BitLocker verschlüsselte Partition ohne Passwort oder recovery key

[Oliver C.]

Hallo zusammen,

mein Name ist Oliver und ich beschäftige mich erst seit einigen Wochen vertieft mit PCs und deren Hardware. Mein Projekt für dieses Jahr ist es, einen kleinen Server aufzusetzen und damit etwas rumzuexperimentieren.

Ich hab mir eine SSD in einem USB Adapter mit Ventoy konfiguriert, um auf meinem Surface 7 Pro (Windows 11 auf neustem Stand) Linux als live system benutzen zu können. Ich war anfänglich skeptisch, ob man irgendwas falsch machen könnte, aber meine Recherche und Fragen auf Reddit haben ergeben, dass man da nicht viel falsch machen kann.

Nach dem ich den secure boot ausgeschaltet habe, weil ich so von der SSD im USB Slot nicht booten konnte, hat sich BitLocker aktiviert. Ich wusste erstmal gar nicht, was das ist. Eine kurze Recherche hat gezeigt, dass meine ganze und einzige Partition verschlüsselt ist. (Neben den verborgenen Partitionen)
Jetzt ist es üblich, dass Windows dieses feature selbst aktiviert hat, was bei mir der Fall sein muss. Ich habe das nie eingerichtet, geschweige denn ein Passwort oder ein recovery key erstellt/erstellen lassen/gespeichert.
Zur meiner großen Enttäuschung wurde auch kein recovery key auf meinem Microsoft Account hinterlegt. (Ich hab ebenfalls den Accounts meines Bruder geprüft und den Account, bei dem ich mich als Student über meiner Uni bei Office angemeldet habe. Beim IT Service meiner Uni habe ich ebenfalls angefragt. Alles war negativ) Verschiedene Versuche im cmd mit manage-bde und verschiedensten commands hat auch nichts gebracht. Soweit ich das richtig sehe, führt wohl kein Weg mehr daran vorbei, meine Daten zu retten. Sehe ich das richtig?

Ich habe ja keinen Desktopzugriff, weil das eben die einzige Partition war. Ist es eventuell möglich, mit remote access irgendwie darauf zugreifen zu können und den BitLocker zu konfigurierem bzw das TPM Modul? Im Bios bzw. eher dem UEFI kann ich das TPM nicht konfigurieren.
Ich hab sonst noch gesehen, dass einige es hinbekommen haben, mit binary images und disk data images bzw. auch mit LCP sniffing das zu lösen, aber ich bin einerseits unschlüssig, wie zuverlässig das funktioniert und andererseits bin ich nicht versiert genug, soetwas durchzuführen.

Ich würde mich um Hilfe bzw. auch über ein klares "Das geht nicht." freuen.


Beste Grüße und Danke in Voraus
Oliver

PS: Ich habe Microsoft kontaktiert, aber noch keine Antwort erhalten. So wie BitLocker eingerichtet ist, werden sie mir wohl nicht helfen können, aber ich will mich wenigstens über dieses doof Feature, welches ungefragt aktiv war und meine Daten verschlüsselt hat, beschweren.

 

[abulafia]

Was passiert denn wenn du das TPM und Secure Boot im UEFI wieder aktivierst?

 

[kartoffelpü]

Wenn ich mich nicht ganz täusche, sollte es reichen, Secure Boot wieder anzuschalten und ohne angeschlossen USB-SSD zu booten. Oder hast du das schon versucht?
Wenn du dann Windows wieder starten kannst, die Bitlocker-Verschlüsselung aufheben. Dann kannst du SecureBoot wieder deaktivieren.

 

[Ja_Ge]

Wie oben schon erwähnt wieder aktivieren, der Key im TPM ändert sich durch deaktivieren nicht. TPM allerdings nicht versehentlich im BIOS clearen!

 

[Oliver C.]

Hallo zusammen,

Ich habe den sicheren Boot mehrmals an und ausgeschaltet und zwischen den verschiedenen Optionen gewechselt und es hat nichts gebracht. Wie gesagt, im UEFI gibt es NICHT die Möglichkeit, irgendetwas mit dem TPM zu konfigurieren. Geht das eventuell über das CMD?

Grüße

 

[Ja_Ge]

Welche CMD meinst du genau?

 

[redjack1000]

Um was für Hardware geht es? Nenne Details.

Warum gibt es kein Backup der Daten?

CU
redjack

 

[Oliver C.]

Also ich weiß nicht genau, was im Surface 7 pro mit 256GB verbaut ist, aber das sollte eine SSD sein. Gut, da gibt es natürlich mehrere.
Ein Backup der Daten gibt es noch nicht, weil ich mir erst seit kurzem eine externe SSD zugelegt habe. Ich hab einige bzw viele Bilder gesichert, aber nichts anderes.
Mit CMD meine ich das Terminal. Wenn ich im BitLocker Screen das Laufwerk überspringe, bekomme ich die Optionen Windows 11 auszuführen, den Computer auszuschalten und weitere. Über weitere Optionen komme ich zum CMD Terminal. Dort hab ich einige manag-bde commands ausprobiert, um das Problem zu beheben. Der will die Partition aber nicht entschlüsseln und gibt mir weder ein Passwort, noch ein recovery key.

 

[redjack1000]

Benutzt Du ein Microsoft Konto auf dem Gerät?

Cu
redjack

 

[Oliver C.]

Hallo. Ja ich hab ein Microsoftkonto und habe über die Uni Office365 bezogen. Das Gerät ist nur auf dem Account meiner privaten Mail bekannt und dort ist kein recovery key. Wenn ich unter Geräte schaue, das Surface auswähle und dort auf BitLocker gehe, steht dort 'Versuchen Sie es mit einer anderen URL'.
Ich habe es in verschiedenen Browsern auf verschiedenen Geräten versucht. Mit Hilfe des Links der Angegeben wird und auch manuell nach Microsoft Account gesucht und sich angemeldet.

 

[redjack1000]

Dann weißt Du jetzt warum Bitlocker aktiv ist.

https://answers.microsoft.com/de-de...üsselung/d1ad733f-d54f-465a-b35c-37283cbd013c

Wenn Du keinen Zugriff mehr auf den Key bekommst, bleibt Dir nur noch die Neuinstallation.

Cu
redjack

 

[Oliver C.]

Ja das wusste ich schon, bevor ich mich hier angemeldet habe. Ich frage mich nur, ob dieser Fehler in so einer Ausführung bekannt ist und ob es neben dem neuaufsetzen irgendwelche anderen Möglichkeiten gibt. Ich habe oben schon geschrieben, dass ich nicht meine, dass es einen Weg geben wird, aber ich wollte trotzdem nachfragen.

 

[redjack1000]

Mir ist kein Weg bekannt

Cu
redjack

 

[PC295]

Das ist ja kein Fehler.
Die meisten aktuellen Geräte mit Windows haben mittlerweile eine aktive Geräteverschlüsselung, genauso wie aktuelle Android- und Apple-Geräte.
Bei Windows wird Bitlocker verwendet. Bei der Einrichtung mit MS-Konto wird der Schlüssel automatisch dorthin übermittelt und kann unter folgenden Link abgerufen werden: https://account.microsoft.com/devices/recoverykey

Sobald ein Versuch der Manipulation festgestellt wird, also auch wenn im UEFI bestimmte Einstellungen geändert werden, wird zur Sicherheit der Wiederherstellungsschlüssel abgefragt.

Wenn der Wiederherstellungsschlüssel verloren gegangen ist, hast du keine Chance auf die verschlüsselten Dateien zuzugreifen.

 

[Dr. McCoy]

Ich frage mich nur, ob dieser Fehler in so einer Ausführung bekannt ist

Das ist kein Fehler, sondern ein Feature! Ob es nun ein vom Nutzer gewolltes Feature ist, steht freilich auf einem anderen Blatt. Gegen solche und andere vermeintliche "Überraschungen" hilft nur eines zuverlässig: Backups, Backups, Backups! Für wichtige Daten immer. Von Anfang an. Und dann regelmäßig weiter.

Ja ich hab ein Microsoftkonto und habe über die Uni Office365 bezogen.

Ist es das einzige MS-Online-Konto, das Du nutzt?

und damit etwas rumzuexperimentieren.

"Herumexperimentieren" niemals mit ungesicherten Daten umsetzen, sondern immer nur auf expliziten und nur dafür eingerichteten Testumgebungen! Diese Maxime bitte wenigstens für Weitergehendes in Zukunft in dieser Richtung berücksichtigen.

 

[Oliver C.]

Also diese Maxime befolge ich ja jetzt auch. Ich habe gesagt, dass das ein Plan für die Zukunft ist und nicht, dass ich das auf diesem Surface gemacht habe oder vorhatte.
Und soweit ich es verstanden habe, funktioniert das feature so, dass es mir zumindest ein recovery key gibt, was es nicht getan hat. In meinen Augen ist das schon ein Fehler. Ich habe keine weiteren Konten mehr.

 

[Dr. McCoy]

Ich habe gesagt, dass das ein Plan für die Zukunft ist und nicht, dass ich das auf diesem Surface gemacht habe oder vorhatte.

Du hast jedoch im Zuge dessen und Vorbereitungen dazu Veränderungen an einer bestehenden Konfiguration (hier: UEFI) vorgenommen. Damit man diese Änderungen (hier: Secureboot abschalten) nicht umsetzen muss, sollte man als Live-Systeme vorrangig solche nehmen, die selbst mit aktiviertem Secureboot gestartet werden können (z.B. auf Ubuntu-Basis), und die nicht von Drittanbietertools, die diese Securebootfähigkeit wieder aufheben, bootfähig erstellt werden.

Und soweit ich es verstanden habe, funktioniert das feature so, dass es mir zumindest ein recovery key gibt, was es nicht getan hat.

Daher meine Rückfrage, ob Du noch andere MS-Online-Accounts hast.

https://support.microsoft.com/de-de/windows/suchen-ihres-bitlocker-wiederherstellungsschlüssels-in-windows-6b71ad27-0b89-ea08-f143-056f5ab347d6

Hinweis: Wenn das Gerät eingerichtet wurde oder BitLocker von einer anderen Person aktiviert wurde, befindet sich der Wiederherstellungsschlüssel möglicherweise im Microsoft Konto dieser Person.

In jedem solcher ggf. in Frage kommender Konten einfach diesen Direktlink öffnen und nachsehen:
https://account.microsoft.com/devices/recoverykey

 

[Oliver C.]

Ja also wie oben schon erwähnt, habe ich nur noch ein anderes Konto über meine Uni, mit dem ich Office365 beziehe. Dort findet sich aber nichtmal das Gerät. Ich habe zur Sicherheit alle alten Emails ausorobiert und den Account meines Bruders, aber auf dem Surface habe ich sowieso nur meinek Account und den der Uni verwendet. Der Key ist nicht auffindbar.
Ich verzweifle daran schon seit Tagen und dieses Problem ist anscheinend nicht sehr selten. Es gibt einige Berichte, die von dem gleichen Problem berichten, ohne eine Lösung gefunden zu haben. Ich hab gehofft, aber nicht erwartet, dass jemand einen Trick auf lagert hat. BitLocker sollte ja sonst nicht einfach umgänglich sein.

Darüber hinaus ist mir auch bewusst, dass Backups wichtig sind, aber bis vor einigen Wochen haben lich Computer noch gar nicht interessiert; und auch all das nicht, was dazu gehört.

Grüße
Oliver

 

[Dr. McCoy]

Ich habe zur Sicherheit alle alten Emails ausorobiert und den Account meines Bruders, aber auf dem Surface habe ich sowieso nur meinek Account und den der Uni verwendet. Der Key ist nicht auffindbar.

OK. Diese noch möglichen "Verstecke" wollte ich Dir zum Abklopfen noch empfohlen gehabt haben. Tut mir leid, dass auch eine dieser letzten Möglichkeiten, die mir einfallen, nicht erfolgreich war.

 

[Oliver C.]

Ja, ich bin wirklich frustriert. Normalerweise sollte der key irgendwo sein, aber das ist er nicht. Ich muss sagen, dass ich nach dieser Geschichte keine große Lust mehr habe, Windows zu benutzen. Ich werde dann wohl zu Linux wechseln, auch wenn das nicht ganz einfach zu sein scheint.

Ich werde den Microsoft Support nochmals kontaktieren, ein Update deinstallieren und wenn das alles nichts mehr bringt, dann gebe ich auf.