BitLocker deaktivieren: Schutz anhalten oder Laufwerk entschlüsseln

Von Mirko Peters · 2026-11-12

BitLocker deaktivieren: wann Sie den Schutz anhalten, wann Sie ihn mit Disable-BitLocker oder manage-bde -off entschlüsseln und was sich auf verwalteten Geräten ändert.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Um BitLocker auf dem Systemlaufwerk zu deaktivieren, öffnen Sie PowerShell als Administrator und führen Disable-BitLocker -MountPoint "C:" aus. Dieselbe Aufgabe erledigen Sie in der Eingabeaufforderung mit manage-bde -off C:. Beide Befehle entfernen die Schlüsselschutzvorrichtungen und starten die Entschlüsselung des Laufwerks im Hintergrund. Wenn Sie nur ein Firmware-Update oder einen Hardwarewechsel überstehen müssen, brauchen Sie diesen Schritt gar nicht. Dann möchten Sie den Schutz anhalten, was nur vorübergehend wirkt und die Daten verschlüsselt lässt. Dieser Artikel richtet sich an Windows-Anwender, die BitLocker entfernen möchten, und an Administratoren, die eine solche Anfrage erhalten. Er erklärt den Unterschied, die genauen Befehle, wie Sie den Fortschritt prüfen und warum sich ein verwaltetes Gerät möglicherweise nicht entschlüsseln lässt.

Das Wichtigste in Kürze

• Das Anhalten von BitLocker ist vorübergehend und lässt das Laufwerk verschlüsselt, während das Ausschalten von BitLocker das gesamte Laufwerk entschlüsselt und seine Schlüsselschutzvorrichtungen entfernt.
• Um das Systemlaufwerk zu entschlüsseln, führen Sie in PowerShell als Administrator Disable-BitLocker -MountPoint C: aus oder an einer Eingabeaufforderung mit Administratorrechten manage-bde -off C:.
• Verwenden Sie Suspend-BitLocker vor Firmware- oder TPM-Updates, damit Windows beim nächsten Neustart nicht nach dem Wiederherstellungsschlüssel fragt.
• Auf einem Gerät, das Ihre Organisation verwaltet, kann eine Richtlinie die Verschlüsselung vorschreiben. Fragen Sie deshalb die IT, bevor Sie etwas entschlüsseln.
• Den Fortschritt prüfen Sie mit Get-BitLockerVolume. Der Befehl zeigt den Volumestatus, den Schutzstatus und den Verschlüsselungsanteil an.

Anhalten oder entschlüsseln: Entscheiden Sie, bevor Sie etwas eingeben

Zwei unterschiedliche Aktionen werden beide als „deaktivieren“ bezeichnet. Wenn Sie sie verwechseln, entstehen die meisten Probleme.

Das Anhalten des Schutzes pausiert BitLocker für eine gewisse Zeit. Das Laufwerk bleibt verschlüsselt, und Sie können den Schutz jederzeit fortsetzen. Microsoft empfiehlt das vor Updates von Drittanbietersoftware, die Startkomponenten verändern, etwa Firmware-Updates der Hersteller und TPM-Firmware-Updates. Wenn Sie das Anhalten auslassen, erkennt das System laut Microsoft den BitLocker-Schlüssel nicht mehr. Dann werden Sie beim nächsten Neustart und bei jedem weiteren Neustart nach dem Wiederherstellungsschlüssel gefragt.

Das Entschlüsseln erfolgt mit den PowerShell- und manage-bde-Befehlen. Dabei werden alle Schlüsselschutzvorrichtungen entfernt und die Entschlüsselung des Volumes gestartet. Die Anleitung für BitLocker-Vorgänge von Microsoft formuliert eine klare Regel: Die Entschlüsselung gehört in Fälle, in denen der Schutz nicht mehr benötigt wird, nicht zur Fehlerbehebung.

Stellen Sie sich deshalb eine Frage: Soll das Laufwerk dauerhaft ungeschützt sein, oder nur für einige Minuten aus dem Weg? Bei einem Firmware-Update, einer BIOS-Änderung oder einer Reparatur halten Sie den Schutz an. Wenn jemand behauptet, der Laptop sei „ohne schneller“, prüfen Sie diese Aussage, bevor Sie ein Gerät mit Unternehmensdaten entschlüsseln. Meine Empfehlung: Lassen Sie die Verschlüsselung auf jedem Laptop aktiv, der das Unternehmen verlässt.

BitLocker für ein Update anhalten und danach fortsetzen

Das dauert nur eine Minute und vermeidet eine Wiederherstellungsabfrage. Microsoft dokumentiert sowohl den Weg über die Systemsteuerung als auch den Weg über PowerShell.

Systemsteuerung:

1. Öffnen Sie die Systemsteuerung.
2. Wählen Sie System und Sicherheit, dann BitLocker-Laufwerkverschlüsselung und anschließend Schutz anhalten.
3. Wählen Sie Ja.
4. Gehen Sie nach dem Update zur gleichen Stelle, wählen Sie Schutz fortsetzen und anschließend Ja.

PowerShell, als Administrator geöffnet:

1. Führen Sie Suspend-BitLocker -MountPoint "C:" -RebootCount 0 aus.
2. Installieren Sie das Update und starten Sie so oft neu, wie es erforderlich ist.
3. Führen Sie Resume-BitLocker -MountPoint "C:" aus.

Der Parameter -RebootCount legt fest, wie viele Neustarts erfolgen dürfen, bevor BitLocker sich wieder selbst aktiviert. Gültige Werte sind 0 bis 15. Der Wert 0 hält den Schutz ausgesetzt, bis Sie ihn manuell fortsetzen. Denken Sie dann daran, den letzten Schritt auszuführen. Microsoft weist außerdem darauf hin, dass das Fortsetzen nur auf Geräten funktioniert, die die Windows-Lizenzbedingungen (EULA) akzeptiert haben.

So deaktivieren Sie BitLocker: Laufwerk mit PowerShell oder manage-bde entschlüsseln

Das Entschlüsseln erfordert pro Laufwerk einen Befehl. Öffnen Sie PowerShell oder die Eingabeaufforderung als Administrator, da BitLocker-Vorgänge diese Rechte benötigen.

1. Prüfen Sie den Ausgangszustand. Führen Sie in PowerShell Get-BitLockerVolume C: | fl aus. Die Ausgabe enthält VolumeStatus, ProtectionStatus, LockStatus und EncryptionPercentage. Ein vollständig verschlüsseltes, geschütztes Laufwerk zeigt FullyEncrypted und On an.
2. Entschlüsseln Sie das Laufwerk. Führen Sie in PowerShell Disable-BitLocker -MountPoint "C:" aus. BitLocker beginnt sofort, C: zu entschlüsseln. In der Eingabeaufforderung entspricht dem manage-bde -off C:. Laut Microsoft wird das Laufwerk entschlüsselt und BitLocker deaktiviert; nach Abschluss der Entschlüsselung werden alle Schlüsselschutzmechanismen entfernt.
3. Überwachen Sie den Fortschritt. Führen Sie Get-BitLockerVolume C: erneut aus oder verwenden Sie manage-bde -status, und prüfen Sie den Verschlüsselungsprozentsatz. Die von mir geprüften Microsoft-Seiten nennen keine typische Dauer, daher sollten Sie nicht schätzen. Sie hängt davon ab, wie viele Daten das Laufwerk enthält und wie stark das Gerät ausgelastet ist. Sie können während des Vorgangs weiterarbeiten.
4. Prüfen Sie das Ergebnis. Ist die Entschlüsselung abgeschlossen, zeigt der Volumestatus das Laufwerk als vollständig entschlüsselt an, und der Schutz ist deaktiviert.

Einige Abweichungen von den Beispielen aus Microsofts Dokumentation:

• Mehrere Laufwerke gleichzeitig. $BLV = Get-BitLockerVolume gefolgt von Disable-BitLocker -MountPoint $BLV deaktiviert BitLocker auf allen Volumes. Der Leitfaden zu den Vorgängen zeigt außerdem Disable-BitLocker -MountPoint C,D für bestimmte Laufwerke.
• Ein Testlauf. Disable-BitLocker unterstützt -WhatIf, wodurch angezeigt wird, was passieren würde, ohne es auszuführen. Auf einem Server ist das eine nützliche Gewohnheit.
• Automatische Schlüssel für Datenlaufwerke. Wenn das Betriebssystemvolume automatische Schlüssel besitzt, mit denen es beim Start entsperrt wird, wird Disable-BitLocker nicht ausgeführt. Führen Sie zuerst Clear-BitLockerAutoUnlock aus und deaktivieren Sie BitLocker anschließend für das Volume. Microsoft erklärt nicht, wie diese Schlüssel normalerweise dorthin gelangen. Prüfen Sie daher die Ausgabe des Cmdlets, falls Sie darauf stoßen.
• Ein anderer Computer. manage-bde akzeptiert einen Parameter -computername, um den Schutz auf einem anderen Gerät zu ändern.

Die Details finden Sie in Microsofts Referenz zu Disable-BitLocker und auf der Seite manage-bde -off.

Ein Hinweis zur App „Einstellungen“ und zu Windows Home. Windows Home enthält kein BitLocker-Laufwerkverschlüsselung. Stattdessen gibt es die Geräteverschlüsselung, die Windows aktiviert, wenn Sie sich mit einem Microsoft-Konto oder einem Geschäfts- bzw. Schulkonto anmelden. Verwalten können Sie sie unter Einstellungen, im Bereich Datenschutz und Sicherheit, Geräteverschlüsselung. Der von mir geprüfte Microsoft-Artikel beschreibt, wie sie aktiviert wird, dokumentiert aber nicht die Schritte zum Deaktivieren. Prüfen Sie daher den Schalter auf Ihrem Gerät und lesen Sie den Text auf dem Bildschirm, bevor Sie etwas ändern.

Datenlaufwerke, USB-Laufwerke und das erneute Aktivieren von BitLocker

Die Befehle wirken jeweils auf ein Volume, daher gelten dieselben Schritte für ein Datenlaufwerk oder einen USB-Stick. Das Systemsteuerungs-Applet zeigt drei Gruppen: Betriebssystemlaufwerk, Feste Datenlaufwerke und Wechseldatenlaufwerke - BitLocker To Go. Mit manage-bde -off geben Sie das Volume über den Laufwerksbuchstaben gefolgt von einem Doppelpunkt an, zum Beispiel manage-bde -off E:. Microsoft akzeptiert dort auch einen Volume-GUID-Pfad oder ein bereitgestelltes Volume. Ersetzen Sie den Buchstaben durch den, den der Explorer für Ihr Laufwerk anzeigt, und prüfen Sie ihn doppelt, denn die falsche Entschlüsselung kostet Zeit.

Die Entschlüsselung eines Wechseldatenträgers hat eine praktische Konsequenz. Sobald sie abgeschlossen ist, kann jeder, der den Stick an einen PC anschließt, die Dateien ohne Kennwort lesen. Entscheiden Sie daher zuerst, ob die Daten darauf geschützt bleiben sollen.

Sie können BitLocker später wieder aktivieren. Der Supportartikel von Microsoft zur BitLocker-Laufwerkverschlüsselung beschreibt den Weg: Öffnen Sie das Applet, wählen Sie neben dem Laufwerk BitLocker aktivieren und legen Sie fest, wie das Laufwerk geschützt wird. Sichern Sie anschließend den Wiederherstellungsschlüssel. Die Verschlüsselung läuft dann im Hintergrund, und Sie können das Gerät weiter nutzen, während sie abgeschlossen wird. Behandeln Sie das als neue Einrichtung und nicht als „Fortsetzen“. Beim Entschlüsseln wurden alle früheren Schutzmethoden entfernt, daher gilt der zuvor gespeicherte Wiederherstellungsschlüssel nicht für die neue Verschlüsselung. Speichern Sie den neuen Schlüssel an einem Ort, den Sie von einem anderen Gerät aus erreichen, und prüfen Sie anhand der Anleitung zum Finden eines Wiederherstellungsschlüssels, ob der neue Schlüssel tatsächlich in Ihrem Konto erscheint.

Von Ihrer Organisation verwaltete Geräte

Ihre IT-Abteilung verwaltet BitLocker in der Regel selbst, und eine Organisationsrichtlinie kann eine Verschlüsselung vorschreiben. Das ist das Erste, was Sie auf einem Firmenlaptop prüfen sollten. Wenn eine Richtlinie die Verschlüsselung verlangt, kann eine manuelle Entschlüsselung rückgängig gemacht werden oder dazu führen, dass das Gerät als nicht richtlinienkonform gilt.

Wenn Sie Geräte mit Intune verwalten, liegen die BitLocker-Einstellungen in einer Richtlinie für die Festplattenverschlüsselung im Endpunktsicherheitsbereich. Für die stille Verschlüsselung nennt die Anleitung von Microsoft Einstellungen wie Geräteverschlüsselung erforderlich, auf „Aktiviert“ gesetzt. Der Artikel von Microsoft sagt nicht, was mit einem verschlüsselten Gerät passiert, wenn Sie die Richtlinie entfernen oder die Zuweisung aufheben. Er beschreibt auch keine Möglichkeit, über Intune zu entschlüsseln. Nehmen Sie daher nicht an, dass das Aufheben einer Zuweisung irgendetwas entschlüsselt. Testen Sie es auf einem Gerät und prüfen Sie das Ergebnis mit Get-BitLockerVolume.

Eine Aussage aus dem Intune-Artikel sollten Sie sich merken. Wenn Sie das Intune-Objekt eines Microsoft Entra-verbundenen Geräts löschen, das BitLocker schützt, synchronisiert Intune und entfernt die Schutzmethoden für das Betriebssystemvolume. Dadurch wird BitLocker auf diesem Volume angehalten. Ein Gerätedatensatz zu löschen, um „aufzuräumen“, ist deshalb nicht harmlos.

Häufige Fehler

• Entschlüsselung zur Behebung eines Startproblems. Microsoft stellt klar, dass das Entschlüsseln kein Schritt zur Fehlerbehebung ist. Anhalten, reparieren, fortsetzen.
• Vergessenes Fortsetzen nach dem Anhalten. Mit -RebootCount 0 bleibt der Schutz deaktiviert, bis Sie Resume-BitLocker ausführen. Nehmen Sie das in Ihre Update-Checkliste auf.
• Unbekannter Wiederherstellungsschlüssel. Wenn Sie entschlüsseln und BitLocker später wieder aktivieren, erhalten Sie einen neuen Satz Schutzmethoden. Verlassen Sie sich nicht auf einen alten Ausdruck.
• Entschlüsselung eines Laptops mit Unternehmensdaten. Das Laufwerk ist dann für jeden lesbar, der das Gerät in die Hand bekommt. Tun Sie das nur, wenn die Richtlinie es erlaubt.
• Überspringen des Schritts zu den automatischen Schlüsseln. Disable-BitLocker lässt sich erst ausführen, wenn das oben genannte Bereinigungs-Cmdlet diese Schlüssel entfernt hat.
• Annahme, dass die Intune-Richtlinie entschlüsselt. Die Dokumentation von Microsoft sagt das nicht. Überprüfen Sie es daher auf einem Testgerät.

Verwandte Themen zum Vertiefen

• Sichern Sie den Wiederherstellungsschlüssel vor Änderungen: Wenn ein Firmware-Update oder ein Hardwarewechsel den Bluescreen auslöst, ist der Wiederherstellungsschlüssel der einzige Weg zurück.
• Setzen Sie BitLocker für BIOS- und TPM-Updates vorübergehend aus: Das ist die sicherere Alternative dazu, die Verschlüsselung auszuschalten.
• Stille BitLocker-Bereitstellung mit Intune: Die Einstellungen für TPM, Secure Boot und Standardbenutzer entscheiden darüber, ob die Verschlüsselung ohne Abfrage startet.
• Geräteverschlüsselung versus BitLocker-Laufwerkverschlüsselung: Die beiden Funktionen unterscheiden sich je nach Edition, und dieser Unterschied bestimmt, wo Sie sie verwalten.
• Verschlüsselungsstatus auf vielen PCs prüfen: Get-BitLockerVolume liefert die Daten für einen einfachen Bericht.

Nächster Schritt

Um BitLocker zu deaktivieren, entscheiden Sie zuerst, ob Sie es anhalten oder entschlüsseln müssen. Halten Sie es für Updates und Reparaturen an. Entschlüsseln Sie mit Disable-BitLocker oder manage-bde -off nur dann, wenn das Laufwerk keinen Schutz mehr benötigt und die Richtlinie dies zulässt. Prüfen Sie anschließend mit Get-BitLockerVolume, bis das Volume meldet, dass die Entschlüsselung abgeschlossen ist.