BitLocker, die integrierte Datenträgerverschlüsselung von Windows, bietet starken Schutz gegen Szenarien wie einen gestohlenen Laptop oder ein externes Laufwerk. Doch dieser Schutz kann sich manchmal gegen den eigenen Nutzer richten: Geht der Wiederherstellungsschlüssel verloren, geht der Zugriff auf alle Daten des Laufwerks mit verloren.
Wo wird der Wiederherstellungsschlüssel typischerweise gespeichert?
Wenn BitLocker aktiviert wird, wird der Wiederherstellungsschlüssel in der Regel an einem der folgenden Orte gespeichert:
- Ein Online-Eintrag, verknüpft mit Ihrem Microsoft-Konto (account.microsoft.com/devices/recoverykey)
- Active Directory (AD) oder Azure AD in einer Unternehmensumgebung
- Eine auf einem USB-Laufwerk gespeicherte Datei
- Eine gedruckte oder handschriftliche Kopie
Geht der Schlüssel verloren, sollten zunächst alle diese Quellen geprüft werden; in vielen Fällen ist der Schlüssel noch in einem vergessenen Microsoft-Konto oder einem Unternehmens-AD-Eintrag verfügbar.
Was passiert, wenn kein Eintrag gefunden werden kann?
Kann der Wiederherstellungsschlüssel über keine Quelle erreicht werden, wird die Situation anhand des physischen und logischen Zustands des Datenträgers bewertet. Da BitLocker einen starken Verschlüsselungsstandard (AES-128/256) verwendet, ist eine Entschlüsselung per Brute Force ohne den Schlüssel praktisch nicht machbar. An diesem Punkt werden mögliche Hinweise (Konfigurationsverlauf, ähnliche Passwortgewohnheiten, TPM-Status) gemeinsam bewertet, um einen realistischen Fahrplan vorzulegen.
Ist die Situation bei VeraCrypt und TrueCrypt anders?
Open-Source-Verschlüsselungslösungen wie VeraCrypt und TrueCrypt verwenden ebenfalls starke Algorithmen (AES, Serpent, Twofish). Diese Tools kennen kein Konzept eines Wiederherstellungsschlüssels — nur das vom Nutzer festgelegte Passwort oder die Schlüsseldatei ist gültig. Aus diesem Grund ist ein verlorenes Passwort bei einem VeraCrypt-Volume im Allgemeinen ein herausfordernderes Szenario als bei BitLocker.
Empfehlungen zur Vermeidung von Datenverlust
- Speichern Sie beim Aktivieren der Datenträgerverschlüsselung den Wiederherstellungsschlüssel an mindestens zwei verschiedenen Orten (z. B. Microsoft-Konto + eine schriftliche Kopie)
- Verwalten Sie Schlüssel in Unternehmensumgebungen zentral (über AD/Azure AD)
- Bestätigen Sie vor einem Mainboard- oder TPM-Wechsel, dass der Schlüssel gesichert wurde
Detaillierte Informationen zur Zugriffsbewertung für BitLocker- und VeraCrypt-verschlüsselte Laufwerke finden Sie auf der Seite Datenträger- & Laufwerkswiederherstellung.