Kurz gesagt: Der BitLocker-Wiederherstellungsschlüssel ist ein 48-stelliges Kennwort. Bei Geräten mit Microsoft Entra ID findest du ihn im Entra Admin Center unter Entra ID > Geräte > Alle Geräte, Gerät öffnen, „Wiederherstellungsschlüssel anzeigen“ (Show Recovery Key). Bei Domänencomputern steht er in Active Directory-Benutzer und -Computer auf der Registerkarte „BitLocker-Wiederherstellung“ des Computerobjekts. Benutzer selbst finden ihn unter myaccount.microsoft.com > Geräte > BitLocker-Schlüssel anzeigen.
Stand: 03.11.2026
Warum fragt Windows plötzlich nach dem Wiederherstellungsschlüssel?
BitLocker schaltet in den Wiederherstellungsmodus, wenn das Laufwerk nicht über den normalen Weg entsperrt werden kann. Laut Microsoft lösen das unter anderem aus: zu viele falsche PIN-Eingaben, ein BIOS- oder UEFI-Firmware-Update, Änderungen am Boot-Manager oder an der Partitionstabelle, ein Mainboard-Tausch mit neuem TPM, ein deaktiviertes oder gelöschtes TPM, das An- oder Abdocken eines Notebooks, PXE-Boot, der Umzug der Festplatte in einen anderen Rechner oder ein geändertes Validierungsprofil des TPM. Auch das Überschreiten der maximalen Anzahl fehlgeschlagener Anmeldeversuche kann den Modus auslösen.
Für geplante Arbeiten wie Firmware-Updates lässt sich BitLocker vorher anhalten (Suspend). Das Laufwerk bleibt verschlüsselt, der Schlüssel wird nach dem Neustart neu versiegelt und niemand muss den Wiederherstellungsschlüssel eingeben. Ohne Angabe einer Anzahl von Neustarts aktiviert sich BitLocker beim nächsten Start automatisch wieder.
Du kommst nicht weiter? Wir übernehmen das für dich, meist per Fernwartung. Ruf an: 0541 507 988 08, schreib uns oder buch ein Erstgespräch.
Wo kann der Schlüssel gespeichert sein?
Microsoft nennt diese Speicherorte für das 48-stellige Wiederherstellungskennwort: Microsoft Entra ID (empfohlen für Entra-verbundene Geräte), Active Directory Domain Services (empfohlen für Domänencomputer), das Microsoft-Konto (Standard für private Geräte ohne Entra oder AD), eine Textdatei, ein Ausdruck oder ein USB-Stick. Daneben gibt es den Wiederherstellungsschlüssel als .BEK-Datei auf einem Wechseldatenträger und das Key Package für das BitLocker-Reparaturtool, das nicht in Entra ID gespeichert werden kann.
Wichtig für die Suche ist die Schlüssel-ID (recovery key ID), die der Wiederherstellungsbildschirm anzeigt. Mit ihr oder dem Gerätenamen findest du den passenden Eintrag.
Wie finde ich den Schlüssel in Microsoft Entra ID?
- Melde dich am Microsoft Entra Admin Center (entra.microsoft.com) an. Du brauchst laut Microsoft eine dieser Rollen: Cloud Device Administrator, Helpdesk Administrator, Intune Administrator, Security Administrator oder Security Reader. Der Besitzer des Geräts darf ebenfalls zugreifen.
- Öffne Entra ID > Geräte > Alle Geräte (Entra ID > Devices > All devices).
- Suche das Gerät nach Namen. Findest du es über den Besitzer nicht, suche nach der Geräte-ID.
- Öffne die Gerätedetails und wähle Wiederherstellungsschlüssel anzeigen (Show Recovery Key). Vergleiche die Schlüssel-ID mit der Anzeige auf dem Gerät.
Jeder Aufruf von Show Recovery Key erzeugt einen Eintrag im Überwachungsprotokoll in der Kategorie KeyManagement. Für Intune-verwaltete Geräte geht derselbe Weg auch über das Intune Admin Center. Per PowerShell liefert Get-EntraBitLockerKeys -DeviceName <Gerätename> nach Connect-MgGraph mit dem Bereich BitlockerKey.Read.All den Schlüssel.
Benutzer können sich selbst helfen: Unter https://myaccount.microsoft.com auf der Registerkarte Geräte das eigene Windows-Gerät wählen und BitLocker-Schlüssel anzeigen (View BitLocker Keys) anklicken. Diese Selbsthilfe lässt sich per Einstellung „Restrict users from recovering the BitLocker key(s) for their owned devices“ abschalten. Microsoft empfiehlt die Selbsthilfe nur in vertrauenswürdigen Umgebungen.
Wie finde ich den Schlüssel in Active Directory?
Dafür brauchst du den BitLocker Recovery Password Viewer. Er ist Teil der Remoteserver-Verwaltungstools (RSAT) und erweitert Active Directory-Benutzer und -Computer. Standardmäßig haben nur Domänenadministratoren Zugriff auf die Schlüssel, die Berechtigung lässt sich delegieren.
- Öffne Active Directory-Benutzer und -Computer und wähle die OU mit dem Computerobjekt.
- Rechtsklick auf den Computer > Eigenschaften (Properties).
- Wechsle auf die Registerkarte BitLocker-Wiederherstellung (BitLocker Recovery). Dort stehen alle gespeicherten Kennwörter des Geräts.
Kennst du nur die Schlüssel-ID vom Bildschirm:
- Rechtsklick auf den Domänenknoten > BitLocker-Wiederherstellungskennwort suchen (Find BitLocker Recovery Password).
- Gib die ersten acht Zeichen der Kennwort-ID in das Feld „Password ID (first 8 characters)“ ein und klicke auf Suchen.
Technisch liegen die Schlüssel als untergeordnete Objekte der Klasse ms-FVE-RecoveryInformation unter dem Computerobjekt. Alte Schlüssel werden nicht automatisch entfernt, es sei denn, das Computerobjekt wird gelöscht. Beim Neuaufsetzen eines PCs unter gleichem Namen ohne Löschen des Objekts sammeln sich also mehrere Einträge an, deshalb immer die ID vergleichen.
Wie läuft die Herausgabe am Helpdesk sauber ab?
Microsoft gibt eine Checkliste vor, die wir übernommen haben:
- Identität des Anrufers prüfen und sicherstellen, dass das Gerät ihm gehört.
- Gerätenamen und Schlüssel-ID notieren.
- Kennwort in Entra ID oder AD DS suchen.
- Vor der Herausgabe klären, warum die Wiederherstellung nötig wurde.
- Das Kennwort in 6er-Blöcken durchgeben. Der Wiederherstellungsbildschirm prüft jeden Block mit einer Prüfsumme und meldet Tippfehler.
- Kennwort rotieren: Bei Entra-verbundenen Geräten mit aktivierter automatischer Rotation erzeugt das Gerät nach der Nutzung ein neues Kennwort und speichert es in Entra ID. Über Intune lässt sich die Rotation auch manuell anstoßen.
Tritt die Wiederherstellung bei einem Gerät wiederholt auf, empfiehlt Microsoft eine Ursachenanalyse mit manage-bde -status und dem Ereignisprotokoll. Ein Anhalten und Fortsetzen von BitLocker setzt das Validierungsprofil zurück.
Wie stelle ich sicher, dass der Schlüssel überhaupt gesichert wird?
Microsoft warnt ausdrücklich: Die Sicherung nach Entra ID oder AD DS passiert nicht automatisch. Für Domänencomputer gibt es in den Gruppenrichtlinien die Einstellungen „Choose how BitLocker-protected operating system drives can be recovered“ sowie die Gegenstücke für feste und Wechseldatenträger. Darin aktivierst du „Save BitLocker recovery information to Active Directory Domain Services“ und am besten auch „Do not enable BitLocker until recovery information is stored in AD DS“. Dann wird BitLocker erst aktiviert, wenn die Sicherung geklappt hat. Für Entra-Geräte setzen wir die entsprechende Richtlinie über Intune.
So unterstützen wir dich
Wir richten BitLocker mit automatischer Schlüsselsicherung über Active Directory oder Intune ein und helfen, wenn ein Gerät im Wiederherstellungsbildschirm hängt. Vor Ort in Osnabrück und Umgebung, entfernter per Fernwartung. Mehr zur Geräteverwaltung findest du unter Microsoft Intune in Osnabrück.
Häufige Fragen
Der Schlüssel ist nirgends gespeichert. Was nun?
Ohne Wiederherstellungskennwort, .BEK-Datei oder Datenwiederherstellungs-Agent lässt sich das Laufwerk nicht entsperren. Dann bleibt nur die Neuinstallation. Deshalb die Sicherung vorher per Richtlinie erzwingen.
Welche Rolle brauche ich in Entra ID zum Anzeigen?
Cloud Device Administrator, Helpdesk Administrator, Intune Administrator, Security Administrator oder Security Reader, oder du bist Besitzer des Geräts.
Muss der Schlüssel nach der Eingabe geändert werden?
Microsoft empfiehlt die Rotation. Bei Entra-Geräten kann sie automatisch nach jeder Nutzung erfolgen oder über Intune manuell ausgelöst werden.
Wie vermeide ich die Abfrage bei einem BIOS-Update?
BitLocker vor dem Update anhalten. Das Laufwerk bleibt verschlüsselt, und nach dem Neustart wird BitLocker automatisch fortgesetzt.
Quellen
- BitLocker recovery overview (Microsoft Learn, abgerufen am 03.11.2026)
- BitLocker recovery process (Microsoft Learn, abgerufen am 03.11.2026)
- Manage device identities using the Microsoft Entra admin center (Microsoft Learn, abgerufen am 03.11.2026)
