Zusätzliche Authentifizierung beim Start anfordern

Mit dieser Richtlinieneinstellung können Sie konfigurieren, ob BitLocker bei jedem Computerstart eine zusätzliche Authentifizierung erfordert und ob Sie BitLocker mit oder ohne TPM (Trusted Platform Module) verwenden. Diese Richtlinieneinstellung wird bei Aktivierung von BitLocker angewendet.

Hinweis: Beim Start kann nur eine der zusätzlichen Authentifizierungsoptionen erforderlich sein, da andernfalls ein Richtlinienfehler auftritt.

Falls Sie BitLocker auf einem Computer ohne TPM verwenden möchten, aktivieren Sie das Kontrollkästchen "BitLocker ohne kompatibles TPM zulassen". In diesem Modus ist für den Start entweder ein Kennwort oder ein USB-Laufwerk erforderlich. Bei Verwendung eines Systemstartschlüssels werden die Schlüsselinformationen, die zum Verschlüsseln des Laufwerks verwendet werden, auf dem USB-Laufwerk gespeichert, wodurch ein USB-Stick entsteht. Wenn der USB-Stick eingesteckt wird, wird der Zugriff auf das Laufwerk authentifiziert, und es kann auf das Laufwerk zugegriffen werden. Wenn der USB-Stick verloren geht, nicht verfügbar ist oder Sie das Kennwort vergessen haben, verwenden Sie eine der BitLocker-Wiederherstellungsoptionen, um auf das Laufwerk zuzugreifen.

Auf einem Computer mit einem kompatiblen TPM können beim Start vier Authentifizierungsmethoden verwendet werden, um zusätzlichen Schutz für verschlüsselte Daten zu bieten. Beim Start des Computers kann entweder nur das TPM für die Authentifizierung verwendet werden, oder es muss zusätzlich ein USB-Speicherstick mit einem Systemstartschlüssel eingesteckt werden und/oder eine 6- bis 20-stellige PIN (Personal Identification Number) eingegeben werden.

Wenn Sie die Richtlinieneinstellung aktivieren, können Benutzer erweiterte Startoptionen im BitLocker-Setup-Assistenten konfigurieren.

Wenn Sie die Richtlinieneinstellung deaktivieren oder nicht konfigurieren, können Benutzer auf Computern mit einem TPM nur grundlegende Optionen konfigurieren.

Hinweis: Wenn Sie die Verwendung einer Systemstart-PIN und eines USB-Speichersticks erzwingen möchten, müssen Sie die BitLocker-Einstellungen mithilfe des Befehlszeilentools "manage-bde" und nicht über den Setup-Assistenten der BitLocker-Laufwerkverschlüsselung konfigurieren.

BitLocker ohne kompatibles TPM zulassen (hierfür ist ein Kennwort oder ein USB-Flashlaufwerk mit Systemstartschlüssel erforderlich)

Registry Hive	HKEY_LOCAL_MACHINE
Registry Path	SOFTWARE\Policies\Microsoft\FVE
Value Name	EnableBDEWithNoTPM
Value Type	REG_DWORD
Default Value	1
True Value	1
False Value	0

Einstellungen für Computer mit einem TPM:

TPM-Start konfigurieren:

0. TPM zulassen
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\FVE
   Value Name	UseTPM
   Value Type	REG_DWORD
   Value	2

1. TPM erforderlich
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\FVE
   Value Name	UseTPM
   Value Type	REG_DWORD
   Value	1

2. TPM nicht zulassen
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\FVE
   Value Name	UseTPM
   Value Type	REG_DWORD
   Value	0

TPM-Systemstart-PIN konfigurieren:

0. Systemstart-PIN bei TPM zulassen
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\FVE
   Value Name	UseTPMPIN
   Value Type	REG_DWORD
   Value	2

1. Start-PIN bei TPM erforderlich
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\FVE
   Value Name	UseTPMPIN
   Value Type	REG_DWORD
   Value	1

2. Systemstart-PIN bei TPM nicht zulassen
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\FVE
   Value Name	UseTPMPIN
   Value Type	REG_DWORD
   Value	0

TPM-Systemstartschlüssel konfigurieren:

0. Systemstartschlüssel bei TPM zulassen
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\FVE
   Value Name	UseTPMKey
   Value Type	REG_DWORD
   Value	2

1. Startschlüssel bei TPM erforderlich
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\FVE
   Value Name	UseTPMKey
   Value Type	REG_DWORD
   Value	1

2. Systemstartschlüssel bei TPM nicht zulassen
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\FVE
   Value Name	UseTPMKey
   Value Type	REG_DWORD
   Value	0

TPM-Systemstartschlüssel und -PIN konfigurieren:

0. Systemstartschlüssel und PIN bei TPM zulassen
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\FVE
   Value Name	UseTPMKeyPIN
   Value Type	REG_DWORD
   Value	2

1. Systemstartschlüssel und PIN bei TPM erforderlich
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\FVE
   Value Name	UseTPMKeyPIN
   Value Type	REG_DWORD
   Value	1

2. Systemstartschlüssel und PIN bei TPM nicht zulassen
   

   Registry Hive	HKEY_LOCAL_MACHINE
   Registry Path	SOFTWARE\Policies\Microsoft\FVE
   Value Name	UseTPMKeyPIN
   Value Type	REG_DWORD
   Value	0