Bitlocker für Wechseldatenträger nicht möglich nach gpedit

[F!r3f0x]

Ich hab hier einen Rechner, wo ich die Funktion "Zusätzliche Authentifizierung beim Start anfordern" aktiviert habe via gpedit.msc.

Nun habe ich aber das Problem, dass ich (egal ob Admin oder User) keine Wechseldatenträger mehr mit Bitlocker verschlüsseln kann. Hierzu habe ich auch nichts in den Gruppenrichtlinien finden können.

Jemand ne Idee wie ich das lösen kann?

 

[cumulonimbus8]

TPM..?! Ist das nicht eine kleine zusätzliche Hardware (die dir fehlt)?
CN8

 

[F!r3f0x]

Ja, ein kleiner TPM Chip auf der Hardware aber was hat das mit meinem Problem zu tun?
Beim Startvorgang die PIN Eingabe funktioniert, aber ich kann keine USB-Sticks mit Bitlocker nutzen, nachdem ich die Richtlinie angelegt habe.

 

[Sebbi]

das kommt wohl daher, weil du schon eine Pin Eingabe für deine Systempartition hast. Du musstest das nochmal erneut verschlüsseln mit der Option, das der Schlüssel auf den USB Stick abgelegt wird.

im Übrigen würde ich das NICHT empfehlen, denn wenn der USB Stick mal plötzlich stirb (und das passiert nicht gerade selten), sind deine Daten pfutsch.

 

[Looniversity]

"Für diese Option ist beim Start entweder ein Kennwort oder ein USB-Laufwerk erforderlich"

Wenn Windows USB-Sticks verschlüsseln würde, könnte es das einzige Laufwerk auf der Welt mit dem zum Start erforderlichen Schlüssel verschlüsseln - und dann nicht drauf zugreifen, weil Windows ja noch nicht gestartet ist um es zu entschlüsseln. Das wäre doof.

 

[F!r3f0x]

das kommt wohl daher, weil du schon eine Pin Eingabe für deine Systempartition hast. Du musstest das nochmal erneut verschlüsseln mit der Option, das der Schlüssel auf den USB Stick abgelegt wird.

Ich möchte aber meine Wechseldatenträger unabhängig von dem PIN für die Systempartition verschlüsseln. Die Keys zum entschlüsseln der Partitionen liegen im Tresor.

im Übrigen würde ich das NICHT empfehlen, denn wenn der USB Stick mal plötzlich stirb (und das passiert nicht gerade selten), sind deine Daten pfutsch.

Das ist richtig :-)

"Für diese Option ist beim Start entweder ein Kennwort oder ein USB-Laufwerk erforderlich"

Hab jetzt nicht ganz verstanden was das mit meinem Problem zu tun hat :-D
Sorry

 

[bezelbube]

Um welches Board handelt es sich hier?
Entweder kein TPM-Chip auf den Board vorhanden,dann würde Windof auch keine Bitlocker
Verschlüsselung anbieten oder das TPM-Modul ist im Bios nicht aktiviert.
Die Paranoia zu Datenverschlüsselung ist mir mich persönlich unverständlich,
allein schon der Zeitaufwand.
Mehrere Datenträger wo man seine Daten speichert haben den selben Effeckt.

 

[Looniversity]

Beim Startvorgang die PIN Eingabe funktioniert

Je nach dem wie lang deine PIN ist, kann das ohne TPM schlecht sein, weil ohne TPM beliebig viele Versuche möglich sind. Der Windows-Begriff "PIN" ist da etwas irreführend. Ohne TPM muss es ein sehr starkes Passwort sein.

im Übrigen würde ich das NICHT empfehlen, denn wenn der USB Stick mal plötzlich stirb (und das passiert nicht gerade selten), sind deine Daten pfutsch

So sieht es aus. Mir sind schon mehr als eine Handvoll Sticks ohne ersichtlichen Grund oder Vorwarnung verreckt und so alt bin ich noch gar nicht. Und ohne TPM gibt es -glaube ich- auch nicht die Wiederherstellungsschlüssel im Microsoft-Konto.

 

[F!r3f0x]

Mehrere Datenträger wo man seine Daten spreichert haben den selben Effeckt.

Geht nicht darum seine Daten an 100 Orten zu haben, sondern darum die Daten die man hat vor fremden zu schützen.

Ergänzung (2. April 2021)

Je nach dem wie lang deine PIN ist, kann das ohne TPM schlecht sein, weil ohne TPM beliebig viele Versuche möglich sind. Der Windows-Begriff "PIN" ist da etwas irreführend. Ohne TPM muss es ein sehr starkes Passwort sein.

Der PIN beim Start besteht nur aus Zahlen, eine PIN eben.

Kann ich den bei Systemstart eine PIN eingeben und trotzdem meine Wechseldatenträger mit Bitlocker verschlüsseln?

 

[Looniversity]

Entweder kein TPM-Chip auf den Board vorhanden,dann würde Windof auch keine Bitlocker
Verschlüsselung anbieten

Doch - dazu gibt es ja genau die Gruppenrichtlinie, um Bitlocker trotzdem zu nutzen (auch wenn es in Standardeinstellung nicht möglich ist). Dann ist es aber näher an TrueCrypt als an Bitlocker.

Die Paranoia zu Datenverschlüsselung ist mir mich persönlich unverständlich,
allein schon der Zeitaufwand.

Viele Datensätze, mit denen ich in der Uni zu tun habe, setzen in der Nutzungsvereinbarung solche Maßnahmen voraus. Und gerade wenn man als Student/SHK zu Hause damit am eigenen Rechner arbeitet arbeitet (arbeiten muss) hat man nicht viele andere Möglichkeiten. Gleiches für die Sachen, die mein AG produziert. Wenn das nicht auf deren Remote-Servern wäre müsste ich auch alles verschlüsseln (und noch mehr Sachen gewährleisten, die wir unterschrieben haben).
Der Zeitaufwand ist mir da eher egal. Einmal aufsetzen muss sein, aber das Verschlüsseln macht die Kiste ja alleine und zur Not halt ein paar Tage am Stück im Hintergrund - das stört ja nicht weiter.

Ergänzung (2. April 2021)

Der PIN beim Start besteht nur aus Zahlen, eine PIN eben.

Ja, wie lang ist aber die Frage. Das sollten eher 30 als 10 Stellen sein. Besser 30+ alphanumerisch... sonst kannst du die PIN genausogut weglassen.

Edit nochmal: Meinst du die Windows-PIN oder die Bitlocker-PIN?

 

[F!r3f0x]

Die PIN ist erstmal nur Testweise eingerichtet mit unter 10 Zahlen. Ich hab ja das Problem aktuell mit den USB Sticks, dass ich da die Bitlocker Verschlüsselung nicht draufbekomme.

 

[Looniversity]

Diese Seite (nicht MS selbst) sagt, dass es auch ohne TPM gehen sollte - womit mein erster Beitrag hier zumindest nicht vollständig ist.

Ergänzung (2. April 2021)

@F!r3f0x Über das Wochenende wollte ich eigentlich auch mal Bitlocker auf meinem Rechner ohne TPM einrichten. Wenn ich einen "arbeitslosen" USB-Stick zum Testen finde versuche ich das und sage Bescheid.

 

[F!r3f0x]

Also ich hab auf meinem Rechner zuhause auch kein TPM, da könnte ich das auch mal probieren mit einem 4GB USB Stick.

Die Frage ist nur, was eingestellt werden muss damit alles funktioniert.

 

[Tekkie Boy]

Hab jetzt nicht ganz verstanden was das mit meinem Problem zu tun hat :-D
Sorry

Du hast bei der Richtlinien den Haken bei der Option: “Bitlocker ohne kompatibles TPM zulassen….” gesetzt.
Dann geht Windows davon aus, das egal welcher USB Stick der im Rechner steckt, der USB Stick sein könnte, der zum Entsperren von Bitlocker verwendet wird. Deswegen verweigert Windows die Option Bitlocker auf USB Sticks einzurichten.
Da spielt es für Windows auch keine Rolle, ob Du beim Start niemals ein USB Stick für Bitlocker verwendest. Es ist eine Sicherheitshaltung von Windows um das Aussperren zu verhindern. Bedeutet: wenn Du kein TPM hast, geht es nicht. Solltest Du TPM haben, musst Du den Haken beim der genannten Option entfernen, dann funktioniert es auch mit USB Sticks.

Freundliche Grüße

 

[Sebbi]

Ich möchte aber meine Wechseldatenträger unabhängig von dem PIN für die Systempartition verschlüsseln. Die Keys zum entschlüsseln der Partitionen liegen im Tresor.

ok dazu habe ich das gefunden:

https://www.computerbase.de/forum/threads/bitlocker-mit-tpm-pin-usb.1366745/post-15940793

falls dies nicht mehr unterstützt wird, dann geht das wohl so nicht mehr

 

[F!r3f0x]

@Tekkie Boy
heißt ich muss mich entscheiden ob ich die PIN beim Systemstart nutzen möchte oder Bitlocker To Go?

Ich schau mal morgen nochmal, dass ich die Wiederherstellungsdateien nochmal irgendwo auf dem Netzlaufwerk speicher, vielleicht klappts ja dann?!

Bin mir ziemlich sicher, dass die Geräte kein TPM haben. Ich kann aber Bitlocker To Go nutzen bevor ich die PIN für den Boot setze. Find ich irgendwie komisch .....

EDIT:
hab das jetzt auch an meinem privaten Rechner probiert, sobald man die GPO "Zusätzliche Authentifizierung beim Start anfordern" aktiviert, lässt sich Bitlocker To Go nicht mehr nutzen. Verstehe ehrlichgesagt nicht, was das eine mit dem anderen zu tun hat.

 

[F!r3f0x]

Um das Thema zu beenden, ich hab die Lösung für mein Problem gefunden. Hab die Einstellungen anders per GPO verteilt, dann war es möglich auch Bitlocker To Go und den PIN beim Start zu nutzen.