So aktivieren Sie die BitLocker-Verschlüsselung in Windows 11

Was BitLocker schützt und was es braucht

BitLocker verschlüsselt das gesamte Volume — Systemdateien, Programme, Ihre Dokumente —, und der Schlüssel verlässt das TPM-Modul nur, wenn Sie selbst einen Wiederherstellungsschlüssel exportieren. Wer einem Laptop die SSD entwendet, erhält Rauschen statt Daten; selbst ein bootfähiger USB-Stick mit vollem Festplattenzugriff liest nichts. Die Verschlüsselung läuft transparent und auf jedem modernen Prozessor praktisch ohne spürbaren Aufwand.

Die Einschränkungen liegen bei Edition und Hardware. Volles BitLocker erfordert Windows 11 Pro, Enterprise oder Education; die Home-Edition bietet nur die schlankere „Geräteverschlüsselung“ auf unterstützter Hardware. Dazu braucht es ein TPM-2.0-Modul und den UEFI-Start — auf jeder Windows-11-Maschine Standard — sowie einen Wiederherstellungsschlüssel, den Sie in zwei Jahren tatsächlich wiederfinden.

• Ein BIOS-, UEFI- oder TPM-Firmware-Update, das den gemessenen Startzustand ändert
• Austausch von Mainboard oder CPU, Umzug der SSD in einen anderen PC
• Änderungen an Bootreihenfolge oder Secure Boot, ein steckengebliebener bootbarer USB-Stick
• Zu Wartungszwecken angehaltener und nie fortgesetzter Schutz
• Vergessene Start-PIN, falls Sie zusätzlich zum TPM eine nutzen

BitLocker Schritt für Schritt aktivieren

Öffnen Sie die Systemsteuerung → System und Sicherheit → BitLocker-Laufwerkverschlüsselung — am schnellsten über die Startmenü-Suche nach „BitLocker verwalten“ — oder klicken Sie im Explorer mit der rechten Maustaste auf Laufwerk C: und wählen Sie „BitLocker aktivieren“. Der Assistent fragt zuerst, wo der 48-stellige Wiederherstellungsschlüssel gespeichert werden soll: Microsoft-Konto, USB-Stick, Datei oder Ausdruck. Das Microsoft-Konto ist am bequemsten — den Schlüssel gibt es jederzeit unter aka.ms/myrecoverykey; die einzige eiserne Regel lautet, nie die einzige Kopie auf dem Laufwerk zu lagern, das sie schützt.

Danach wählen Sie „Nur belegten Speicherplatz verschlüsseln“ — für ein Laufwerk im Alltag ausreichend — oder „Gesamtes Laufwerk verschlüsseln“, besser für eine Platte, auf der schon Daten lagen, und entscheiden, ob die BitLocker-Systemprüfung beim nächsten Neustart laufen soll. Nach dem Reboot erscheint das Schloss-Symbol im Infobereich, und die Verschlüsselung läuft im Hintergrund weiter; den Fortschritt prüfen Sie jederzeit mit manage-bde -status C: in einer Administrator-Eingabeaufforderung. Auf einer modernen NVMe-SSD ist die Sache meist in unter einer Stunde erledigt. Ein Check vorab: Auf vielen vorinstallierten Läuften läuft die schlankere Geräteverschlüsselung bereits ab Werk — nachsehen unter Einstellungen → Datenschutz und Sicherheit → Geräteverschlüsselung —, aber nur der volle Assistent bietet Anhalten, Start-PIN und die Steuerung von Datenlaufwerken.

Danach: Schutz vor Firmware-Updates anhalten, bei Bedarf entschlüsseln

Zwei Gewohnheiten halten BitLocker unauffällig. Vor einem BIOS-/UEFI- oder TPM-Firmware-Update öffnen Sie dieselbe BitLocker-Seite und klicken auf „Schutz anhalten“: Die Daten bleiben verschlüsselt, aber Windows erzwingt den gemessenen Startzustand nicht mehr, das Update löst also keine Abfrage des Wiederherstellungsschlüssels aus. Danach den Schutz fortsetzen — oder einfach neu starten, denn die Pause endet automatisch. Zusätzliche Datenlaufwerke verschlüsseln Sie per Rechtsklick im Explorer und aktivieren das automatische Entsperren, damit sie zusammen mit dem Systemlaufwerk offengehen.

Das vollständige Deaktivieren — „BitLocker deaktivieren“ — entschlüsselt das Laufwerk komplett: Auf einer alten HDD dauert das Stunden, auf einer SSD deutlich weniger; wenn Sie den PC verkaufen, ist ein Windows-Reset mit „Alles entfernen“ der sauberere Weg. Und verlangt Windows beim Start doch einmal den Wiederherstellungsschlüssel, holen Sie ihn unter aka.ms/myrecoverykey, statt zu raten — nach mehreren Fehlversuchen kann das Laufwerk gesperrt werden.

Fragen und Antworten

Weiterlesen

Alle Artikel · FAQ