BitLocker-Geräterichtlinie

• Wie sie ihr Laufwerk beim Start entsperren möchten
• Wie sie ihren Wiederherstellungsschlüssel sichern
• Wie ein festes Laufwerk entsperrt wird.

• BitLocker auf Geräten ohne TPM-Chip aktiviert werden soll.
• Wiederherstellungsoptionen in der BitLocker-Oberfläche angezeigt werden sollen.
• Der Schreibzugriff auf ein festes oder Wechseldatenträger verweigert werden soll, wenn BitLocker nicht aktiviert ist.
• Ein verschlüsselter BitLocker-Wiederherstellungsschlüssel sicher gespeichert werden soll, damit Benutzer darauf zugreifen können, falls sie den Schlüssel vergessen oder verlegen. Dieser Schlüssel ist im Self-Help-Portal zu finden.

Anforderungen

• Die BitLocker-Geräterichtlinie erfordert Windows 10 Enterprise oder Windows 11 Enterprise Edition.
• Bevor Sie die BitLocker-Geräterichtlinie bereitstellen, bereiten Sie Ihre Umgebung für die BitLocker-Nutzung vor. Detaillierte Informationen von Microsoft, einschließlich der BitLocker-Systemanforderungen und der Einrichtung, finden Sie in den Artikeln unter BitLocker.

Einstellungen für Windows-Desktops und -Tablets

• BitLocker-Einstellungen
  • Gerät muss verschlüsselt werden: Legt fest, ob Benutzer aufgefordert werden sollen, die BitLocker-Verschlüsselung auf dem Windows-Desktop oder -Tablet zu aktivieren. Wenn Ein, zeigen die Geräte nach Abschluss der Registrierung eine Meldung an, die darauf hinweist, dass das Unternehmen eine Geräteverschlüsselung erfordert. Wenn Aus, wird der Benutzer nicht aufgefordert und BitLocker verwendet die Richtlinieneinstellungen. Standardmäßig Aus.
• Verschlüsselungseinstellungen
  • Verschlüsselungsmethoden konfigurieren: Legt die Verschlüsselungsmethoden fest, die für bestimmte Laufwerkstypen verwendet werden sollen. Wenn Aus, fordert der BitLocker-Assistent den Gerätebenutzer auf, die für einen Laufwerkstyp zu verwendende Verschlüsselungsmethode auszuwählen. Die Verschlüsselungsmethode für alle Laufwerke ist standardmäßig XTS-AES 128 Bit. Die Verschlüsselungsmethode für Wechsellaufwerke ist standardmäßig AES-CBC 128 Bit. Wenn Ein, verwendet BitLocker die in der Richtlinie angegebene Verschlüsselungsmethode. Wenn Ein, werden diese zusätzlichen Einstellungen angezeigt: Betriebssystemlaufwerk, Festes Laufwerk und Wechsellaufwerk. Wählen Sie die Standardverschlüsselungsmethode für jeden Laufwerkstyp. Standardmäßig Aus.
• Einstellungen für Betriebssystemlaufwerk
  • Zusätzliche Authentifizierung beim Start erforderlich: Gibt die zusätzliche Authentifizierung an, die während des Gerätestarts erforderlich ist. Legt auch fest, ob BitLocker auf Geräten ohne TPM-Chip zugelassen werden soll. Wenn Aus, können Geräte ohne TPM keine BitLocker-Verschlüsselung verwenden. Informationen zu TPM finden Sie im Microsoft-Artikel Trusted Platform Module Technology Overview. Wenn Ein, werden die folgenden zusätzlichen Einstellungen angezeigt. Standardmäßig Aus.
  • BitLocker auf Geräten ohne TPM-Chip blockieren: Auf einem Gerät ohne TPM-Chip müssen Benutzer für BitLocker ein Entsperrkennwort oder einen Startschlüssel erstellen. Der Startschlüssel wird auf einem USB-Laufwerk gespeichert, das der Benutzer vor dem Start mit dem Gerät verbinden muss. Das Entsperrkennwort muss mindestens acht Zeichen lang sein. Standardmäßig Aus.
  • TPM-Start: Auf einem Gerät mit TPM gibt es vier Entsperrmodi: Nur TPM, TPM + PIN, TPM + Schlüssel und TPM + PIN + Schlüssel. Der TPM-Start ist für den Nur-TPM-Modus, in dem Verschlüsselungsschlüssel im TPM-Chip gespeichert werden. Dieser Modus erfordert vom Benutzer keine zusätzlichen Entsperrdaten. Das Benutzergerät wird beim Neustart automatisch entsperrt, wobei der Verschlüsselungsschlüssel vom TPM-Chip verwendet wird. Standardmäßig TPM zulassen.
  • TPM-Start-PIN: Diese Einstellung ist der Entsperrmodus TPM + PIN. Eine PIN kann bis zu 20 Ziffern haben. Verwenden Sie die Einstellung Minimale PIN-Länge, um die minimale PIN-Länge anzugeben. Ein Benutzer konfiguriert eine PIN während der BitLocker-Einrichtung und gibt die PIN während des Gerätestarts ein.
  • TPM-Startschlüssel: Diese Einstellung ist der Entsperrmodus TPM + Schlüssel. Der Startschlüssel wird auf einem USB- oder anderen Wechsellaufwerk gespeichert, das der Benutzer vor dem Start mit dem Gerät verbinden muss.
  • TPM-Startschlüssel und PIN: Diese Einstellung ist der Entsperrmodus TPM + PIN + Schlüssel.
    Wenn die Entsperrung erfolgreich ist, beginnt das Betriebssystem zu laden. Andernfalls wechselt das Gerät in den Wiederherstellungsmodus.
• PIN-Länge
  • Minimale PIN-Länge: Die minimale Länge der TPM-Start-PIN. Standardmäßig 6.
• BitLocker-Kennwortwiederherstellungseinstellungen
  • BitLocker-Wiederherstellungssicherung in Citrix Endpoint Management: Wenn diese Option aktiviert ist, können Benutzer, die ihre Geräte entsperren müssen, ihren BitLocker-Wiederherstellungsschlüssel im Self-Help Portal finden. Der Citrix Endpoint Management-Administrator kann den BitLocker-Wiederherstellungsschlüssel eines Benutzers nicht sehen. Weitere Informationen zum Anzeigen Ihres BitLocker-Wiederherstellungsschlüssels finden Sie unter BitLocker-Wiederherstellungsschlüssel.
• Wiederherstellungseinstellungen für das Betriebssystemlaufwerk: Konfiguriert die Wiederherstellungsoptionen für Benutzer eines BitLocker-verschlüsselten Betriebssystemlaufwerks.
  • Wiederherstellung des Betriebssystemlaufwerks aktivieren: Wenn der Entsperrschritt fehlschlägt, fordert BitLocker den Benutzer zur Eingabe des konfigurierten Wiederherstellungsschlüssels auf. Diese Einstellung konfiguriert die Wiederherstellungsoptionen für das Betriebssystemlaufwerk, die Benutzern zur Verfügung stehen, wenn sie das Entsperrkennwort oder den USB-Startschlüssel nicht haben. Standard ist Off.
  • Zertifikatbasierten Datenwiederherstellungs-Agent zulassen: Gibt an, ob ein zertifikatbasierter Datenwiederherstellungs-Agent zugelassen werden soll. Fügen Sie einen Datenwiederherstellungs-Agent aus den Public Key Policies hinzu, die sich in der Gruppenrichtlinienverwaltungskonsole (GPMC) oder im Editor für lokale Gruppenrichtlinien befinden. Weitere Informationen zu Datenwiederherstellungs-Agents finden Sie im Microsoft-Artikel BitLocker-Gruppenrichtlinieneinstellungen. Standard ist Off.
  • 48-Bit-Wiederherstellungskennwort: Gibt an, ob Benutzer ein Wiederherstellungskennwort verwenden dürfen oder müssen. BitLocker generiert das Kennwort und speichert es in einer Datei oder einem Microsoft Cloud-Konto. Standard ist Allow 48 bit password.
  • 256-Bit-Wiederherstellungsschlüssel: Gibt an, ob Benutzer einen Wiederherstellungsschlüssel verwenden dürfen oder müssen. Ein Wiederherstellungsschlüssel ist eine BEK-Datei, die auf einem USB-Laufwerk gespeichert ist. Standard ist Allow 256-bit recovery key.
  • Wiederherstellungsoptionen für das Betriebssystemlaufwerk ausblenden: Gibt an, ob Wiederherstellungsoptionen in der BitLocker-Oberfläche angezeigt oder ausgeblendet werden sollen. Wenn On, werden keine Wiederherstellungsoptionen in der BitLocker-Oberfläche angezeigt. Registrieren Sie in diesem Fall das Gerät bei Active Directory, speichern Sie die Wiederherstellungsoptionen in Active Directory und setzen Sie Save recovery info to AD DS auf On. Standard ist Off.
  • Wiederherstellungsinformationen in Active Directory Domain Services speichern: Gibt an, ob die Wiederherstellungsoptionen in Active Directory Domain Services gespeichert werden sollen. Standard ist Off.
  • Wiederherstellungsinformationen in Active Directory Domain Services gespeichert: Gibt an, ob das BitLocker-Wiederherstellungskennwort oder das Wiederherstellungskennwort und das Schlüsselpaket in Active Directory Domain Services gespeichert werden sollen. Das Speichern des Schlüsselpakets unterstützt die Wiederherstellung von Daten von einem physisch beschädigten Laufwerk. Standard ist Backup recovery password.
  • BitLocker nach Speicherung der Wiederherstellungsinformationen in Active Directory Domain Services aktivieren: Gibt an, ob Benutzer daran gehindert werden sollen, BitLocker zu aktivieren, es sei denn, das Gerät ist mit einer Domäne verbunden und die Sicherung der BitLocker-Wiederherstellungsinformationen in Active Directory ist erfolgreich. Wenn On, muss ein Gerät einer Domäne beigetreten sein, bevor BitLocker gestartet wird. Standard ist Off.
  • Preboot-Wiederherstellungsnachricht und URL: Gibt an, ob BitLocker eine angepasste Nachricht und URL auf dem Wiederherstellungsbildschirm anzeigt. Wenn On, werden die folgenden zusätzlichen Einstellungen angezeigt: Use default recovery message and URL, Use empty recovery message and URL, Use custom recovery message, Use custom recovery URL, und Use Citrix Endpoint Management recovery message and URL. Wenn Off, werden die Standard-Wiederherstellungsnachricht und URL angezeigt. Standard ist Off.
• Wiederherstellungseinstellungen für feste Laufwerke: Konfiguriert die Wiederherstellungsoptionen für Benutzer für ein BitLocker-verschlüsseltes festes Laufwerk. BitLocker zeigt Benutzern keine Meldung zur Verschlüsselung fester Laufwerke an. Um ein Laufwerk beim Start zu entsperren, gibt ein Benutzer ein Kennwort oder eine Smartcard ein. Die Start-Entsperreinstellungen, die nicht in dieser Richtlinie enthalten sind, werden in der BitLocker-Oberfläche angezeigt, wenn ein Benutzer die BitLocker-Verschlüsselung auf einem festen Laufwerk aktiviert. Informationen zu den zugehörigen Einstellungen finden Sie unter Wiederherstellung des Betriebssystemlaufwerks konfigurieren weiter oben in dieser Liste. Standard ist Aus.
• Einstellungen für feste Laufwerke
  • Schreibzugriff auf feste Laufwerke blockieren, die BitLocker nicht verwenden: Wenn Ein, können Benutzer nur auf feste Laufwerke schreiben, wenn diese mit BitLocker verschlüsselt sind. Standard ist Aus.
• Einstellungen für Wechseldatenträger
• Schreibzugriff auf Wechseldatenträger blockieren, die BitLocker nicht verwenden: Wenn Ein, können Benutzer nur auf Wechseldatenträger schreiben, wenn diese mit BitLocker verschlüsselt sind. Konfigurieren Sie diese Einstellung danach, ob Ihre Organisation den Schreibzugriff auf andere Wechseldatenträger der Organisation zulässt. Standard ist Aus.
• Schreibzugriff auf andere Geräte der Organisation blockieren: Wenn Ein, können Benutzer nicht auf andere Geräte innerhalb ihrer Organisation schreiben, z. B. ein Netzlaufwerk.
• Andere Laufwerkseinstellungen
• Aufforderung zur Verschlüsselung anderer Datenträger: Ermöglicht Ihnen, die Warnmeldung für die Verschlüsselung anderer Datenträger auf Geräten zu deaktivieren. Standard ist Aus.