BitLocker To Go verwendet dieselbe Verschlüsselungstechnologie wie BitLocker für Systemlaufwerke und kommt auf Wechseldatenträgern zum Einsatz – etwa auf externen HDDs, SSDs und USB-Sticks. Die Vorgehensweise zum Entsperren entspricht grundsätzlich der in unserem Leitfaden zur Datenrettung von einem mit BitLocker verschlüsselten internen Laufwerk. In der Praxis weisen externe Laufwerke jedoch andere Fehlerbilder auf: Es steht kein TPM als alternative Schutzkomponente zur Verfügung, eine sichtbare FAT32-Partition wird häufig fälschlicherweise für das gesamte Laufwerk gehalten, und während des Vorgangs kommt es häufiger zu einer physischen Trennung vom Computer. Dieser Leitfaden behandelt die Besonderheiten der Datenrettung von externen Festplatten und USB-Laufwerken.
Inhalt
- Was ist bei BitLocker To Go anders?
- Problem diagnostizieren
- Wann eine Wiederherstellung möglich ist – und wann nicht
- Wo Sie den Wiederherstellungsschlüssel finden
- Daten mit RS Partition Recovery wiederherstellen
| Situation | Vorgehensweise | Schwierigkeitsgrad |
|---|---|---|
| Das Kennwort wurde vergessen, der Wiederherstellungsschlüssel oder die BEK-Datei ist jedoch verfügbar | Das Laufwerk während der Wiederherstellung direkt mit dem Schlüssel entsperren | Niedrig |
| Das Laufwerk wurde während der Verschlüsselung getrennt oder die Stromversorgung wurde unterbrochen | Das Laufwerk mit dem Schlüssel entsperren und einen Scan durchführen; die Verschlüsselung bei Bedarf separat fortsetzen | Mittel |
| Nur eine kleine FAT32-Partition ist sichtbar, während der restliche Speicherplatz leer zu sein scheint | Das verschlüsselte Volume befindet sich in einer separaten, ausgeblendeten Partition und ist nicht verloren | Niedrig |
| Windows fordert zum Formatieren des Laufwerks auf, es wurde jedoch noch nicht formatiert | Nicht auf „Formatieren“ klicken, sondern direkt nach der FVE-Signatur suchen | Hoch |
| Das Laufwerk wurde bereits formatiert (Schnellformatierung oder vollständige Formatierung) | Keine Möglichkeit – durch die Formatierung werden die FVE-Metadaten zerstört, an die der Schlüssel gebunden ist | Nicht wiederherstellbar |
| Der Wiederherstellungsschlüssel für dieses Laufwerk wurde nie gespeichert | Keine Möglichkeit zur Datenrettung – die Verschlüsselung erfüllt ihren Zweck | Nicht wiederherstellbar |
Was ist bei BitLocker To Go anders?
Die Volume-Struktur und die FVE-Metadaten (Full Volume Encryption, vollständige Volume-Verschlüsselung) sind identisch mit denen eines internen Laufwerks. Anders ist jedoch die Auswahl der verfügbaren Schlüsselschutzvorrichtungen, da ein Wechseldatenträger nicht an die Hardware eines bestimmten Computers gebunden ist. Die automatische Entsperrung über ein TPM ist hier grundsätzlich nicht möglich – eine TPM-Schutzvorrichtung existiert nur für das Startvolume des jeweiligen Computers. Daher benötigt ein externes Laufwerk auf jedem Host, mit dem es verbunden wird, ein explizites Kennwort, eine Smartcard oder einen Wiederherstellungsschlüssel. Wenn BitLocker To Go aktiviert wird, verwendet der Windows-Explorer standardmäßig eine kennwortbasierte Schutzvorrichtung und erzeugt dasselbe Format eines 48-stelligen Wiederherstellungsschlüssels wie bei internen Volumes. Dieser kann in einem Microsoft-Konto gespeichert, ausgedruckt oder als Datei abgelegt werden.
Auch für externe Laufwerke ist eine automatische Entsperrung verfügbar. Sie gilt jedoch pro Host und nicht pro Laufwerk: Sobald ein bestimmter Windows-Computer das Laufwerk mit dem Kennwort entsperrt hat, speichert dieser Computer das Kennwort und überspringt die Abfrage bei späteren Verbindungen. Dieser Status wird auf dem Computer und nicht auf dem Laufwerk gespeichert. Daher fordert dasselbe Laufwerk beim ersten Anschluss an jeden anderen Computer weiterhin ein Kennwort an – beispielsweise an einen anderen PC, eine Linux-Live-Umgebung oder eine Wiederherstellungs-Workstation. In der Praxis bedeutet dies, dass ein Wiederherstellungsschlüssel oder Kennwort bei einem externen Laufwerk nie wirklich optional ist, wie es bei einem Systemlaufwerk mit funktionierender automatischer Entsperrung erscheinen kann. Früher oder später wird auf irgendeinem Computer einer dieser beiden Faktoren benötigt. Die auf einem verbundenen Laufwerk konfigurierten Schlüsselschutzvorrichtungen lassen sich über den zugewiesenen Laufwerksbuchstaben anzeigen:
manage-bde -protectors -get E:
Problem diagnostizieren
Wenn im Datei-Explorer auf einem Laufwerk nur eine kleine FAT32-Partition angezeigt wird und der übrige Datenbestand nicht zu sehen ist, bedeutet das nicht, dass Daten fehlen. Laufwerke, die mit älteren Windows-Versionen verschlüsselt wurden, enthalten neben dem verschlüsselten Volume eine zweite, kleine FAT32-Partition. Diese enthält den BitLocker To Go Reader – ein eigenständiges Tool, mit dem Systeme aus der Windows-7-Ära ohne native BitLocker-Unterstützung das Laufwerk entsperren konnten. Das verschlüsselte Volume selbst befindet sich in einer separaten Partition, die von Windows erst nach dem Entsperren eingebunden wird. Es ist also nicht verschwunden. Die Datenträgerverwaltung oder eine partitionsbasierte Datenrettungssoftware zeigt beide Partitionen an, auch wenn automatisch nur der FAT32-Partition ein Laufwerksbuchstabe zugewiesen wird.
Ein anderes Fehlerbild tritt auf, wenn die Ver- oder Entschlüsselung vorzeitig abgebrochen wurde – beispielsweise weil das Laufwerk während des Vorgangs getrennt wurde, die Stromversorgung ausgefallen ist oder die USB-Verbindung unterbrochen wurde. Dadurch befindet sich das Volume in einem gemischten Zustand: Ein Teil wurde bereits verarbeitet, ein anderer Teil noch nicht. Dies ist ein anderes Problem als ein tatsächlicher physischer Schaden und sollte vor weiteren Maßnahmen eindeutig unterschieden werden.
Wenn Windows meldet, dass das Laufwerk nicht lesbar ist, oder zum Formatieren auffordert, kann dies zwei völlig unterschiedliche Ursachen haben: eine beschädigte Partitionstabelle auf einem ansonsten intakten verschlüsselten Volume oder einen tatsächlichen Hardwaredefekt. Stürze, ein ausgefallener USB-SATA-Adapterchip und Controllerfehler treten bei mobilen Laufwerken häufiger auf als bei Laufwerken, die fest in einem Gehäuse eingebaut sind. Daher sollte ein physischer Schaden zunächst ausgeschlossen werden. Typische Anzeichen sind eine unzuverlässige Erkennung an verschiedenen USB-Anschlüssen, ungewöhnliche Geräusche oder ein Laufwerk, das während der Datenübertragung wiederholt die Verbindung verliert. Erst danach sollte davon ausgegangen werden, dass es sich ausschließlich um ein logisches Problem handelt.
Ein weiteres Fehlerbild sollte man erkennen, statt es zu diagnostizieren: Das Laufwerk wurde auf einem Computer für die automatische Entsperrung eingerichtet und anschließend an einen anderen Computer angeschlossen, der es zuvor noch nie verwendet hat. Dieser fordert zur Eingabe des Kennworts oder des Wiederherstellungsschlüssels auf, als wäre das Laufwerk zum ersten Mal angeschlossen worden – aus Sicht dieses Computers ist es tatsächlich das erste Mal.
Überprüfen Sie zunächst den Status, bevor Sie weitere Maßnahmen ergreifen:
manage-bde -status E:
Dieser Befehl zeigt den Verschlüsselungsfortschritt und den Sperrstatus an. Dadurch lässt sich feststellen, ob die Verschlüsselung unterbrochen wurde oder ob ein anderes grundlegendes Laufwerksproblem vorliegt, bevor die nächsten Schritte eingeleitet werden.
Wann eine Wiederherstellung möglich ist – und wann nicht
Sobald das Problem identifiziert ist, hängt die Möglichkeit einer Datenwiederherstellung im Wesentlichen von einer Frage ab: Sind die FVE-Metadaten – also die Struktur, die das verschlüsselte Volume mit seinem VMK und darüber mit dem Kennwort, Wiederherstellungsschlüssel oder der BEK-Datei verknüpft – noch intakt? Die meisten in der Praxis auftretenden Fälle lassen sich anhand einiger konkreter Szenarien einordnen:
- Dateien wurden gelöscht oder sind verloren gegangen, das Volume lässt sich jedoch weiterhin normal entsperren. Dies ist der einfachste Fall: Die FVE-Metadaten wurden nicht verändert, sondern lediglich die Dateisystemeinträge bestimmter Dateien entfernt. Ein gültiges Kennwort, ein Wiederherstellungsschlüssel oder eine BEK-Datei entsperrt das Volume wie gewohnt.
- Das Volume wird als RAW, nicht zugeordnet oder als „muss formatiert werden“ angezeigt. Solange seit dem Auftreten des Problems keine Daten auf das Laufwerk geschrieben wurden, bleiben die FVE-Metadaten und die verschlüsselten Sektoren in der Regel erhalten – selbst wenn die Partitionstabelle beschädigt oder verloren gegangen ist. Partitionstabelle und FVE-Header sind voneinander getrennte Strukturen; der Verlust der einen Struktur führt nicht automatisch zum Verlust der anderen.
- Die Verschlüsselung oder Entschlüsselung wurde unterbrochen. Das Volume befindet sich anschließend in einem gemischten Zustand: Ein Teil wurde verarbeitet, ein anderer Teil nicht. Der FVE-Header selbst wird durch eine solche Unterbrechung jedoch nicht beeinträchtigt. Das Volume kann mit einem funktionierenden Schutzmechanismus entsperrt und unabhängig vom Fortschritt des Vorgangs gescannt werden.
- Das Laufwerk wurde an einen Computer ohne gespeicherten Status für die automatische Entsperrung angeschlossen. Am Volume selbst hat sich nichts geändert. Auf dem neuen Computer ist lediglich kein zwischengespeicherter Entsperrungsstatus vorhanden. Der Wiederherstellungsschlüssel oder das Kennwort funktioniert dort genauso wie auf dem ursprünglichen Computer.
- Die Festplatte wurde formatiert, enthielt jedoch mehrere Partitionen. Wenn die erste Partition gelöscht und die Festplatte anschließend neu formatiert wurde, überschreibt die Formatierung in der Regel nur den dafür vorgesehenen Bereich. Die FVE-Metadaten einer zweiten oder dritten, weiter hinten auf dem Datenträger liegenden Partition können daher unangetastet geblieben sein. Diese Partitionen lassen sich möglicherweise noch wiederherstellen, auch wenn die erste Partition nicht mehr verfügbar ist. Deshalb sollte der gesamte physische Datenträger mit einer Datenrettungssoftware gescannt werden, anstatt das gesamte Laufwerk vorschnell als verloren zu betrachten.
Die Fälle, in denen eine Wiederherstellung tatsächlich ausgeschlossen ist, sind seltener. Bei einem Laufwerk mit nur einer Partition, das bereits – unabhängig davon, ob schnell oder vollständig – formatiert wurde, stehen Datenrettungsprogrammen unter Umständen keine verwertbaren Strukturen mehr zur Verfügung: Durch die Formatierung werden die Strukturen ersetzt, in denen VMK und FVE-Header gespeichert sind. Selbst das ursprünglich korrekte Kennwort oder der richtige Wiederherstellungsschlüssel kann das Volume dann nicht mehr entsperren, weil die erforderlichen Metadaten fehlen. Dasselbe gilt, wenn sowohl das Kennwort als auch der Wiederherstellungsschlüssel dauerhaft verloren gegangen sind und kein anderer Schutzmechanismus mehr zur Verfügung steht. Gleiches gilt bei schweren physischen Schäden, durch die die Sektoren mit dem FVE-Header zerstört wurden – im Gegensatz zu einer Beschädigung, die lediglich den Partitionstabelleneintrag betrifft, der auf den Header verweist.
Eine von Windows angezeigte Aufforderung „Soll dieses Laufwerk formatiert werden?“ hat allein noch keine Änderung vorgenommen – das Ablehnen der Aufforderung ist daher unproblematisch. Durch einen Klick auf die Bestätigung wird der Vorgang jedoch gestartet. Wenn ein Laufwerk als RAW, unlesbar oder unformatiert angezeigt wird, sollte es vor der Formatierung mit einer Datenrettungssoftware gescannt werden, nicht danach.
Wo Sie den Wiederherstellungsschlüssel finden
Der Wiederherstellungsschlüssel eines Laufwerks befindet sich meist an einem von wenigen möglichen Speicherorten. Wenn am PC, auf dem die Verschlüsselung eingerichtet wurde, ein Microsoft-Konto angemeldet war, wird der Schlüssel häufig automatisch gesichert und ist unter account.microsoft.com/devices/recoverykey einsehbar. Andernfalls sollte nach einem Ausdruck oder einer gespeicherten Textdatei gesucht werden, die beim erstmaligen Verschlüsseln des Laufwerks erstellt wurde. Windows benennt diese Dateien standardmäßig anhand der eindeutigen Laufwerks-ID, sodass sich leicht überprüfen lässt, ob der Schlüssel zum jeweiligen Laufwerk gehört. Bei einem zentral verwalteten Unternehmensgerät kann ein Domänenadministrator oder Azure-AD-Administrator den Wiederherstellungsschlüssel anhand des Geräts oder der Schlüssel-ID ermitteln. Wurde das Volume so konfiguriert, dass es beim Systemstart mit einer Schlüsseldatei statt mit einem eingegebenen Kennwort entsperrt wird, dient die BEK-Datei selbst als Anmeldeinformation – ein separater Wiederherstellungsschlüssel ist dann nicht erforderlich.
Wiederherstellungsschlüssel sind an ein bestimmtes Laufwerk und nicht allgemein an ein Benutzerkonto gebunden: Ein für ein externes Laufwerk gespeicherter Schlüssel kann kein anderes Laufwerk entsperren, selbst wenn beide auf demselben PC verschlüsselt wurden. Wenn mehrere Schlüssel vorhanden sind, sollte die Zuordnung anhand der Schlüssel-ID erfolgen.
Daten mit RS Partition Recovery wiederherstellen
RS Partition Recovery erkennt ein BitLocker-Volume anhand seiner FVE-Signatur und fordert vor dem Start des Scanvorgangs das Kennwort, den Wiederherstellungsschlüssel oder die BEK-Datei an. Der Vorgang entspricht dem bei einem internen Laufwerk, erfordert bei externen Datenträgern jedoch einige Anpassungen:
Schließen Sie das Laufwerk direkt an, nicht über einen Hub oder eine Dockingstation unbekannter Qualität. Eine instabile USB-Verbindung während eines langen Scanvorgangs ist eine häufige Ursache dafür, dass der Scan途中 neu gestartet wird.
Starten Sie einen Scan des gesamten physischen Datenträgers und nicht nur eines einzelnen logischen Laufwerksbuchstabens. Dies ist aus zwei oben erläuterten Gründen wichtig: Nur so kann das Programm die verschlüsselte Partition zusammen mit der FAT32-Erkennungspartition anzeigen. Außerdem werden dadurch eine zweite oder dritte Partition gefunden, die eine Formatierung des gesamten Datenträgers überstanden haben – selbst wenn die erste Partition auf demselben Datenträger nicht erhalten geblieben ist.
Wenn zunächst nur festgestellt werden soll, ob das Laufwerk physisch noch funktionsfähig ist, kann der Scan auch ohne Eingabe eines Schutzschlüssels durchgeführt werden. Dabei werden keine Dateiinhalte entschlüsselt. Es wird jedoch angezeigt, ob ein BitLocker-Volume vorhanden und strukturell intakt ist. Dies ist hilfreich, um einen Laufwerksdefekt frühzeitig auszuschließen, bevor nach einem Wiederherstellungsschlüssel gesucht wird.
Sobald die Entschlüsselung durchgeführt werden soll, geben Sie das Kennwort, den 48-stelligen Wiederherstellungsschlüssel oder eine bzw. mehrere .bek-Dateien ein. Wenn unklar ist, welche BEK-Datei zum Datenträger gehört, können mehrere BEK-Dateien gleichzeitig hinzugefügt werden. Das Programm ordnet die passende Datei anhand der Key ID zu, sodass kein manuelles Ausprobieren erforderlich ist.
Ein falscher Schlüssel wird direkt als Entsperrfehler gemeldet. Der Scan wechselt nicht stillschweigend zu einem signaturbasierten File Carving der weiterhin verschlüsselten Daten.
Nach dem Entsperren wird das Volume während des Scanvorgangs direkt entschlüsselt – ebenso wie bei einem internen Laufwerk.
Speichern Sie wiederhergestellte Dateien auf einem anderen physischen Datenträger – niemals auf demselben externen Laufwerk, von dem die Daten wiederhergestellt werden.
