Bitlocker bei interner Festplatte

[rongador]

Hi,

kurze Frage zum Thema Bitlocker bei einer internen Festplatte. Sagen wir, ich habe vier Festplatten C, D, E und F, allesamt interne Laufwerke. Ich möchte nun Laufwerke D, E und F per Bitlocker und Kennwort (ohne TPM) verschlüsseln (so wie bei externen Festplatten auch).

Wie ich weiß, kann man ja nach Eingabe des Passwortes für die per Bitlocker geschützte Festplatte angeben, dass diese automatisch entsperrt werden soll, wenn man sich in Windows einloggt.

Meine Frage: Sind noch andere Einstellungen notwendig, damit es nach dem Login in Windows 10 nicht zu Verzögerungen der Entsperrung der drei Laufwerke kommt? Denn manche Einstellungen (z.B. auch Ordner im "Schnellzugriff") beziehen sich auf Inhalte der dann geschützten Festplatten. Wenn es da zu Verzögerungen kommt, so kann ich mir vorstellen, werden diese Ordner aus dem Schnelllzugriff vielleicht einfach entfernt?

Oder vielleicht funktionieren manche Autostart-Programme nicht, die beispielsweise bestimmte Ordner auf den per Bitlocker geschützten Festplatten z.B. als Zielordner (Screenshots z.B.) eingestellt haben.

Weiß da jemand Bescheid? Es geht mir einfach darum, dass wenn ich mich in Windows einlogge, die per Bitlocker geschützten internen Festplatten sehr schnell automatisch entsperrt werden, ohne dass es da zu Problemen mit Programmen kommt, die vielleicht in den ersten Sekunden vergeblich bestimmte Ordner suchen, weil es zu lange braucht, bis die Festplatte automatisch entsperrt wird.

Gruß

 

[john.smiles]

Was spricht gegen die stinknormale Bitlocker Verschlüsselung? Zu einfach?

 

[rongador]

@john.smiles Ich schreibe hier ja von der "stinknormalen" Bitlocker-Verschlüsselung. Aber es geht um eine interne Festplatte, bei der sich die "Automatische Entsperrung" offenbar nicht ohne Weiteres aktivieren lässt (hier zum Beispiel Festplatte D, auf Festplatte C ist Windows 10 installiert):

 

[VoodooMax]

Wie die Fehlermeldung schon aussagt - Bitlocker ist auf C nicht aktiviert?

Bedanke Dich bei der künstlichen Beschränkung seitens Microsoft. Ohne Verschlüsselung des Systemlaufwerks keine Verschlüsselung anderer interner Laufwerke Edith2 mit automatischer Entschlüsselung.

 

[rongador]

Nein, auf C: habe ich Bitlocker (noch?) nicht aktiviert. Muss ich das machen? Genügt dann beim Starten des PCs die ganz normale Eingabe meines Windows-Passworts und kann ich dann für C und auch D die automatische Entsperrung aktivieren? Oder wie läuft das dann ab?

Nur mal so als Gedankenspiel: Wenn ich jetzt Bitlocker für C aktiviere... wie kann denn dann überhaupt Windows bei einem Neustart des PCs generell gestartet werden, wenn doch die Platte komplett per Bitlocker "gesperrt" ist? Dann kann doch nichtmals Windows gestartet werden, da die Platte verschlüsselt ist?!

Wohlgemerkt: Mein PC hat kein TPM. Ich entsperre per Bitlocker gesperrte Platten einfach per Kennwort.

 

[holdes]

Doch der kann dann gebootet werden, weil vor dem eigentlichen Windows Start eine Passwortabfrage kommt. Nennt sich auch Pre-Boot Authentication.

Aber Vorsicht: Diese Authentifizierung ist ausschließlich nur in englischer Tastatur verfügbar, solltest du also Bitlocker nicht nur mit PIN sondern mit richtigem Passwort verwenden, dann wähle Sonderzeichen mit bedacht.

@VoodooMax
Wieso sollte das Microsoft beschränken? Seine anderen internen Platten sind doch schon verschlüsselt. Ihm geht es ja nur um das automatische entschlüsseln beim Bootvorgang. Das macht meiner Meinung nach auch nur dann Sinn wenn Laufwerk C mit verschlüsselt ist, sonst wäre Bitlocker komplett sinnlos wenn alle Platten ohne vorherige Authentifizierung automatisch entschlüsselt würden.

 

[yxcvb]

Das Bootlaufwerk wird beim Start durch die Eingabe des PINs oder des Passwortes entsperrt. Da musst du nichts weiter unternehmen.

 

[VoodooMax]

@holdes Da habe ich knallhart was durcheinander gewürfelt und meine kognitiven Fähigkeiten deaktiviert - das diese Anzeige nur angeboten wird wenn die Laufwerke bereits verschlüsselt sind, wer kann denn mit sowas rechnen 😜.

Dass die automatische Entschlüsselung keinen Sinn hat wenn das System direkt durchbootet ist eigentlich klar, zumal MS das nicht Accountabhängig aktiviert.

Ich erinnere mich daran dass ich mal wegen der automatischen Verschlüsselung aller internen Laufwerke mit TPM ziemlich viel gesucht aber keine für uns passende Lösung gefunden habe...

 

[rongador]

Okay, habe Bitlocker jetzt auch für C: aktiviert. Da musste dann irgendwas getestet werden, weswegen vor der eigentlichen Verschlüsselung erst neugestartet werden musste. Da erschien dann tatsächlich diese Kennwort-Aufforderung (und ich musste wirklich das PW im Klartext anzeigen lassen, um zu bemerken, dass mein Sonderzeichen auf der englischen Tastatur ganz woanders ist). Habe aber herausgefunden, welche Taste es ist.

Aber so generell: Warum ergibt es denn keinen Sinn, dass z.B. nur D, E und F verschlüsselt werden und nach Login automatisch entsperrt? Ist doch bei einer externen Festplatte auch so, die man anschließt (sofern man die automatische Entsperrung aktiv hat). Da wäre ja trotzdem der Windows Login notwendig, um die Entsperrung zu veranlassen - oder nicht?

Aber so geht es auch. Muss man halt jetzt bei jedem Start das Kennwort für Bitlocker eingeben.

Frage: Wie sieht es denn dann bei Windows Updates aus, bei denen der Rechner öfter mal automatisch neu gestartet wird? Muss man dann bei jedem automatischen Neustart das Kennwort erneut eingeben? Gibt es da keine Konflikte bei Updates?

 

[john.smiles]

Aber so generell: Warum ergibt es denn keinen Sinn, dass z.B. nur D, E und F verschlüsselt werden und nach Login automatisch entsperrt?

Weil die Informationen dann unverschlüsselt auf C: wären?

 

[rongador]

@john.smiles Das Kennwort für D, E und F liegt "unverschlüsselt" auf Festplatte C: oder wie? Was genau meinst Du?

Und wie verhält es sich denn wie gesagt mit Windows Updates und automatischen Neustarts? Oder bei einer Wiederherstellung durch ein Systemabbild (über "Sichern und Wiederherstellen (Windows 7)"? Wird dann bei der Wiederherstellung auch nach dem Kennwort gefragt? Oder nach Bezeichner/Schlüssel? Bitte keine Diskussion über Backup-Software, Danke.

 

[holdes]

Am Beispiel Laptop wäre das einfacher nachzuvollziehen:
Wenn dir jemand das Ding wegschleppt und hochfährt käme er an alle Daten heran und genau das willst du ja vermeiden.

Solange die Platte entschlüsselt vorliegt, ist sie nichts anderes als eine unverschlüsselte Platte ohne Bitlocker wäre. Wenn eine automatische Entschlüsselung abläuft, muss ja irgendwo auch dieser Schlüssel gespeichert sein mit dem entschlüsselt wird . Normalerweise liegt der nur bei dir im Kopf in Form eines Passworts oder PIN.

Die Windows Authentifizierung selbst bietet übrigens keinen Schutz, daher hast du vor dem eigentlichen Windows Passwort die Bitlocker eigene Passwortabfrage.

 

[rongador]

@holdes Okay ich ging davon aus (beim Beispiel Notebook), dass wenn jemand das Notebook klaut, er ja ohne Windows Login sowieso nicht auf die Daten zugreifen kann und die Festplatten D, E und F erst NACH dem Login entsperrt werden würden. Und falls er die Festplatte (Windows) formatiert, wären D, E und F ja trotzdem verschlüsselt und nicht mehr automatisch entsperrt (da er ja z.B. Windows neu installiert hat).

Weisst Du, wie ich meine?

Oder eine damit verbundene Frage: Wieso ist es denn dann bei externen Festplatten problemlos möglich, diese per Kennwort zu verschlüsseln und automatisch entsperren zu lassen? Hier meckert Windows ja nicht rum. Ist doch nur der Unterschied "interne Festplatte" und "externe Festplatte". Auch wenn ich die automatische Entsperrung bei der externen Festplatte aktiviert habe, bedeutet das ja nicht, dass wenn jemand die externe Platte klaut, er sie bei sich anschliessen kann und sie automatisch entsperrt ist.

 

[holdes]

Der Windows Login bietet 0 Schutz der eigentlichen Daten. Mit diversen gratis Tools und auch einem etwas spezielleren kann man diese Passwörter löschen, ändern oder komplett ignorieren. Außerdem braucht man kein Windows Passwort um an die Daten von Laufwerk C zu kommen.

Du kannst die HDD einfach ausbauen und an einen anderen PC hängen oder Linux booten, dann siehst du den Inhalt der HDD (und kannst dir dort entsprechend abgelegte Daten ziehen). Der Windows Account ist eher so etwas "internes" für die Windows Nutzung, hat aber wenig mit Datensicherheit der HDD zu tun.

Bei der externen Platte ganz einfach ein anderes Gedankenkonstrukt:
Wenn dir jemand die externe Platte klaut und an seinen PC klemmt, kennt sein PC das Entschlüsselungspasswort nicht und kann damit nichts anfangen. Man rechnet also nicht damit, dass jemand die externe HDD und den PC entwendet. Bei einer internen HDD ist aber davon auszugehen.

Mal im Beispiel Notebook und externe HDD:
Notebook Laufwerk C nicht verschlüsselt aber die externe HDD mit automatischer Entschlüsselung. Ergebnis wäre im Falle eine Diebstahls von beidem der volle Zugriff auf die Daten.

 

[rongador]

@holdes Ja, okay, das habe ich verstanden. Mir sind die Daten auf C: allerdings relativ egal, schützen wollte ich lediglich D, E und F. Und weil D, E und F mit Bitlocker verschlüsselt sind, kann man diese ja nicht mehr einfach ausbauen und irgendwo einbauen - der Zugriff bleibt verwehrt.

Daher wunderte ich mich, dass hier C: so unbedingt auch verschlüsselt werden muss. Denn bei externen Festplatten ging es ja auch problemlos, ohne dass C: per Bitlocker geschützt werden musste.

Also nehme ich an, dass es Microsoft darum geht, dass niemand den Login von Windows umgehen kann (wie von Dir beschrieben) und dadurch dann sich die internen Festplatten D, E und F entsperren, richtig?

Aber wieso macht das Microsoft bei externen Festplatten dann nicht konsequent auch so? Denn es könnte ja jemand auch den Windows Login umgehen, die externe Festplatte anschliessen und - schwupp - wegen automatischer Entsperrung wäre die dann ja auch automatisch entsperrt.

 

[holdes]

Habe das zweite Beispiel gerade ergänzt, dann weißt du wieso das bei externen nicht der Fall ist .

Den Windows Login kannst du gedanklich streichen, der schützt bei einem lokalen Pc ohne Domäne eigentlich gar nichts und mit Verschlüsslung hat der nix am Hut.

 

[rongador]

Habe das zweite Beispiel gerade ergänzt, dann weißt du wieso das bei externen nicht der Fall ist .

Okay, dann ist es so, wie ich es mir in meinem letzten Beitrag jetzt auch gedacht habe. Okay... also "idealerweise" sollte man auch bei Verschlüsselung einer externen Festplatte idealerweise auch C: verschlüsseln - für den Fall, dass jemand eben z.B. Notebook UND eine auf dem Schreibtisch da stehende externe Festplatte klaut.

 

[holdes]

Wenn wir bei einem Notebook bleiben, ist das dringend zu empfehlen. Da ist die Wahrscheinlichkeit erheblich größer, als das jemand eine 20-30kg Workstation aus dem Haus entfernt und dann noch die externe HDD mit nimmt. Im besten Falle hat man die automatische Entschlüsselung gar nicht aktiv außer es geht nicht anders zwecks Autostartsoftware etc..

Bei einem USB Stick ist das z.B. kein Thema, deshalb hat Microsoft auch nichts dagegen sowas automatisch zu entschlüsseln. Wenn der dir unterwegs aus der Tasche fällt, fehlt dem Dieb dann dein PC der den richtigen Schlüssel kennt.

 

[rongador]

Okay, super interessante Thematik!

Wie sieht es denn mit kleinen und großen Updates/Upgrades von Windows aus, die mehrere automatische Neustarts brauchen? Klappt das dann problemlos? Wahrscheinlich muss man dort dann auch bei jedem Neustart das Bitlocker-Passwort eintippen, richtig?

Oder beim Erstellen und Wiederherstellen eines Systemabbildes von Laufwerk C: über die besagte "Sichern und Wiederherstellen (Windows 7)" Funktion von Windows 10? Funktioniert dabei die Erstellung und vor allem das Wiederherstellen eines Backups problemlos?

Wie gesagt, BITTE keine Diskussion über andere Backup-Software. Ich nutze die interne Variante bisher problemlos.

 

[holdes]

Okay, super interessante Thematik!

Wie sieht es denn mit kleinen und großen Updates/Upgrades von Windows aus, die mehrere automatische Neustarts brauchen? Klappt das dann problemlos? Wahrscheinlich muss man dort dann auch bei jedem Neustart das Bitlocker-Passwort eintippen, richtig?

Korrekt, Neustart = PW Eingabe

Oder beim Erstellen und Wiederherstellen eines Systemabbildes von Laufwerk C: über die besagte "Sichern und Wiederherstellen (Windows 7)" Funktion von Windows 10? Funktioniert dabei die Erstellung und vor allem das Wiederherstellen eines Backups problemlos?

Hab ich zwar nie ausprobiert aber das sollte man im besten Fall testen. Ein gutes Backup/Recovery ist schließlich jenes, welches im Desaster Fall funktioniert.