Verwalten Sie BitLocker auf jedem Büro-PC von einer Konsole aus
Die Verschlüsselung eines Laptops dauert fünf Minuten. Zweihundert Laptops – mit dem Nachweis, dass jedes Laufwerk verschlüsselt und jeder Wiederherstellungsschlüssel sicher gespeichert ist – ist eine Verwaltungsaufgabe. Das ist es, was eine BitLocker-Konsole tatsächlich tut.
✍️ Technical Anshu🪟 Windows 10 / 11🏢 For IT admins
🎥 Sehen Sie sich die vollständige Anleitung im Video an – ManageEngine BitLocker-Verwaltung, Schritt für Schritt
Stellen Sie jedem Büroadministrator zwei einfache Fragen: Welche Ihrer PCs sind noch nicht verschlüsselt und Wo ist der Wiederherstellungsschlüssel für den Laptop in der Buchhaltung? Ohne zentrales Management lauten die ehrlichen Antworten meist „nicht sicher“ und „vielleicht in einer Tabellenkalkulation“. Ein gestohlener oder verlorener Laptop wird dann zu einem Datenproblem und ein BitLocker-Wiederherstellungsbildschirm wird zu einem ganztägigen Problem. Dieser Leitfaden zeigt den im Video verwendeten Flottenansatz – BitLocker-Verwaltung von ManageEngine Endpoint Central – der die Verschlüsselung in drei Dinge umwandelt, die Sie von einer Konsole aus sehen können: eine Richtlinie, einen Schlüsseltresor und eine Statustafel. Das Aktivieren von BitLocker für einen einzelnen PC ist eine andere Aufgabe, die in einer eigenen Anleitung behandelt wird. Auf dieser Seite geht es ehrlich gesagt nur darum, alles überall zu verwalten.
Endpoint Central — BitLocker Managed Computers (illustration)
Encrypted164 PCs
Pending22 PCs
Not encrypted14 PCs
Recovery keys safely stored on server186 of 186 drives
Machines with no agent (not counted here)Unknown
Abbildung: Die Flottenansicht, die ein Administrator tatsächlich benötigt – wie viele verschlüsselt, wie viele ausstehend, wie viele nicht und ob jeder Schlüssel gespeichert ist. Zählungen sind Beispiele.
1
Was die Konsole tatsächlich verwaltet
Endpoint Central erfindet keine eigene Verschlüsselung. Die Verschlüsselung ist immer noch Windows BitLocker selbst und läuft auf jedem PC genau so, wie Microsoft sie erstellt hat. Die Konsole verwaltet alles drumherum:
Richtlinie – eine Definition von „richtig verschlüsselt“: welche Laufwerke, welche Entsperrmethode (TPM, TPM mit PIN, Passphrase), welcher Algorithmus.
Bereitstellung – die Richtlinie wird an Gruppen von Maschinen übertragen; ManageEngine dokumentiert Pushs von bis zu 250 Geräten gleichzeitig und neue Maschinen können die Richtlinie automatisch übernehmen.
Schlüsselhinterlegung – der Wiederherstellungsschlüssel jedes Laufwerks wird gesammelt und zentral auf dem Endpoint Central-Server gespeichert oder in Active Directory/Azure AD gesichert.
Status – jede verwaltete Maschine meldet als Verschlüsselt, Verschlüsselung ausstehend oder Nicht konform zurück, sodass Lücken sichtbar und nicht vermutet werden.
Ein Schutz, den es sich genau zu kopieren lohnt: Gemäß der Dokumentation von ManageEngine beginnt die Verschlüsselung erst, wenn der Wiederherstellungsschlüssel sicher auf dem Server gespeichert wurde. Diese einzige Regel verhindert die klassische Katastrophe – ein Laufwerk, das einwandfrei verschlüsselt wurde und dann seinen Besitzer für immer sperrte.
2
Schritt 1 – Installieren Sie zunächst einen Agenten auf jeder Maschine
Die Konsole kann nur verwalten, was sie sehen kann. Auf jedem PC muss der Endpoint Central-Agent installiert und gemeldet werden. Seien Sie in dieser Phase ehrlich zu sich selbst:
Listen Sie die Maschinen im Verwaltungsumfang der Konsole auf.
Vergleichen Sie es mit dem, was das Büro tatsächlich besitzt – Kaufunterlagen, die AD-Computerliste, der Netzwerkscan.
Jeder PC ohne Agent ist für jeden Bericht in diesem Handbuch unsichtbar. Es ist nicht „wahrscheinlich verschlüsselt“ – es ist unbekannt und unbekannt ist das Risiko.
Flottenverschlüsselungsprojekte scheitern in der Regel hier und nicht im Verschlüsselungsschritt. Schließen Sie zunächst die Sichtbarkeitslücke.
3
Schritt 2 – Schreiben Sie eine Richtlinie, bevor Sie einen PC berühren
Erstellen Sie die BitLocker-Richtlinie zentral, anstatt die Einstellungen Maschine für Maschine festzulegen:
Wählen Sie den Schutz: TPM nur für Desktops, die das Gebäude nie verlassen; TPM mit PIN für Laptops, die unterwegs sind (die vollständige Begründung finden Sie im Laptop-Richtlinienleitfaden dieser Serie).
Wählen Sie den Verschlüsselungstyp: Nur verwendeter Speicherplatz ist schnell und gut für brandneue Maschinen; Full-Disk eignet sich für Maschinen, die jahrelang Daten gespeichert haben.
Wählen Sie den Algorithmus, den Sie für die Compliance benötigen – die Konsole bietet die standardmäßigen BitLocker-Optionen, einschließlich XTS-AES 256.
Legen Sie den Schlüsselspeicher fest: Server, AD oder beides. Beides ist die ehrliche Antwort auf alles Wichtige.
Schließen Sie feste Datenlaufwerke ein, auf denen das Büro die gemeinsame Arbeit speichert, und nicht nur das Laufwerk C:.
Eine Richtlinie, einmal geschrieben, überall anwendbar – das ist der Sinn und Zweck, dies zentral zu tun.
4
Schritt 3 – Bereitstellung in Wellen, nicht auf einmal
Übertragen Sie die Richtlinie zunächst an eine kleine Pilotgruppe – Ihren eigenen Computer und ein paar freundliche Benutzer. Endpoint Central führt Prüfungen vor der Bereitstellung für die Fehler durch, die BitLocker-Rollouts häufig unterbrechen, wie z. B. Inkompatibilität des BIOS-Modus und TPM-Besitzprobleme, und markiert sie, bevor sie zu Helpdesk-Tickets werden. Dann in Wellen aufweiten:
Pilotgruppe → Bestätigen Sie, dass die Schlüssel im Treuhandkonto angekommen sind und der Status „Verschlüsselt“ lautet.
Eine Abteilung nach der anderen → Beobachten Sie, wie die Liste „Ausstehend“ kleiner wird.
Laptops und Remote-Rechner halten lange → sie verbinden sich am seltensten, also geben Sie ihnen Zeit und eine Erinnerung.
Die Verschlüsselung selbst ist leise und Benutzer können weiterarbeiten, aber eine Welle, die Sie beobachten können, ist mehr wert als ein großer Rollout, den Sie nicht erleben können.
5
Schritt 4 – Machen Sie den wöchentlichen Fünf-Minuten-Check zur Gewohnheit
Die Flottenverschlüsselung ist kein Projekt, das endet; Maschinen kommen hinzu, gehen weg und treiben. Die Konsole macht den Unterhalt gering:
Öffnen Sie die Statusansicht: Jede Maschine, die sich im Status Nicht konform befindet, erhält einen Namen und einen Grund – verfolgen Sie diese, nicht die grünen.
Überprüfen Sie, ob neue Mitglieder die Richtlinie automatisch übernommen haben.
Überprüfen Sie das Treuhandkonto stichprobenartig: Wählen Sie eine zufällige Maschine aus und holen Sie sich ihren Schlüssel. Wenn Sie das nicht können, handelt es sich bei dem Tresor um ein Gerücht, nicht um einen Tresor.
Bevor ein Prüfer danach fragt, exportieren Sie den Verschlüsselungsbericht, damit der Beweis bereits vorliegt (der Prüfleitfaden in dieser Reihe behandelt dies ausführlich).
6
Was dies nicht bewirkt – lesen Sie, bevor Sie sich darauf verlassen
Ehrlichkeit, denn auf Verschlüsselungsseiten wird dieser Teil normalerweise übersprungen:
Die Konsole verwaltet BitLocker; Auf PCs muss eine Windows-Edition ausgeführt werden, die BitLocker (Pro, Enterprise oder Education) enthält. Windows Home-Rechner können diesem System nicht beitreten.
Die Verschlüsselung schützt eine ausgeschaltete oder gestohlene Maschine. Es hilft nichts gegen Malware auf einem laufenden, entsperrten PC – das ist eine andere Verteidigungsebene.
Escrow schützt Sie nur, wenn die Konsole und ihre Schlüsseldatenbank selbst geschützt sind – sichere Administratorkennwörter, eingeschränkte Administratorkonten und Backups des Servers sind Teil der Aufgabe.
Ein grünes Dashboard deckt nur von Agenten verwaltete Maschinen ab. Behalten Sie Schritt 1 für immer bei.
🔴 Die einzige Regel, die Sie kopieren sollten, auch wenn Sie nichts anderes verwenden: Lassen Sie die Verschlüsselung eines Laufwerks niemals abschließen, es sei denn, sein Wiederherstellungsschlüssel ist bereits an einem Ort gespeichert, den Sie kontrollieren. Jedes Flottentool in diesem Handbuch basiert auf dieser Regel – denn ein gesperrtes Laufwerk mit verlorenem Schlüssel stellt kein Sicherheitsmerkmal dar, sondern einen Datenverlust.
🎥 Sehen Sie es live im Video
Die komplette Komplettlösung – Richtlinien, Schlüsselsicherung und die Konsole – wird im Video Schritt für Schritt gezeigt.
Nein. Die Verschlüsselung erfolgt weiterhin über Microsoft BitLocker auf jedem PC. Endpoint Central verwaltet dies – stellt die Richtlinie bereit, sammelt die Wiederherstellungsschlüssel und meldet den Status jeder Maschine von einer Konsole aus.
Wo werden die Wiederherstellungsschlüssel gespeichert?
Auf dem Endpoint Central-Server und optional auch in Active Directory oder Azure AD gesichert. Gemäß der Dokumentation von ManageEngine beginnt die Verschlüsselung auf einem Computer erst, wenn sein Schlüssel auf dem Server gespeichert wurde.
Wie viele PCs kann eine Police abdecken?
ManageEngine dokumentiert die Richtlinienbereitstellung auf bis zu 250 Geräten gleichzeitig, und Richtlinien können auch automatisch auf neu hinzugefügte Geräte angewendet werden, sodass neue PCs ohne manuelle Schritte die Konformität erreichen.
Diese Anleitung basiert auf dem Technical Anshu-Video zur Verwaltung von BitLocker. • Sie stecken bei einer Stufe fest? Fragen Sie in den Videokommentaren nach – Antworten gibt es dort 🙏