Anleitung zu BitLocker unter Windows Server 2016 und 2019
Windows Server 2016 BitLocker kann Server-Volumes schützen, doch eine fehlende Funktion oder ein unerwarteter Wiederherstellungsbildschirm kann den Vorgang unterbrechen. Das Gleiche gilt für Windows Server 2019 BitLocker. In dieser Anleitung werden die Installation, die Verschlüsselung, die Sicherung von Schlüsseln und die Wiederherstellung erläutert. Informationen zu ähnlichen Wiederherstellungsszenarien finden Sie in unserem Anleitung zur BitLocker-Wiederherstellung. Falls ein gespeicherter Schlüssel verloren gegangen ist, Magic Recovery Key kann dabei helfen, zugängliche Speicherorte nach wiederherstellbaren Schlüsselinformationen zu durchsuchen.
Bevor Sie beginnen, sollten Sie Ihre Situation klären: Möchten Sie einen zugänglichen Server schützen oder versuchen Sie, einen gesperrten Server zu entsperren? Für einen gesperrten Server ist eine vorhandene Entsperrmethode erforderlich. Durch eine erneute Installation von BitLocker wird kein Ersatzschlüssel für das verschlüsselte Laufwerk erstellt.
Inhaltsübersicht
Unterstützt Windows Server 2016 BitLocker?
Ja. Windows Server 2016 BitLocker unterstützt die Volume-Verschlüsselung, ebenso wie Windows Server 2019. Allerdings wird die BitLocker-Funktion in keiner der beiden Versionen standardmäßig installiert. Sie müssen sie hinzufügen, bevor Sie die Verschlüsselung konfigurieren können. Microsoft beschreibt für beide Versionen denselben Installationsprozess für diese Funktion.
BitLocker schützt gespeicherte Daten. So verhindert es beispielsweise, dass jemand ein aus einem Server ausgebautes Laufwerk auf einem anderen Computer ausliest. Es ersetzt jedoch keine Datensicherungen und hindert autorisierte Benutzer nicht daran, auf zugängliche Dateien zuzugreifen oder diese zu löschen.
Bei den meisten kleinen Installationen betreffen die wesentlichen Unterschiede die Konfiguration des Servers:
Details zur Bereitstellung | Windows Server 2016 | Windows Server 2019 |
BitLocker-Funktion | Vor der Konfiguration installieren | Vor der Konfiguration installieren |
Desktop-Erlebnis | Server-Manager und grafische Tools verfügbar | Server-Manager und grafische Tools verfügbar |
Server Core | Verwaltung über die Befehlszeile nutzen | Verwaltung über die Befehlszeile nutzen |
Notfallplanung | Sichern Sie die Wiederherstellungsdaten jedes Volumes | Sichern Sie die Wiederherstellungsdaten jedes Volumes |
A Server 2016 BitLocker Die Bereitstellung erfordert daher dieselbe grundlegende Planung wie eine Bereitstellung im Jahr 2019: eine Entsperrmethode, einen unabhängigen Wiederherstellungsweg und einen kontrollierten Neustart.
Bevor Sie BitLocker auf einem Server aktivieren
Ein Dateiserver kann die Verschlüsselung zwar erfolgreich abschließen, beim nächsten Neustart jedoch dennoch Probleme verursachen. So kann es beispielsweise vorkommen, dass ein Administrator das Laufwerk C: schützt, dabei jedoch vergisst, dass Anwendungen zudem ein separat verschlüsseltes Laufwerk D: benötigen.
Für Server 2019 BitLocker Bei älteren Installationen sollten Sie zunächst folgende Dinge vorbereiten:
- Eine verifizierte Sicherung: Vergewissern Sie sich, dass Sie wichtige Daten und die Serverkonfiguration wiederherstellen können.
- Ein Wartungsfenster: Die Installation der Funktion erfordert einen Neustart. Koordinieren Sie die Ausfallzeit des Dienstes.
- Zugriff auf die Konsole: Richten Sie den Zugriff auf die Verwaltungskonsole vor Ort oder per Fernzugriff ein. RDP bietet auf dem Bildschirm zur Wiederherstellung vor dem Systemstart keine Hilfe.
- Ein Speicherort für die Wiederherstellung: Verwenden Sie die von Ihrer Organisation genehmigte Verzeichnissicherung oder einen sicheren, vom Server unabhängigen Speicherort.
- Eine Bestandsaufnahme: Erfassen Sie Laufwerksbuchstaben, Datenträgerbezeichnungen und welche Anwendungen von den einzelnen Datenträgern abhängig sind.
TPM und Systemstartanforderungen verstehen
Ein Trusted Platform Module (TPM) trägt zum Schutz des Verschlüsselungsschlüssels des Betriebssystems bei und überprüft die Startumgebung. Ein TPM ist nicht für jeden BitLocker-Anwendungsfall zwingend erforderlich: Ein Datenvolume kann auch andere Schutzmechanismen nutzen.
Für die Betriebssystemverschlüsselung ohne kompatibles TPM unterstützt Windows einen USB-Startschlüssel, sofern die Richtlinien und die Firmware dies zulassen. Dies erfordert eine entsprechende Planung für jeden Neustart. Außerdem erfordert TPM 2.0 den UEFI-Modus anstelle des Legacy- oder CSM-Modus.
Für Windows Server 2016 BitLocker Wenn Sie eine virtuelle Maschine verwenden, überprüfen Sie die vom Hypervisor unterstützte Konfiguration für virtuelle TPMs, bevor Sie sich für eine TPM-basierte Einrichtung entscheiden. Gehen Sie nicht davon aus, dass der Gast automatisch Zugriff auf das physische TPM des Hosts erhält.
Bewahren Sie diese drei Zugangsdaten getrennt auf
Zugangsdaten | Zweck |
Windows Server-Produktschlüssel | Aktiviert Windows; entsperrt keine verschlüsselten Volumes |
BitLocker-Start-PIN oder Laufwerkskennwort | Stellt eine konfigurierte Standardmethode zum Entsperren bereit |
BitLocker-Wiederherstellungskennwort | Stellt die 48-stellige Wiederherstellungs-ID bereit, wenn die normale Entsperrung fehlschlägt |
Das 48-stellige Wiederherstellungskennwort wird oft als “Wiederherstellungsschlüssel” bezeichnet. Microsoft verwendet den Begriff “Wiederherstellungsschlüssel” auch für eine externe Schlüsseldatei. Geben Sie die Anmeldedaten entsprechend der Aufforderung zur Wiederherstellung ein.
So installieren Sie BitLocker unter Windows Server 2016
Die folgenden Installationsmethoden gelten auch für Windows Server 2019 BitLocker. Durch die Installation wird die Funktion hinzugefügt; Ihre Datenträger werden dadurch jedoch nicht automatisch verschlüsselt.
Option 1: Server-Manager verwenden
Auf einem Server mit Desktop Experience:
1. Öffnen Sie Server-Manager.
2. Wählen Sie . Verwalten → Rollen und Funktionen hinzufügen.
3. Wählen Sie . Rollenbasierte oder funktionsbasierte Installation.
4. Wählen Sie den richtigen Zielserver aus.
5. Weitergehen Serverrollen zu Eigenschaften.
6. Auswählen BitLocker-Laufwerkverschlüsselung und die erforderlichen Ergänzungen akzeptieren.
7. Überprüfen Sie die Auswahl, führen Sie die Installation durch und starten Sie das System während Ihres Wartungsfensters neu.
Aktivieren Sie den automatischen Neustart nur, wenn Sie den Ausfall bereits geplant haben.
Option 2: PowerShell verwenden
Öffnen Sie Windows PowerShell als Administrator. Überprüfen Sie zunächst die Funktion:
Get-WindowsFeature -Name BitLocker
Installieren Sie es anschließend zusammen mit den zugehörigen Verwaltungstools:
- Install-WindowsFeature -Name BitLocker -IncludeManagementTools
Starten Sie den Computer zum geplanten Zeitpunkt neu, um die Installation abzuschließen. Microsoft bietet außerdem Installationsoptionen für alle Unterfunktionen an; fügen Sie diese nur hinzu, wenn sie für Ihre Bereitstellung erforderlich sind.
Überprüfen Sie nach dem Neustart, ob die BitLocker-Befehle verfügbar sind:
Get-Command Get-BitLockerVolume
Falls der Befehl nicht verfügbar ist, überprüfen Sie das Installationsergebnis und den ausstehenden Neustart, bevor Sie fortfahren.
So aktivieren Sie BitLocker unter Windows Server 2019
Der grundlegende Arbeitsablauf gilt auch für Server 2016 BitLocker. Beginnen Sie mit einem Server und einem Volume, damit Sie den Wiederherstellungsprozess überprüfen können, bevor Sie die Bereitstellung ausweiten.
Das Betriebssystemlaufwerk verschlüsseln
So führen Sie eine einfache Installation von „Desktop Experience“ durch:
- Öffnen Sie Systemsteuerung → System und Sicherheit → BitLocker Drive Encryption.
- Suchen Sie das Betriebssystem-Laufwerk, in der Regel C:.
- Wählen Sie BitLocker einschalten.
- Befolgen Sie die Anweisungen des Assistenten, um eine verfügbare Startmethode zu konfigurieren.
- Sichern Sie die Wiederherstellungsdaten außerhalb dieses Servers.
- Wählen Sie den Verschlüsselungsumfang und den Verschlüsselungsmodus entsprechend Ihrer Richtlinie aus.
- Lassen Sie die Systemprüfung aktiviert und starten Sie den Computer neu, wenn Sie dazu aufgefordert werden.
Bei einem Server, auf dem bereits Daten gespeichert sind, umfasst die vollständige Volume-Verschlüsselung auch den freien Speicherplatz, der möglicherweise Reste zuvor gelöschter Dateien enthält. Die Verschlüsselung nur des belegten Speicherplatzes eignet sich für ein neues Volume, auf dem noch nie sensible, unverschlüsselte Daten gespeichert wurden.
Für Windows Server 2019 BitLocker, wählen Sie den Verschlüsselungsalgorithmus entsprechend den Richtlinien Ihres Unternehmens und den Anforderungen an die Portabilität aus. Gehen Sie nicht davon aus, dass die größte Schlüssellänge die einzige wichtige Entscheidung bei der Bereitstellung ist.
PowerShell unter Server Core verwenden
Bei einem neuen, unverschlüsselten C:-Laufwerk mit einem betriebsbereiten TPM kann ein Administrator zunächst einen Schutz durch ein Wiederherstellungskennwort einrichten:
- Add-BitLockerKeyProtector -MountPoint “C:” -RecoveryPasswordProtector
Rufen Sie die Details dieses Schutzobjekts in einer privaten Verwaltungssitzung ab:
- (Get-BitLockerVolume -MountPoint “C:”).KeyProtector |
- Where-Object KeyProtectorType -eq “RecoveryPassword” |
- Format-Liste KeyProtectorId, Wiederherstellungskennwort
Notieren Sie das Wiederherstellungskennwort an einem von Ihnen als sicher eingestuften Ort. Diese Ausgabe enthält ein Geheimnis; halten Sie es aus gemeinsam genutzten Protokollen und Screenshots fern. Das Hinzufügen eines Schutzes allein löst die Verschlüsselung nicht aus.
Aktivieren Sie nach der Überprüfung der Sicherung den TPM-basierten Schutz:
- Enable-BitLocker -MountPoint “C:” -TpmProtector -EncryptionMethod XtsAes128
In diesem Beispiel wird eine vollständige Volume-Verschlüsselung verwendet, wobei die normale Hardwareprüfung beibehalten wird. Vorhandene Schutzmaßnahmen, Domänenrichtlinien oder andere Startanforderungen erfordern möglicherweise einen anderen Befehl. Microsoft empfiehlt, vor der Aktivierung der Verschlüsselung des Betriebssystemlaufwerks eine Wiederherstellungsoption einzurichten.
Datenvolumes separat schützen
Gehen Sie nicht davon aus, dass die Verschlüsselung von C: auch D: schützt. Wählen Sie im grafischen Assistenten jedes gewünschte Datenlaufwerk aus, konfigurieren Sie die jeweilige Entsperrmethode und speichern Sie die zugehörigen Wiederherstellungsdaten.
Eine praktische Server 2019 BitLocker Ein Beispiel hierfür ist ein Dateiserver mit einem verschlüsselten Betriebssystem-Volume und einem separaten Dokumenten-Volume. Vergewissern Sie sich, dass beide nach dem Neustart entsperrt sind, bevor Sie den Server wieder an die Benutzer übergeben.
Die automatische Entsperrung kann den manuellen Aufwand bei festen Datenvolumes verringern, setzt jedoch ein geschütztes Betriebssystemvolume voraus. Bewahren Sie für jedes Datenvolume eine eigenständige Wiederherstellungskopie auf, auch wenn Sie die automatische Entsperrung aktivieren.
Sichern von Wiederherstellungsinformationen in Active Directory
Für domänenverwaltete Windows Server 2016 BitLocker In solchen Installationen können Active Directory-Domänendienste (AD DS) als zentraler Wiederherstellungsort dienen.
Öffnen Sie in der Gruppenrichtlinie:
Computerkonfiguration → Administrative Vorlagen → Windows-Komponenten → BitLocker-Laufwerksverschlüsselung
Überprüfen Sie die Wiederherstellungseinstellungen unter Betriebssystemlaufwerke und Festplatten. Konfigurieren Sie die Sicherung von AD DS und verlangen Sie gegebenenfalls, dass die Wiederherstellungsinformationen erfolgreich gespeichert wurden, bevor die Verschlüsselung beginnen kann. Die Domänenmitgliedschaft allein reicht nicht aus, um diese Sicherheitsmaßnahme zu gewährleisten.
Verwenden Sie bei einem bereits vorhandenen Passwortschutz für die Wiederherstellung dessen tatsächliche ID:
- Backup-BitLockerKeyProtector -MountPoint “C:” -KeyProtectorId “{RECOVERY-PROTECTOR-GUID}”
Ersetzen Sie den Platzhalter einschließlich seines Inhalts durch die GUID des Wiederherstellungsschutzes. Dieser Befehl bezieht sich auf AD DS; es wird keine lokale Sicherung in Form einer Textdatei erstellt. Vergewissern Sie sich, dass ein berechtigter Administrator den resultierenden Wiederherstellungsdatensatz abrufen kann.
Für Server 2016 BitLocker Verwenden Sie auf einem eigenständigen Server stattdessen einen sicheren externen Wiederherstellungsspeicher. Ein Schlüssel, der ausschließlich auf dem verschlüsselten Server gespeichert ist, könnte genau im ungünstigsten Moment nicht mehr zugänglich sein.
Verschlüsselungs- und Schutzstatus prüfen
Überprüfen Sie nach der Einrichtung alle Datenträger:
- manage-bde -status
Überprüfen Sie den Konvertierungsstatus, den Verschlüsselungsgrad, den Schutzstatus und den Sperrstatus. “Vollständig verschlüsselt” bezeichnet den Konvertierungsstatus; vergewissern Sie sich außerdem, dass der Schutz aktiviert ist.
Führen Sie bei beiden Serverversionen einen kontrollierten Neustart durch und überprüfen Sie Folgendes:
- Windows wird über die erwartete Entsperrmethode gestartet.
- Die benötigten Datenmengen stehen zur Verfügung.
- Dateifreigaben und abhängige Anwendungen funktionieren.
- Ein anderer berechtigter Administrator kann die Wiederherstellungssicherung ausfindig machen.
Durch diese Überprüfungen wird eine abgeschlossene Verschlüsselungsaufgabe zu einem nutzbaren Wiederherstellungsplan.
Behebung häufiger BitLocker-Probleme unter Server 2016/2019
Problem | Was Sie zuerst überprüfen sollten |
Die BitLocker-Option fehlt | Funktionsinstallation, Administratorrechte und anstehender Neustart |
“Fehler ”Kompatibles TPM“ | TPM-Bereitschaft, Firmware-Konfiguration und Startrichtlinie |
Die Verschlüsselung lässt sich nicht starten | Erforderliche Wiederherstellungssicherung, geltende Richtlinie und die genaue Fehlermeldung |
Nach der Wartung wird der Wiederherstellungsbildschirm angezeigt | Änderungen am Boot-System oder an der Firmware sowie die entsprechenden Wiederherstellungsdaten |
Das Datenvolumen bleibt nach dem Neustart gesperrt | Die eigene Entsperrmethode und etwaige Einstellungen zur automatischen Entsperrung |
Für Server 2016 BitLocker Wiederherstellungsaufforderungen: Überprüfen Sie die letzten Änderungen, bevor Sie weitere Einstellungen ändern. Das Löschen des TPM ist kein Ersatz für die Suche nach gültigen Wiederherstellungsdaten.
Einige Firmware-Änderungen erfordern eine geplante Aussetzung. Bei einer Aussetzung bleiben die Daten verschlüsselt, der Schutz wird jedoch vorübergehend geändert; durch das Deaktivieren von BitLocker wird das Volume entschlüsselt. Befolgen Sie die Update-Anweisungen des Hardwareherstellers und vergewissern Sie sich anschließend, dass der Schutz wieder aktiv ist.
A Windows Server 2019 BitLocker Das Problem nach dem Neustart betrifft möglicherweise nur ein Datenvolume. Überprüfen Sie das betroffene Volume, bevor Sie die Verschlüsselungskonfiguration des gesamten Servers ändern.
Einen verlorenen Schlüssel mit Magic Recovery Key finden
Beginnen Sie mit den offiziellen Wiederherstellungsdaten Ihrer Organisation: AD DS, ein zugelassener Speicherort für Anmeldeinformationen, gespeicherte Wiederherstellungsdateien, USB-Sicherungen oder ausgedruckte Unterlagen. Ordnen Sie die Wiederherstellungsschlüssel-ID dem betroffenen Laufwerk zu. Ein persönliches Microsoft-Konto ist nicht das Standardziel für die Wiederherstellung eines domänenverwalteten Servers.
Sollten diese Prüfungen fehlschlagen, Magic Recovery Key bietet eine weitere Suchmöglichkeit. Es kann an zugänglichen, unterstützten Speicherorten nach zuvor gespeicherten BitLocker-Wiederherstellungsdaten suchen. Amagicsoft dokumentiert außerdem das Abrufen von Software-Lizenzschlüsseln, gespeicherten Browser-Anmeldedaten und WLAN-Passwörtern. Die Verfügbarkeit hängt davon ab, welche Daten auf dem Quellsystem noch gespeichert sind.
Unterstützt Windows 7/8/10/11 und Windows Server
Für Windows Server 2016 BitLocker Bei der Wiederherstellung liegt der Schwerpunkt auf der gezielten Identifizierung von Schlüsseldaten. Ein allgemeiner Scan zur Dateiwiederherstellung liefert möglicherweise Dokumente, ohne dass dabei verwertbare Wiederherstellungsdaten identifiziert werden. Es gibt jedoch keine belegte Grundlage für die Behauptung, dass die Erfolgsquote bei der Wiederherstellung höher sei als bei den Verzeichniseinträgen von Microsoft.
Stellen Sie sich einen Administrator vor, der einen Server und ein zugängliches altes Wartungslaufwerk übernimmt. Falls dieses Laufwerk einen wiederherstellbaren gespeicherten Schlüssel enthält, kann eine gezielte Suche dabei helfen, diesen zu finden. Dies ist ein Beispielszenario und kein dokumentierter Produkttest.
So suchen Sie nach gespeicherten BitLocker-Schlüsseln
1. Laden Sie Magic Recovery Key von der offiziellen Produktseite herunter.
2. Installieren Sie das Programm und starten Sie es auf einem zugänglichen, unterstützten Windows-System.
3. Wählen Sie . BitLocker-Wiederherstellungsschlüssel.
4. Klicken Sie auf . Suche und die Ergebnisse überprüfen.
5. Ordnen Sie die wiederhergestellten Anmeldedaten der erforderlichen Wiederherstellungsschlüssel-ID zu.
6. Bewahren Sie den passenden Schlüssel vor der Verwendung sicher auf.
Folgen Sie der Magic Recovery Key-Bedienungsanleitung für Details zur Schnittstelle.
Das Tool kann nicht innerhalb eines gesperrten Vorstartbildschirms ausgeführt werden und die BitLocker-Verschlüsselung nicht umgehen. Ein wiederherstellbarer Schlüssel muss an einem Ort vorhanden sein, auf den das Tool zugreifen kann. Eine Kopie, die ausschließlich auf dem gesperrten Datenträger gespeichert ist, kann keinen unabhängigen Wiederherstellungsweg bieten.
Für Server 2019 BitLocker Datenmengen: Windows kann ein Laufwerk mit einem gültigen 48-stelligen Wiederherstellungskennwort entsperren:
- manage-bde -unlock D: -RecoveryPassword IHR-48-STELLIGES-WIEDERHERSTELLUNGSPASSWORT
Ersetzen Sie den Platzhalter durch das vollständige Passwort, einschließlich der Bindestriche. Überprüfen Sie zunächst den Laufwerksbuchstaben, insbesondere in einer Wiederherstellungsumgebung. Durch das Entsperren wird der Zugriff freigegeben; das gesamte Volume wird dabei nicht entschlüsselt.
Fazit: Serververschlüsselung wiederherstellbar machen
Ein zuverlässiger Windows Server 2016 BitLocker Die Einrichtung umfasst mehr als nur die Verschlüsselung. Sichern Sie die Wiederherstellungsdaten, überprüfen Sie den Schutzstatus und testen Sie den Neustartpfad. Wenden Sie dieselbe Sorgfalt auch auf Windows Server 2019 BitLocker, einschließlich jedes einzelnen Datenvolumens.
Wir empfehlen Magic Recovery Key wenn Sie eine gezielte Möglichkeit benötigen, den zugänglichen Speicher nach einem zuvor gespeicherten Wiederherstellungsschlüssel zu durchsuchen. Es ergänzt Verzeichnissicherungen und manuelle Suchen und behält dabei seine klare Funktion bei: das Auffinden vorhandener Anmeldedaten. Bei anderen Sperrsituationen fahren Sie bitte mit unserem Anleitung zur BitLocker-Wiederherstellung.
Unterstützt Windows 7/8/10/11 und Windows Server
FAQs
Ist BitLocker in Windows Server 2016 enthalten?
Wie aktiviere ich BitLocker unter Windows Server 2019?
Funktioniert BitLocker unter Server 2016 auch ohne TPM?
Wo sollte ich den Wiederherstellungsschlüssel eines Servers aufbewahren?
Wird BitLocker meinen Server verlangsamen?
Kann ein Windows Server-Produktschlüssel BitLocker entsperren?
Kann Magic Recovery Key jeden fehlenden BitLocker-Schlüssel wiederherstellen?
Wird die Verschlüsselung durch das Entsperren von BitLocker deaktiviert?
