Belangrijkste punten
- BitLocker in Windows 11 ondersteunt meerdere versleutelingsalgoritmen (XTS-AES, AES-CBC) met sleutellengtes van 128 bits of 256 bits voor gegevensbescherming op maat.
- U kunt de BitLocker-versleutelingsmethode wijzigen voordat u een schijf versleutelt, via de Editor voor groepsbeleid, de Register-editor, PowerShell of een .reg-bestand.
- XTS-AES 256-bits biedt sterkere beveiliging voor vaste stations, terwijl AES-CBC-methoden nuttig blijven voor oudere of verwisselbare devices.
- Het wijzigen van versleutelingsmethoden helpt u te voldoen aan zakelijke beveiligingsstandaarden en compliance-eisen en de prestaties te optimaliseren.
- Alleen bij onversleutelde schijven kan de BitLocker-versleutelingsmethode worden aangepast; bestaande versleutelde volumes blijven ongewijzigd.
Versleuteling is een essentieel beveiligingsinstrument, zeker in enterprise-omgevingen. BitLocker is een native functie van Windows 11 die meerdere versleutelingsalgoritmen ondersteunt, waaronder AES-CBC en AES-XTS, met sleutellengtes van 128 bit of 256 bit.
Met BitLocker kunt u de versleutelingsmethode wijzigen zodat die aansluit op uw situatie. XTS-AES 128-bit is de standaardmethode, maar afhankelijk van uw hardware of beveiligingseisen kunt u een andere methode nodig hebben.
Wilt u dit onderwerp visueel uitgelegd zien? Bekijk dan Zo wijzigt u de BitLocker-stationsversleutelingsmethode in Windows 11.
Manieren om de BitLocker-stationsversleutelingsmethode te wijzigen
Als ervaren gebruiker kunt u de versleutelingsmethode wijzigen via de Editor voor lokaal groepsbeleid of de Register-editor. In beheerde omgevingen kunt u een script uitrollen met Windows PowerShell of een .reg-bestand aanmaken.
📌 Vereisten:
- Deze handleiding geldt voor Windows 11 Pro, Enterprise en Education.
- U hebt beheerderstoegang nodig.
- Dit geldt alleen voor nieuwe BitLocker-volumes. Het station mag nog niet versleuteld zijn.
- U hebt toegang nodig tot de Editor voor groepsbeleid of de Register-editor van Windows.
⚠️ Belangrijk: hebt u BitLocker al ingeschakeld op het betreffende station, dan moet u BitLocker uitschakelen (het station ontsleutelen) voordat deze wijzigingen effect hebben.
Instellingen voor de BitLocker-versleutelingsmethode gelden alleen voor nieuwe versleutelingen – bestaande volumes blijven hun huidige versleutelingsalgoritme gebruiken totdat u ze ontsleutelt en opnieuw versleutelt.
📌 Aanbevolen uitrolstrategieën:
| Klik om een methode te kiezen | 💻 Beste voor individuele gebruikers | 💻💻💻 Beste voor organisaties |
| Methode 1: versleutelingsmethode instellen via de Editor voor groepsbeleid | ✓ | ✓ |
| Methode 2: versleutelingsmethode instellen via de Register-editor | ✓ | ✓ |
| Methode 3: PowerShell-script voor automatisering | ✓ | |
| Methode 4: een .reg-bestand aanmaken | ✓ |
Methode 1: versleutelingsmethode instellen via de Editor voor groepsbeleid
📌 Use case: deze methode is geschikt voor enterprise-omgevingen of ervaren gebruikers.
- Open het startmenu en zoek naar Groepsbeleid bewerken om het programma te openen.
- Ga naar Computerconfiguratie > Beheersjablonen > Windows-onderdelen > BitLocker-stationsversleuteling.
- Dubbelklik op Stationsversleutelingsmethode en sterkte van codering kiezen (Windows 10 [versie 1511] en hoger).
- Selecteer Ingeschakeld.
- Pas onder het gedeelte Opties de instellingen aan naar wens.
- U kunt de versleutelingsinstellingen wijzigen voor vaste gegevensstations, besturingssysteemstations en verwisselbare gegevensstations.
- Standaard staat dit op XTS-AES 128-bit. De overige opties zijn:
- AES-CBC 128-bit
- AES-CBC 256-bit
- XTS-AES 256-bit
- Klik op Toepassen en daarna op OK. U kunt de Editor voor groepsbeleid nu sluiten.
- Open het startmenu en zoek naar Opdrachtprompt om het programma te openen.
- Typ gpupdate /force en druk op Enter. Daarmee worden de wijzigingen in het groepsbeleid toegepast.
Methode 2: versleutelingsmethode instellen via de Register-editor
📌 Use case: deze methode is geschikt voor enterprise-omgevingen of ervaren gebruikers.
- Open het startmenu en zoek naar Register-editor om het programma te openen.
- Ga naar HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\FVE
- Selecteer de waarde voor het station dat u wilt aanpassen:
- EncryptionMethodWithXtsOs (voor besturingssysteemstations)
- EncryptionMethodWithXtsFdv (voor vaste gegevensstations)
- EncryptionMethodWithXtsRdv (voor verwisselbare stations)
- Wijzig de waarde naar wens.
- AES 128-bit (CBC) = 0
- AES 256-bit (CBC) = 1
- Hardwareversleuteling (indien ondersteund) = 2
AES 128-bit (CBC - legacy) = 3AES 256-bit (CBC - legacy) = 4- (Gereserveerd/niet gebruikt) = 5
- XTS-AES 128-bit = 6
- XTS-AES 256-bit = 7
- Start uw computer opnieuw op om de wijzigingen toe te passen.
Methode 3: PowerShell-script voor automatisering
📌 Use case: dit is ideaal voor beheerde omgevingen. U kunt deze instellingen op afstand wijzigen met Windows PowerShell.
- Open het startmenu, zoek naar Windows PowerShell, klik met de rechtermuisknop en kies Als administrator uitvoeren.
- Typ de volgende opdracht en druk op Enter. Daarmee stelt u de versleutelingsmethode in op XTS-AES 256-bit.
New-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\FVE" -Force | Out-Null
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\FVE" -Name "EncryptionMethodWithXtsOs" -Value 5
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\FVE" -Name "EncryptionMethodWithXtsFdv" -Value 5
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\FVE" -Name "EncryptionMethodWithXtsRdv" -Value 5
Wilt u maar één specifiek station aanpassen, verwijder dan de regels die u niet nodig hebt.
- EncryptionMethodWithXtsOs – besturingssysteemstations
- EncryptionMethodWithXtsFdv – vaste gegevensstations
- EncryptionMethodWithXtsRdv – verwisselbare stations
Wilt u een andere versleutelingsmethode instellen, pas dan de waarde aan.
- AES 128-bit (CBC) = 0
- AES 256-bit (CBC) = 1
- Hardwareversleuteling (indien ondersteund) = 2
AES 128-bit (CBC - legacy) = 3AES 256-bit (CBC - legacy) = 4- (Gereserveerd/niet gebruikt) = 5
- XTS-AES 128-bit = 6
- XTS-AES 256-bit = 7
- U kunt Windows PowerShell nu sluiten. Start de computer opnieuw op om de wijzigingen toe te passen.
Methode 4: een .reg-bestand aanmaken
📌 Use case: deze methode werkt het best in enterprise-omgevingen. U kunt dit uitvoeren met uw favoriete tool voor endpoint management.
- Open het startmenu en zoek naar Kladblok om het programma te openen.
- Typ het volgende:
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\FVE]
"EncryptionMethodWithXtsOs"=dword:00000005
"EncryptionMethodWithXtsFdv"=dword:00000005
"EncryptionMethodWithXtsRdv"=dword:00000005
Wilt u maar één specifiek station aanpassen, verwijder dan de regels die u niet nodig hebt.
- EncryptionMethodWithXtsOs – besturingssysteemstations
- EncryptionMethodWithXtsFdv – vaste gegevensstations
- EncryptionMethodWithXtsRdv – verwisselbare stations
Wilt u een andere versleutelingsmethode instellen, pas dan de dword-waarde aan.
- AES 128-bit (CBC) = 0
- AES 256-bit (CBC) = 1
- Hardwareversleuteling (indien ondersteund) = 2
AES 128-bit (CBC - legacy) = 3AES 256-bit (CBC - legacy) = 4- (Gereserveerd/niet gebruikt) = 5
- XTS-AES 128-bit = 6
- XTS-AES 256-bit = 7
- Klik op Bestand > Opslaan als.
- Geef het de naam BitLocker_EncryptionMethod.reg.
- Kies in het vervolgkeuzemenu Opslaan als type > Alle bestanden.
- U kunt Kladblok nu sluiten.
- Ga naar de locatie waar u het .reg-bestand hebt opgeslagen en dubbelklik erop. Daarmee voert u het .reg-bestand uit en past u de wijzigingen toe in het Windows-register.
- Start uw computer opnieuw op om de wijzigingen op het systeem toe te passen.
⚠️ Waar u op moet letten
| Risico’s | Mogelijke gevolgen | Herstelacties |
| Een gebruiker stelt een minder veilige versleutelingsmethode in dan aanbevolen. | Daardoor kan het station blootgesteld raken aan beveiligingsproblemen. | Zorg dat u de beste versleutelingsmethode kiest die past bij uw hardware. XTS-AES is de veiligere optie voor vaste stations en wordt aanbevolen. |
| Een gebruiker brengt onjuiste wijzigingen aan in het Windows-register. | Dat kan leiden tot verkeerde instellingen of een instabiel systeem. | Maak een back-up van het Windows-register voordat u wijzigingen aanbrengt. Daarmee kunt u het register terugzetten naar de vorige staat als er onbedoelde wijzigingen zijn aangebracht. |
Ondersteunde versleutelingscombinaties
BitLocker in Windows 11 ondersteunt de volgende versleutelingsopties:
- XTS-AES 128-bit (standaard)
- XTS-AES 256-bit
- AES-CBC 128-bit (alleen voor verwisselbare stations)
- AES-CBC 256-bit (alleen voor verwisselbare stations)
XTS-AES is veiliger en is de aanbevolen optie voor vaste stations. AES-CBC is daarentegen compatibel met oudere systemen en kan worden gebruikt op usb-stations.
Waar u verder op moet letten voordat u de BitLocker-stationsversleutelingsmethode wijzigt
- Dit kan alleen voordat het station is versleuteld. U moet dit dus doen voordat u BitLocker activeert.
- Het wijzigen van deze instellingen heeft geen invloed op bestaande volumes. Is een station al versleuteld, dan wordt het niet opnieuw versleuteld.
- 256-bit versleuteling is veiliger dan 128-bit versleuteling, maar maakt uw systeem wel iets trager.
- Wilt u controleren welke versleuteling momenteel in gebruik is, open dan de Opdrachtprompt, typ
manage-bde -statusen druk op Enter.
Waarom zou u de BitLocker-versleutelingsmethode wijzigen?
Door de versleutelingsmethode van BitLocker te wijzigen, zorgt u ervoor dat al uw beheerde devices voldoen aan de beveiligingsnormen van uw organisatie. Het kan ook nodig zijn om te voldoen aan lokale wetgeving en landelijk beleid.
De versleutelingsmethode kan ook van invloed zijn op de prestaties van een device. Een wijziging kan helpen om de prestaties te optimaliseren en compatibiliteit te garanderen met externe tools voor ontsleuteling of herstel.
Quick-start guide
NinjaOne helpt u BitLocker-versleuteling te beheren, inclusief het wijzigen van de versleutelingsmethode, op de volgende manieren:
1. Scripts uitrollen
Met Script Management van NinjaOne kunt u PowerShell- of batchscripts uitrollen die BitLocker-instellingen aanpassen.
2. Groepsbeleidbeheer
Als uw NinjaOne-abonnement Group Policy Management bevat, kunt u:
Groepsbeleidsobjecten (GPO’s) uitrollen die BitLocker-instellingen configureren.
GPO’s gebruiken om versleutelingsmethoden (bijvoorbeeld XTS-AES 256-bit) af te dwingen voor besturingssysteem- en gegevensstations.
3. Patchbeheer
Met Windows Patch Management van NinjaOne kunt u updates toepassen die nieuwere versleutelingsmethoden mogelijk maken of ondersteunen, indien nodig.
NinjaOne beschikt over een script met de naam “Suspend BitLocker” dat het volgende doet:
- Onderbreekt de BitLocker-beveiliging tot na de volgende herstart
- Kan de computer optioneel opnieuw opstarten zodra de beveiliging is onderbroken
- Moet met beheerdersrechten worden uitgevoerd
- Biedt een manier om de BitLocker-versleutelingsbeveiliging tijdelijk uit te schakelen
- Handig wanneer u systeemwijzigingen moet doorvoeren die door actieve BitLocker-versleuteling verstoord kunnen worden
Verbeter de beveiliging door de BitLocker-versleutelingsmethode te wijzigen
U kunt de BitLocker-versleutelingsmethode wijzigen via de Editor voor lokaal groepsbeleid of de Register-editor. Beheerders in enterprise-omgevingen kunnen daarnaast Windows PowerShell-scripts gebruiken of een .reg-bestand aanmaken.
Het wijzigen van de versleutelingsmethode helpt u te voldoen aan de beveiligingsnormen van uw organisatie en aan lokale wetgeving en landelijk beleid. Mogelijk wilt u deze instelling ook beheren op basis van de hardware van uw devices. Houd er wel rekening mee dat dit alleen kan op een onversleuteld station: op al versleutelde devices kunt u de methode niet meer wijzigen.
Gerelateerde links:
- Zo schakelt u apparaatversleuteling in of uit in Windows 11
- Zo vergrendelt u met BitLocker versleutelde stations in Windows
- Zo ontgrendelt u een met BitLocker versleuteld besturingssysteemstation in Windows 10
- Zo vindt u uw BitLocker-herstelsleutel in Windows
- Zo ontgrendelt u een BitLocker-station (vast of verwisselbaar) in Windows
Bekijk ook deze korte videohandleiding: ‘Zo vergrendelt u met BitLocker versleutelde stations in Windows’.
