{"id":29728,"date":"2021-03-11T10:21:48","date_gmt":"2021-03-11T09:21:48","guid":{"rendered":"https:\/\/www.prosoft.de\/blog\/?p=29728"},"modified":"2025-03-31T09:41:06","modified_gmt":"2025-03-31T07:41:06","slug":"bitlocker-single-sign-on","status":"publish","type":"post","link":"https:\/\/www.prosoft.de\/blog\/bitlocker-single-sign-on\/","title":{"rendered":"BitLocker Single Sign-on"},"content":{"rendered":"

[et_pb_section fb_built=“1″ specialty=“on“ custom_css_main_1=“max-width:15%;“ disabled_on=“off|off|“ _builder_version=“4.16″ module_alignment=“center“ custom_padding=“2px|0px|0|0px|false|false“ global_colors_info=“{}“][et_pb_column type=“1_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][\/et_pb_column][et_pb_column type=“3_4″ specialty_columns=“3″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_row_inner admin_label=“Zeile“ _builder_version=“4.16″ custom_padding=“23px|0px|4px|0px|false|false“ locked=“off“ global_colors_info=“{}“][et_pb_column_inner saved_specialty_column_type=“3_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_post_title title=“off“ meta=“off“ featured_placement=“above“ admin_label=“Beitragsbild“ _builder_version=“4.16″ locked=“off“ global_colors_info=“{}“][\/et_pb_post_title][et_pb_post_title meta=“off“ featured_image=“off“ admin_label=“Beitragstitel“ _builder_version=“4.16″ custom_margin=“20px||“ locked=“off“ global_colors_info=“{}“][\/et_pb_post_title][\/et_pb_column_inner][\/et_pb_row_inner][\/et_pb_column][\/et_pb_section][et_pb_section fb_built=“1″ specialty=“on“ custom_css_main_1=“max-width:15%;“ disabled_on=“off|off|“ _builder_version=“4.16″ module_alignment=“center“ custom_padding=“0|0px|0|0px|false|false“ global_colors_info=“{}“][et_pb_column type=“1_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text admin_label=“Tag“ _builder_version=“4.16″ _dynamic_attributes=“content“ custom_padding=“||0px“ locked=“off“ global_colors_info=“{}“]@ET-DC@eyJkeW5hbWljIjp0cnVlLCJjb250ZW50IjoicG9zdF9kYXRlIiwic2V0dGluZ3MiOnsiYmVmb3JlIjoiIiwiYWZ0ZXIiOiIuIiwiZGF0ZV9mb3JtYXQiOiJjdXN0b20iLCJjdXN0b21fZGF0ZV9mb3JtYXQiOiJkIn19@[\/et_pb_text][et_pb_text admin_label=“Monat“ _builder_version=“4.16″ _dynamic_attributes=“content“ custom_margin=“-5px||2px“ custom_padding=“||0px“ locked=“on“ global_colors_info=“{}“]@ET-DC@eyJkeW5hbWljIjp0cnVlLCJjb250ZW50IjoicG9zdF9kYXRlIiwic2V0dGluZ3MiOnsiYmVmb3JlIjoiIiwiYWZ0ZXIiOiIiLCJkYXRlX2Zvcm1hdCI6ImN1c3RvbSIsImN1c3RvbV9kYXRlX2Zvcm1hdCI6Ik0ifX0=@[\/et_pb_text][et_pb_divider color=“#939393″ divider_weight=“5px“ _builder_version=“4.16″ max_width=“25px“ height=“0px“ custom_margin=“0px||“ locked=“on“ global_colors_info=“{}“][\/et_pb_divider][et_pb_text admin_label=“Jahr“ _builder_version=“4.16″ _dynamic_attributes=“content“ text_font_size=“11px“ custom_margin=“0px||“ locked=“on“ global_colors_info=“{}“]@ET-DC@eyJkeW5hbWljIjp0cnVlLCJjb250ZW50IjoicG9zdF9kYXRlIiwic2V0dGluZ3MiOnsiYmVmb3JlIjoiIiwiYWZ0ZXIiOiIiLCJkYXRlX2Zvcm1hdCI6ImN1c3RvbSIsImN1c3RvbV9kYXRlX2Zvcm1hdCI6IlkifX0=@[\/et_pb_text][et_pb_text admin_label=“Schlagw\u00f6rter“ _builder_version=“4.16″ _dynamic_attributes=“content“ text_font=“|300|on||||||“ text_text_color=“#000000″ text_font_size=“12px“ text_line_height=“1.4em“ custom_margin=“10px||“ custom_padding=“14px||“ border_width_top=“1px“ border_color_top=“#939393″ border_style_top=“dotted“ saved_tabs=“all“ locked=“on“ global_colors_info=“{}“]@ET-DC@eyJkeW5hbWljIjp0cnVlLCJjb250ZW50IjoicG9zdF90YWdzIiwic2V0dGluZ3MiOnsiYmVmb3JlIjoiIiwiYWZ0ZXIiOiIiLCJsaW5rX3RvX3Rlcm1fcGFnZSI6Im9mZiIsInNlcGFyYXRvciI6IiwgIiwiY2F0ZWdvcnlfdHlwZSI6InBvc3RfdGFnIn19@[\/et_pb_text][\/et_pb_column][et_pb_column type=“3_4″ specialty_columns=“3″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_row_inner column_structure=“undefined“ admin_label=“Zeile“ _builder_version=“4.16″ custom_padding=“23px|0px|0px|0px|false|false“ global_colors_info=“{}“][et_pb_column_inner type=“undefined“ saved_specialty_column_type=“3_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text admin_label=“Introtext“ _builder_version=“4.16″ text_font=“||on||||||“ custom_margin=“10px||25px“ custom_padding=“5px||5px“ z_index_tablet=“500″ text_text_shadow_horizontal_length_tablet=“0px“ text_text_shadow_vertical_length_tablet=“0px“ text_text_shadow_blur_strength_tablet=“1px“ link_text_shadow_horizontal_length_tablet=“0px“ link_text_shadow_vertical_length_tablet=“0px“ link_text_shadow_blur_strength_tablet=“1px“ ul_text_shadow_horizontal_length_tablet=“0px“ ul_text_shadow_vertical_length_tablet=“0px“ ul_text_shadow_blur_strength_tablet=“1px“ ol_text_shadow_horizontal_length_tablet=“0px“ ol_text_shadow_vertical_length_tablet=“0px“ ol_text_shadow_blur_strength_tablet=“1px“ quote_text_shadow_horizontal_length_tablet=“0px“ quote_text_shadow_vertical_length_tablet=“0px“ quote_text_shadow_blur_strength_tablet=“1px“ header_text_shadow_horizontal_length_tablet=“0px“ header_text_shadow_vertical_length_tablet=“0px“ header_text_shadow_blur_strength_tablet=“1px“ header_2_text_shadow_horizontal_length_tablet=“0px“ header_2_text_shadow_vertical_length_tablet=“0px“ header_2_text_shadow_blur_strength_tablet=“1px“ header_3_text_shadow_horizontal_length_tablet=“0px“ header_3_text_shadow_vertical_length_tablet=“0px“ header_3_text_shadow_blur_strength_tablet=“1px“ header_4_text_shadow_horizontal_length_tablet=“0px“ header_4_text_shadow_vertical_length_tablet=“0px“ header_4_text_shadow_blur_strength_tablet=“1px“ header_5_text_shadow_horizontal_length_tablet=“0px“ header_5_text_shadow_vertical_length_tablet=“0px“ header_5_text_shadow_blur_strength_tablet=“1px“ header_6_text_shadow_horizontal_length_tablet=“0px“ header_6_text_shadow_vertical_length_tablet=“0px“ header_6_text_shadow_blur_strength_tablet=“1px“ border_width_top=“1px“ border_color_top=“#939393″ border_width_bottom=“1px“ border_color_bottom=“#939393″ border_width_top_tablet=“1px“ border_width_top_phone=“1px“ border_width_bottom_tablet=“1px“ border_width_bottom_phone=“1px“ box_shadow_horizontal_tablet=“0px“ box_shadow_vertical_tablet=“0px“ box_shadow_blur_tablet=“40px“ box_shadow_spread_tablet=“0px“ locked=“off“ global_colors_info=“{}“]<\/p>\n

Bei der nativen Nutzung der Festplattenverschl\u00fcsselung Microsoft BitLocker haben Organisationen die Wahl zwischen \u00abUmst\u00e4ndlich aber sicher\u00bb oder \u00abbenutzerfreundlich aber unsicher\u00bb. Mit BitLocker Single Sign-on Funktionen in Kombination mit L\u00f6sungen zur BitLocker-Verwaltung, erreichen Unternehmen das Optimum \u00abbenutzerfreundlich und sicher\u00bb. <\/em><\/p>\n

[\/et_pb_text][et_pb_text admin_label=“Native Nutzung erkl\u00e4rt“ _builder_version=“4.27.4″ text_font=“||||||||“ text_text_color=“#000000″ hover_enabled=“0″ z_index_tablet=“500″ text_text_shadow_horizontal_length_tablet=“0px“ text_text_shadow_vertical_length_tablet=“0px“ text_text_shadow_blur_strength_tablet=“1px“ link_text_shadow_horizontal_length_tablet=“0px“ link_text_shadow_vertical_length_tablet=“0px“ link_text_shadow_blur_strength_tablet=“1px“ ul_text_shadow_horizontal_length_tablet=“0px“ ul_text_shadow_vertical_length_tablet=“0px“ ul_text_shadow_blur_strength_tablet=“1px“ ol_text_shadow_horizontal_length_tablet=“0px“ ol_text_shadow_vertical_length_tablet=“0px“ ol_text_shadow_blur_strength_tablet=“1px“ quote_text_shadow_horizontal_length_tablet=“0px“ quote_text_shadow_vertical_length_tablet=“0px“ quote_text_shadow_blur_strength_tablet=“1px“ header_text_shadow_horizontal_length_tablet=“0px“ header_text_shadow_vertical_length_tablet=“0px“ header_text_shadow_blur_strength_tablet=“1px“ header_2_text_shadow_horizontal_length_tablet=“0px“ header_2_text_shadow_vertical_length_tablet=“0px“ header_2_text_shadow_blur_strength_tablet=“1px“ header_3_text_shadow_horizontal_length_tablet=“0px“ header_3_text_shadow_vertical_length_tablet=“0px“ header_3_text_shadow_blur_strength_tablet=“1px“ header_4_text_shadow_horizontal_length_tablet=“0px“ header_4_text_shadow_vertical_length_tablet=“0px“ header_4_text_shadow_blur_strength_tablet=“1px“ header_5_text_shadow_horizontal_length_tablet=“0px“ header_5_text_shadow_vertical_length_tablet=“0px“ header_5_text_shadow_blur_strength_tablet=“1px“ header_6_text_shadow_horizontal_length_tablet=“0px“ header_6_text_shadow_vertical_length_tablet=“0px“ header_6_text_shadow_blur_strength_tablet=“1px“ box_shadow_horizontal_tablet=“0px“ box_shadow_vertical_tablet=“0px“ box_shadow_blur_tablet=“40px“ box_shadow_spread_tablet=“0px“ global_colors_info=“{}“ sticky_enabled=“0″]<\/p>\n

Microsoft BitLocker ist in Verbindung mit einer TPM-PIN<\/strong> zwar sicher, aber umst\u00e4ndlich in der Administration und aufw\u00e4ndig beim User-Helpdesk. Das Trusted Platform Module<\/a> (TPM) ist ein, in Computern integrierter Chip, der in diesem Fall die sichere Speicherung des BitLocker-Schl\u00fcssels \u00fcbernimmt. Gesch\u00fctzt wird der BitLocker Schl\u00fcssel durch eine PIN, die der Anwender beim booten eingeben muss. Das ist auch der Grund, warum Anwender diese Methode nicht unbedingt sch\u00e4tzen, Sie m\u00fcssen sich doppelt anmelden \u2013 zuerst bei der Festplattenverschl\u00fcsselung und danach bei Windows bzw. am Netzwerk. Trotzdem empfiehlt Microsoft die Nutzung von TPM plus PIN. Wird die PIN vom Anwender vergessen, ergibt sich dadurch aber ein gro\u00dfes Problem, besonders wenn der Anwender unterwegs ist. Der Recovery Key zur Wiederherstellung von BitLocker, kann laut Microsoft im Microsoft Konto, auf einem USB-Stick, im Azure AD oder auf einem Ausdruck gefunden werden. F\u00fcr Organisationen nicht ideal, haben sie doch keine Chance mehr, ihren Anwendern bei entsprechenden \u00abWissensl\u00fccken\u00bb zu helfen.<\/p>\n

Benutzerfreundlich aber unsicher<\/h3>\n

Wird die PIN dagegen im TPM-Chip gespeichert, kann sie beispielsweise durch \u00abTPM-Sniffing<\/strong>\u00bb bei der \u00dcbertragung vom TPM in den Arbeitsspeicher mitgelesen werden. Dieser Angriff dauert in der Regel nur 20 Minuten. Links zu weiteren Angriffsmethoden finden Sie unten. Ist die TPM-PIN bekannt, k\u00f6nnen auch die Daten auf der eigentlich verschl\u00fcsselten Festplatte entschl\u00fcsselt werden. Einziger Vorteil ist hierbei, dass sich der Nutzer die PIN nicht merken muss.<\/p>\n

[\/et_pb_text][\/et_pb_column_inner][\/et_pb_row_inner][et_pb_row_inner column_structure=“1_2,1_2″ _builder_version=“4.16″ global_colors_info=“{}“][et_pb_column_inner type=“1_2″ saved_specialty_column_type=“3_4″ _builder_version=“4.16″ global_colors_info=“{}“][et_pb_button button_url=“https:\/\/youtu.be\/-Fj3SeZww3M“ url_new_window=“on“ button_text=“Video TPM-Sniffing“ admin_label=“Button Video TPM Sniffing“ _builder_version=“4.16″ _module_preset=“default“ custom_button=“on“ button_text_color=“#ffffff“ button_bg_color=“#e09900″ button_border_width=“0px“ global_colors_info=“{}“][\/et_pb_button][\/et_pb_column_inner][et_pb_column_inner type=“1_2″ saved_specialty_column_type=“3_4″ _builder_version=“4.16″ global_colors_info=“{}“][\/et_pb_column_inner][\/et_pb_row_inner][et_pb_row_inner _builder_version=“4.16″ _module_preset=“default“ global_colors_info=“{}“][et_pb_column_inner saved_specialty_column_type=“3_4″ _builder_version=“4.16″ _module_preset=“default“ global_colors_info=“{}“][et_pb_text admin_label=“BitLocker Single Sign-on“ _builder_version=“4.27.4″ text_font=“||||||||“ text_text_color=“#000000″ z_index_tablet=“500″ text_text_shadow_horizontal_length_tablet=“0px“ text_text_shadow_vertical_length_tablet=“0px“ text_text_shadow_blur_strength_tablet=“1px“ link_text_shadow_horizontal_length_tablet=“0px“ link_text_shadow_vertical_length_tablet=“0px“ link_text_shadow_blur_strength_tablet=“1px“ ul_text_shadow_horizontal_length_tablet=“0px“ ul_text_shadow_vertical_length_tablet=“0px“ ul_text_shadow_blur_strength_tablet=“1px“ ol_text_shadow_horizontal_length_tablet=“0px“ ol_text_shadow_vertical_length_tablet=“0px“ ol_text_shadow_blur_strength_tablet=“1px“ quote_text_shadow_horizontal_length_tablet=“0px“ quote_text_shadow_vertical_length_tablet=“0px“ quote_text_shadow_blur_strength_tablet=“1px“ header_text_shadow_horizontal_length_tablet=“0px“ header_text_shadow_vertical_length_tablet=“0px“ header_text_shadow_blur_strength_tablet=“1px“ header_2_text_shadow_horizontal_length_tablet=“0px“ header_2_text_shadow_vertical_length_tablet=“0px“ header_2_text_shadow_blur_strength_tablet=“1px“ header_3_text_shadow_horizontal_length_tablet=“0px“ header_3_text_shadow_vertical_length_tablet=“0px“ header_3_text_shadow_blur_strength_tablet=“1px“ header_4_text_shadow_horizontal_length_tablet=“0px“ header_4_text_shadow_vertical_length_tablet=“0px“ header_4_text_shadow_blur_strength_tablet=“1px“ header_5_text_shadow_horizontal_length_tablet=“0px“ header_5_text_shadow_vertical_length_tablet=“0px“ header_5_text_shadow_blur_strength_tablet=“1px“ header_6_text_shadow_horizontal_length_tablet=“0px“ header_6_text_shadow_vertical_length_tablet=“0px“ header_6_text_shadow_blur_strength_tablet=“1px“ box_shadow_horizontal_tablet=“0px“ box_shadow_vertical_tablet=“0px“ box_shadow_blur_tablet=“40px“ box_shadow_spread_tablet=“0px“ global_colors_info=“{}“]<\/p>\n

BitLocker Single Sign-on oder Pre-Boot Authentifizierung<\/h3>\n

Microsoft empfiehlt deshalb nicht die Standardkonfiguration einzurichten, sondern BitLocker ausschlie\u00dflich in Kombination mit einem TPM\/BIOS-Passwort oder PIN und Single Sign-on bzw. Pre-Boot Authentifizierung (PBA) zu nutzen. Dadurch wird verhindert, dass der BitLocker-Schl\u00fcssel vor Eingabe eines Passworts das Trusted Platform Module erreichen und dort mithilfe einer Attacke ausgesp\u00e4ht werden kann. Die BitLocker Single Sign-on Funktionsweise wollen wir am Beispiel von BitLocker Management<\/a> Secure Disk for BitLocker<\/a> des deutschen Herstellers Cryptware IT-Security GmbH erl\u00e4utern. Bei dieser L\u00f6sung erfolgt die Pre-Boot Authentifizierung \u00fcber Name\/Passwort, (Virtual-) Smartcard, Zertifikat oder biometrisch. Neu hinzugekommen sind die sichere Authentifizierung \u00fcber YubiKey<\/strong> OTP Hardware-Token und Authentifizierungs-Apps<\/strong> wie Google Authenticator, FreeOTP, LinOTP oder Sophos Authenticator.<\/p>\n

Trotz BitLocker Single Sign-on<\/em> konnte hier eine Zwei-Faktor Authentifizierung<\/em> realisiert werden. Denn Anwender m\u00fcssen sowohl das Notebook als auch Smartphone plus OTP-App, PIN oder biometrische Eigenschaften zur Anwenderidentifizierung am Smartphone oder den YubiKey<\/a> Token parat haben. Eine einmalige Authentifizierung reicht aus, um sich sowohl bei BitLocker als auch bei Windows sicher anzumelden. Diese Verfahren sind durch den TPM-Chip am Notebook vor Brute-Force Attacken gesch\u00fctzt. Die OTP-Token wiederum sind durch das Trusted Platform Module kryptografisch mit der Hardware (Notebook) verbunden. Erw\u00e4hnenswert ist noch, dass die Anmeldung \u00fcber App vollst\u00e4ndig offline funktioniert. In der eigenen Dom\u00e4ne sorgt der Friendly Network Mode <\/em>f\u00fcr die Anmeldung am Netzwerk und nicht nur an Windows.<\/em><\/p>\n

[\/et_pb_text][et_pb_image src=“https:\/\/www.prosoft.de\/blog\/wp-content\/uploads\/2021\/03\/yubikey-800×330-1.jpg“ alt=“BitLocker Single Sign-on mit YubiKey“ title_text=“yubikey-800×330″ _builder_version=“4.16″ _module_preset=“default“ global_colors_info=“{}“][\/et_pb_image][et_pb_text admin_label=“Bildtext YubiKey“ _builder_version=“4.27.4″ _module_preset=“default“ custom_margin=“-9px|||||“ global_colors_info=“{}“]<\/p>\n

Volle Flexibilit\u00e4t mithilfe der YubiKey Produktfamilie<\/em><\/p>\n

 <\/p>\n

[\/et_pb_text][et_pb_text admin_label=“YubiKey und Secure Disk“ _builder_version=“4.27.4″ _module_preset=“default“ custom_margin=“-9px|||||“ global_colors_info=“{}“]<\/p>\n

BitLocker Pre-Boot Authentifizierung mit YubiKey<\/h3>\n

Der YubiKey USB-Token ist eine echte Alternative und ein weiteres sicheres Single Sign-on Authentifizierungsverfahren. Anwender m\u00fcssen zus\u00e4tzlich zu den Anmeldedaten nur noch ihren YubiKey besitzen, um Zugang zum Betriebssystem zu erhalten. Nach der Anmeldung an der Secure Disk Pre-Boot Authentifizierung, wird der User auch automatisch am Microsoft Betriebssystem angemeldet (siehe Video<\/a>). Die L\u00f6sung Secure Disk for BitLocke<\/strong>r ist von Yubico in das Programm \u00abWorks with YubiKey\u00bb aufgenommen worden. Auch diese Methode entspricht den strengen Vorgaben einer Zwei-Faktor-Authentifizierung.<\/p>\n

Alle oben beschriebenen neuen Authentifizierungsmethoden sind Multi-User-f\u00e4hig,<\/p>\n

Durch BitLocker-Verwaltung die Kontrolle behalten<\/h3>\n

Die Hauptaufgaben einer BitLocker Management<\/a> sind aber Funktionen wie die zentrale, sichere Speicherung der BitLocker Recovery-Schl\u00fcssel in einer Datenbank, entsprechende Challenge-Response-Helpdesk-Mechanismen bei vergessenen Passw\u00f6rtern\/PINs, sowie ein Reporting \u00fcber den Status der Festplattenverschl\u00fcsselung. Dies ist besonders wichtig, wenn Notebooks gestohlen werden oder abhandenkommen.<\/p>\n

[\/et_pb_text][\/et_pb_column_inner][\/et_pb_row_inner][et_pb_row_inner _builder_version=“4.16″ global_colors_info=“{}“][et_pb_column_inner saved_specialty_column_type=“3_4″ _builder_version=“4.16″ global_colors_info=“{}“][et_pb_text admin_label=“Links zum Thema“ _builder_version=“4.27.4″ global_colors_info=“{}“]<\/p>\n

Links zum Thema<\/h3>\n