Viele Berliner KMU haben BitLocker aktiviert und glauben, ihre Laptops sind sicher. Das stimmt – aber nur halb. Die Schwachstelle steckt nicht in BitLocker selbst, sondern in einer gefährlich verbreiteten Fehlkonfiguration: TPM ohne PIN.
Was ist BitLocker – und warum reicht TPM allein nicht?
BitLocker ist Microsofts eingebaute Festplattenverschlüsselung für Windows 10/11 Pro und Enterprise. In Kombination mit dem Trusted Platform Module (TPM) – einem Sicherheitschip auf dem Mainboard – schützt BitLocker Daten vor Diebstahl und unberechtigtem Zugriff. Soweit die Theorie.
In der Praxis läuft die häufigste Konfiguration so: TPM-only, also ohne zusätzliche PIN. Das bedeutet: Der Laptop startet automatisch durch, ohne dass jemand einen zweiten Faktor eingeben muss. Genau hier liegt das Problem.
bitpixie: Die Lücke, die Microsoft seit 2023 nicht vollständig schließt
Seit dem Chaos Communication Congress Ende 2023 ist die Schwachstelle CVE-2023-21563, auch „bitpixie” genannt, bekannt. Ein Angreifer mit physischem Zugriff auf ein Gerät kann darüber den BitLocker-Schlüssel aus dem Arbeitsspeicher extrahieren – auch wenn das Gerät mit TPM verschlüsselt ist. Microsoft hat mit den Sicherheitsupdates vom Januar 2026 den Boot-Prozess zwar gehärtet, doch Varianten des Angriffs sind unter bestimmten Bedingungen weiterhin möglich.
Für KMU bedeutet das konkret: Ein gestohlener Laptop mit TPM-only-BitLocker kann von einem technisch versierten Angreifer entschlüsselt werden. Gerade bei Außendienstmitarbeitern, auf Messen oder im Homeoffice ist das Risiko real.
Die richtige Konfiguration: TPM + PIN
Der wirksame Schutz lautet TPM + PIN. Dabei wird beim Start eine persönliche PIN abgefragt, bevor Windows bootet. Der BitLocker-Schlüssel wird erst nach erfolgreicher PIN-Eingabe freigegeben – der bitpixie-Angriff und ähnliche Techniken laufen damit ins Leere.
Zusätzlich empfiehlt sich:
- Netzwerk-Boot (PXE) im BIOS deaktivieren – Einfallstor für Remote-Angriffe schließen
- AES 256-Bit konfigurieren statt des Standards von 128-Bit
- Firmware regelmäßig aktualisieren – viele Angriffsvarianten setzen auf veraltete UEFI-Firmware
- Recovery-Schlüssel zentral sichern – nicht im Microsoft-Konto des Nutzers, sondern in einem verwalteten System
Was das für Berliner KMU bedeutet
Die DSGVO und die NIS2-Umsetzung fordern nachweisbare Schutzmaßnahmen für personenbezogene Daten. Ein gestohlenes, unzureichend konfiguriertes Laptop kann meldepflichtig werden – und bei Behördenkunden oder Auftragsverarbeitungen schnell zu Vertragsbrüchen führen. „BitLocker ist aktiviert” reicht als Nachweis nicht aus, wenn die Konfiguration nachweislich lückenhaft ist.
Unsere Empfehlung: Prüfen Sie mit einem einfachen PowerShell-Befehl (manage-bde -status C:) auf jedem Firmengerät, ob BitLocker läuft – und ob die Schutzvorrichtung „TPM und PIN” lautet oder nur „TPM”. Den Rest übernehmen wir im Rahmen unserer IT-Sicherheitsbetreuung oder als Einmalaudit im IT-Wartungsvertrag.
Fazit
BitLocker ist eine solide Lösung – wenn sie korrekt konfiguriert ist. TPM-only schützt gegen Gelegenheitsdiebe, nicht gegen gezielte Angriffe. TPM + PIN, deaktivierter Netzwerk-Boot und aktuelle Firmware schließen die bekannten Angriffsvektoren. Für KMU ohne eigene IT-Abteilung ist das eine Konfigurationsaufgabe, die einmal professionell gemacht werden sollte – und danach automatisch mitläuft.
