Windows 11 verschlüsselt immer häufiger automatisch: Ohne BitLocker-Recovery-Key endet die Datenrettung

Leipzig - Die flächendeckende Geräteverschlüsselung verschiebt das Risiko bei Datenverlusten. Ein defektes Laufwerk war lange ein rein technisches Problem, heute kommt ein organisatorisches hinzu: Ohne den passenden Wiederherstellungsschlüssel endet jede noch so aufwendige Datenrettung an einer mathematischen Grenze. Im Labor von DATA REVERSE® in Leipzig gehen regelmäßig Anfragen ein, bei denen der Datenträger technisch rettbar wäre, das Schlüsselmaterial aber fehlt.

Verschlüsselung ist zum Standard geworden

Bei Neuinstallationen von Windows 11 ab Version 24H2 wird die automatische Geräteverschlüsselung auf geeigneten Geräten vorbereitet, also dort, wo ein TPM vorhanden und UEFI Secure Boot aktiviert ist. Erfasst werden das Betriebssystemlaufwerk und fest verbaute Datenlaufwerke. Aktiv geschützt wird das Laufwerk aber erst nach Anmeldung mit einem Microsoft- oder Entra-Konto; der Wiederherstellungsschlüssel landet dann automatisch im jeweiligen Konto. Bei lokalen Konten greift diese automatische Aktivierung nicht. In verwalteten Umgebungen übernehmen Active Directory oder Microsoft Entra ID die zentrale Schlüsselsicherung. Zwischen diesen beiden Welten liegt eine Lücke: Geräte mit manuell aktivierter Verschlüsselung, Rechner aus Reparaturen mit getauschter Hauptplatine und Bestandsgeräte, die vor Jahren eingerichtet wurden. Für sie existiert der Schlüssel oft an keiner dokumentierten Stelle, und der Zustand fällt erst auf, wenn Windows ihn abfragt.

Der Recovery-Key wird zum kritischen Bestandteil der IT-Vorsorge

Bei Systemlaufwerken hält das Trusted Platform Module (TPM) den Zugang bereit und prüft beim Start die Unversehrtheit der Startumgebung. Ein Firmware-Update, eine geänderte Secure-Boot-Konfiguration oder ein zurückgesetztes TPM genügen, damit das Modul den Schlüssel nicht mehr freigibt. Windows verlangt dann den 48-stelligen Wiederherstellungsschlüssel. Nach einem Hauptplatinen-Defekt ist das bisherige TPM gar nicht mehr verfügbar. Entscheidend wird dann ein außerhalb des Geräts gesicherter Wiederherstellungsmechanismus, in typischen Konfigurationen der 48-stellige Recovery-Key. Wer ihn nicht vorlegen kann, steht vor einem Laufwerk voller intakter, aber unlesbarer Daten.

Die technische Grenze ehrlich benannt

Physisch beschädigte, verschlüsselte Datenträger lassen sich im Labor bearbeiten: Elektronik- und Controllerfehler werden unter kontrollierten Laborbedingungen diagnostiziert, mechanisch beschädigte Festplatten unter Reinraumbedingungen geöffnet, von den lesbaren Bereichen entstehen sektorbasierte Arbeitskopien. Auf dem Abbild wird das Volume rekonstruiert und die BitLocker-Metadatenstruktur lokalisiert, die redundant auf dem Laufwerk abgelegt ist und bei teilweise beschädigten Datenträgern zusätzliche Ansatzpunkte für die Rekonstruktion bieten kann. Für die anschließende Entschlüsselung braucht es zwingend Schlüsselmaterial: den Wiederherstellungsschlüssel, das Kennwort oder einen gesicherten Startschlüssel. Die eingesetzte AES-Verschlüsselung lässt sich mit heutiger Technik nicht umgehen. Fehlt jedes Schlüsselmaterial, lässt sich der Zugang zu den Daten mit heutiger Technik nicht wiederherstellen. Ein seriöses Labor sagt das vor Auftragsbeginn.

Schlüsselverwaltung gehört in die Ausfallvorsorge

Unternehmen sollten den Verschlüsselungsstatus ihrer Geräte erfassen und für jedes verschlüsselte Laufwerk einen Wiederherstellungsschlüssel an zentraler, zugriffsgeschützter Stelle hinterlegen. Die Wiederherstellungsabfrage nennt eine Schlüssel-ID; ob der dokumentierte Schlüssel tatsächlich zu dieser ID gehört, lässt sich vorab prüfen und sollte nicht erst im Ernstfall getestet werden. Vor Firmware-Updates, Reparaturen und TPM-Änderungen gehört der Schlüssel bereitgelegt. Die wichtigste Absicherung bleibt davon unberührt eine getestete Datensicherung auf einem unabhängigen Medium. DATA REVERSE® ist nach ISO 9001 und ISO/IEC 27001 zertifiziert und behandelt verschlüsselte Datenträger sowie übergebenes Schlüsselmaterial nach dokumentierten Sicherheitsprozessen.

(Ende)

Aussender: DATA REVERSE® Datenrettung Ansprechpartner: Christine Schröder Tel.: [phone] E-Mail: [e-mail] Website: www.datareverse-datenrettung.de