Vorgehensweise beim Verwalten von BitLocker-Verschlüsselungsausnahmen für Benutzer

Letzte Aktualisierung: April 2013

Betrifft: Microsoft BitLocker Administration and Monitoring 2.0

Mithilfe von Microsoft BitLocker-Administration und Überwachung (MBAM) können Benutzer, die eine Verschlüsselung ihrer Laufwerke nicht benötigen oder wünschen, gezielt vom BitLocker-Schutz ausgeschlossen werden.

Um Benutzer vom BitLocker-Schutz auszuschließen, muss eine Infrastruktur erstellt werden, die ausgeschlossene Benutzer unterstützt, bei der der Benutzer beispielsweise eine Telefonnummer, Webseite oder E-Mail-Adresse verwendet, um eine Ausnahme anzufordern. Ausgeschlossene Benutzer müssen zudem zu einer Sicherheitsgruppe für ein Gruppenrichtlinienobjekt hinzugefügt werden, das für diese Benutzer erstellt wurde. Wenn sich ein Mitglied dieser Sicherheitsgruppe bei einem Computer anmeldet, wird durch die Einstellung in der Benutzergruppenrichtlinie angezeigt, dass für den Benutzer eine Ausnahme vom BitLocker-Schutz besteht. Die Computerrichtlinie wird durch die Gruppenrichtlinieneinstellung des Benutzers überschrieben, und der Computer bleibt von der BitLocker-Verschlüsselung ausgeschlossen.

In der folgenden Tabelle ist dargestellt, wie der BitLocker-Schutz abhängig von festgelegten Ausnahmen angewendet wird:

So schließen Sie einen Benutzer von der BitLocker-Verschlüsselung aus

1. Erstellen Sie in Active Directory-Domänendienste eine Sicherheitsgruppe zum Verwalten von Benutzerausnahmen von den BitLocker-Verschlüsselungsanforderungen.

2. Erstellen Sie mithilfe der Microsoft BitLocker Administration and Monitoring-Gruppenrichtlinienvorlage eine Einstellung für das Gruppenrichtlinienobjekt, und ordnen Sie diese dann der Active Directory-Gruppe zu, die Sie im vorherigen Schritt erstellt haben. Die Richtlinieneinstellungen für Benutzerausnahmen finden Sie unter Benutzerkonfiguration\Administrative Vorlagen\Windows-Komponenten\MDOP MBAM (BitLocker Management).

3. Fügen Sie der erstellten Sicherheitsgruppe für Benutzer mit BitLocker-Ausnahme die Namen der Benutzer hinzu, die eine Ausnahme beantragt haben. Wenn sich Benutzer bei einem Computer anmelden, der von BitLocker geschützt wird, wird vom MBAM-Client die Einstellung der Benutzerausnahmerichtlinie überprüft und der Schutz aufgehoben, wenn der Benutzer zur Sicherheitsgruppe für BitLocker-Ausnahmen gehört.

   Wichtig

   Bei Szenarien mit gemeinsam genutzten Computern sind zu Benutzerausnahmen besondere Überlegungen erforderlich. Wenn sich ein nicht ausgeschlossener Benutzer bei einem Computer anmeldet, der mit einem ausgeschlossenen Benutzer gemeinsam genutzt wird, wird der Computer möglicherweise verschlüsselt.

So ermöglichen Sie Benutzern das Anfordern einer Ausnahme von der BitLocker-Verschlüsselung

1. Nachdem Sie die Benutzerausnahmerichtlinien mithilfe der MBAM-Richtlinienvorlage konfiguriert haben, können Benutzer Ausnahmen vom BitLocker-Schutz über den MBAM-Client anfordern.

2. Wenn sich die Benutzer bei einem Computer anmelden, der verschlüsselt werden muss, erhalten sie eine Benachrichtigung, dass ihr Computer verschlüsselt wird. Sie können Ausnahme anfordern auswählen und die Verschlüsselung verschieben, indem sie Später auswählen, oder sie können Starten auswählen, um die BitLocker-Verschlüsselung zuzulassen.

   Hinweis

   Durch Auswählen von Ausnahme anfordern wird der BitLocker-Schutz um den maximalen Zeitraum verschoben, der in der Benutzerausnahmerichtlinie festgelegt ist.

3. Wenn Benutzer Ausnahme anfordern auswählen, erhalten sie eine Benachrichtigung, in der sie aufgefordert werden, die BitLocker-Administrationsgruppe der Organisation zu kontaktieren. Je nach Konfiguration von „Richtlinie für Benutzerausnahme konfigurieren“ wird dem Benutzer mindestens eine der folgenden Kontaktmethoden angezeigt:

   • Telefonnummer

   • URL einer Webseite

   • E-Mail-Adresse

   Nach dem Erhalt der Ausnahmeanforderung kann der MBAM-Administrator entscheiden, ob das Hinzufügen des Benutzers zur Active Directory-Gruppe für BitLocker-Ausnahmen legitim ist.

   Hinweis

   Sobald ein Benutzer eine Ausnahmeanforderung übermittelt hat, meldet der MBAM-Agent den Benutzer als "temporäre Ausnahme", und wartet dann eine konfigurierbare Anzahl von Tagen, bevor die Konformität des Computers erneut überprüft. Wenn die Ausnahmeanforderung vom MBAM-Administrator abgelehnt wird, wird die Option zur Ausnahmeanforderung deaktiviert, wodurch verhindert wird, dass der Benutzer die Ausnahme erneut anfordert.

Siehe auch

Andere Ressourcen

Verwalten von MBAM verfügt über 2.0

-----
Sie können in der TechNet-Bibliothek weitere Informationen zu MDOP lesen, im TechNet Wiki nach „Troubleshooting“ suchen oder uns auf Facebook oder Twitter folgen.
-----