BitLocker per GPO – nova-it.io

Voraussetzungen GPO-Konfiguration Ausrollen Recovery

Voraussetzungen

Was muss vorhanden sein, bevor BitLocker per GPO ausgerollt werden kann.

Hardware

TPM-Chip (Version 1.2 oder höher, empfohlen 2.0) in allen Zielrechnern. Ohne TPM ist BitLocker nur mit zusätzlichem Startschlüssel (USB) oder Passwort möglich, das muss in der GPO separat aktiviert werden.

Betriebssystem

Windows 10/11 Pro, Enterprise oder Education. Die Home-Edition unterstützt kein BitLocker (aber die abgespeckte Geräteverschlüsselung). Windows Server ab 2012 R2.

Active Directory Schema-Erweiterung

Damit Recovery-Keys im AD gespeichert werden können, muss das AD-Schema die BitLocker-Attribute unterstützen. Ab Windows Server 2012 ist das Schema standardmäßig vorhanden. Ältere Umgebungen benötigen eine Schema-Erweiterung.

BitLocker-Feature installieren (Server)

Install-WindowsFeature BitLocker -IncludeManagementTools -Restart

RSAT BitLocker Recovery Tool

Ermöglicht das Auslesen von Recovery-Keys aus AD-Computerobjekten.

Install-WindowsFeature RSAT-Feature-Tools-BitLocker-BdeAducExt

GPO-Konfiguration

Diese Richtlinien steuern das BitLocker-Verhalten auf allen Domänenrechnern.

Verschlüsselungsmethode und -stärke festlegen

Computerkonfiguration → Administrative Vorlagen → Windows-Komponenten → BitLocker-Laufwerkverschlüsselung → Verschlüsselungsmethode und Verschlüsselungsstärke auswählen

Empfehlung: XTS-AES 256-Bit für Betriebssystemlaufwerke und feste Datenträger. AES-CBC 256-Bit für Wechseldatenträger (Kompatibilität).

Recovery-Key im AD speichern

→ Betriebssystemlaufwerke → Festlegen, wie BitLocker-geschützte Betriebssystemlaufwerke wiederhergestellt werden können

Aktivieren und "Wiederherstellungsinformationen in AD DS speichern" auswählen. Zusätzlich: "BitLocker nicht aktivieren, bis Wiederherstellungsinformationen für Betriebssystemlaufwerke in AD DS gespeichert werden" aktivieren, damit geht kein Key verloren.

TPM-Startprüfung konfigurieren

→ Betriebssystemlaufwerke → Zusätzliche Authentifizierung beim Start anfordern

Aktivieren. "BitLocker ohne kompatibles TPM zulassen" nur einschalten, wenn Rechner ohne TPM vorhanden sind. Standardmäßig: Nur TPM.

Verschlüsselung automatisch starten

→ Betriebssystemlaufwerke → Nur verwendeten Speicherplatz verschlüsseln

Schneller als Vollverschlüsselung. Für neue Rechner empfohlen. Bei bereits genutzten Rechnern: Vollverschlüsselung sicherer, da gelöschte Daten ebenfalls verschlüsselt werden.

BitLocker ausrollen

Nach der GPO-Konfiguration die Verschlüsselung auf den Clients aktivieren.

BitLocker-Status aller Laufwerke prüfen

manage-bde -status

BitLocker manuell aktivieren (C: Laufwerk)

# Mit TPM, lautlos ohne Benutzerinteraktion Enable-BitLocker -MountPoint "C:" -EncryptionMethod XtsAes256 -TpmProtector Add-BitLockerKeyProtector -MountPoint "C:" -RecoveryPasswordProtector

BitLocker per Script auf allen Clients aktivieren

Als Anmeldeskript oder per GPO-Startskript verteilen.

# Prüfen ob bereits verschlüsselt $status = Get-BitLockerVolume -MountPoint "C:" if ($status.ProtectionStatus -eq "Off") { Enable-BitLocker -MountPoint "C:" -EncryptionMethod XtsAes256 -TpmProtector -SkipHardwareTest Add-BitLockerKeyProtector -MountPoint "C:" -RecoveryPasswordProtector # Recovery-Key ins AD sichern $key = (Get-BitLockerVolume -MountPoint "C:").KeyProtector | Where-Object {$_.KeyProtectorType -eq "RecoveryPassword"} Backup-BitLockerKeyProtector -MountPoint "C:" -KeyProtectorId $key.KeyProtectorId }

Verschlüsselungsfortschritt prüfen

manage-bde -status C:

Recovery & Troubleshooting

Wenn ein Rechner den Recovery-Key verlangt oder BitLocker Probleme macht.

Recovery-Key aus dem AD auslesen

Geht über die ADUC-Konsole (BitLocker-Tab am Computerobjekt) oder per PowerShell.

# Recovery-Key eines Computers aus AD lesen Get-ADObject -Filter {objectclass -eq 'msFVE-RecoveryInformation'} -SearchBase "CN=COMPUTERNAME,OU=Clients,DC=domain,DC=local" -Properties msFVE-RecoveryPassword | Select-Object @{N='RecoveryKey';E={$_.'msFVE-RecoveryPassword'}}

Recovery-Key anhand der ID finden

Der Benutzer sieht am Recovery-Screen eine Key-ID. Damit lässt sich der passende Key finden.

# Die ersten 8 Zeichen der Key-ID reichen Get-ADObject -Filter {objectclass -eq 'msFVE-RecoveryInformation'} -Properties msFVE-RecoveryPassword | Where-Object {$_.DistinguishedName -like "*XXXXXXXX*"} | Select-Object @{N='Computer';E={($_.DistinguishedName -split ',')[1]}}, @{N='Key';E={$_.'msFVE-RecoveryPassword'}}

BitLocker vorübergehend pausieren

Nützlich vor BIOS-Updates oder Hardware-Änderungen, die einen Recovery-Screen auslösen würden.

# Für den nächsten Neustart pausieren Suspend-BitLocker -MountPoint "C:" -RebootCount 1

BitLocker komplett deaktivieren

Disable-BitLocker -MountPoint "C:"

⚠️

Wichtig: Vor BIOS-Updates, Mainboard-Tausch oder größeren Hardware-Änderungen immer BitLocker pausieren (Suspend-BitLocker). Sonst verlangt der Rechner beim nächsten Start den Recovery-Key, weil sich die TPM-Messwerte geändert haben.