BitLocker-Wiederherstellungsschlüssel finden: Alle Wege

Der BitLocker-Schlüssel wird genau dann gebraucht, wenn niemand weiß, wo er liegt.

Blauer Bildschirm, darauf: „Geben Sie den Wiederherstellungsschlüssel für dieses Laufwerk ein.“ Mit einer Schlüssel-ID und einem Feld für 48 Ziffern. In unseren Supportfällen ist das eine der Situationen, in denen Anwender am nervösesten sind – oft morgens, nach einem Update über Nacht. Siehe auch Externer Monitor: kein Signal nach BIOS-Update.

Die gute Nachricht: Auf Firmengeräten ist der Schlüssel fast immer irgendwo gespeichert. Hier sind alle Wege, ihn zu finden.

Zuerst: Schlüssel-ID notieren

Der Wiederherstellungsbildschirm zeigt eine Schlüssel-ID (eine lange Zeichenfolge, oft mit Bindestrichen). Mindestens die ersten acht Zeichen notieren oder den Bildschirm fotografieren. Damit findest du den richtigen Schlüssel, wenn mehrere gespeichert sind.

Weg 1: Selbst abrufen (Firmengerät mit Entra ID)

Viele Unternehmen erlauben Benutzern, den Schlüssel für eigene Geräte selbst abzurufen.

1. Auf einem anderen Gerät (Handy, Kollegen-PC) myaccount.microsoft.com öffnen und mit dem Firmenkonto anmelden.
2. Geräte öffnen.
3. Das betroffene Gerät auswählen › BitLocker-Schlüssel anzeigen.
4. Schlüssel mit der passenden ID eingeben.

Ist die Option nicht sichtbar, hat die Organisation das Selbstabrufen deaktiviert – dann hilft die IT.

Weg 2: Die IT ruft den Schlüssel ab

• Entra Admin Center: Geräte › Alle Geräte › Gerät auswählen › BitLocker-Schlüssel.
• Intune Admin Center: Geräte › Gerät auswählen › Wiederherstellungsschlüssel.
• Active Directory (Domäne ohne Cloud): In Active Directory-Benutzer und -Computer beim Computerobjekt der Reiter BitLocker-Wiederherstellung – sofern die Schlüssel per Richtlinie ins AD gesichert werden.

Die IT sollte die Identität des Anrufers prüfen, bevor sie den Schlüssel herausgibt – der Schlüssel entsperrt alle Daten auf dem Gerät.

Weg 3: Microsoft-Konto (privat eingerichtete Geräte)

Wurde das Gerät mit einem privaten Microsoft-Konto eingerichtet, liegt der Schlüssel oft dort: aka.ms/myrecoverykey öffnen und mit diesem Konto anmelden.

Weg 4: Ausdruck, Datei, USB-Stick

Bei manueller Aktivierung bietet Windows an, den Schlüssel auszudrucken, als Datei zu speichern oder auf einem USB-Stick abzulegen. Im Unternehmen sollte das die Ausnahme sein – aber in kleinen Büros findet sich der Ausdruck manchmal im Ordner „IT“.

Warum fragt Windows überhaupt nach dem Schlüssel?

BitLocker hat beim Start eine Änderung erkannt, die ein Angreifer ausnutzen könnte. Häufige Auslöser:

• BIOS-/Firmware-Update – Update über Nacht vom Hersteller-Tool
• Secure Boot / TPM – Einstellungen im BIOS geändert, TPM zurückgesetzt
• Startreihenfolge – Start von USB oder Netzwerk, Dockingstation mit angeschlossenem Stick
• Hardwaretausch – Mainboard, SSD, manchmal Dockingstation
• Mehrfach falsche PIN – bei BitLocker mit Start-PIN

14 Tage kostenlos

IT-Support, der sich selbst erledigt.

SuperSupport löst IT-Probleme direkt am Gerät, bevor ein Ticket entsteht. Teste es 14 Tage kostenlos.

Kostenlos testen

Vorbeugen: damit es nicht wieder passiert

• Schlüssel zentral sichern: per Intune-Richtlinie oder Gruppenrichtlinie in Entra ID bzw. Active Directory – und prüfen, ob für jedes Gerät ein Schlüssel vorhanden ist.
• BitLocker vor BIOS-Updates aussetzen (PowerShell als Administrator):

Suspend-BitLocker -MountPoint "C:" -RebootCount 1

• Updates zentral steuern statt über Hersteller-Tools auf jedem Gerät – siehe Patch-Management für KMU.
• Status prüfen:

Get-BitLockerVolume | Select-Object MountPoint, VolumeStatus, ProtectionStatus, KeyProtector

Und wenn der Schlüssel wirklich weg ist?

Dann sind die Daten auf dem Laufwerk verloren – das ist der Sinn der Verschlüsselung. Es bleibt nur, Windows neu zu installieren. Daten in OneDrive, SharePoint oder einem Backup sind davon nicht betroffen. Deshalb gehören wichtige Dateien nicht nur auf die lokale Festplatte – siehe Microsoft 365 Backup und Firmenlaptop verloren oder gestohlen.

Wie hilft SuperSupport bei BitLocker?

Am gesperrten Gerät selbst kann kein Agent helfen – der Rechner startet ja nicht. Aber: Der Anwender kann von einem anderen Firmengerät im Chat melden, dass der Wiederherstellungsschlüssel verlangt wird, und der Fall geht mit Gerät und Schlüssel-ID an die IT. Vorbeugend prüft der SuperSupport-Agent auf Windows-Geräten, ob BitLocker aktiv ist und Schutzvorrichtungen eingerichtet sind. Wie das für interne IT-Teams und Systemhäuser aussieht, steht auf den jeweiligen Seiten.

Häufige Fragen

Wo finde ich meinen BitLocker-Wiederherstellungsschlüssel?

Bei Firmengeräten meist in Entra ID oder Intune – Benutzer können ihn oft selbst unter myaccount.microsoft.com bei ihren Geräten abrufen, sonst hilft die IT. Bei privat eingerichteten Geräten im Microsoft-Konto unter aka.ms/myrecoverykey. In Domänen ohne Cloud oft in Active Directory. Außerdem möglich: ausgedruckt, als Datei gespeichert oder auf einem USB-Stick.

Warum fragt Windows nach dem BitLocker-Wiederherstellungsschlüssel?

Weil BitLocker beim Start eine Änderung erkannt hat, die auf einen Manipulationsversuch hindeuten könnte – etwa ein BIOS- oder Firmware-Update, geänderte Secure-Boot- oder TPM-Einstellungen, eine neue Startreihenfolge, eine Dockingstation beim Start oder ein Hardwaretausch.

Wie erkenne ich, welcher Schlüssel der richtige ist?

Der Wiederherstellungsbildschirm zeigt eine Schlüssel-ID. Sie muss mit der ID des gespeicherten Schlüssels übereinstimmen – meist genügt der Vergleich der ersten acht Zeichen. Der Schlüssel selbst besteht aus 48 Ziffern in acht Blöcken.

Was passiert, wenn der Wiederherstellungsschlüssel nicht zu finden ist?

Dann sind die Daten auf dem Laufwerk nicht mehr zugänglich – genau dafür ist die Verschlüsselung da. Es bleibt nur, Windows neu zu installieren. Daten, die in OneDrive, SharePoint oder einem Backup liegen, sind davon nicht betroffen.

Wie verhindere ich die Abfrage bei einem BIOS-Update?

BitLocker vor dem Update für einen Neustart aussetzen – etwa mit Suspend-BitLocker -MountPoint C: -RebootCount 1 in einer PowerShell mit Administratorrechten. Viele Hersteller-Updatetools machen das automatisch, aber nicht alle.

14 Tage kostenlos

IT-Support, der sich selbst erledigt.

SuperSupport löst IT-Probleme direkt am Gerät, bevor ein Ticket entsteht. Teste es 14 Tage kostenlos.

Kostenlos testen