Kurz gesagt: BitLocker verschlüsselt die Festplatte und schützt Ihre Daten, wenn ein Gerät verloren geht oder gestohlen wird. Allein genügt das nicht mehr: Der Schlüssel lässt sich unter Umständen mit günstiger Hardware in unter einer Minute aus dem TPM auslesen. Wer vertrauliche Daten auf tragbaren Geräten bearbeitet, sollte BitLocker zwingend mit einem Pre-Boot-PIN kombinieren.

BitLocker als Grundlage der Datensicherheit

BitLocker ist die in Windows integrierte Festplattenverschlüsselung. Richtig eingesetzt bietet sie mehrere entscheidende Vorteile:

  • Schutz vor unbefugtem Zugriff: Bei Verlust oder Diebstahl eines Geräts bleiben die Daten für Unbefugte unzugänglich.
  • Einhaltung von Compliance-Anforderungen: Die Verschlüsselung hilft, gesetzliche Vorgaben zum Schutz personenbezogener Daten einzuhalten.
  • Schutz vertraulicher Daten: Geschäftsgeheimnisse, Personendaten und Finanzinformationen werden wirksam abgeschirmt.
  • Zusätzliche Ebene gegen Schadsoftware: Bestimmte Angriffsarten verlieren an Wirksamkeit.
  • Zentrale Verwaltung: In Umgebungen mit Active Directory lässt sich BitLocker zentral ausrollen und verwalten.
  • Schutz gespeicherter Anmeldedaten: Hinterlegte Zugangsdaten und Identitätsinformationen bleiben geschützt.

Warum BitLocker allein nicht mehr genügt

Trotz dieser Vorteile gibt es eine beunruhigende Entwicklung. In einschlägigen Foren und auf Videoplattformen kursieren Anleitungen, mit denen sich BitLocker in weniger als 50 Sekunden aushebeln lässt, mit Hardware im Wert von rund zehn Franken. Der Angriff greift den Schlüssel ab, während er zwischen TPM und Prozessor übertragen wird.

Das entwertet BitLocker nicht. Es bedeutet aber, dass die Standardkonfiguration für Geräte mit vertraulichen Daten nicht mehr ausreicht.

Empfehlungen für Gemeinden und KMU

  1. BitLocker auf allen relevanten Geräten aktivieren, insbesondere auf Notebooks und anderen tragbaren Geräten.
  2. Klare Richtlinien für den Umgang mit verschlüsselten Geräten festlegen, einschliesslich Verfahren für Verlust und Diebstahl.
  3. Regelmässige Sicherheitsaudits durchführen und die Wirksamkeit der Verschlüsselung überprüfen.
  4. Die Entwicklung im Auge behalten und die Massnahmen anpassen, wenn neue Angriffe bekannt werden.

Pre-Boot-PIN: die zusätzliche Schutzschicht

Ein Pre-Boot-PIN wird abgefragt, bevor das Betriebssystem startet. Für leitende Mitarbeitende von Verwaltungen, Geschäftsleitungen und alle, die streng vertrauliche Daten auf tragbaren Geräten bearbeiten, ist er die entscheidende Ergänzung.

Schutz vor unbefugtem Zugriff

Tragbare Geräte werden häufig ausserhalb sicherer Umgebungen genutzt, das Risiko von Diebstahl und Verlust ist entsprechend höher. Ohne korrekte PIN-Eingabe bleibt das Gerät blockiert, auch bei physischem Zugriff.

Schutz vor Angriffen auf die Festplatte

Selbst wenn jemand den Datenträger ausbaut oder direkt zu manipulieren versucht, verhindert die Authentifizierung vor dem Systemstart, dass verschlüsselte Daten gelesen werden können.

Schutz vor Angriffen auf Firmware und Startvorgang

Ohne Pre-Boot-PIN ist ein Gerät anfälliger für Manipulationen an BIOS und Firmware, weil Schadcode vor dem Laden des Betriebssystems platziert werden könnte. Der PIN stellt sicher, dass nur berechtigte Personen den Startvorgang überhaupt auslösen.

Verstärkung bestehender Sicherheits­richtlinien

Der Pre-Boot-PIN ergänzt Verschlüsselung und Zwei-Faktor-Authentifizierung zu einem stimmigen Gesamtkonzept und senkt das Risiko in genau den Situationen, in denen Geräte transportiert werden.

Absicherung besonders vertraulicher Informationen

Amtsgeheimnisse, Unternehmensstrategien und vergleichbar sensible Unterlagen auf mobilen Geräten sind besonders gefährdet. Der zusätzliche Faktor verhindert, dass ein Angreifer die Verschlüsselung schlicht umgeht.

Was das für Sie bedeutet

Festplattenverschlüsselung ist für Gemeinden und KMU nicht verhandelbar, aber die Standardeinstellung ist nur der Anfang. Ein mehrschichtiger Aufbau aus Verschlüsselung, Pre-Boot-PIN und klaren Prozessen für Verlustfälle schützt die Daten und das Vertrauen von Bürgerinnen, Bürgern und Kundschaft.

Wir unterstützen bei der Einführung und beim Überprüfen bestehender Konfigurationen, und wenn ein Gerät tatsächlich abhandenkommt, auch bei der forensischen Aufarbeitung.