BitLocker-herstelsleutel: waar vind je hem (account, Entra, IT)

By Mirko Peters · 2026-11-12

Vind je BitLocker-herstelsleutel in je Microsoft-account, je werkaccount, een uitgeprinte kopie of een usb-stick, en lees hoe beheerders hem ophalen via Entra ID of Intune.

Automatically translated with AI from the original post. Read the English original

Je BitLocker-herstelsleutel staat vrijwel altijd opgeslagen in een account, niet op de pc zelf. Open aka.ms/myrecoverykey op een ander apparaat en meld je aan met je Microsoft-account. Is de pc van je werkgever of school, gebruik dan aka.ms/aadrecoverykey met je werk- of schoolaccount. Toont geen van beide een sleutel, kijk dan naar een uitgeprinte kopie of een usb-stick, of vraag het na bij je IT-afdeling. Dit artikel is bedoeld voor Windows-gebruikers die voor het eerst het blauwe herstelscherm zien, en voor beheerders die zo'n melding van een gebruiker krijgen. Het legt uit waar je moet zoeken, hoe een beheerder sleutels ophaalt, waarom de melding verschijnt en wat er gebeurt als er geen sleutel bestaat.

Belangrijkste punten

• Zoek de BitLocker-herstelsleutel in je Microsoft-account via aka.ms/myrecoverykey, of voor een werk- of schoolapparaat via aka.ms/aadrecoverykey.
• Noteer de eerste 8 tekens van de sleutel-ID op het blauwe scherm, zodat je de juiste sleutel kunt kiezen als je account er meerdere bevat.
• De herstelsleutel is 48 cijfers lang, en Microsoft Support kan een verloren sleutel niet voor je ophalen, verstrekken of opnieuw aanmaken.
• Beheerders kunnen sleutels inzien in het Microsoft Entra-beheercentrum of het Intune-beheercentrum, en die opzoekacties laten een auditspoor achter.
• Bestaat er nergens een sleutel, dan is een reset de enige manier om het apparaat weer te gebruiken, en een reset verwijdert alle bestanden op de schijf.

Wat de herstelsleutel is en waarom je de sleutel-ID moet noteren

De herstelsleutel is een getal van 48 cijfers. De documentatie van Microsoft over herstel toont die als acht blokken van zes cijfers, en het herstelscherm bij het opstarten controleert elk blok terwijl je typt. De meeste typfouten worden dus meteen gevangen. BitLocker vraagt om de sleutel wanneer het de schijf niet automatisch kan openen. Dat gebeurt na een beveiligingsrisico of een hardwarewijziging, of wanneer je het wachtwoord voor een gegevensschijf bent vergeten.

Noteer voordat je iets anders doet de eerste 8 tekens van de sleutel-ID voor herstel die op het scherm staat. Heeft je account meer dan één sleutel, bijvoorbeeld omdat het apparaat één keer opnieuw is versleuteld of omdat je meerdere pc's hebt, dan is de sleutel-ID de manier om de juiste te kiezen. Maak indien mogelijk met je telefoon een foto van het scherm. Dat kost niets, en je hebt de ID twee keer nodig: één keer om de sleutel te vinden en één keer als je de IT-afdeling belt.

Nog één feit om nu al te weten. Het supportartikel van Microsoft zegt duidelijk dat Microsoft Support een verloren herstelsleutel niet kan ophalen, verstrekken of opnieuw aanmaken. Niemand bij Microsoft heeft een kopie. Daarom is de volgende sectie belangrijk.

Waar je je BitLocker-herstelsleutel vindt

De juiste plek hangt af van hoe BitLocker is ingeschakeld. Loop de opties in deze volgorde na.

1. Je Microsoft-account. Open op een ander apparaat een browser en ga naar https://aka.ms/myrecoverykey. Het artikel van Microsoft zegt dat de link verwijst naar de pagina met herstelsleutels in je account op account.microsoft.com. Meld je aan met je Microsoft-account, zoek de sleutel-ID die overeenkomt met die op je scherm, en gebruik die sleutel om de schijf te openen. Dit is het meest voorkomende geval op thuis-pc's, omdat Apparaatversleuteling BitLocker inschakelt wanneer je je aanmeldt met een Microsoft-account en de sleutel aan dat account koppelt.
2. Een werk- of schoolaccount. Ga op een ander apparaat naar https://aka.ms/aadrecoverykey en meld je aan met je werk- of schoolaccount. Selecteer Apparaten, vouw het apparaat uit dat je nodig hebt en selecteer BitLocker-sleutels weergeven. Zoek de sleutel die overeenkomt met je sleutel-id.
3. Een afdruk. Als je de sleutel hebt afgedrukt toen BitLocker werd ingeschakeld, kijk dan waar je belangrijke papieren voor het apparaat bewaart. Op de afdruk staat het sleutel-id naast de sleutel.
4. Een usb-stick. Steek de stick in het vergrendelde apparaat en volg de instructies op het scherm. Als de sleutel als tekstbestand op de stick is opgeslagen, open je het bestand op een ander apparaat.

Twee details uit het artikel van Microsoft besparen mensen veel tijd. Ten eerste: als iemand anders het apparaat heeft ingesteld of BitLocker heeft ingeschakeld, staat de sleutel mogelijk in het Microsoft-account van die persoon, bijvoorbeeld een gezinslid of een voormalige beheerder. Ten tweede toont het herstelscherm in Windows 11 versie 24H2 en later een hint over welk Microsoft-account aan de sleutel is gekoppeld. Lees die hint voordat je willekeurig accounts probeert.

De pagina behandelt ook apparaten die door een organisatie worden beheerd. Voor die apparaten haalt je IT-afdeling de sleutel op, dus verspil geen tijd aan gissen.

Hoe beheerders de BitLocker-herstelsleutel ophalen

Als je tot de helpdesk behoort, heb je meer opties dan de gebruiker. De BitLocker-herstel­documentatie van Microsoft noemt de locaties en rollen.

Microsoft Entra ID. Voor apparaten die zijn toegevoegd aan Microsoft Entra of hybride zijn toegevoegd, is het opslaan van sleutels in Entra ID de aanbevolen aanpak, zodat een BitLocker-beheerder of de helpdesk gebruikers kan helpen hun sleutels te krijgen. De rollen Cloud Device Administrator en Helpdesk Administrator zijn de gebruikelijke keuzes. Een aangepaste rol kan de machtiging microsoft.directory/bitlockerKeys/key/read gebruiken, eventueel beperkt tot administratieve eenheden. Je kunt sleutels lezen in het Microsoft Entra-beheercentrum, via de Microsoft Graph API of met PowerShell.

Self-service. Standaard kunnen gebruikers de sleutels van hun eigen apparaten ophalen op https://myaccount.microsoft.com: open het tabblad Apparaten, selecteer het apparaat en kies BitLocker-sleutels weergeven. Een beheerder kan dit uitschakelen met de instelling Gebruikers beperken om de BitLocker-sleutel(s) voor hun eigen apparaten te herstellen. Microsoft adviseert om self-service alleen in vertrouwde omgevingen toe te staan, of anders te vertrouwen op herstel via de helpdesk.

Intune. Ga in het Intune-beheercentrum naar Apparaten en vervolgens naar Alle apparaten. Selecteer het apparaat en kies onder Bewaken de optie Herstelsleutels. Selecteer daarna Herstelsleutel weergeven. In het Intune-artikel van Microsoft staat dat deze actie een auditlogregel aanmaakt onder de activiteit KeyManagement, zodat elke keer dat iemand een sleutel opvraagt te herleiden is. Hetzelfde artikel noemt Cloud Device Administrator, Helpdesk Administrator en Global Administrator als rollen die sleutels kunnen inzien.

Active Directory. Voor domein-gekoppelde apparaten die sleutels in AD DS opslaan, kunnen standaard alleen Domain Admins herstelinformatie lezen, al kan de toegang worden gedelegeerd. De BitLocker Recovery Password Viewer, onderdeel van de hulpprogramma's voor serverbeheer op afstand, voegt een tabblad BitLocker-herstel toe aan het computerobject. Je kunt ook zoeken op de eerste acht tekens van de wachtwoords-id.

Een goede stap voor de helpdesk is om te vragen waarom de prompt verscheen voordat je de sleutel uitgeeft. De volgende sectie legt dat uit.

Waarom BitLocker om de sleutel vroeg

De sleutel geven lost het probleem van vandaag op. De oorzaak vinden voorkomt het volgende telefoontje. Microsoft noemt deze triggers:

• Een onbekende of vergeten pincode, wanneer het apparaat een TPM plus pincode gebruikt.
• Een verloren opstartsleutel, wanneer het apparaat een usb-opstartsleutel gebruikt.
• Wijzigingen aan opstartbestanden of firmware, zoals een BIOS-upgrade, of mogelijk schadelijke software.
• Een station met een besturingssysteemvolume en een TPM-beveiligingsmethode verplaatsen naar een ander apparaat. Dat koppelt het aan de nieuwe TPM en vraagt om herstel.

Microsoft's artikel raadt helpdeskmedewerkers aan om eerst de grondoorzaak te achterhalen voordat ze de sleutel verstrekken. Handige startpunten zijn manage-bde.exe -status en het gebeurtenislogboek. Vermoed je malware, behandel het apparaat dan als beveiligingsincident en niet als een routinematige vergrendeling.

Na een geslaagd herstel schrijft Windows een gebeurtenis naar het logboek, zet het de TPM-meetwaarden voor platformvalidatie opnieuw op basis van de huidige configuratie en geeft het de versleutelingssleutel vrij. Blijft de prompt terugkomen, dan adviseert Microsoft om BitLocker te onderbreken en weer te hervatten; dat reset het validatieprofiel. Voor apparaten met automatische rotatie van herstelwachtwoorden wordt het wachtwoord na gebruik gewisseld, en beheerders kunnen het ook op verzoek roteren via Intune of Configuration Manager. Dat is belangrijk als je een sleutel in een ticket hebt geplakt, want de oude sleutel is voor dat apparaat niet meer geldig zodra hij is geroteerd.

Als je de sleutel niet kunt vinden

Controleer eerst al je accounts, ook oude, en die van degene die de pc heeft ingesteld. Kijk daarna in je uitgeprinte documenten en op usb-sticks. Voor een beheerd apparaat is je IT-afdeling de enige weg.

Als je de sleutel niet kunt vinden en de wijziging die de prompt veroorzaakte niet ongedaan kunt maken, moet je volgens het Microsoft-artikel het apparaat resetten via een Windows-herstelopties. Daarbij verwijder je al je bestanden. De versleutelde bestanden zijn zonder sleutel niet leesbaar, dus start pas een reset nadat je iedereen hebt gevraagd die de sleutel mogelijk heeft.

Veelgemaakte fouten

• Het sleutel-ID niet opschrijven. Zonder dat ID kun je de verkeerde sleutel uit een lijst van meerdere proberen.
• In het verkeerde account zoeken. De sleutel kan staan in een Microsoft-account die je zelden gebruikt, in je werkaccount of in het account van degene die de pc heeft ingesteld.
• De sleutel uit het hoofd intypen op het blauwe scherm. De 48 cijfers moeten exact kloppen. Lees ze af van het andere scherm en typ elk blok zorgvuldig over.
• Het apparaat te vroeg resetten. Een reset wist je bestanden en is het laatste redmiddel, niet het eerste.
• De sleutel verstrekken zonder te vragen waarom. Een beheerder die de grondoorzaak overslaat, krijgt volgende week misschien dezelfde prompt, of mist een beveiligingsprobleem.

Gerelateerde onderwerpen om te verkennen

• Maak de back-up van de sleutel voordat je hem nodig hebt: controleer nu of je Microsoft-account of Entra ID voor elk apparaat een sleutel toont. Dat kost vandaag twee minuten.
• Apparaatversleuteling versus BitLocker Drive Encryption: Windows Home krijgt apparaatversleuteling, terwijl BitLocker Drive Encryption beschikbaar is op Pro, Enterprise en Education, zoals het Microsoft-artikel over apparaatversleuteling uitlegt.
• Onderbreek BitLocker vóór firmware-updates: zo voorkom je een herstelprompt na een BIOS- of TPM-update.
• Roteer herstelsleutels na gebruik: Intune kan een sleutel op verzoek roteren voor ondersteunde Windows-apparaten.
• BitLocker uitschakelen: sommige gebruikers willen een schijf volledig ontsleutelen, wat eigen stappen en risico's heeft.

Volgende stap

Om je BitLocker-herstelsleutel te vinden, schrijf je eerst het sleutel-ID op en controleer je daarna je Microsoft-account op aka.ms/myrecoverykey of je werkaccount op aka.ms/aadrecoverykey. Open na het inloggen dezelfde pagina opnieuw en controleer of voor elk van je apparaten een sleutel is opgeslagen, zodat de volgende prompt twee minuten kost in plaats van twee dagen. Het Microsoft-artikel over hoe je je BitLocker-herstelsleutel vindt is het bookmarken waard, en beheerders doen er goed aan de BitLocker-herstelprocedure en de Intune-richtlijnen voor BitLocker eenmaal door te lezen.