BitLocker: Clone ist unverschlüsselt!?

[Sergeant123]

Ich bitte um Hilfe bei einem Verständnisproblem.

Mein Laptop: Lenovo T14 Gen 3
Ich habe mit Macrium Reflect dort innerhalb von Windows 11 ein Rettungsmeduim erstellt als iso-file.
Dieses iso-file habe ich dann mit balenaEtcher auf einen USB Sick geschrieben.
(Direktes Erstellen eines USB Bootmediums bootete nicht, daher diese kleine Umweg).

Mein meine Laptop enthält auf der eingebauten M.2 SSD Laufwerk C: mit Windows 11 und ein Laufwerk D: für Daten. Beide Laufwerke sind mit BitLocker verschlüsselt!
Wenn ich meinen Laptop einschalte und normal boote, werde ich zur Eingabe der BitLockler Pin aufgefordert.

Wenn ich den den erstellten Macrium Reflect Rettungsstick in den Laptop stecke und davon boote, startet erwartungsgemäß Macruim Reflect vom Boot-Stick.

Wenn ich damit dann die eingebaute M.2 SSD clone, zeigt mir MacrumReflect diese Meldung an:
Die folgenden mit Bitlocker verschlüsselten Laufwerke werden geclont, ohne Bitlocker auf dem Ziel zu aktivieren:
C: OS
D: Daten

Wie kann das sein? Was habe ich falsch gemacht? Ich hätte erwartet, dass der Clone natürlich Bitlocker verschlüsselt ist weil ich zu keiner Zeit die Bitlocker PIN eingegeben habe. Wie kann Macrium Reflect Bitlocker entschlüssen ohne den Bitlocker PIN?

Auf der Backup SSD sind alle Daten von beidem Partitionen problemlos lesbar, sowohl beim normalen clone als auch wen ich 1:1 Sektorkopie wähle.

Wo liegt der Fehler?

Danke für jeden Tipp !

 

[Amaoto]

Wenn ich es richtig verstehe, hast du das Medium erstellt, als BitLocker bereits entschlüsselt war (innerhalb von Windows). Daher ist es auf dieser Kopie nicht vorhanden.

 

[PC295]

Ich vermute mal, dass der Hinweis einfach wie im Programm, dass auf Windows ausgeführt wird, übernommen wurde. Wenn du unter Windows eine Sicherung erstellst, dann werden die Dateien unverschlüsselt gespeichert.

Auf jedenfall kann auch Macrium nicht auf die verschlüsselten Dateien zugreifen, wenn kein PIN/Passwort eingegeben wurde.
In diesen Fall wird ein Sektor-für-Sektor-Backup erstellt, so dass die Bitlocker-Verschlüsselung erhalten bleibt.

Wenn du in der Bootdisk jetzt auf die Datenträgerübersicht gehst, solltest du weder Inhalt noch Informationen über den belegten Speicher sehen.

Ich sehe gerade, dass Macrium eine Bitlocker-Unlock-Option für das PE-Medium mitbringt.
https://knowledgebase.macrium.com/display/KNOW72/Adding+BitLocker+support+to+Windows+PE

 

[Mojo1987]

Wenn du ein Backup in einem laufenden Windows erstellst, ist das vollkommen normal.
Das System ist zur Laufzeit unverschlüsselt und wir entsprechend als solches auch ins Backup geschrieben dann.

Willst du das nicht musst du ein Offline-Backup erstellen (via Bootmedium etc) als Sektor-by-Sector Sicherung. Dann sollte die Verschlüsselung mitgenommen werden.

 

[Sergeant123]

Zitat Molo1987:
Willst du das nicht musst du ein Offline-Backup erstellen (via Bootmedium etc) als Sektor-by-Sector Sicherung. Dann sollte die Verschlüsselung mitgenommen werden.

Das habe ich doch gemacht, indem ich vom erstelten Macrium Reflect Boot-Stick gebootet habe und dan von dem dort gestarteten Macrium Reflect die Laptop M.2 SSD geklont hatte. Oder was meinst du mit "Offline Backup" ?

 

[PC295]

Es ist so, dass Macrium Reflect, wenn Bitlocker bereits aktiviert ist, automatisch den Bitlocker-Wiederherstellungsschlüssel sowie die Schlüsseldatei in das Bootmedium integrieren wird, während du sie erstellst. Damit kann kann das Laufwerk während der Verwendung des Bootmediums automatisch entsperrt werden.

Die Dateien findest du im Bottmedium in der boot.wim.

Beachte, dass diese Funktion ein Sicherheitsrisiko darstellen kann.
Fremde, die den USB-Stick verwenden, können sich somit Zugriff auf verschlüsselte Dateien verschaffen.

Die automatische Bitlocker-Entsperrung kannst du beim Erstellen von Boot-Medien in den erweiterten Optionen deaktivieren:

 

[Sergeant123]

...
Ich sehe gerade, dass Macrium eine Bitlocker-Unlock-Option für das PE-Medium mitbringt.
https://knowledgebase.macrium.com/display/KNOW72/Adding+BitLocker+support+to+Windows+PE

Jetzt bin ich volkommen verwirrt: Wie kann Macrium Reflect Bitlocker verschüsselte Lauferke ohne Eingabe der Bitlocker Pin entschlüsseln?

In der knowledgebase steht explizit:
"Automatic unlocking requires no user intervention and the Macrium Reflect boot menu is able to access encrypted drives without password entry."

Welchen Sinn mach dann noch Bitlocker?

 

[PC295]

Jetzt bin ich volkommen verwirrt: Wie kann Macrium Reflect Bitlocker verschüsselte Lauferke ohne Eingabe der Bitlocker Pin entschlüsseln?

Zum Entsperren von Systemlaufwerken in einer WindowsPE (wie sie Macrium verwendet) ist nur der Bitlocker-Wiederherstellungsschlüssel zulässig. Das ist quasi der Notfall-Schlüssel, falls du die PIN vergisst.
Und diesen Schlüssel speichert sich Macrium im Bootmedium.

Das funktioniert dann natürlich nur auf deinem verschlüsselten PC.
Ein Fremder der sich auf seinem PC ein Bootmedium mit dieser Option erstellt, kann nicht die Bitlocker-geschützten Dateien auf deinem Rechner damit entschlüsseln.

 

[Sergeant123]

Es ist so, dass Macrium Reflect, wenn Bitlocker bereits aktiviert ist, automatisch den Bitlocker-Wiederherstellungsschlüssel sowie die Schlüsseldatei in das Bootmedium integrieren wird, während du sie erstellst. Damit kann kann das Laufwerk während der Verwendung des Bootmediums automatisch entsperrt werden.

Die Dateien findest du im Bottmedium in der boot.wim.

Anhang anzeigen 1399076
Beachte, dass diese Funktion ein Sicherheitsrisiko darstellen kann.
Fremde, die den USB-Stick verwenden, können sich somit Zugriff auf verschlüsselte Dateien verschaffen.

Die automatische Bitlocker-Entsperrung kannst du beim Erstellen von Boot-Medien in den erweiterten Optionen deaktivieren:

Anhang anzeigen 1399078

OK, jetz hab ich es verstanden denke ich: Mein "Fehler" war, dass ich beim Erstellen des Boot Sticks "Automatisch Bitlocker Laufwerke entsperren" nicht abgewählt hatte!

Ergänzung (17. September 2023)

Zum Entsperren von Systemlaufwerken in einer WindowsPE (wie sie Macrium verwendet) ist nur der Bitlocker-Wiederherstellungsschlüssel zulässig. Das ist quasi der Notfall-Schlüssel, falls du die PIN vergisst.
Und diesen Schlüssel speichert sich Macrium im Bootmedium.

Das funktioniert dann natürlich nur auf deinem verschlüsselten PC.
Ein Fremder der sich auf seinem PC ein Bootmedium mit dieser Option erstellt, kann nicht die Bitlocker-geschützten Dateien auf deinem Rechner damit entschlüsseln.

Danke dir und den anderen für die Infos, jetzt hab ich es endlich kapiert