Realität aus dem Alltag

Ich sehe es immer mal wieder: Geräte gehen verloren, Mitarbeiter wechseln, Laptops reisen ungeplant durch die Welt. Und trotzdem ist die Datenträgerverschlüsselung oft „irgendwo konfiguriert“ – oder eben gar nicht.

Das Problem ist selten die Technik. Es ist die fehlende Konsequenz in der Umsetzung.

Meine klare Position:
Ich führe BitLocker nur noch zentral z.B. über Intune ein – alles andere* ist nicht steuerbar.

*Alternativ per Gruppenrichtlinien im lokalen AD (keine Empfehlung).

Warum ich das so sehe:
Lokale oder manuelle Verschlüsselung führt zu Intransparenz, fehlenden Recovery Keys und unnötigem Risiko.

Was das praktisch bedeutet:
Verschlüsselung ist kein Einzelgerät-Thema mehr, sondern ein zentral gesteuerter Standard.

Mythos vs. Realität

Wie es funktioniert

Ich denke bei BitLocker nicht in Features, sondern in Kontrolle, Nachvollziehbarkeit und Automatisierung.

Die drei entscheidenden Hebel:

• Richtlinie statt Einzelfall
  Intune definiert wann und wie ein Gerät verschlüsselt wird
  Keine Abhängigkeit vom Benutzer
• Zentrale Schlüsselverwaltung
  Recovery Keys werden automatisch in Azure AD / Entra ID gespeichert
  Zugriff ist nachvollziehbar und geregelt
• Status-Transparenz
  Ich sehe jederzeit:
  Welche Geräte verschlüsselt sind
  Wo es Probleme gibt
  Wo nachgesteuert werden muss

Schritt-für-Schritt: Einführung von BitLocker mit Intune

Ich gehe dabei bewusst strukturiert vor – nicht technisch im Detail, sondern entscheidungsorientiert:

1. Zielbild festlegen
Vollverschlüsselung für alle Unternehmensgeräte
Automatische Aktivierung ohne Benutzerinteraktion
Zentrale Speicherung der Recovery Keys

👉 Entscheidung: Kein Opt-out, sondern Standard

2. Voraussetzungen klären
Geräte sind in Intune (MDM) eingebunden
Windows 10/11 Pro oder höher
TPM (Trusted Platform Module) verfügbar

👉 Ohne diese Basis entsteht später unnötige Komplexität

3. BitLocker-Richtlinie in Intune erstellen
Ich setze auf Geräte → Konfigurationen → Richtlinien -> Erstellen:

Profil: z.B. Windows 10 und höher -> Vorlagen -> Endpunktschutz

4. Zuweisung der Richtlinie
Zielgruppe: Geräte oder Benutzergruppen
Pilotgruppe zuerst (IT / ausgewählte Mitarbeiter)

👉 Ich teste immer im kleinen Kreis

5. Monitoring & Kontrolle
Gerätestatus in Intune prüfen
Reports zu Verschlüsselungsstatus nutzen
Recovery Key Zugriff testen

👉 Vertrauen entsteht durch Sichtbarkeit, nicht durch Annahmen

6. Rollout erweitern
Nach erfolgreichem Pilot schrittweise ausrollen
Kommunikation an Nutzer: möglichst kurz und klar

Typische Fehler – die ich bewusst vermeide

• „Einfach aktivieren und fertig“ → Ohne Monitoring fehlt jede Kontrolle
• Kein Pilot → Probleme treten dann erst im Live-Betrieb auf
• Recovery Keys nicht prüfen → Kritischer Moment, wenn Geräte gesperrt sind
• Zu viele komplexe Einstellungen → Führt zu Fehlkonfigurationen
• Benutzer abhängig machen (z. B. PIN-Zwang ohne Kontext) → Erhöht Frustration und Supportaufwand

Soft-Zone: Mitwirkung & Organisation

Ich erlebe selten Widerstand gegen Verschlüsselung – wenn sie unsichtbar funktioniert.

Wichtig ist:

• Klare Kommunikation („läuft im Hintergrund“)
• Minimaler Einfluss auf den Arbeitsalltag
• Eindeutige Zuständigkeiten in der IT

BitLocker ist kein Change-Projekt – wenn ich es richtig aufsetze.

Soft-Zone: Kontrolle, Monitoring, Transparenz

Ich setze bewusst auf Transparenz:

• Wer darf Recovery Keys sehen?
• Wann wird darauf zugegriffen?
• Wie wird das protokolliert?

Nicht als Kontrolle der Mitarbeiter, sondern als Absicherung im Ernstfall.

Praxisbeispiele

Handlungsteil

Grenzen & Wirkung

BitLocker reduziert das Risiko eines Datenabflusses deutlich – insbesondere bei Verlust oder Diebstahl von Geräten.

Was es nicht leistet:

• Schutz vor kompromittierten Benutzerkonten
• Schutz innerhalb eines laufenden Systems (z. B. Malware)

Ich sehe es als Grundschutz, nicht als vollständige Sicherheitsstrategie.

Abschluss

Offene Frage: Wenn heute ein Gerät verloren geht – wüssten Sie sofort, ob es wirklich abgesichert ist?