BitLocker wiederherstellen: Was tun, wenn der Wiederherstellungsschlüssel fehlt?

1. BitLocker-Abfrage verstehen
2. Passwort, PIN und Recovery-Key
3. Was Sie jetzt vermeiden sollten
4. Wiederherstellungsschlüssel suchen
5. Warum BitLocker plötzlich nach dem Schlüssel fragt
6. BitLocker wiederherstellen ohne Schlüssel
7. Wenn der BitLocker-Datenträger zusätzlich defekt ist
8. Wann professionelle Hilfe sinnvoll ist
9. Häufig gestellte Fragen

BitLocker ist eine Verschlüsselungsfunktion von Windows. Sie schützt nicht nur das Windows-Konto, sondern den Datenträger selbst. Die Daten liegen dadurch verschlüsselt auf der SSD oder Festplatte.

Gerade bei modernen Windows-11-Laptops kann BitLocker beziehungsweise die Geräteverschlüsselung automatisch aktiv sein. Viele Nutzer merken davon erst etwas, wenn Windows plötzlich den Wiederherstellungsschlüssel verlangt.

BitLocker fragt nach dem Wiederherstellungsschlüssel, wenn der gewohnte Startzustand des Geräts nicht mehr als vertrauenswürdig erkannt wird. Das kann zum Beispiel nach Änderungen an BIOS, UEFI, TPM, Secure Boot, Firmware oder Hardware passieren.

Beim Start von Windows gibt es verschiedene Möglichkeiten. Abgesehen von der Variante ganz ohne zusätzliche Sicherheitsabfrage sind vor allem die folgenden drei Abfragen wichtig.

Hier läuft alles wie üblich. Sie starten den PC und es kommen die gewohnten Sicherheitsabfragen. Ja, auch hier kann BitLocker im Hintergrund laufen, ohne dass Sie das wissen.

Hierbei handelt es sich um einen speziellen Code, der bereits vor jedem Start von Windows eingegeben werden muss. Andernfalls fährt der PC gar nicht erst hoch. Er wird allerdings vom Benutzer speziell eingerichtet und dient als Zusatzsicherung. Er ist 4 bis 20 Ziffern lang und umfasst die Zahlen 0–9.

Dieser Code dient im Notfall zur Entschlüsselung vom Laufwerk bzw. der Festplatte eines windowsbasierten Geräts. Er besitzt eine Länge von 48 Ziffern, welche die Zahlen 0–9 umfassen und ist zentrales Thema in diesem Beitrag.

Jede Art der eigenständigen Manipulation kann den Zugriff auf die Festplatte und damit die Daten darauf dauerhaft verhindern. Daher empfehlen wir:

• keine Neuinstallation oder Zurücksetzung von Windows zu starten
• keine Formatierung, Initialisierung oder automatische Reparatur des Datenträgers zu bestätigen
• niemals BIOS-, UEFI-, Secure-Boot- oder TPM-Einstellungen zu verändern
• keine Reparaturbefehle oder Programme zu verwenden, die Änderungen am Datenträger oder Startsystem vornehmen
• nicht die SSD oder Festplatte mehrfach an anderen Geräten zu testen

Je nach Art Ihres Nutzerkontos befindet sich der BitLocker-Wiederherstellungsschlüssel an einer anderen Stelle. An diesen Orten lohnt es zu schauen.

Die drei wichtigsten Suchorte: Microsoft-Konto, Geschäfts- oder Schulkonto und eigene Sicherungen.

Die auf dem BitLocker-Bildschirm angezeigte Schlüssel-ID ist nicht der Wiederherstellungsschlüssel selbst, hilft aber dabei, den passenden Recovery-Key zuzuordnen.

Sie benötigen hierfür die Zugangsdaten zu Ihrem Microsoft-Konto, das mit Ihrer Windows-Version verknüpft ist.

Öffnen Sie die Seite: https://account.microsoft.com/devices/recoverykey und melden Sie sich mit dem Microsoft-Konto an, das mit dem Gerät verwendet wurde. Prüfen Sie anschließend, ob dort ein Wiederherstellungsschlüssel mit passender Schlüssel-ID angezeigt wird.

Falls Ihnen nicht klar ist, welche E-Mail-Adresse mit dem Konto verknüpft ist, haben Sie mehrere Möglichkeiten.

Hat jemand anderes das Gerät eingerichtet? Dann sollte auch dessen Microsoft-Konto geprüft werden. Das kann ein Familienmitglied oder Bekannter sein, genauso aber auch der Vorbesitzer, falls es sich um einen gebrauchten PC handelt.

Möglicherweise sind Sie auf einem anderen Gerät mit einem Dienst von Microsoft verbunden, welcher dieselbe E-Mail-Adresse nutzt. Hier sind die Möglichkeiten, welche theoretisch bestehen:

Diese Dienste speichern nicht den BitLocker-Wiederherstellungsschlüssel. Sie können aber helfen, die E-Mail-Adresse des Microsoft-Kontos zu finden, in dem der Schlüssel möglicherweise hinterlegt wurde. Abrufen lässt sich der Schlüssel erst, wenn Sie sich erfolgreich bei diesem Konto anmelden können.

Der Nutzer braucht Zugriff auf das Microsoft-Konto, also Passwort und gegebenenfalls Sicherheitsprüfung per SMS, E-Mail, Authenticator oder Passkey.

Bei Firmen-, Schul- oder Universitätsgeräten liegt der BitLocker-Wiederherstellungsschlüssel häufig nicht im privaten Microsoft-Konto des Nutzers. Stattdessen kann er zentral von der jeweiligen Organisation verwaltet werden. Ansprechpartner ist dann meist die IT-Abteilung des Arbeitgebers, der Schule oder der Universität.

Das gilt auch für ehemalige Leasinggeräte, gebrauchte Business-Notebooks oder Geräte aus Firmenauflösungen. In solchen Fällen kann der Schlüssel noch bei der ursprünglichen Organisation liegen.

1. Active Directory

Active Directory ist eine klassische Windows-Verwaltung innerhalb einer Firma oder Schule. Darüber können Benutzer, Computer, Zugriffsrechte und Sicherheitsrichtlinien zentral verwaltet werden. Wenn ein Gerät in eine solche Domäne eingebunden war, kann auch der BitLocker-Wiederherstellungsschlüssel dort hinterlegt sein.

2. Microsoft Entra ID

Microsoft Entra ID ist die cloudbasierte Identitäts- und Geräteverwaltung von Microsoft. Sie wird häufig bei modernen Arbeits- und Schulkonten eingesetzt. Auch hier können BitLocker-Wiederherstellungsinformationen für verwaltete Geräte gespeichert sein.

3. Microsoft Intune

Microsoft Intune ist eine Geräteverwaltung von Microsoft. Organisationen können darüber Windows-Geräte verwalten, Sicherheitsrichtlinien setzen und je nach Konfiguration auch BitLocker-Informationen abrufen.

Woran Sie erkennen können, dass Ihr Gerät verwaltet wurde

Entscheidend ist, wer das Gerät eingerichtet oder verwaltet hat. Bei Firmen-, Schul- oder Universitätsgeräten ist meist die zuständige IT-Abteilung der richtige Ansprechpartner. Bei ehemaligen Leasing- oder Business-Geräten kann auch die ursprüngliche Organisation relevant sein. Der Händler oder Hersteller hat den BitLocker-Wiederherstellungsschlüssel in der Regel nicht — außer er hat das Gerät selbst eingerichtet oder den Schlüssel im Rahmen der Einrichtung dokumentiert.

Neben den regulären Speicherorten wie Microsoft-Konto oder Firmenverwaltung kann der BitLocker-Wiederherstellungsschlüssel auch an anderer Stelle gesichert worden sein. Gemeint ist dabei kein anderer Entsperrweg, sondern eine zusätzliche Kopie des 48-stelligen Schlüssels — digital oder analog. Prüfen Sie daher alle Orte, an denen wichtige Zugangsdaten, Dokumente oder Sicherungen abgelegt wurden.

• Ausdrucke oder abgeheftete Unterlagen
• PDF- oder Textdateien
• USB-Sticks und externe Festplatten
• Backups auf NAS, Server oder Cloud-Speicher
• Passwortmanager
• E-Mail-Postfächer
• Fotos oder Screenshots auf dem Smartphone
• Unterlagen vom Händler, Dienstleister oder der IT

Suchen Sie dabei nach Begriffen wie „BitLocker“, „Wiederherstellungsschlüssel“, „Recovery Key“ oder nach der Schlüssel-ID, die auf dem BitLocker-Bildschirm angezeigt wird.

Dass BitLocker nach dem Schlüssel verlangt, ist kein Zufall. Das Vorhandensein und die Abfrage vom Schlüssel sind direkt an den Grundaufbau von neuen windowsbasierten Computern geknüpft. Wir nehmen daher diese Funktionsweise genauer unter die Lupe.

Zentral, damit BitLocker überhaupt funktioniert, ist der TPM-Chip (Trusted Platform Module). Dabei handelt es sich um einen Sicherheitschip, der in neueren Computern verbaut ist, genauer gesagt ist er auf dem Mainboard verlötet. Für Windows 11 gilt er sogar als Systemvoraussetzung.

Das TPM kann kryptografische Schlüssel schützen und sicher verwalten. Sie dienen dem Systemstart. Beim Windowsstart spielen eine Rolle:

• UEFI/BIOS
• Secure Boot
• Bootreihenfolge
• Windows Boot Manager
• TPM
• später BitLocker

Beim Hochfahren des Systems startet zuerst das BIOS oder UEFI. Sie initialisieren nun die Hardware und bereiten den Start von Windows vor. Aus den Startbestandteilen, die beim Hochfahren eine Rolle spielen, werden kryptografische Prüfsummen gebildet.

Kurzum: Der TPM-Chip speichert Messwerte zum Startzustand des Geräts in speziellen Registern ab.

BitLocker nutzt das TPM, um den Entsperrschlüssel an den vertrauenswürdigen Startzustand des Geräts zu binden. Der Schlüssel ist somit an TPM und bestimmte Startmesswerte gebunden, er ist in TPM versiegelt.

Bei Änderungen von den Startbestandteilen werden die Messwerte falsch. TPM gibt daher auch den Schlüssel nicht automatisch frei. BitLocker erkennt das als kritisches Sicherheitsproblem und fragt automatisch nach dem 48-stelligen Wiederherstellungsschlüssel.

Die möglichen Auslöser für die Abfrage sind:

• BIOS-/UEFI-Update
• TPM-Firmware-Update
• Secure-Boot-Änderung
• TPM wurde gelöscht oder zurückgesetzt
• Bootreihenfolge geändert
• Windows Boot Manager verändert
• Mainboard getauscht
• SSD in ein anderes Gerät eingebaut
• bestimmte Firmware- oder Windows-Updates
• Manipulation oder Beschädigung der Startumgebung

Nicht jedes Windows-Update triggert automatisch die BitLocker-Abfrage. Für den Nutzer sieht es oft so aus, als habe ein normales Windows-Update das Problem verursacht. In vielen Fällen steckt dahinter aber ein Firmware-, BIOS- oder Sicherheitsupdate, das über Windows Update oder ein Herstellerprogramm mitinstalliert wurde. Das passiert nicht bei jedem Update, kann aber bei bestimmten Geräte- und Updatekonstellationen vorkommen.

Falls keiner der von uns dargestellten Wege funktioniert, sind Sie an einem kritischen Punkt angelangt. Wichtig ist allerdings: Dass Sie den Schlüssel nicht gefunden haben, bedeutet nicht, dass keiner existiert. Er muss eines Tages erstellt worden sein, andernfalls würde er nicht abgefragt werden.

Sowas wie eine allgemeine Hintertür für Hersteller, Dienstleister oder Datenretter gibt es von BitLocker aus nicht. Es existiert schließlich, damit niemand ohne Berechtigung Zugang auf den Datenträger bekommt, sei es von gestohlenen Laptops, ausgebauten SSDs oder defekten Geräten. Kurzum: Ein Generalschlüssel existiert schlicht nicht.

Alleine die Formulierung sollte Sie aufhorchen lassen. Die Verschlüsselung ist viel zu komplex, als dass Sie pauschal umgangen werden könnte. Einen pauschalen Trick gibt es nicht. Das liegt schon daran, dass die Daten auf dem Datenträger verschlüsselt sind. Ohne den Schlüssel erscheinen sie nicht als normale Daten.

Unsere Prüfung dient nicht dazu, fremde Geräte zu entsperren oder Schutzmechanismen zu umgehen. Sie dient dazu, bei berechtigten Fällen zu klären, ob ein gültiger Schlüssel, ein regulärer Entsperrweg oder verwertbare technische Informationen vorhanden sind.

In Einzelfällen ist technisch mehr prüfbar, als der Nutzer selbst nachvollziehen oder durchführen kann — ob daraus ein realistischer Entsperrweg entsteht, hängt jedoch vom konkreten Fall ab.

Der fehlende Zugriff auf BitLocker-verschlüsselte Daten ist zunächst kein physischer Defekt, sondern ein logisches Zugriffsproblem. Nun gibt es weitere Defekte, die in den Bereich der Datenrettung von Festplatten gehören.

Auch bei dieser Schadensart sind die Zugriffe nicht möglich, obwohl der Datenträger selbst soweit intakt erscheint. Hierzu gehören defekte Dateisysteme oder Formatierungen bzw. gelöschte Daten.

Bei SSDs liegen physische Defekte häufig an der Elektronik, am Controller oder an den Speicherchips. Typische Anzeichen sind, dass die SSD nur noch sporadisch, mit falscher Kapazität oder gar nicht mehr erkannt wird.

Wenn die SSD gar nicht mehr erkannt wird, hilft unser Ratgeber „SSD wird nicht erkannt“ bei der ersten Einordnung möglicher Ursachen.

Ebenso ist es natürlich denkbar, dass der Datenträger, welcher den Schlüssel für Ihr Gerät enthält, einen Schaden aufweist. Das kann ein NAS ebenso wie einen USB-Stick betreffen, wobei besonders letzterer kein sicheres Speichermedium darstellt.

Eine Analyse hilft, diese Fälle voneinander zu trennen. Sie kann klären, ob BitLocker selbst das Hauptproblem ist, ob ein zusätzlicher logischer Schaden vorliegt oder ob der Datenträger physisch beschädigt ist. Bei defekten Medien ist oft zuerst ein möglichst schonendes Abbild nötig, bevor Entsperr- oder Wiederherstellungsversuche sinnvoll sind. Die Analyse ersetzt den BitLocker-Schlüssel nicht, zeigt aber, welcher Weg im konkreten Fall realistisch ist.

Falls Sie den BitLocker-Wiederherstellungsschlüssel auch mithilfe der genannten Schritte nicht finden, kommt es auf die genauen Umstände an. Eine technische Analyse kann klären, ob noch ein regulärer Entsperrweg, ein passender Schlüssel oder ein zusätzlicher Defekt am Datenträger vorliegt.

Voraussetzung ist, dass Sie zum Zugriff auf das Gerät beziehungsweise die Daten berechtigt sind. Fremde Geräte oder Datenträger ohne entsprechende Berechtigung können wir nicht bearbeiten.

Eine Prüfung ist vor allem sinnvoll, wenn:

• ein vorhandener Wiederherstellungsschlüssel nicht funktioniert
• mehrere mögliche Recovery-Keys vorliegen
• BitLocker nach einem Update, einer Reparatur oder einem Umbau plötzlich nach dem Schlüssel fragt
• zusätzlich ein Defekt an SSD, Festplatte, Mainboard oder Gerät vermutet wird
• bereits Formatierung, Neuinstallation oder Zurücksetzung versucht wurde

Für eine belastbare Einschätzung benötigen wir in vielen Fällen nicht nur den Datenträger, sondern auch das ursprüngliche Gerät. Das ist besonders wichtig, wenn BitLocker über TPM und den ursprünglichen Gerätestart abgesichert wurde.

Änderungen am TPM, ein TPM-Reset oder ein Mainboardtausch können die Situation deutlich erschweren. Ob dennoch etwas möglich ist, muss im Einzelfall geprüft werden.

Hilfreich sind vor allem:

• Gerätemodell
• genaue Fehlermeldung
• angezeigte Schlüssel-ID
• vorhandene Wiederherstellungsschlüssel
• was unmittelbar vor der BitLocker-Abfrage passiert ist
• welche eigenen Versuche bereits unternommen wurden

Wichtig sind zum Beispiel Änderungen am BIOS, ein Update, ein Ausbau der SSD, eine Windows-Zurücksetzung oder der Einsatz von Reparaturprogrammen. Je genauer diese Informationen sind, desto besser lässt sich einschätzen, welcher Weg noch realistisch ist.

Eine Analyse kann prüfen, ob BitLocker tatsächlich aktiv ist, welche Partition betroffen ist, ob ein vorhandener Schlüssel zum Datenträger passt und ob zusätzlich ein logischer oder physischer Defekt vorliegt.

Bei einem beschädigten Datenträger steht zuerst die Sicherung der noch lesbaren Bereiche im Vordergrund. In solchen Fällen sollte nicht direkt am Original gearbeitet werden. Stattdessen wird geprüft, ob ein möglichst vollständiges und schonendes Abbild erstellt werden kann. Bei SSDs kann dafür eine spezialisierte Datenrettung bei defekter SSD sinnvoll sein, bei klassischen Festplatten eine Datenrettung von Festplatten.

Eine Analyse ersetzt jedoch keinen fehlenden BitLocker-Wiederherstellungsschlüssel. Wenn kein gültiger Schlüssel vorhanden ist und auch kein verwertbares Schlüsselmaterial mehr vorliegt, lässt sich eine korrekt verschlüsselte BitLocker-Partition nicht seriös entschlüsseln.