BitLocker deaktivieren unter Windows 10 und 11

BitLocker deaktivieren Sie in der Eingabeaufforderung als Administrator mit manage-bde -off C:, oder Sie starten in PowerShell Disable-BitLocker -MountPoint "C:". Windows entschlüsselt das Laufwerk danach im Hintergrund und entfernt am Ende alle Schlüsselschutzvorrichtungen. Brauchen Sie BitLocker nur für ein BIOS-, Firmware- oder TPM-Update aus dem Weg, entschlüsseln Sie nicht. Setzen Sie den Schutz stattdessen aus, dann schaltet er sich von selbst wieder ein.

Diese Anleitung zeigt beide Wege für Windows 10 und Windows 11. Dazu kommt, wie Sie prüfen, ob BitLocker aktiv ist, was Sie tun, wenn die Option ausgegraut ist, und wie Sie eine ganze Geräteflotte bearbeiten, ohne Wiederherstellungsschlüssel zu verlieren.

Schutz anhalten oder BitLocker ausschalten: erst die richtige Wahl treffen

Beim Anhalten bleiben die Daten verschlüsselt. Beim Ausschalten wird das ganze Laufwerk entschlüsselt. Die meisten Admin-Aufgaben brauchen nur das Anhalten.

Laut den FAQ von Microsoft müssen Sie BitLocker für Qualitäts- und Funktionsupdates von Windows nicht anhalten. Bei Updates von Drittanbietern, die die UEFI- oder BIOS-Konfiguration ändern, und bei manchen TPM-Firmware-Updates müssen Sie es dagegen. Wer das Anhalten auslässt, wird beim nächsten Start nach dem Wiederherstellungsschlüssel gefragt.

Prüfen, ob BitLocker aktiviert ist

Führen Sie in einer Eingabeaufforderung mit Administratorrechten Folgendes aus:

manage-bde -status C:

Zwei Zeilen sind wichtig. Der Konvertierungsstatus zeigt, ob das Laufwerk verschlüsselt ist. Der Schutzstatus zeigt, ob der Schutz ein- oder ausgeschaltet ist. Ein Laufwerk kann vollständig verschlüsselt sein und trotzdem ungeschützt: Das ist der angehaltene Zustand.

In PowerShell liefert Get-BitLockerVolume dieselben Angaben für alle Volumes des PCs.

Vor dem Ausschalten: Wiederherstellungsschlüssel sichern

Sichern Sie den Wiederherstellungsschlüssel zuerst, auch wenn Sie ohnehin entschlüsseln wollen. Ein angehaltenes oder halb entschlüsseltes Laufwerk, bei dem etwas schiefgeht, verlangt ihn trotzdem.

manage-bde -protectors -get C:

Der Befehl listet alle Schutzvorrichtungen des Laufwerks mit ihrer ID auf. Um das Wiederherstellungskennwort in Active Directory zu sichern, führen Sie manage-bde -protectors -adbackup C: -id {Protector-ID} aus. Für Microsoft Entra ID verwenden Sie -aadbackup mit derselben -id.

BitLocker unter Windows 11 und Windows 10 ausschalten

Sie müssen Mitglied der lokalen Gruppe Administratoren sein. Wählen Sie einen der vier Wege unten. Alle bewirken dasselbe.

BitLocker in der Systemsteuerung deaktivieren

1. Öffnen Sie die Systemsteuerung und gehen Sie zu System und Sicherheit > BitLocker-Laufwerkverschlüsselung.
2. Wählen Sie neben dem Laufwerk BitLocker deaktivieren.
3. Bestätigen Sie. Die Entschlüsselung startet im Hintergrund, Sie können weiterarbeiten.

Geräteverschlüsselung in den Einstellungen ausschalten

Bei einem PC mit Geräteverschlüsselung gehen Sie zu Einstellungen > Datenschutz und Sicherheit > Geräteverschlüsselung und schalten sie aus. Laut Microsoft schaltet sich die Geräteverschlüsselung danach nicht von selbst wieder ein. Sie müssen sie manuell aktivieren.

BitLocker mit manage-bde ausschalten

manage-bde -off C:

Den Fortschritt sehen Sie mit manage-bde -status C:. Ist die Entschlüsselung fertig, steht beim Konvertierungsstatus „Vollständig entschlüsselt“.

BitLocker mit PowerShell ausschalten

Disable-BitLocker -MountPoint "C:"

Das entfernt alle Schlüsselschutzvorrichtungen und startet die Entschlüsselung. Hat das Betriebssystemvolume Schlüssel für die automatische Entsperrung, bricht das Cmdlet ab. Führen Sie dann zuerst Clear-BitLockerAutoUnlock aus und wiederholen Sie den Befehl. So entschlüsseln Sie alle Volumes des PCs:

$BLV = Get-BitLockerVolume
Disable-BitLocker -MountPoint $BLV

Wer BitLocker deinstallieren will: Das geht nicht. BitLocker ist Teil von Windows, deshalb entfernen Sie es, indem Sie das Laufwerk entschlüsseln.

BitLocker für ein BIOS-, Firmware- oder TPM-Update anhalten

Im BIOS gibt es keinen BitLocker-Schalter. Wenn Sie BitLocker „im BIOS deaktivieren“ wollen, halten Sie den Schutz in Windows an, bevor Sie für das Update neu starten.

1. Schutz anhalten. In einer Eingabeaufforderung als Administrator: manage-bde -protectors -disable C: -rc 1. Der Wert von -rc ist die Zahl der Neustarts, bevor der Schutz zurückkehrt, von 0 bis 15. Mit 0 bleibt der Schutz angehalten, bis Sie ihn von Hand fortsetzen.
2. Update installieren und neu starten.
3. Mit manage-bde -status C: prüfen. Bei einem Wert von 1 ist der Schutz nach diesem Neustart wieder aktiv.

In PowerShell lautet der Befehl Suspend-BitLocker -MountPoint "C:" -RebootCount 1, und Resume-BitLocker -MountPoint "C:" schaltet den Schutz vorzeitig wieder ein. Ohne Angabe der Neustarts setzt Windows den Schutz nach dem nächsten Neustart fort.

In der Systemsteuerung heißt dieselbe Aktion Schutz anhalten, direkt neben BitLocker deaktivieren.

Solange BitLocker angehalten ist, prüft es die Startintegrität nicht, und der Schlüssel ist auf dem Datenträger lesbar. Halten Sie das Zeitfenster kurz und lassen Sie einen Laptop nicht tagelang bei Wert 0.

Microsoft weist außerdem darauf hin, dass der Schutz auf Geräten mit Microsoft-Entra-Beitritt eine Netzwerkverbindung braucht, um das Wiederherstellungskennwort zu sichern, bevor er fortgesetzt wird. Lässt sich der Schlüssel nicht sichern und verlangt die Richtlinie das, bleibt der Schutz aus.

Wenn sich BitLocker nicht ausschalten lässt

• Die Option fehlt oder ist ausgegraut. Eine Gruppenrichtlinie oder MDM-Richtlinie steuert sie, oder Sie sind auf dem PC kein Administrator. Prüfen Sie die angewendete Gruppenrichtlinie und Ihr MDM-Profil, bevor Sie lokal dagegen ankämpfen.
• Windows 11 Home. Windows 11 Home hat die Geräteverschlüsselung, aber nicht die Verwaltung der BitLocker-Laufwerkverschlüsselung. Nutzen Sie dort Einstellungen > Datenschutz und Sicherheit > Geräteverschlüsselung.
• Disable-BitLocker weigert sich. Suchen Sie auf dem Betriebssystemvolume nach Schlüsseln für die automatische Entsperrung und löschen Sie sie wie oben beschrieben.
• Der PC verlangt nach Ihrer Änderung einen Wiederherstellungsschlüssel. Eine Firmware-, BIOS- oder Startreihenfolge-Änderung erfolgte ohne Anhalten des Schutzes. Geben Sie den Schlüssel aus Active Directory, Microsoft Entra ID oder dem Microsoft-Konto des Benutzers ein und halten Sie den Schutz vor der nächsten Änderung an.
• BitLocker hat sich von selbst wieder eingeschaltet. Ein Gerät, das die Anforderungen der Geräteverschlüsselung erfüllt, kann nach einer sauberen Windows-Installation automatisch verschlüsselt werden, und seit Windows 11 24H2 erfüllen mehr PCs diese Anforderungen. Microsoft dokumentiert dafür den Registrywert PreventDeviceEncryption unter HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\BitLocker, der den automatischen Vorgang verhindert. Auch eine BitLocker-Richtlinie, die Verschlüsselung vorschreibt, schaltet es wieder ein.

BitLocker auf einer ganzen Geräteflotte ausschalten

Auf einem PC ist das Ausschalten eine Menüauswahl. Bei fünfzig kommt es auf die Reihenfolge an.

1. Grund klären. Geht es um ein Firmware-Update, halten Sie den Schutz mit einer Neustartzahl an. Das ist schneller, umkehrbar und lässt das Laufwerk verschlüsselt.
2. Schlüssel prüfen. Bevor Sie irgendetwas entschlüsseln, stellen Sie sicher, dass der Wiederherstellungsschlüssel jedes Geräts in Active Directory oder Microsoft Entra ID liegt. Laut Microsoft sind die Daten unwiederbringlich verloren, wenn der Wiederherstellungsschlüssel fehlt.
3. Richtlinie zuerst entfernen oder ändern. Verlangt eine Gruppenrichtlinie oder ein MDM-Profil BitLocker, bekommt ein entschlüsseltes Gerät den Auftrag, sich erneut zu verschlüsseln. Das Entfernen der Richtlinie entschlüsselt nichts. Die Entschlüsselung muss weiterhin auf jedem Gerät laufen.
4. Befehl pro Gerät ausführen. manage-bde -off C: und Disable-BitLocker funktionieren beide als Skript über Ihr Verwaltungswerkzeug. manage-bde akzeptiert außerdem -computername, um einen anderen Computer anzusprechen. Starten Sie mit einer kleinen Testgruppe und lesen Sie die Statusausgabe.
5. Ergebnis prüfen. Sammeln Sie danach die Ausgabe von manage-bde -status oder Get-BitLockerVolume. Die Dauer der Entschlüsselung hängt von Größe und Geschwindigkeit des Laufwerks ab, und ein ausgeschalteter PC schließt die Entschlüsselung beim nächsten Start ab.

Bei einem Audit fällt das auf. Ein entschlüsselter Laptop fällt bei jeder Prüfung der Datenträgerverschlüsselung durch, und wenn er Firmendaten enthält, ist das eine Feststellung. Müssen Sie ein Gerät entschlüsselt lassen, halten Sie fest, wer es genehmigt hat, warum und bis wann es wieder verschlüsselt wird.

Verwaltung auf vielen Geräten

trio.so zeigt den Verschlüsselungsstatus Ihrer verwalteten Windows-Geräte und markiert die Geräte, bei denen die Verschlüsselung aus ist. BitLocker schaltet es nicht für Sie aus: Dafür nutzen Sie weiterhin die Befehle oben. Sie erhalten eine Liste, die vor und nach jeder Änderung zeigt, welche PCs verschlüsselt sind.

Wollen Sie BitLocker umgekehrt per Richtlinie einrichten, also verschlüsseln und Schlüssel sichern, lesen Sie Gruppenrichtlinie für die BitLocker-Laufwerkverschlüsselung. Was BitLocker ist und wie es sich zu anderen Lösungen verhält, steht in BitLocker vs VeraCrypt: Leitfaden für Unternehmen und 7 Risiken, die Sie ohne vollständige Festplattenverschlüsselung eingehen. Einen Überblick auf Englisch gibt BitLocker Drive Encryption.