BitLocker

Kurz: BitLocker ist die Laufwerksverschlüsselung von Windows. Sie verschlüsselt eine ganze Partition oder Festplatte, sodass die Daten ohne den passenden Schlüssel nur Zufallswerte sind, auch wenn man das Laufwerk ausbaut.

Genauer: Ein Windows-Anmeldepasswort schützt die Daten nicht vor jemandem, der den Rechner mit einem anderen System startet oder die Platte in einen anderen Computer steckt. Dann kann er die Dateien einfach lesen. BitLocker schließt diese Lücke: Ohne Schlüssel bleiben die Daten unlesbar.

Im Detail

Funktionsweise:

• Die Daten werden mit AES (128 oder 256 Bit, meist im XTS-Modus) blockweise verschlüsselt. Das ist für den Nutzer transparent und kostet bei moderner Hardware kaum Leistung.
• Der Datenschlüssel (FVEK, Full Volume Encryption Key) ist selbst verschlüsselt (durch den VMK, Volume Master Key).
• Den VMK schützt ein oder mehrere Schützer (Protectors): TPM, PIN, USB-Schlüssel, Wiederherstellungsschlüssel.
• TPM-Anbindung: Der Schlüssel liegt im TPM-Chip und wird nur herausgegeben, wenn der Start unverändert ist (Firmware, Bootloader, Secure-Boot-Zustand). Wird die Startkette manipuliert oder die Platte in einen anderen Rechner gesteckt, bleibt der Schlüssel gesperrt.
• Zusätzlich PIN: „TPM + PIN” verlangt vor dem Start eine Eingabe. Schützt gegen Angreifer, die den ganzen Rechner haben.

Wiederherstellungsschlüssel (48-stellig): Wird bei der Einrichtung angezeigt und im Microsoft-Konto gespeichert. Ohne ihn sind die Daten nach einer Firmware-Änderung, einem Mainboard-Tausch oder einem Fehler dauerhaft verloren. Unbedingt sichern.

Rolle beim Schutz eines ausgeschalteten Computers: Ist ein Notebook gestohlen, schützt das Windows-Passwort die Dateien nicht. BitLocker schon, weil der Dieb weder die Platte entschlüsseln noch das System manipulieren kann.

Grenzen:

• Schützt nicht, wenn der Rechner läuft und entsperrt ist (Malware, angemeldeter Benutzer, Speicher-Angriffe).
• Nur Windows Pro, Enterprise und Education (Windows 11 Home hat „Geräteverschlüsselung” mit ähnlicher Technik).
• Verwandt: FileVault (macOS), LUKS/dm-crypt (Linux), VeraCrypt.
• Typische Fehler: „BitLocker-Wiederherstellung” erscheint nach BIOS-Updates oder geänderten Bootoptionen. Dafür den Schlüssel bereithalten und danach Schutz aussetzen/fortsetzen.

Siehe auch: TPM und TPM 2.0, Secure Boot, Bypassing: Anmeldeschutz umgehen und sich dagegen wappnen