WIN10 pro Bitlocker mit zusätzlicher PIN-Abrage

4nn4 · 7. Dezember 2017

Hallo,

ich habe gerade gem. dieser Anleitung

https://www.tecchannel.de/a/zusaetz...tlocker-beim-windows-start-einrichten,3277851

versucht, beim Systemstart meines TP X220 einen PW-Abfrage zu veranlassen.

Bei Punkt 3 "Ändern, wie das Laufwerk beim Start entsperrt wird. " komme ich nicht weiter, da folgende Meldung kommt
"Die Gruppenrichtlinieneinstellung für Bitlocker-Startoptionen stehen in Konflikt und können nicht angewendet werden. Weitere Info erhalten Sie von Systemadmin."

Wie komme ich hier weiter, sodass ich ein PW definieren kann?

Danke für Tipps!

Sun_set_1 · 7. Dezember 2017

Du kannst TPM im Bios deaktiveren. Danach muss ganz normal das gesetzte Bitlocker PW eingegeben werden.

TPM deaktivieren, Boot auf Legacy.

4nn4 · 7. Dezember 2017

Sun_set_1 schrieb:
Du kannst TPM im Bios deaktiveren. Danach muss ganz normal das gesetzte Bitlocker PW eingegeben werden.

TPM deaktivieren, Boot auf Legacy.

Also dass ich das richtig verstehe:

Ich SOLL jetzt TPM im BIOS deaktivieren, dann sollte bzgl. o. g. Schritt 3 (DEFINITION eines PW) der "Konflikt" beseitigt sein?

Darkblade08 · 7. Dezember 2017

Schau in die Bitlocker Richtlinie. Dort kannst du das Verhalten, wie entschlüsselt wird konfigueren. Inkl. den TPM Einstellungen. Mach mal bitte ein Screenshot von der Richtlinie.

4nn4 · 7. Dezember 2017

Das hier?

Ergänzung (7. Dezember 2017)

Könnte es irgendwas mit "Admin"-Einstellungen zu tun haben?

Darkblade08 · 7. Dezember 2017

Hmm, müsste so eigentlich funktionieren. Du kannst mal probieren in der Richtlinie TPM zu verbieten. Dann müsstest du aber auch das TPM Modul (sofern das Notebook überhaupt eins hat) deaktivieren.

4nn4 · 7. Dezember 2017

Also ich habe das ja lt. Anweisung (s.o. Link) gemacht, daher sollte es doch mit diesen Einstellunge klappen.

Wo finde ich heraus, ob mein X220 ein TPM-Modul hat?

Darkblade08 · 7. Dezember 2017

Sofern es das Gerät ist, ja
https://thinkpad-forum.de/threads/136008-X220-TPM-Security-Chip

4nn4 · 7. Dezember 2017

Ja, das ist ein X220.

Ist es dann gerade nicht unsinnig, TPM zu verbieten?

Die Frage ist ja, wo dieser ominöse KOnflikt her kommt?

Sun_set_1 · 8. Dezember 2017

TPM enthält den Code zum entsperren des Laufwerks. Du möchtest aber nun ohne auto-pw hochfahren. Ergo muss TPM deaktiviert werden.

Wenn das BIOS aber TPM aktiviert hat, erkennt Windows dies und lässt die Deaktivierung von TPM im Betriebssystem logischer Weise nicht zu.
Jetzt ist die Frage wie Bitlocker arbeitet. Wenn Du mit TPM verschlüsselt hast, kann ich mir vorstellen dass Du nach deaktivierung von TPM im Bios zumindest beim ersten hochfahren den kompletten Schlüssel (nicht das PW, sondern den Schlüssel - Code) eingeben musst.

Den solltest Du also, bevor du irgendwas machst, aufschreiben. Wenn TPM dann im BIOS-UEFI deaktiviert ist, sollte auch die Richtlinie danach nicht mehr meckern. Nachdem Boot kannst Du dann auch einen PIN respektive Passwort für Bitlocker festlegen, damit Du nicht jedes mal den langen Code eingeben musst.

4nn4 · 8. Dezember 2017

Sun_set_1 schrieb:
TPM enthält den Code zum entsperren des Laufwerks. Du möchtest aber nun ohne auto-pw hochfahren. Ergo muss TPM deaktiviert werden.

Wenn das BIOS aber TPM aktiviert hat, erkennt Windows dies und lässt die Deaktivierung von TPM im Betriebssystem logischer Weise nicht zu.
Jetzt ist die Frage wie Bitlocker arbeitet. Wenn Du mit TPM verschlüsselt hast, kann ich mir vorstellen dass Du nach deaktivierung von TPM im Bios zumindest beim ersten hochfahren den kompletten Schlüssel (nicht das PW, sondern den Schlüssel - Code) eingeben musst.

Den solltest Du also, bevor du irgendwas machst, aufschreiben. Wenn TPM dann im BIOS-UEFI deaktiviert ist, sollte auch die Richtlinie danach nicht mehr meckern. Nachdem Boot kannst Du dann auch einen PIN respektive Passwort für Bitlocker festlegen, damit Du nicht jedes mal den langen Code eingeben musst.

Danke!

Der Reihe nach:

Ich habe jetzt neu gestartet und bin ins BIOS. Der Terminus "TPM" habe ich nirgendwo gefunden. Nachfolgend ein paar Einstellungen, die ich nicht verändert habe:

Obwohl ich nichts geändert habe und die Einstellungen nach wie vor so sind, wie es die obigen anleitung aus dem Link vorgaben, wurde vor dem Laden von WIN der Wiederherstellungsschlüssel abgefragt.

Den habe ich eingegeben, und habe dann folgende Richtlinien eingegeben:

Dann wieder gebootet, diesmal keine Schlüssel-Abfrage.
Dann in der Bitlocker verwaltung Klick auf
"Ändern, wie das Laufwerk beim Start entsperrt wird. "
Es erscheint wieder die Meldung
"Die Gruppenrichtlinieneinstellung für Bitlocker-Startoptionen stehen in Konflikt und können nicht angewendet werden. Weitere Info erhalten Sie von Systemadmin."

- Habe ich jetz bei den Richtlinien wieder was falsch eingegeben?
- Und weisen meine BIOS-Screenshots darauf hin, dass mein NB doch kein TPM hat? Oder läuft das einfach unter "Security protection" oder so was?
- Und warum wurde eigentlich das eine Mal der Schlüssel abgefragt?

Sun_set_1 · 9. Dezember 2017

Das sollte die Option mit Security Chip sein, die muss off.
Dann noch unter Boot auf Legacy stellen.

Surabla · 30. November 2018

Hallo,

der Beitrag ist zwar schon etwas älter, aber ich habe es so gelöst:

1) Bitlocker wurde ganz normal mit TPM-Modul aktiviert -> Keine Eingabe eines zusätzlichen PIN
2) In der GPO "Zusätzliche Authentifizierung beim Start anfordern" folgende Einstellungen gesetzt:
- TPM-Start konfigurieren: TPM zulassen
- TPM-Systemstart-PIN konfigurieren: Systemstart-PIN bei TPM zulassen
3) Anschließend konnte ich in der BitLocker Laufwerksverschlüsselung eine PIN vergeben ("Ändern, wie das Laufwerk beim Start entsperrt wird").

Vielleicht hilft das dem ein oder anderen noch.

FFLkOsna · 14. November 2019

Surabla schrieb:
Hallo,

der Beitrag ist zwar schon etwas älter, aber ich habe es so gelöst:

1) Bitlocker wurde ganz normal mit TPM-Modul aktiviert -> Keine Eingabe eines zusätzlichen PIN
2) In der GPO "Zusätzliche Authentifizierung beim Start anfordern" folgende Einstellungen gesetzt:

TPM-Start konfigurieren: TPM zulassen

TPM-Systemstart-PIN konfigurieren: Systemstart-PIN bei TPM zulassen

3) Anschließend konnte ich in der BitLocker Laufwerksverschlüsselung eine PIN vergeben ("Ändern, wie das Laufwerk beim Start entsperrt wird").

Vielleicht hilft das dem ein oder anderen noch.

Genau! Ganz wichtig für alle die mitlesen. System nach den Einstellungen in der GPO neu starten. Danach lässt sich ein PIN eingeben.

Googli · 4. August 2020

Hallo liebe Forenmitglieder,

Vielen Dank für den obigen Tipp, hatte zuerst eine falsche Einstellung durch einen anderslautenden Artikel auf tecchannel. Danke @Surabla.

Auch noch wichtig: Passwortlänge erhöhen und Sonderzeichen zulassen. Dazu Richtlinien, wie im obigen Tecchannel-Artikel (Beitrag Nr. 1) aufrufen und:

Erweiterte PINs für Systemstart zulassen ("aktivieren")
Minimale PIN-Länge für Systemstart konfigurieren ("zulassen) = Zuvor Ziffern für die Länge des Passwortes zählen und z.B. 12 im Fenster eingeben
Dringender Rat: Wiederherstellungsschlüssel aufbewahren bzw. auf USB-Stick verschlüsselt ablegen (z.B. via Veracrypt oder auf verschlüsselten Sicherungsdatenträger)

Herzlichen Dank für dieses Forum.

Knito · 13. September 2020

Ich hatte das gleiche Problem.
FALSCH:
https://www.tecchannel.de/a/zusaetz...tlocker-beim-windows-start-einrichten,3277851

RICHTIG:
Wie oben beschrieben. "ZULASSEN" nicht "ERFORDERLICH"

Suche

WIN10 pro Bitlocker mit zusätzlicher PIN-Abrage

4nn4

Lt. Junior Grade

Sun_set_1

Captain

4nn4

Lt. Junior Grade

Darkblade08

Commodore

4nn4

Lt. Junior Grade

Darkblade08

Commodore

4nn4

Lt. Junior Grade

Darkblade08

Commodore

4nn4

Lt. Junior Grade

Sun_set_1

Captain

4nn4

Lt. Junior Grade

Sun_set_1

Captain

Surabla

Newbie

FFLkOsna

Newbie

Googli

Cadet 4th Year

Knito

Commander

Ähnliche Themen

Passend zum Thema

Per Vollbild-Anzeige Microsoft empfiehlt Windows-10-Nutzern Copilot+ PCs

Support-Ende für Windows 10 Ende 2025 Ein Jahr an zusätzlichen Sicherheitsupdates kostet 30 US-Dollar

Adieu Control Center Microsoft weist auf das Ende der Systemsteuerung hin