# BitLocker: Enterprise-Festplattenverschlüsselung & Key Management

TL;DR / Management Summary BitLocker ist die native Volume-Verschlüsselung von Windows. In einer Enterprise-Umgebung ist sie die wichtigste Maßnahme gegen Datenverlust bei Diebstahl von Laptops. Wir nutzen TPM (Trusted Platform Module) zur automatischen Entsperrung beim Booten, kombiniert mit einer zentralen Speicherung der Wiederherstellungsschlüssel (Recovery Keys) im Active Directory oder Entra ID. Ein Senior Admin sorgt dafür, dass nur starke Algorithmen (AES-256) zum Einsatz kommen.

# 1. Einführung & Architektur

Die Vertrauenskette.

BitLocker arbeitet auf Sektor-Ebene unterhalb des Dateisystems. Der Zugriff auf den Verschlüsselungs-Key (FVEK - Full Volume Encryption Key) ist durch den TPM-Chip geschützt.

# Wie der Boot-Prozess gesichert wird

1. UEFI startet und prüft die Signatur des Bootloaders (Secure Boot).
2. Das TPM misst die Boot-Komponenten (PCR-Register). Wenn sich nichts geändert hat (kein Bootkit), gibt das TPM den BitLocker-Key frei.
3. Windows startet ohne Passwort-Eingabe (User Experience).

# Architektur-Übersicht (Mermaid)

graph TD
    USER[User / Admin] -->|1. Setup| GPO[Group Policy / Intune]
    GPO -->|2. Force| PC[Windows Client]
    PC -->|3. Check| TPM[TPM 2.0 Chip]
    PC -->|4. Encrypt| DISK[System Partition C:]
    PC -->|5. Escrow| AD[Active Directory / Entra ID]
    
    subgraph "Key Storage"
    AD
    end

# 2. BitLocker in der Praxis: Deployment

Kein manuelles ‘BitLocker aktivieren’ mehr.

# Erzwingen via GPO

Pfad: Computerkonfiguration -> Administrative Vorlagen -> Windows-Komponenten -> BitLocker-Laufwerkverschlüsselung -> Betriebssystemlaufwerke

• Verschlüsselungsmethode: Wählen Sie XTS-AES 256-Bit.
• Zusätzliche Authentifizierung beim Start: Erfordern Sie TPM (ohne PIN für maximalen Komfort, mit PIN für maximale Sicherheit).
• Sichern der Wiederherstellungsinformationen im AD: Unbedingt aktivieren! Ohne diesen Haken haben Sie bei einem Mainboard-Defekt totalen Datenverlust.

# PowerShell für den schnellen Check

# Status aller Laufwerke prüfen
Get-BitLockerVolume

# Verschlüsselung manuell starten und Key im AD sichern
Enable-BitLocker -MountPoint "C:" -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmProtector

# 3. Deep Dive: Key Escrow & Recovery

Der Notfallplan.

Was passiert, wenn das Mainboard getauscht wurde? Das TPM gibt den Key nicht mehr frei.

# Recovery im Active Directory

Die Schlüssel werden als Child-Objekte des Computer-Kontos gespeichert.

• Tool: “Active Directory-Benutzer und -Computer” (erfordert das Feature “BitLocker-Wiederherstellungskennwort-Viewer”).

# Recovery in Entra ID (Cloud)

In modernen Umgebungen finden Sie den Key im Intune-Portal oder direkt im Azure AD Profil des Geräts.

# 4. Day-2 Operations: Hardware-Tausch & BIOS Updates

Wartung ohne Reibung.

# BIOS Updates vorbereiten

Ein BIOS-Update ändert die Messwerte (PCRs) im TPM. BitLocker würde beim nächsten Boot den Recovery Key verlangen. Lösung: BitLocker pausieren (nicht deaktivieren!).

# Pausiert den Schutz für den nächsten Reboot
Suspend-BitLocker -MountPoint "C:" -RebootCount 1

# 5. Troubleshooting & “War Stories”

Wenn das Schloss klemmt.

# Top 3 Fehlerbilder

1. Symptom: PC bootet immer in den BitLocker-Recovery-Screen.

   • Ursache: Änderung der Boot-Reihenfolge oder eingesteckte USB-Hardware (PCR-Mismatch).
   • Lösung: Einmalig Key eingeben und in Windows Manage-bde -protectors -addupdate C: ausführen, um das TPM neu zu kalibrieren.

2. Symptom: “Verschlüsselung kann nicht gestartet werden - TPM nicht gefunden”.

   • Lösung: Prüfen Sie im BIOS, ob das TPM auf “Enabled” und “Activated” steht. Bei Intel heißt es oft PTT, bei AMD fTPM.

3. Symptom: Verschlüsselung hängt bei 99%.

   • Ursache: Sektorfehler auf der Festplatte.
   • Lösung: chkdsk C: /f ausführen und Log-Files in C:\Windows\Panther prüfen.

# “War Story”: Das “Lost” CEO-Passwort

Ein CEO verlor seinen Laptop im Urlaub. Wir sperrten das Konto, aber der Dieb hätte die SSD ausbauen und an einen anderen PC hängen können. Dank BitLocker mit AES-256 und deaktiviertem DMA-Zugriff via GPO (Artikel 479) war die Chance auf Datenextraktion gleich null. Die Recovery-Keys waren sicher im AD hinterlegt, so dass wir nach dem Wiederauffinden des Geräts (Polizei) in 2 Minuten wieder Zugriff hatten.

# 6. Monitoring & Compliance

Sind wir sicher?

# Compliance-Reporting via PowerShell

Erstellen Sie eine Liste aller unverschlüsselten Geräte:

$Volumes = Get-BitLockerVolume | Where-Object { $_.ProtectionStatus -eq 'Off' }
if ($Volumes) { Write-Error "Unverschlüsselte Laufwerke gefunden!" }

# 7. Fazit & Empfehlung

BitLocker ist ein Pflicht-Standard.

• Empfehlung: Nutzen Sie XTS-AES 256. Der Performance-Verlust auf modernen CPUs (AES-NI) ist unmessbar.
• Wichtig: Testen Sie den Recovery-Prozess regelmäßig! Ein Admin, der im Ernstfall den Recovery-Viewer nicht findet, ist ein Sicherheitsrisiko.

# Anhang: Cheatsheet

# Referenzen

• Microsoft Learn: BitLocker Overview
• BitLocker Recovery Guide
• PCR Bank Configuration Details