Bildschirm zur Wiederherstellung vor dem BitLocker-Vorstart

Während der BitLocker-Wiederherstellung ist der Bildschirm für die Wiederherstellung vor dem Start ein wichtiger Touchpoint für Benutzer und bietet eine benutzerdefinierte Wiederherstellungsnachricht, die auf die Anforderungen der Organisation zugeschnitten ist, eine direkte Wiederherstellungs-URL für zusätzliche Unterstützung und strategische Hinweise, um Benutzer bei der Suche nach ihrem Wiederherstellungsschlüssel zu unterstützen.

In diesem Artikel werden die verschiedenen Elemente erläutert, die auf dem Bildschirm für die Wiederherstellung vor dem Start angezeigt werden, und es wird beschrieben, wie Richtlinieneinstellungen und der Status von Wiederherstellungsschlüsseln die angezeigten Informationen beeinflussen. Unabhängig davon, ob es sich um eine personalisierte Nachricht oder eine praktische Anleitung handelt, ist der Bildschirm für die Wiederherstellung vor dem Start darauf ausgelegt, den Wiederherstellungsprozess für Benutzer zu optimieren.

Standardbildschirm für die Wiederherstellung vor dem Start

Benutzerdefinierte Wiederherstellungsnachricht

Mit BitLocker-Richtlinieneinstellungen können Sie eine benutzerdefinierte Wiederherstellungsnachricht und eine URL auf dem BitLocker-Bildschirm für die Wiederherstellung vor dem Start konfigurieren. Die benutzerdefinierte Wiederherstellungsnachricht und DIE URL können die Adresse des BitLocker-Self-Service-Wiederherstellungsportals, die interne IT-Website oder eine Telefonnummer für den Support enthalten.

Weitere Informationen zum Konfigurieren einer benutzerdefinierten Wiederherstellungsnachricht mit Richtlinieneinstellungen finden Sie unter Konfigurieren einer Preboot-Wiederherstellungsnachricht und -URL.

Hinweise zum Wiederherstellungsschlüssel

BitLocker-Metadaten enthalten Informationen dazu, wann und wo ein BitLocker-Wiederherstellungsschlüssel gespeichert wurde. Diese Informationen werden nicht über die Benutzeroberfläche oder eine öffentliche API verfügbar gemacht. Es wird ausschließlich vom BitLocker-Wiederherstellungsbildschirm in Form von Hinweisen verwendet, um einem Benutzer zu helfen, den Wiederherstellungsschlüssel eines Volumes zu finden. Hinweise werden auf dem Wiederherstellungsbildschirm angezeigt und beziehen sich auf den Speicherort, an dem der Schlüssel gespeichert wurde. Die Hinweise gelten sowohl für den Wiederherstellungsbildschirm des Start-Managers als auch für den WinRE-Entsperrungsbildschirm.

Es gibt Regeln, welche Hinweise während der Wiederherstellung angezeigt werden (in der Reihenfolge der Verarbeitung):

1. Benutzerdefinierte Wiederherstellungsmeldung immer anzeigen, wenn sie über Richtlinieneinstellungen konfiguriert sind
2. Immer generischen Hinweis anzeigen: Weitere Informationen findest du https://aka.ms/recoverykeyfaqunter
3. Wenn mehrere Wiederherstellungsschlüssel auf dem Volume vorhanden sind, priorisieren Sie den zuletzt erstellten (und erfolgreich gesicherten) Wiederherstellungsschlüssel.
4. Priorisieren von Schlüsseln mit erfolgreicher Sicherung gegenüber Schlüsseln, die noch nie gesichert wurden
5. Priorisieren Sie Sicherungshinweise in der folgenden Reihenfolge für Remotesicherungsspeicherorte:
   • Microsoft-Konto
   • Microsoft Entra ID
   • Active Directory
6. Wenn ein Schlüssel gedruckt und in einer Datei gespeichert wurde, zeigen Sie anstelle von zwei separaten Hinweisen einen kombinierten Hinweis an. Suchen Sie nach einem Ausdruck oder einer Textdatei mit dem Schlüssel.
7. Wenn mehrere Sicherungen desselben Typs (entfernen oder lokal) für denselben Wiederherstellungsschlüssel durchgeführt wurden, priorisieren Sie die Sicherungsinformationen mit dem letzten Sicherungsdatum.
8. Es gibt keinen spezifischen Hinweis für Schlüssel, die in einem lokalen Active Directory gespeichert sind. In diesem Fall wird eine benutzerdefinierte Nachricht (sofern konfiguriert) oder eine generische Nachricht angezeigt, den Helpdesk Ihrer Organisation kontaktieren.
9. Wenn zwei Wiederherstellungsschlüssel vorhanden und nur einer gesichert ist, fragt das System nach dem gesicherten Schlüssel, auch wenn der andere Schlüssel neuer ist.

Bildschirm "Zusätzliche Wiederherstellungsinformationen"

Ab Windows 11, Version 24H2, verbessert der BitLocker-Bildschirm für die Wiederherstellung vor dem Start die Informationen zu Wiederherstellungsfehlern. Der Wiederherstellungsbildschirm enthält ausführlichere Informationen über die Art des Wiederherstellungsfehlers, damit Benutzer das Problem besser verstehen und beheben können.

In den nächsten Abschnitten werden die Codes für jede BitLocker-Fehlerkategorie beschrieben. In jedem Abschnitt befindet sich eine Tabelle mit der Fehlermeldung, die auf dem Wiederherstellungsbildschirm angezeigt wird, und der Ursache des Fehlers. Einige Tabellen enthalten eine mögliche Auflösung.

Die Fehlerkategorien sind:

• Vom Benutzer initiiert
• Codeintegrität
• Gerätesperrung
• Startkonfiguration
• TPM
• Beschützer
• Unknown

Vom Benutzer initiiert

Codeintegrität

Die Treibersignaturerzwingung wird verwendet, um die Codeintegrität des Betriebssystems sicherzustellen.

Gerätesperrung

Mit der Gerätesperrschwellenfunktion kann ein Administrator die Windows-Anmeldung mit BitLocker-Schutz konfigurieren. Nach der konfigurierten Anzahl von fehlgeschlagenen Windows-Anmeldeversuchen wird das Gerät neu gestartet und kann nur mithilfe einer BitLocker-Wiederherstellungsmethode wiederhergestellt werden.

Um diese Funktionalität nutzen zu können, müssen Sie die Richtlinieneinstellung Interaktive Anmeldung: Schwellenwert für computerkontosperren unter Computerkonfiguration>Windows-Einstellungen>Sicherheitseinstellungen>Lokale Richtlinien>Sicherheitsoptionen konfigurieren. Alternativ können Sie die Exchange ActiveSync-RichtlinieneinstellungMaxFailedPasswordAttempts oder deviceLock Configuration Service Provider (CSP) verwenden.

Startkonfiguration

Die Startkonfigurationsdatenbank (Boot Configuration Database, BCD) enthält wichtige Informationen für die Windows-Startumgebung.

Weitere Informationen finden Sie unter Einstellungen für Startkonfigurationsdaten und BitLocker.

TPM

Das Trusted Platform Module (TPM) ist kryptografische Hardware oder Firmware, die zum Schützen eines Geräts verwendet wird. BitLocker erstellt eine TPM-Schutzvorrichtung , um den Schutz der Verschlüsselungsschlüssel zu verwalten, die zum Verschlüsseln Ihrer Daten verwendet werden.

Beim Start versucht BitLocker, mit dem TPM zu kommunizieren, um das Gerät zu entsperren und auf Ihre Daten zuzugreifen.

Weitere Informationen finden Sie unter Trusted Platform Module Technology Overview und BitLocker and TPM.For more information, see Trusted Platform Module Technology Overview and BitLocker and TPM.For more information, see Trusted Platform Module Technology Overview and BitLocker and TPM.

Beschützer

TPM-Schutzvorrichtungen

Das TPM enthält mehrere Plattformkonfigurationsregister (Platform Configuration Registers, PCRs), die im Validierungsprofil der BitLocker TPM-Schutzvorrichtung verwendet werden können. Die PCRs werden verwendet, um die Integrität des Startvorgangs zu überprüfen, d. h., dass die Startkonfiguration und der Startflow nicht manipuliert wurden.

Die BitLocker-Wiederherstellung kann das Ergebnis unerwarteter Änderungen an den PCRs sein, die im TPM-Schutzüberprüfungsprofil verwendet werden. Änderungen an PCRs, die nicht im TPM-Schutzprofil verwendet werden, wirken sich nicht auf BitLocker aus.

Weitere Beispiele finden Sie unter BitLocker-Wiederherstellungsszenarien.

Sonderfälle für PCR 7

Wenn die TPM-Schutzvorrichtung PCR 7 im Validierungsprofil verwendet, erwartet BitLocker, dass PCR 7 einen bestimmten Satz von Ereignissen für den sicheren Start misst. Diese Messungen sind in der UEFI-Spezifikation definiert. Weitere Informationen finden Sie unter Statische Stammvertrauensmessungen.

Unknown