BitLocker härten: XTS-AES 256, TPM+PIN, Schlüsselsicherung

BitLocker macht aus einem verlorenen oder gestohlenen Gerät statt einer Datenpanne einen Hardwareposten. Die meisten Organisationen schalten es ein; weit weniger konfigurieren es gegen mehr als gelegentlichen Diebstahl. Der Unterschied liegt in vier Entscheidungen: die Verschlüsselungsmethode, wie der Schlüssel beim Start freigegeben wird, wo Wiederherstellungsschlüssel liegen und ob die Startkette rund um BitLocker selbst geschützt ist.

Das Bedrohungsmodell in einer Tabelle

Nur TPM ist ein vernünftiger Standard für die meisten Büro-Laptops. Führungskräfte, Administratoren, Vielreisende und Geräte mit sensiblen Daten rechtfertigen TPM+PIN.

Schritt 1: die Verschlüsselungseinstellungen wählen

GPO-Pfad: Computer Configuration > Administrative Templates > Windows Components > BitLocker Drive Encryption.

Bestehende Volumes behalten ihre ursprüngliche Verschlüsselung. Eine Richtlinienänderung betrifft nur danach verschlüsselte Volumes; um ein altes AES-128-Volume auf XTS-AES 256 umzustellen, müssen Sie es entschlüsseln und neu verschlüsseln.

Schritt 2: die Startauthentifizierung konfigurieren

Unter Operating System Drives > Require additional authentication at startup:

• Enabled.
• Allow BitLocker without a compatible TPM: nicht aktiviert.
• Configure TPM startup: Allow TPM.
• Configure TPM startup PIN: Start-PIN mit TPM zulassen (oder für Hochrisikogruppen per separater GPO erzwingen).
• Optionen für Systemstartschlüssel auf Do not allow belassen, sofern Sie keinen Grund für USB-Schlüssel haben.

Zugehörige Einstellungen:

Einem bereits verschlüsselten Gerät eine PIN hinzufügen:

$pin = Read-Host -AsSecureString "Startup PIN"
Add-BitLockerKeyProtector -MountPoint C: -TpmAndPinProtector -Pin $pin

Schritt 3: Wiederherstellungsschlüssel zuerst hinterlegen

Ein Gerät, das ohne hinterlegten Wiederherstellungsschlüssel verschlüsselt wird, ist ein künftiger Datenverlust. Unter Operating System Drives > Choose how BitLocker-protected operating system drives can be recovered:

• Allow data recovery agent: optional.
• Save BitLocker recovery information to AD DS: Enabled, Wiederherstellungskennwörter und Schlüsselpakete speichern.
• Do not enable BitLocker until recovery information is stored to AD DS: Enabled.
• Omit recovery options from the setup wizard: Enabled (Benutzer können den Schlüssel nicht ausdrucken oder in einer Datei speichern).

Für Entra-gebundene Geräte erledigt das Intune-BitLocker-Profil dasselbe und speichert Schlüssel in Entra ID. Für bestehende Geräte sichern Sie den Schlüssel explizit:

$kp = (Get-BitLockerVolume -MountPoint C:).KeyProtector |
      Where-Object KeyProtectorType -eq 'RecoveryPassword'
Backup-BitLockerKeyProtector -MountPoint C: -KeyProtectorId $kp.KeyProtectorId    # AD DS
BackupToAAD-BitLockerKeyProtector -MountPoint C: -KeyProtectorId $kp.KeyProtectorId  # Entra ID

Beschränken Sie, wer Wiederherstellungsschlüssel lesen darf. In AD liegen die Schlüssel in untergeordneten msFVE-RecoveryInformation-Objekten des Computers; prüfen Sie wie bei LAPS-Kennwörtern, welche Gruppen sie lesen können. Konfigurieren Sie eine Schlüsselrotation nach der Verwendung (Intune unterstützt das Rotieren des Wiederherstellungskennworts, nachdem es einem Benutzer angezeigt wurde).

Schritt 4: die Startkette schützen

BitLocker vertraut dem TPM, und das TPM vertraut dem, was es beim Start gemessen hat. Stellen Sie sicher, dass diese Kette intakt ist:

• UEFI mit Secure Boot auf jedem Gerät. Prüfen mit Confirm-SecureBootUEFI (liefert True).
• TPM 2.0, Firmware aktuell (Get-Tpm).
• PCR-7-Bindung: manage-bde -protectors -get C: zeigt das PCR-Validierungsprofil; msinfo32 zeigt auf modernen Geräten PCR7 Configuration: Bound. Damit stützt sich BitLocker auf den Secure-Boot-Zustand statt auf Hashes einzelner Startkomponenten, sodass Firmwareupdates seltener Wiederherstellungsaufforderungen auslösen.
• Kernel DMA Protection (sichtbar in msinfo32) auf Geräten mit Thunderbolt oder USB4. Auf älterer Hardware ohne diese Funktion gleichen TPM+PIN oder das Deaktivieren externer DMA-Ports in der Firmware das aus.
• Firmwarekennwort auf unterstützten Geräten setzen, damit Startreihenfolge und Secure Boot nicht beiläufig geändert werden können.
• Ruhezustand statt Energiesparmodus für Geräte mit hohem Risiko: Allow standby states (S1-S3) when sleeping (on battery) und (plugged in) unter System > Power Management > Sleep Settings auf Disabled setzen, damit bei zugeklapptem Deckel keine Schlüssel im RAM liegen.

Schritt 5: flottenweit überprüfen

Auf einem Gerät:

Get-BitLockerVolume | Select-Object MountPoint, VolumeStatus, EncryptionMethod,
  EncryptionPercentage, ProtectionStatus, KeyProtector
manage-bde -status C:

Sie wollen ProtectionStatus: On, EncryptionMethod: XtsAes256 und die Schutzvorrichtungen Tpm oder TpmPin plus RecoveryPassword sehen.

ProtectionStatus: Off bei vollständig verschlüsseltem Volume bedeutet, dass BitLocker angehalten ist (zum Beispiel als Überbleibsel eines Firmwareupdate-Skripts mit Suspend-BitLocker) und der Schlüssel im Klartext auf dem Datenträger liegt. Setzen Sie es mit Resume-BitLocker -MountPoint C: fort und suchen Sie nach Skripten, die ohne Neustartzähler anhalten.

Flottenweit berichten Sie über den Verschlüsselungsbericht von Intune, die BitLocker-Verwaltung von Configuration Manager oder ein Compliance-Skript, das die obigen Werte einsammelt. Alarmieren Sie bei Geräten ohne hinterlegten Schlüssel und bei angehalten gebliebenen Volumes.

Nützliche Protokolle: Applications and Services Logs > Microsoft > Windows > BitLocker-API > Management zeichnet Änderungen an Schutzvorrichtungen, Start/Stopp der Verschlüsselung und Schlüsselsicherungen auf.

Automatische Geräteverschlüsselung

Auf moderner Hardware aktiviert Windows 11 die Geräteverschlüsselung während der Einrichtung automatisch, wenn sich der Benutzer mit einem Microsoft- oder Geschäftskonto anmeldet, und neuere Versionen wenden sie auf mehr Geräte an. Sie verwendet XTS-AES 128 und reinen TPM-Schutz, und der Schlüssel geht an das angemeldete Konto. Wenden Sie auf verwalteten Geräten Ihre BitLocker-Richtlinie während der Bereitstellung an, damit die verwaltete Konfiguration (Verschlüsselung, Hinterlegungsziel, PIN) die automatische ersetzt; andernfalls erben Sie womöglich AES-128-Volumes, deren Schlüssel in einem privaten Konto liegen.

Checkliste

• XTS-AES 256 für Betriebssystem- und Festplattenlaufwerke; vollständige Verschlüsselung für wiederverwendete Hardware
• Nur TPM für Standardgeräte, TPM+PIN (erweiterte PIN) für Hochrisikobenutzer
• Verschlüsselung blockiert, bis der Wiederherstellungsschlüssel hinterlegt ist
• Zugriff auf Wiederherstellungsschlüssel beschränkt und überwacht
• Secure Boot aktiv, TPM 2.0, PCR 7 gebunden, Kernel DMA Protection geprüft
• Energiesparmodus zugunsten des Ruhezustands auf Hochrisiko-Laptops deaktiviert
• Flottenbericht zu Schutzstatus, Verschlüsselung und Schlüsselhinterlegung; Alarm bei angehaltenen Volumes

Die Stärke von BitLocker hängt von der Startkette ab, auf der es aufsetzt. Dieselbe virtualisierungsbasierte Sicherheit, die die Startkette schützt, treibt auch Credential Guard an; beides gehört daher in dasselbe Projekt zur Hardwarebereitschaft.