Anleitung zur Konfiguration von BitLocker zur Durchsetzung der Softwareverschlüsselung

Anleitung zur Konfiguration von BitLocker zur Durchsetzung der Softwareverschlüsselung
Security Advisory
Published: 11/06/2018

On this page

• Executive Summary
• Exploitability Assessment
• Security Updates
• Mitigations
• Workarounds
• FAQ
• Acknowledgements
• Disclaimer
• Revisions

Microsoft ist bekannt, dass es Schwachstellen bei der Hardwareverschlüsselung bestimmter selbstverschlüsselnder Laufwerke (SEDs) gibt. Kunden, die über dieses Problem besorgt sind, sollten die Verwendung der Software nur mit der Verschlüsselung von BitLocker Drive Encryption™ in Betracht ziehen. Auf Windows-Computern mit selbstverschlüsselnden Laufwerken verwaltet BitLocker Drive Encryption™ die Verschlüsselung und verwendet standardmäßig die Hardwareverschlüsselung. Administratoren, die die Softwareverschlüsselung auf Computern mit selbstverschlüsselnden Laufwerken erzwingen möchten, können dies durch die Bereitstellung einer Gruppenrichtlinie erreichen, die das Standardverhalten überschreibt. Windows wird die Gruppenrichtlinie zur Durchsetzung der Softwareverschlüsselung nur zum Zeitpunkt der Aktivierung von BitLocker konsultieren.

Um die Art der verwendeten Laufwerksverschlüsselung (Hardware oder Software) zu überprüfen:

Führen Sie'manage-bde.exe.exe -status' von der erhöhten Eingabeaufforderung aus.
Wenn keiner der aufgeführten Laufwerke "Hardwareverschlüsselung" für das Feld Verschlüsselungsmethode meldet, dann verwendet dieses Gerät Softwareverschlüsselung und ist nicht von Schwachstellen betroffen, die mit der selbstverschlüsselnden Laufwerksverschlüsselung verbunden sind.
Für Laufwerke, die mit einer anfälligen Form der Hardwareverschlüsselung verschlüsselt sind, können Sie die Schwachstelle beheben, indem Sie mit Bitlocker mit einer Gruppenrichtlinie auf Softwareverschlüsselung umsteigen.

Hinweis: Nachdem ein Laufwerk mit Hardwareverschlüsselung verschlüsselt wurde, erfordert der Wechsel zur Softwareverschlüsselung auf diesem Laufwerk, dass das Laufwerk zuerst unverschlüsselt und dann mit Softwareverschlüsselung wiederverschlüsselt wird. Wenn Sie BitLocker Drive Encryption verwenden, reicht es nicht aus, den Wert der Gruppenrichtlinie zu ändern, um die Softwareverschlüsselung allein durchzusetzen, um bestehende Daten erneut zu verschlüsseln.

WICHTIG: Sie müssen das Laufwerk NICHT neu formatieren oder Anwendungen neu installieren, nachdem Sie die BitLocker-Einstellungen geändert haben.

Schwachstellen im Zusammenhang mit selbstverschlüsselnden Laufwerken auf Windows-Systemen zu beheben:

Konfigurieren und Bereitstellen einer Gruppenrichtlinie zur Aktivierung der erzwungenen Softwareverschlüsselung.
Schalten Sie BitLocker vollständig aus, um das Laufwerk zu entschlüsseln.
Aktivieren Sie BitLocker wieder.
Weitere Informationen zu Bitlocker und Gruppenrichtlinieneinstellungen zur Durchsetzung der Softwareverschlüsselung finden Sie hier:

• Bitlocker Overview
• BitLocker Device Encryption in Windows 10
• BitLocker frequently asked questions (FAQ)
• Bitlocker and Encrypted Hard Drives
• Encrypted Hard Drive Device Guide
• BitLocker Group Policy Settings

{{windowTitle}}