BitLocker unter Windows Server: Aktivieren, Volume-Status prüfen und Wiederherstellungsinformationen vor dem Neustart sichern

Ziel

BitLocker-Laufwerkverschlüsselung unter Windows Server installieren, ein Datenvolume mit einem Recovery-Password-Protector verschlüsseln und bestätigen, dass dieser Protector an einem wiederherstellbaren Ort gesichert ist, bevor der Server neu gestartet oder das Volume gesperrt wird.

Voraussetzungen

Administratorrechte; unter Windows Server ist das BitLocker-Feature standardmässig nicht vorhanden.

Schritte

1. Das Feature installieren: Install-WindowsFeature -Name BitLocker -IncludeManagementTools -Restart. -Restart startet den Server ohne Rückfrage automatisch neu, wenn die Installation einen Neustart erfordert (bei BitLocker normalerweise der Fall). Den Befehl daher nur innerhalb eines Wartungsfensters ausführen. Anschliessend mit Get-WindowsFeature -Name BitLocker prüfen.
2. Vor jeder Änderung den aktuellen Zustand des Volumes prüfen: Get-BitLockerVolume -MountPoint "D:". Der Befehl liefert VolumeStatus ("whether BitLocker currently protects some, all, or none of the data on the volume", also ob BitLocker einen Teil, alle oder keine der Daten auf dem Volume schützt) und EncryptionPercentage.
3. Einen Recovery-Password-Protector hinzufügen und die Verschlüsselung starten: Enable-BitLocker -MountPoint "D:" -RecoveryPasswordProtector. Ein Datenvolume, das nur auf diese Weise geschützt ist, bleibt nach jedem Neustart gesperrt, bis jemand das Kennwort eingibt. Ist das OS-Volume selbst durch BitLocker geschützt, entsperrt Enable-BitLockerAutoUnlock -MountPoint "D:" das Datenvolume beim Systemstart automatisch. Die BitLocker-Wiederherstellungsanleitung von Microsoft beschreibt ein Wiederherstellungskennwort als "a 48-digit number used to unlock a volume when it is in recovery mode." (eine 48-stellige Zahl zum Entsperren eines Volumes im Wiederherstellungsmodus).
4. Den Protector unmittelbar ausserhalb des Hosts sichern. Die ID mit (Get-BitLockerVolume -MountPoint "D:").KeyProtector | Where-Object KeyProtectorType -eq RecoveryPassword ermitteln und dann Backup-BitLockerKeyProtector -MountPoint "D:" -KeyProtectorId <id> ausführen. Bei einem domänenverbundenen Server speichert der Befehl den Protector "to Active Directory Domain Services (AD DS)" (in die Active Directory-Domänendienste); manage-bde -protectors -adbackup D: -id <id> ist das Kommandozeilenäquivalent. Bei einem Gerät, das mit Microsoft Entra verbunden ist, akzeptiert BackupToAAD-BitLockerKeyProtector dieselben Parameter. Die Sicherung in AD kann fehlschlagen, wenn die Gruppenrichtlinie das Speichern von Wiederherstellungsinformationen in AD DS nicht erlaubt.
5. Prüfen, ob die Sicherung vorhanden ist, bevor auf sie vertraut wird: In AD werden Wiederherstellungskennwörter als untergeordnete Objekte vom Typ msFVE-RecoveryInformation unter dem Computerobjekt gespeichert; deren Name enthält die Protector-ID (sichtbar mit dem BitLocker Recovery Password Viewer oder mit Get-ADObject -SearchBase <computer DN> -Filter "objectClass -eq 'msFVE-RecoveryInformation'"). In Entra ID die BitLocker-Schlüssel des Geräts im Admin Center prüfen.
6. Erst nach bestätigtem Schritt 5 einen Neustart zulassen oder das Volume sperren lassen. Ein erneutes Get-BitLockerVolume sollte danach VolumeStatus: FullyEncrypted anzeigen (unmittelbar nach Schritt 3 EncryptionInProgress).

Erwartetes Ergebnis

Get-BitLockerVolume zeigt das Volume als geschützt an, und eine Abfrage in AD oder Entra ID (nicht auf dem verschlüsselten Host) liefert dieselbe ID des Wiederherstellungskennworts, die beim Erstellen des Protectors notiert wurde.

Grenzen und Prüfbasis

Wird ohne verifizierte Sicherung des Wiederherstellungskennworts ausserhalb des Hosts verschlüsselt, droht ein dauerhafter Datenverlust, falls die Boot-Kette das Volume für die Wiederherstellung markiert und kein anderer Protector nutzbar ist. Schritt 5 darf daher nicht übersprungen werden. Zum Entfernen des Schutzes entschlüsselt Disable-BitLocker -MountPoint "D:" das Volume; das kann so lange dauern wie die ursprüngliche Verschlüsselung und sollte nicht unterbrochen werden. Die Feature-Installation in Schritt 1 erfordert normalerweise einen Neustart; das Verschlüsseln eines Datenvolumes (kein OS-Volume) in Schritt 3 erfordert keinen, und die Verschlüsselung läuft nach der Rückkehr des Befehls im Hintergrund weiter.