und wo die Grenze liegt

Physisch beschädigte, verschlüsselte Datenträger untersucht DATA REVERSE® im eigenen Labor in Leipzig. Elektronik- und Controllerfehler bei SSDs werden unter kontrollierten Laborbedingungen diagnostiziert, mechanisch beschädigte Festplatten unter Reinraumbedingungen geöffnet. Von den lesbaren Bereichen entsteht eine sektorbasierte Arbeitskopie. Auf diesem Abbild wird das Volume rekonstruiert und die BitLocker-Metadatenstruktur lokalisiert. BitLocker legt diese Strukturen redundant auf dem Laufwerk ab, was bei teilweise beschädigten Datenträgern zusätzliche Ansatzpunkte für die Rekonstruktion bieten kann.

Die Entschlüsselung selbst setzt in jedem Fall vorhandenes Schlüsselmaterial voraus: den 48-stelligen Wiederherstellungsschlüssel, das Kennwort oder einen gesicherten Startschlüssel. Liegt nichts davon vor, bleiben die Daten verschlüsselt. Die eingesetzte AES-Verschlüsselung lässt sich mit heutiger Technik nicht umgehen, auch nicht in einem spezialisierten Labor. Zu einer seriösen Beratung gehört, das vor Auftragsbeginn klar zu benennen.

Was Unternehmen jetzt prüfen sollten

Erstens: Welche Geräte im Bestand sind verschlüsselt? Der BitLocker-Status lässt sich unter Windows je Gerät auslesen.

Zweitens: Liegt für jedes verschlüsselte Gerät ein Wiederherstellungsschlüssel an zentraler Stelle vor, etwa im Active Directory, in Microsoft Entra ID oder in einer dokumentierten, zugriffsgeschützten Ablage?

Drittens: Passt der hinterlegte Schlüssel zum Gerät? Die Wiederherstellungsabfrage zeigt eine Schlüssel-ID an. Ob der dokumentierte Schlüssel zu dieser ID gehört, sollte vor dem Ernstfall geprüft werden.

Viertens: Werden vor Firmware-Updates, Mainboard-Reparaturen und TPM-Änderungen die Schlüssel bereitgelegt? Und existiert unabhängig davon eine getestete Datensicherung, die nicht auf demselben verschlüsselten Laufwerk liegt?

DATA REVERSE® ist nach ISO 9001 und ISO/IEC 27001 zertifiziert und behandelt verschlüsselte Datenträger sowie übergebenes Schlüsselmaterial nach dokumentierten Sicherheitsprozessen.