Um von einem Verschlüsselungstool eines Drittanbieters zu Endpoint Central BitLocker Management zu migrieren, führen Sie die folgenden Schritte aus:
Wichtig: Wenn das Tool des Drittanbieters den Export von Wiederherstellungsschlüsseln unterstützt, exportieren Sie diese und bewahren Sie sie sicher auf, bevor Sie mit der Migration beginnen, um Datenverlust zu vermeiden.
Wenn das BitLocker-Management-Modul nach Aktivierung der Testversion der Security Edition nicht sichtbar ist:
Jegliche Änderungen an den Verschlüsselungseinstellungen erzeugen eine Abweichung zwischen der neuen und der alten Richtlinie. Dies führt dazu, dass alle Geräte unter dieser Richtlinie entschlüsselt und mit den neuen Einstellungen erneut verschlüsselt werden. Änderungen nur an erweiterten Einstellungen, wie der Rotation des Wiederherstellungsschlüssels oder der Sicherung im Domänencontroller, werden ohne Entschlüsselung und erneute Verschlüsselung angewendet.
Wenn TPM nicht erkannt wird, geht der Endpoint Central-Agent davon aus, dass kein TPM vorhanden ist, und wendet die Verschlüsselungseinstellungen für Geräte ohne TPM an. Wenn der Fehler behoben ist und TPM erkannt wird, wird das Gerät entschlüsselt und die Verschlüsselungseinstellungen für TPM-Geräte werden angewendet.
Bei Geräten ohne TPM erfordert die Verschlüsselung eine Passphrase. Erst nachdem das Passwort angegeben wurde, beginnt die Verschlüsselung.
Eine einzige Richtlinie ist sowohl für TPM- als auch für Nicht-TPM-Geräte ausreichend.
Die Richtlinie wird von den Geräten entfernt, die Verschlüsselung bleibt jedoch bestehen. Geräte werden beim Entfernen der Richtlinie nicht entschlüsselt.
Die zuletzt bereitgestellte Richtlinie wird wirksam. Die aktive Richtlinie kann in der Ansicht der verwalteten Systeme überprüft werden.
Wenn sich die Verschlüsselungseinstellungen der neuen Richtlinie von den aktuellen Einstellungen unterscheiden, wird die neue Richtlinie durchgesetzt.
BitLocker erzwingt Änderungen des Verschlüsselungsstatus nur auf Geräten, auf die eine BitLocker-Richtlinie angewendet wird.
Die Richtlinie wird widerrufen, die Verschlüsselung bleibt jedoch bestehen. Das Gerät wird nicht entschlüsselt.
So entfernen Sie einen vollständig entschlüsselten Computer und verhindern Verschlüsselungsaufforderungen:
Verschlüsselte Datenlaufwerke werden entschlüsselt. Der Computer bleibt teilweise verschlüsselt.
Das Ändern der Verschlüsselungseinstellungen löst eine erneute Verschlüsselung der Laufwerke aus.
Endpoint Central verschlüsselt Laufwerke nicht ohne eine bereitgestellte Richtlinie. Eine vollständige Verschlüsselung kann auftreten durch:
Ja. Melden Sie sich mit dem Wiederherstellungsschlüssel an. Nach der Anmeldung wird der Benutzer aufgefordert, das Passwort oder die PIN neu zu konfigurieren oder zu ändern.
Der Agent initiiert BitLocker-Prozesse während seines Aktualisierungszyklus. Die Ausführungszeit hängt vom jeweiligen Gerät ab. Die Verschlüsselung beginnt erst, nachdem der Wiederherstellungsschlüssel erfolgreich auf dem Server gespeichert wurde.
Nein. BitLocker kann jederzeit aktiviert und Richtlinien können jederzeit bereitgestellt werden.
Wenn sich ein Laufwerk im Modus „Schutz ausgesetzt“ befindet, ist es verschlüsselt, aber nicht geschützt. Um dies zu überprüfen, gehen Sie zur Endpoint Central-Webkonsole, navigieren Sie zur BitLocker-Verwaltung, suchen Sie den Computer unter „Verwaltete Computer“ und prüfen Sie, ob der Schutzstatus „Deaktiviert“ ist.
Wenn der Benutzer Datenlaufwerke manuell schützt und später eine BitLocker-Richtlinie bereitgestellt wird, ändert sich der Schutzmechanismus zu „Automatisch entsperren“.
Nein. Ein Neustart ist nicht erforderlich. Sobald die Richtlinie bereitgestellt ist, beginnt die Verschlüsselung sofort im Hintergrund.
Das gleichzeitige Anwenden beider Konfigurationen kann zu Konflikten führen. Es wird nicht empfohlen.
So heben Sie die Zuordnung einer BitLocker-Richtlinie zu einem Gerät auf:
So entschlüsseln Sie Laufwerke mithilfe der BitLocker-Verwaltung:
Überprüfen Sie, ob die BitLocker-Richtlinie korrekt angewendet wird und die Geräte ordnungsgemäß synchronisiert sind:
Wenn das Problem weiterhin besteht, wenden Sie sich an den Support.
BitLocker unterstützt Windows 7 und höher.
Die Verschlüsselung portabler Laufwerke wird von der BitLocker-Verwaltung von Endpoint Central nicht unterstützt.
Der aktuelle Status wird während des Aktualisierungszyklus aktualisiert. Ein On-Demand-Status kann abgerufen werden, indem Sie zu Einblicke → Verwaltete Systeme navigieren und auf „Jetzt aktualisieren“ klicken.
Hinweis: Für zeitnahe Datenaktualisierungen ist eine Agent-Server-Kommunikation erforderlich. Unterbrechungen können Aktualisierungen verzögern.
Mögliche Gründe:
Wenden Sie sich an den Support, wenn diese Probleme auftreten.
Wenn bei der Richtlinienerstellung die Option „Nur Betriebssystemlaufwerk verschlüsseln“ ausgewählt ist, wird der Verschlüsselungsstatus als „Teilweise verschlüsselt“ angezeigt.
Der Schutzstatus zeigt an, ob BitLocker aktiv ist. Wenn er bei vollständig verschlüsselten Laufwerken als „Deaktiviert“ angezeigt wird, ist BitLocker ausgesetzt. Endpoint Central setzt BitLocker nicht aus. Mögliche Ursachen sind:
Die Bereitstellung der Verschlüsselungsrichtlinie über Endpoint Central aktiviert den BitLocker-Schutz erneut.
Um automatisierte BitLocker-Berichte zu erhalten, navigieren Sie zu Geplante Berichte, um die vordefinierten Berichte für den Versand zu konfigurieren.
Der BitLocker-Status für das Inventarmodul wird nur durch die Inventarscans erkannt. Der Status wird erst beim nächsten Inventarscan angezeigt.
Wenn der Domänencontroller nicht erreichbar ist oder Berechtigungen Aktualisierungen verhindern, kann der Wiederherstellungsschlüssel dort nicht gespeichert werden.
Ja. BitLocker verschlüsselt Laufwerke auch dann, wenn keine Synchronisierung mit dem Domänencontroller erfolgt.
Ja. Der Central Server verwaltet alle Wiederherstellungskennwörter.
Konfigurieren Sie eine geplante Datenbanksicherung, die an einem sicheren Speicherort abgelegt wird. Anweisungen finden Sie hier. Wiederherstellungsschlüssel können aus den Sicherungsdateien abgerufen werden.
Wenn AD nicht erreichbar ist, versucht ManageEngine BitLocker während seines Aktualisierungszyklus bis zu fünfmal pro Tag, den Wiederherstellungsschlüssel zu aktualisieren, bis AD wieder erreichbar ist.
Wenn die Aufbewahrung des Wiederherstellungsschlüssels aktiviert ist, wird der Wiederherstellungsschlüssel auch nach dem Entfernen des Geräts bis zu einem Jahr auf dem Server aufbewahrt. Wenn sie deaktiviert ist, werden die Wiederherstellungsschlüssel des entfernten Geräts nach 30 Tagen verworfen. Wenn der Agent des Geräts deinstalliert wurde, das Gerät aber unter Scope of Management (SoM) auf der Registerkarte „Agent“ ausgegraut angezeigt wird, kann sein Wiederherstellungsschlüssel über den Gerätenamen abgerufen werden. Wenn der Agent des Geräts jedoch deinstalliert und das Gerät auch aus SoM entfernt wurde, kann der Wiederherstellungsschlüssel nur über die Wiederherstellungsschlüssel-ID abgerufen werden. Die Wiederherstellungsschlüssel-ID finden Sie im angezeigten Dialogfeld für den Wiederherstellungsschlüssel.
Das mit BitLocker geschützte Laufwerk kann durch Eingabe der PIN oder Passphrase entsperrt werden. Wenn Sie das Entsperrungskennwort vergessen haben, kann es durch Eingabe des Wiederherstellungsschlüssels entsperrt werden.
Sobald der Wiederherstellungsschlüssel in der Konsole angezeigt wird, wird ein neuer Wiederherstellungsschlüssel generiert, und der Agent ändert den Wiederherstellungsschlüssel beim nächsten Start.
Im aktuellen Workflow wird ein neuer Wiederherstellungsschlüssel nach seiner Generierung auf den Server hochgeladen. Nachdem der Server den neuen Schlüssel erfolgreich gespeichert hat, wird der alte Wiederherstellungsschlüssel gelöscht. Diese Abfolge erfolgt während des Aktualisierungszyklus des Agenten.
Wenn der Agent offline ist, kann er den neu generierten Wiederherstellungsschlüssel aufgrund fehlender Konnektivität nicht auf den Server hochladen. Daher bleibt der vorhandene Wiederherstellungsschlüssel gültig und unverändert. Sobald der Agent wieder verbunden ist, wird der Rotationsprozess während des nächsten Aktualisierungszyklus fortgesetzt und der neue Wiederherstellungsschlüssel generiert und auf den Server hochgeladen.
Beim Anzeigen der Seite „Wiederherstellungsschlüssel abrufen“ werden möglicherweise mehrere Wiederherstellungsschlüssel-Bezeichner für dasselbe Laufwerk aufgelistet. Dies geschieht, weil zuvor rotierte Wiederherstellungsschlüssel ebenfalls aufbewahrt und angezeigt werden. Der aktuell in der Ansicht „Verwaltete Computer“ angezeigte Bezeichner stellt den aktiven Wiederherstellungsschlüssel für dieses Laufwerk dar.
Ein einzelnes Laufwerk kann mehrere zugeordnete Wiederherstellungsschlüssel haben. Alle in der Ansicht „Verwaltete Computer“ angezeigten Wiederherstellungsschlüssel sind gültig und können zum Entsperren des Laufwerks verwendet werden.
Beim Entsperren eines Laufwerks zeigt Windows den Wiederherstellungsschlüssel-Bezeichner an. Dieser Bezeichner kann verwendet werden, um den entsprechenden Wiederherstellungsschlüssel in der Konsole abzurufen.
In Standardszenarien generiert das BitLocker-Add-on einen Wiederherstellungsschlüssel pro Laufwerk. Mehrere Schlüssel können erscheinen, wenn zusätzliche Schlüssel aufgrund manueller Unterbrechungen während der Verschlüsselung oder infolge von Interaktionen mit Software von Drittanbietern erstellt wurden.
Wenn der Wiederherstellungsschlüssel bei jedem Start abgefragt wird, liegt dies in der Regel an einem umgebungs- oder systembezogenen Problem und nicht am Verschlüsselungsworkflow selbst. Es wird empfohlen, dass sich der Kunde für weitere Unterstützung an den Microsoft-Support wendet, da dieses Verhalten häufig mit Faktoren des Betriebssystems oder der Hardwarekonfiguration zusammenhängt.
Überprüfen Sie, ob sich das Laufwerk derzeit im gesperrten Zustand befindet. Wenn das Laufwerk gesperrt ist, kann Endpoint Central den BitLocker-Wiederherstellungsschlüssel nicht abrufen. Entsperren Sie das Laufwerk und versuchen Sie den Abruf erneut. Um zu prüfen, ob sich das Laufwerk im gesperrten Zustand befindet, navigieren Sie zu Verwaltete Computer und klicken Sie auf das jeweilige Gerät. Der Sperrstatus der Laufwerke des Geräts wird dort angezeigt.
Wenn der Agent neu installiert wurde, wird das Gerät unter „Verwaltete Computer“ aufgeführt. Sie können den Bezeichner des Wiederherstellungsschlüssels für das jeweilige Gerät abrufen und den Wiederherstellungsschlüssel über die Registerkarte „Wiederherstellungsschlüssel abrufen“ abrufen.
