So aktivieren Sie eine Pre-Boot-BitLocker-PIN unter Windows

Wenn Sie Ihr Windows-Systemlaufwerk mit BitLocker verschlüsseln, können Sie für zusätzliche Sicherheit eine PIN hinzufügen. Sie müssen die PIN jedes Mal eingeben, wenn Sie Ihren PC einschalten, bevor Windows überhaupt gestartet wird. Dies ist unabhängig von einer Login-PIN, die Sie nach dem Hochfahren von Windows eingeben.

Eine Pre-Boot-PIN verhindert, dass der Verschlüsselungsschlüssel während des Bootvorgangs automatisch in den Systemspeicher geladen wird, was vor direkten Speicherzugriffsangriffen (DMA) auf Systeme mit anfälliger Hardware schützt. Dokumentation von Microsoft erklärt dies näher.

Schritt 1: Aktivieren von BitLocker (falls noch nicht geschehen)

Dies ist eine BitLocker-Funktion, daher müssen Sie die BitLocker-Verschlüsselung verwenden, um eine Pre-Boot-PIN festzulegen. Dies ist nur für die Professional- und Enterprise-Editionen von Windows verfügbar. Bevor Sie eine PIN festlegen können, müssen Sie BitLocker für Ihr Systemlaufwerk aktivieren.

Beachten Sie, dass Sie beim Aktivieren von BitLocker auf einem Computer ohne TPM aufgefordert werden, ein Startkennwort zu erstellen, das anstelle des TPM verwendet wird. Die folgenden Schritte sind nur erforderlich, wenn BitLocker auf Computern mit TPMs aktiviert wird, über die die meisten modernen Computer verfügen.

Wenn Sie eine Home-Version von Windows haben, können Sie BitLocker nicht verwenden. Möglicherweise verfügen Sie stattdessen über die Geräteverschlüsselungsfunktion, die jedoch anders als BitLocker funktioniert und Ihnen nicht die Bereitstellung eines Startschlüssels ermöglicht.

Schritt 2: Aktivieren Sie die Start-PIN im Gruppenrichtlinien-Editor

Nachdem Sie BitLocker aktiviert haben, müssen Sie alles daran setzen, eine PIN damit zu aktivieren. Dies erfordert eine Änderung der Gruppenrichtlinieneinstellungen. Um den Gruppenrichtlinien-Editor zu öffnen, drücken Sie Windows+R, geben Sie „gpedit.msc“ in das Dialogfeld „Ausführen“ ein und drücken Sie die Eingabetaste.

Gehen Sie im Gruppenrichtlinienfenster zu Computerkonfiguration> Administrative Vorlagen> Windows-Komponenten> BitLocker-Laufwerkverschlüsselung> Betriebssystemlaufwerke.

Doppelklicken Sie im rechten Bereich auf die Option „Zusätzliche Authentifizierung beim Start erforderlich“.

Wählen Sie hier oben im Fenster „Aktiviert“. Klicken Sie dann auf das Kontrollkästchen unter «TPM-Start-PIN konfigurieren» und wählen Sie die Option «Start-PIN mit TPM erforderlich». Klicken Sie auf „OK“, um Ihre Änderungen zu speichern.

Schritt 3: Fügen Sie Ihrem Laufwerk eine PIN hinzu

Sie können jetzt die manage-bde Befehl, um die PIN zu Ihrem mit BitLocker verschlüsselten Laufwerk hinzuzufügen.

Starten Sie dazu ein Eingabeaufforderungsfenster als Administrator. Klicken Sie unter Windows 10 oder 8 mit der rechten Maustaste auf die Schaltfläche Start und wählen Sie «Eingabeaufforderung (Admin)». Suchen Sie unter Windows 7 die Verknüpfung „Eingabeaufforderung“ im Startmenü, klicken Sie mit der rechten Maustaste darauf und wählen Sie „Als Administrator ausführen“.

Führen Sie den folgenden Befehl aus. Der folgende Befehl funktioniert auf Ihrem Laufwerk C:. Wenn Sie also einen Systemstartschlüssel für ein anderes Laufwerk benötigen, geben Sie seinen Laufwerksbuchstaben anstelle von ein c: .

manage-bde -protectors -add c: -TPMAndPIN

Hier werden Sie aufgefordert, Ihre PIN einzugeben. Beim nächsten Booten werden Sie nach dieser PIN gefragt.

Um zu überprüfen, ob der TPMAndPIN-Schutz hinzugefügt wurde, können Sie den folgenden Befehl ausführen:

manage-bde -status

(Der hier angezeigte Schlüsselschutz „Numerical Password“ ist Ihr Wiederherstellungsschlüssel.)

So ändern Sie Ihre BitLocker-PIN

Um die PIN in Zukunft zu ändern, öffnen Sie als Administrator ein Eingabeaufforderungsfenster und führen Sie den folgenden Befehl aus:

manage-bde -changepin c:

Sie müssen Ihre neue PIN eingeben und bestätigen, bevor Sie fortfahren.

So entfernen Sie die PIN-Anforderung

Wenn Sie Ihre Meinung ändern und die PIN später nicht mehr verwenden möchten, können Sie diese Änderung rückgängig machen.

Zuerst müssen Sie zum Gruppenrichtlinienfenster gehen und die Option wieder auf «Start-PIN mit TPM zulassen» ändern. Sie können die Option nicht auf «Start-PIN mit TPM erfordern» gesetzt lassen, oder Windows erlaubt Ihnen nicht, die PIN zu entfernen.

Öffnen Sie als Nächstes ein Eingabeaufforderungsfenster als Administrator und führen Sie den folgenden Befehl aus:

manage-bde -protectors -add c: -TPM

Dadurch wird die Anforderung „TPMandPIN“ durch eine Anforderung „TPM“ ersetzt, wodurch die PIN gelöscht wird. Ihr BitLocker-Laufwerk wird beim Booten automatisch über das TPM Ihres Computers entsperrt.

Um zu überprüfen, ob dies erfolgreich abgeschlossen wurde, führen Sie den Statusbefehl erneut aus:

manage-bde -status c:

Wenn Sie die PIN vergessen, müssen Sie den BitLocker-Wiederherstellungscode angeben, den Sie an einem sicheren Ort gespeichert haben sollten, als Sie BitLocker für Ihr Systemlaufwerk aktiviert haben.