- BitLocker To Go verschlüsselt USB-Laufwerke und externe Festplatten und erfordert ein Passwort oder einen Wiederherstellungsschlüssel für den Zugriff auf die Daten.
- Die Konfiguration kann zentral über Gruppenrichtlinien erfolgen, die Algorithmen, Passwörter und die Schlüsselspeicherung in Active Directory erzwingen.
- Mit TPM y Powershell Es ermöglicht eine erweiterte BitLocker-Verwaltung sowohl auf internen als auch auf externen Laufwerken.
- BitLocker bietet einen besseren Schutz als EFS und kann je nach Szenario durch Tools wie VeraCrypt ergänzt werden.
Wer mit externen Festplatten, USB-Sticks oder SD-Karten arbeitet , riskiert häufiger, dass diese verloren gehen oder in falsche Hände geraten. Hier kommt BitLocker To Go ins Spiel, die Lösung von Microsoft, die sicherstellt, dass selbst bei Verlust des Geräts niemand ohne Ihr Passwort oder Ihren Wiederherstellungsschlüssel auch nur ein einziges Byte lesen kann.
In diesem Leitfaden erfahren Sie detaillierter als üblich, was BitLocker To Go ist, wie Sie es unter Windows konfigurieren, wie Sie es mit Gruppenrichtlinien verwalten, was zu tun ist, wenn Sie Ihr Passwort verlieren, und welche Alternativen Ihnen zur Verfügung stehen, wenn Sie die Verschlüsselung weiter optimieren möchten. Wir behandeln außerdem das „normale“ BitLocker, die Rolle des TPM-Chips, dessen Auswirkungen auf die Leistung und einige fortgeschrittene PowerShell -Tricks , mit denen Sie das Tool wie ein IT-Profi steuern können.
Was ist BitLocker und was bietet BitLocker To Go zusätzlich?
BitLocker ist die in Windows Pro, Enterprise und Education (ab Windows Vista) integrierte Laufwerkverschlüsselungsfunktion . Sie schützt den gesamten Inhalt einer Festplatte (einschließlich des Betriebssystems), sodass niemand ohne den korrekten Schlüssel auf die Daten zugreifen kann, selbst wenn der Computer von einem anderen Betriebssystem gestartet oder die Festplatte an einen anderen Computer angeschlossen wird.
Bei von Unternehmen verwalteten Geräten wird die BitLocker-Verschlüsselung in der Regel zentral von der IT-Abteilung gesteuert . Viele Organisationen schreiben die Verschlüsselung bestimmter Laufwerke oder aller Laptops sogar per Gruppenrichtlinie vor, ohne dass die Benutzer selbst eingreifen müssen.
Über die Systemsteuerung gelangen Sie zum Modul „BitLocker-Laufwerkverschlüsselung “. Dort zeigt Windows Ihnen alle Laufwerke mit einem zugewiesenen Buchstaben an: das Betriebssystemlaufwerk, interne Datenlaufwerke und Wechseldatenträger, die für BitLocker To Go relevant sind.
BitLocker To Go ist die speziell für Wechseldatenträger entwickelte BitLocker-Variante: USB-Sticks, SD-Karten und externe Festplatten mit den Dateisystemen NTFS , FAT16, FAT32 oder exFAT . Der Zweck ist einfach: Wenn jemand Ihren USB-Stick findet oder stiehlt, sieht er nur ein gesperrtes Laufwerk und kann ohne Passwort, Smartcard oder Wiederherstellungsschlüssel nichts darauf lesen.
Unterschiede zwischen BitLocker und BitLocker To Go
Obwohl sie dieselbe Basistechnologie nutzen, verfolgen BitLocker und BitLocker To Go leicht unterschiedliche Ansätze . BitLocker konzentriert sich auf die Verschlüsselung des Systemlaufwerks und anderer interner Datenträger, während BitLocker To Go für Wechseldatenträger konzipiert ist, die häufig angeschlossen und getrennt werden.
Bei der Systemlaufwerkverschlüsselung kann BitLocker mit TPM, Boot- PIN , Passwörtern und auf USB-Laufwerken gespeicherten Schlüsseln kombiniert werden , um den Startvorgang des Computers zu sichern. Beim Einschalten, noch bevor Windows geladen wird, überprüft das System die Integrität des Systemlaufwerks und erfordert die festgelegte Authentifizierung; andernfalls startet das System nicht.
Wenn Sie eine interne Datenpartition oder eine Nicht-Systemfestplatte verschlüsseln, fordert BitLocker Sie beim Doppelklicken auf das Laufwerk zur Eingabe des Passworts auf. Ohne Passworteingabe bleiben die Inhalte verschlüsselt , unabhängig von den NTFS-Berechtigungen der Ordner oder den Windows-Benutzern.
BitLocker To Go hingegen konzentriert sich auf die praktische Nutzung verschlüsselter USB-Laufwerke, die Sie überallhin mitnehmen können . Schließen Sie das Laufwerk an einen kompatiblen Windows-Computer an, geben Sie Ihr Passwort ein oder verwenden Sie Ihre Smartcard, und das Laufwerk wird entschlüsselt eingebunden. Beim Kopieren von Dateien auf dieses Laufwerk werden diese sofort verschlüsselt; beim Kopieren vom Laufwerk werden sie automatisch entschlüsselt.
Auf älteren Systemen wie Windows XP oder einigen Editionen von Vista, die BitLocker To Go nicht nativ unterstützen, bietet Microsoft den BitLocker To Go Reader an , ein kleines Hilfsprogramm, mit dem Sie durch BitLocker geschützte FAT-Laufwerke im Nur-Lese-Modus öffnen können, um zumindest Daten wiederherstellen zu können.
Unterstützte Windows-Versionen und Systemvoraussetzungen
BitLocker und BitLocker To Go sind in den Windows-Editionen Pro, Enterprise und Education verfügbar . In den Home-Versionen sind sie nicht enthalten; dort benötigen Sie Drittanbieter-Tools wie VeraCrypt, wenn Sie ganze Festplatten verschlüsseln möchten.
In Windows 7 , 8, 8.1, 10 und 11 können die Konfigurationsoptionen und verfügbaren Algorithmen je nach Version leicht variieren. Ab Windows 10 Version 1511 wurde die Möglichkeit eingeführt, über Gruppenrichtlinien unterschiedliche Verschlüsselungsmethoden für Systemlaufwerke, interne Datenlaufwerke und Wechseldatenträger auszuwählen.
Viele Computer verfügen über einen Trusted Platform Module (TPM) -Chip auf dem Motherboard, der die BitLocker-Sicherheit erhöht, indem er einen Teil der Schlüssel in Hardware generiert und sicher speichert . Um den Chip zu überprüfen, öffnen Sie den Geräte-Manager und suchen Sie nach einem „Sicherheitsgerät“ (TPM). Alternativ können Sie tpm.msc mit der Tastenkombination Windows + R ausführen.
Wenn Ihr Computer kein TPM besitzt, ist das kein Problem: Sie können BitLocker mithilfe von Gruppenrichtlinien so konfigurieren , dass es auch ohne TPM funktioniert und stattdessen Passwörter oder einen USB-Stick mit dem Startschlüssel verwendet. Aktivieren Sie dazu einfach die Option „Zusätzliche Authentifizierung beim Start erforderlich“ und wählen Sie „BitLocker ohne kompatibles TPM zulassen“.
Die Auswirkungen auf die Leistung sind bei den meisten modernen Systemen mit AES-NI-Hardwareverschlüsselung eher gering . Sollten Sie jedoch langsame USB-Übertragungen feststellen, wurden bei einigen SSDs deutliche Leistungseinbußen beobachtet (beispielsweise spürbare Reduzierungen der zufälligen Lesegeschwindigkeit bei bestimmten High-End-Laufwerken), wenn BitLocker ausschließlich per Software und nicht über die Hardwareverschlüsselung der SSD funktioniert.
So greifen Sie unter Windows auf BitLocker To Go zu und aktivieren es.
Um BitLocker und BitLocker To Go über die grafische Benutzeroberfläche zu verwalten, gehen Sie am einfachsten zu Systemsteuerung > System und Sicherheit > BitLocker-Laufwerkverschlüsselung . Dort werden die Laufwerke in folgende Gruppen unterteilt: Betriebssystemlaufwerk, Festplattenlaufwerke und Wechseldatenträger (BitLocker To Go).
Eine weitere schnelle Möglichkeit, dorthin zu gelangen, bietet die Windows-Suchleiste. Melden Sie sich mit Administratorrechten an , öffnen Sie das Startmenü, geben Sie „BitLocker“ ein und wählen Sie „BitLocker verwalten“. Dadurch gelangen Sie zur Systemsteuerung, wo alle Laufwerke und deren Verschlüsselungsstatus angezeigt werden.
Auf Laufwerken, auf denen BitLocker noch nicht aktiviert ist, wird die Option „BitLocker aktivieren“ angezeigt . Wenn Sie diese Option bei einem Wechseldatenträger anklicken, öffnet sich der BitLocker To Go-Assistent, der Sie zunächst fragt, wie Sie das Laufwerk entsperren möchten.
Bei USB-Laufwerken und externen Festplatten können Sie zwischen einem Passwort und einer Smartcard wählen. Das Passwort sollte sicher sein und Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen enthalten. Windows schreibt eine Mindestlänge vor, und in Unternehmensumgebungen können die Richtlinien strenger sein.
Vor Beginn der Verschlüsselung werden Sie vom Assistenten aufgefordert, auszuwählen, wie Sie Ihren Wiederherstellungsschlüssel speichern möchten – Ihre wichtigste Hilfe, falls Sie Ihr Passwort vergessen . Sie haben mehrere Möglichkeiten: Ihr Microsoft-Konto (auf OneDrive hochgeladen), einen unverschlüsselten USB-Stick, eine Textdatei oder einen Ausdruck. Für Heimcomputer empfiehlt Microsoft, den Schlüssel mit Ihrem Microsoft-Konto zu verknüpfen oder ihn zumindest an einem Ort zu speichern, der nicht mit dem Laufwerk selbst verschlüsselt ist.
Verschlüsselungsoptionen: Speicherplatznutzung, vollständige Festplatte und Algorithmen
Beim Verschlüsseln eines Laufwerks fragt BitLocker, ob nur der belegte Speicherplatz oder die gesamte Festplatte verschlüsselt werden soll. Die Verschlüsselung nur des belegten Speicherplatzes ist deutlich schneller und ideal für neue oder kürzlich formatierte Festplatten. Bei Festplatten mit einer Nutzungshistorie können gelöschte Daten jedoch noch in freien Sektoren vorhanden sein und wiederhergestellt werden, wenn jemand unverschlüsselt darauf zugreift.
Bei Laufwerken, die zuvor Daten enthielten, ist die sicherste Option die Verschlüsselung der gesamten Festplatte , auch wenn dies länger dauert. So bleiben selbst gelöschte Daten geschützt. Bei kleinen Laufwerken (USB-Sticks oder SSDs mit mittlerer Kapazität) ist diese zusätzliche Zeit in der Regel verkraftbar.
Windows verwendet standardmäßig XTS-AES mit einem 128-Bit-Schlüssel für interne Festplatten und AES-CBC mit einem 128-Bit-Schlüssel für externe Festplatten und USB-Sticks. XTS-AES ist moderner, gilt in bestimmten Szenarien als robuster und bietet im Allgemeinen eine höhere Leistung.
Um die Sicherheit zu erhöhen, können Sie im Editor für lokale Gruppenrichtlinien (gpedit.msc) die Verwendung von 256-Bit-Schlüsseln für XTS-AES und AES-CBC festlegen. Dies erhöht theoretisch die Widerstandsfähigkeit gegen Brute-Force-Angriffe, führt jedoch zu einem geringfügig höheren Ressourcenverbrauch. Die Auswirkungen sind auf modernen Systemen jedoch minimal.
Microsoft bietet mehrere Richtlinien mit dem Titel „Laufwerkverschlüsselungsmethode und Verschlüsselungsstärke auswählen für…“, mit denen Sie den Algorithmus und die Schlüssellänge für Systemlaufwerke, interne Datenlaufwerke und Wechseldatenträger separat festlegen und an das Betriebssystem und dessen Version anpassen können.
Verwaltung von BitLocker To Go im Rahmen von Gruppenrichtlinien in Unternehmen
In Unternehmensumgebungen ist es nicht sinnvoll, dass jeder Benutzer selbst entscheiden muss, ob er seinen USB-Stick verschlüsselt, wie er die Schlüssel speichert oder welchen Algorithmus er verwendet. Um dieses Chaos zu vermeiden, werden Gruppenrichtlinienobjekte (GPOs) eingesetzt . Mithilfe dieser GPOs erzwingt der Administrator die BitLocker To Go-Konfiguration und automatisiert die Speicherung der Wiederherstellungsschlüssel in Active Directory.
Spezifische Richtlinien für Wechseldatenträger finden Sie unter: Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > BitLocker-Laufwerkverschlüsselung > Wechseldatenträger . Dort können Sie beispielsweise das Schreiben auf USB-Laufwerke blockieren, die nicht mit BitLocker verschlüsselt sind.
Die wichtigste Anweisung in diesem Zusammenhang lautet: „ Schreibzugriff auf Wechseldatenträger verweigern, die nicht durch BitLocker geschützt sind .“ Wenn Sie diese Option aktivieren, wird jedes unverschlüsselte USB-Laufwerk im schreibgeschützten Modus eingebunden, und Windows warnt Sie, dass BitLocker aktiviert werden muss, bevor Sie Daten speichern können.
Der Assistent, der beim Starten der Verschlüsselung angezeigt wird, kann so angepasst werden, dass dem Benutzer weniger Optionen angezeigt werden . Beispielsweise können Sie vordefinieren, dass nur der belegte Speicherplatz oder die gesamte Festplatte immer verschlüsselt wird, oder einen bestimmten Algorithmus auswählen, indem Sie die Gruppenrichtlinienobjekte „Laufwerkverschlüsselungstyp auf Wechseldatenträgern erzwingen“ und „Laufwerkverschlüsselungsmethode und Verschlüsselungsstärke auswählen“ verwenden.
Bei der Verwaltung von Wiederherstellungsschlüsseln ist es üblich, unter „Auswählen, wie BitLocker-geschützte Wechseldatenträger wiederhergestellt werden können “ die automatische Speicherung in Active Directory zu erzwingen. Wenn zusätzlich die Option „Wiederherstellungsoptionen im BitLocker-Einrichtungsassistenten umgehen“ ausgewählt ist, können Benutzer die Schlüssel nicht manuell in Dateien oder Ausdrucken speichern.
Organisationsidentitätskontrolle und Passwortdurchsetzung
Eine weitere interessante Funktion ist die Möglichkeit, verschlüsselte USB-Laufwerke mithilfe der Richtlinie „Eindeutige Kennungen für Ihre Organisation bereitstellen“ mit der Organisationskennung zu versehen . Jedes verschlüsselte Laufwerk wird mit dieser ID gekennzeichnet, die aus bis zu 260 Zeichen bestehen kann.
Durch die Kombination dieser Kennung mit der Option „ Schreibzugriff auf Geräte, die in einer anderen Organisation konfiguriert sind, nicht zulassen “ (die in der gleichen Kategorie der BitLocker To Go-Richtlinien enthalten ist), können Sie verhindern, dass Benutzer weiterhin USB-Laufwerke verwenden, die sie vor der Implementierung der Unternehmensrichtlinie selbst verschlüsselt haben oder die nicht dem internen Standard entsprechen.
Die Richtlinie „ Konfigurieren der Kennwortverwendung für Wechseldatenträger “ dient dazu, die Mindestkomplexität von BitLocker To Go-Kennwörtern anzupassen: Länge, Zeichenmischung usw. Diese Regeln werden in der Regel mit der allgemeinen Kennwortrichtlinie der Domäne abgestimmt, um ein einheitliches Sicherheitsniveau zu gewährleisten.
Wenn Sie zusätzlich die Option „Benutzern erlauben, den BitLocker-Schutz auf Wechseldatenträgern auszusetzen und zu entschlüsseln“ deaktivieren, stellen Sie sicher, dass niemand die Verschlüsselung eines firmeneigenen USB-Laufwerks selbstständig entfernen kann; diese Möglichkeit hätten nur Administratoren über ihre Konsole.
Diese zentrale Konfiguration gewährleistet, dass die Verschlüsselung portabler Laufwerke nicht vom Wohlwollen jedes einzelnen Mitarbeiters abhängt, sondern von einer einheitlichen Sicherheitsrichtlinie, die im gesamten Unternehmen gilt. Dadurch wird das Risiko von Datenlecks durch verlorene USB-Laufwerke erheblich reduziert.
TPM, Boot-Sicherheit und die Verwendung von BitLocker ohne TPM
Das Trusted Platform Module (TPM) ist ein kleiner Kryptochip, der in viele moderne Motherboards integriert ist und die BitLocker-Sicherheit deutlich erhöht, insbesondere wenn das Systemlaufwerk verschlüsselt ist. Er generiert und speichert einen Teil der Verschlüsselungsschlüssel und überprüft, ob die Systemumgebung manipuliert wurde.
Zu seinen Hauptfunktionen gehören die Datenverschlüsselung und der Schutz vor Boot- Malware . Das TPM erstellt ein Schlüsselpaar (öffentlich und privat), speichert einen Teil des privaten Schlüssels und prüft beim Systemstart, ob der Bootmanager und andere kritische Komponenten verändert wurden. Bei verdächtigen Aktivitäten kann es den normalen Systemstart verhindern.
Der Chip kann zudem einen Quarantänemodus aktivieren, sobald er eine potenzielle Sicherheitslücke erkennt. Dadurch kann das System versuchen, das Problem zu beheben, bevor es normal hochfährt. Darüber hinaus dient er als sicherer Speicherort für Zertifikate, Passwörter und Verschlüsselungsschlüssel und ist damit deutlich robuster als deren Speicherung auf der Festplatte.
Es gibt aber auch Nachteile: Die Verwendung von TPM bedingt eine gewisse Hardwareabhängigkeit . Das bedeutet, dass ein Chipausfall verschlüsselte Daten unzugänglich machen kann, wenn keine Backups und Wiederherstellungsschlüssel erstellt wurden. Außerdem sind nicht alle Systeme und Anwendungen vollständig kompatibel, und die Verwaltung kann für unerfahrene Benutzer komplex sein.
Wenn Ihr Computer kein TPM besitzt oder Sie die Systemfestplatte dennoch verschlüsseln möchten, können Sie die Richtlinie „Zusätzliche Authentifizierung beim Start erforderlich“ aktivieren und das Kontrollkästchen für BitLocker ohne TPM auswählen. In diesem Fall wird der Systemstart mithilfe eines USB-Sticks mit einem Boot-Schlüssel oder einem Pre-Boot-Passwort gesichert , das Sie bei jedem Einschalten des Computers eingeben müssen.
Erweiterte BitLocker-Verwaltung mit PowerShell
Zusätzlich zu grafischen Tools bietet Windows eine Reihe von PowerShell-Cmdlets zur Verwaltung von BitLocker und BitLocker To Go mit wesentlich größerer Flexibilität, ideal für die Automatisierung von Aufgaben, das Schreiben von Skripten oder die gleichzeitige Verwaltung von Dutzenden von Computern.
PowerShell ist eine leistungsstarke Befehlszeilenschnittstelle und Skriptumgebung, die die alten MS-DOS-Batchdateien ersetzt. Mit ihr können Sie den Laufwerksstatus überprüfen, die Verschlüsselung aktivieren, Schutzmechanismen hinzufügen oder entfernen, Datenträger sperren oder entsperren und BitLocker deaktivieren – alles mithilfe klar definierter Befehle.
Um den Status eines bestimmten Laufwerks anzuzeigen, verwenden Sie das Cmdlet „Get-BitLockerVolume“ , das den Parameter „MountPoint“ (z. B. F:) akzeptiert. Durch Hinzufügen von „| fl“ am Ende erhalten Sie eine detaillierte Liste der konfigurierten Schutzmechanismen, des Verschlüsselungsfortschritts, des Sperrstatus usw.
Die Verwaltung von Sicherheitsfunktionen (Passwörter, Wiederherstellungsschlüssel, Boot-Schlüssel) erfolgt mit Add-BitLockerKeyProtector . Sie können einen Passwortschutz, einen Wiederherstellungsschlüsselschutz (gespeichert als Datei an einem festgelegten Ort), einen 48-stelligen Wiederherstellungspasswortschutz oder einen auf einem USB-Laufwerk gespeicherten Boot-Schlüssel hinzufügen.
Nachdem Sie die gewünschten Schutzmaßnahmen konfiguriert haben, wird die Verschlüsselung mit dem Befehl „Enable-BitLocker“ gestartet . Dabei geben Sie das Laufwerk mit dem Mountpoint und den zu verwendenden Schutztyp an. Das System beginnt mit der Verschlüsselung der Festplatte und zeigt ein Fortschrittsfenster an (alternativ können Sie dies mit „fvenotify.exe“ erzwingen).
Wenn Sie ein verschlüsseltes Laufwerk sperren, entsperren oder die automatische Entsperrung konfigurieren möchten, stehen Ihnen die Funktionen „BitLocker sperren“, „BitLocker entsperren“, „Automatische BitLocker-Entsperrung aktivieren“ und „Automatische BitLocker-Entsperrung deaktivieren“ zur Verfügung. Mit „BitLocker entsperren“ können Sie die gewünschte Sicherheitsmethode zum Öffnen des Laufwerks auswählen: ein Standardkennwort, ein Wiederherstellungskennwort oder eine Datei mit einem Wiederherstellungsschlüssel.
Um ein Laufwerk, das Sie nicht mehr schützen möchten, zu deaktivieren und zu entschlüsseln, verwenden Sie Disable-BitLocker . Beim Ausführen des Skripts wird das Laufwerk schrittweise entschlüsselt, bis es im Klartext vorliegt. Den Fortschritt können Sie über das Benachrichtigungsfeld mit fvenotify.exe verfolgen.
Leidenschaftlicher Autor über die Welt der Bytes und der Technologie im Allgemeinen. Ich liebe es, mein Wissen durch Schreiben zu teilen, und genau das werde ich in diesem Blog tun und Ihnen die interessantesten Dinge über Gadgets, Software, Hardware, technologische Trends und mehr zeigen. Mein Ziel ist es, Ihnen dabei zu helfen, sich auf einfache und unterhaltsame Weise in der digitalen Welt zurechtzufinden.