ThinkPad-BIOS-Passwort vergessen: Warum Löschen nicht reicht und wie Sie ein gesperrtes Gebrauchtgerät erkennen

Die kurze Antwort: Das BIOS-Passwort eines ThinkPads liegt nicht im CMOS-Speicher, der von der Knopfzelle versorgt wird. Deshalb verschwindet es nach dem Entfernen der Batterie nicht – anders als bei Desktopcomputern aus den Neunzigerjahren. Bei einem vergessenen Supervisor-Passwort weist Lenovo darauf hin, dass „there is no service procedure to remove the password“, und verweist für den Austausch der Hauptplatine an einen autorisierten Servicebetrieb. Bei einem vergessenen NVMe-Passwort (Laufwerkspasswort) gilt: Lenovo setzt das Passwort nicht zurück, rettet die Daten nicht und ersetzt stattdessen das Laufwerk. Ein Power-on-Passwort lässt sich nur entfernen, wenn das Supervisor- oder System-Management-Passwort verfügbar ist. Ein gesperrtes Gerät öffnen wir nicht ohne Eigentumsnachweis.

Drei Passwörter, die häufig verwechselt werden

Gesperrte ThinkPads landen regelmäßig bei unserem Service in Brno, und das Gespräch beginnt fast immer gleich: „Ich habe ein Passwort im BIOS.“ Dahinter können jedoch drei völlig unterschiedliche Situationen mit ebenso unterschiedlichen Folgen stecken. Lenovo beschreibt die Passwortarten in den Handbüchern aktueller Geräte der T- und P-Reihe folgendermaßen:

• Power-on password – die Passwortabfrage erscheint unmittelbar nach dem Einschalten. Ohne das Passwort startet der Computer nicht.
• Supervisor password – schützt laut Lenovo „the system information stored in UEFI BIOS“, also die Einstellungen des BIOS selbst. Es besitzt höhere Berechtigungen und setzt das Power-on-Passwort außer Kraft.
• System management password – schützt dieselben Einstellungen wie das Supervisor-Passwort, besitzt aber „lower authority by default“, also standardmäßig geringere Berechtigungen. Es kann auch aus der Ferne über Windows Management Instrumentation eingerichtet werden und kommt deshalb vor allem bei Firmengeräten vor.
• NVMe password – schützt nicht den Computer, sondern das Laufwerk. Im Modus mit einem Passwort bleiben die Dateien und Anwendungen auf dem Laufwerk ohne dieses Passwort unzugänglich. Im Modus mit zwei Passwörtern gibt es zusätzlich ein Administratorpasswort, mit dem ein Administrator auf mehrere Firmengeräte zugreifen kann. Dabei gilt: „only the administrator can remove the user NVMe password“.

Dieser Unterschied ist entscheidend. Ein gesperrtes BIOS bedeutet, dass sich der Computer nicht konfigurieren oder starten lässt, während das Laufwerk selbst durchaus in Ordnung sein kann. Ein gesperrtes Laufwerk bedeutet dagegen, dass die Daten unabhängig davon unzugänglich bleiben, an welches Gerät Sie es anschließen.

Warum das Entfernen der Batterie nicht hilft

Die Vorstellung, das BIOS lasse sich durch Abklemmen der Knopfzelle „zurücksetzen“, stammt aus der Zeit der Desktopcomputer, bei denen sowohl die Einstellungen als auch das Passwort in einem von dieser Batterie versorgten CMOS-Speicher lagen. Wurde die Stromversorgung getrennt, vergaß der Speicher die Daten und das Passwort war verschwunden.

Bei einem ThinkPad funktioniert das nicht – und das ist beabsichtigt. Würde die Sperre nach dem Abklemmen der Batterie verschwinden, wäre sie nutzlos: Ein Firmennotebook ließe sich innerhalb von fünf Minuten mit einem Schraubendreher öffnen. Das Passwort liegt deshalb in einem nichtflüchtigen Speicher auf der Hauptplatine, dessen Inhalt auch ohne Stromversorgung erhalten bleibt.

Den besten Beleg liefert der Hersteller selbst: Gäbe es eine vorgesehene Möglichkeit, das Passwort zu löschen, würde Lenovo sie dokumentieren. Stattdessen steht im Handbuch, dass es bei einem vergessenen Supervisor-Passwort kein Serviceverfahren zur Entfernung gibt und die Hauptplatine von einem autorisierten Serviceanbieter ausgetauscht werden muss. Der Austausch der gesamten Platine ist teuer und umständlich – niemand würde ihn vorschreiben, wenn das Abklemmen eines Bauteils genügen würde.

Eine Anleitung zum Umgehen der Sperre finden Sie hier nicht. Wir veröffentlichen keine solche Anleitung und führen diese Arbeiten auch nicht durch. Das ist keine bloße Vorsichtsmaßnahme: Eine Anleitung zur Umgehung fremder Sicherheitsmechanismen wäre zugleich eine Anleitung dazu, ein gestohlenes Notebook verkäuflich zu machen.

Was Lenovo zu den einzelnen Passwortarten sagt

Ein weiterer Satz aus dem Handbuch sollte vorab erwähnt werden: „If you forget any of your passwords, any potential repair actions required are not covered under warranty.“ Ein vergessenes Passwort ist also kein Garantiefall, selbst wenn das Notebook noch neu ist.

Ein Laufwerkspasswort ist etwas anderes als BitLocker

Bei einem NVMe-Passwort stellt sich häufig die Frage, ob sich das Laufwerk nicht „von außen auslesen“ lässt – also ausbauen, in einen Adapter stecken und die Daten kopieren. Das funktioniert nicht. Die Sperre wird weder von Windows noch vom BIOS durchgesetzt, sondern vom Controller des Laufwerks selbst. In einem anderen Computer meldet sich das Laufwerk als gesperrt und gibt keine Daten heraus. Deshalb fällt Lenovos Antwort so knapp aus: Das Passwort wird nicht zurückgesetzt, die Daten werden nicht wiederhergestellt und das Laufwerk muss ersetzt werden.

Darin unterscheidet sich das Laufwerkspasswort von der BitLocker-Verschlüsselung. Bei BitLocker gibt es einen Wiederherstellungsschlüssel, der im Microsoft-Konto oder beim Administrator des Unternehmens hinterlegt sein kann. Mehr dazu erfahren Sie im Artikel Laufwerksverschlüsselung bei Firmennotebooks. Für ein Laufwerkspasswort gibt es keinen vergleichbaren Wiederherstellungsschlüssel für Endnutzer. Hat ein Unternehmen das Gerät verwaltet und ein Passwortpaar eingerichtet, führt der einzige Weg über dessen Administrator, der das Benutzerpasswort entfernen kann. Existiert das Unternehmen nicht mehr oder ist der Administrator ausgeschieden, endet dieser Weg.

Dieselbe Grenze gilt für die Datenrettung. Was sich von einem physisch defekten Laufwerk noch retten lässt und was nicht, erläutert der Artikel Datenrettung: wann sie möglich ist und wann nicht. Ein gesperrtes, aber technisch intaktes Laufwerk gehört zur Kategorie „nicht möglich“. Das ist richtig so, denn genau dafür wurde das Passwort eingerichtet.

Was ein Servicebetrieb tatsächlich tun darf und welche Unterlagen er benötigt

Unsere Rolle bei einem gesperrten Gerät ist bewusst eng begrenzt. Das sagen wir auch offen:

1. Wir stellen fest, was genau gesperrt ist. Wir prüfen also, ob es sich um ein Power-on-, Supervisor-, System-Management- oder Laufwerkspasswort beziehungsweise um eine Kombination mehrerer Sperren handelt. Diese Information benötigen Sie für Ihre Entscheidung. Aus einer telefonischen Beschreibung lässt sie sich nicht zuverlässig ableiten.
2. Wir sagen Ihnen, ob es einen legalen Lösungsweg gibt. Manchmal ist das der Fall: Für ein Power-on-Passwort genügt beispielsweise das Supervisor-Passwort, das der IT-Administrator oder der frühere Eigentümer möglicherweise dokumentiert hat.
3. Wir ersetzen das Laufwerk, wenn nur dieses gesperrt ist. Das Notebook funktioniert anschließend wieder normal, allerdings mit einem frisch installierten System und ohne die alten Daten.
4. Wir helfen Ihnen zu beurteilen, ob sich die Reparatur lohnt. Bei älteren Geräten ist der Kauf eines anderen Notebooks häufig günstiger als der vom Hersteller vorgeschriebene Austausch der Hauptplatine.

Was wir von Ihnen benötigen: einen Nachweis, dass das Gerät Ihnen gehört. Das kann eine Rechnung oder Quittung, ein Kaufvertrag für ein Gerät aus dem Gebrauchtwarenhandel oder einer Kleinanzeige, ein Übergabe- oder Aussonderungsprotokoll für ehemalige Firmentechnik oder bei einem geerbten Notebook ein Nachweis aus dem Nachlassverfahren sein. Bei einem Firmengerät genügt ein Auftrag des Unternehmens, dem das Gerät gehört.

Ohne einen solchen Nachweis bearbeiten wir ein gesperrtes Gerät nicht. Im Internet gibt es verlockende Angebote wie „Wir entsperren jedes BIOS“, die sich gerade an Personen ohne Eigentumsnachweis richten. Diese Rolle übernehmen wir nicht. Für einen rechtmäßigen Eigentümer entsteht daraus kein Nachteil, denn er kann die Herkunft des Geräts belegen.

Gebrauchtes ThinkPad: Was Sie vor dem Bezahlen prüfen sollten

ThinkPads der Baureihen T, X und L kommen nach Ablauf von Leasingverträgen in großer Zahl auf den tschechischen Gebrauchtmarkt. Die überwiegende Mehrheit ist in Ordnung. Gelegentlich taucht jedoch ein Gerät auf, bei dem jemand vergessen hat, die Unternehmenssperre zu entfernen. Das lässt sich innerhalb weniger Minuten und vor der Bezahlung feststellen:

• Starten Sie das BIOS. Drücken Sie nach dem Einschalten F1. Erscheint noch vor dem eigentlichen Setup eine Passwortabfrage, sollten Sie ein anderes Gerät wählen.
• Versuchen Sie, eine Änderung zu speichern. Wenn Sie das Setup öffnen können, ändern Sie eine unkritische Einstellung und speichern Sie mit F10. Verlangt das Gerät erst jetzt ein Passwort, ist ein Supervisor-Passwort eingerichtet und die BIOS-Konfiguration gesperrt.
• Prüfen Sie den Bereich Security → Password. Dort sehen Sie, bei welchen Passwortarten der Status „Enabled“ angezeigt wird.
• Prüfen Sie, ob das Laufwerk erkannt wird und beschreibbar ist. Starten Sie von einem Windows-Installationsmedium oder einem üblichen Live-Linux und kontrollieren Sie, ob das Laufwerk angezeigt wird und sich beschreiben lässt. Ein gesperrtes NVMe-Laufwerk wird als nicht verfügbar gemeldet oder überhaupt nicht angezeigt.
• Verlangen Sie einen Herkunftsnachweis. Ein Verkäufer, der das Gerät rechtmäßig besitzt, kann dessen Herkunft belegen. Verweigert er den Nachweis, hat er damit zugleich die Frage beantwortet, warum das Notebook so billig ist.

Eine vollständige 15-Minuten-Prüfung einschließlich Akku, Scharnieren und Display finden Sie im Artikel Gebrauchtes Notebook: So prüfen Sie es in 15 Minuten. Mit der Wirtschaftlichkeit des Kaufs beschäftigt sich der Artikel Refurbished-Notebook: Wann lohnt es sich?.

Realistische Erwartungen

Damit es später keine Überraschungen gibt, hier die konkreten Folgen:

• Ein vergessenes Supervisor-Passwort bei einem älteren ThinkPad bedeutet in der Regel das Ende des Weges. Der vom Hersteller vorgeschriebene Austausch der Hauptplatine lohnt sich bei einem sieben Jahre alten Gerät wirtschaftlich nicht.
• Ein vergessenes Laufwerkspasswort bedeutet den Verlust der Daten. Immer. Mit einem neuen Laufwerk lässt sich das Notebook wieder nutzen, die Daten kehren dadurch jedoch nicht zurück.
• Ein vergessenes Power-on-Passwort bei vorhandenem Supervisor-Passwort ist dagegen der günstigste Fall. Sobald der Administrator oder der frühere Eigentümer gefunden ist, dauert die Lösung meist nur wenige Minuten.
• Ein gesperrtes Gebrauchtgerät sollten Sie beim Verkäufer reklamieren, nicht zum Service bringen. Ihnen wurde nicht nutzbare Ware verkauft.

Zum Schluss noch ein Hinweis zur Vorbeugung, denn dieser Artikel soll vor allem verhindern, dass das Problem überhaupt entsteht: Notieren Sie BIOS-Passwörter außerhalb des Computers. Bei Firmengeräten sollten Sie darauf bestehen, dass der Administrator sie dokumentiert. Lenovo fasst es im Handbuch in einem Satz zusammen: „you should record all your passwords and store them in a safe place“. Das ist der einzige Rat, der in diesem Fall hundertprozentig funktioniert.

Bleibt der Fehler nach diesen Schritten bestehen oder ist der Schaden mechanisch, übernimmt der Notebook-Service in Brünn.

Was Sie vor dem Besuch des Servicebetriebs vorbereiten sollten

Notieren Sie die genaue Modellbezeichnung und die Typennummer vom Aufkleber auf der Unterseite – bei ThinkPads üblicherweise im Format 20XXXXXX. Halten Sie außerdem fest, wann und wo Sie das Gerät gekauft haben, bringen Sie den Eigentumsnachweis mit und beschreiben Sie, was zu welchem Zeitpunkt auf dem Bildschirm erscheint. Ein mit dem Smartphone aufgenommenes Foto der Anzeige hilft mehr als eine mündliche Beschreibung, denn daran erkennen wir die Art der Sperre sofort. Überlegen Sie außerdem vorab, ob es Ihnen um die Daten oder um ein wieder funktionsfähiges Notebook geht. Das sind zwei unterschiedliche Aufträge mit unterschiedlichen Ergebnissen.

Häufig gestellte Fragen

Warum wird das BIOS-Passwort durch Entfernen der Batterie nicht gelöscht?

Weil es bei ThinkPads nicht im von der Knopfzelle versorgten CMOS-Speicher liegt, sondern in einem nichtflüchtigen Speicher auf der Hauptplatine. Ließe es sich durch Trennen der Stromversorgung entfernen, wäre der Schutz eines Firmennotebooks sinnlos.

Kann Lenovo einen universellen Entsperrcode bereitstellen?

Nein. Beim Supervisor-Passwort weist das Handbuch ausdrücklich darauf hin, dass es kein Serviceverfahren zum Entfernen gibt und die Hauptplatine ausgetauscht werden muss.

Verliere ich meine Daten, wenn nur das BIOS gesperrt ist?

Nein. Das Laufwerkspasswort und das BIOS-Passwort sind zwei verschiedene Dinge. Ist nur das BIOS gesperrt und besitzt das Laufwerk kein eigenes Passwort, können die Daten problemlos an einem anderen Computer ausgelesen werden.

Was ist, wenn das Gerät einem Unternehmen gehörte, das nicht mehr existiert?

Dann benötigen Sie einen Nachweis über den rechtmäßigen Erwerb, etwa ein Aussonderungsprotokoll, einen Kaufvertrag oder einen Beleg aus einem Insolvenzverkauf. Ohne Eigentumsnachweis bearbeiten wir die Sperre nicht.

Lohnt sich der Austausch der Hauptplatine?

Bei einem neueren Gerät kann sich der Austausch gelegentlich lohnen. Bei einem sieben Jahre alten oder noch älteren Notebook ist das praktisch nie der Fall. Der Preisunterschied gegenüber einem guten generalüberholten Gerät ist meist so groß, dass sich die Reparatur nicht rechnet.

Beim Servis PC Brno sagen wir Ihnen bei einem gesperrten ThinkPad direkt, um welche Passwortart es sich handelt und ob es einen legalen Lösungsweg gibt. Ein Power-on-Passwort von einem Supervisor- oder Laufwerkspasswort zu unterscheiden, dauert nur wenige Minuten. Das sollten Sie wissen, bevor Sie irgendwo Geld bezahlen. Wir bieten keine Dienste zur Umgehung von Sperren an, entsperren keine fremden Geräte und greifen ohne Eigentumsnachweis nicht in das Gerät ein. Sie können auch ein gebrauchtes Notebook vor dem Kauf zur Kontrolle mitbringen, solange Sie noch vom Kauf zurücktreten können. Vereinbaren Sie einen Termin über die Terminbestellung oder unter 774 777 774. Geben Sie dabei die Typennummer vom Aufkleber an und fügen Sie ein Foto des Bildschirms mit der Passwortabfrage bei.

Online-Auftrag: Notebook-Service — nennen Sie Modell und Symptom, wir melden uns mit dem nächsten Schritt.

Quellen

• Lenovo ThinkPad T14/T16/P14s/P16s User Guide — Password types
• Lenovo ThinkPad T14/T16/P14s/P16s User Guide — Set, change, and remove a password
• Lenovo ThinkPad T14 Gen 5 / T16 Gen 3 User Guide — What to do if you forget your power-on password
• Lenovo Support: How to remove Hard Disk Drive (HDD) Password — ThinkPad