Festplatte verschlüsseln unter Windows: BitLocker und Alternativen

Eine Bildschirmsperre schützt den laufenden Rechner vor dem Blick des Kollegen. Gegen jemanden, der das Notebook mitnimmt und die Platte in einen anderen Rechner hängt, hilft sie nicht. Genau diese Lücke schließt Laufwerksverschlüsselung – und nur diese.

Wogegen sie schützt und wogegen nicht

BitLocker einrichten

BitLocker liegt den Pro- und Enterprise-Ausgaben von Windows bei. Die Home-Ausgabe bringt eine abgespeckte Geräteverschlüsselung mit, die dasselbe Verfahren nutzt, aber weniger Einstellmöglichkeiten hat.

1. Voraussetzungen prüfen. Ein TPM-2.0-Chip erlaubt das Entsperren ohne zusätzliche Eingabe beim Start. Ohne TPM ist die Verschlüsselung möglich, verlangt aber ein Kennwort oder einen Startschlüssel auf einem USB-Stick.
2. Sicherung anlegen. Vor dem Verschlüsseln, nicht danach. Der Vorgang läuft normalerweise ohne Datenverlust – „normalerweise“ reicht bei den einzigen vorhandenen Daten nicht.
3. Wiederherstellungsschlüssel sichern. Der wichtigste Schritt. Er lässt sich in ein Microsoft-Konto legen, in eine Datei schreiben oder ausdrucken. Nicht auf dem Laufwerk speichern, das gerade verschlüsselt wird.
4. Umfang wählen. Bei einem neuen Rechner reicht „nur belegter Speicherplatz“. Bei einem gebrauchten Gerät sollte das gesamte Laufwerk verschlüsselt werden, weil in freien Bereichen noch alte Inhalte stehen.
5. Verschlüsselung starten. Der Vorgang läuft im Hintergrund und dauert je nach Größe zwischen Minuten und mehreren Stunden. Der Rechner bleibt nutzbar.

Sicherheitshinweis: Prüfen Sie den Wiederherstellungsschlüssel, bevor Sie ihn brauchen. Nach einem Mainboard-Tausch, einem BIOS-Update oder einer Änderung der Startreihenfolge verlangt BitLocker ihn – und dann muss er lesbar und vollständig vorliegen.

Alternativen und ihr Einsatzbereich

• Container-Verschlüsselung. Statt des gesamten Laufwerks wird eine Datei verschlüsselt, die als eigenes Laufwerk eingebunden wird. Sinnvoll, wenn nur ein Teil der Daten schutzbedürftig ist oder wenn derselbe Container auf mehreren Betriebssystemen geöffnet werden soll.
• Verschlüsselung einzelner Ordner. Praktisch für Ordner, die ohnehin mit einem Cloud-Speicher abgeglichen werden. Die Dateien bleiben dort verschlüsselt liegen.
• Selbstverschlüsselnde Laufwerke. Der Datenträger übernimmt die Arbeit in eigener Hardware. Bequem, aber die Umsetzung ist nicht überprüfbar – in der Vergangenheit gab es Modelle mit schwerwiegenden Fehlern.
• Wechseldatenträger. Für Sticks und externe Platten gilt dasselbe Prinzip, mit eigenen Fallstricken. Sie sind unter USB-Stick verschlüsseln beschrieben.

Häufige Fehler

1. Der Wiederherstellungsschlüssel liegt auf dem verschlüsselten Rechner. Der Klassiker. Im Ernstfall ist er dort, wo Sie nicht mehr hinkommen.
2. Verschlüsselung ersetzt die Sicherung. Tut sie nicht. Ein verschlüsselter Datenträger, der ausfällt, ist genauso verloren wie ein unverschlüsselter.
3. Kein Kennwort auf dem Benutzerkonto. Wenn Windows ohne Anmeldung startet, entsperrt es das Laufwerk gleich mit. Der Dieb bekommt einen einsatzbereiten Rechner.
4. Nur das Systemlaufwerk verschlüsselt. Eine zweite Platte mit den eigentlichen Daten bleibt dann offen.

Für den laufenden Betrieb ergänzt die Bildschirmsperre den Schutz. Wie sich das automatisieren lässt, steht unter PC per USB-Stick sperren, die Absicherung der Anmeldung selbst unter Windows-Anmeldung absichern.