Bitlocker mit PIN

[monomani]

Ich hatte bisher:
Notebook mit Win10Pro, Lokales MS-Konto ohne Win-Anmeldung, Bitlocker mit PIN (mit gptedit konfiguriert)
Ich habe nunmehr:
Notebook mit Win11Pro, mit MS-Konto, angemeldet mit PIN, Bitlocker ohne PIN
Was ich will:
Keine Win-Anmeldung mit PIN oder was auch sonst, wohl aber Bitlocker-Anmeldung mit PIN
Ich will das gesamte Notebook (Festplatte) geschützt haben, nicht nur Windows. Eine doppelte Anmeldung ist wohl sinnlos. Ich habe schon einiges versucht, der Erfolg war bestenfalls bescheiden.
Wie kann ich mich ohne Anmeldung in Windows einloggen?
Kann ich Bitlocker wie vor in den Gruppenrichtlinien mit PIN versehen?

 

[MSFreak]

Wie kann ich mich ohne Anmeldung in Windows einloggen?

... mit dem MS-Tool Autologon
Autologon - Sysinternals

Kann ich Bitlocker wie vor in den Gruppenrichtlinien mit PIN versehen?

... du brauchst m.W. immer den vom Bitlocker generierten Key (Passwort).

 

[hansjorg71]

Hallo, schaue da mal, Bitlocker mit Pin.

PIN für BitLocker einrichten | WindowsPro

Es ist eine Best Practice, die BitLocker-Verschlüsselung durch eine PIN-Eingabe vor dem Booten von Windows abzusichern. Sie lässt sich über Gruppenrichtlinien, PowerShell und manage-bde konfigurieren.

www.windowspro.de

Gruß

 

[monomani]

Wenn ich das richtig verstehe, ist die Vorgangsweise wie ich sie bisher angewandt habe:
Bitlocker deaktivieren, PIN in den Gruppenrichtlinien einrichten, Bitlocker aktivieren. Dann sollte das so wie gehabt laufen.
Die Win-Anmeldung sodann mit Autologon optimieren (keine PIN mehr)?

---

---

Wo ich nicht ganz durchsteige: Für meine derzeitige Bitlocker-Verschlüsselung habe ich nur einen Wiederherstellungsschlüssel und sonst nichts. Reicht das in jeder Situation? Ich kenne aus dem Forum Anfragen, die sich auf eine plötzliche Abfrage der Zugangsdaten für Bitlocker beziehen und die Nutzer über keinerlei Zugangsdaten verfügen. Der Schlüssel sei im MS-Konto hinterlegt, die Nutzer konnten darauf aber nicht zugreifen. Deren Daten waren dann unzugänglich. Oder habe ich da was nicht verstanden?

 

[IngoBingo]

Was ich will:
Keine Win-Anmeldung mit PIN oder was auch sonst, wohl aber Bitlocker-Anmeldung mit PIN

Bitlocker und die Windows Anmeldung sind zwei getrennte Dinge.

Wenn du nur eine Anmeldung beim Start möchtest, nutze entweder Bitlocker ohne PIN oder verwende ein Windows-Autologin. Problem beim Autologin ist, dass dies halt eine klassische Anmeldung ist und kein Windows Hello.

Ich spare mir hier generell die Bitlocker Pre-Boot-PIN. Der Schutz meiner Geräte muss auf neugierige Diebe ausgelegt sein, nicht auf den Kampf mit Geheimdiensten.

Ich will das gesamte Notebook (Festplatte) geschützt haben, nicht nur Windows.

Das ist aber auch der Fall, wenn du keine Bitlocker Pre-Boot-PIN einrichtest. Die Disk ist immer vollständig verschlüsselt. Der Schlüssel steckt im TPM. Nutzt du eine Pre-Boot-PIN, muss halt diese zuerst eingegeben werden und erst dann wird der Schlüssel aus dem TPM geladen. Verwendest du keine Pre-Boot-PIN, wird der Schlüssel automatisch aus dem TPM geholt und das System gestartet.
Die Windows-Anmeldung ist dann halt die entsprechende Sicherheit.

Für meine derzeitige Bitlocker-Verschlüsselung habe ich nur einen Wiederherstellungsschlüssel und sonst nichts. Reicht das in jeder Situation?

Für Bitlocker ja.

Ich kenne aus dem Forum Anfragen, die sich auf eine plötzliche Abfrage der Zugangsdaten für Bitlocker beziehen und die Nutzer über keinerlei Zugangsdaten verfügen. Der Schlüssel sei im MS-Konto hinterlegt, die Nutzer konnten darauf aber nicht zugreifen. Deren Daten waren dann unzugänglich. Oder habe ich da was nicht verstanden?

Da wurde - z.B. nach Hardware-Änderungen - ein Wiederherstellungsschlüssel abgefragt.
Der sollte an sich im Microsoft Konto liegen, wenn Bitlocker bzw. die Geräteverschlüsselung automatisch aktiviert wurde.

Im Idealfall druckt man sich Wiederherstellungsschlüssel aus und legt sie sicher ab (Tresor?) oder speichert sie in einem Password-Safe, an den man ohne PC und ohne Microsoft Konto heran kommen kann.

 

[monomani]

@IngoBingo
Das ist, was ich wissen wollte. Vielen Dank!