BitLocker: Wiederherstellungsschlüssel finden & sichern

So finden und sichern Sie den BitLocker-Wiederherstellungsschlüssel unter Windows 10, Windows 11, Windows Server und Azure AD/Microsoft Entra ID.

Der BitLocker-Wiederherstellungsschlüssel ist ein 48-stelliger Zahlencode, mit dem Sie ein verschlüsseltes Laufwerk entsperren, falls Windows den normalen Zugriff verweigert. Sie finden ihn je nach Konfiguration im Microsoft-Konto, im Geschäfts- oder Schulkonto, auf einem USB-Stick, als Ausdruck oder in einer gespeicherten Textdatei.

Zusätzlich liegt er bei verwalteten Umgebungen häufig im Active Directory unter Windows Server oder direkt in Microsoft Entra ID beziehungsweise Intune, sodass ausschließlich Administratoren darauf zugreifen können. Dieser Artikel zeigt exakt, wo Sie in jedem Fall suchen müssen.

Was ist der BitLocker-Wiederherstellungsschlüssel?

BitLocker ist eine Verschlüsselungsfunktion von Windows, die Festplatten und SSDs vor unbefugtem Zugriff schützt. Sobald ein Laufwerk verschlüsselt ist, lässt sich der Inhalt ohne den passenden Schlüssel nicht mehr lesen. Deshalb ist BitLocker besonders bei Diebstahl oder Verlust eines Geräts wirksam.

Für den täglichen Gebrauch reicht in der Regel das Windows-Kennwort oder die PIN, um das Laufwerk zu entsperren. Zusätzlich prüft ein Sicherheitschip namens TPM (Trusted Platform Module), ob sich sicherheitsrelevante Bedingungen am Gerät verändert haben. Genau dafür existiert der Wiederherstellungsschlüssel als Notfallzugang.

Wichtig dabei: Der Wiederherstellungsschlüssel ist nicht identisch mit dem Windows-Kennwort, der PIN oder dem Passwort des Microsoft-Kontos. Er besteht ausschließlich aus 48 Ziffern, die in acht Gruppen zu je sechs Zeichen unterteilt sind, und ist exakt einem einzigen verschlüsselten Laufwerk zugeordnet.

Wann fragt Windows den Wiederherstellungsschlüssel ab?

Windows verlangt den Schlüssel nicht willkürlich, sondern immer dann, wenn ein sogenannter Sperrmechanismus ausgelöst wird. Typische Auslöser sind zum Beispiel:

• Hardware-Änderungen, etwa der Austausch der Festplatte, des Motherboards oder des TPM-Chips
• Änderungen an der Boot-Reihenfolge oder am UEFI-/BIOS-Setup
• Firmware- oder UEFI-Updates, die sicherheitsrelevante Werte verändern
• Ausbau des Laufwerks und Einbau in ein anderes Gerät
• Mehrfach falsch eingegebene PIN
• Ein Windows-Update, das tief in Systemkomponenten eingreift

Sobald einer dieser Fälle eintritt, erscheint beim Start der blaue BitLocker-Wiederherstellungsbildschirm. Ohne den korrekten Schlüssel bleibt das Laufwerk gesperrt, weshalb sich die Suche nach dem passenden Code als erster Schritt lohnt, bevor Sie über Einstellungen im UEFI oder eine Neuinstallation nachdenken.

BitLocker-Wiederherstellungsschlüssel im Microsoft-Konto finden

Bei den meisten privaten Windows-10- und Windows-11-Geräten wird der Schlüssel automatisch im verknüpften Microsoft-Konto gespeichert, sofern Sie sich mit diesem Konto angemeldet haben. Das gilt sowohl für Geräte, bei denen BitLocker manuell aktiviert wurde, als auch für die automatische Geräteverschlüsselung.

So finden Sie den Schlüssel über ein zweites Gerät, zum Beispiel ein Smartphone oder einen anderen PC:

1. Browser öffnen auf einem funktionierenden Gerät mit Internetzugang.
2. Die Adresse account.microsoft.com/devices/recoverykey eingeben.
3. Mit dem Microsoft-Konto anmelden, das mit dem betroffenen PC verknüpft ist.
4. Unter Geräte das entsprechende Gerät auswählen und Details anzeigen öffnen.
5. Wiederherstellungsschlüssel verwalten anklicken, um die gespeicherten Codes einzusehen.

Alternativ funktioniert auch der direkte Kurzlink aka.ms/myrecoverykey, der ebenfalls zur Übersicht aller gespeicherten Schlüssel führt. Falls mehrere Personen den PC eingerichtet oder genutzt haben, liegt der Schlüssel möglicherweise im Konto der Person, die BitLocker ursprünglich aktiviert hat. Deshalb sollten Sie zusätzlich alle weiteren Microsoft-Konten prüfen, die jemals auf dem Gerät verwendet wurden.

Seit Windows 11 Version 24H2 zeigt der BitLocker-Wiederherstellungsbildschirm zudem einen konkreten Hinweis darauf an, welchem Microsoft-Konto der jeweilige Schlüssel zugeordnet ist. Das erleichtert die Zuordnung erheblich, insbesondere wenn mehrere Konten infrage kommen.

BitLocker-Wiederherstellungsschlüssel im Geschäfts- oder Schulkonto finden

Handelt es sich um ein Firmen-, Behörden- oder Schulgerät, dann wurde das Konto häufig über Microsoft Entra ID (früher Azure Active Directory) verwaltet. In diesem Fall liegt der Schlüssel nicht im privaten Microsoft-Konto, sondern in der Organisationsumgebung.

So gehen Sie vor:

1. Ein zweites Gerät mit Internetzugang bereitstellen.
2. Die Seite aka.ms/aadrecoverykey aufrufen.
3. Mit dem Arbeits- oder Schulkonto anmelden.
4. Unter Devices das betroffene Gerät auswählen.
5. View BitLocker Keys öffnen, um den Wiederherstellungscode anzuzeigen.

Sollte der Zugriff darüber nicht möglich sein, ist der zuständige IT-Administrator der richtige Ansprechpartner. Unternehmen speichern Wiederherstellungsschlüssel häufig zusätzlich im Active Directory, worauf ausschließlich Administratoren über die Gruppenrichtlinienverwaltung oder das Tool manage-bde zugreifen können.

Wiederherstellungsschlüssel auf USB-Stick, als Ausdruck oder in einer Datei finden

Neben der Cloud-Speicherung bietet Windows beim Aktivieren von BitLocker mehrere weitere Sicherungsoptionen an. Diese Optionen sind besonders bei manuell eingerichteten Geräten üblich, etwa bei Windows 10 oder Windows 11 Pro.

USB-Stick prüfen:

• Den USB-Stick an ein anderes funktionierendes Gerät anschließen.
• Den Dateimanager öffnen und nach einer Textdatei mit einem Namen wie „BitLocker Recovery Key“ suchen.
• Die Datei enthält sowohl die Schlüssel-ID als auch den vollständigen 48-stelligen Code.

Ausdruck durchsuchen: Viele Nutzer entscheiden sich beim Einrichten von BitLocker dafür, den Schlüssel auszudrucken. Deshalb lohnt sich ein Blick in Unterlagen, die beim Kauf oder bei der Ersteinrichtung des Geräts entstanden sind, zum Beispiel in einem Ordner mit Rechnungen oder Garantiepapieren.

Gespeicherte Textdatei suchen: Windows bietet zusätzlich die Option, den Schlüssel als Datei auf einem beliebigen Laufwerk oder in der Cloud, etwa auf OneDrive, zu sichern. Durchsuchen Sie daher auch Cloud-Speicher und externe Datenträger nach einer Datei mit der Endung „.txt“, die den Begriff „BitLocker“ im Namen trägt.

BitLocker-Wiederherstellungsschlüssel unter Windows Server finden (Active Directory)

In klassischen On-Premises-Umgebungen mit Windows Server und Active Directory wird der Wiederherstellungsschlüssel häufig zentral im Verzeichnisdienst gespeichert. Das setzt allerdings voraus, dass ein Administrator zuvor die passende Gruppenrichtlinie aktiviert hat, damit Clients ihre Schlüssel automatisch ins Active Directory sichern.

Schlüssel im Active Directory auslesen:

1. Auf dem Domänencontroller das Tool „Active Directory-Benutzer und -Computer“ öffnen.
2. Zunächst die erweiterten Features über „Ansicht“ und „Erweiterte Features“ einblenden, damit der BitLocker-Reiter sichtbar wird.
3. Das betroffene Computerobjekt suchen und per Doppelklick öffnen.
4. Den Tab „BitLocker Recovery“ auswählen, um die gespeicherten Wiederherstellungskennwörter einzusehen.
5. Alternativ das kostenlose Zusatztool BitLocker Recovery Password Viewer aus den RSAT-Tools (Remote Server Administration Tools) installieren, sofern der Tab nicht direkt angezeigt wird.

Waren Laufwerke bereits verschlüsselt, bevor die Gruppenrichtlinie aktiviert wurde, greift die automatische Sicherung nicht rückwirkend. Deshalb muss der Schlüssel in diesem Fall manuell übertragen werden. Dafür eignet sich das Kommandozeilen-Tool manage-bde:

1. Eingabeaufforderung als Administrator öffnen.
2. Mit manage-bde -protectors -get C: zunächst die ID des Wiederherstellungskennworts ermitteln.
3. Anschließend den Befehl manage-bde -protectors -adbackup C: -id {ID} ausführen, wobei „{ID}“ durch die zuvor ermittelte ID ersetzt wird.
4. Der Schlüssel wird dadurch nachträglich sicher im Active Directory hinterlegt.

Zusätzlich lässt sich der Vorgang über PowerShell automatisieren, etwa mit dem Cmdlet Backup-BitLockerKeyProtector, das sich besonders für die Sicherung mehrerer Server oder Clients per Skript eignet. Für produktive Umgebungen ist außerdem das Kommando manage-bde -status C: hilfreich, um vorab zu prüfen, ob die Verschlüsselung überhaupt aktiv ist und bei 100 % liegt.

Bei Windows Server gilt zudem eine Besonderheit: Da Server-Systeme selten über ein Microsoft-Konto angemeldet werden, entfällt die private Cloud-Sicherung meistens komplett. Deshalb bleibt hier das Active Directory oder eine dokumentierte manuelle Sicherung, etwa in einem Passwort-Manager wie Bitwarden, die zuverlässigste Lösung.

BitLocker-Wiederherstellungsschlüssel in Microsoft Entra ID (Azure AD) finden

Wird die Geräteflotte über Microsoft Entra ID (vormals Azure Active Directory) oder über Microsoft Intune verwaltet, liegen die Wiederherstellungsschlüssel weder im privaten Microsoft-Konto noch im klassischen Active Directory, sondern direkt im Entra-Mandanten. Zugriff darauf erhalten ausschließlich Administratoren mit passender Berechtigung.

Schlüssel über das Microsoft Entra Admin Center abrufen:

1. Das Microsoft Entra Admin Center unter entra.microsoft.com öffnen.
2. Zu Geräte navigieren und das betroffene Gerät über die Suche auswählen.
3. Den Bereich BitLocker-Schlüssel öffnen, sofern die eigene Rolle über das Recht „microsoft.directory/bitlockerKeys/key/read“ verfügt.
4. Den angezeigten Wiederherstellungsschlüssel notieren oder kopieren.

Dieses Recht besitzen unter anderem die Rollen Cloud-Geräteadministrator, Helpdesk-Administrator und Globaler Administrator. Da Microsoft jeden Zugriff auf gespeicherte Schlüssel protokolliert, lässt sich zudem im Nachhinein nachvollziehen, wer wann welchen Schlüssel eingesehen hat.

Schlüssel über das Microsoft Intune Admin Center abrufen:

1. Das Intune Admin Center unter intune.microsoft.com aufrufen.
2. Geräte und anschließend Alle Geräte auswählen.
3. Das betroffene Gerät anklicken und zu Überwachen wechseln.
4. Den Punkt Wiederherstellungsschlüssel öffnen, um den Code einzusehen.

Wurden mehrere Laufwerke verschlüsselt, etwa zusätzlich zum Systemlaufwerk C auch D oder E, dann legt Entra ID für jedes Laufwerk einen eigenen Eintrag an. Deshalb lohnt sich bei mehreren verschlüsselten Partitionen ein Blick auf sämtliche gelisteten Schlüssel, da ein falscher Code nicht automatisch zum passenden Laufwerk gehört.

Endanwender selbst können ihren eigenen Schlüssel ebenfalls einsehen, sofern der Mandant den Self-Service-Zugriff aktiviert hat. In diesem Fall genügt entweder das Portal „Mein Konto“ unter account.microsoft.com oder die Unternehmensportal-App von Intune, um den hinterlegten Wiederherstellungsschlüssel ohne Administratorrechte abzurufen.

Sollte der Schlüssel weder in Entra ID noch in Intune auftauchen, kann das mehrere Ursachen haben. Häufig wurde das Gerät zwischenzeitlich einem neuen Besitzer zugewiesen, wodurch bereichsbezogene Administratoren den Zugriff verlieren. In diesem Fall hilft ausschließlich ein nicht bereichsbezogener Administrator weiter, etwa ein globaler Administrator des Mandanten.

Wiederherstellungsschlüssel über die Kommandozeile anzeigen

Falls das Gerät noch startet und Sie lediglich den aktuell hinterlegten Schlüssel dokumentieren möchten, funktioniert das direkt über die Eingabeaufforderung. Dafür empfiehlt sich das integrierte Tool manage-bde.

So gehen Sie vor:

1. Eingabeaufforderung als Administrator öffnen.
2. Den Befehl manage-bde -protectors -get C: eingeben und mit Enter bestätigen.
3. Unter „Numerisches Kennwort“ wird der vollständige 48-stellige Wiederherstellungsschlüssel samt zugehöriger Schlüssel-ID angezeigt.
4. Den angezeigten Code an einem sicheren Ort notieren oder direkt exportieren.

Diese Methode eignet sich vor allem, um den Schlüssel im Vorfeld zu sichern, bevor Änderungen an Hardware oder Firmware vorgenommen werden, die einen erneuten Abruf auslösen könnten.

Die Wiederherstellungsschlüssel-ID verstehen und richtig nutzen

Auf dem blauen BitLocker-Bildschirm zeigt Windows neben dem Eingabefeld zusätzlich eine Schlüssel-ID an. Diese ID besteht aus den ersten acht Zeichen und dient ausschließlich der Zuordnung, keinesfalls jedoch dem Entsperren selbst.

Sobald im Microsoft-Konto oder in der Organisationsumgebung mehrere gespeicherte Schlüssel vorliegen, hilft die Schlüssel-ID, den richtigen Eintrag zuzuordnen. Notieren Sie sich deshalb vor der Suche stets die ersten acht Zeichen der angezeigten ID, um Verwechslungen zu vermeiden.

BitLocker-Wiederherstellungsschlüssel sichern: So schützen Sie sich vor Aussperrung

Nachdem der Schlüssel gefunden wurde, empfiehlt sich zusätzlich eine dauerhafte Sicherung, damit eine erneute Suche in Zukunft entfällt. Dafür bieten sich mehrere Wege gleichzeitig an, weil eine einzelne Sicherungsmethode im Ernstfall ausfallen kann.

Konkrete Empfehlung: Speichern Sie den Wiederherstellungsschlüssel zusätzlich in einem Passwort-Manager wie Bitwarden. So gehen Sie vor:

1. Bitwarden öffnen und einen neuen Eintrag vom Typ „Sichere Notiz“ anlegen.
2. Als Titel etwa „BitLocker Wiederherstellungsschlüssel – [Gerätename]“ eintragen.
3. Sowohl die Schlüssel-ID als auch den vollständigen 48-stelligen Code in das Notizfeld einfügen.
4. Den Eintrag speichern, sodass der Schlüssel geräteübergreifend verschlüsselt abrufbar ist.

Zusätzlich zur digitalen Sicherung bietet sich eine physische Kopie an. Drucken Sie den Schlüssel aus und bewahren Sie ihn an einem sicheren Ort auf, etwa in einem abschließbaren Ordner. Ebenso ist ein separater USB-Stick, der ausschließlich für diesen Zweck genutzt wird, eine sinnvolle Ergänzung.

Wichtig: Vermeiden Sie es, den Schlüssel ausschließlich als unverschlüsselte Textdatei auf dem verschlüsselten Gerät selbst zu speichern, da diese Datei im Ernstfall nicht mehr zugänglich ist.

Unterschied zwischen BitLocker und Geräteverschlüsselung

Nicht jede Windows-Edition bietet die vollständige BitLocker-Funktion. Deshalb lohnt sich ein Blick auf die jeweilige Version, bevor Sie nach Einstellungen suchen.

• Windows 10/11 Pro, Enterprise und Education: Vollständiges BitLocker mit erweiterten Konfigurationsoptionen über die Systemsteuerung.
• Windows 10/11 Home: Keine klassische BitLocker-Oberfläche, jedoch häufig die automatische Geräteverschlüsselung, sofern die Hardware moderne Sicherheitsanforderungen erfüllt.
• Surface-Geräte und viele moderne Notebooks: Aktivieren die Geräteverschlüsselung häufig automatisch bei der ersten Anmeldung mit einem Microsoft-Konto.

Obwohl sich beide Funktionen technisch ähneln, unterscheidet sich vor allem der Funktionsumfang. Die Geräteverschlüsselung speichert den Wiederherstellungsschlüssel dabei ebenfalls automatisch im Microsoft-Konto, weshalb die zuvor beschriebene Suche identisch abläuft.

Was tun, wenn der Wiederherstellungsschlüssel nicht auffindbar ist?

Sollte der Schlüssel in keinem der genannten Speicherorte auffindbar sein, wird die Lage deutlich schwieriger. Windows lässt sich auf einem verschlüsselten Laufwerk ohne den passenden Code nämlich nicht zurücksetzen.

In diesem Fall bleiben folgende Optionen:

• Alle infrage kommenden Microsoft-Konten noch einmal einzeln über account.microsoft.com/devices/recoverykey prüfen, auch ältere oder selten genutzte Konten.
• Bei Firmengeräten den IT-Administrator kontaktieren, da Organisationen Schlüssel zentral im Active Directory oder in Entra ID hinterlegen.
• Falls keine Sicherung existiert, bleibt letztlich nur die Neuinstallation von Windows über einen bootfähigen USB-Stick. Dabei werden zu Beginn der Installation sämtliche Partitionen gelöscht, wodurch die Verschlüsselung entfällt.

Da dieser letzte Schritt zum vollständigen Datenverlust führt, sollte er ausschließlich als letzte Option gelten. Zudem lohnt es sich, vor einer Neuinstallation eine Datenrettungs-Software auf einem externen Gerät zu prüfen, auch wenn der Erfolg bei verschlüsselten Laufwerken stark eingeschränkt ist.

Häufige Fragen zum BitLocker-Wiederherstellungsschlüssel

Wo finde ich den BitLocker-Schlüssel ohne Microsoft-Konto?

Ohne Microsoft-Konto bleiben vor allem ein Ausdruck, ein USB-Stick oder eine gespeicherte Textdatei als Quelle übrig. Zusätzlich lohnt sich bei Firmengeräten die Rückfrage beim IT-Administrator, da Organisationen den Schlüssel unabhängig vom privaten Konto verwalten.

Ist der BitLocker-Wiederherstellungsschlüssel dasselbe wie mein Windows-Passwort?

Nein, beide Codes sind vollständig getrennt. Das Windows-Passwort dient der täglichen Anmeldung, während der Wiederherstellungsschlüssel ausschließlich beim Auslösen eines Sicherheitsmechanismus abgefragt wird.

Wie viele Ziffern hat der BitLocker-Wiederherstellungsschlüssel?

Der Code besteht aus genau 48 Ziffern, die in acht Gruppen zu jeweils sechs Zeichen dargestellt werden. Deshalb sollten Sie beim Abtippen besonders sorgfältig vorgehen.

Kann ich den Wiederherstellungsschlüssel nachträglich ändern?

Ja, über die Eingabeaufforderung lässt sich mit dem Befehl manage-bde -protectors -delete der alte Schutz entfernen und anschließend über manage-bde -protectors -add ein neuer Wiederherstellungsschlüssel generieren.

Was bedeutet die Schlüssel-ID auf dem blauen Bildschirm?

Die Schlüssel-ID zeigt lediglich die ersten acht Zeichen zur Zuordnung an, ersetzt jedoch niemals den vollständigen Code. Sie hilft ausschließlich dabei, den passenden Eintrag unter mehreren gespeicherten Schlüsseln zu identifizieren.

Speichert Windows 10 den Schlüssel genauso wie Windows 11?

Grundsätzlich funktioniert die Speicherung bei beiden Versionen identisch über das Microsoft-Konto oder das Organisationskonto. Windows 11 zeigt zusätzlich seit Version 24H2 einen Hinweis auf das zugehörige Konto direkt am Wiederherstellungsbildschirm an.

Was passiert, wenn ich den falschen Schlüssel eingebe?

Windows weist einen falschen Code umgehend zurück und fordert zur erneuten Eingabe auf. Nach mehreren Fehlversuchen bietet das System üblicherweise zusätzliche Wiederherstellungsoptionen an, etwa den Zugriff über ein alternatives Startmedium.

Kann der IT-Support von Microsoft den Schlüssel für mich abrufen?

Nein, der Microsoft-Support hat aus Sicherheitsgründen keinen eigenständigen Zugriff auf gespeicherte Wiederherstellungsschlüssel. Deshalb bleibt ausschließlich der Zugang über das eigene Konto oder die eigene Organisation möglich.

Wo speichert Windows den Schlüssel bei der automatischen Geräteverschlüsselung?

Auch bei der automatischen Geräteverschlüsselung landet der Schlüssel in der Regel direkt im verknüpften Microsoft-Konto, sobald Sie sich erstmals mit diesem Konto anmelden. Die Suche läuft dabei identisch zur klassischen BitLocker-Variante ab.

Wo finden Administratoren den BitLocker-Schlüssel bei Windows Server ohne Active Directory?

Ohne konfigurierte Gruppenrichtlinie speichert Windows Server den Schlüssel nirgends automatisch. Deshalb bleibt in diesem Fall ausschließlich der Befehl manage-bde -protectors -get C: auf dem betroffenen Server selbst, sofern dieser noch startet und zugänglich ist.

Welche Berechtigung benötigt ein Administrator für BitLocker-Schlüssel in Microsoft Entra ID?

Erforderlich ist das Recht „microsoft.directory/bitlockerKeys/key/read“, das unter anderem in den Rollen Cloud-Geräteadministrator und Helpdesk-Administrator enthalten ist. Ohne diese Berechtigung bleibt der Bereich BitLocker-Schlüssel im Entra Admin Center ausgeblendet.

Fazit

Der BitLocker-Wiederherstellungsschlüssel lässt sich meist zügig im Microsoft-Konto, im Organisationskonto oder auf einem Ausdruck beziehungsweise USB-Stick finden. Zusätzlich empfiehlt sich eine dauerhafte Sicherung in einem Passwort-Manager wie Bitwarden.

So bleibt der Zugriff auf verschlüsselte Laufwerke selbst bei Hardware-Änderungen oder Systemproblemen jederzeit gesichert, ohne dass eine Neuinstallation mit Datenverlust droht.