Microsoft hat eine Vorschauversion der Funktion Remote Lock für über Microsoft Intune verwaltete Windows-Geräte eingeführt. Gleichzeitig erhalten Standardanwender auf verwalteten Systemen künftig die Möglichkeit, eigenständig eigene BitLocker-Startup-PINs festzulegen, ohne dafür Administratorrechte auf dem Computer zu benötigen.
Sperrfunktion schützt verlorene Geräte ohne Datenlöschung
Die neue Funktion Remote Lock richtet sich an Organisationen, die verlorene oder gestohlene Computer absichern müssen. Im Gegensatz zu einer vollständigen Löschung sperrt das Feature den Computer gezielt: Sämtliche aktiven Sitzungen werden abgemeldet, reguläre Anmeldeoptionen entfernt und ein Sperrbildschirm angezeigt, der den Sperrgrund sowie einen Support-Kontakt darstellt.
Das Gerät bleibt dabei in der Verwaltung registriert, die BitLocker-Verschlüsselung aktiv und die gespeicherten Daten vollständig erhalten. Benutzerkonten und Anmeldeinformationen bleiben unverändert.
Die Gerätesperre überdauert Neustarts sowie Offline-Zustände und kann ausschließlich durch IT-Administratoren wieder aufgehoben werden. Als Voraussetzung nennt das System eine Einbindung über Microsoft Entra joined, Microsoft Entra hybrid joined oder ein sonstiges Mobile-Device-Management-Enrollment (MDM) sowie die Editionen Windows Enterprise, Education oder Pro.
Technisch erfolgt die Einrichtung über eine benutzerdefinierte OMA-URI mit den Werten für LockState (1 für sperren, 0 für entsperren). Optional lassen sich ein LockReason mit bis zu 1.024 Zeichen sowie ein RecoveryHint mit maximal 256 Zeichen hinterlegen. Ein Nur-Lese-Knoten meldet den jeweiligen Status zurück (0, 1, 2 oder 3).
Ein Klick auf den falschen Link reicht aus, um die Sicherheit Ihres Systems zu gefährden. Wer seinen PC über die Standardeinstellungen hinaus wirksam absichern möchte, findet in diesem kostenlosen Report eine detaillierte Anleitung für den optimalen Einsatz interner Schutzmechanismen. Windows Defender optimal einstellen und PC schützen
Die Sperrung greift, sobald das Gerät den nächsten Check-in mit Intune durchführt; die Freigabe erfolgt ausschließlich über MDM beziehungsweise Intune über den Recovery Configuration Service Provider (CSP). Funktionen wie die Windows-Wiederherstellungsumgebung WinRE, der abgesicherte Modus und das Starten von USB-Medien bleiben weiterhin zugänglich.
Eigene BitLocker-Startup-PINs für Standardbenutzer
Parallel dazu erleichtert Microsoft die Handhabung der Festplattenverschlüsselung. Standardbenutzer auf verwalteten Geräten können künftig eigenständig einen TPM- und PIN-basierten BitLocker-Startup-PIN festlegen, wobei das Trusted Platform Module (TPM) weiterhin eingebunden bleibt.
Damit Anwender den Start-PIN mit einer Länge von 6 bis 20 Ziffern nach einer entsprechenden Systembenachrichtigung selbst konfigurieren können, müssen IT-Abteilungen vorab vier Richtlinien aktivieren:
– AllowStandardUserEncryption (aktiviert)
– AllowWarningForOtherDiskEncryption (deaktiviert)
– RequireDeviceEncryption (aktiviert)
– SystemDrivesRequireStartupAuthentication (aktiviert)
Microsoft warnt davor, diese Richtlinien unbedacht auszurollen. Sie sollten vorerst nur auf eine kompatible Insider-Testgruppe mit bereits freigeschalteter Funktion angewendet werden. Andernfalls besteht das Risiko, dass Verschlüsselungsvorgänge fehlschlagen oder rein TPM-verschlüsselte Systeme fälschlicherweise als nicht richtlinienkonform gemeldet werden.
Falls Windows trotz korrekter Einstellungen einmal streikt oder Update-Fehler den Betrieb stören, lassen sich viele Probleme ohne externe Hilfe beheben. Dieser Gratis-Ratgeber zeigt Ihnen, wie Sie typische Fehlerquellen in wenigen Minuten selbst identifizieren und beseitigen. Kostenlosen Windows-Fehler-Guide jetzt herunterladen
Verteilung über neue Testversionen
Am 13. November 2026 veröffentlichte Microsoft mehrere Windows-11-Testbuilds, die diese Neuerungen sowie eine Funktion namens Cloud Rebuild enthalten: den Beta-Build 26H1 28020.3532, den Experimental-Build 26H1 28120.3542 sowie die Experimental Future Platforms Builds 29708.1001 und 29708.1003. Während die Beta- und 28120-Builds die PIN-Verwaltung für Standardnutzer bereitstellen, bringt der Build 29708.1001 Remote Lock und Cloud Rebuild mit.
Die Funktionen der Plattform-Builds sind an kein fest angekündigtes Windows-Release gebunden. Zudem wurden die offiziellen Insider-ISOs für x64- und ARM64-Systeme mit diesen Versionen aktualisiert.
Die Freigabe der neuen BitLocker-PIN-Funktion erfolgt schrittweise. Einen verbindlichen Veröffentlichungstermin für die reguläre, stabile Windows-Version hat Microsoft bislang nicht genannt.