BCD-Einstellungen und BitLocker

Dieses Thema für IT-Experten beschreibt die BCD-Einstellungen, die von BitLocker verwendet werden.

Beim Schutz von auf einem Betriebssystemvolume ruhenden Daten prüft BitLocker während des Startvorgangs, ob die sicherheitsempfindlichen Startkonfigurationseinstellungen (BCD) seit der letzten Aktivierung, Fortsetzung oder Wiederherstellung von BitLocker geändert wurden.

BitLocker und BCD-Einstellungen

In Windows 7 und Windows Server 2008 R2 überprüfte BitLocker fast alle BCD-Einstellungen mit Winload-, Winresume -und Memtest-Präfixen. Diese intensiven Validierungsvorgänge führten jedoch dazu, dass BitLocker auch bei nicht schädlichen Einstellungsänderungen in den Wiederherstellungsmodus wechselte, etwa bei der Anwendung eines Sprachpakets.

In Windows 8, Windows Server 2012 und höheren Betriebssystemen schränkt BitLocker den Satz von BCD-Einstellungen, die überprüft werden, ein, um die Gefahr zu reduzieren, dass nicht schädliche Änderungen zu BCD-Validierungsproblemen führen. Wenn Sie der Meinung sind, dass es riskant ist, eine bestimmte BCD-Einstellung aus dem Validierungsprofil auszuschließen, können Sie die Abdeckung der BCD-Validierung erhöhen, um Ihren Validierungspräferenzen zu entsprechen. Alternativ gilt: Wenn eine Standard-BCD-Einstellung ständig dazu führt, dass die Wiederherstellung für nicht schädliche Änderungen ausgelöst wird, können Sie die betreffende BCD-Einstellung aus dem Validierungsprofil ausschließen.

Wenn der sichere Start aktiviert ist

Computer mit UEFI-Firmware können den sicheren Start verwenden, um die Sicherheit beim Start zu erhöhen. Wenn BitLocker den sicheren Start für die Validierung der Plattform- und BCD-Integrität verwenden kann, wie durch die Gruppenrichtlinieneinstellung Sicheren Start für Integritätsüberprüfung zulassen definiert, wird die Gruppenrichtlinieneinstellung Erweitertes Validierungsprofil für Startkonfigurationsdaten verwenden ignoriert.

Einer der Vorteile der Verwendung des sicheren Starts besteht darin, dass damit BCD-Einstellungen während des Starts korrigiert werden können, ohne dass Wiederherstellungsereignisse ausgelöst werden. Der sichere Start erzwingt die gleichen BCD-Einstellungen wie BitLocker. Die BCD-Erzwingung beim sicheren Start kann nicht aus dem Betriebssystem heraus konfiguriert werden.

Anpassen der BCD-Validierungseinstellungen

Zur Änderung der BCD-Einstellungen, die BitLocker prüft, müssen IT-Spezialisten BCD-Einstellungen in das Plattformprüfungsprofil einfügen (oder daraus entfernen), indem sie die Gruppenrichtlinieneinstellung Erweitertes Validierungsprofil für Startkonfigurationsdaten verwenden aktivieren und konfigurieren.

Für die BitLocker-Prüfung sind BCD-Einstellungen mit einem bestimmten Satz von Microsoft-Startanwendungen verknüpft. BCD-Einstellungen sind entweder mit einer bestimmten Startanwendung verknüpft, oder sie gelten für alle Startanwendungen, wenn ein Präfix mit der in der Gruppenrichtlinieneinstellung eingegebenen BCD-Einstellung verknüpft ist. Zu den Präfixwerten gehören:

• winload

• winresume

• memtest

• all

Alle BCD-Einstellungen werden durch die Kombination des Präfixwerts mit einem hexadezimalen Wert (hex) oder einem „angezeigten Namen“ angegeben.

Der Hex-Wert der BCD-Einstellung wird angezeigt und im Ereignisprotokoll (Ereignis-ID 523) gespeichert, wenn BitLocker in den Wiederherstellungsmodus wechselt. Der Hex-Wert identifiziert eindeutig, welche BCD-Einstellung das Wiederherstellungsereignis verursacht hat.

Sie können die angezeigten Namen der BCD-Einstellungen auf Ihrem Computer schnell mit dem Befehl „bcdedit.exe /enum all“ finden.

Nicht alle BCD-Einstellungen haben angezeigte Namen; für diese ist der Hex-Wert die einzige Möglichkeit zur Konfiguration einer Ausschlussrichtlinie.

Verwenden Sie zum Angeben der BCD-Werte in der Gruppenrichtlinieneinstellung Erweitertes Validierungsprofil für Startkonfigurationsdaten verwenden die folgende Syntax:

• Verwenden Sie das Startanwendungspräfix als Präfix für die Einstellung

• Fügen Sie einen Doppelpunkt „:“ hinzu

• Hängen Sie den Hex-Wert oder den angezeigten Namen an

• Wenn Sie mehr als eine BCD-Einstellung eingeben, müssen Sie jede davon auf einer neuen Zeile eingeben

So führen etwa „winload:hypervisordebugport” oder „winload:0x250000f4” zum gleichen Wert.

Eine Einstellung, die für alle Startanwendungen gilt, kann auch für eine einzelne Anwendung verwendet werden, nicht aber umgekehrt. So können Sie etwa Folgendes angeben: „all:locale“ oder „winresume:locale“, da die BCD-Einstellung „win-pe“ aber nicht für alle Startanwendungen gilt, ist „winload:winpe“, „all:winpe“ jedoch nicht. Die Einstellung, die den Startdebugger steuert („bootdebug“ oder 0x16000010) wird immer überprüft und ist unwirksam, wenn Sie in den bereitgestellten Feldern enthalten ist.

Hinweis  

Gehen Sie bei der Konfiguration der BCD-Einträge in der Gruppenrichtlinieneinstellung vorsichtig vor. Der Editor für lokale Gruppenrichtlinien überprüft die Richtigkeit des BCD-Eintrags nicht. BitLocker kann nicht aktiviert werden, wenn die angegebene Gruppenrichtlinie ungültig ist.

Standard-BCD-Validierungsprofil

Die folgende Tabelle enthält das Standard-BCD-Überprüfungsprofil, das BitLocker unter Windows 8, Windows Server 2012 und neueren Betriebssystemen verwendet:

Vollständige Liste der angezeigten Namen für ignorierte BCD-Einstellungen

Nachfolgend finden Sie eine vollständige Liste der BCD-Einstellungen mit angezeigten Namen, die standardmäßig ignoriert werden. Diese Einstellungen sind nicht Teil des BitLocker-Validierungsprofils. Sie können jedoch hinzugefügt werden, wenn Sie der Meinung sind, dass eine dieser Einstellung überprüft werden sollte, bevor ein von BitLocker geschütztes Betriebssystemlaufwerk entsperrt wird.

Hinweis  

Es gibt weitere BCD-Einstellungen mit Hex-Werten, aber ohne angezeigte Namen. Diese Einstellungen sind in dieser Liste nicht enthalten.