BitLocker-Wiederherstellungsschlüssel: Wo Sie ihn finden (Konto, Entra, IT)

Von Mirko Peters · 2026-11-12

Finden Sie Ihren BitLocker-Wiederherstellungsschlüssel in Ihrem Microsoft-Konto, im Arbeitskonto, auf einem Ausdruck oder einem USB-Stick. Außerdem erfahren Sie, wie Administratoren ihn in Entra ID oder Intune abrufen.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Ihr BitLocker-Wiederherstellungsschlüssel ist fast immer in einem Konto gespeichert, nicht auf dem PC selbst. Öffnen Sie aka.ms/myrecoverykey auf einem anderen Gerät und melden Sie sich mit Ihrem Microsoft-Konto an. Gehört der PC Ihrem Arbeitgeber oder Ihrer Schule, verwenden Sie stattdessen aka.ms/aadrecoverykey mit Ihrem Arbeits- oder Schulkonto. Zeigt keine der beiden Stellen einen Schlüssel an, prüfen Sie, ob ein Ausdruck oder ein USB-Stick existiert, oder fragen Sie Ihre IT-Abteilung. Dieser Artikel richtet sich an Windows-Nutzer, die gerade zum ersten Mal den blauen Wiederherstellungsbildschirm gesehen haben, und an Administratoren, die solche Anrufe von Nutzern bekommen. Er erklärt, wo Sie suchen können, wie Administratoren Schlüssel abrufen, warum die Abfrage erscheint und was passiert, wenn kein Schlüssel existiert.

Das Wichtigste in Kürze

• Suchen Sie den BitLocker-Wiederherstellungsschlüssel in Ihrem Microsoft-Konto unter aka.ms/myrecoverykey oder bei einem Gerät des Arbeits- oder Schulkontos unter aka.ms/aadrecoverykey.
• Notieren Sie die ersten 8 Zeichen der Schlüssel-ID auf dem blauen Bildschirm, damit Sie den richtigen Schlüssel auswählen können, wenn Ihr Konto mehrere auflistet.
• Der Wiederherstellungsschlüssel hat 48 Ziffern. Der Microsoft-Support kann einen verlorenen Schlüssel für Sie nicht abrufen, bereitstellen oder neu erstellen.
• Administratoren können Schlüssel im Microsoft Entra Admin Center oder im Intune Admin Center einsehen. Diese Abfragen werden protokolliert.
• Wenn es irgendwo keinen Schlüssel gibt, bleibt als einziger Weg zurück zum Gerät das Zurücksetzen. Dabei werden alle Dateien auf dem Laufwerk entfernt.

Was der Wiederherstellungsschlüssel ist und warum Sie die Schlüssel-ID notieren sollten

Der Wiederherstellungsschlüssel ist eine 48-stellige Zahl. Die Recovery-Dokumentation von Microsoft zeigt ihn als acht Blöcke zu je sechs Ziffern. Der Wiederherstellungsbildschirm beim Start prüft jeden Block bei der Eingabe, sodass die meisten Tippfehler sofort auffallen. BitLocker fragt nach dem Schlüssel, wenn das Laufwerk nicht automatisch entsperrt werden kann. Das passiert nach einem Sicherheitsrisiko oder einer Hardwareänderung oder wenn Sie das Kennwort für ein Datenlaufwerk vergessen haben.

Notieren Sie zuerst die ersten 8 Zeichen der Schlüssel-ID des Wiederherstellungsschlüssels, die der Bildschirm anzeigt. Wenn Ihr Konto mehr als einen Schlüssel enthält, etwa weil das Gerät einmal neu verschlüsselt wurde oder Sie mehrere PCs besitzen, hilft Ihnen die Schlüssel-ID, den richtigen auszuwählen. Fotografieren Sie den Bildschirm nach Möglichkeit mit Ihrer Handykamera. Das kostet nichts, und Sie brauchen die ID zweimal: einmal, um den Schlüssel zu finden, und einmal, falls Sie die IT anrufen.

Eine weitere Tatsache sollten Sie jetzt kennen. Der Support-Artikel von Microsoft stellt klar, dass der Microsoft-Support einen verlorenen Wiederherstellungsschlüssel nicht abrufen, bereitstellen oder neu erstellen kann. Niemand bei Microsoft hat eine Kopie. Deshalb ist der nächste Abschnitt wichtig.

Wo Sie Ihren BitLocker-Wiederherstellungsschlüssel finden

Der richtige Ort hängt davon ab, wie BitLocker aktiviert wurde. Gehen Sie die Optionen in dieser Reihenfolge durch.

1. Ihr Microsoft-Konto. Öffnen Sie auf einem anderen Gerät einen Browser und rufen Sie https://aka.ms/myrecoverykey auf. Laut Microsoft-Artikel verweist der Link auf die Seite mit dem Wiederherstellungsschlüssel in Ihrem Konto unter account.microsoft.com. Melden Sie sich mit Ihrem Microsoft-Konto an, suchen Sie die Schlüssel-ID, die mit der auf Ihrem Bildschirm übereinstimmt, und verwenden Sie diesen Schlüssel, um das Laufwerk zu öffnen. Das ist der häufigste Fall bei Privat-PCs, weil die Geräteverschlüsselung BitLocker aktiviert, wenn Sie sich mit einem Microsoft-Konto anmelden, und den Schlüssel diesem Konto zuordnet.
2. Ein Arbeits- oder Schulkonto. Rufen Sie auf einem anderen Gerät https://aka.ms/aadrecoverykey auf und melden Sie sich mit Ihrem Arbeits- oder Schulkonto an. Wählen Sie Geräte aus, erweitern Sie das gewünschte Gerät und wählen Sie BitLocker-Schlüssel anzeigen aus. Suchen Sie den Schlüssel, der zu Ihrer Schlüssel-ID passt.
3. Ein Ausdruck. Falls Sie den Schlüssel beim Aktivieren von BitLocker ausgedruckt haben, sehen Sie an dem Ort nach, an dem Sie wichtige Unterlagen zu diesem Gerät aufbewahren. Auf dem Ausdruck steht die Schlüssel-ID neben dem Schlüssel.
4. Ein USB-Stick. Stecken Sie ihn in das gesperrte Gerät und folgen Sie den Anweisungen auf dem Bildschirm. Wurde der Schlüssel als Textdatei auf dem Stick gespeichert, öffnen Sie die Datei auf einem anderen Gerät.

Zwei Hinweise aus Microsofts Artikel sparen vielen Menschen viel Zeit. Erstens: Hat jemand anderes das Gerät eingerichtet oder BitLocker aktiviert, befindet sich der Schlüssel unter Umständen im Microsoft-Konto dieser Person, zum Beispiel bei einem Familienmitglied oder einem früheren Administrator. Zweitens zeigt der Wiederherstellungsbildschirm unter Windows 11 Version 24H2 und höher einen Hinweis darauf an, welches Microsoft-Konto mit dem Schlüssel verknüpft ist. Lesen Sie diesen Hinweis, bevor Sie wahllos Konten ausprobieren.

Die Seite behandelt auch Geräte, die von einer Organisation verwaltet werden. Bei diesen ruft Ihre IT-Abteilung den Schlüssel ab. Verschwenden Sie daher keine Zeit mit Raten.

So rufen Administratoren den BitLocker-Wiederherstellungsschlüssel ab

Wenn Sie im Helpdesk arbeiten, haben Sie mehr Möglichkeiten als der Benutzer. Die BitLocker-Wiederherstellungsdokumentation von Microsoft nennt die Orte und Rollen dafür.

Microsoft Entra ID. Bei Geräten, die mit Microsoft Entra verbunden oder hybrid verbunden sind, ist das Speichern der Schlüssel in Entra ID der empfohlene Weg. So kann ein BitLocker-Administrator oder der Helpdesk Benutzern beim Abrufen ihrer Schlüssel helfen. Die gängigen Rollen dafür sind Cloudgeräteadministrator und Helpdeskadministrator. Eine benutzerdefinierte Rolle kann die Berechtigung microsoft.directory/bitlockerKeys/key/read verwenden, optional beschränkt auf Verwaltungseinheiten. Schlüssel können Sie im Microsoft Entra Admin Center, über die Microsoft Graph API oder mit PowerShell auslesen.

Selbstbedienung. Standardmäßig können Benutzer die Schlüssel ihrer eigenen Geräte unter https://myaccount.microsoft.com abrufen: Öffnen Sie die Registerkarte Geräte, wählen Sie das Gerät aus und klicken Sie auf BitLocker-Schlüssel anzeigen. Ein Administrator kann dies mit der Einstellung Benutzern das Wiederherstellen des BitLocker-Schlüssels bzw. der BitLocker-Schlüssel für ihre eigenen Geräte untersagen deaktivieren. Microsoft empfiehlt, Selbstbedienung nur in vertrauenswürdigen Umgebungen zu erlauben. Andernfalls sollten Sie sich auf die Wiederherstellung über den Helpdesk verlassen.

Intune. Öffnen Sie im Intune Admin Center die Option Geräte und anschließend Alle Geräte. Wählen Sie das Gerät aus und dann unter Überwachung den Eintrag Wiederherstellungsschlüssel. Klicken Sie anschließend auf Wiederherstellungsschlüssel anzeigen. Laut dem Intune-Artikel von Microsoft erzeugt diese Aktion einen Audit-Log-Eintrag unter der Aktivität KeyManagement, sodass jeder Zugriff nachvollziehbar ist. Im selben Artikel werden Cloud Device Administrator, Helpdesk Administrator und Global Administrator als Rollen genannt, die Schlüssel einsehen können.

Active Directory. Bei domänenverbundenen Geräten, die Schlüssel in AD DS speichern, können standardmäßig nur Domänen-Admins die Wiederherstellungsinformationen lesen. Der Zugriff lässt sich allerdings delegieren. Der BitLocker Recovery Password Viewer, der Bestandteil der Remoteserver-Verwaltungstools ist, fügt dem Computerobjekt eine Registerkarte BitLocker-Wiederherstellung hinzu. Außerdem können Sie nach den ersten acht Zeichen der Kennwort-ID suchen.

Ein guter Schritt im Helpdesk ist, vor der Herausgabe des Schlüssels zu fragen, warum die Abfrage erschien. Der nächste Abschnitt erklärt das.

Warum BitLocker nach dem Schlüssel gefragt hat

Den Schlüssel herauszugeben löst das heutige Problem. Die Ursache zu finden verhindert den nächsten Anruf. Microsoft nennt diese Auslöser:

• Eine unbekannte oder vergessene PIN, wenn das Gerät TPM plus PIN verwendet.
• Ein verlorener Startschlüssel, wenn das Gerät einen USB-Startschlüssel verwendet.
• Änderungen an Startdateien oder der Firmware, etwa ein BIOS-Update, oder möglicherweise Schadsoftware.
• Das Verschieben eines Laufwerks mit einem Betriebssystemvolume und einem TPM-Schutz auf ein anderes Gerät. Dadurch wird es an das neue TPM gebunden, und die Wiederherstellung wird abgefragt.

Microsofts Artikel empfiehlt dem Helpdesk, die Ursache zu finden, bevor der Schlüssel herausgegeben wird. Hilfreiche Ausgangspunkte sind manage-bde.exe -status und das Ereignisprotokoll. Wenn Sie Schadsoftware vermuten, behandeln Sie das Gerät als Sicherheitsvorfall und nicht als routinemäßige Sperre.

Nach einer erfolgreichen Wiederherstellung schreibt Windows ein Ereignis in das Protokoll, setzt die TPM-Messwerte der Plattformvalidierung auf die aktuelle Konfiguration zurück und gibt den Verschlüsselungsschlüssel frei. Wenn die Abfrage immer wieder erscheint, empfiehlt Microsoft, BitLocker anzuhalten und wieder fortzusetzen. Dadurch wird das Validierungsprofil zurückgesetzt. Bei Geräten mit automatischer Rotation des Wiederherstellungskennworts wird das Kennwort nach der Verwendung rotiert. Administratoren können es über Intune oder Configuration Manager bei Bedarf rotieren. Das ist wichtig, wenn Sie einen Schlüssel in ein Ticket eingefügt haben, denn der alte Schlüssel verliert für dieses Gerät seine Gültigkeit, sobald er rotiert wurde.

Wenn Sie den Schlüssel nicht finden

Prüfen Sie zuerst alle Konten, die Ihnen gehören, auch alte, sowie das Konto der Person, die den PC eingerichtet hat. Kontrollieren Sie danach Ausdrucke und USB-Sticks. Bei einem verwalteten Gerät ist Ihre IT-Abteilung der einzige Weg.

Wenn Sie den Schlüssel nicht finden und die Änderung, die die Abfrage ausgelöst hat, nicht rückgängig machen können, müssen Sie laut Microsofts Artikel das Gerät über eine Windows-Wiederherstellungsoption zurücksetzen. Dabei werden alle Ihre Dateien entfernt. Die verschlüsselten Dateien lassen sich ohne Schlüssel nicht lesen. Starten Sie deshalb kein Zurücksetzen, bevor Sie alle gefragt haben, die den Schlüssel haben könnten.

Häufige Fehler

• Schlüssel-ID nicht notieren. Ohne sie probieren Sie unter Umständen den falschen Schlüssel aus einer Liste mit mehreren.
• Im falschen Konto suchen. Der Schlüssel kann in einem Microsoft-Konto liegen, das Sie selten nutzen, in Ihrem Arbeitskonto oder im Konto der Person, die den PC eingerichtet hat.
• Den Schlüssel auf dem blauen Bildschirm aus dem Gedächtnis eintippen. Die 48 Ziffern müssen exakt stimmen. Lesen Sie sie vom anderen Bildschirm ab und geben Sie jeden Block sorgfältig ein.
• Das Gerät zu früh zurücksetzen. Ein Zurücksetzen löscht Ihre Dateien und ist die letzte Option, nicht die erste.
• Den Schlüssel herausgeben, ohne nach dem Grund zu fragen. Ein Administrator, der die Ursache übergeht, sieht sich womöglich nächste Woche derselben Abfrage gegenüber oder übersieht ein Sicherheitsproblem.

Verwandte Themen zum Vertiefen

• Sichern Sie den Schlüssel, bevor Sie ihn brauchen: Prüfen Sie jetzt, ob Ihr Microsoft-Konto oder Entra ID für jedes Gerät einen Schlüssel anzeigt. Das kostet heute zwei Minuten.
• Device Encryption im Vergleich zu BitLocker Drive Encryption: Windows Home erhält Device Encryption, während BitLocker Drive Encryption unter Pro, Enterprise und Education verfügbar ist, wie der Microsoft-Artikel zu Device Encryption erklärt.
• BitLocker vor Firmware-Updates anhalten: So vermeiden Sie eine Wiederherstellungsabfrage nach einem BIOS- oder TPM-Update.
• Wiederherstellungsschlüssel nach der Verwendung rotieren: Intune kann einen Schlüssel bei unterstützten Windows-Geräten bei Bedarf rotieren.
• BitLocker ausschalten: Manche Nutzer möchten ein Laufwerk vollständig entschlüsseln. Dafür gibt es eigene Schritte und Risiken.

Nächster Schritt

Um Ihren BitLocker-Wiederherstellungsschlüssel zu finden, notieren Sie zuerst die Schlüssel-ID und prüfen Sie dann Ihr Microsoft-Konto unter aka.ms/myrecoverykey oder Ihr Arbeitskonto unter aka.ms/aadrecoverykey. Öffnen Sie nach der Anmeldung dieselbe Seite erneut und bestätigen Sie, dass für jedes Ihrer Geräte ein Schlüssel hinterlegt ist. So dauert die nächste Abfrage zwei Minuten und nicht zwei Tage. Der Microsoft-Artikel zum Auffinden Ihres BitLocker-Wiederherstellungsschlüssels lohnt sich als Lesezeichen. Administratoren sollten zudem einmal den BitLocker-Wiederherstellungsprozess und die Intune-Anleitung zu BitLocker lesen.