- Das BIOS-Update ändert die Umgebung, die das TPM validiert, und kann dazu führen, dass BitLocker nach dem Wiederherstellungsschlüssel fragt.
- Es ist unbedingt erforderlich, den BitLocker-Schlüssel (Konto, Drucker oder USB-Stick) zu finden und zu speichern, bevor die Firmware geändert wird.
- Durch das vorübergehende Deaktivieren von BitLocker auf dem Systemlaufwerk lassen sich Probleme nach dem Flashen des BIOS reduzieren.
- Bei einigen Modellen, insbesondere in Dell-Unternehmensumgebungen, ist die Einhaltung spezifischer Herstellerrichtlinien erforderlich.
In diesem Artikel werden wir Schritt für Schritt und im Detail sehen, Was Sie vor und nach dem BIOS-Update mit BitLocker tun solltenWas kann mit dem TPM passieren, wie erhält man den Wiederherstellungsschlüssel, wenn man danach fragt, und warum zeigen manche Computer (wie beispielsweise verschiedene Dell-Modelle, ASUS-Motherboards oder MSI B450/B550) scheinbar widersprüchliche Warnungen an, die noch verwirrender sind?
Was passiert zwischen BIOS, BitLocker und TPM beim Aktualisieren?
Um zu verstehen, warum BitLocker nach einem BIOS-Update manchmal bei jedem Neustart nach dem Wiederherstellungsschlüssel fragt, ist es notwendig zu verstehen, wie die beiden Dinge zusammenhängen. BIOS / UEFITPM- und BitLocker-Verschlüsselung. Wenn Sie wissen, was geändert wird, können Sie viel leichter Vorsichtsmaßnahmen treffen und geraten nicht in Panik, wenn der Bluescreen erscheint.
BitLocker basiert auf den meisten modernen Computern auf einem TPM 2.0 Chip Dieser Chip speichert einen Teil der Verschlüsselungsschlüssel sicher. Er überprüft, ob die Boot-Umgebung (Firmware, Secure Boot, grundlegende Konfiguration) mit der zum Zeitpunkt der Festplattenverschlüsselung übereinstimmt. Werden signifikante Änderungen festgestellt, interpretiert der Chip dies als möglichen Angriff und erzwingt die... Anfrage für Wiederherstellungsschlüssel um sicherzustellen, dass Sie es sind, der die Geräte in Betrieb nimmt.
Bei einigen Desktop-Computern mit Motherboards wie beispielsweise einem MSI B450 Tomahawk max Beispielsweise warnt der Hersteller ASUS beim B550-F-Mainboard in neuen BIOS-Versionen eindringlich: Er empfiehlt, BitLocker zu aktivieren und den Wiederherstellungsschlüssel vor dem BIOS-Update zu speichern (oder zu überprüfen), da man sonst im Fehlerfall den Zugriff auf Windows verlieren könnte. Die Warnung mag alarmistisch klingen, doch der Grundgedanke ist einfach: Wenn das TPM die Umgebung nicht mehr erkennt und den Schlüssel anfordert, muss dieser unbedingt verfügbar sein.
Bei professionellen Laptops, wie zum Beispiel Dell Latitude Bei Geräten der Enterprise-Klasse von Dell, HP oder Lenovo wird die Sache etwas komplizierter, da auch die Unternehmensverwaltung eine Rolle spielt: Oft befindet sich der BitLocker-Schlüssel nicht nur in Ihrem Konto, sondern in der Organisation gespeichert (Firmendomäne, Universität usw.), und das BIOS kann automatisch durch den Assistenten des Herstellers oder durch IT-Richtlinien aktualisiert werden.
Warum bestehen die Hersteller so sehr auf BitLocker vor dem BIOS-Update?
Die Aussagen der Hersteller können widersprüchlich erscheinen: Manche behaupten, dass Aktivieren Sie BitLocker und speichern Sie den Schlüssel. Manche fordern Sie auf, BitLocker vor dem Update zu deaktivieren, andere hingegen genau das Gegenteil, nämlich die Deaktivierung vor dem Flashen. Beide Warnungen dienen der Risikominimierung, beziehen sich aber auf unterschiedliche Phasen des Prozesses.
Bei Platten wie der MSI B450 Tomahawk maxBei BIOS-Updates, die die TPM-Unterstützung aktivieren oder verbessern sollen (z. B. um die Anforderungen von Windows 11 zu erfüllen), weist das Installationsprogramm darauf hin, dass BitLocker unbedingt korrekt konfiguriert sein muss und vor allem der Wiederherstellungsschlüssel jederzeit verfügbar sein sollte. Der Grund dafür ist, dass eine Änderung der Art und Weise, wie die Firmware das TPM bereitstellt, beim nächsten Systemstart eine Schlüsselanforderung auslösen kann.
Andere Systeme, wie viele ASUS B550 MotherboardsWenn erkannt wird, dass das Systemlaufwerk durch BitLocker geschützt ist, wird vor dem BIOS-Update eine Meldung angezeigt, in der Sie aufgefordert werden, BitLocker zu deaktivieren. Ziel ist es, die Verschlüsselung des Laufwerks während des Firmware-Updates zu verhindern, um Startprobleme zu minimieren und Wiederherstellungsschleifen zu vermeiden, falls das TPM seinen internen Zustand zu stark verändert.
Wie viele Benutzer festgestellt haben, wird in einigen Fällen, selbst wenn BitLocker über die grafische Benutzeroberfläche von Windows deaktiviert ist, vom BIOS-Update-Tool des Motherboards weiterhin angezeigt. die Warnung, dass BitLocker aktiv istDies kann daran liegen, dass auf dem Laufwerk noch Schutzmechanismen konfiguriert sind, der Ruhezustand nicht korrekt angewendet wurde, andere verschlüsselte Laufwerke (z. B. USB-Laufwerke) vorhanden sind oder das System den Herunterfahrvorgang nicht abgeschlossen hat.
Bei Dell-Laptops und anderen Business-Computern spielt auch die Art und Weise, wie Firmware-Updates verteilt werden, eine Rolle. Es ist üblich, dass Der vom Hersteller bereitgestellte Installationsassistent installiert das BIOS automatisch. Während eines routinemäßigen Updates. Danach kann BitLocker beim nächsten Neustart den Wiederherstellungsschlüssel anfordern und dies manchmal bei jedem Neustart wiederholen, da das TPM der neuen Firmware-Signatur oder dem neuen Secure Boot PK-Schlüssel nicht vollständig vertraut.
Wo finde ich den BitLocker-Wiederherstellungsschlüssel, falls das BIOS danach fragt?
Wenn nach einem BIOS-Update der BitLocker-Bluescreen mit der Aufforderung zur Eingabe des 48-stelligen Passworts erscheint, ist Folgendes entscheidend: um genau zu wissen, wo es gespeichert istEs gibt mehrere gängige Orte, an denen Ihr Schlüssel gespeichert werden kann, abhängig davon, wie das Gerät konfiguriert wurde und ob es einer Organisation gehört oder nicht.
Im Arbeits- oder Bildungsumfeld ist es sehr üblich, dass das Gerät mit einem Unternehmens- oder SchulbereichWenn Sie sich jemals mit einem Arbeits- oder Schulkonto angemeldet haben, ist Ihr Wiederherstellungsschlüssel in der Regel mit diesem Konto verknüpft und wird von der IT-Abteilung verwaltet. In diesen Fällen müssen Sie sich häufig an den Support wenden, um den Schlüssel zu erhalten, der mit der Laufwerkskennung verknüpft ist.
Microsoft bietet eine spezielle Seite zum Auffinden von Wiederherstellungsschlüsseln für Arbeits- oder Schulkonten an. Von einem anderen Gerät aus können Sie diese Seite aufrufen. Auch bekannt als MS/MyRecoveryKeyUm sich mit Ihrem Arbeits- oder Schulkonto anzumelden, gehen Sie zum Bereich „Geräte“ und erweitern Sie das Gerät, für das Sie den Schlüssel benötigen. Dort finden Sie in der Regel die Option „BitLocker-Schlüssel anzeigen“, mit der Sie den Schlüssel finden können. Schlüssel-ID woraufhin der blaue Bildschirm und der entsprechende Wiederherstellungsschlüssel angezeigt werden.
Wenn Sie Ihren Computer privat nutzen und BitLocker selbst eingerichtet haben, haben Sie den Schlüssel möglicherweise bei der Aktivierung der Verschlüsselung ausgedruckt. Es empfiehlt sich, die Ordner oder Dateien zu überprüfen, in denen Sie üblicherweise wichtige Dokumente im Zusammenhang mit dem Computer speichern, da… gedrucktes Schlüsselblatt Es zeigt deutlich die ID und die 48 Ziffern an, die zum Entsperren des Geräts im Problemfall benötigt werden.
Eine weitere gängige Option ist das Speichern des Wiederherstellungsschlüssels in einer USB LaufwerkWenn das Gerät in diesem Fall mit einem blauen Bildschirm gesperrt ist, schließen Sie den USB-Stick an dasselbe Gerät an und folgen Sie den Anweisungen auf dem BitLocker-Bildschirm, um den Schlüssel vom Gerät auszulesen. Falls der Schlüssel als Textdatei gespeichert ist, können Sie den USB-Stick auch an einen anderen Computer anschließen, die .txt-Datei öffnen und die 48 Ziffern sorgfältig kopieren, um sie dann an den entsprechenden Stellen manuell einzugeben.
Auf modernen Geräten, die mit einem persönlichen Microsoft-Konto verknüpft sind, kann der Schlüssel mit Ihrem Konto verknüpft sein. Microsoft-Profil Auf der Unternehmenswebsite ist die Suche nach dem Wiederherstellungsschlüssel zwar möglich, in professionellen Umgebungen empfiehlt sich jedoch meist die Nutzung des Firmenkontos im genannten Portal oder die direkte Kontaktaufnahme mit dem IT-Support. In jedem Fall ist es unerlässlich, keine weiteren Änderungen am BIOS vorzunehmen (z. B. das Löschen des TPM), bevor der Wiederherstellungsschlüssel gefunden und sicher aufbewahrt wurde.
Wann ist es ratsam, BitLocker vor einem BIOS-Update anzuhalten oder zu deaktivieren?
An diesem Punkt stellt sich meist die Frage: Muss ich das? BitLocker vollständig deaktivieren Muss ich vor dem BIOS-Flash den Kopierschutz deaktivieren oder reicht das aus? Und auf welchen Laufwerken muss ich das tun: nur auf dem Windows-Laufwerk oder auch auf USB-Laufwerken und sekundären Festplatten?
Wenn Sie lediglich verhindern möchten, dass BitLocker nach einem Firmware-Update nach Ihrem Wiederherstellungsschlüssel fragt, ist die beste Vorgehensweise in der Regel folgende: Schutz vorübergehend aussetzen Vor dem BIOS-Update müssen Sie auf dem Systemlaufwerk die BitLocker-Laufwerkverschlüsselung aktivieren. Unter Windows können Sie in der Systemsteuerung unter „BitLocker-Laufwerkverschlüsselung“ das Laufwerk C: auswählen und die Option „Schutz anhalten“ aktivieren, damit das TPM die Plattformänderungen akzeptiert, ohne einen Bluescreen zu verursachen.
Das Anhalten des Startvorgangs entschlüsselt die Festplatte nicht; es weist BitLocker lediglich an, bestimmte Änderungen an der Startumgebung ohne Wiederherstellungsschlüssel zuzulassen. Sobald das BIOS-Update abgeschlossen ist und Sie den korrekten Windows-Start bestätigt haben, können Sie zum selben Menü zurückkehren und auf „Schutz fortsetzen“ klicken, um die Verschlüsselung durch erneutes Speichern der aktuellen Konfiguration im TPM wiederherzustellen.
In bestimmten Situationen, wie sie beispielsweise in bestimmten Fällen auftreten ASUS B550-F MotherboardsDas BIOS-Flash-Tool zeigt möglicherweise weiterhin Warnungen an, die darauf hinweisen, dass BitLocker noch aktiv ist, selbst wenn Sie es in Windows deaktiviert haben. In diesen Fällen empfiehlt sich eine Überprüfung über die Befehlszeile mit manage-bde den tatsächlichen Status der Schutzvorrichtungen überprüfen und sicherstellen, dass das System den Aussetzungsbefehl korrekt angewendet hat.
Andere verschlüsselte Laufwerke wie USB-Sticks oder externe Festplatten können den Aktualisierungsprozess nur dann beeinträchtigen, wenn das BIOS-Installationsprogramm sie problematisch erkennt. In der Regel ist dies ausreichend. Entfernen Sie alle nicht benötigten Geräte vom Computer. Vor dem Flashen (externe Laufwerke, USB-Laufwerke usw.) sollte sichergestellt werden, dass sich das Systemlaufwerk im angehaltenen BitLocker-Modus befindet, nicht unbedingt deaktiviert oder vollständig entschlüsselt ist.
Was tun, wenn nach dem Update bei jedem Computerstart nach dem BitLocker-Schlüssel gefragt wird?
Eines der ärgerlichsten Probleme, die von Nutzern professioneller Laptops gemeldet werden, ist, dass nach einem Firmware- oder BIOS-Update (zum Beispiel in einem Dell LatitudeBitLocker fragt bei jedem Systemstart ausnahmslos nach dem Wiederherstellungsschlüssel. Nach Eingabe der 48 Ziffern startet Windows 11 problemlos, doch beim nächsten Neustart tritt dasselbe Problem erneut auf.
Als erstes empfiehlt man in der Regel, sich bei Windows anzumelden, die Systemsteuerung zu öffnen und im Abschnitt „BitLocker“ die entsprechenden Optionen zu verwenden. „Schutz aussetzen“ und dann „Schutz wiederherstellen“Dieser Prozess sollte es dem TPM ermöglichen, die Boot-Messungen unter Berücksichtigung der neuen BIOS-Version neu zu versiegeln, was theoretisch weitere Schlüsselanforderungen bei nachfolgenden Neustarts verhindern würde.
Falls das nicht funktioniert, können Sie mit dem Befehlszeilentool manage-bde mithilfe von Befehlen wie den folgenden arbeiten: manage-bde -protectors -disable c: und, sobald der Neustart erfolgt ist, manage-bde -protectors -enable c:Dadurch wird BitLocker gezwungen, den Schutzstatus des Laufwerks neu zu berechnen. Auf manchen Computern besteht das Problem jedoch weiterhin: Das System startet zwar, fordert aber weiterhin den Wiederherstellungsschlüssel an.
Außerdem muss im BIOS überprüft werden, ob der TPM 2.0-Chip tatsächlich vorhanden ist. aktiviert und aktivund dass Secure Boot konsistent mit der BitLocker-Konfiguration aktiviert ist. Ständige Änderungen dieser Parameter können das TPM verwirren und dazu führen, dass es die Umgebung nie als „stabil“ einstuft, wodurch sich die Wiederherstellungsschleife bei jedem Neustart verlängert.
Eine drastischere Maßnahme wäre die Nutzung der Option „TPM löschen“ oder „TPM entfernen“ Im BIOS. Dadurch wird der Sicherheitschip zurückgesetzt und kann Startprobleme beheben. Diese Entscheidung sollte jedoch nicht leichtfertig getroffen werden: Wenn Sie das TPM löschen, ohne den BitLocker-Status genau zu kennen und ohne garantierten Zugriff auf den Wiederherstellungsschlüssel zu haben, können Sie die Festplatte möglicherweise nicht entschlüsseln oder Funktionen wie die Windows Hello-PIN verlieren, bis diese neu konfiguriert sind.
Bevor man diesen Punkt erreicht, ist es generell ratsam, alle BitLocker-Optionen zum Anhalten und Fortsetzen sorgfältig zu prüfen, nach ausstehenden Firmware-Änderungen zu suchen und, insbesondere bei Unternehmensgeräten, Bitte wenden Sie sich an die IT-Abteilung.Manchmal besteht die Lösung darin, auf eine neuere BIOS-Version zu aktualisieren, die das Verhalten korrigiert, oder eine spezifische Boot-Plattform-Richtlinie in der Unternehmensumgebung anzuwenden.
Spezifische Informationen zu Dell-Geräten und bekannten Problemen mit BIOS-Updates
Im Dell-Ökosystem gibt es einige dokumentierte Fälle, in denen BIOS-Updates in Kombination mit BitLocker und Secure Boot Platform Key (PK)-Management zu so schwerwiegenden Problemen geführt haben, dass bestimmte Updates, die über Windows Update verteilt werden, gestoppt werden mussten.
Bei mehreren Modellen, wie zum Beispiel dem Dell 14 Plus 2-in-1 DB04255, Dell 14 Plus DB14255 und Dell 16 Plus DB16255Bei BIOS-Version 1.2.0 und höher wurde ein spezifisches Problem gemeldet. Updates für diese Versionen über Windows Update wurden bis voraussichtlich November 2025 (Änderungen vorbehalten) ausgesetzt, während Microsoft an einer Lösung arbeitet. neue Aktualisierungsmethode Dadurch wird der Konflikt mit dem Primärschlüssel und der Interaktion mit BitLocker gelöst.
Während dieses Zeitraums wird offiziell empfohlen, das BIOS nicht über Windows Update zu aktualisieren, sondern stattdessen … Dell.com oder das Dell SupportAssist-Tool Um für jedes betroffene System die neueste Firmware-Version zu erhalten, soll das Risiko minimiert werden, dass der BitLocker-Wiederherstellungsschlüssel beschädigt wird oder das Gerät während des Aktualisierungsvorgangs gesperrt wird.
In der Dokumentation von Dell werden außerdem zahlreiche Produktfamilien aufgeführt, die von verschiedenen BitLocker- und BIOS-bezogenen Szenarien betroffen sind: Dell Pro Max Micro, Pro Max Slim, Pro Max Tower, Dell Plus, Dell Pro, Pro Max, Pro Plus, Pro Premium, Latitude, Pro Rugged, Vostro und Desktop-WorkstationsUnter anderem. Jede Produktreihe mag unterschiedliche Nuancen aufweisen, aber die Grundidee ist ähnlich: Es empfiehlt sich, die spezifischen Anleitungen des Herstellers zu befolgen, die Support-Hinweise zu lesen und sicherzustellen, dass man den Wiederherstellungsschlüssel griffbereit hat, bevor man irgendetwas berührt.
Darüber hinaus veröffentlicht Dell regelmäßig Artikel in seiner Wissensdatenbank mit detaillierten Anleitungen zur Wiederherstellung von Systemen, die nach Firmware-Updates die Eingabe des BitLocker-Schlüssels anfordern. In verwalteten Umgebungen kann das firmeneigene Geräteverwaltungssystem die Schlüssel zentral speichern und der IT-Abteilung ermöglichen, das TPM-Vertrauen mit dem neuen BIOS wiederherzustellen, ohne dass der Benutzer – abgesehen vom Neustart bei Aufforderung – eingreifen muss.
Allgemeine Best Practices vor einem BIOS-Update mit aktiviertem BitLocker
Durch die Kombination von Erfahrungen mit verschiedenen Herstellern und realen Anwendungsfällen können wir einige sinnvolle Richtlinien für die problemlose Durchführung von BIOS-Updates auf Computern mit aktiviertem BitLocker ableiten. Es handelt sich zwar nicht um absolute Garantien, aber sie können hilfreich sein. bewährte Verfahren, die die Risiken erheblich reduzieren.
Als erstes muss sichergestellt werden, dass Wissen Sie, wo sich Ihr Wiederherstellungsschlüssel befindet? Und dass Sie auch dann darauf zugreifen können, wenn der Hauptcomputer nicht startet. Dazu gehört, Ihr Microsoft- oder Firmenkonto zu überprüfen, gedruckte Dokumente oder Dateien auf einem USB-Stick zu finden und, falls es sich um einen Firmencomputer handelt, sicherzustellen, dass der IT-Support die Daten wiederherstellen kann, falls Sie sie nicht finden.
Zweitens, überprüfen Sie sorgfältig die BIOS-Versionshinweise Beachten Sie die bevorstehende Installation und alle Warnhinweise des Herstellers auf der Downloadseite oder im Installationsprogramm. Falls Sie aufgefordert werden, BitLocker zu deaktivieren, tun Sie dies. Falls vor bekannten Problemen einer bestimmten Version gewarnt wird, überlegen Sie, ob Sie das Update wirklich jetzt benötigen oder auf eine spätere, ausgereiftere Version warten können.
Es wird immer empfohlen, eine zu erstellen aktuelles Backup Sichern Sie Ihre wichtigen Daten, bevor Sie Änderungen an der Firmware vornehmen. Auch wenn BIOS-Updates für Ihr spezifisches Modell einen guten Ruf genießen, kann ein Stromausfall oder eine Unterbrechung Ihren Computer in einen kritischen Zustand versetzen. Ein Backup verhindert das Problem zwar nicht, ermöglicht Ihnen aber zumindest die Datenwiederherstellung, falls die Lösung die Neuinstallation oder den Austausch von Komponenten erfordert.
Bezüglich des BitLocker-Status gilt, sofern der Hersteller nichts anderes angibt, in der Regel die ausgewogenste Option: Schutz der Systemeinheit aussetzen Starten Sie das Update kurz vor dem ersten Start und setzen Sie es fort, nachdem Sie sichergestellt haben, dass Windows mit dem neuen BIOS korrekt startet. Falls der Installer BitLocker weiterhin erkennt, obwohl Sie ihn angehalten haben, überlegen Sie, ob Sie fortfahren möchten oder ob Sie lieber spezifische Informationen für Ihr Mainboard oder Modell suchen möchten.
Schließlich sollten Sie vermeiden, zu viele Änderungen nacheinander vorzunehmen: Es ist keine gute Idee, gleichzeitig das BIOS zu aktualisieren, die Secure-Boot-Einstellungen zu ändern, den Boot-Modus (UEFI/Legacy) anzupassen und das TPM zu löschen. Schritt für Schritt gehenFühren Sie eine Änderung ein, überprüfen Sie, ob das System problemlos startet, und schlagen Sie erst dann die nächste vor. So wissen Sie im Fehlerfall viel besser, was passiert ist, und können leichter zum vorherigen Zustand zurückkehren oder mit spezifischen Informationen um Hilfe bitten.
Durch ein besseres Verständnis der Wechselwirkungen zwischen BIOS, TPM und BitLocker, des Speicherorts der Wiederherstellungsschlüssel und möglicher Präventivmaßnahmen wird die Aktualisierung der Firmware von einem technologischen Glücksspiel zu einer heiklen, aber überschaubaren Aufgabe, vorausgesetzt, die Warnungen des Herstellers werden beachtet und die Informationen, die für den Wiedererlangen des Zugriffs auf das System erforderlich sind, werden sicher aufbewahrt, falls die Verschlüsselung nach der Änderung verschärft wird.
