Auf fast jedem Firmen-Notebook, das wir in die Hand bekommen, ist BitLocker aktiv. Das ist gut. Was den wenigsten bewusst ist: In der Standardkonfiguration – und die richtet Windows inzwischen oft selbständig ein – fragt BitLocker beim Start nach nichts. Kein Passwort, keine PIN. Das TPM gibt den geschützten Schlüssel automatisch frei; noch vor dem Windows-Anmeldebildschirm stehen die zum Zugriff auf das Systemlaufwerk nötigen Schlüssel im Arbeitsspeicher bereit.
Genau an dieser Stelle unterscheiden sich zwei Konfigurationen, die auf dem Papier beide „BitLocker aktiv“ heißen, in der Praxis aber ein deutlich unterschiedliches Schutzniveau haben.
Die zwei Betriebsmodi
Der TPM-Chip gibt den Schlüssel automatisch frei, sobald die gemessene Startumgebung dem gespeicherten Zustand entspricht. Der Anwender merkt davon nichts.
Der Schutz hängt damit vollständig daran, dass diese Messung nicht ausgetrickst werden kann – und dass niemand mitliest, wenn der Schlüssel übertragen wird.
Der Schlüssel wird erst freigegeben, wenn die Startumgebung stimmt und die korrekte PIN eingegeben wurde – noch bevor Windows überhaupt lädt.
Ohne PIN bleibt das Laufwerk verschlüsselt. Der Angreifer braucht beides: das Gerät und ein Wissen, das nicht im Gerät steckt.
Was der Standardmodus leistet
Fairerweise zuerst das, was auch „nur TPM“ abdeckt: Wer die SSD ausbaut und in einen anderen Rechner steckt, sieht nur verschlüsselte Daten. Die Freigabe des Laufwerks ist an das ursprüngliche Gerät und dessen TPM gebunden – wird die SSD woanders eingebaut, bleiben die Daten verschlüsselt. Für den häufigsten Fall – ein Gerät wird entsorgt, verkauft, oder ein Datenträger geht auf dem Postweg verloren – reicht das aus.
TPM-only bietet damit einen guten Basisschutz gegen den typischen Verlustfall und gegen Angreifer ohne spezialisierte Kenntnisse oder Werkzeuge. Was es nicht abdeckt, ist jemand, der weiß, was er tut, und das Gerät eine Weile ungestört vor sich liegen hat. Microsoft selbst zieht die Grenze genau dort und empfiehlt für fachkundige Angreifer mit längerem physischem Zugriff ausdrücklich TPM + PIN.
Wo die Lücke liegt
Alle relevanten Angriffe gegen TPM-only haben denselben Ausgangspunkt: Das Gerät gibt den Schlüssel heraus, ohne jemanden zu fragen. Wer die technischen Details nicht braucht, kann direkt zur Tabelle weiterspringen – für Interessierte sind die vier Wege hier aufklappbar.
Mitlesen am TPM-Bus · betrifft nur bestimmte Geräte
Bei Geräten mit einem diskreten TPM, das über LPC oder SPI angebunden ist, lässt sich die Kommunikation zwischen TPM und Plattform physisch abgreifen. Unter geeigneten Bedingungen kann dabei Schlüsselmaterial mitgelesen werden – mit Messtechnik im niedrigen dreistelligen Eurobereich und ohne erkennbare Veränderung der Windows-Installation.
Betroffen sind nicht alle TPM-Implementierungen gleichermaßen. Bei Firmware-TPMs und vollständig integrierten Sicherheitsprozessoren wie Microsoft Pluton existiert dieser extern zugängliche Bus in dieser Form nicht. Wie gut die Leiterbahnen erreichbar sind, hängt zudem stark vom Gerätemodell ab.
Warum die PIN hilft: Das TPM gibt das benötigte Schlüsselmaterial erst nach korrekter PIN-Eingabe frei. Ohne sie liegt auf dem Bus nichts Brauchbares an.
Downgrade der Startumgebung (BitPixie) · ohne Ausbau von Bauteilen
BitPixie basiert auf CVE-2023-21563 – 2022 entdeckt, 2023 veröffentlicht, ab 2024 öffentlich als vollständige Angriffskette demonstriert. Die Idee: Das Gerät wird mit einem älteren, aber weiterhin gültig signierten Windows-Bootloader gestartet, dessen Fehler Schlüsselmaterial im Arbeitsspeicher zurücklässt. Anschließend wird es ausgelesen.
Wichtig zur Einordnung: Das ist kein Angriff aus dem Internet. Der Angreifer braucht Kontrolle über den Startvorgang – etwa über Netzwerk-Boot, ein USB-Medium oder manipulierte Boot-Komponenten. Er muss das Gerät dafür aber nicht öffnen und keine Bauteile ausbauen.
Der eigentliche Punkt: Ein gepatchtes Windows verhindert Downgrade-Angriffe nicht zwingend, solange alte, verwundbare, aber weiterhin signierte Boot-Komponenten akzeptiert werden.
Angriffe über die Wiederherstellungsumgebung (BitUnlocker) · 2025 nachgereicht
2025 wurde mit CVE-2025-48804 eine weitere Schwachstelle im Umfeld der Windows-Wiederherstellungsumgebung behoben, konkret bei der Verarbeitung von SDI- und WIM-Inhalten. BitUnlocker ist der Name der darauf aufbauenden Angriffskette beziehungsweise des Proof of Concept – nicht der offizielle Name der Schwachstelle selbst.
Ein alter, weiterhin signierter Bootmanager kann damit eine manipulierte Recovery-Umgebung starten und ein TPM-only-geschütztes Volume entsperrt einbinden. Microsoft hat den betroffenen Bootmanager 2025 aktualisiert; relevant bleibt der Weg auf Systemen, die ältere signierte Komponenten weiterhin akzeptieren.
Gegenmaßnahme neben der PIN: die Secure-Boot-Zertifikatsmigration auf die neuere CA-2023-Vertrauenskette und die Sperrung verwundbarer Bootmanager gemäß KB5025885.
Direkter Speicherzugriff (DMA) · Thunderbolt und PCIe
Über Thunderbolt- oder PCIe-Anschlüsse lässt sich bei unzureichend geschützten Geräten der Arbeitsspeicher direkt auslesen – dort, wo die entsperrten Schlüssel liegen.
Hier ist die Wirkung der PIN begrenzt und muss sauber getrennt werden: Sie verkleinert das Zeitfenster in der frühen Startphase, bevor Windows seine DMA-Schutzrichtlinien aktiviert hat. Gegen ein bereits laufendes System ohne wirksamen DMA-Schutz hilft sie nicht. Dafür zuständig sind Kernel DMA Protection, ein aktuelles UEFI und eine gesperrte Sitzung.
Angriffsszenarien im Überblick
| Szenario | Nur TPM | TPM + PIN |
|---|---|---|
| SSD ausgebaut und extern ausgelesen Laufwerk in fremden Rechner gesteckt | Geschützt | Geschützt |
| Gerät gestohlen, ausgeschaltet Angreifer fährt normal hoch | Entsperrt automatisch | PIN erforderlich |
| Gerät im Ruhezustand Hibernate, nicht Standby | Entsperrt beim Fortsetzen | PIN erforderlich |
| Mitlesen am TPM-Bus nur bei diskretem TPM über LPC/SPI | Angreifbar | Geblockt |
| Downgrade der Startumgebung BitPixie, BitUnlocker und Verwandte | Angreifbar | Geblockt |
| DMA in der frühen Startphase vor Aktivierung der Windows-Schutzrichtlinien | Plattformabhängig | Deutlich reduziert |
| Gerät im Standby (zugeklappt) Laufwerk ist bereits entsperrt | Angreifbar | Kein PIN-Schutz |
| Gerät läuft, DMA ohne Schutz Sitzung aktiv oder gesperrt | Angreifbar | Kein PIN-Schutz |
Die letzten beiden Zeilen sind der wichtigste Punkt der Tabelle: Sobald das Laufwerk entsperrt ist, wirkt die einmal eingegebene PIN nicht mehr als zweiter Faktor. Dagegen helfen Ruhezustand statt Standby, Kernel DMA Protection und eine gesperrte Sitzung – nicht die PIN.
Was TPM + PIN nicht löst
- Ein laufendes oder schlafendes Gerät. Siehe Tabelle. Deshalb gehört zu TPM + PIN immer die Umstellung von Standby auf Ruhezustand.
- Eine manipulierte Pre-Boot-Anzeige, die die PIN abgreift. Dagegen schützen Secure Boot und aktuelle Firmware, nicht die PIN selbst.
- Der Wiederherstellungsschlüssel bleibt der Generalschlüssel. Wo er liegt und wer ihn abrufen kann, entscheidet mit über die Sicherheit.
- Vorhersehbare PINs. Das TPM bremst automatisierte Rateversuche zwar aus, aber ein Angreifer probiert zuerst die naheliegenden Kombinationen.
- Social Engineering. Eine PIN, die am Monitor klebt oder am Telefon herausgegeben wird, ist keine.
Einrichtung unter Windows 10/11 Pro und Enterprise
Windows Home unterstützt keine Pre-Boot-PIN – dort gibt es nur die automatische Geräteverschlüsselung. In verwalteten Umgebungen führen Sie die Konfiguration über Gruppenrichtlinie, Intune oder den BitLocker CSP durch; die lokalen Befehle unten sind für Einzelgeräte und zum Nachvollziehen gedacht.
Schritt 1 – Richtlinie aktivieren
gpedit.msc → Computerkonfiguration → Administrative Vorlagen → Windows-Komponenten → BitLocker-Laufwerkverschlüsselung → Betriebssystemlaufwerke → „Zusätzliche Authentifizierung beim Start anfordern“ aktivieren, dort „Start-PIN bei TPM anfordern“ wählen und die übrigen Startmethoden ausdrücklich auf „nicht zulassen“ setzen.
Alternative: dieselben Richtlinienwerte per PowerShell setzen
Für Einzelgeräte ohne Domäne oder ohne gpedit. Wichtig ist, alle Startmethoden explizit festzulegen – sonst hängt das Ergebnis von bestehenden oder nicht konfigurierten Werten ab.
UseTPM = 0 ist entscheidend: Damit wird TPM allein als Startmethode ausgeschlossen. Bliebe der Wert auf 2 (zulassen), wäre der Standardmodus weiterhin erlaubt und die Richtlinie hätte ihren Zweck verfehlt.
In Intune entspricht das dem BitLocker-Profil unter Endpunktsicherheit → Datenträgerverschlüsselung: „Startauthentifizierung erforderlich“ auf Ja, „TPM-Start-PIN“ auf Erforderlich, TPM allein und Startschlüssel auf Nicht zulässig.
Optional: erweiterte PIN mit Buchstaben zulassen
Erweiterte PINs erlauben Buchstaben und Sonderzeichen. Sie müssen separat freigeschaltet werden – über die Richtlinie „Erweiterte PINs für den Start zulassen“ am selben Ort, oder lokal:
Lesen Sie vorher unbedingt den Abschnitt zur Tastatur weiter unten – erweiterte PINs sind nur dann eine gute Idee, wenn sie sich am Pre-Boot-Prompt auch tippen lassen.
Schritt 2 – Ausgangslage prüfen
Zuerst feststellen, was auf dem Gerät überhaupt konfiguriert ist:
Der erste Befehl zeigt, ob und wie weit verschlüsselt ist. Der zweite listet die vorhandenen Schutzmechanismen mit ihren IDs – darauf kommt es an: Erscheint dort nur „TPM“, läuft der Standardmodus.
Schritt 3 – Wiederherstellungsschlüssel sichern
„Gesichert“ heißt: in Entra ID beziehungsweise Intune hinterlegt oder, in klassischen Umgebungen, in AD DS – und im Portal nachgesehen, dass der Eintrag zum Gerät auch tatsächlich dort steht. Ein Befehl, der ohne Fehlermeldung durchläuft, ist kein Nachweis.
Befehle zum Anlegen und Sichern des Wiederherstellungsschlüssels
Die Sicherung nach Entra ID setzt ein entsprechend eingebundenes Gerät voraus – prüfen mit dsregcmd /status. In klassischen Active-Directory-Umgebungen wird der Schlüssel stattdessen nach AD DS gesichert.
Danach im Entra Admin Center beim Gerät unter BitLocker-Schlüssel gegenprüfen, ob die Schlüssel-ID dort auftaucht – und ob sie zu der passt, die manage-bde -protectors -get C: lokal anzeigt.
Schritt 4 – PIN setzen
Windows fragt die PIN anschließend interaktiv ab. Danach mit manage-bde -protectors -get C: prüfen, dass tatsächlich ein Schutzmechanismus vom Typ „TPM und PIN“ vorhanden ist und keine unerwünschte alternative Startmethode danebensteht.
Umstellung eines bereits mit TPM-only verschlüsselten Geräts
Hier genügt das Hinzufügen nicht immer – der alte TPM-only-Protector sollte anschließend entfernt werden, sonst bleibt die automatische Freigabe möglich:
Voraussetzung ist der gesicherte und im Portal bestätigte Wiederherstellungsschlüssel aus Schritt 3. Neu verschlüsselt werden muss dabei nichts.
Schritt 5 – Verschlüsselung starten
Nur nötig, wenn Schritt 2 ein unverschlüsseltes Laufwerk ergeben hat:
-usedspaceonly verschlüsselt nur belegte Blöcke und ist bei neu aufgesetzten Geräten ausreichend. Bei Geräten, die länger unverschlüsselt in Benutzung waren, den Schalter weglassen – das dauert deutlich länger, erfasst dafür auch Reste gelöschter Daten.
XTS-AES 256 ist eine Richtlinienentscheidung, keine Notwendigkeit: Windows verwendet standardmäßig XTS-AES 128, was nicht unsicher ist. Wer 256 Bit will, sollte es unternehmensweit einheitlich festlegen.
Bei diesem Ablauf führt Windows zunächst einen Hardwaretest durch: Der Fortschritt bleibt bei 0 %, die eigentliche Verschlüsselung beginnt erst nach einem Neustart, bei dem die PIN erfolgreich eingegeben wurde. Mit anderen Bereitstellungsverfahren oder der Option -skiphardwaretest kann das Verhalten abweichen.
Schritt 6 – Standby einschränken
Ohne diesen Schritt bleibt die halbe Wirkung liegen, weil zugeklappte Notebooks entsperrt weiterlaufen:
Damit ist Standby nicht generell deaktiviert – das Gerät kann weiterhin über Leerlauf, Startmenü oder Netzschalter in den Standby wechseln. In Unternehmensumgebungen müssen die zulässigen Energiesparzustände und Leerlaufaktionen zusätzlich per Energie- oder MDM-Richtlinie festgelegt werden.
Stolperfalle Tastatur – vorher testen
Die PIN-Abfrage läuft vor Windows, in der UEFI-Firmware. Dort gibt es keine Windows-Treiber, und das hat drei praktische Folgen:
- Bluetooth-Tastaturen funktionieren nicht. Kein Bluetooth-Stack, kein Pairing, keine Eingabe – das Gerät bleibt am PIN-Prompt stehen. Kabeltastaturen und Funktastaturen mit eigenem USB-Empfänger (2,4 GHz) funktionieren dagegen, weil die Firmware sie als gewöhnliche USB-Tastatur sieht.
- Keine Bildschirmtastatur. Tablets und 2-in-1-Geräte ohne angesteckte Tastatur brauchen eine Firmware, die selbst eine Eingabemöglichkeit mitbringt. Längst nicht alle tun das.
- Das Tastaturlayout kann abweichen. Es richtet sich nicht nach den Windows-Einstellungen; bei manchen Geräten entspricht es US-Englisch. Dann sind Y und Z vertauscht, Umlaute fehlen und Sonderzeichen liegen woanders.
Der Wiederherstellungsschlüssel – hier wird es unbequem
In vielen Anleitungen steht, man solle den Wiederherstellungsschlüssel keinesfalls im Microsoft-Konto speichern, sondern auf einen USB-Stick legen. Für einen einzelnen sicherheitskritischen Rechner mag das stimmen. Für ein Unternehmen halten wir das für den falschen Rat.
Der mit Abstand häufigste BitLocker-Vorfall in der Praxis ist nicht der Angreifer im Serverraum, sondern ein Gerät, das nach einem UEFI-Update plötzlich den Wiederherstellungsschlüssel verlangt – und niemand weiß, wo der liegt. Dann sind die Daten weg. Endgültig.
Wer höhere Anforderungen hat – etwa Kanzleien mit Verschwiegenheitspflicht nach § 203 StGB – sollte das Escrow nicht abschaffen, sondern absichern: getrennte Administratorkonten, protokollierter Zugriff, regelmäßige Kontrolle, wer die Schlüssel auslesen darf.
Was es im Alltag kostet
- Neustarts brauchen jemanden vor dem Gerät. Nach dem Patchday bleibt der Rechner am PIN-Prompt stehen. In geeigneten Unternehmensnetzen lässt sich das mit BitLocker Network Unlock lösen – das setzt allerdings UEFI-Netzwerkunterstützung, kabelgebundenes Ethernet und passende Serverinfrastruktur voraus.
- Remote-Support wird umständlicher. Ein Fernwartungs-Neustart erfordert eine Absprache mit dem Anwender.
- Ein zusätzliches Geheimnis pro Gerät, das vergessen werden kann – ein Prozess für „PIN vergessen“ gehört zwingend dazu.
Unsere Faustregel: Für alles, was das Gebäude verlässt oder sensible Daten verarbeitet – Notebooks, Geräte im Homeoffice, Rechner mit Mandanten-, Patienten- oder Personaldaten – ist TPM + PIN angemessen. Für einen stationären Arbeitsplatz in einem abgeschlossenen Büro mit Zutrittskontrolle kann man anders entscheiden. Eine Entscheidung sollte es aber sein – keine Voreinstellung, die nie hinterfragt wurde.
Kurz-Checkliste
- Aktive Schutzmechanismen mit
manage-bde -protectors -get C:prüfen – für TPM + PIN muss dort ein Eintrag vom Typ „TPM und PIN“ stehen. - TPM + PIN für alle mobilen Geräte per Gruppenrichtlinie oder Intune ausrollen, TPM allein ausdrücklich verbieten.
- Mindestens acht nicht vorhersehbare Stellen, keine Geburtsjahre – und das Pre-Boot-Tastaturlayout vorher testen.
- Prüfen, ob am Gerät eine Tastatur hängt, die vor Windows funktioniert (kein Bluetooth).
- Wiederherstellungsschlüssel sichern und im Portal gegenprüfen, bevor ein Schutzmechanismus verändert wird.
- Ruhezustand statt Standby, zusätzlich Leerlaufaktionen per Richtlinie regeln.
- Kernel DMA Protection aktivieren, Firmware-Administratorkennwort setzen und externe Bootpfade einschränken, soweit das Gerätemodell das zuverlässig unterstützt.
- Secure Boot aktiv halten, Firmware und Bootkomponenten aktuell halten, CA-2023-Migration und Sperrung alter Bootmanager gemäß KB5025885 einplanen.
Fazit
BitLocker mit TPM-only ist ein sinnvoller Basisschutz. Es verhindert insbesondere, dass ein ausgebauter Datenträger ohne Weiteres ausgelesen wird, und deckt den typischen Verlustfall gegen Angreifer ohne spezialisierte Kenntnisse ab.
Gegen einen fachkundigen Angreifer mit längerem physischem Zugriff reicht die automatische Schlüsselfreigabe jedoch nicht in jedem Fall. Angriffe auf diskrete TPM-Verbindungen und Downgrade-Angriffe wie BitPixie und BitUnlocker zeigen, dass eine formal intakte Secure-Boot-Kette nicht automatisch garantiert, dass nur aktuelle und fehlerfreie Bootkomponenten ausgeführt werden.
TPM + PIN unterbindet die automatische Freigabe des Laufwerks und blockiert damit die hier beschriebenen TPM-only-Angriffe. Für mobile Geräte und Systeme mit sensiblen Daten ist das ein angemessener zusätzlicher Schutz. Vollständig wird das Konzept aber erst zusammen mit Secure Boot, aktuellen Boot- und Firmwarekomponenten, geschützten DMA-Schnittstellen, kontrollierten Wiederherstellungsschlüsseln sowie Ruhezustand oder Herunterfahren statt Standby. Der Preis dafür ist eine Eingabe pro Neustart – für Geräte, die das Büro verlassen, ein guter Tausch.
BitLocker richtig konfiguriert – ohne Betriebsstörung
Wir prüfen, welcher Modus auf Ihren Geräten tatsächlich aktiv ist, rollen TPM + PIN kontrolliert aus und richten die Schlüsselsicherung so ein, dass im Ernstfall niemand vor einem gesperrten Laufwerk steht.
Unverbindlich anfragen