BitLocker ist aktiviert, aber wo liegt der Wiederherstellungsschlüssel?

Ich gehe davon aus, dass auf jedem privaten Windows-PC BitLocker aktiviert und konfiguriert ist, liebe Kolleginnen und Kollegen. Aber wissen Sie, wo der Wiederherstellungsschlüssel liegt? Diese Frage und der damit verbundene kurze Schreckmoment haben mich dazu gebracht, diesen kurzen Beitrag zu schreiben.

Was ist BitLocker?

BitLocker ist eine in Windows integrierte Laufwerksverschlüsselung. Es handelt sich dabei um einen typischen Data-at-Rest-Schutz, bei dem die Daten auf den Festplatten geschützt werden, solange sich das System in einem inaktiven Zustand befindet. Sollte das Gerät (Desktop-PC, Laptop oder externe Festplatte) gestohlen oder verloren gehen, verhindert BitLocker, dass die ausgebaute Festplatte an einem externen System angeschlossen und somit ausgelesen werden kann.

Historisch gesehen wurde BitLocker mit Windows Vista eingeführt und war ursprünglich eine reine Funktion für den Enterprise-Bereich. Auch heute ist die vollständige BitLocker-Integration weiterhin den Windows-Versionen Pro, Enterprise und Education vorbehalten.

Geräteverschlüsselung in Windows 11 Home

In Windows Home gibt es stattdessen die automatische „Geräteverschlüsselung“, eine Funktion, die im Hintergrund ebenfalls dieselbe Technologie verwenden, die TPM 2.0 Modul voraussetzt. Der Hauptunterschied zu BitLocker liegt im eingeschränkten Funktionsumfang und den geringeren Konfigurationsmöglichkeiten.

Trusted Platform Module (TPM)

Mit der Weiterentwicklung von BitLocker in Windows-Systemen wurde die Integration mit dem Trusted Platform Module (TPM) immer enger. Wer sich an die entsprechenden Windows-GPOs erinnert, wird merken, dass ein TPM immer eine Option war. Auch unter Windows 11 ist die TPM-Anforderung nicht durch BitLocker, sondern durch das Betriebssystem selbst vorgegeben. BitLocker kann grundsätzlich auch ohne TPM betrieben werden, z.B. mit einem Startkennwort oder einem USB-Startschlüssel.

Ein verbreitetes Missverständnis vorweg: Das TPM speichert nicht den Schlüssel, mit dem die Festplatte verschlüsselt ist.

Das TPM ist nur ein Teil der hierarchischen Kette von Schlüsseln und dient nicht der direkten Speicherung des Schlüssels, mit dem die Festplatte verschlüsselt wurde.

Mit FVEK (Full Volume Encryption Key) werden die Daten auf den Sektoren der Festplatte verschlüsselt und entschlüsselt. Dabei verwendet BitLocker standardmäßig den Verschlüsselungsalgorithmus XTS-AES mit einer Schlüssellänge von 128 Bit. Es gibt aber die Möglichkeit (z.B. per GPO), stattdessen AES-256 Bit zu erzwingen. Die Verschlüsselung findet sektorweise statt.

Während das Laufwerk entsperrt ist, befindet sich der FVEK (Full Volume Encryption Key) im Klartext im Arbeitsspeicher. Nach dem Ausschalten geht dieser verloren. Auf der Festplatte wird der FVEK ausschließlich in verschlüsselter Form gespeichert und durch den VMK geschützt.

Der VMK (Volume Master Key) ist der Hauptschlüssel, mit dem der FVEK geschützt wird. Auch VMK wird nicht im TPM dauerhaft gespeichert. Das TPM besitzt unter anderem folgende sicherheitsrelevante Komponenten:

SRK (Storage Root Key). Es handelt sich um einen bei der TPM-Inbesitznahme erzeugten privaten kryptografischen Schlüssel, der den Chip nie verlässt.

PCR-Werte (Platform Configuration Registers). Das TPM beinhaltet spezielle Speicherregister, in ihnen kryptografische Prüfsummen (Hashes) sicherheitsrelevanter Komponenten des Systemstarts gespeichert werden. Während des Systemstarts (Measured Boot) wird schrittweise die Integrität der Startkette überprüft (Chain of Trust). Wenn die aktuellen PCR-Werte mit den bei der BitLocker-Aktivierung gespeicherten Werten übereinstimmen, gibt das TPM den Zugriff auf den BitLocker-Schlüssel frei. Andernfalls wird der Wiederherstellungsschlüssel angefordert. (Die tatsächliche Funktionsweise ist deutlich komplexer und wurde hier bewusst vereinfacht.)

Wo liegt wo der Wiederherstellungsschlüssel?

Die Antwort auf diese Frage ist einfach, sofern die BitLocker-Aktivierung wenige Tage und nicht mehrere Monate oder gar Jahre zurückliegt.

Nach der Aktivierung des BitLocker und Durchführung des Verschlüsselungsvorgangs stehen vier Optionen zur Speicherung des Schlüssels zur Verfügung.

In Microsoft-Konto speichern
Auf USB-Speicherstick speichern
In Datei speichern
Wiederherstellungsschlüssel drucken

Das Microsoft-Konto ist eine von Microsoft präferierte und einfachste Möglichkeit zur Sicherung des Wiederherstellungsschlüssels. Sollten Sie diese Option auswählen, macht das System alles selbst, und die Schlüssel sind danach hier zu finden: https://aka.ms/myrecoverykey

So sieht es anschließend aus:

Kürzel	Bedeutung	Beschreibung
OSV	Operating System Volume	Betriebssystemlaufwerk (Disk C)
FDV	Fixed Data Volume	Fest eingebautes Laufwerk (interne SSDs oder HDDs)
RDV	Removable Data Volume	Wechseldatenträger, z. B. USB-Sticks oder externe USB-Platten (BitLocker To Go).

Soll sich etwas Gravierendes in dem System ändern, weiß man genau, wo man den Wiederherstellungsschlüssel suchen muss.

Um herauszufinden, welche Key-ID zu welcher Platte gehört, wird diese Befehlskette hilfreich sein:

manage-bde -protectors -get H:

So sehen die Ergebnisse aus:

Die weiteren Optionen wie „USB-Stick”, „In Datei” oder „Ausgedruckt” sind selbsterklärend. Nur ein Hinweis dazu: Die Schlüsseldatei gehört nicht auf das verschlüsselte Laufwerk selbst, und der Ausdruck nicht in die Laptoptasche neben das Gerät.

BitLocker alleine nicht ausreichend…

BitLocker schützt Daten nur auf ausgeschalteten Computern. Nach erfolgreichem Systemstart übernimmt das Windows-Benutzerkonto den Schutz. Ein schwaches Windows-Passwort macht BitLocker nicht wirkungslos, kann aber den Schutz eines bereits gestarteten Systems erheblich reduzieren. Deshalb sollte zusätzlich zu BitLocker ein starkes Windows-Kennwort oder eine sichere Windows-Hello-PIN verwendet werden. (System > Konten > Anmeldeoptionen > PIN (Windows Hello)

Relevanz für die berufliche Tätigkeit

Dieser Beitrag bezieht sich zwar ausschließlich auf private Hardware, also Desktop-PCs oder Laptops. Die Trennung zwischen privat und dienstlich ist in der Praxis aber selten absolut: Auch auf einem privaten Rechner können sich Hinweise auf dienstliche Tätigkeiten finden, die in falschen Händen gegen einen Mitarbeiter und damit gegen das Unternehmen gerichtet werden könnten. Ein verlorener, unverschlüsselter privater Rechner ist deshalb nie nur ein privates Problem.
Auf dienstlichen Geräten müssen Sie sich um all das übrigens nicht kümmern: Dort wird BitLocker zentral verwaltet, und der Wiederherstellungsschlüssel liegt im Verzeichnisdienst des Unternehmens, nicht im persönlichen Microsoft-Konto. Für den privaten Rechner gilt dagegen: Prüfen Sie am besten noch heute, ob BitLocker aktiv ist – und ob Sie wissen, wo Ihr Wiederherstellungsschlüssel liegt.

BitLocker To Go

BitLocker To Go ist eine Erweiterung von BitLocker für externe Datenträger wie USB-Sticks und Festplatten. Im Gegensatz zu den fest montierten Platten wird das Laufwerk in der Regel nicht über das TPM entsperrt, sondern über ein Kennwort, eine Smartcard oder einen Wiederherstellungsschlüssel. „In der Regel“ bedeutet in diesem Fall, dass es sich um ein anderes Gerät handelt als dem, auf dem die Verschlüsselung durchgeführt wurde.

Bitlocker auf einer externen Platte aktivieren

Die unteren Screenshots zeigen alle Konfigurationsschritte für eine externe Festplatte.

1. Für ein externes Laufwerk lohnt es sich, ein zusätzliches Kennwort zu definieren, falls Sie vorhaben, das Laufwerk auch mit anderen PCs zu verwenden. Andernfalls müssen Sie den 48-stelligen Wiederherstellungsschlüssel eingeben, um das Laufwerk zu entsperren.