BitLocker

Was ist BitLocker?

BitLocker ist Microsofts integrierte Festplattenverschlüsselung für Windows. Sie verschlüsselt komplette Volumes (Systemlaufwerk, Datenlaufwerke, Wechselmedien) transparent im Hintergrund. Zugriff ist nur mit:

• korrektem TPM-Entsperrvorgang beim Boot,
• PIN (optional zusätzlich), oder
• Recovery-Key (wenn TPM fehlschlägt / zurückgesetzt wurde)

möglich. Für den User ist das unsichtbar — BitLocker läuft transparent. Sobald das Gerät entsperrt ist, arbeitet man normal weiter.

Warum ist BitLocker wichtig?

Ohne BitLocker kann jeder, der physischen Zugriff auf ein Gerät hat, die Festplatte ausbauen und an einem anderen Rechner auslesen. Alle Daten — Dokumente, Passwörter, Cached-Credentials — sind dann offen zugänglich. Mit BitLocker ist die Platte ohne Entsperrung nur unlesbarer Datensalat.

Die 3 BitLocker-Modi

In der Praxis ist TPM-only der Standard — einfach zu handhaben, gute Sicherheit. Für Hochsicherheit-Geräte (Management-Laptops, Admin-Workstations) zusätzlich TPM + PIN.

BitLocker im Enterprise verwalten

BitLocker ist nicht von Hand zu verwalten bei hunderten Geräten. Es gibt 3 Management-Optionen:

Recovery-Key-Verwaltung

Wenn ein User sich aus BitLocker aussperrt (TPM-Fehler, Windows-Update-Problem, Hardware-Wechsel), braucht er einen Recovery-Key. Diese 48-stelligen Zahlen müssen zentral gespeichert werden:

• Entra ID — Recovery-Keys werden automatisch in Entra gespeichert, Helpdesk kann sie im Portal einsehen
• Active Directory — in AD-Objekten gespeichert (on-prem)
• Azure Key Vault — für ultra-sichere Setups

BitLocker für AVD, Windows 365 und Cloud-VMs

Die Situation ist hier etwas nuancierter:

Azure Managed Disks

Azure-VMs (egal ob Session Hosts, Windows 365 oder normale VMs) laufen auf Azure Storage mit Server-seitiger Verschlüsselung. Die Disks sind auf Storage-Ebene immer verschlüsselt — BitLocker auf VM-Ebene ist für den Data-at-Rest-Schutz nicht strikt notwendig.

Windows 365

Cloud-PCs sind Azure-VMs — Daten sind bereits verschlüsselt. Zusätzliches BitLocker ist möglich, aber hat wenig Zusatz-Nutzen für Data-at-Rest. Kann für Compliance-Anforderungen trotzdem sinnvoll sein.

AVD Personal Hosts

Gleich wie W365 — die VMs liegen auf verschlüsseltem Azure Storage.

AVD Multi-Session Hosts

Hier wird BitLocker auf Session-Host-Ebene eher selten eingesetzt — die Hosts sind ephemere Infrastruktur, die aus Gold Images gebaut werden. Storage-Ebene-Verschlüsselung (Azure Disk Encryption) reicht meist.

Fazit für DaaS

• Physische Endgeräte (Laptops): BitLocker ist Pflicht
• Cloud-VMs / Cloud-PCs: Azure Storage Encryption reicht für die meisten Szenarien; BitLocker optional für Compliance

BitLocker & DSGVO / ISO 27001

DSGVO

Die DSGVO verlangt „geeignete technische und organisatorische Maßnahmen“ (TOMs) zum Schutz personenbezogener Daten. Bei einem Laptop-Diebstahl ohne BitLocker hat man in den meisten Fällen eine meldepflichtige Datenpanne — mit Bußgeld-Risiko bis 4% des Jahresumsatzes.

Mit BitLocker aktiviert und dokumentiert ist der Daten-Verlust nicht automatisch eine Datenpanne — weil die Daten effektiv unlesbar bleiben (Ausnahme: wenn Recovery-Keys mit verloren wurden).

ISO 27001 Annex A

Control A.8.24 (Use of Cryptography) und A.7.10 (Storage Media) verlangen Verschlüsselung. BitLocker auf allen Endgeräten erfüllt diese Controls.

NIS2

Die NIS2-Richtlinie (seit Oktober 2024 in Deutschland) verlangt für betroffene Unternehmen konkret Maßnahmen zur Cybersecurity-Hygiene — Festplattenverschlüsselung ist eine der Basis-Massnahmen.