Sie haben den Computer über Nacht aktualisieren lassen. Am Morgen leuchtet statt des Anmeldebildschirms eine blaue Fläche mit einem Schlüssel, dem Text „BitLocker-Wiederherstellung” und einem Feld für eine 48-stellige Nummer. Das Laufwerk muss nicht defekt sein, das System muss nicht beschädigt sein – Windows konnte lediglich nicht überprüfen, ob der Computer im selben Zustand startet, in dem die Verschlüsselung aktiviert wurde.
Das Problem ist, dass in diesem Moment niemand weiß, wo diese Nummer ist. Und bis sie gefunden wird, liegen die Daten hinter einer undurchdringlichen Wand.
Antwort sofort: Suchen Sie bei einem privaten Computer den Schlüssel auf einem anderen Gerät über
aka.ms/myrecoverykeyund melden Sie sich mit dem persönlichen Microsoft-Konto an, mit dem der Computer erstmals eingerichtet wurde. Gehen Sie bei einem Geschäfts- oder Schul-Laptop aufaka.ms/aadrecoverykeyund melden Sie sich mit dem Arbeitskonto an. Vergleichen Sie immer die Schlüssel-ID vom blauen Bildschirm mit der ID des Schlüssels im Konto – in der Liste sind oft mehrere. Bevor Sie anfangen, etwas im BIOS zu ändern oder das TPM zu löschen, fotografieren Sie den Bildschirm. Ohne einen gültigen Schlüssel öffnet niemand eine korrekt verschlüsselte Festplatte – auch kein Service.
Was ist eigentlich passiert
BitLocker merkt sich beim Einschalten der Verschlüsselung, wie der Computer startet: welche UEFI-Einstellungen er hat, welche Firmware, welchen Bootloader. Der Schlüssel zum Entsperren des Laufwerks wird dann vom TPM-Chip auf der Hauptplatine verwahrt und nur dann herausgegeben, wenn dieser Fingerabdruck passt. Ändert sich der Fingerabdruck, gibt das TPM den Schlüssel nicht heraus und BitLocker verlangt nach der Sicherungskopie – dem Recovery Key.
Es gibt einige Auslöser, und alle sind harmlos:
- Eingriff ins UEFI/BIOS (Aktivieren oder Deaktivieren von Secure Boot, Umschalten von UEFI auf Legacy, Änderung der Bootreihenfolge),
- Firmware- oder BIOS-Update, das der Laptop oft selbstständig im Hintergrund durchführt,
- Löschen oder Zurücksetzen des TPM, typisch beim „Bereinigen” des Computers,
- Austausch der Hauptplatine oder Verschieben der Festplatte in ein anderes Gerät,
- Ausbauen der Festplatte und Anschluss über einen USB-Adapter an ein anderes Windows-System.
Der blaue Bildschirm allein sagt also nichts über den Zustand der Festplatte aus. Wenn er jedoch nach einer Reihe von Abstürzen oder seltsamen Geräuschen auftritt, kümmern Sie sich zuerst um die Hardware – dazu mehr im Artikel Datenrettung von Festplatten mit defekten Sektoren. Sollten Sie von der aktivierten Verschlüsselung gar nichts gewusst haben, ist das keine Ausnahme: Neuere Windows-Versionen verschlüsseln auf einer Reihe von Geräten selbstständig und still, was wir im Artikel BitLocker hat sich selbst aktiviert behandeln.
Die ersten fünf Minuten: Was zu tun ist, bevor Sie anfangen, irgendetwas zu ändern
Die meisten unnötig verlorenen Daten entstehen in dem Moment, in dem man erschrickt und anfängt, „das irgendwie zu reparieren”.
- Fotografieren Sie den gesamten Bildschirm. Darauf befindet sich die Wiederherstellungsschlüssel-ID, die Sie zum Abgleich benötigen. Notieren Sie sich zumindest die ersten acht Zeichen.
- Finden Sie heraus, wer den Computer ursprünglich eingerichtet hat. Der Schlüssel wurde in dessen Konto gespeichert, nicht in Ihrem.
- Entscheiden Sie, ob das Gerät privat oder an ein firmeneigenes Microsoft 365 angebunden ist. Danach führen zwei verschiedene Wege.
- Suchen Sie auf einem anderen Telefon oder Computer. Das gesperrte Gerät hilft Ihnen dabei nicht weiter.
- Fassen Sie vorerst nichts weiter an. Keine weiteren BIOS-Änderungen, kein Löschen des TPM, keine Neuinstallation, keine Formatierung. Sie erhalten dadurch nicht den Schlüssel und erschweren die Wiederherstellung nur.
Die Wiederherstellungsschlüssel-ID ist nicht der Recovery Key. Es ist nur ein Etikett, anhand dessen Sie im Konto die richtige Nummer erkennen, wenn Sie mehrere dort haben.
Privates oder Geschäftskonto? Hier entsteht die meiste Verwirrung
Microsoft führt zwei getrennte Welten von Konten: das persönliche Microsoft-Konto (Outlook, Hotmail, Live, aber ebenso gut eine Gmail-Adresse) und das Arbeits- oder Schulkonto in Microsoft Entra ID. Der Schlüssel wird in einem davon gespeichert, und im anderen danach zu suchen, ist sinnlos.
| Wie wurde der Computer eingerichtet | Wo ist der Schlüssel zu suchen | Womit anmelden |
|---|---|---|
| Privater Laptop, Microsoft-Konto | aka.ms/myrecoverykey | Persönliches Microsoft-Konto |
| Bei Microsoft 365 der Organisation angemeldet | aka.ms/aadrecoverykey | Arbeits- oder Schulkonto |
| Über Microsoft Intune verwaltet | Geschäftskonto oder IT-Administrator | Organisationskonto |
| Klassische Firmendomäne | Netzwerkadministrator | Schlüssel befindet sich normalerweise im Active Directory |
| BitLocker von jemand anderem aktiviert | Konto dieser Person | Ursprünglicher Besitzer oder Techniker |
| Schlüssel manuell gespeichert | Papier, USB oder Textdatei | Konto nicht erforderlich |
Eine Gmail-Adresse kann gleichzeitig der Anmeldename für ein persönliches Microsoft-Konto sein – viele Leute haben sich ein solches Konto irgendwann einmal eingerichtet und es vergessen. Und umgekehrt: Eine Firmendomäne in der Adresse bedeutet noch lange nicht, dass es sich um ein Arbeitskonto in Microsoft 365 handelt. Entscheidend ist, wie der Computer eingerichtet wurde, nicht, wie die E-Mail aussieht.
Privatcomputer: Der Weg über aka.ms/myrecoverykey
Öffnen Sie auf einem anderen Gerät https://aka.ms/myrecoverykey und melden Sie sich mit dem Microsoft-Konto an, mit dem der Laptop erstmals eingerichtet oder die Verschlüsselung aktiviert wurde.
Es erscheint eine Liste von Schlüsseln – oft für mehrere Geräte und mehrere Laufwerke. Wählen Sie nicht nach dem Computernamen aus. Vergleichen Sie die Wiederherstellungsschlüssel-ID vom blauen Bildschirm mit der ID des Eintrags in der Liste. Wenn Sie eine Übereinstimmung finden, schreiben Sie die 48-stellige Nummer ab; sie ist in acht Gruppen zu je sechs Ziffern unterteilt, und die Bindestriche müssen normalerweise nicht eingegeben werden.
Wenn das Konto leer ist, gehen Sie alle Konten durch, die jemals auf diesem Computer aktiv gewesen sein könnten:
- Konto des Firmeninhabers oder Selbstständigen, der das Gerät gekauft hat,
- Konto des Mitarbeiters, der den Laptop ausgepackt und eingerichtet hat,
- älteres Konto mit einer Outlook-, Hotmail- oder Live-Adresse,
- Konto, das mit einer anderen E-Mail-Adresse erstellt wurde (ruhig Gmail oder Seznam),
- Konto eines Familienmitglieds oder eines externen Technikers, der das Gerät vorbereitet hat.
Bei einem Computer vom Gebrauchtmarkt befindet sich der Schlüssel normalerweise im Konto des Vorbesitzers. Ohne dessen Mitwirkung können Sie ihn nicht auf sich übertragen – Microsoft überschreibt den Schlüssel nicht auf einen neuen Besitzer.
Firmen-Laptop: Der Weg über aka.ms/aadrecoverykey
War das Gerät mit Microsoft 365, Microsoft Entra ID oder Intune verbunden, öffnen Sie https://aka.ms/aadrecoverykey und melden Sie sich mit dem Arbeitskonto an. Wählen Sie in der Geräteübersicht den gesperrten Computer aus, zeigen Sie die BitLocker-Schlüssel an und vergleichen Sie wiederum deren IDs mit dem blauen Bildschirm.
Die Abkürzung „aad” in der Adresse ist ein Überbleibsel des älteren Namens Azure Active Directory. Der Dienst heißt heute Microsoft Entra ID, aber der Link ist geblieben.
Der Schlüssel wird einem normalen Mitarbeiter möglicherweise nicht angezeigt, auch wenn er in der Organisation existiert – die Firma kann die Selbstbedienungsanzeige deaktivieren. Dann ist es Sache des Administrators, Folgendes durchzugehen:
- Microsoft Entra ID,
- Microsoft Intune,
- lokales Active Directory bei klassischer Domäne,
- Konto des ursprünglichen Gerätenutzers,
- von interner oder externer IT geführte Schlüsselverwaltung.
Senden Sie dem Administrator ein Foto des Bildschirms, den Computernamen, die Seriennummer und die Schlüssel-ID. Senden Sie die 48-stellige Nummer selbst nicht in einen Gruppenchat und speichern Sie sie nicht in einem gemeinsam genutzten Dokument, auf das die halbe Firma Zugriff hat. Wer den Schlüssel und physischen Zugriff auf das Laufwerk hat, kann das Laufwerk öffnen. In einer Firma, die unter das Cybersicherheitsgesetz und NIS2 fällt, ist der Umgang mit Schlüsseln zudem oft direkt Bestandteil interner Richtlinien.
Warum das Konto einen anderen Schlüssel oder gar keinen anzeigt
Die häufigste Ursache ist kein Fehler der Seite, sondern das falsche Konto. Der Schlüssel ist an das Konto oder die Organisation gebunden, in dem/der er beim Einschalten von BitLocker gespeichert wurde – die Suche erfolgt nicht danach, wer sich heute bei Windows anmeldet.
Ziehen Sie auch diese Möglichkeiten in Betracht:
- BitLocker wurde von einem anderen Computeradministrator aktiviert,
- der Laptop gehörte ursprünglich einem anderen Mitarbeiter,
- das Gerät wurde zuvor von einer anderen Organisation verwaltet,
- der Schlüssel wurde ausgedruckt oder auf USB statt in der Cloud gespeichert,
- nach einer Neuinstallation oder erneuten Aktivierung der Verschlüsselung ist ein neuer Schlüssel entstanden und der alte gilt nicht mehr,
- das Gerät hat mehrere Schlüssel, aber nur eine ID passt.
Durchsuchen Sie Firmenspeicher, Backup-Laufwerke und USB-Sticks nach Dateien mit Namen wie „BitLocker Recovery Key”. Und Achtung: Geben Sie Anmeldedaten ausschließlich auf echten Microsoft-Domains ein. Links aus Internetforen, die ein „Tool zur Schlüsselwiederherstellung” versprechen, sind typisches Phishing – das Ziel ist Ihr Konto, nicht Ihre Festplatte.
Was nicht hilft
Der Recovery Key lässt sich nicht von der Seriennummer des Laptops, von der Windows-Lizenz, von der PIN oder vom Kontokennwort ableiten. Es ist kein Code, der sich errechnen lässt. Weder ein Service noch der Microsoft-Support können einen verlorenen Schlüssel erstellen.
Nichts davon funktioniert:
- Raten von Zahlen,
- Ausbau der SSD und Anschluss über USB-Adapter – die Festplatte bleibt auch dort verschlüsselt,
- Übernahme von Dateieigentum von einem anderen Windows aus,
- CHKDSK,
- gewöhnliche Software zur Wiederherstellung gelöschter Dateien,
- Zurücksetzen des Microsoft-Kontokennworts,
- Neuinstallation von Windows, wenn Sie Daten behalten wollen.
Die Windows-Tools manage-bde und repair-bde sind bei der Diagnose oder bei einem beschädigten Volume sinnvoll, aber auch sie benötigen ein gültiges Entsperrmittel – Schlüssel, Kennwort oder funktionierendes TPM. Sie sind keine Werkzeuge, um BitLocker zu umgehen, und geben sich auch nicht als solche aus.
Die Option Diesen PC zurücksetzen bringt das Gerät mit einer sauberen Installation wieder zum Laufen, entsperrt aber nicht die ursprünglichen Daten. Bestätigen Sie ein Zurücksetzen oder Formatieren daher erst, wenn Sie sich mit dem Dateiverlust abgefunden haben oder ein verifiziertes Backup besitzen – idealerweise eines, das der 3-2-1-Regel entspricht.
Wann es sinnvoll ist, einen Service zu rufen
Bezahlte Hilfe ist in einigen spezifischen Situationen sinnvoll: Sie wissen nicht, welches Konto bei der Einrichtung verwendet wurde; der Computer ging durch mehrere Hände; die Anforderung erscheint erneut nach Eingabe des scheinbar richtigen Schlüssels; oder Sie müssen zuerst den Zustand der Festplatte sicher beurteilen lassen, bevor jemand darauf zugreift.
Ein Techniker kann:
- zwischen persönlichem Konto und Organisations-Arbeitskonto unterscheiden und herausfinden, wohin der Schlüssel gehört,
- helfen, das Gerät anhand der Schlüssel-ID zu finden,
- feststellen, ob die Anforderung durch eine TPM-, UEFI- oder Bootreihenfolge-Änderung ausgelöst wurde,
- den Zustand von SSD oder HDD ohne unnötige Schreibzugriffe überprüfen,
- nach dem Entsperren Daten sicher kopieren,
- ein beschädigtes BitLocker-Volume diagnostizieren,
- das Vorgehen mit dem Firmenadministrator von Microsoft 365 abstimmen.
Und er nennt Ihnen auch die Grenze, wo es endet: Ohne Recovery Key oder ein anderes gültiges Mittel ist eine gesunde, korrekt verschlüsselte Festplatte nicht lesbar. Wer im Voraus das „Knacken von BitLocker” ohne Schlüssel verspricht, von dem verlangen Sie eine genaue technische Erklärung und Zahlungsbedingungen, bevor Sie ihm irgendetwas übergeben.
Der Preis hängt davon ab, ob es nur um die Kontosuche und Einstellungsprüfung geht oder auch um eine defekte Festplatte, Datenkopie oder Systemreparatur. Eine grundlegende Diagnose bei uns in Brünn liegt richtungsweisend bei 500 CZK aufwärts, und deren Ergebnis sowie den ungefähren Preis für weitere Arbeiten nennen wir Ihnen vorab – ohne Ihr Einverständnis tun wir nichts. Wenn die Festplatte zudem physisch krank ist, geht der Fall in den Modus der Datenrettung über, wo andere Regeln und ein anderes Preisniveau gelten. Klären Sie bei einem Firmengerät vorab, wer den Service beauftragen darf und an wen die Daten herausgegeben werden dürfen.
Der Schlüssel passt, Windows fährt immer noch nicht hoch
Die Annahme des Schlüssels bedeutet nur eines: Die Festplatte wurde entsperrt. Sie sagt nichts darüber aus, ob die Startdateien in Ordnung sind, ob ein Update fehlgeschlagen ist oder ob die SSD spinnt.
Und wenn BitLocker bei jedem Start fragt, lösen Sie das nicht durch dauerhaftes Deaktivieren der Verschlüsselung, „damit Ruhe ist”. Bei einem Firmen-Laptop könnten Sie dadurch gegen die Sicherheitsrichtlinie verstoßen, und bei einem privaten nehmen Sie sich unnötig einen Schutz, den Sie einmal schätzen werden. Sichern Sie zuerst, dann lassen Sie den Festplattenzustand, die BitLocker-Schutzmechanismen und die UEFI-Konfiguration überprüfen – die Ursache ist fast immer eine bestimmte Sache, nicht „Windows spinnt”.
Wenn alles vorbei ist, speichern Sie den Recovery Key irgendwo außerhalb des Computers: im Microsoft-Konto, auf einem Zettel in der Schublade, im Passwort-Manager. Die Firma sollte Aufzeichnungen führen – zu welchem Gerät und zu welcher aktuellen Schlüssel-ID er gehört, wer darauf zugreifen darf und ob nach einer Änderung des Schutzes ein neuer Schlüssel entstanden ist. Es ist ein Aufwand von fünf Minuten, der einem einmal einen Tag Panik erspart. Wie BitLocker funktioniert und wann man es eigentlich will, fasst der Artikel Was ist BitLocker zusammen.