Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat am 11. November 2026 die Studie „Active and Passive Attacks against TPM2-based Full Disk Encryption“ veröffentlicht. Die Untersuchung zeigt, dass gängige Festplattenverschlüsselungen bei einem physischen Zugriff auf das Gerät verwundbar sind.
Betroffen sind sowohl Microsofts BitLocker unter Windows 11 als auch mehrere LUKS-Varianten unter Linux. Die Angriffe gelangen den Forschern dabei in Teilen selbst dann, wenn Sicherheitsfunktionen wie die sogenannte Parameter Encryption aktiv waren.
BSI rät zu zusätzlicher Start-PIN
Als zentrale Schutzmaßnahmen empfiehlt das BSI den Einsatz eines nach Common Criteria zertifizierten Trusted Platform Module (TPM) sowie die zwingende Vergabe einer zusätzlichen PIN beim Systemstart. In den Testreihen der Behörde habe diese Start-PIN die untersuchten Angriffe wirksam verhindert. Zudem fordert das BSI, stärkere Gegenmaßnahmen künftig standardmäßig in den Systemen zu verankern.
Für IT-Verantwortliche, die Geräte über Microsoft Intune verwalten, erläutert das BSI verschiedene Vorgehensweisen zur Richtlinienkonfiguration: Die Abfrage einer PIN beim Hochfahren lässt sich demnach blockieren, erlauben oder vorschreiben. Das Amt gibt jedoch zu bedenken, dass eine erzwungene PIN-Eingabe die vollautomatische, stille Verschlüsselung verhindert, was auch Bereitstellungsprozesse über Windows Autopilot beeinträchtigt.
Am 11. November 2026 hieß es von Microsoft dazu, dass der reguläre Windows-PIN-Standard eine Länge von 6 bis 20 Ziffern vorsieht, während sich eine Mindestlänge von 4 bis 20 Zeichen administrativ konfigurieren lässt. Der Softwarekonzern rät insbesondere für Administrationsarbeitsplätze zur Absicherung mittels TPM und PIN.
Ein Klick auf einen unsicheren Link oder physischer Zugriff Dritter können ausreichen, um die Sicherheit Ihres Systems zu gefährden. Dieser kostenlose Report zeigt Ihnen, wie Sie die bereits integrierten Schutzfunktionen von Windows optimal einstellen. Kostenlose Windows Defender Anleitung herunterladen
Microsoft testet PIN-Vergabe für Standardnutzer
Microsoft reagiert unterdessen auf Verwaltungsebene und stellt neue Windows-11-Builds der Version 26H1 für den Beta- und den Experimental-Kanal bereit (Build-Nummern 28120.3542 und 28020.3532). Mit diesen Aktualisierungen erhalten reguläre Standardbenutzer ohne Administratorrechte die Möglichkeit, eine BitLocker-Start-PIN eigenständig festzulegen.
Voraussetzung hierfür ist die Konfiguration spezifischer Intune-Richtlinien: Neben der Aktivierung von „AllowStandardUserEncryption“, „RequireDeviceEncryption“ und „SystemDrivesRequireStartupAuthentication“ muss die Option „AllowWarningForOtherDiskEncryption“ abgeschaltet sein.
Wer sich mit der Absicherung von Windows befasst, sollte auch die grundlegenden Sicherheitsmechanismen des Betriebssystems verstehen. IT-Experte Manfred Kratzl erklärt in seinem kostenlosen PDF-Ratgeber, wie Sie Ihren PC wirksam vor Viren und Schadsoftware schützen. Jetzt Gratis-Ratgeber für optimalen Virenschutz sichern
Microsoft warnt jedoch davor, diese Konfigurationen bereits auf breiter Basis im Unternehmen auszurollen. Vorerst sollten die Richtlinien ausschließlich für Insider-Testgruppen angewendet werden, da es bei reinen TPM-Geräten andernfalls zu Verschlüsselungsfehlern oder Problemen mit der Richtlinienkonformität kommen kann.
Im Build 28020.3532 des Beta-Kanals führt ein neu integriertes Hinweisfenster die Nutzer durch die Einrichtung der Start-PIN. Bisher war diese Konfiguration Administratoren vorbehalten.
Die Vorabversion korrigiert zudem Remotedesktop-Fehler, die durch abweichende Zertifikate entstanden waren, während der Experimental-Kanal optional einen modernisierten Dialog für das Ausführen-Fenster erhält. Der Rollout der neuen Funktionen erfolgt schrittweise. Einen Veröffentlichungstermin für die reguläre, stabile Windows-11-Version hat Microsoft noch nicht genannt.