Notebook-Festplatten verschlüsseln mit Bitlocker

In dieser Anleitung zeigen wir Ihnen, wie Sie Festplatten von Windows-Notebooks mit Bitlocker verschlüsseln können.

Hintergrund

Mit der steigenden Anzahl an Notebooks als Arbeitsrechner häufen sich auch die Meldungen, dass diese Geräte verloren gegangen sind oder entwendet wurden. Neben dem materiellen Verlust kann dabei auch hoher immaterieller Schaden entstehen: Der Dieb kann die Festplatte ausbauen, an einen anderen Computer anschließen und hat dann sofort Zugang zu allen darauf gespeicherten Daten. Persönliche E-Mails, Forschungsergebnisse und personenbezogenen Daten fallen dadurch in fremde Hände.

Schutz durch Festplattenverschlüsselung

Mit einer Festplattenverschlüsselung kann man sich sehr einfach vor diesen Gefahren schützen. Speziell bei Windows bietet sich hierfür die integrierte Funktion „Bitlocker“ an, die die Festplattendaten über ein extra „Verschlüsselungskennwort“ schützt. Bei Business-Notebooks mit sogenanntem TPM-Modul merkt man nach der einmaligen Aktivierung von Bitlocker und der Komplettverschlüsselung der Festplatte nichts mehr von dieser zusätzlichen Sicherheitsfunktion: Weder verringert sich die Geschwindigkeit merklich, noch muss man ein weiteres Passwort eingeben.

So funktioniert der Schutz:

• Windows speichert das Verschlüsselungskennwort auf dem TPM-Sicherheitschip im Rechner und startet die Ver- und Entschlüsselung der Daten automatisch beim Rechnerstart.
• Baut ein Dieb die gestohlene Festplatte in einen anderen Rechner ein, fehlt ihm das TPM-Kennwort und er sieht nur unbrauchbaren Buchstabensalat auf der Festplatte.
• Bitlocker kann übrigens auch ohne TPM genutzt werden, dann ist bei jedem Einschalten des Rechners die manuelle Eingabe des Verschlüsselungskennworts nötig.
  
  

Lösung für defekte Notebooks: Speicherung von Notfallschlüsseln über Gruppenrichtlinie

Einen kritischen Punkt gibt es beim Einsatz der Festplattenverschlüsselung zu bedenken: Bei einem defekten Notebook soll natürlich kein Datenverlust entstehen und die Festplatte in einem Austauschnotebook wieder gelesen werden können. Für diesen Fall erzeugt Bitlocker bei der Installation einen Notfallschlüssel, den man in eine Datei speichern oder ausdrucken kann.

Die TUM bietet jedoch einen eleganteren Weg zur Notfallschlüsselspeicherung an: Hat der Administrator das Notebook an das Active Directory angebunden, wird der Schlüssel aufgrund einer Gruppenrichtlinie automatisch dort gespeichert. Mit dem im Active Directory gespeicherten Schlüssel kann der Systemadministrator eine umgebaute Festplatte auch in einem Austauschgerät wieder freischalten.

Die Verschlüsselung selbst muss allen Systemen außer TUM-PCs manuell in der Systemsteuerung der jeweiligen Rechner gestartet werden.

Anleitung: Bitlocker aktivieren

Bitlocker über die Systemsteuerung starten

Sofern kein extrem hoher Schutzbedarf besteht und der Rechner ein TPM zum Speichern des Verschlüsselungskeys besitzt, kann die Option mit der automatischen Entsperrung genutzt werden. Dann bemerkt der Nutzer nicht einmal, dass Bitlocker im Hintergrund die Festplatte absichert.  

Der Wiederherstellungsschlüssel kann wie gewohnt gesichert werden. Aber man muss man hier keinen allzu großen Aufwand betreiben und kann diese "manuelle" Sicherung auch gleich löschen, sofern der Schlüssel durch die GPO im Active Directory gesichert wird. 

Der Wiederherstellungsschlüssel wird automatisch im Computerobjekt im AD gesichert und ist für TUM-PCs für die Teiladministratoren jederzeit im Teiladminportal unter https://tap.ads.mwn.de sichtbar.

Handelt es sich nicht um einen TUM-PC oder ist der Schlüssel im TAP nicht verfügbar, so kann er im Active Directory ausgelesen werden. Dazu ist es zunächst notwendig, die Teiladminkennung zur "Bitlocker-Readers"-Gruppe hinzuzufügen, die bei jeder Einrichtung im AD unter Groups → "M" ist. Danach kann man mit einem Doppelklick auf das Computerobjekt unter "Bitlocker-Wiederherstellung" die Schlüssel auslesen. Sollten Sie die Fehlermeldung erhalten, dass auf die Schlüssel nicht zugegriffen werden kann, so versuchen Sie es bitte nach einiger Zeit erneut.