Windows 7: BitLocker-Wiederherstellung vor dem Datenumzug prüfen
Ein Windows-7-Rechner kann heute automatisch starten und nach einem Hardwarewechsel trotzdem eine BitLocker-Wiederherstellung verlangen. Bereiten Sie den Datenumzug deshalb vor, solange das alte System noch zugänglich ist. Diese Anleitung erfasst den Zustand und die verfügbaren Wiederherstellungsmittel; sie deaktiviert BitLocker nicht und erzwingt keinen Wiederherstellungsmodus.
1. Jedes Laufwerk getrennt erfassen
Öffnen Sie in der Systemsteuerung BitLocker-Laufwerkverschlüsselung. Prüfen Sie Systemlaufwerk, weitere interne Datenträger und verwendete BitLocker-To-Go-Medien getrennt. Notieren Sie Rechner, Laufwerksbezeichnung, Buchstabe, Größe und Datum. Laufwerksbuchstaben können auf dem Zielrechner anders sein.
Eine berechtigte Person kann ergänzend eine Eingabeaufforderung als Administrator öffnen und manage-bde -status ausführen. Der Befehl zeigt Informationen zu den Laufwerken, ohne die Verschlüsselung zu ändern. Halten Sie Konvertierungsstatus, verschlüsselten Anteil, Schutzstatus und Sperrstatus auseinander: „entsperrt“ bedeutet nicht „entschlüsselt“, und ausgesetzter Schutz ist keine abgeschlossene Entschlüsselung. Bei Fehlern oder fehlender Berechtigung bleibt der Status ungeklärt.
2. Das passende Schlüsselmaterial finden
Für Windows 7 kommen je nach Einrichtung ein 48-stelliges numerisches Wiederherstellungskennwort, eine externe Schlüsseldatei auf USB oder ein zuvor eingerichteter Datenwiederherstellungs-Agent infrage. Die Oberfläche bezeichnet auch das numerische Kennwort als Wiederherstellungsschlüssel. Windows-Anmeldekennwort, normale BitLocker-PIN und Wiederherstellungskennwort sind nicht austauschbar.
Suchen Sie die vorgesehene geschützte Ablage beziehungsweise lassen Sie die zuständige IT die Zuordnung prüfen. Vergleichen Sie die Kennung des Wiederherstellungsmittels mit der zum Laufwerk gehörenden Kennung; ein Dateiname oder ein ähnlicher Rechnername reicht nicht. Ist bereits ein Wiederherstellungsbildschirm vorhanden, verwenden Sie dessen Schlüsselkennung für die Suche. Ein numerisch vollständig aussehender Ausdruck allein beweist noch nicht, dass er zum aktuellen Schutzmechanismus passt.
3. Verfügbarkeit unabhängig vom alten Laufwerk prüfen
Das einzige Exemplar darf nicht auf dem Laufwerk liegen, das damit erst entsperrt werden soll. Prüfen Sie, dass die berechtigte Person Ausdruck, geschützte Datei oder USB-Schlüssel tatsächlich erreichen und lesen kann. Speichern Sie Geheimnisse nicht in normalen Übergabeprotokollen, E-Mails oder Screenshots. Im Inventar stehen nur Kennung, Ablageverweis, zuständige Person und Prüfdatum. Bewahren Sie Schlüsselmaterial getrennt vom zugehörigen Datenträger geschützt auf.
Bei Firmenrechnern muss die IT bestätigen, ob die passende Wiederherstellungsinformation tatsächlich in Active Directory gesichert wurde. Eine Domänenmitgliedschaft genügt nicht; die Sicherung ist unter Windows 7 nicht automatisch durch diese Mitgliedschaft nachgewiesen. Ein Datenwiederherstellungs-Agent benötigt passende eingerichtete Schutzinformationen und den zugehörigen privaten Schlüssel. Er lässt sich nicht nachträglich durch bloße Benennung ersetzen.
4. Datenkopie und Wiederherstellung getrennt prüfen
Sichern Sie zugängliche Daten zusätzlich auf ein freigegebenes, angemessen geschütztes Ziel. Eine Dateikopie vom entsperrten Quelllaufwerk übernimmt dessen BitLocker-Schutz nicht automatisch. Öffnen Sie aus der Sicherung repräsentative Dateien und vergleichen Sie Inhalt und Umfang. BitLocker-Wiederherstellung ersetzt keine Datensicherung; eine Datensicherung beweist umgekehrt nicht die Gültigkeit eines Schlüssels.
Eine echte Entsperrprobe gehört in einen separat geplanten Ablauf mit verifizierter Sicherung, fachkundiger Betreuung und einem eindeutig identifizierten Testdatenträger beziehungsweise einer geeigneten Kopie. Automatisches Entsperren darf dabei nicht mit einem erfolgreichen Test des Wiederherstellungsmittels verwechselt werden. Verändern Sie für diese Vorbereitung weder TPM, BIOS noch Startkonfiguration; erzwingen Sie keinen Wiederherstellungsmodus und formatieren Sie keinen unzugänglichen Datenträger.
5. Den Freigabestand ehrlich notieren
Unterscheiden Sie „Material vorhanden und zugeordnet“ von „Entsperren mit diesem Material tatsächlich geprüft“. Solange die zweite Prüfung fehlt, bleibt sie offen. Fehlt passendes Schlüsselmaterial, verschieben Sie Ausbau oder Neuinstallation und sichern Sie zunächst noch zugängliche Daten mit der zuständigen IT. Ein Administrator kann fehlende kryptografische Schlüssel nicht durch ein neues Anmeldekennwort ersetzen.
