Glossar

BitLocker

BitLocker ist die in Windows eingebaute Festplattenverschlüsselung. Sie macht den gesamten Datenträger unlesbar, sodass ein gestohlenes Notebook ohne den passenden Schlüssel nichts hergibt, und erzeugt einen Wiederherstellungsschlüssel, der sicher aufbewahrt werden muss. Fehlt er, sind die Daten endgültig verloren.

So funktioniert es

BitLocker verschlüsselt das Volume mit AES und versiegelt den Schlüssel im TPM-Chip auf der Hauptplatine. Beim Start prüft das TPM, ob Firmware und Startdateien unverändert sind, gibt den Schlüssel frei, und Windows startet wie gewohnt. Der Nutzer merkt nichts. Wer die SSD ausbaut und in ein anderes Gerät steckt, findet unlesbare Daten.

Dann gibt es den Wiederherstellungsschlüssel, eine 48-stellige Zahl aus der Aktivierung. Er ist der Rückweg, wenn das TPM den Schlüssel nicht freigibt: nach einem Firmware-Update, einem Tausch der Hauptplatine, einer geänderten BIOS-Einstellung. Auf Privatgeräten landet dieser Schlüssel im persönlichen Microsoft-Konto. Im Unternehmen reicht das nicht, und Microsoft bietet die Schlüsselhinterlegung über MDM genau für diesen Fall. Seit Windows 11 24H2 ist die Geräteverschlüsselung auf deutlich mehr neuen Maschinen standardmäßig aktiv, was die Schlüsselfrage dringend macht.

Warum es für eine Flotte wichtig ist

Ein im Taxi vergessenes Notebook ist ein Vorfall. Ein unverschlüsseltes Notebook im Taxi ist eine Verletzung des Schutzes personenbezogener Daten, die nach DSGVO binnen 72 Stunden zu melden sein kann. Verschlüsselung ist die günstigste Maßnahme, die aus dem zweiten Fall den ersten macht, und der erste Nachweis, den ein Prüfer sehen will.

Nachweis ist das entscheidende Wort. Die Aussage, die Flotte sei verschlüsselt, ist eine Behauptung. Ein Bericht, der 312 von 318 Windows-PCs mit aktivem BitLocker zeigt und die sechs anderen benennt, ist ein Beweis. Diese sechs sind meist älter, ohne TPM oder mit deaktiviertem TPM, und gehören einzeln bearbeitet.

Das echte Risiko liegt beim Wiederherstellungsschlüssel, nicht beim Verfahren. Teams, die Schlüssel in privaten Microsoft-Konten lassen, treffen irgendwann auf ein Gerät, das niemand öffnen kann, und auf einen längst ausgeschiedenen Mitarbeiter.

So handhabt es Appaloosa

Appaloosa erzwingt BitLocker per Richtlinie auf registrierten Windows-PCs, meldet den Verschlüsselungsstatus je Gerät und bewahrt den Wiederherstellungsschlüssel in der Konsole auf, damit der Helpdesk ein Gerät ohne Rückruf beim früheren Nutzer entsperrt. Der Status speist außerdem die Compliance-Regeln: Fällt ein PC aus der Verschlüsselung, löst das eine Benachrichtigung aus oder sperrt verwaltete Apps. Die verfügbaren Windows-Richtlinien beschreibt die Windows-MDM-Seite.

Entdecken

Die ganze Plattform

Registrierung, Apps, Sicherheit, Fernsupport: alles an einem Ort.

Appaloosa entdecken →

Sehen Sie Appaloosa auf Ihrer Flotte Demo buchen

Häufige Fragen

Bremst BitLocker ein Notebook aus?

Auf Geräten mit AES-Beschleunigung in der Hardware, also praktisch allen Business-PCs der letzten zehn Jahre, ist der Verlust im Alltag nicht spürbar. Merkbar ist allein der erste Verschlüsselungsdurchlauf. Planen Sie ihn außerhalb der Arbeitszeit des Nutzers ein.

Wo sollte der Wiederherstellungsschlüssel liegen?

In einem System, das die IT kontrolliert, nicht im privaten Konto eines Mitarbeiters und nicht auf einem Zettel unter der Tastatur. Die Hinterlegung im MDM ist die übliche Antwort, denn sie übersteht Personalwechsel und steht demjenigen zur Verfügung, der das Ticket bearbeitet.

Läuft BitLocker auch ohne TPM?

Ja, dann verlangt es bei jedem Start eine PIN oder einen USB-Stick, was Nutzer auf Dauer umgehen. Behandeln Sie in einer Flotte ein fehlendes oder abgeschaltetes TPM als Hardwareproblem, das behoben wird, und nicht als dauerhafte Ausnahme in der Richtlinie.