Mit BitLocker verschlüsselten Datenträger klonen

Viele PCs mit Windows 11 sind verschlüsselt, ohne dass der Kunde es weiß: Die Geräteverschlüsselung schaltet sich bei der ersten Anmeldung mit einem Microsoft-Konto ein. Vor dem Klonen müssen Sie das wissen, den Schlüssel haben und entscheiden, ob die Verschlüsselung bleibt.

Ist der Datenträger verschlüsselt?

• In den Einstellungen: Datenschutz und Sicherheit, Geräteverschlüsselung (oder „BitLocker verwalten“ in der Systemsteuerung).
• Im Datei-Explorer: ein Schloss auf dem Laufwerk C:.
• In einer Eingabeaufforderung als Administrator: manage-bde -status C:. Der Befehl nennt den verschlüsselten Anteil in Prozent und den Status des Schutzes.

Vorab: der Wiederherstellungsschlüssel

Er besteht aus 48 Ziffern. Der Kunde findet ihn unter account.microsoft.com/devices/recoverykey, mit seinem Microsoft-Konto, oder bei einem Firmen-PC bei seiner IT-Abteilung. Auf dem laufenden PC zeigt manage-bde -protectors -get C: die Schutzvorrichtungen des Datenträgers an, darunter dieses Wiederherstellungskennwort.

Halten Sie ihn bereit, bevor Sie beginnen: Verlangt ein verschlüsselter Datenträger den Schlüssel und niemand hat ihn, sind seine Daten verloren.

Drei Vorgehensweisen

• Unverschlüsselt kopieren: Windows stellt seine Dateien entschlüsselt bereit, sie werden kopiert, und der neue Datenträger ist nicht verschlüsselt. Die Verschlüsselung wird danach wieder eingeschaltet, mit einem neuen Schlüssel.
• Die Verschlüsselung beibehalten: Die verschlüsselte Partition wird unverändert kopiert, Sektor für Sektor. Der neue Datenträger öffnet sich mit demselben Schlüssel.
• Vor dem Klonen entschlüsseln, dann wieder verschlüsseln: Das funktioniert mit jedem Programm, aber Entschlüsseln und Verschlüsseln dauern jeweils Stunden.

Warten Sie in jedem Fall, bis eine laufende Ver- oder Entschlüsselung abgeschlossen ist: Ein halb verschlüsselter Datenträger lässt sich nicht sauber klonen.

Mit MBI Clone

Das Windows des laufenden PCs wird unverschlüsselt kopiert, ohne vorher entschlüsselt zu werden: MBI Clone liest die Dateien, die Windows bereitstellt. Nur die vorhandenen Dateien werden kopiert, nie der freie Platz, aus dem alte gelöschte Dateien unverschlüsselt auf den neuen Datenträger gelangen würden. Vor dem Start lässt ein Kontrollkästchen das bestätigen: „Verstanden: Das neue Laufwerk wird nicht verschlüsselt“. Der alte Datenträger bleibt verschlüsselt.

Der Datenträger eines anderen PCs, am Werkstattrechner angeschlossen, wird zuerst entsperrt. Dann wählen Sie:

• Verschlüsselung beibehalten (gleicher Schlüssel): MBI Clone fragt nach dem Schlüssel des Kunden und prüft schreibgeschützt, ob er dessen Datenträger öffnet, bevor es irgendetwas schreibt. Die verschlüsselte Partition wird unverändert kopiert, und der zusätzliche Platz des neuen Datenträgers bleibt direkt hinter C: frei, damit Sie C: danach vergrößern können. Der Schlüssel wird nirgends gespeichert.
• Unverschlüsselt kopieren: Die Dateien werden einzeln kopiert, und der neue Datenträger ist nicht verschlüsselt.

Beim ersten Start

• Verschlüsselung beibehalten, im PC des Kunden: Windows kann einmal nach dem Schlüssel fragen, weil sein Start neu eingerichtet wurde und der Sicherheitschip des PCs das bemerkt. Geben Sie ihn ein, dann startet Windows.
• Verschlüsselung beibehalten, in einem anderen PC: Der Schlüssel wird bei jedem Start abgefragt, solange der Schutz nicht auf den Chip dieses PCs neu gesetzt ist. In BitLocker verwalten: „Schutz anhalten“, dann „Schutz fortsetzen“. Per Befehl: manage-bde -protectors -disable C:, dann manage-bde -protectors -enable C:.
• Unverschlüsselte Kopie: Die Verschlüsselung schalten Sie unter Einstellungen, Datenschutz und Sicherheit, Geräteverschlüsselung (oder BitLocker verwalten) wieder ein. Dabei wird ein neuer Schlüssel erstellt: Der bisherige öffnet nur den alten Datenträger. Windows kann beim ersten Start auch von selbst seine automatische Verschlüsselung neu starten und zum Abschluss ein Microsoft-Konto verlangen.

Die Fallstricke

• Der Kunde wusste nicht, dass sein PC verschlüsselt war: Fragen Sie ihn, ob das so bleiben soll. Auf einem Familien-PC ist es oft die automatische Verschlüsselung.
• Der neue Schlüssel: Sorgen Sie dafür, dass der Kunde ihn aufbewahrt. Die Geräteverschlüsselung legt ihn in seinem Microsoft-Konto ab; bei BitLocker verwalten fragt Windows, wo er aufbewahrt werden soll.
• Der alte Datenträger: Bewahren Sie ihn unverändert auf, bis der neue zum ersten Mal erfolgreich gestartet ist.

Häufige Fragen

Muss der Datenträger vor dem Klonen entschlüsselt werden?

Nicht unbedingt. Ein Programm, das das laufende Windows liest, kopiert die Dateien unverschlüsselt, und ein Programm, das die Partition unverändert kopiert, behält die Verschlüsselung bei.

Warum fragt Windows nach dem Tausch des Datenträgers nach dem Schlüssel?

Der Sicherheitschip des PCs prüft den Start: Hat er sich geändert, fragt er einmal nach dem Schlüssel. Das ist ein Schutz, kein Defekt.

Und wenn der Kunde seinen Schlüssel nicht hat?

Auf dem laufenden PC zeigt manage-bde -protectors -get C: ihn an. Startet der PC nicht mehr und ist der Schlüssel nicht aufzufinden, sind die Daten des verschlüsselten Datenträgers verloren: Das ist das Prinzip der Verschlüsselung.

Weitere Anleitungen

MBR in GPT umwandeln beim Klonen auf eine neue SSD · PC startet nach dem Klonen nicht · Windows-Profil auf einen neuen PC übertragen · C: erweitern trotz Wiederherstellungspartition · Alle Anleitungen

Um MBI Clone in Ihrer Werkstatt zu testen: Fordern Sie eine kostenlose Lizenz für 30 Tage an, gültig auf allen Rechnern.