Sie haben sich auf aka.ms/myrecoverykey angemeldet, die Liste ist geladen – und der Schlüssel, den der blaue Bildschirm verlangt, steht schlicht nicht drin. Oder das Konto ist komplett leer. In diesem Moment tun die meisten Menschen eines von zwei Dingen: Sie probieren Schlüssel von anderen Geräten durch, oder sie geben die Festplatte auf und starten eine Neuinstallation.
Beides ist verfrüht. „Schlüssel nicht gefunden” heißt meistens nicht, dass der Schlüssel nicht existiert. Es heißt, dass Sie an der falschen Stelle suchen.
Die kurze Antwort: Der Schlüssel gehört zu genau einer Identität und zu genau einer Festplatte. Prüfen Sie drei Dinge in dieser Reihenfolge: eine andere Identität (privates Microsoft-Konto und geschäftliches Microsoft-365-Konto können dieselbe Adresse haben, sind aber zwei getrennte Welten mit zwei Gerätelisten), die Firmenverwaltung (der Schlüssel kann in Microsoft Entra ID, Intune oder Active Directory liegen, wo der Benutzer ihn nicht sieht) und den ursprünglichen Rechner (stammt die Festplatte von woanders, entsperrt das ursprüngliche Mainboard mit seinem TPM sie womöglich von allein). Formatieren Sie vorerst nichts, löschen Sie keine Partitionen und entfernen Sie den Geräteeintrag nicht aus der Firmenverwaltung. Erst wenn kein passender Schlüssel existiert, kein Gerät die Festplatte entsperrt und die Daten in keinem Backup liegen – dann ist das eine Entscheidung, keine Reparatur.
Dieser Text knüpft an die Grundanleitung wo Sie den BitLocker-Wiederherstellungsschlüssel über aka.ms finden an. Wir wiederholen darin nicht alle Orte, an denen der Schlüssel gespeichert wird. Es geht um die Situation, in der Sie die üblichen Orte durchgegangen sind und immer noch nichts haben.
Zuerst das, was Sie auf keinen Fall tun dürfen
Ein großer Teil der endgültig verlorenen Daten bei BitLocker entsteht nicht in dem Moment, in dem die Festplatte sich sperrt, sondern bei den anschließenden Versuchen, sie „irgendwie zu reparieren”.
Solange Sie nicht wissen, ob die Daten ersetzbar sind, tun Sie Folgendes nicht:
- die Festplatte formatieren oder Partitionen entfernen,
- die Datenträgerinitialisierung bestätigen, die die Datenträgerverwaltung anbietet,
- eine Neuinstallation von Windows auf derselben Festplatte starten,
- CHKDSK laufen lassen, besonders wenn die Festplatte physische Probleme hat,
- den Geräteeintrag aus Entra ID, Intune oder Active Directory löschen,
- das Konto des ehemaligen Mitarbeiters kündigen,
- „Entsperr-Programme” von unbekannten Websites installieren.
BitLocker ist kein Dateisystemfehler, und Formatieren repariert ihn nicht – es entfernt nur Strukturen, die noch nützlich gewesen wären. Und wenn die Festplatte klackert, sich im Betrieb abmeldet oder der Rechner sie nur gelegentlich sieht, schalten Sie sie komplett ab. Dann haben Sie nämlich nicht ein Problem, sondern zwei: den fehlenden Schlüssel und sterbende Hardware. Zum zweiten Punkt haben wir Anzeichen einer sterbenden SSD und Datenrettung von einer Festplatte mit defekten Sektoren.
Klären Sie zuerst, wonach Sie eigentlich suchen
Auf dem blauen Bildschirm stehen zwei verschiedene Zahlen, und die werden regelmäßig verwechselt.
Die Wiederherstellungsschlüssel-ID ist eine kurze Kennung, von der man sich typischerweise die ersten acht Zeichen merkt. Sie entsperrt nichts. Sie dient nur dazu, in der Liste zu erkennen, welcher der gespeicherten Schlüssel zu dieser Festplatte gehört.
Der Wiederherstellungsschlüssel ist eine 48-stellige Zahl in acht Gruppen zu je sechs Ziffern. Das ist das, was die Festplatte entsperrt.
Wenn Sie fünf Schlüssel im Konto haben und keiner funktioniert, bedeutet das fast immer, dass Sie Schlüssel von anderen Geräten oder von einer älteren Windows-Installation probiert haben. Probieren Sie nicht wahllos herum – vergleichen Sie die ID vom Bildschirm mit der ID beim Eintrag in der Liste. Entweder es gibt eine Übereinstimmung, oder dieser Schlüssel ist nicht dort und die Suche geht woanders weiter.
Woran Sie erkennen, welchen Weg Sie weitergehen
| Situation | Was zu prüfen ist | Was das bedeutet |
|---|---|---|
| Der Schlüssel ist nicht im erwarteten privaten Konto | Wer den Rechner erstmals eingerichtet hat und unter welcher Adresse | Der Schlüssel kann in einem anderen Konto liegen – prüfen Sie, wer den Rechner eingerichtet hat. |
| Dieselbe E-Mail nutzen Sie privat und geschäftlich | Ob Sie in der privaten oder der geschäftlichen Identität sind | Das sind zwei getrennte Anmeldungen, jede mit eigener Geräteliste. |
| Das Notebook gehörte einem Mitarbeiter oder einer anderen Firma | Entra ID, Intune, lokales Active Directory | Den Schlüssel sieht nur der Administrator – und nur dann, wenn die Sicherung vor der Verschlüsselung eingerichtet war. |
| Die Festplatte wurde aus einem anderen Rechner ausgebaut | Das ursprüngliche Mainboard und sein TPM | Den Schlüssel hielt der ursprüngliche TPM-Chip – versuchen Sie, die Festplatte in den Ursprungsrechner zurückzusetzen. |
| Konto gekündigt oder Mitarbeiter ausgeschieden | Kontowiederherstellung, Geräteeintrag beim Administrator | Entscheidend ist, was erhalten geblieben ist: Konto und Geräteeintrag können gelöscht sein. |
| Sie haben mehrere Schlüssel, aber keiner funktioniert | Übereinstimmung der ID auf dem Bildschirm mit der ID beim Schlüssel | Sie probieren vermutlich Schlüssel anderer Geräte – vergleichen Sie die ID, nicht den Inhalt. |
| Es gibt weder Schlüssel noch ein entsperrtes Gerät | Backups, OneDrive, SharePoint, Server, Anhänge | Die Festplatte allein bekommen Sie ohne Schlüssel nicht auf – suchen Sie die Daten außerhalb. |
Richtige Adresse, falsche Identität
Das ist bei kleinen Firmen und Selbstständigen die häufigste Sackgasse. Microsoft führt zwei getrennte Welten: das private Microsoft-Konto und das Geschäfts- oder Schulkonto in Microsoft Entra ID. Beide können auf derselben E-Mail-Adresse laufen, es sind aber zwei verschiedene Identitäten, jede mit eigener Geräteliste und eigenem Schlüsseltresor. Sie melden sich in der falschen an, die Liste lädt brav – und ist leer.
Gehen Sie deshalb Folgendes durch:
- Wer die Ersteinrichtung des Notebooks gemacht hat. Der Schlüssel wurde in dessen Konto gespeichert, nicht in Ihrem.
- Wer die Verschlüsselung eingeschaltet oder das Gerät in die Firma eingebunden hat.
- Ob bei der Anmeldung auf
aka.msdas private oder das geschäftliche Konto ausgewählt wird. - Ob den Rechner ein externer Dienstleister, Lieferant oder ehemaliger Mitarbeiter vorbereitet hat.
- Ob der Besitzer eine ältere Adresse von Outlook.com, Hotmail oder Live verwendet hat.
Neuere Windows-11-Versionen können auf dem Wiederherstellungsbildschirm einen Hinweis auf das Konto anzeigen, bei dem der Schlüssel zu suchen ist. Sie zeigen aber nicht die vollständige Adresse, nur ein Fragment – das reicht, um zwei Konten zu unterscheiden, nicht um ein unbekanntes zu erraten.
Festplatte aus einem anderen Rechner: Das ursprüngliche Mainboard kann noch helfen
Die Systemfestplatte entsperrt im Normalbetrieb der TPM-Chip auf dem Mainboard. Er gibt den Schlüssel nur heraus, wenn der Startabdruck passt – Firmware, UEFI-Einstellungen, Bootloader. Bauen Sie die SSD in ein anderes Notebook oder in ein USB-Gehäuse, ist das ursprüngliche TPM schlicht nicht da. Daher die Abfrage des Wiederherstellungsschlüssels.
Wenn der ursprüngliche Rechner noch existiert und funktioniert:
- setzen Sie die Festplatte dort wieder ein,
- ändern Sie vorher nichts an TPM, Secure Boot oder Startmodus – jede solche Änderung zerstört den Abdruck, und dann verlangt auch der ursprüngliche Rechner den Schlüssel,
- versuchen Sie einen normalen Start,
- wenn Windows entsperrt, kopieren Sie zuerst die Daten und kümmern sich erst danach um den Rest.
Auf einem entsperrten System lässt sich der Status mit dem Befehl manage-bde -status prüfen und die verfügbaren Schutzmechanismen mit manage-bde -protectors -get auflisten. Diese zeigen Ihnen, wie alles eingestellt ist, und erlauben es, den Schlüssel erneut zu speichern. Einen fehlenden Schlüssel zu einer gesperrten Festplatte erzeugen sie aber nicht.
Und nein, der Anschluss der SSD über ein USB-Gehäuse umgeht die Verschlüsselung nicht. Das USB-Gehäuse ist nur eine Möglichkeit, auf die Festplatte zuzugreifen – die Daten dahinter sind weiterhin verschlüsselt, und der Schlüssel wird trotzdem verlangt.
Firmen-Notebook: Der Schlüssel muss nicht beim Benutzer liegen
Bei einem verwalteten Rechner kann der Wiederherstellungsschlüssel in Microsoft Entra ID, Microsoft Intune oder in der lokalen Active-Directory-Domäne gespeichert sein. Der Benutzer sieht ihn dann in seinem Konto schlicht nicht – und wird ihn nie sehen. Der Fehler liegt nicht bei ihm.
Geben Sie dem Administrator:
- den Gerätenamen,
- die Seriennummer des Notebooks,
- die vollständige Schlüssel-ID vom Bildschirm,
- den Namen des ursprünglichen Benutzers,
- den ungefähren Zeitraum, in dem der Rechner in die Firma kam.
Der Administrator kann sowohl nach Gerät als auch nach Schlüssel-ID suchen. Bei über Intune verwalteten Geräten liegt der Schlüssel meist in den Geräteeigenschaften, bei Rechnern in der lokalen Domäne beim Computerobjekt im Active Directory. Achten Sie aber auf eines: Die Sicherung der Schlüssel im Verzeichnis ist keine Selbstverständlichkeit. Sie musste eingerichtet sein, bevor die Verschlüsselung aktiviert wurde. War sie es nicht, finden Sie weder in Entra ID noch im AD etwas, egal wie lange Sie suchen. Microsoft beschreibt die betrieblichen Speicherorte der Schlüssel und den Wiederherstellungsprozess in der BitLocker-Dokumentation.
Das Ausscheiden eines Mitarbeiters löscht den Schlüssel für sich genommen nicht. Der hängt am Geräteeintrag, nicht an dessen Postfach. Löschen Sie das Notebook deshalb nicht aus Entra ID, Intune oder Active Directory, solange der Administrator den Schlüssel nicht geprüft hat – mit dem Eintrag werfen Sie genau das weg, was Sie suchen.
Gekündigtes oder geerbtes Konto
Bei einem gekündigten privaten Konto ist die erste Frage, ob sich der Zugang zum Konto selbst wiederherstellen lässt. Eine Werkstatt kann Ihnen helfen zu bestimmen, welche Adresse der Rechner verwendet hat, die Identitätsprüfung bei Microsoft umgehen kann sie aber nicht – und sonst auch niemand.
Bei einem Rechner eines ehemaligen Geschäftspartners, Mitarbeiters oder verstorbenen Besitzers trennen Sie zwei Dinge, die nichts miteinander zu tun haben:
- wem das Gerät gehört,
- wer berechtigt ist, auf die Daten und das Konto zuzugreifen.
Das Eigentum am Notebook gibt Ihnen keinen Zugriff auf ein fremdes Online-Konto. Ziehen Sie bei Firmendaten deshalb den Microsoft-365-Administrator und die für das Unternehmen verantwortliche Person hinzu. Und bevor Sie irgendetwas löschen, gehen Sie OneDrive, SharePoint, den Firmenserver und das Backup-System durch – die benötigten Dokumente existieren oft außerhalb der gesperrten Festplatte. Ein gesperrtes Profil bedeutet keine gesperrten Daten.
Wenn der einzige Schlüssel ausschließlich in einem dauerhaft gelöschten Konto lag und es nirgends eine weitere Kopie gibt, rekonstruiert ihn niemand aus der Festplatte.
Was eine Werkstatt prüfen kann – und was niemand mehr kann
Sinn der Diagnose ist nicht, ein „Knacken von BitLocker” zu versprechen. Der ehrliche Umfang ist dieser:
- prüfen, ob es sich wirklich um BitLocker handelt und welche Partition gesperrt ist,
- die ID des verlangten Schlüssels erfassen,
- den Zustand von SSD oder HDD ohne Schreibzugriffe und ohne Formatieren kontrollieren,
- testen, ob der ursprüngliche Rechner die Festplatte noch von selbst entsperrt,
- helfen, private und geschäftliche Identität zu unterscheiden, und an den Administrator verweisen,
- nach dem Entsperren die Daten sicher woandershin kopieren,
- bei einer defekten Festplatte zuerst eine Arbeitskopie erstellen und mit dieser arbeiten, nicht mit dem Original.
Auch das Werkzeug repair-bde ist kein Weg an der Verschlüsselung vorbei. Es kann Daten aus einem beschädigten Volume retten, braucht aber weiterhin gültige Wiederherstellungsinformationen oder ein vorab gespeichertes Key Package. Ohne das tut es nichts.
Microsoft selbst gibt an, dass sein Support einen verlorenen Wiederherstellungsschlüssel weder beschaffen noch neu erzeugen kann. Ohne gültigen Schlüssel sind die Daten auf einer korrekt verschlüsselten Festplatte nicht zugänglich – das ist keine Lücke im Support, das ist der ganze Sinn von BitLocker. Der Microsoft-Support bestätigt das direkt.
Was das kostet und wofür Sie zahlen
Der Preis hängt davon ab, ob die Werkstatt nur Konten und Konfiguration prüft, Daten von einer entsperrten Festplatte kopiert oder gleichzeitig eine defekte SSD oder HDD behandelt. Die Prüfung von Zustand und Konten beginnt orientierend ab 590 CZK; die Datenrettung von einer Festplatte, die zusätzlich technisch beschädigt ist, ist eine andere Disziplin mit anderem Preis – mehr dazu im Artikel über Datenrettung in Brünn. Ohne Prüfung des konkreten Geräts ist es unseriös, eine feste Summe in den Raum zu werfen.
Bevor Sie den Rechner irgendwo abgeben, fragen Sie:
- ob die Diagnose auch dann berechnet wird, wenn der Schlüssel nicht gefunden wird,
- ob Sie das Ergebnis der Prüfung erhalten, bevor weitere kostenpflichtige Arbeit beginnt,
- ob die Werkstatt die ursprüngliche Festplatte unverändert lässt,
- wie viele Daten nach dem Entsperren kopiert werden sollen und wohin,
- ob der Preis der Wiederherstellung orientierend angegeben ist und was ihn erhöhen kann.
Ein Techniker, der weiß, was er tut, sagt Ihnen gleich, dass er eine gesunde BitLocker-Festplatte ohne Schlüssel nicht öffnet. Das Angebot eines garantierten Entsperrens ohne Wiederherstellungsschlüssel ist ein Warnsignal – entweder wissen sie nicht, wovon sie reden, oder sie rechnen damit, Ihnen den Misserfolg in Rechnung zu stellen.
Wann es keine Reparatur mehr ist, sondern eine Entscheidung
Wenn kein passender Schlüssel existiert, das ursprüngliche Gerät die Festplatte nicht entsperrt und die Daten in keinem Backup liegen, führen weitere Versuche nirgendwohin. Es bleiben zwei Möglichkeiten:
- die Festplatte unverändert zurücklegen, für den Fall, dass sich der Schlüssel irgendwann findet – altes Notebook, Notizen des vorherigen Technikers, ein Zettel in der Schublade,
- die Daten abschreiben, die Festplatte löschen und Windows neu installieren.
Eine Neuinstallation bringt den Rechner zurück in Betrieb, verschlüsselte Dateien rettet sie nicht. Bevor Sie sie starten, gehen Sie noch einmal Cloud-Speicher, NAS, Buchhaltungsexporte, E-Mail-Anhänge und Backups der anderen Rechner durch. In Firmen ist ein wesentlicher Teil der Dokumente auch anderswo verfügbar, selbst wenn das lokale Profil gesperrt geblieben ist.
Damit sich das nicht wiederholt
Der Wiederherstellungsschlüssel gehört außerhalb des verschlüsselten Rechners – ausgedruckt, in einem zweiten Konto, im Tresor. Ein Schlüssel, der nur auf der Festplatte liegt, die er entsperrt, ist ein Witz, über den niemand lacht.
Richten Sie in der Firma die zentrale Speicherung der Schlüssel in Entra ID, Intune oder Active Directory ein und prüfen Sie vor allem bei einem neuen Gerät, dass der Schlüssel tatsächlich dort angekommen ist. Eine eingerichtete Richtlinie und ein übertragener Schlüssel sind nicht dasselbe; den Unterschied merken Sie entweder bei der Kontrolle oder erst dann, wenn es zu spät ist.
Führen Sie zu jedem Schlüssel Gerätenamen, Seriennummer, Benutzer und Datum der letzten Kontrolle. Und schicken Sie den Schlüssel nicht in einen normalen Chat und lassen Sie ihn nicht ausgedruckt neben dem Notebook liegen – es ist die Information, die die Festplatte entsperrt. Verschlüsselung ist nur so stark wie der Ort, an dem Sie den Schlüssel dazu aufbewahren. Den größeren Zusammenhang, warum sich BitLocker auf vielen Rechnern von selbst eingeschaltet hat, behandeln wir im Artikel BitLocker hat sich von selbst aktiviert.