# BitLocker for Server: Hardening & Automated Unlock

TL;DR / Management Summary BitLocker auf Servern schützt sensible Daten bei Diebstahl der Hardware oder Entsorgung von Festplatten. Im Gegensatz zum Client (Artikel 431) ist der manuelle Login am Server nach einem Reboot (PIN-Abfrage) ineffizient. Ein Senior Admin nutzt daher BitLocker Network Unlock, um Server im geschützten Firmen-LAN automatisch zu entsperren, während sie bei Diebstahl (außerhalb des Netzes) gesperrt bleiben.

# 1. Einführung & Architektur

Physische Sicherheit im RZ.

BitLocker schützt vor “Offline-Attacken”. Wenn ein Angreifer eine SSD aus dem Proxmox-Knoten klaut, kann er die Daten ohne den Key (aus dem TPM oder AD) nicht lesen.

# Server-Besonderheiten

# 2. BitLocker Network Unlock

Sicherer Neustart ohne PIN.

Dies ist die Enterprise-Lösung für das “Boot-Dilemma”.

  1. Der Server bootet und sieht, dass kein User da ist.
  2. Er schickt eine DHCP-Anfrage mit einem speziellen kryptografischen Paket ins LAN.
  3. Ein WDS (Windows Deployment Services) Server mit der Network Unlock Rolle prüft das Paket.
  4. Der WDS schickt den Entsperr-Schlüssel via Netzwerk zurück.
  5. Der Server bootet durch.

# Voraussetzung

# 3. Deep Dive: BitLocker & Storage Spaces (S2D)

Verschlüsselung im Software-Defined-Storage.

Wenn Sie S2D (Artikel 500) nutzen, wird die Verschlüsselung auf der Ebene der Virtual Disks durchgeführt.

# 4. Day-2 Operations: Lifecycle Management

Wenn Disks getauscht werden.

# Sicheres Löschen (SAD)

Wenn eine verschlüsselte Disk defekt ist und an den Hersteller zurückgeht:

# 5. Troubleshooting & “War Stories”

Wenn der Server nach dem Update hängt.

# Top 3 Fehlerbilder

  1. Symptom: Server bootet in den Recovery-Screen nach BIOS-Update.

    • Ursache: Das TPM erkennt die geänderte Firmware (PCR-Mismatch).
    • Lösung: Den Key aus dem AD auslesen (Artikel 431) und nach dem Login den Schutz einmalig suspendieren/resumen.

  2. Symptom: Network Unlock funktioniert nicht.

    • Ursache: DHCP-Optionen oder IP-Helper blockieren den speziellen Datenverkehr.
    • Lösung: Wireshark am WDS-Server nutzen, um zu sehen, ob die Unlock-Anfrage ankommt.

  3. Symptom: Massive CPU-Last nach Aktivierung der Verschlüsselung.

    • Ursache: Software-basierte Verschlüsselung auf alten CPUs ohne AES-Beschleunigung.

# “War Story”: Die “Cloud” Spionage

Ein Unternehmen betrieb seine Datenbank-Server in einer Colocation. Ein Techniker des Rechenzentrums-Betreibers wurde bestochen, um die Platten zu klonen. Die Rettung: Da alle Volumes via BitLocker geschützt waren und die Keys nur im internen TPM des Unternehmens-Servers lagen, konnte der Angreifer mit den Kopien der VHDXs nichts anfangen. Die Verschlüsselung schützte hier nicht vor einem Systemausfall, sondern vor dem Diebstahl des geistigen Eigentums. Lehre: BitLocker ist der Goldstandard für Datenschutz im “fremden” Rechenzentrum.

# 6. Monitoring & Reporting

Compliance im Rack.

# Status-Reporting (PowerShell)

# Listet alle Server auf, bei denen BitLocker nicht aktiv ist
Invoke-Command -ComputerName (Get-ADComputer -Filter 'OperatingSystem -like "*Server*"').Name -ScriptBlock {
    Get-BitLockerVolume | Where-Object { $_.ProtectionStatus -eq 'Off' }
}

# 7. Fazit & Empfehlung

BitLocker ist ein integraler Bestandteil der Server-Härtung.

# Anhang: Cheatsheet

Aufgabe Befehl
BitLocker aktivieren Enable-BitLocker -MountPoint "D:" -EncryptionMethod XtsAes256
Key im AD sichern Backup-BitLockerKeyProtector -MountPoint "C:" ...
Status prüfen manage-bde -status
Network Unlock Dienst Install-WindowsFeature BitLocker-NetworkUnlock

# Referenzen