BitLocker unter Windows aktivieren, auch ohne TPM und auf Home

Datenverlust durch Diebstahl oder Verlust von Laptops erfordert effektive Schutzmaßnahmen. BitLocker bietet umfassende Festplattenverschlüsselung, um persönliche Informationen vor unbefugtem Zugriff zu sichern.

Der Diebstahl eines Laptops oder das Verlieren einer externen Festplatte stellt enorme Risiken dar, nicht so sehr aufgrund des Wertes des Objekts, sondern wegen der darin enthaltenen Daten. Private Fotos, Steuerdokumente und Bankzugänge sind dem Zugriff von jedem ausgeliefert, der weiß, wie man eine Festplatte auseinanderbaut und sie woanders anschließt, indem er in wenigen Sekunden das Windows-Passwort umgeht.

Die endgültige Lösung ist die Festplattenverschlüsselung. Microsoft integriert in seine Betriebssysteme eine Technologie namens BitLocker, die die Daten ohne den richtigen Sicherheitsschlüssel unlesbar macht. In diesem Leitfaden analysieren wir, wie man das Betriebssystem absichert, indem wir die Unterschiede zwischen den Windows-Versionen erläutern, um niemals den Zugriff auf die eigenen Daten zu verlieren.

Unterschied zwischen BitLocker Pro und Geräteverschlüsselung

Es besteht eine weit verbreitete Verwirrung über die Begriffe. Unter der Haube ist die Verschlüsselungstechnologie dieselbe (AES-Algorithmus), aber die Verwaltung ändert sich grundlegend je nach lizenziertem Modell.

• BitLocker Laufwerksverschlüsselung: Exklusiv für Windows 10/11 Pro, Enterprise und Education. Bietet vollständige Verwaltung, erlaubt die Auswahl des Algorithmus, funktioniert auf wechselbaren Laufwerken (BitLocker To Go) und kann auch auf älteren PCs ohne Sicherheitschip aktiviert werden.
• Geräteverschlüsselung: Verfügbar auf Windows Home (und Pro). Es handelt sich um einen automatischen "Alles oder Nichts"-Prozess. Sie wird nur aktiviert, wenn der PC moderne Hardware-Standards erfüllt (wie TPM 2.0 und Secure Boot) und speichert den Wiederherstellungsschlüssel zwingend in der Microsoft-Cloud.

Wichtiger Hinweis: Bei neueren Installationen von Windows 11 (Version 24H2 und später) wird die "Geräteverschlüsselung" oft während der Ersteinrichtung automatisch aktiviert, selbst auf der Home-Version. Es ist wichtig, den Status des Laufwerks zu überprüfen, um zu wissen, ob man bereits geschützt ist oder ob man das Risiko eines Verlusts des Zugriffs hat.

Leitfaden für Windows Pro: Manuelle Konfiguration

Wer eine Pro-Lizenz besitzt, hat die volle Kontrolle. Hier ist das Verfahren für maximale Sicherheit.

1. Aktivierung und Überprüfung von TPM

Durch die Suche nach BitLocker-Verwaltung im Startmenü gelangt man zum dafür vorgesehenen Kontrollfeld. Wenn man das Laufwerk C: auswählt und auf BitLocker aktivieren klickt, überprüft das System die Existenz des Trusted Platform Module (TPM). Dieses Hardwarekomponenten bewahrt die Verschlüsselungsschlüssel separat von der Festplatte auf.

2. Speicherung des Wiederherstellungsschlüssels

Dieser Schritt sollte nicht unterschätzt werden. Wenn das Motherboard defekt ist oder das TPM ausfällt, gehen die Daten für immer verloren, wenn man diesen Schlüssel nicht hat. Windows schlägt vor:

• In Microsoft-Konto speichern: Die sicherste Option für die meisten Benutzer.
• In einer Datei speichern: Muss zwingend auf einem anderen USB-Stick gespeichert werden als dem, der verschlüsselt wird.
• Schlüssel drucken: Nützlich, um eine physische Kopie sicher aufzubewahren.

3. Verschlüsselungsmodus (XTS vs CBC)

Windows wird fragen, wie viel Speicher verschlüsselt werden soll. Wenn der Computer neu ist, reicht es, verwendeter Speicherplatz auszuwählen (schneller). Wenn der PC schon länger im Einsatz ist, sollte man Gesamtes Laufwerk auswählen, um auch gelöschte Dateifragmente in der Vergangenheit zu schützen.

Für die Verschlüsselungsmethode wählen wir die neue Verschlüsselungsmethode (XTS-AES) für interne Festplatten, da sie eine höhere Integrität und Sicherheit bietet. Für USB-Sticks oder externe Festplatten, die unter älteren Versionen von Windows (älter als 10, Version 1511) gelesen werden müssen, ist die Verwendung des Kompatibilitätsmodus erforderlich.

BitLocker ohne TPM aktivieren (für ältere PCs)

Wenn während der Aktivierung der Fehler "Kann kein kompatibles Sicherheits-TMP-Gerät finden" auftritt, sollte man nicht aufgeben. Es ist möglich, die Aktivierung zu erzwingen, indem die Gruppenrichtlinien geändert werden (nur bei Pro).

1. Drücken Sie Windows + R, geben Sie gpedit.msc ein und senden Sie ab.
2. Navigieren Sie zu: Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > BitLocker-Laufwerksverschlüsselung > Betriebssystemlaufwerke.
3. Öffnen Sie den Punkt Zusätzliche Authentifizierung anfordern.
4. Setze auf An und stelle sicher, dass die Option "BitLocker ohne kompatibles TPM erlauben" aktiviert ist.

Nach dieser Änderung wird BitLocker aufgefordert, ein Startpasswort zu erstellen oder einen USB-Stick als physikalischen Schlüssel zu verwenden, der bei jedem Start eingegeben werden muss.

Leistung: BitLocker verlangsamt den PC?

Eine häufige Sorge betrifft die Geschwindigkeit. Moderne Prozessoren integrieren spezielle Anweisungen (AES-NI), die die Verschlüsselung in Echtzeit verwalten, ohne die CPU zu belasten. Unabhängige Tests zeigen, dass der Leistungsverlust auf NVMe-SSDs nur in synthetischen Benchmarks erkennbar ist, während er im Alltag nicht wahrnehmbar ist.

Microsoft verwendet standardmäßig Software-Verschlüsselung und nicht Hardware-Verschlüsselung (die auf dem Festplatten-Controller basiert). Diese Entscheidung ist absichtlich: In der Vergangenheit wiesen viele "self-encrypting" SSDs schwerwiegende Sicherheitslücken in der Firmware auf, die es ermöglichten, den Schutz zu umgehen. Sich auf den Software-Algorithmus von Windows zu verlassen, ist heute die sicherste Wahl.

Wie man den Wiederherstellungsschlüssel abruft

Es kann vorkommen, dass Windows nach einem BIOS-Update, einer Hardwareänderung oder einem Systemabsturz nach dem Wiederherstellungsschlüssel (48 Ziffern) fragt. Wenn der ausgedruckte Schlüssel nicht gefunden wird, gibt es eine Online-Lösung.

Die im Cloud gespeicherten Schlüssel können auf der offiziellen Seite abgerufen werden:

Microsoft-Konto - BitLocker Wiederherstellungsschlüssel

Es ist erforderlich, sich mit demselben Konto anzumelden, das auf dem PC verwendet wird. Ich empfehle, den Zugang zu dieser Seite im Voraus zu überprüfen, um sicherzustellen, dass die Schlüssel vorhanden und aktuell sind.

Nützliche Details und Fehlersuche

Hier sind einige technische Aspekte zu beachten, um Überraschungen zu vermeiden:

• Aussetzen für Updates: Wenn das BIOS/UEFI aktualisiert werden muss, ist es wichtig, BitLocker über die Systemsteuerung "Aussetzen". Es ist nicht notwendig, die gesamte Festplatte zu entschlüsseln; eine vorübergehende Aussetzung reicht aus, um zu verhindern, dass beim Neustart TPM den Zugriff blockiert, weil es die Firmware nicht erkennt.
• BitLocker To Go: Bei USB-Sticks schützt die Verschlüsselung die Dateien im Lesemodus. Wenn der Stick verloren geht, sind die Daten sicher, aber wer ihn findet, kann ihn formatieren und wiederverwenden (und damit die Daten verlieren).
• Akku-Einfluss: Bei Laptops ist die Nutzung des TPM-Chips und der speziellen CPU-Anweisungen so effizient, dass keine messbaren Einbußen in der Akkulaufzeit auftreten.
• Forensische Datenrettung: Bei physischen Festplattenausfällen können Datenrettungsunternehmen ohne den Wiederherstellungsschlüssel oder das Passwort nichts extrahieren. Die Verschlüsselung macht magnetische Platten oder Speicherchips zu nutzlosen Materialblöcken für diejenigen, die nicht über die Berechtigungen verfügen.

Zum gleichen Thema können wir den Leitfaden lesen, wie man Dateien und Ordner mit einem Passwort unter Windows schützt.