Festplattenverschlüsselung im KMU: BitLocker, DSGVO und der verlorene Laptop

Ein verlorener Laptop ist kein Problem in Höhe von fünftausend Złoty für neue Hardware. Es ist ein Problem mit einer Meldung an die Datenschutzbehörde innerhalb von 72 Stunden, panischen Kunden und Kosten für Benachrichtigungen. Festplattenverschlüsselung ist die einzige Sache, die diesen Vorfall in ein gewöhnliches Hardware-Austauschprotokoll verwandelt.

Wir behandeln das als eigenes Thema, weil Festplattenverschlüsselung ein seltsames Feature ist: seit einem Jahrzehnt in Windows eingebaut, kostenlos, mit einem Klick zu aktivieren — und in den meisten polnischen KMU trotzdem abgeschaltet. Der Grund ist immer derselbe. „Brauchen wir nicht, wir haben ja ein Windows-Passwort." Das ist nicht dasselbe.

Warum das Windows-Passwort nicht reicht

Ein Windows-Passwort schützt nur den Anmeldebildschirm. Sobald jemand die Festplatte aus dem Laptop ausbaut und sie als externes Laufwerk an einen anderen Rechner anschließt, startet Windows gar nicht erst — es gibt kein Passwort, das umgangen werden müsste. Der Angreifer sieht die Dateien des Nutzers, die Firmendateien, Browser-Cookies, gespeicherte Passwörter. Den kompletten Inhalt. Ohne Hacker-Werkzeuge — ein Schraubendreher und ein USB-SATA-Adapter für 30 Złoty reichen aus.

Das ist kein theoretisches Szenario. Ein Laptop verschwand aus dem Kofferraum während eines Kundenbesuchs eines Außendienstmitarbeiters. Ein Mitarbeiter ließ den Rechner im Hotelzimmer und ging frühstücken. Ein Rucksack mit Geräten blieb im Zug liegen. Diese drei Geschichten sind bei unseren Kunden in den letzten zwei Jahren passiert. Jede endete mit der gleichen Frage: „ist die Festplatte verschlüsselt?".

Lautet die Antwort „ja", trägt man ins Protokoll ein, dass die Daten unlesbar waren, setzt das Konto des Mitarbeiters in den Cloud-Diensten zurück und bestellt einen neuen Laptop. Fall erledigt. Lautet die Antwort „nein", hat man 72 Stunden, um den Vorfall der Datenschutzbehörde zu melden, gegebenenfalls die Personen zu informieren, deren Daten auf der Platte waren, und zu erklären, warum ein Rechner mit Kundendaten überhaupt nicht verschlüsselt war.

BitLocker — was es wirklich ist

BitLocker ist die in Windows 10/11 Pro (und Enterprise) eingebaute Festplattenverschlüsselung. Sie verschlüsselt das gesamte Systemvolume, läuft im Hintergrund, ist für den Nutzer praktisch unsichtbar — der Laptop startet normal, der Nutzer meldet sich mit Passwort an, arbeitet wie gewohnt. Der Unterschied zeigt sich erst, wenn die Platte ausgebaut wird: außerhalb der ursprünglichen Hardware und ohne Wiederherstellungsschlüssel sind die Dateien unbrauchbar.

Für ein KMU ist das ein ausreichender Schutz. Wir verteidigen uns hier nicht gegen Geheimdienste, sondern gegen den Laptop-Dieb und das „ich habe ihn im Taxi liegen lassen"-Szenario. BitLocker deckt diese Szenarien zu 100% ab.

Wichtig: BitLocker ist nur in der Pro/Enterprise-Edition von Windows verfügbar. Wenn in der Firma jemand einen Laptop mit Windows Home gekauft hat, lässt sich Verschlüsselung nicht aktivieren — man muss die Lizenz auf Pro upgraden (einmalig rund 600 PLN pro Arbeitsplatz) oder die Hardware beim nächsten Refresh ersetzen. Es gibt keinen guten Grund, für die Firma Laptops mit der Home-Edition zu kaufen.

Wiederherstellungsschlüssel — wo es meist hakt

Jede verschlüsselte Festplatte hat einen 48-stelligen Wiederherstellungsschlüssel. Er wird eingegeben, wenn etwas schiefläuft: TPM defekt, Mainboard getauscht, der Nutzer hat zu oft das falsche Passwort eingegeben. Ohne den Schlüssel ist die Platte für immer gesperrt — auch für euch.

Genau hier sehen wir das meiste Chaos. Die IT schaltet BitLocker „schnell" an, speichert den Wiederherstellungsschlüssel auf dem Desktop desselben Laptops (der dann gleich mitverschlüsselt wird) oder mailt ihn an sich selbst auf ein Konto, zu dem niemand außer diesem einen IT-Mitarbeiter Zugang hat. Ein halbes Jahr später verlässt der IT-Mitarbeiter die Firma, und ein Jahr danach landet ein Nutzer auf dem Bildschirm „Recovery Key required", und plötzlich geht gar nichts mehr.

Die einzigen sinnvollen Orte für Wiederherstellungsschlüssel:

• Microsoft Entra ID (früher Azure AD) — wenn ihr Microsoft 365 Business Premium habt, landen die BitLocker-Schlüssel automatisch im Admin-Portal. Das ist die Standardoption, wenn die Firma schon M365 nutzt.
• Active Directory — analog, wenn ihr einen Domain Controller on-prem habt.
• Intune — wenn ihr MDM nutzt, sind die Schlüssel im Portal sichtbar, neben dem restlichen Geräteinventar.
• Firmen-Passwortmanager (Bitwarden, 1Password Business) — ein Eintrag pro Laptop, Zugriff beschränkt auf zwei oder drei Personen.

Was sich absolut nicht als Schlüsselablage eignet: ein privates Postfach, ein USB-Stick in der Schublade, eine Excel-Tabelle auf einem Netzlaufwerk. Der Wiederherstellungsschlüssel muss dort liegen, wo ihr ihn in drei Jahren findet, wenn ihr schon vergessen habt, dass er existiert.

Mac und Linux — kurz

Mac hat FileVault — das BitLocker-Pendant, eingeschaltet unter „Einstellungen → Datenschutz & Sicherheit → FileVault". Gleiche Regel: Schlüssel sichern, nicht auf diesem Laptop ablegen. In der Praxis ist das FileVault-Problem kleiner, weil Apple den Nutzer schon beim ersten Start ziemlich hartnäckig fragt, ob er die Verschlüsselung aktivieren möchte — in den meisten KMU sind die Macs quasi nebenbei schon verschlüsselt.

Linux — LUKS, eingerichtet während der Installation. Wenn ihr Entwickler unter Linux habt und die Installation ohne LUKS gemacht wurde, ist eine Neuinstallation die einzige Möglichkeit, Verschlüsselung zu aktivieren. Das ist ein gutes Argument, den Standard für Neuinstallationen einmal festzulegen und sich daran zu halten.

Fallstricke, auf die man achten muss

Drei Dinge, die ein KMU-Verschlüsselungsprojekt am häufigsten kippen.

Alte Hardware ohne TPM. TPM ist ein kleiner Chip auf dem Mainboard, in dem BitLocker seine Schlüssel ablegt. Laptops, die älter als etwa Baujahr 2018 sind, haben ihn möglicherweise nicht. BitLocker lässt sich auch ohne TPM aktivieren (mit Startpasswort), in der Praxis ist es aber einfacher, Hardware, die ohnehin am Ende ihrer Lebensdauer ist, einfach auszutauschen.

Energiesparmodus statt Ruhezustand. BitLocker schützt die Platte erst nach vollständigem Herunterfahren des Rechners. Ein Laptop, dessen Deckel zugeklappt ist, der aber im Sleep-Modus läuft, hat die Schlüssel weiterhin im Arbeitsspeicher. Für Firmen, die mit sensiblen Daten arbeiten (Anwaltskanzleien, Steuerberatungen, Gesundheitswesen), lohnt es sich, eine Hibernate- oder Shutdown-Richtlinie über Nacht zu erzwingen.

Kein Protokoll für den Verlustfall. Eine verschlüsselte Platte ist nur die halbe Miete. Die andere Hälfte ist eine konkrete Prozedur: wer ruft die IT an, wer sperrt die Konten in Microsoft 365 und im CRM, wer stellt ein neues Gerät bereit, wo wird das dokumentiert. Ohne das wird der Vorfall selbst mit BitLocker chaotisch.

Konkretes Beispiel

Bei einem unserer Kunden — eine 18-köpfige Anwaltskanzlei aus der Dreistadt — verschwand der Laptop eines Partners während eines Kundenbesuchs an der Küste aus dem Kofferraum. Auf der Platte lagen Vertragsentwürfe, Mandantenkorrespondenz, zwei Jahre E-Mails. Vor dem BitLocker-Rollout hätte ein solcher Verlust eine Meldung an die Datenschutzbehörde, individuelle Benachrichtigungen an Dutzende Mandanten und das Risiko eines Vertrauensverlusts in einer Branche bedeutet, in der Vertrauen das einzige echte Aktivum ist.

Die Platte war seit acht Monaten verschlüsselt. Die Wiederherstellungsschlüssel lagen in Microsoft Entra ID. Das M365-Konto des Partners war innerhalb von 15 Minuten gesperrt. Ein neuer Laptop ging am nächsten Tag per Kurier raus, die Daten waren in drei Stunden aus OneDrive zurück. Eine Meldung an die Datenschutzbehörde gab es nicht, weil die Daten für einen Dritten unlesbar waren — das reicht, um zu argumentieren, dass kein meldepflichtiger Vorfall vorliegt. Der gesamte „Vorfall" hat die Kanzlei 6 Tausend Złoty für einen neuen Laptop und einen halben Arbeitstag der IT gekostet. Ohne Verschlüsselung hätte er mindestens das Zehnfache und mehrere Wochen Nerven gekostet.

Was jetzt zu tun ist

Fünf Dinge, die sich in dieser Reihenfolge prüfen lassen:

1. Wie viele Laptops habt ihr im Unternehmen und auf welchen davon ist BitLocker aktiv (unter Windows prüft ihr das mit manage-bde -status aus einer Admin-Eingabeaufforderung).
2. Wo sind die Wiederherstellungsschlüssel — und findet ihr sie noch in einem Jahr, wenn der aktuelle IT-Verantwortliche weg ist.
3. Wird neue Hardware von vornherein mit Windows Pro gekauft.
4. Wie sieht die Prozedur für den Fall von Verlust oder Diebstahl eines Laptops aus — und hat sie überhaupt jemals jemand aufgeschrieben.
5. Steht in eurer Sicherheitsrichtlinie ein Punkt zur Verschlüsselung (den braucht ihr bei Kundenfragebögen, DSGVO-Audits, Cyber-Versicherungen).

Wenn auch nur eine dieser Antworten nicht klar ist, ist das ein Zeichen, das Thema zu schließen, bevor der erste Laptop verschwindet. Wir richten es einmal so ein, dass ihr in den nächsten Jahren nicht mehr darauf zurückkommen müsst.

Ein Windows-Passwort schützt den Anmeldebildschirm. Festplattenverschlüsselung schützt die Daten. Das sind zwei verschiedene Dinge — und nur eines davon zählt für die Datenschutzbehörde.

← Zurück zum Blog