BitLocker: Wie Windows Ihre Festplatte verschlüsselt

Einer der unangenehmsten Anrufe bei der Datenrettung klingt so: „Mein Notebook startet nicht, da kam ein blauer Bildschirm und der will irgendeinen langen Schlüssel, den ich nicht habe.“ In dem Moment weiß ich fast immer, was passiert ist – die Festplatte ist mit BitLocker verschlüsselt, und nach irgendeiner Änderung verlangt der Rechner einen 48-stelligen Wiederherstellungsschlüssel, den der Besitzer nie gesehen hat.

Und jetzt das Entscheidende: Ohne diesen Schlüssel kommt niemand mehr an die Daten. Wir nicht, der Festplattenhersteller nicht, Microsoft nicht. Das ist keine Panikmache, das ist der ganze Sinn von Verschlüsselung.

Das Schlimmste daran ist, dass die allermeisten Menschen gar nicht wissen, dass ihre Festplatte verschlüsselt ist. Niemand hat das eingeschaltet. Es ist von selbst passiert. Gehen wir durch, wie das funktioniert, warum es passiert, wie es Sie aussperren kann – und was man dagegen tut. Und weil wir nicht „vom Schreibtisch aus“ darüber schreiben wollten, haben wir das ganze Szenario live an einem Testrechner in der Werkstatt durchgespielt.

Zu den Screenshots: Die Bilder stammen von einer englischen Windows-11-Installation (Version 24H2) auf unserem Testrechner. Bei den Bezeichnungen geben wir sie deshalb auf Englisch an, so wie Sie sie auf dem Bildschirm sehen, und auf Deutsch aus der deutschen Windows-Version. Der Wiederherstellungsschlüssel in den Screenshots und Beispielen ist von unserem Laborrechner – für alle anderen ist er wertlos. Wir zeigen ihn bewusst, damit Sie sehen, wie genau so ein Schlüssel aussieht.

Was BitLocker und „Device Encryption“ sind

BitLocker ist die in Windows eingebaute Verschlüsselung der gesamten Festplatte. Es verschlüsselt nicht einzelne Dateien, sondern die komplette Partition – zieht jemand die Festplatte aus einem ausgeschalteten Notebook und steckt sie in einen anderen Rechner, sieht er nur unlesbaren Datensalat. Das ist gut so: Es schützt Ihre Daten bei Diebstahl oder Verlust.

Wichtig ist eine Unterscheidung, die viele Leute durcheinanderbringt:

• BitLocker (mit voller Verwaltung – Laufwerksauswahl, Richtlinien, Schlüsselverwaltung) gibt es nur in Windows 11 Pro, Enterprise und Education.
• „Device Encryption“ (Geräteverschlüsselung) ist eine vereinfachte, automatisch aktivierte Variante desselben und ist auch in Windows 11 Home enthalten. Der Nutzer richtet sie nicht ein – sie läuft einfach.

Unter der Haube ist es aber dieselbe Engine. Und genau diese automatische Variante ist der Grund, warum heute Leute verschlüsselt sind, ohne es zu wissen. (Microsoft-Dokumentation)

Wie das zusammenhält (und warum das wichtig ist)

Sie müssen sich nur eine Kette aus drei Schlüsseln merken:

TPM  →  entsperrt  VMK  →  verschlüsselt  FVEK  →  verschlüsselt  DATEN auf der Festplatte

• FVEK ist der Schlüssel, mit dem die Daten auf der Festplatte tatsächlich verschlüsselt werden.
• VMK ist der „Haupt“-Schlüssel, der den FVEK schützt.
• Das TPM (ein Sicherheitschip auf dem Mainboard) hält den VMK „versiegelt“ und gibt ihn nur dann frei, wenn beim Start die Systemmessungen stimmen (dass sich Firmware, Secure Boot, Bootloader … nicht verändert haben).

Die Standard-Verschlüsselung ist XTS-AES 128 Bit – modern und in der Praxis nicht per Brute Force zu knacken (dazu kommen wir noch). Merken Sie sich nur: Der Schlüssel ist alles. Geht er verloren, sind die Daten mit ihm verloren.

Stille Verschlüsselung: Warum sie sich von selbst einschaltet (24H2 und HP)

Hier ist der Kern des Problems. Windows 11 Version 24H2 (und Notebooks von HP und anderen Herstellern) schalten Device Encryption automatisch ein, nach einer Neuinstallation oder einem Zurücksetzen, sobald Sie sich mit einem Microsoft-Konto anmelden.

In 24H2 hat Microsoft zudem die früheren Hardware-Voraussetzungen (DMA, HSTI/Modern Standby) gestrichen, sodass sich jetzt praktisch jeder neue Rechner qualifiziert: „Starting in Windows 11, version 24H2, the prerequisites of DMA and HSTI/Modern Standby are removed. As a result, more devices are eligible for automatic … device encryption.“ (Microsoft Learn)

Und jetzt Achtung – die Falle direkt für die Werkstatt und für Sie:

• Nach einer Neuinstallation oder „Diesen PC zurücksetzen“ wird die Festplatte verschlüsselt. Ein Notebook, das vor der Reparatur unverschlüsselt war, ist nach der Neuinstallation plötzlich verschlüsselt. (Tom’s Hardware)
• HP dokumentiert das sogar selbst: BitLocker schaltet sich automatisch ein und „The recovery key is uploaded to the Microsoft account … automatically“ – mit der Warnung „It is vital that you back up your BitLocker recovery key.“ (HP Support)

An unserem Testrechner war das genau zu sehen. manage-bde -status zeigte die Festplatte als vollständig verschlüsselt (100 %), dabei aber mit ausgeschaltetem Schutz – das ist genau jener Zwischenzustand, in dem das System mit einem lokalen Konto angemeldet ist und die Verschlüsselung „wartet“:

Volume C: [Windows]
    Conversion Status:    Used Space Only Encrypted
    Percentage Encrypted: 100.0%
    Encryption Method:    XTS-AES 128
    Protection Status:    Protection Off       ← verschlüsselt, aber Schutz noch nicht "scharfgeschaltet"
    Key Protectors:       None Found

Microsoft beschreibt es genauso: Solange Sie sich nur mit einem lokalen Konto anmelden, „it remains unprotected even though the data is encrypted“. Sobald Sie sich mit einem Microsoft-Konto anmelden, wird der Schutz „scharfgeschaltet“, ein Wiederherstellungsschlüssel erzeugt und in Ihrem Konto gespeichert – und Sie wissen nichts davon.

Was BitLocker in Windows tatsächlich tut (unter der Haube)

Das lassen die meisten Artikel weg, aber es ist nützlich – wenn Sie wissen, was im System läuft, verstehen Sie besser, warum es sich so verhält, wie es sich verhält. Am laufenden System haben wir die einzelnen Bestandteile „abgetastet“:

• Der Dienst BDESVC (BitLocker Drive Encryption Service) – steuert das gesamte BitLocker, läuft innerhalb von svchost.exe.
• Der Kerneltreiber fvevol.sys (Full Volume Encryption Driver) – das ist der Arbeiter: Er sitzt im Storage-Stack unterhalb des Dateisystems und verschlüsselt/entschlüsselt jeden einzelnen Schreib- und Lesevorgang im laufenden Betrieb. Deshalb erscheinen die Daten auf der Festplatte nie unverschlüsselt, und Sie merken trotzdem nichts. Er startet gleich beim Booten.
• tpm.sys – der Treiber des TPM-Sicherheitschips, der den Schlüssel hält.

Aus dem realen Audit des Testrechners:

SVC  BDESVC   = Running   (BitLocker Drive Encryption Service)
DRV  fvevol   = RUNNING   StartMode: Boot   C:\WINDOWS\system32\DRIVERS\fvevol.sys
DRV  tpm      = RUNNING   C:\WINDOWS\system32\drivers\tpm.sys
WMI  Win32_EncryptableVolume:  ProtectionStatus=1(On)  EncryptionMethod=6(XTS-AES128)

Den Status können Sie jederzeit auch selbst prüfen – entweder in der App BitLocker Drive Encryption (BitLocker-Laufwerkverschlüsselung) in der Systemsteuerung oder in der Eingabeaufforderung mit dem Befehl manage-bde -status.

Der Wiederherstellungsschlüssel: Wie er aussieht und wo Sie ihn finden

Wenn der Schutz scharfgeschaltet wird, erzeugt Windows einen Wiederherstellungsschlüssel – Ihre letzte Rettung. Er sieht so aus: 48 Ziffern in 8 Sechsergruppen (nur Ziffern, keine Buchstaben). Das ist ein echter Schlüssel von unserem Laborrechner:

Schlüssel-ID: {524E3754-49E7-4020-A2FC-EDD55FA41AB5}
Schlüssel:    160743-618486-642796-137687-058773-205568-527890-414128

Jeder Schlüssel hat seine eigene ID (das Lange in den geschweiften Klammern). Achtung – die ID ist nicht der Schlüssel, sie ist nur ein „Etikett“, an dem im Speicher erkannt wird, welcher von mehreren Schlüsseln zu dieser Festplatte gehört. Auf dem Wiederherstellungsbildschirm wird Ihnen genau nur diese ID angezeigt, nicht der Schlüssel.

Wo der Schlüssel gespeichert wird (und wo man ihn also suchen muss):

1. Ihr Microsoft-Konto – am häufigsten bei Heimrechnern. Sie finden ihn unter account.microsoft.com/devices/recoverykey (Kurzlink aka.ms/myrecoverykey).
2. Firmenkonto (Microsoft Entra / Azure AD) – aka.ms/aadrecoverykey.
3. USB-Stick / Textdatei.
4. Auf Papier ausgedruckt.

Den Schlüssel müssen Sie von einem anderen Gerät aus heraussuchen (vom Smartphone, einem anderen PC) – der gesperrte Rechner wartet auf dem Wiederherstellungsbildschirm, und sonst können Sie an ihm nichts machen.

Wie ein ganz normales Update Sie aussperrt

Jetzt der häufigste Schmerz aus der Praxis. Im Normalbetrieb (nur TPM, ohne PIN) bindet BitLocker den Schlüssel an die Messung des Rechnerstarts – konkret an die Register PCR 7 und PCR 11 (Zustand von Secure Boot und Bootloader). Wenn sich diese Messung ändert, gibt das TPM den Schlüssel nicht frei, und Sie landen auf dem Wiederherstellungsbildschirm.

Und was verursacht so eine Änderung? Ganz alltägliche Dinge:

• ein BIOS-/UEFI-Update oder ein TPM-Firmware-Update,
• manche Windows-Updates, die Secure Boot anfassen,
• das Ändern der Boot-Reihenfolge, das Umstecken der Festplatte in einen anderen Rechner.

Dass das keine Theorie ist, zeigen belegte Massenfälle aus den letzten zwei Jahren:

• Juli 2024 – die Updates KB5040442 / KB5040427 schickten nach dem Neustart viele Rechner (Windows 10, 11 22H2/23H2) in die BitLocker-Wiederherstellung. Microsoft hat es bestätigt und behoben. (BleepingComputer)
• Oktober 2025 – das Update KB5066835 löste die Wiederherstellung vor allem auf Intel-Rechnern aus, und obendrein nahm die Wiederherstellungsumgebung bei vielen von ihnen keine USB-Tastatur an – die Leute hatten den Schlüssel, konnten ihn aber nicht eingeben. Microsoft veröffentlichte einen Notfall-Patch. (Tom’s Hardware)
• April 2026 – das Update KB5083769 löste eine einmalige Wiederherstellungsabfrage aus, wegen einer Änderung des Secure-Boot-Zertifikats (Änderung der PCR7-Messung). (BleepingComputer)

Sehen Sie das Muster? „Viermal in vier Jahren.“ Das wiederholt sich einfach.

Am Testrechner haben wir die Aussperrung absichtlich ausgelöst (manage-bde -forcerecovery), und nach dem Neustart kam genau dieser Bildschirm. Beachten Sie die Schlüssel-ID (524E3754…) – es ist dieselbe ID wie beim Schlüssel, den wir oben erzeugt haben. Genau anhand dieser ID finden Sie Ihren 48-stelligen Schlüssel in Ihrem Microsoft-Konto:

Eine Kleinigkeit, die man wissen sollte: Bei einem normalen Start erscheint dieser Bildschirm nie – das TPM entsperrt die Festplatte automatisch, und Sie kommen direkt zur Anmeldung. Deshalb ist BitLocker „unsichtbar“ und deshalb wissen die Leute nichts davon. Den Schlüssel verlangt es erst in dem Moment, in dem sich etwas ändert – und das ist meist der denkbar schlechteste Augenblick.

Pentest: Lässt sich BitLocker umgehen?

Kurze Antwort: die Verschlüsselung selbst nicht, aber unter bestimmten Umständen lässt sich der Schlüssel stehlen. Das ist wichtig, um zu verstehen, wogegen BitLocker Sie schützt und wogegen nicht.

• Brute Force gegen AES ist sinnlos. Alle Schlüsselkombinationen durchzuprobieren ist physikalisch unmöglich, egal wie viel Rechenleistung Sie haben. Eine verschlüsselte Festplatte ohne Schlüssel = zufälliger Datenmüll. Punkt.
• Die Angriffe zielen deshalb darauf, an den Schlüssel zu kommen – an einem Rechner, zu dem der Angreifer physischen Zugang hat, und fast alle nutzen aus, dass im Modus nur TPM (ohne PIN) der Rechner den Schlüssel von selbst beim Start herausgibt:
  • „bitpixie“ (CVE-2023-21563) – ein Software-Angriff, der den Schlüssel über einen untergeschobenen älteren Bootloader aus dem Speicher zieht. Kein Schraubenzieher, ein paar Minuten. Live vorgeführt auf der Konferenz 38C3 (Dezember 2024, Thomas Lambertz) auf vollständig aktualisiertem Windows 11. (neodyme.io)
  • Abhören des TPM-Busses – bei Rechnern mit einem separaten (diskreten) TPM-Chip wandert der Schlüssel unverschlüsselt über das Mainboard und lässt sich abhören. Der Forscher „stacksmashing“ (Thomas Roth) führte das 2024 an einem ThinkPad in ~43 Sekunden mit einem Raspberry Pi Pico für ein paar Dollar vor. (Tom’s Hardware)
  • Cold-Boot- und DMA-Angriffe (Thunderbolt/PCIe) – Auslesen des Schlüssels aus dem RAM, solange er noch darin liegt.

Der gemeinsame Nenner: physischer Zugang + nur TPM ohne PIN. Für den normalen Heimanwender ist das keine alltägliche Bedrohung – für ein Firmen-Notebook mit sensiblen Daten dagegen sehr wohl. Die Abwehr ist einfach: einen Start-PIN ergänzen (TPM+PIN). Dann gibt der Rechner den Schlüssel erst frei, wenn Sie die PIN eingeben, und die meisten dieser Angriffe fallen in sich zusammen.

Datenrettung: ohne Schlüssel = Daten weg

Das ist der Teil, den wir in der Werkstatt am häufigsten bearbeiten, und ich will ganz ehrlich sein, denn es geht um Ihre Daten und Ihr Geld.

Wenn Sie eine verschlüsselte Festplatte haben und das Mainboard ausfällt oder das System beschädigt wird – und Sie keinen Wiederherstellungsschlüssel haben – sind die Daten unwiederbringlich weg. Microsoft sagt es unverblümt: „Microsoft Support doesn’t have the ability to retrieve, provide, or recreate a lost BitLocker recovery key.“ (Microsoft)

Was ein Datenrettungslabor kann und nicht kann:

• Kann: eine physisch beschädigte Festplatte reparieren, ein Datenabbild ziehen, herausfinden, wohin der Schlüssel gespeichert wurde.
• Kann nicht: die Daten ohne Schlüssel entschlüsseln. Selbst wenn wir die Speicherchips direkt auslesen, bekommen wir einen verschlüsselten Block, der ohne Schlüssel zu nichts zu gebrauchen ist. Datenrettung ist die Wiederherstellung des Datenträgers, nicht das Knacken der Verschlüsselung.

Und eine Warnung: Dienste, die versprechen, BitLocker ohne Schlüssel „zu umgehen“, sind in der überwiegenden Mehrheit Betrug. Der einzige funktionierende Weg zurück führt nur über den Schlüssel (manage-bde -unlock, gegebenenfalls repair-bde bei einem beschädigten Volume – aber auch der braucht einen gültigen Schlüssel).

Was tun – Anleitung, damit es Sie nicht kalt erwischt

Die gute Nachricht: Sich gegen dieses Szenario zu schützen, ist kostenlos und dauert fünf Minuten.

1. Finden Sie heraus, ob Sie verschlüsselt sind. Einstellungen → Datenschutz und Sicherheit → Geräteverschlüsselung, oder in der Eingabeaufforderung (als Administrator) manage-bde -status. Wenn Sie „Protection On“ sehen, sind Sie verschlüsselt.
2. Sichern Sie Ihren Wiederherstellungsschlüssel – und das an mehreren Orten. Prüfen Sie, dass er in Ihrem Microsoft-Konto liegt, und drucken Sie ihn zusätzlich aus oder speichern Sie ihn auf einen USB-Stick, den Sie außerhalb des Rechners aufbewahren. Bei einem lokalen Konto wird der Schlüssel nirgendwo von selbst gespeichert – Sie müssen ihn manuell exportieren.
3. Vor einem BIOS-/Firmware-Update BitLocker aussetzen (Suspend → Update → Neustart). Das erspart Ihnen die Wiederherstellungsabfrage. Befehl: Suspend-BitLocker -MountPoint "C:", nach dem Update Resume-BitLocker.
4. Auf einem Firmen-Notebook einen Start-PIN aktivieren (TPM+PIN) – das erschwert die oben beschriebenen Angriffe deutlich.
5. Verschlüsselung ≠ Backup. BitLocker schützt Daten vor fremden Augen, ersetzt aber kein Backup. Wenn die Festplatte stirbt, sind verschlüsselte Daten genauso weg wie unverschlüsselte – nur kann sie obendrein niemand mehr lesen. Halten Sie sich an die 3-2-1-Regel.

Wenn es schon schiefgegangen ist (und warum man lieber früher als später anruft)

Ein paar reale Situationen, mit denen Leute zu uns kommen:

• „Nach einem Update will es einen Schlüssel, und ich habe keinen.“ – Manchmal finden wir den Schlüssel in einem Microsoft-Konto, an das sich der Besitzer nicht erinnert hat, oder bei einer Firma in der Domäne. Die Chance besteht – solange Sie sich nicht unnötig an Zurücksetzungen versuchen, die die Daten löschen.
• „Das Notebook ist heruntergefallen / startet nicht und hat BitLocker drauf.“ – Die Festplatte können wir auch aus einem nicht bootenden Rechner auslesen, aber entschlüsseln geht nur mit dem Schlüssel. Deshalb lautet die erste Frage immer: Haben Sie den Schlüssel irgendwo?
• „Ich habe Windows neu installiert und komme jetzt nicht mehr an die alten Daten auf der Festplatte.“ – Die klassische 24H2-Falle: Die Neuinstallation hat die Festplatte erneut verschlüsselt, mit einem anderen Schlüssel.

Wenn sich der Rechner seltsam verhält, nicht startet oder plötzlich einen 48-stelligen Schlüssel verlangt, lassen Sie sich nicht auf Experimente und Zurücksetzungen ein – damit erledigen Sie oft auch die letzte Chance auf eine Rettung. Schreiben oder rufen Sie lieber an.

In unserer Brünner Werkstatt kümmern wir uns um die Datenrettung von verschlüsselten und beschädigten Festplatten, helfen beim Aufspüren des Wiederherstellungsschlüssels und richten BitLocker so ein, dass es Sie schützt und nicht überrumpelt. Und wenn Sie nur einen Rat möchten, ob und wie Sie das betrifft, melden Sie sich – ein paar Minuten am Telefon sparen viel Ärger.