Bitlocker - Sicherheit nach kurzzeitiger Deaktivierung / Neuinstallation?

[Ja_Nosch 3]

Hallo zusammen,

 

ich brauche mal Eure Einschätzung.

 

Bei nicht verschlüsselten Festplatten ist es ja so, dass auch nach dem Formatieren und Neuinstallieren von Windows mit speziellen Tools noch Dateien wiederhergestellt werden können.

 

Mein neues Notebook habe ich direkt nach der Installation vollständig mit Bitlocker verschlüsselt (über Key, TMP deaktiviert). Danach habe ich Daten aufgespielt.

 

Wie verhält es sich nun, wenn ich Bitlocker kurzzeitig deaktiviere, z.B. um die Maschine remote neu zu starten? Ist die Sicherheit nach erneuter Aktivierung wieder vollständig  gegeben oder können die Daten nun auch mit diversen Tools ausgelesen werden? Ich denke da z.B. an das Problem, dass bei SSDs Daten wiederhergestellt werden können, da die SSD entscheidet, auf welche Speicherbereiche wann zugegriffen wird.

 

Ähnlich gestaltet es sich nun mit einem Notebook, das ich neu aufsetzen möchte: dazu muss ich ja Bitlocker deaktivieren. Zuvor würde ich alle Daten runterlöschen. Ist das sicher? SSD mit Spezialtools formatieren will ich ungern, da davon ja wohl die SDD Schaden nehmen kann.

 

Ich hoffe, ihr versteht meine Frage - irgendwie habe ich ein ungutes Gefühl, wenn die "Sicherheitskette" durch Aufhebung der Verschlüsselung unterbrochen wird.

 

Wie macht ihr das?

 

Danke Euch.

[zahni 554]

Das  "Deaktivieren" führt  bei Bitlocker nicht dazu, dass die HDD  entschlüsselt wird. Es wird der Schlüssel in lesbarer From auf den Datenträger geschrieben.

 

Wie verwendest Du Bitlocker. Was meinst Du mit "Key ohne TPM"?

 

[NorbertFe 2.061]

Bitlocker deaktiviert  oder angehalten? Bei letzterem ist die Platte trotzdem verschlüsselt. Deaktivieren entschlüsselt die Platte komplett und danach kann man natürlich wieder mit diversen Tools drauf zugreifen. Wenn du dein Notebook neu aufsetzen willst, mußt du natürlich Bitlocker nicht deaktivieren, weil du ja eh neu installierst. ;) Ich denke du machst dir ziemlich viele GEdanken für etwas, was an der Stelle recht unkritisch ist. In der Zeit, in der du dein Notebook startest, wer sollte denn da jetzt einen "Angriff" starten? Du sitzt ja davor!

 

Bye

Norbert

vor 1 Minute schrieb zahni:

Das  "Deaktivieren" führt  bei Bitlocker nicht dazu, dass die HDD  entschlüsselt wird. Es wird der Schlüssel in lesbarer From auf den Datenträger geschrieben.

Ist das nicht bei "Anhalten" so?

[zahni 554]

vor 1 Minute schrieb NorbertFe:

 

Ist das nicht bei "Anhalten" so?

Ich bin davon ausgegangen, dass die TO zum "Neustart" nicht  komplett  entschlüsseln möchte.

Aber  Du hast rechte, man sollte bei den korrekten Bezeichnungen bleiben.

In die Online-Hilfe steht es eigentlich richtig:

 

Manage-bde

Zitat

  -on         Verschlüsselt das Volume und aktiviert den BitLocker-Schutz.
  -off        Entschlüsselt das Volume und deaktiviert den BitLocker-Schutz.
  -pause      Hält die Verschlüsselung, Entschlüsselung oder das sichere
              Löschen des freien Speicherplatzes an.
  -resume     Setzt die Verschlüsselung, Entschlüsselung oder das sichere
              Löschen des freien Speicherplatzes fort.

 

[Ja_Nosch 3]

Hallo zusammen,

 

ich habe mich echt unglücklich ausgedrückt - tut mir leid. Danke erstmal für Eure Antworten.

 

Prinzipiell geht es mir nicht um die Zeit, während der neu installiert oder neu gestartet wird, sondern darum, ob dadurch dann später im wieder verschlüsselten Zustand irgendwelche Nachteile entstehen (was weiß ich durch Sektoren, die dann ausgelesen können oder temporäre Dateien etc.). Vielleicht mache ich mir aber in der Tat zu viele Gedanken.

 

- mit "ohne TMP" meine ich die Nutzung von nur einer PIN (muss man ja zuvor über Gruppenrichtlinien erst ermöglichen)

- für den Neustart würde ich "Schutz anhalten" auswählen. Dann muss man meines Wissens nach keinen PIN beim Neustart eingeben.

 

Ich wusste nicht, dass man mit aktiviertem Bitlocker neu installieren kann. Das probiere ich nachher. Key exportiere ich natürlich vorab, ist klar

 

[zahni 554]

Wenn Du beim Start eine PIN  eingeben willst, muss  auch der TPM aktiv sein. Denn dort ist dann der Schlüssel gespeichert.

[NorbertFe 2.061]

vor 24 Minuten schrieb zahni:

In die Online-Hilfe steht es eigentlich richtig:

https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/cc732774(v=ws.11)

 

Disabling BitLocker protection temporarily

 

Da auch. ;)