So kopieren Sie unter Windows einen von BitLocker verschlüsselten Systemstartschlüssel für das Betriebssystemlaufwerk

Als integrierte Verschlüsselungsfunktion von Windows schützt BitLocker Ihre Daten bei Verlust oder Außerbetriebnahme eines Laufwerks, indem es diese verschlüsselt und unbefugten Benutzer:innen den Offline-Zugriff auf Ihr Laufwerk verwehrt. Um ein gesperrtes Laufwerk zu starten, benötigen Sie einen Systemstartschlüssel. In diesem Leitfaden erklären wir Ihnen, wie Sie unter Windows 10/11 einen Systemstartschlüssel für ein BitLocker-verschlüsseltes Betriebssystemlaufwerk kopieren, warum dieser Vorgang für die Datensicherheit so wichtig ist und welche Best Practices für die Aufbewahrung und den Umgang mit Ihrem BitLocker-Systemstartschlüssel gelten.

Methoden zum Kopieren des Systemstartschlüssels für das Betriebssystemlaufwerk

Nachdem wir nun definiert haben, was der Systemstartschlüssel ist, und verschiedene Wege zum Zugriff auf verschlüsselte Volumes aufgezählt haben, stellt sich die nächste Frage: „Wo wird der BitLocker-Systemstartschlüssel unter Windows gespeichert?“ In den folgenden Schritt-für-Schritt-Anleitungen gehen wir die verschiedenen Möglichkeiten durch, den BitLocker-Schlüssel zu finden und zu kopieren.

Systemstartschlüssel über die BitLocker-Verwaltungsoberfläche kopieren

1. Öffnen Sie die Systemsteuerung. Suchen Sie dazu entweder im Startmenü danach oder drücken Sie Win + R, geben Sie „control“ ein und drücken Sie die Eingabetaste.
2. Klicken Sie auf das Symbol BitLocker-Laufwerkverschlüsselung und wählen Sie das Betriebssystemlaufwerk aus, das Sie verschlüsseln möchten.
3. Klicken Sie neben dem ausgewählten Betriebssystemlaufwerk auf Systemstartschlüssel kopieren.
4. Stecken Sie einen USB-Stick in Ihren Computer. Wählen Sie den im Fenster angezeigten USB-Stick aus und klicken Sie auf Speichern.

Neben einem USB-Stick können Sie Ihren Systemstartschlüssel auch mit diesen Möglichkeiten sichern:

• Datei: Ihr Systemstartschlüssel lässt sich als BEK-Datei speichern und auf jedem Offline-Gerät oder -Laufwerk ablegen. Achten Sie dabei darauf, dass dieser Speicherort sicher und idealerweise passwortgeschützt ist.
• Microsoft-Konto: Der Schlüssel kann außerdem automatisiert in Ihrem Microsoft-Konto gespeichert werden, sofern Sie auf Ihrem Gerät damit angemeldet sind.
• Active Directory: Und schließlich können Sie Ihren Systemstartschlüssel dort ablegen, wenn auf Ihrem Gerät Active Directory Domain Services (AD DS) aktiviert ist.

BitLocker-Systemstartschlüssel über die Eingabeaufforderung abrufen

1. Öffnen Sie eine Eingabeaufforderung mit erhöhten Rechten. Drücken Sie dazu Win + X und wählen Sie Eingabeaufforderung (Administrator).
2. Geben Sie den Befehl „manage-bde -protectors -get [Laufwerksbuchstabe]“ ein. Ersetzen Sie [Laufwerksbuchstabe] durch den tatsächlichen Buchstaben des Betriebssystemlaufwerks, dessen Systemstartschlüssel Sie kopieren möchten.
3. Unter External Key File Name wird der Dateiname Ihres Systemstartschlüssels angezeigt. Von hier aus können Sie Ihren Schlüssel mit den Schritten aus dem vorherigen Abschnitt speichern.

BitLocker-Systemstartschlüssel mit PowerShell sichern

1. Öffnen Sie PowerShell mit erhöhten Rechten: Drücken Sie Win + S, geben Sie „powershell“ ein und klicken Sie auf Als Administrator ausführen.
2. Prüfen Sie den BitLocker-Status des Laufwerks, dessen Systemstartschlüssel Sie sichern möchten. Geben Sie dazu „Manage-BDE -Status [Laufwerksbuchstabe]:“ ein und ersetzen Sie [Laufwerksbuchstabe] durch den tatsächlichen Buchstaben Ihres BitLocker-verschlüsselten Laufwerks. Denken Sie daran, diese Ersetzung auch in den nächsten Schritten vorzunehmen.
3. Geben Sie anschließend „Manage-BDE -Protectors -Get [Laufwerksbuchstabe]:“ ein, um alle BitLocker-Schutzvorrichtungen für dieses Laufwerk aufzulisten, einschließlich des Systemstartschlüssels.
4. Stecken Sie einen USB-Stick in Ihren Computer. Geben Sie dann „Manage-BDE -Protectors -Add [Laufwerksbuchstabe]: -StartupKey [USB-Buchstabe]:\“ ein und ersetzen Sie [USB-Buchstabe] unbedingt durch den Buchstaben Ihres angeschlossenen USB-Sticks.

Wenn zahlreiche Geräte und Laufwerke sensible Informationen enthalten, etwa Patientenakten einer Klinik oder die Kontaktdaten der Kund:innen eines Unternehmens, sorgt die Automatisierung der BitLocker-Schlüsselsicherung dafür, dass diese Daten geschützt bleiben und BitLocker-verschlüsselte Volumes vor unbefugtem Zugriff sicher sind.

Dieses kurze Video zeigt, wie Sie Ihren Systemstartschlüssel sicher kopieren: „So kopieren Sie unter Windows einen von BitLocker verschlüsselten Systemstartschlüssel für das Betriebssystemlaufwerk“.

Der BitLocker-Systemstartschlüssel im Überblick

Bevor wir uns dem Export des BitLocker-Systemstartschlüssels widmen, klären wir zunächst, was dieser Schlüssel überhaupt ist und welche Rolle er bei den verschiedenen Authentifizierungsmethoden der Windows-Verschlüsselung spielt.

Was ist der BitLocker-Systemstartschlüssel?

Der BitLocker-Systemstartschlüssel ist eine BEK-Datei, die üblicherweise auf einem wechselbaren USB-Stick gespeichert wird. Dieser wird in einen Computer gesteckt, um das Gerät zu starten, ähnlich wie ein Schlüssel, mit dem man ein Vorhängeschloss öffnet. Zusammen mit dem Trusted Platform Module (TPM) des Computers, das als Kryptoprozessor fungiert, sorgt der Windows-BitLocker-Systemstartschlüssel für ein hohes Schutzniveau Ihrer Daten.

Authentifizierungsmethoden: nur TPM, TPM+PIN und BitLocker-Systemstartschlüssel

Das TPM ist eine weitere integrierte Sicherheitsfunktion der meisten Geräte und lässt sich allein oder zusammen mit einer persönlichen Identifikationsnummer (PIN) nutzen. Bei der Pre-Boot-Authentifizierung bilden ein unmanipuliertes TPM und ein BitLocker-Systemstartschlüssel zwei Hälften, die gemeinsam einen sicheren und automatisierten Zugriff auf ein gesperrtes Volume ermöglichen.

Hier sind einige wesentliche Unterschiede zwischen den Authentifizierungsmethoden „nur TPM“, „TPM+PIN“ und „BitLocker-Systemstartschlüssel“ für verschlüsselte Laufwerke.

• Nur TPM: Bei dieser Methode genügt das TPM, um den Zugriff auf das Laufwerk freizugeben, weitere Aktionen der Benutzer:innen sind nicht erforderlich.
• TPM+PIN: Zusätzlich zum TPM fordert das Laufwerk die Benutzer:innen auf, eine PIN einzugeben, die üblicherweise aus 4 bis 20 Zeichen besteht, damit sie auf die darin enthaltenen Daten zugreifen können.
• BitLocker-Systemstartschlüssel: Bei dieser Methode müssen die Benutzer:innen lediglich einen USB-Stick mit dem BitLocker-verschlüsselten Systemstartschlüssel an den Computer anschließen, den Rest erledigt das TPM automatisiert.

„Kann ich das TPM, eine PIN und den BitLocker-Systemstartschlüssel für die Pre-Boot-Authentifizierung nutzen?“ Die Antwort lautet ja, und es empfiehlt sich sogar, möglichst viele dieser Methoden zu kombinieren, um die Datensicherheit zu maximieren, vorausgesetzt, Sie bewahren diese Angaben und Hilfsmittel ordnungsgemäß auf und gehen sorgsam damit um (dazu später mehr).

Best Practices für den Umgang mit BitLocker-Systemstartschlüsseln

Neben dem Wissen, wie Sie Ihren BitLocker-Verschlüsselungsschlüssel Schritt für Schritt richtig exportieren, ist das Beachten der Best Practices im Umgang damit entscheidend für jeden Backup-Vorgang eines Laufwerks. Betrachten Sie diese Praktiken als verlässliche Schlüsselanhänger, damit Ihnen Ihre einzelnen Zugriffswerkzeuge nicht abhandenkommen. Einige davon haben wir im Folgenden zusammengestellt.

Empfehlungen zur sicheren Aufbewahrung Ihres BitLocker-Systemstartschlüssels

Sorgen Sie zunächst dafür, dass Sie Ihren Windows-BitLocker-Systemstartschlüssel an einem gut geschützten Ort aufbewahren, zum Beispiel:

• Externer USB-Speicher: Wenn Sie Ihren Systemstartschlüssel auf einem externen USB-Speicher wie einem mobilen USB-Stick sichern, empfehlen wir, diesen jederzeit bei sich zu tragen (z. B. an einem Schlüsselband neben Ihrem Firmenausweis) oder in einem verborgenen, kühlen Fach aufzubewahren (etwa einer abschließbaren Schreibtischschublade), geschützt vor neugierigen Blicken und direkter Sonneneinstrahlung.
• Passwort-Manager: Da Passwort-Manager von Drittanbietern in Zeiten ständiger Cyberangriffe immer zuverlässiger werden, empfehlen wir, auch Ihren BitLocker-Systemstartschlüssel damit zu schützen.
• Sicherer Cloud-Speicher: Sie können Ihren Systemstartschlüssel auch über einen vertrauenswürdigen Cloud-Speicherdienst in die Cloud hochladen, vorzugsweise mit einem passwortgeschützten Konto.

Bewahren Sie mehrere Kopien Ihres BitLocker-Systemstartschlüssels an getrennten Orten auf

So wie wir eine Multi-Faktor-Authentifizierung für den Zugriff auf den BitLocker-Systemstartschlüssel und dessen Kopieren empfehlen, raten wir auch dazu, mehrere Kopien dieses Schlüssels für den Fall von Verlust oder Diebstahl bereitzuhalten. Orientieren Sie sich beim Ablegen dieser Kopien an getrennten Orten an der 3-2-1-Backup-Regel: drei Kopien Ihres Systemstartschlüssels auf zwei verschiedenen Medientypen (z. B. zwei unterschiedlichen externen Festplatten) und eine davon an einem externen Standort (z. B. im Cloud-Speicher).

Häufige Fehler beim Kopieren und Aufbewahren Ihres Systemstartschlüssels

Wer bei der BitLocker-Schlüsselsicherung vorausschauend handelt, vermeidet die folgenden Fehler:

• Den Aufbewahrungsort des Systemstartschlüssels nicht absichern: Lassen Sie Ihren Systemstartschlüssel für das Betriebssystemlaufwerk nicht dort liegen, wo andere ihn leicht entwenden können. Nutzen Sie einen Cloud-Speicher mit Passwort- oder PIN-Schutz. Bewahren Sie den USB-Stick mit Ihrem Systemstartschlüssel in einer abschließbaren Kassette oder einer verborgenen Schublade auf.
• Nicht den richtigen Schlüssel für das richtige Laufwerk verwenden: Stellen Sie sicher, dass der verwendete BitLocker-Systemstartschlüssel zu dem Laufwerk passt, das Sie starten möchten. Praktisch ist es zum Beispiel, den Buchstaben des verschlüsselten Laufwerks mit einem Permanentmarker auf dem USB-Stick zu notieren.
• Keine mehrfachen Kopien des Systemstartschlüssels anlegen: Wenn Sie Ihren einzigen Systemstartschlüssel zum Starten des verschlüsselten Laufwerks verlieren, kann das den vollständigen Verlust des Zugriffs auf die dortigen Daten bedeuten. Dem beugen Sie vor, indem Sie mehrere Kopien des Schlüssels an getrennten Orten aufbewahren.

Fehlerbehebung und häufige Probleme beim Kopieren des BitLocker-Schlüssels

Kein Zugriff auf den Systemstartschlüssel: das hilft weiter

Stellen Sie vor dem Erstellen eines Systemstartschlüssels für ein Betriebssystemlaufwerk immer sicher, dass BitLocker eingeschaltet und die BitLocker-Laufwerkverschlüsselung aktiviert ist. Dieser Verschlüsselungsschlüssel wird automatisiert erzeugt, sobald Sie einen USB-Stick an Ihr Gerät anschließen. Prüfen Sie sicherheitshalber, dass sich der USB-Stick mit dem Dateisystem NTFS, FAT oder FAT32 formatieren lässt.

Falls Sie nicht auf den Systemstartschlüssel auf Ihrem USB-Stick zugreifen können, versuchen Sie es manuell über den Datei-Explorer mit diesen Schritten:

1. Öffnen Sie den Datei-Explorer auf Ihrem Computer und anschließend die Ordneroptionen.
2. Wählen Sie Ausgeblendete Dateien, Ordner und Laufwerke anzeigen und entfernen Sie das Häkchen bei Geschützte Systemdateien ausblenden (empfohlen). Klicken Sie auf OK.
3. Schließen Sie Ihren USB-Stick an und öffnen Sie ihn im Datei-Explorer.
4. Die Datei mit dem Systemstartschlüssel sollte nun auf Ihrem Bildschirm sichtbar sein. Sie können diese Datei an einem beliebigen anderen Ort sichern und Ihre Standard-Ordneroptionen bei Bedarf wiederherstellen.

Einen verlorenen BitLocker-Systemstartschlüssel wiederherstellen

Prüfen Sie zunächst alle Ihre Speicheroptionen, online wie offline, um festzustellen, ob Ihr BitLocker-Verschlüsselungsschlüssel tatsächlich fehlt: von persönlichen Gegenständen und physischen Aufbewahrungsorten (z. B. Schubladen und abschließbaren Kassetten) bis hin zu Ihren Passwort-Managern, Ihrem Microsoft-Konto, dem Unternehmenskonto und Ihrem Cloud-Dienst-Konto.

Finden Sie Ihren Systemstartschlüssel an keinem dieser Orte, bleibt Ihnen möglicherweise nur der BitLocker-Wiederherstellungsmodus, um auf die Dateien auf Ihrem verschlüsselten Laufwerk zuzugreifen. Dazu müssen Sie einen BitLocker-Wiederherstellungsschlüssel ausfindig machen und damit das Volume entschlüsseln.

BitLocker-Startfehler nach Schlüsseländerungen beheben

Starten Sie nach jeder Änderung an den Authentifizierungsmethoden eines BitLocker-verschlüsselten Laufwerks stets das Laufwerk neu und sichern Sie Ihre Zugangsdaten und Hilfsmittel ab. Nutzen Sie für PINs und Passwörter Ihre Passwort-Manager und Ihren Cloud-Speicher so weit wie möglich. Für externe Speichermedien gelten die oben genannten Aufbewahrungsempfehlungen.

Zur richtigen Sicherung des BitLocker-Schlüssels

Die Sicherung Ihres Systemstartschlüssels für das Betriebssystemlaufwerk, sei es über die BitLocker-Verwaltungsoberfläche, die Eingabeaufforderung, PowerShell oder die Funktion zur Auswahl des Dateispeicherorts, trägt erheblich zur Absicherung Ihres verschlüsselten Laufwerks bei. Bewahren Sie mehrere Kopien Ihres Verschlüsselungsschlüssels an verschiedenen, gut geschützten Orten auf, dann müssen Sie sich kaum je Sorgen machen, den Zugriff auf diese Schlüssel und Ihre sensiblen Daten zu verlieren. Fehlender Zugriff auf kritische Dateien kann zu Ausfallzeit führen. Wer weiß, wie man unter Windows 11 einen von BitLocker verschlüsselten Systemstartschlüssel für das Betriebssystemlaufwerk kopiert, verbessert daher auch die IT-Effizienz.