Windows verschlüsseln

  • von

Warum? Wozu?

Wird einem das private oder gar das dienstliche Laptop geklaut, ist der Ärger meist vorprogrammiet.
Aber nebst dem, dass nun eine Neuanschaffung an Hardware ansteht, sind auch potenziell wichtige Daten in vermutlich falsche Hände gelangt (z.B. im Browser gespeicherte Passwörter, wichtige E-Mails mit Zugangsdaten, wichtige persönliche Daten oder gar der VPN Zugang ins Firmennetz).
Der reine Passwortschutz von Windows ist schnell umgangen, daher ist es sinnvoll das Betriebsystem und alle Daten zu verschlüsseln, damit vertrauliche Daten auch vertaulich bleiben.

Voraussetzungen

Die folgende Kurzanleitung funktioniert erst ab Windows 10 Professional. Den kleinen Editionen fehlen grundlegende Verschlüsselungsfunktionen, sowie der Gruppenrichtlinieneditor und die Möglichkeit Gruppenrichtlinien umzusetzen (u.A. daher ist mit ihnen auch ein Domänenbeitritt nicht vorgesehen).

Es hat sich als praktisch erwiesen, zuerst einige Voreinstellungen in den GPO vorzunehmen und erst danach Bitlocker für das entsprechende Laufwerk zu aktivieren. Die Einstellungen sorgen dafür, dass man zuerst einen Code eingeben muss, bevor der Computer das Laufwerk entsperrt. Ansonsten ist es sehr gut möglich ein gestohlenes Laptop als Zugang zum Firmennetz zu verwenden (siehe dazu Lesetipp: Gestohlenes Laptop als Hintertür)

Festlegen der Gruppenrichtlinien

Dazu ruft man zuerst mittel den Editor für lokale Gruppenrichtlinien auf, indem man die Windowstaste und R und dort gpedit.msc eingibt.

WIndows Ausführen Dialog mit Eingabe gpedit.msc

Mit einem Klick auf „ok“ bestätigen. Es öffnet sich darauf ein neues Fenster (der Gruppenrichtlinieneditor).
Seid ihr nicht als Administrator angemeldet, kann hier noch einmal die Benutzerkontensteuerung nach Administratorrechten fragen. Bitte erteilt dem Programm die entsprechenden Rechte.

Geht nun auf „Administrative Vorlagen→Windows Komponenten→ Bitlocker-Laufwerksverschlüsselung und passt hier einige Einträge an. Die Reihenfolge in der ihr die Anpassungen vornehmt ist dabei beliebig.

1.Verschlüsselungsmethode und Verschlüsselungsstärke für Laufwerke auswählen (Windows 10 [1511] und höher)
Setzt den Wert je auf „XTS-AES 256-Bit“ für „Verschlüsselungsmethode für Betriebssystemlaufwerk auswählen“,
„Verschlüsselungsmethode für Festplattenlaufwerke auswählen“, „Verschlüsselungsmethode für Wechsellaufwerke auswählen“

Verschlüsselungsmethode für Betriebssystemlaufwerk auswählen Verschlüsselungsmethode für Festplattenlaufwerke auswählen Verschlüsselungsmethode für Wechsellaufwerke auswählen
Verschlüsselungsmethode für Betriebssystemlaufwerk auswählen Verschlüsselungsmethode für Festplattenlaufwerke auswählen Verschlüsselungsmethode für Wechsellaufwerke auswählen

Das sollte nach derzeitigem Stand der Technik das Laufwerk ausreichend sicher verschlüsseln (einen absoluten Schutz gibt es auch hier nicht).

2. Pin-Eingabe

Damit wären die Daten bereits verschlüsselt, würde man die Verschlüsselung aktivieren, jedoch wäre ein Umgehen des Schutzes noch recht einfach möglich (vgl. den obigen Lesetip).

Um das zu ändern soll Windows nun bei jedem Start eine Pin-Abfragen, dazu gehe auf „Betriebsystemlaufwerke“, wähle hier „Zusätzliche Authentifizierung beim Start anfordern“, aktiviert die Richtlinie und belasst die Werte hier auf den Standardeinstellungen.

aktiviert mit Standardeinstellungen, d.h. Bitlocker ohne komptabiles TPM zulassen,
TPM Start konfigurieren: TPM zulassen, Systemstart-Pin konfigurieren: Systemstart_pin bei TPM zulassen,
TPM-Systemstartschlüssel konfigurieren: Systemstartschlüssel bei TPM zulassen,
TPM-Systemstartschlüssel und -Pin konfigurieren: SystemstartSchlüssel und PIN bei TPM zulassen
Pineingabe bei Systemstart

Nun erhöhen wir noch die Komplexität für die Pin. Eine einfache Zahlenfolge bietet hier nur recht geringe Sicherheit.
Dafür gehe auf die Richtlinie „Erweiterte Pins für Systmestart zulassen und aktiviere sie.
Danach lege noch in der Richtlinie „Verwendung von Kennwörtern für Betriebssystemlaufwerke konfigurieren“ die erforderliche/gewünschte Komplexität fest.

Aktiviert, Kennwortkomplexität zulassen, minimale Kennwortläge für Betriebssystemlaufwerk: 8
minimale Kennwortläge für Betriebssystemlaufwerk festlegen

3.Verschlüsselung aktivieren

Gehe zu Systemsteuerung\System und Sicherheit\BitLocker-Laufwerkverschlüsselung und aktivieren dort die Laufwerksverschlüsselung durch einen Klick auf „aktivieren (siehe auch das folgende Bild).

Bitlocker aktivieren
Bitlocker aktivieren

Es startet darauf ein kleiner Assistent, der in der folgenden Bilderstrecke dokumentiert ist.
Lege im ersten Schritt fest, wie das Laufwerk entsperrt werden soll, hier also „Pin eingeben“.

Festlegen wie das Laufwerk entsperrt werden soll -> PIN eingeben (empfohlen)
Entsperrmethode festlegen

Im zweiten Schritt wird dann die entsprechende Pin abgefragt

Pin eingeben
Pin
Pin erneut eingeben
Pin Eingabe

ACHTUNG: Bei der Eingabe der Preboot-Pin gilt die amerikanische Tastaturbelegung, z.B. sind hier y und z vertauscht (im Vergleich zur deutschen), es stehen aber auch ebenso keine deutschen Sonderzeichen zur Verfügung (äöüß) und viele Symbole „verstecken“ sich hinter einer anderen Taste (- entspricht dem Fragezeichen, § entspricht der Raute, uvm). Auf Laptops können sich die Tasten aufgrund evtl. Mehrfachbelegung noch einmal anders verhalten.

Im dritten Schritt wird abgefragt, wo der Wiederherstellungsschlüssel gespeichert werden soll. Der ist nötig, falls man die normale Pin einmal vergessen hat.

Speicherort Wiederherstellungspin auswählen
Speicherort Wiederherstellungs-PIN

Ich empfehle den Wiederherstellungsschlüssel von Zeit zu Zeit, besonders nach großen Windows-Updates, noch einmal neu zu exportieren.
Es ist logischerweise nicht möglich den PIN auf dem zu verschlüsselnden Laufwerk zu hinterlegen. Das ist logisch, hier würde man ihn im Notfall nicht erreichen (da er ebenfalls verschlüsselt werden). Leider scheidet damit auch ein direktes Speichern in einer Cloudumgebung aus, da Windows nicht immer zuverlässig erkennt, dass sich der Speicherort nicht ausschließlich auf dem lokalen Laufwerk befindet.
(Ob es unter dem Aspekt des Datenschutzes überhaupt Sinn ergibt, den Wiederherstellungsschlüssel in einer Cloud zu hinterlegen, muss jede/r für sich selbst entscheiden)

Im vierten Schritt frage der Assistenz noch ab, ob nur der benutzte Teil des Laufwerks verschlüsselt werden soll, oder das gesamte Laufwerk.

Da der Computer auf die ich die Verschlüsselung hier einrichte noch unbenutzt ist (und eine SSD eingebaut ist) wähle ich hier nicht das gesamte Laufwerk zu verschlüsseln. Es befanden sich noch keine wichtigen Daten auf dem System, die evtl. in wieder freigegeben Speicherbereichen liegen könnte.

Auswählen, wieviel Speicherplatz des Laufwerk verschlüsselt werden soll
Auswählen, wieviel Speicherplatz des Laufwerk verschlüsselt werden soll

Im letzten Schrit noch die Systemüberprüfung durchlaufen lassen und die Verschlüsselung anstoßen.

Bitlocker Systemüberprüfung

Nach dem Klick auf „ok“ schließt sich der Assistent und Windows weist darauf hin, dass ein Neustart erforderlich ist.

WIndows C: Neustart erforderlich
WIndows C: Neustart erforderlich
pop-Up, die Verschlusselung beginnt nach dem Neustart des Computers.

Nach dem Neustart weist ein kleiner PoP-Up darauf hin, dass im Hintergrund nun das Laufwerk verschlüsselt wird.

Verschlüsselung wurde gestartet, hier klicken um weitere Informationen zu erhalten.
Die Verschlüsselung wird durchgeführt

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht.