Interne Festplatte verschlüsseln

[plin]

Ich bin zufällig über 2 Möglichkeiten gestoßen, wie man das standardmäßig aktivierte Bitlocker in WIndows Home auch mit einem lokalen Konto "abschließen" kann, also den Recovery Key erhält:

1. Möglichkeit 1
2. Möglichkeit 2

Was sagt Ihr dazu bzw. welche Variante würdet Ihr empfehlen, und kann es dabei irgendwelche Probleme geben?

Zusätzlich eine Frage zum Thema Veracrypt: es scheint ja immer wieder Probleme bei der Verschlüsselung von internen Festplatten/Systempartitionen mit Veracrypt zu geben, bspw. bei Updates von Windows o.ä. . Bedeutet das dann nur, dass man ggf. nicht mehr an den Computer und seine Daten kommt, aber trotzdem über einen USB mit Live-ISO sich ein OS neu auf dem Computer installieren kann, oder kann es auch zu einem rict´htigen Brick kommen, dass der Computer bzw. die Festplatte dann gar nicht mehr genutzt werden kann?

 

[seyfhor]

das standardmäßig aktivierte Bitlocker in WIndows Home

Windows Home hat Bitlocker??

 

[Incanus]

Ja, im Prinzip schon, heißt dann nur Geräteverschlüsselung.

 

[bisy]

@seyfhor Windows 11 Home unterstützt BitLocker nicht direkt, aber die sogenannte Geräteverschlüsselung, die eine ähnliche Funktionalität bietet und die Daten bei Verlust oder Diebstahl schützt. Diese wird in der Regel automatisch aktiviert, wenn ein Microsoft-Konto bei der Ersteinrichtung verwendet wird.

 

[PC295]

oder kann es auch zu einem rict´htigen Brick kommen, dass der Computer bzw. die Festplatte dann gar nicht mehr genutzt werden kann?

Nein. Jeder Datenträger kann ganz normal formatiert werden, egal welche Verschlüsselung drauf ist.

 

[KillerCow]

Windows 11 Home unterstützt BitLocker nicht direkt, aber die sogenannte Geräteverschlüsselung

Kommt man bei Home denn an den Wiederherstellungsschlüssel dran (ohne sich ins MS-Konto einloggen zu müssen)? Falls nicht -> Finger weg!

 

[Incanus]

Warum? Man kann sich den Schlüssel doch lokal sichern.

 

[chrigu]

und kann es dabei irgendwelche Probleme geben?

natürlich kann es probleme mit der internen hdd geben, beim verschlüsseln wird die hdd um ca. 20-30% mehr ausgelastet und somit auch schneller defekt. oder du vermurkst windows absichtlich oder unabsichtlich und die verschlüsselten daten sind im eimer. der mythos das eine verschlüsselte hdd nur mit verschlüsselung weiter benutzt werden kann ist komplett falsch. einfach formatieren und und die verschlüsselung ist weg.

 

[plin]

@KillerCow @Incanus nein, eben nicht. Wenn man ein lokales Konto nutzt, wird der Computer zwar in eine Art Verschlüsselungszustand versetzt, ist es aber nicht. Erst wenn man dann ein MS-Konto verwendet, kann die richtige Vershlüsselung abgeschlossen werden und man erhält den Recovery Key Ich möchte aber kein MS-Konto verwenden. Daher bin ich auf die beiden oben verlinkten Anleitungen gestoßen.

 

[PC295]

Bei der Home ist es so, dass die Verschlüsselung erst abgeschlossen und aktiviert wird, wenn man sich im MS-Konto anmeldet.

Da die Home-Version keine Bitlocker-Verwaltung hat, bleibt dir nur der Weg über PowerShell oder CMD.
Dort kannst du Bitlocker aktivieren und dir auch den Wiederherstellungsschlüssel anzeigen lassen und speichern.

 

[bisy]

Falls nicht -> Finger weg!

Du kannst dir doch im Microsoft Konto den Recovery Key anzeigen lassen und ausdrucken oder kopieren und wo anders speichern zur Sicherung

 

[plin]

@PC295 ja, meine Frage war ja, welche der von mir verlinkten Methoden Ihr empfehlt (2. Variante scheint ja etwas einfacher), und ob es zu Problemen kommen kann.

@bisy es geht doch gerade darum, das ganze ohne MS-Konto zu machen. Und da hat man standradmäßig keine Option, sich den Recovery Key anzeigen zu lassen, weil das System noch nicht vollständig verschlüsselt ist und die Verschlüsselung erst bei Verwendung eines MS-Kontos vollständig durchgefürht und abgeschlossen werden kann.

 

[bisy]

es geht doch gerade darum, das ganze ohne MS-Konto zu machen. Und da hat man standradmäßig keine Option, sich den Recovery Key anzeigen zu lassen

es ging ja in dem Kommentar auch nicht um dich, sondern ich hab auf den Kommentar von @KillerCow geantwortet

Und da hat man standradmäßig keine Option, sich den Recovery Key anzeigen zu lassen, weil das System noch nicht vollständig verschlüsselt

ja und weil das System ja noch nicht Verschlüsselt ist, braucht es auch kein Recovery Key. Der Key wird ja erst dann generiert, wenn wirklich Verschlüsselt wird.

Und bei nem lokalen Konto kann man sich den Recovery Key auch anzeigen lassen, wenn man Bitlocker einrichtet. Bzw man wird sogar da aufgefordert den zu Speichern oder auszudrucken

 

[PC295]

ja, meine Frage war ja, welche der von mir verlinkten Methoden Ihr empfehlt

Prüfe erstmal den Status.
Wenn TPM aktiv ist und die Verschlüsselung bereits vorbereitet wurde, brauchst du nur zwei Befehle eingeben.

TPM prüfst du mit dem Ausführen-Befehl "tpm.msc"
Dort sollte stehen, dass das TPM einsatzbereit ist.

Wenn das passt, starte CMD mit Administratorrechten und gib ein:

manage-bde c: -protectors -add -rp -tpm

Dadurch wird TPM für die automatische Entsperrung des Systemlaufwerks hinzugefügt.
Hier wird dir dann der Recovery-Key (48-stellig, in 6er-Blöcken) angezeigt. Notiere/Speichere ihn.

Mit folgendem Befehl kannst du dann Bitlocker scharf schalten:

manage-bde -on c:

 

[TorenAltair]

Was versprichst Du Dir von der Verschlüsselung?

 

[KillerCow]

Du kannst dir doch im Microsoft Konto den Recovery Key anzeigen lassen und ausdrucken

Wenn das geht, alles gut 👍Anscheinend klappt es im Zweifel ja auch via Kommandozeile/Powershell.
Ich war der Auffassung, man kommt bei Home nicht an den Recoverykey dran und ist auf Gedeih und Verderb auf das MS-Konto angewiesen.

 

[plin]

@PC295 danke, das ist ja praktisch wie im zweiten Link. Nur, dass er erst

manage-bde -on c: -used

und dann

manage-bde c: -protectors -add -rp -tpm
manage-bde -protectors -enable c:

eingibt. Gibt es da einen Unterschied?
Und ein Passwort erhält man bei der Geräteverschlüsselung - im Gegensatz zu Bitlocker - nicht? Denn der Recovery Key ist bei Bitlocker ja nur zusätzlich zum Passwort.

@TorenAltair Datensicherheit bei Abhandenkommen oder Entsorgung des Computers?

 

[PC295]

Gibt es da einen Unterschied?

Nein, das ist nur eine andere Reihenfolge.

Und ein Passwort erhält man bei der Geräteverschlüsselung - im Gegensatz zu Bitlocker - nicht? Denn der Recovery Key ist bei Bitlocker ja nur zusätzlich zum Passwort.

In der Pro-Version kann man eine PIN festlegen, die beim Hochfahren abgefragt wird.
Die PIN-Abrage wird vorher in den Gruppenrichtlinien konfiguriert, was jedoch in der Home-Version nicht verfügbar ist.
Der PowerShell-Befehl zum Hinzufügen des Start-PINs würde also jetzt zu einer Fehlermeldung führen.

Du kannst es mit folgenden Befehl probieren:

Add-BitLockerKeyProtector -MountPoint "C:" -TpmAndPinProtector

Du wirst dann zur Eingabe einer PIN aufgefordert.
Standardmäßig sind Zahlen (Länge 6 - 20 Zeichen) zulässig.

 

[plin]

Danke. Wenn ich also "nur" Deine Befehle verwende, würde keine PIN beim Start abgefragt werden, wenn ich dann noch

Add-BitLockerKeyProtector -MountPoint "C:" -TpmAndPinProtector

hinzufüge, wird die PIN nach Anschalten des Computers abgefragt?

 

[PC295]

So ist es.
Wenn du den letzten Befehl eingibst, fragt er dich nach einem PIN, die Eingabe bestätigst du dann nochmal, um Tippfehler zu vermeiden, dann kommt so eine Bestätigung:

Bein nächsten Start kommt dann die PIN-Abfrage: