Windows & Server

BitLocker

Overview

BitLocker ist die in Windows integrierte Volumeverschlüsselung. Sie schützt Daten auf verlorenen, gestohlenen oder ausgemusterten Geräten, indem sie Betriebssystemlaufwerk, Datenlaufwerke und mit BitLocker To Go auch Wechseldatenträger verschlüsselt. Unterstützt werden Windows 10/11 Pro, Enterprise und Education sowie Windows Server 2016 bis 2025.

Die Geräteverschlüsselung ist eine vereinfachte, automatische Form von BitLocker. Seit Windows 11 24H2 sind ihre Hardwarevoraussetzungen (Modern Standby bzw. HSTI) entfallen, sodass deutlich mehr Geräte bei der Einrichtung automatisch verschlüsselt werden. Standard ist XTS-AES mit 128 Bit; wer 256 Bit will, muss die Richtlinie vor Beginn der Verschlüsselung ausliefern.

Verwaltung: Microsoft BitLocker Administration and Monitoring (MBAM) hat am 15. April 2026 das Ende des erweiterten Supports erreicht. Nachfolger sind Microsoft Intune (BitLocker-CSP) und Microsoft Configuration Manager. Auf Windows Server erfolgt die Konfiguration per Gruppenrichtlinie, weil CSP und Configuration Manager dort laut Microsoft nicht unterstützt werden.

How it works

BitLocker kombiniert Verschlüsselung mit einer Integritätsprüfung beim Start:

  1. Das TPM speichert den Schlüssel und gibt ihn nur frei, wenn Firmware und Startkette unverändert sind, optional zusätzlich mit PIN oder USB-Startschlüssel.
  2. TPM 2.0 setzt UEFI ohne Legacy-Modus bzw. CSM voraus, Secure Boot wird empfohlen.
  3. Die Systempartition bleibt unverschlüsselt und getrennt vom Betriebssystemvolume, das NTFS-formatiert sein muss.
  4. Ein Wiederherstellungskennwort (48 Ziffern) wird in AD DS, Microsoft Entra ID oder beim Microsoft-Konto hinterlegt.
  5. Richtlinien legen Verschlüsselungsverfahren, Schutzmethoden und die Pflicht zur Schlüsselsicherung fest; für Entra- und hybrid gebundene Geräte kann Intune genutzte Wiederherstellungskennwörter automatisch rotieren.

Ohne TPM ist BitLocker nur mit Startschlüssel oder Kennwort möglich, dann entfällt die Integritätsprüfung vor dem Start.

Benefits

  • Daten auf verlorenen Notebooks und ausgebauten Festplatten bleiben unlesbar, das senkt das Risiko meldepflichtiger Datenpannen nach DSGVO.
  • Mit TPM läuft die Verschlüsselung für Benutzer unsichtbar, ohne zusätzliche Eingabe beim Start.
  • Die zentrale Schlüsselsicherung in AD DS oder Entra ID ermöglicht dem Helpdesk die Wiederherstellung.
  • Intune-Konformitätsrichtlinien können den BitLocker-Status mit Conditional Access verknüpfen.
  • In Windows enthalten, keine Drittanbieter-Verschlüsselung nötig.

Practical example

Ein Ingenieurbüro mit 60 Notebooks setzte bisher MBAM ein, dessen Support im April 2026 endete. Die IT stellt die Geräte auf Microsoft Intune um, verteilt eine Richtlinie mit XTS-AES 256, TPM-Schutz und Pflicht zur Schlüsselsicherung in Entra ID und aktiviert die Rotation der Wiederherstellungskennwörter. Eine Konformitätsrichtlinie sperrt unverschlüsselte Geräte per Conditional Access von Microsoft 365 aus. Nach der Umstellung wird der MBAM-Server abgebaut.

Things to keep in mind

  • Stelle sicher, dass der Wiederherstellungsschlüssel gesichert ist, bevor die Verschlüsselung beginnt, und erzwinge das per Richtlinie.
  • Verteile das gewünschte Verschlüsselungsverfahren vor der ersten Verschlüsselung, ein späterer Wechsel erfordert Entschlüsseln und erneutes Verschlüsseln.
  • Firmware- und BIOS-Updates können den Wiederherstellungsmodus auslösen; halte den Schutz vorher an (Suspend-BitLocker).
  • Für Geräte mit erhöhtem Risiko ist TPM plus PIN sicherer als reines TPM, weil es Angriffe auf die Startphase erschwert.
  • Migriere verbliebene MBAM-Installationen, da sie seit April 2026 keine Sicherheitsupdates mehr erhalten.

Licensing & availability

BitLocker ist in Windows Pro, Enterprise, Education und Windows Server enthalten. Laut Microsoft Learn gewähren für die Verwaltung nur Windows Enterprise E3/E5 bzw. Education A3/A5 die Lizenzrechte (z. B. enthalten in Microsoft 365 E3/E5). Die Verwaltung per Intune erfordert zusätzlich eine Intune-Lizenz. MBAM 2.5: erweiterter Support am 15. April 2026 beendet. Stand: Oktober 2026.

Conclusion

BitLocker gehört auf jedes Notebook und jeden Server mit sensiblen Daten. Führe die Verwaltung über Intune oder Gruppenrichtlinien zusammen und löse MBAM ab.

Further reading

Related articles