Bereich 08 / 12
BitLocker & Startsicherheit
Ein verlorener Laptop soll Hardwarekosten verursachen, keine Datenpanne. Dieser Bereich konfiguriert BitLocker mit XTS-AES 256, wählt je nach Bedrohungsmodell zwischen reinem TPM und TPM+PIN, hinterlegt Wiederherstellungsschlüssel in Active Directory oder Microsoft Entra ID und prüft Secure Boot und DMA-Schutz, auf denen die ganze Verschlüsselung aufbaut.
Pfad startenLernpfad
0/4 erledigt- 01BitLocker härten: XTS-AES 256, TPM+PIN, SchlüsselsicherungBitLocker gegen reale Bedrohungen: Verschlüsselungsmethode, TPM vs. TPM+PIN, Hinterlegung in AD oder Entra ID, Secure Boot, DMA-Schutz und Prüfung der Flotte.
- 02BitLocker-Wiederherstellungsschlüssel sicher verwaltenBitLocker-Wiederherstellungsschlüssel richtig verwalten: in AD DS oder Entra ID hinterlegen, Abdeckung nachweisen, Lesezugriff beschränken, überwachen und rotieren.
- 03Secure Boot, UEFI und die BlackLotus-GegenmaßnahmenDie Windows-Startkette härten: Secure Boot prüfen, die Sperrungen zu CVE-2023-24932 (BlackLotus) anwenden, die 2023-Zertifikate einführen und UEFI sperren.
- 04VBS, Speicherintegrität (HVCI) und Kernel DMA ProtectionVirtualisierungsbasierte Sicherheit, Speicherintegrität (HVCI) und Kernel DMA Protection aktivieren: Voraussetzungen, GPO und Intune, Treibertests, Überprüfung.