Ein USB-Laufwerk mit einem Startschlüssel (Verschlüsselungsschlüssel) ist für Computer ohne kompatibles TPM (Trusted Platform Module) erforderlich. Aber auch für Computern mit kompatiblen TPM kann zur Verbesserung der Sicherheit diese zusätzliche Authentifizierung eingerichtet werden. Bei aktivierter Einstellung zeigt der Setup-Assistent der BitLocker-Laufwerkverschlüsselung auf der ersten Seite die Option "Systemstart-USB-Schlüssel ist bei jedem Systemstart erforderlich" und ggf. die Option "BitLocker ohne zusätzlichen Schlüssel verwenden" an. Bei der Verwendung einer anderen zusätzlichen Authentifizierung (PIN-Eingabe) kann die Option "Systemstart-USB-Schlüssel ist bei jedem Systemstart erforderlich" auch deaktiviert werden.

So geht's:

• Starten Sie ...\windows\regedit.exe bzw. ...\winnt\regedt32.exe.
• Klicken Sie sich durch folgende Schlüssel (Ordner) hindurch:
  HKEY_LOCAL_MACHINE
  Software
  Policies
  Microsoft
  FVE
  Falls die letzten Schlüssel noch nicht existieren, dann müssen Sie diese erstellen. Dazu klicken Sie mit der rechten Maustaste in das rechte Fenster. Im Kontextmenü wählen Sie "Neu" > "Schlüssel".
• Doppelklicken Sie auf den Schlüssel "UsePartialEncryptionKey".
  Falls dieser Schlüssel noch nicht existiert, dann müssen Sie ihn erstellen. Dazu klicken Sie mit der rechten Maustaste in das rechte Fenster. Im Kontextmenü wählen Sie "Neu" > "DWORD-Wert" (REG_DWORD). Als Schlüsselnamen geben Sie "UsePartialEncryptionKey" ein.
• Ändern Sie den Wert ggf. auf "0" (nicht zulassen), "1" (erzwingen) oder "2" (erstellen oder überspringen).
• Die Änderungen werden ggf. erst nach einem Neustart aktiv.

Hinweise:

• UsePartialEncryptionKey:
  0 = Ein USB-Laufwerk mit dem Verschlüsselungsschlüssel ist beim Systemstart nicht erforderlich.
  1 = Bei jedem Systemstart ist ein USB-Laufwerk mit dem Verschlüsselungsschlüssel erforderlich.
  2 = Ein Administrator kann im Setup-Assistenten den Systemstart-USB-Schlüssel anfordern.
• Falls die Verwendung eines USB-Laufwerks mit dem Schlüssel erzwungen wird, dann darf nicht gleichzeitig die Systemstart-PIN erzwungen werden. In diesem Fall würde BitLocker sonst eine Richtlinienfehlermeldung anzeigen.
• Ändern Sie bitte nichts anderes in der Registrierungsdatei. Dies kann zur Folge haben, dass Windows und/oder Anwendungsprogramme nicht mehr richtig arbeiten.

Querverweis:

• BitLocker - Erweiterte Startoptionen - Systemstart-PIN deaktivieren / verwenden