Notebook verloren: warum BitLocker und Intune den Unterschied machen

Die kurze Antwort: Ob ein verlorenes Notebook ein Ärgernis oder ein Sicherheitsvorfall wird, entscheidet sich vor dem Verlust. Ist die Festplatte mit BitLocker verschlüsselt, liegt der Wiederherstellungsschlüssel in Microsoft Entra ID und ist das Gerät in Microsoft Intune verwaltet, kommt ein Finder oder Dieb ohne Anmeldedaten nicht an die Daten; Sie sperren das Gerät aus der Ferne für Ihre Firmenkonten und lassen es beim nächsten Onlinekontakt löschen. Fehlt einer dieser Bausteine, liegen Kundendaten, Angebote und gespeicherte Zugangsdaten für den neuen Besitzer bereit. Der Beitrag zeigt, wie die Verschlüsselung per Richtlinie auf jedes Gerät kommt, welche Schritte in der ersten Stunde zählen und warum der Fall trotzdem als mögliche Datenpanne bewertet und dokumentiert wird.

Warum das Notebook das typische Verlustszenario ist

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt die Gefährdung im IT-Grundschutz nüchtern: Laptops werden in privaten Fahrzeugen und öffentlichen Verkehrsmitteln transportiert, in fremden Büros in Pausen zurückgelassen oder in Hotelzimmern unbewacht aufgestellt und sind deshalb einem höheren Diebstahlrisiko ausgesetzt; zudem können sie leicht vergessen oder verloren werden. Der Schaden durch den Zugriff Unbefugter auf schützenswerte Daten wiegt laut BSI in vielen Fällen deutlich schwerer als der materielle Verlust des Geräts. Entsprechend lautet die Anforderung SYS.3.1.A13 des Bausteins Laptops: In Laptops verbaute Datenträger wie Festplatten oder SSDs sollten verschlüsselt werden.

Der Grund ist einfach: Das Windows-Kennwort schützt nur die Anmeldung, nicht den Datenträger. Wer eine unverschlüsselte SSD ausbaut und an einen anderen Rechner hängt, liest alle Dateien, ohne je ein Passwort einzugeben. Mit BitLocker bleiben dieselben Daten ohne Schlüssel unlesbar.

BitLocker per Richtlinie auf alle Geräte bringen

In einer Umgebung mit Microsoft 365 Business Premium ist Intune Plan 1 enthalten, und darüber lässt sich BitLocker ohne Zutun der Beschäftigten erzwingen. Microsoft nennt das stille Verschlüsselung. Der Weg im Intune Admin Center: Endpoint security, dann Disk encryption, dann Create Policy mit Plattform Windows und Profil BitLocker. Für die stille Verschlüsselung setzen Sie „Require Device Encryption" auf Enabled, „Allow Warning For Other Disk Encryption" auf Disabled und die dann erscheinende Option „Allow Standard User Encryption" auf Enabled, damit die Verschlüsselung auch bei Nutzern ohne Administratorrechte läuft. Bei den Startoptionen für das Betriebssystemlaufwerk dürfen weder Start-PIN noch Startschlüssel verlangt werden, sonst wartet das Gerät auf eine Eingabe. Die Geräte müssen laut Microsoft Entra ID beigetreten (oder hybrid beigetreten) sein und ein TPM ab Version 1.2, UEFI und aktivierten Secure Boot haben; bei aktuellen Geräten mit Windows 11 ist das der Normalfall.

Der Wiederherstellungsschlüssel wird bei Geräten, die Entra ID beigetreten sind, automatisch in Entra ID hinterlegt, sobald die Verschlüsselung läuft. Zusätzlich empfiehlt es sich, in der Richtlinie „Save BitLocker recovery information to Microsoft Entra ID" zu aktivieren und die Sicherung des Schlüssels vor dem Start der Verschlüsselung als erforderlich zu setzen. Den Stand aller Geräte sehen Sie unter Devices, Monitor, Encryption report. Den Schlüssel eines einzelnen Geräts finden Administratoren unter Devices, All devices, Gerät auswählen, Recovery keys, Show Recovery Key; jeder Abruf landet im Überwachungsprotokoll. Nutzer können den Schlüssel ihrer eigenen Geräte standardmäßig über die Unternehmensportal-App oder das Kontoportal selbst abrufen; wer das nicht möchte, schränkt es in den Geräteeinstellungen von Entra ID ein. Wie die Geräteverwaltung insgesamt aufgebaut wird, beschreibt unser Beitrag zur Geräteverwaltung mit Intune.

Ein Hinweis zur Anmeldung: Mit TPM allein entsperrt das Gerät den Datenträger beim Start selbst, der Schutz hängt dann an der Windows-Anmeldung. Ein PIN oder Windows Hello for Business, eine kurze Zeit bis zur Bildschirmsperre und MFA für die Firmenkonten gehören deshalb dazu. Ob die zweite Anmeldestufe in Ihrem Microsoft 365 tatsächlich für alle Konten gilt, zeigt der kostenpflichtige Sicherheitscheck für Microsoft 365; Geräte, BitLocker und Intune prüft er nicht.

Die erste Stunde nach dem Verlust

Erstens melden. Das BSI sieht in SYS.3.1.A12 klare Meldewege vor: Wer ein Gerät verliert, meldet das umgehend. Vorwürfe haben in diesem Moment keinen Platz, denn jede Stunde Verzögerung ist eine Stunde Zugriffsmöglichkeit. Halten Sie fest, wann und wo das Gerät zuletzt gesehen wurde, ob es eingeschaltet oder gesperrt war und ob Zugangsdaten am Gerät klebten.

Zweitens das Gerät in Entra ID deaktivieren. Im Microsoft Entra Admin Center unter Entra ID, Devices, All devices wählen Sie das Gerät und deaktivieren es. Laut Microsoft verhindert das die Authentifizierung des Geräts gegenüber Entra ID und widerruft das Primary Refresh Token sowie alle Aktualisierungstoken auf dem Gerät. Bereits ausgestellte Zugriffstoken bleiben laut Microsoft standardmäßig noch 60 bis 90 Minuten gültig. Wichtig: deaktivieren, nicht löschen. Das Löschen des Geräteobjekts entfernt laut Microsoft alle zugehörigen Angaben, darunter die BitLocker-Schlüssel, und ist nicht rückgängig zu machen.

Drittens die Sitzungen des Nutzers beenden. Auf der Übersichtsseite des Benutzers im Entra Admin Center steht die Aktion zum Widerrufen der Sitzungen; sie zwingt alle Geräte des Nutzers zur neuen Anmeldung. Besteht der Verdacht, dass das Passwort bekannt ist, setzen Sie es zusätzlich zurück. Das Konto komplett zu sperren ist die Eskalation für den Fall, dass das Gerät nicht verschlüsselt war.

Viertens das Gerät in Intune orten und löschen. Unter Devices, All devices, Gerät auswählen, steht die Aktion Locate device auch für Windows zur Verfügung, allerdings nur, wenn vorher eine Richtlinie aus dem Einstellungskatalog den Standortzugriff für Apps erzwungen hat (Kategorie Privacy, „Let Apps Access Location" auf Force allow); Standortdaten hält Intune laut Microsoft 24 Stunden vor. Danach folgt die Aktion Wipe. Für verlorene oder gestohlene Geräte nennt Microsoft ausdrücklich die Option, das Zurücksetzen auch bei Stromverlust fortzusetzen; sie überschreibt zusätzlich den freien Speicher. Der Befehl wird ausgeführt, sobald das Gerät das nächste Mal online ist, bis dahin steht er als ausstehend in der Übersicht. Verwenden Sie für ein verlorenes Gerät nicht die Aktion Retire und löschen Sie das Geräteobjekt in Intune nicht: Microsoft warnt, dass das Löschen des Intune-Objekts eines Entra ID beigetretenen Geräts die Schlüsselschutzvorrichtungen entfernt und BitLocker auf dem Systemlaufwerk aussetzt. Eine Fernsperre wie bei Smartphones gibt es in Intune für Windows nicht; die Sperre ist hier die Kombination aus Verschlüsselung und deaktiviertem Gerät.

Fünftens bewerten und dokumentieren. Ein verlorenes Firmengerät mit personenbezogenen Daten ist eine mögliche Verletzung des Schutzes personenbezogener Daten und gehört innerhalb der Frist von 72 Stunden bewertet, wie in unserem Beitrag zur Datenpanne beschrieben. Die Verschlüsselung ist dabei kein Nebenaspekt: Die DSGVO nennt in Artikel 34 Absatz 3 Buchstabe a ausdrücklich Maßnahmen, „durch die die personenbezogenen Daten für alle Personen, die nicht zum Zugang zu den personenbezogenen Daten befugt sind, unzugänglich gemacht werden, etwa durch Verschlüsselung", als Grund, warum die Benachrichtigung der Betroffenen entfallen kann. Ob und was gemeldet werden muss, entscheidet sich im Einzelfall; die Bewertung selbst und ihre Begründung gehören in jedem Fall in die Akte.

Taucht das Gerät wieder auf, rät das BSI, es auf Manipulationen zu untersuchen und das Betriebssystem samt Software komplett neu zu installieren.

Ohne Vorbereitung bleibt nur Schadensbegrenzung

Ohne Verschlüsselung, ohne Verwaltung und ohne hinterlegten Schlüssel schrumpft die Liste auf drei Punkte: Passwörter zurücksetzen, Sitzungen widerrufen, hoffen. Die Daten auf dem Datenträger bleiben lesbar, und die Bewertung als Datenpanne fällt entsprechend aus. Dasselbe Prinzip gilt übrigens am anderen Ende des Gerätelebens: Ein verschlüsseltes Gerät lässt sich bei der Ausmusterung mit deutlich weniger Aufwand sicher aus dem Haus geben.

Häufige Fragen

Reicht die Verschlüsselung, oder muss das Gerät zusätzlich gelöscht werden?

Die Verschlüsselung schützt die gespeicherten Daten, solange niemand Kennwort oder PIN kennt. Das Löschen per Intune nimmt das Restrisiko, etwa wenn ein Zettel mit der PIN im Notebookfach lag, und kostet nichts. Beides gehört zusammen, wobei der Löschbefehl erst greift, wenn das Gerät online geht.

Was ist, wenn das Notebook nicht mehr online geht?

Dann bleibt der Löschbefehl in Intune ausstehend, was in der Praxis häufig passiert. Entscheidend ist, dass die Daten verschlüsselt sind und das deaktivierte Gerät keine neuen Token für Ihre Firmenkonten mehr erhält. Dokumentieren Sie diesen Stand in der Bewertung des Vorfalls; taucht das Gerät später auf, wird es neu installiert.

Kann jemand mit dem Wiederherstellungsschlüssel an die Daten?

Ja, der Schlüssel entsperrt das Laufwerk, deshalb liegt er in Entra ID und nicht im Gerät. Ein Finder kommt nur an ihn heran, wenn er sich mit dem Firmenkonto des Nutzers anmelden könnte, und genau das verhindern MFA und das deaktivierte Gerät. Jeder Abruf des Schlüssels wird in Entra ID protokolliert, und Administratoren können den Selbstabruf durch Nutzer abschalten.

So unterstützt Sie die High5Manufaktur GmbH

Die High5Manufaktur GmbH richtet die BitLocker-Richtlinie, die Schlüsselhinterlegung in Entra ID und die Intune-Verwaltung für alle Windows-Geräte ein und prüft im Verschlüsselungsbericht, dass kein Gerät zurückbleibt. Für den Ernstfall bekommen Sie eine kurze Ablaufkarte: wer meldet, wer sperrt, wer löscht, wer dokumentiert. Geht ein Gerät verloren, übernehmen wir die technischen Schritte auf Zuruf, mit direktem Ansprechpartner statt Hotline. Im kostenlosen Erstgespräch schauen wir gemeinsam, wie viele Ihrer Geräte heute schon verschlüsselt und verwaltet sind. Mehr zu unserer Leistung rund um Intune und Defender finden Sie auf der Leistungsseite.

*Dieser Beitrag ist eine allgemeine Information und ersetzt keine Rechtsberatung im Einzelfall.*

Quellen

• Microsoft Learn, Encrypt Windows devices with BitLocker using Intune, Stand 26.11.2025, https://learn.microsoft.com/en-us/intune/device-configuration/endpoint-security/encrypt-bitlocker-windows
• Microsoft Learn, Wipe devices with Microsoft Intune, Stand 21.08.2026, https://learn.microsoft.com/en-us/intune/device-management/actions/wipe
• Microsoft Learn, Device Action: Locate Device, Stand 27.10.2025, https://learn.microsoft.com/en-us/intune/device-management/actions/locate
• Microsoft Learn, Manage devices in Microsoft Entra ID using the Microsoft Entra admin center, Stand 17.06.2026, https://learn.microsoft.com/en-us/entra/identity/devices/manage-device-identities
• BSI, IT-Grundschutz, Baustein SYS.3.1 Laptops (Edition 2023), https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2023/07_SYS_IT_Systeme/SYS_3_1_Laptops_Edition_2023.pdf?__blob=publicationFile&v=3
• EUR-Lex, Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung), Artikel 34, https://eur-lex.europa.eu/eli/reg/2016/679/oj