Relution Signet Customer Hub

Windows Bitlocker

Mit Relution kann die BitLocker-Verschlüsselung in einer Richtlinie für Windows-Geräte konfiguriert werden. Details zu BitLocker und dessen Funktionsweise kann der Microsoft Dokumentation → entnommen werden.

Konfiguration

Die Konfiguration ist in vier Bereiche gegliedert: Basiseinstellungen, OS Datenträger, Verbaute Festplatten und Entfernbare Festplatten.

Für OS Datenträger, verbaute und entfernbare Festplatten werden jeweils der Verschlüsselungstyp (Vollständig, Nur genutzter Speicherplatz, Wahl durch Benutzer oder Nicht konfiguriert) und die Verschlüsselungsmethode (AES 128bit CBC, AES 256bit CBC, XTS 128bit AES oder XTS 256bit AES) festgelegt. Die Verschlüsselungsmethode muss in allen drei Bereichen gesetzt sein oder in allen drei auf Nicht konfiguriert stehen, sonst lässt sich die Richtlinie nicht speichern.

Änderungen an der Konfiguration wirken sich nicht auf Laufwerke aus, die bereits verschlüsselt sind oder gerade verschlüsselt werden.

Basiseinstellungen

  • Geräte Verschlüsselung erforderlich: Aktiviert die vollständige Verschlüsselung für OS-Laufwerke und verbaute Festplatten (Standard: aktiviert).
  • Erlauben Sie Standardbenutzern, die BitLocker-Verschlüsselung unbeaufsichtigt zu aktivieren: Erlaubt die stille Verschlüsselung auch für Benutzer ohne Administratorrechte. BitLocker muss dafür für die stille Verschlüsselung konfiguriert sein.
  • Warnung zu Festplatten Verschlüsselung von Drittanbietern anzeigen: Wirkt nur auf Geräten, die in Microsoft Entra ID eingebunden sind. Die Option wird automatisch deaktiviert und gesperrt, sobald die stille Verschlüsselung für Standardbenutzer aktiviert ist.

OS Datenträger

  • Wiederherstellungsoptionen vor dem Start (Text bzw. URL auf dem Wiederherstellungsbildschirm vor dem Start, wenn das OS-Laufwerk gesperrt ist):
    • Standard Wiederherstellungs-Nachricht und -URL vor dem Start
    • Benutzerdefinierte Wiederherstellungs-URL vor dem Start
    • Benutzerdefinierte Wiederherstellungs-Nachricht vor dem Start
  • Authentifizierung beim Starten erforderlich: Nach Aktivierung stehen zusätzlich folgende Einstellungen zur Verfügung:
    • Minimale PIN-Länge: 4 bis 20 Ziffern, Standard 6.
    • Trusted Platform Module (TPM) auf inkompatiblen Geräten: Erlaubt BitLocker ohne TPM. Dann ist ein Kennwort oder ein Startschlüssel auf einem USB-Laufwerk erforderlich.
    • TPM Start, TPM Start PIN, TPM Startschlüssel und TPM Start PIN und Startschlüssel: jeweils Nicht konfiguriert, Optional, Erforderlich oder Blockiert. Steht eine dieser Optionen auf Erforderlich, müssen die übrigen drei auf Blockiert stehen. Ist Trusted Platform Module (TPM) auf inkompatiblen Geräten nicht aktiviert, dürfen nicht alle vier blockiert sein.
    • Wiederherstellung konfigurieren mit:
      • Daten Wiederherstellung erlauben
      • Wiederherstellungspasswort erstellen
      • Wiederherstellungsschlüssel erstellen
      • Wiederherstellungsbildschirm während der BitLocker Einrichtung verbergen
      • Wiederherstellungsinformationen in Active Directory Domain Services speichern (wahlweise nur das Wiederherstellungspasswort oder Wiederherstellungspasswort und -schlüssel)
      • BitLocker Einrichtung deaktivieren bis Wiederherstellungsinformationen in Active Directory Domain Services gespeichert sind

Verbaute Festplatten

  • Verschlüsselung erforderlich: Nicht durch BitLocker geschützte verbaute Festplatten werden nur lesend eingebunden.
  • Wiederherstellungsoptionen: Nach Aktivierung stehen zur Verfügung:
    • Wiederherstellungs-Agent erlauben
    • Wiederherstellungspasswort erstellen
    • Wiederherstellungsschlüssel erstellen
    • Wiederherstellungsbildschirm während der BitLocker Einrichtung verbergen
    • Wiederherstellungsinformationen in Active Directory Domain Services speichern (wahlweise nur das Wiederherstellungspasswort oder Wiederherstellungspasswort und -schlüssel)
    • BitLocker Einrichtung deaktivieren bis Wiederherstellungsinformationen in Active Directory Domain Services gespeichert sind

Für Wiederherstellungspasswort erstellen und Wiederherstellungsschlüssel erstellen stehen Erlaubt, Erforderlich (Standard) und Blockiert zur Auswahl. Für OS Datenträger und verbaute Festplatten gelten dabei dieselben Regeln:

  • Passwort und Schlüssel dürfen nicht beide blockiert sein.
  • Das Wiederherstellungspasswort darf nicht blockiert sein, wenn die Wiederherstellungsinformationen in Active Directory Domain Services gespeichert werden.
  • Das Wiederherstellungspasswort darf nicht auf Erforderlich stehen, wenn der Wiederherstellungsbildschirm verborgen wird und die Speicherung in Active Directory Domain Services nicht aktiviert ist.
  • Der Wiederherstellungsschlüssel darf nicht auf Erforderlich stehen, wenn bei den entfernbaren Festplatten Verschlüsselung erforderlich aktiviert ist.

Entfernbare Festplatten

  • Verschlüsselung erforderlich: Nicht durch BitLocker geschützte entfernbare Festplatten werden nur lesend eingebunden.
  • Schreibenden Zugriff auf Geräte verweigern, die in anderen Organisationen konfiguriert sind: Schreibzugriff erhalten nur Laufwerke, deren Kennungsfelder zu denen des Computers passen.

Für entfernbare Festplatten stehen keine Wiederherstellungsoptionen zur Verfügung.

Bitlocker-Informationen in den Gerätedetails

Ab Server 5.21 zeigt Relution in den Gerätedetails unter Bitlocker-Informationen je Laufwerk Volume, Volume Status, Schutzstatus und Zusätzliche Informationen an. Ist für ein Laufwerk ein Wiederherstellungspasswort vorhanden, wird es dort mit Zeitstempel unter Passwort für die Wiederherstellung gespeichert. Die Informationen werden erst nach Klick auf Anzeigen geladen.

Geräteverschlüsselung ohne Benutzerinteraktion

BitLocker kann auf dem Gerät unter bestimmten Voraussetzungen ohne Benutzeraktion aktiviert werden. Dies gilt auch für Nutzer mit Standard-Rechten.

Die Geräte müssen dafür folgende Voraussetzungen erfüllen:

  • Version 1803 oder höher für Endbenutzer mit Administrator-Berechtigung
  • Version 1809 oder höher für Endbenutzer mit Standard-Berechtigung
  • Eingebunden in Microsoft Entra oder Microsoft Entra hybrid oder Aktivierung über die Aktion Bitlocker aktivieren in Relution (setzt den installierten Relution Companion für Windows → voraus)
  • Mindestens TPM 1.2
  • BIOS-Modus Einstellung: Native UEFI

Microsoft Entra oder Microsoft Entra hybrid eingebundene Geräte

Sind Geräte in Relution eingeschrieben und zusätzlich in Microsoft Entra eingebunden (z.B. über Autopilot), dann kann die BitLocker Konfiguration wie folgt konfiguriert werden, damit die Geräte automatisiert verschlüsselt werden, sobald die Konfiguration auf dem Gerät angewendet wird.

Basiseinstellungen:

  • Geräte Verschlüsselung erforderlich: Aktiviert
  • Erlauben Sie Standardbenutzern, die BitLocker-Verschlüsselung unbeaufsichtigt zu aktivieren: Aktiviert

OS Datenträger:

  • Verschlüsselungstyp: Vollständig
  • Authentifizierung beim Starten erforderlich: Aktiviert
  • TPM Start: Optional oder Erforderlich
  • TPM Start PIN: Blockiert
  • TPM Startschlüssel: Blockiert
  • TPM Start PIN und Startschlüssel: Blockiert
  • Wiederherstellung konfigurieren: Deaktiviert
    • Alternativ kann es auch aktiviert werden, dann müssen jedoch folgende Punkte ebenfalls konfiguriert werden:
    • Wiederherstellungspasswort erstellen: Erlaubt. Erforderlich lässt sich nur speichern, wenn zusätzlich Wiederherstellungsinformationen in Active Directory Domain Services speichern aktiviert ist.
    • Wiederherstellungsschlüssel erstellen: Erlaubt oder Erforderlich. Erforderlich ist nicht zulässig, wenn bei den entfernbaren Festplatten Verschlüsselung erforderlich aktiviert ist.
    • Wiederherstellungsbildschirm während der BitLocker Einrichtung verbergen: Aktiviert

Andere Einstellungsmöglichkeiten in der Konfiguration können je nach Bedarf gesetzt werden. Nicht unterstützte Einstellungen können jedoch zu Problemen bei der Aktivierung von BitLocker führen.

Mittels Aktion - Bitlocker aktivieren

Geräte, die nicht in Microsoft Entra oder Microsoft Entra hybrid eingeschrieben sind, können die BitLocker-Verschlüsselung ohne Endbenutzer Interaktion über die Aktion Bitlocker aktivieren starten. Dies funktioniert ebenfalls für Standardbenutzer.

Die Aktion wird ausschließlich vom Relution Companion für Windows → ausgeführt. Der Companion muss daher auf dem Gerät installiert sein.

In der Aktion werden je Laufwerk (Laufwerksbuchstabe mit Doppelpunkt, z. B. C:) der Schutzschlüssel und die Option Nur genutzter Speicherplatz festgelegt. Als Schutzschlüssel stehen TPM (nur für das Betriebssystem-Laufwerk) und Wiederherstellungspasswort zur Verfügung. Das Wiederherstellungspasswort wird von Windows erzeugt und erscheint in den Gerätedetails unter Bitlocker-Informationen. Mit der Aktion Bitlocker deaktivieren wird die Verschlüsselung für ausgewählte Laufwerke wieder aufgehoben.

Es wird jedoch empfohlen, zunächst eine BitLocker Konfiguration auf dem Gerät anzuwenden, um z.B. die Verschlüsselungsmethode oder andere Einstellungen festzulegen, auch wenn dies für die automatische Aktivierung nicht zwingend erforderlich ist.

Compliance-Meldungen

Weicht der Zustand des Geräts von der BitLocker-Richtlinie ab, meldet Relution am Gerät einen Compliance-Verstoß mit der Beschreibung BitLocker Configuration violated. Messages: und einer Liste der von Windows gemeldeten Ursachen. Die Meldungen erscheinen nur auf Englisch. Für häufige Meldungen sind im Folgenden Lösungen beschrieben.

The BitLocker policy requires a TPM protector to protect the OS volume, but a TPM is not used

  • Folgende Konfiguration im Bereich OS Datenträger anwenden:
    • Authentifizierung beim Starten erforderlich → Aktiviert
    • Trusted Platform Module (TPM) auf inkompatiblen Geräten → Aktiviert
    • TPM Start → Erforderlich
    • TPM Start PIN → Blockiert
    • TPM Startschlüssel → Blockiert
    • TPM Start PIN und Startschlüssel → Blockiert

The encryption method of the OS volume doesn’t match the BitLocker policy

  • Mit folgendem Befehl die Verschlüsselungsmethode am Gerät ermitteln:
  manage-bde -status
  • Ergebnis: AES oder XTS mit 128 oder 256 Bit
  • Die ermittelte Methode in der Richtlinie im Bereich OS Datenträger im Feld Verschlüsselungsmethode konfigurieren (z. B. XTS 256bit AES). Die Verschlüsselungsmethode muss auch in den Bereichen Verbaute Festplatten und Entfernbare Festplatten gesetzt sein, sonst lässt sich die Richtlinie nicht speichern.

The BitLocker policy requires a TPM-only protector for the OS volume, but TPM protection is not used

  • Der Verschlüsselungstyp im Bereich OS Datenträger muss von Vollständig auf Nur genutzter Speicherplatz gesetzt werden.

Verwandte Themen