Um zusätzlichen Schutz für verschlüsselte Daten durch die BitLocker-Laufwerksverschlüsselung zu erhalten, können beim Systemstart auf einem Computer mit einem kompatiblen TPM vier verschiedene Authentifizierungsmethoden verwendet werden. Je nach Konfiguration der Schlüssel werden dem Benutzer die erweiterten Startoptionen im BitLocker-Setup-Assistenten angezeigt. Bei einer falschen Konfiguration zeigt der BitLocker-Setup-Assistenten einen Richtlinienfehler an und beendet die BitLocker-Laufwerksverschlüsselung.

So geht's:

• Starten Sie ...\windows\regedit.exe bzw. ...\winnt\regedt32.exe.
• Klicken Sie sich durch folgende Schlüssel (Ordner) hindurch:
  HKEY_LOCAL_MACHINE
  Software
  Policies
  Microsoft
  FVE
  Falls die letzten Schlüssel noch nicht existieren, dann müssen Sie diese erstellen. Dazu klicken Sie mit der rechten Maustaste in das rechte Fenster. Im Kontextmenü wählen Sie "Neu" > "Schlüssel".
• Doppelklicken Sie auf den Schlüssel "UseAdvancedStartup".
  Falls dieser Schlüssel noch nicht existiert, dann müssen Sie ihn erstellen. Dazu klicken Sie mit der rechten Maustaste in das rechte Fenster. Im Kontextmenü wählen Sie "Neu" > "DWORD-Wert" (REG_DWORD). Als Schlüsselnamen geben Sie "UseAdvancedStartup" ein.
• Ändern Sie den Wert ggf. von "0" (deaktiviert) auf "1" (aktiviert).
• BitLocker ohne zusätzlichen Schlüssel verwenden:
  • Doppelklicken Sie auf den Schlüssel "UseTPM". (REG_DWORD)
    Falls dieser Schlüssel noch nicht existiert, dann müssen Sie ihn erstellen.
  • Ändern Sie den Wert ggf. auf "0" (deaktiviert), "1" (erforderlich) oder "2" (zulassen).
• Systemstart-PIN anfordern:
  • Doppelklicken Sie auf den Schlüssel "UseTPMPIN". (REG_DWORD)
    Falls dieser Schlüssel noch nicht existiert, dann müssen Sie ihn erstellen.
  • Ändern Sie den Wert ggf. auf "0" (deaktiviert), "1" (erforderlich) oder "2" (zulassen).
• Systemstartschlüssel anfordern:
  • Doppelklicken Sie auf den Schlüssel "UseTPMKey". (REG_DWORD)
    Falls dieser Schlüssel noch nicht existiert, dann müssen Sie ihn erstellen.
  • Ändern Sie den Wert ggf. auf "0" (deaktiviert), "1" (erforderlich) oder "2" (zulassen).
• Systemstartschlüssel und PIN verwenden (nur über die Befehlszeile möglich):
  • Doppelklicken Sie auf den Schlüssel "UseTPMKeyPIN". (REG_DWORD)
    Falls dieser Schlüssel noch nicht existiert, dann müssen Sie ihn erstellen.
  • Ändern Sie den Wert ggf. auf "0" (deaktiviert), "1" (erforderlich) oder "2" (zulassen).
• Die Änderungen werden ggf. erst nach einem Neustart aktiv.

Hinweise:

• UseAdvancedStartup:
  0 = Die erweiterten Startoptionen im BitLocker-Setup-Assistenten werden nicht angezeigt. (Standard)
  1 = Die erweiterten Startoptionen im BitLocker-Setup-Assistenten können konfiguriert werden.
• UseTPM:
  0 = Die Option "BitLocker ohne zusätzlichen Schlüssel verwenden" steht dem Benutzer nicht zur Verfügung.
  1 = Als Authentifizierungsmethode wird der Systemstart ohne zusätzlichem Schlüssel erzwungen.
  2 = Die Option "BitLocker ohne zusätzlichen Schlüssel verwenden" steht dem Benutzer zur Verfügung.
• UseTPMPIN:
  0 = Die Option "Bei jedem Start PIN anfordern" steht dem Benutzer nicht zur Verfügung.
  1 = Als Authentifizierungsmethode wird die persönliche Identifikationsnummer (PIN) verwendet.
  2 = Die Option "Bei jedem Start PIN anfordern" steht dem Benutzer zur Verfügung und ist zugelassen.
• UseTPMKey:
  0 = Die Option "Bei jedem Start Systemstartschlüssel anfordern" steht dem Benutzer nicht zur Verfügung.
  1 = Als Authentifizierungsmethode wird ein Systemstartschlüssel auf einem USB-Flashlaufwerk verwendet.
  2 = Die Option "Bei jedem Start Systemstartschlüssel anfordern" steht dem Benutzer zur Verfügung.
• UseTPMKeyPIN:
  0 = Die Verwendung eines Systemstartschlüssels und der PIN ist nicht zugelassen.
  1 = Als Authentifizierungsmethode wird ein Systemstartschlüssel und die PIN verwendet.
  2 = Die Verwendung eines Systemstartschlüssels und der PIN ist zugelassen.
• Beim Start kann nur eine der zusätzlichen Authentifizierungsoptionen erforderlich sein (Schlüsselwert = "1"), da andernfalls ein Richtlinienfehler auftritt.
• Wenn Sie die Verwendung einer Systemstart-PIN und eines USB-Flashlaufwerks erzwingen möchten ("UseTPMKeyPIN"), müssen Sie die BitLocker-Einstellungen mithilfe des Befehlszeilentools "manage-bde" vornehmen.
• Ändern Sie bitte nichts anderes in der Registrierungsdatei. Dies kann zur Folge haben, dass Windows und/oder Anwendungsprogramme nicht mehr richtig arbeiten.