BitLocker uitschakelen: beveiliging pauzeren of het station ontsleutelen

By Mirko Peters · 2026-11-12

BitLocker uitschakelen: wanneer je de beveiliging kunt onderbreken, wanneer je ontsleutelt met Disable-BitLocker of manage-bde -off, en wat er verandert op beheerde apparaten.

Automatically translated with AI from the original post. Read the English original

Om BitLocker op het systeemstation uit te schakelen, open je PowerShell als beheerder en voer je Disable-BitLocker -MountPoint "C:" uit. Hetzelfde doe je op de opdrachtregel met manage-bde -off C:. Beide verwijderen de sleutelbeveiligers en starten het ontsleutelen van het station op de achtergrond. Als je alleen langs een firmware-update of hardwarewijziging moet, wil je dit helemaal niet. Dan wil je de beveiliging onderbreken, wat tijdelijk is en de gegevens versleuteld houdt. Dit artikel is bedoeld voor Windows-gebruikers die BitLocker kwijt willen en voor beheerders die dat verzoek krijgen. Het legt het verschil uit, de exacte opdrachten, hoe je de voortgang controleert, en waarom een beheerd apparaat het ontsleutelen mogelijk niet toestaat.

Belangrijkste punten

• BitLocker onderbreken is tijdelijk en houdt het station versleuteld, terwijl BitLocker uitschakelen het hele station ontsleutelt en de sleutelbeveiligers verwijdert.
• Om het systeemstation te ontsleutelen, voer je Disable-BitLocker -MountPoint C: uit in PowerShell als beheerder, of manage-bde -off C: op een opdrachtprompt met beheerdersrechten.
• Gebruik Suspend-BitLocker vóór firmware- of TPM-updates, zodat Windows bij de volgende herstart niet om de herstelsleutel vraagt.
• Op een apparaat dat door je organisatie wordt beheerd, kan beleid versleuteling verplicht stellen. Vraag dus eerst je IT-afdeling voordat je iets ontsleutelt.
• Controleer de voortgang met Get-BitLockerVolume. Die toont de volumestatus, de beveiligingsstatus en het versleutelingspercentage.

Onderbreken of ontsleutelen: kies voordat je iets intypt

Twee verschillende acties worden allebei ‘uitschakelen’ genoemd, en het door elkaar halen ervan veroorzaakt de meeste problemen.

Onderbreken van de beveiliging pauzeert BitLocker voor even. Het station blijft versleuteld en je kunt het op elk moment hervatten. Microsoft adviseert dit vóór updates van niet-Microsoft-software die opstartcomponenten wijzigen, zoals firmware-updates van fabrikanten en TPM-firmware-updates. Als je het onderbreken overslaat, herkent het systeem de BitLocker-sleutel volgens Microsoft niet meer, en wordt je bij de volgende herstart en bij elke herstart daarna om de herstelsleutel gevraagd.

Ontsleutelen is wat de PowerShell- en manage-bde-opdrachten doen. Ze verwijderen alle sleutelbeveiligers en beginnen met het ontsleutelen van het volume. De BitLocker-handleiding van Microsoft geeft een duidelijke regel: ontsleutelen hoort bij het geval waarin de beveiliging niet langer nodig is, en niet bij het oplossen van problemen.

Stel jezelf dus één vraag. Wil je het station voorgoed onbeveiligd, of wil je het alleen een paar minuten uit de weg hebben? Voor een firmware-update, een BIOS-wijziging of een reparatietaak onderbreek je de beveiliging. Als iemand zegt dat de laptop ‘sneller is zonder’, meet dat dan na voordat je een apparaat met bedrijfsgegevens ontsleutelt. Mijn advies: houd de versleuteling aan op elke laptop die het pand verlaat.

BitLocker onderbreken voor een update, daarna hervatten

Dit kost een minuut en voorkomt een vraag om de herstelsleutel. Microsoft beschrijft zowel de route via het Configuratiescherm als de route via PowerShell.

Configuratiescherm:

1. Open het Configuratiescherm.
2. Selecteer Systeem en beveiliging, vervolgens BitLocker-stationsversleuteling en daarna Beveiliging onderbreken.
3. Selecteer Ja.
4. Ga na de update naar dezelfde plek, selecteer Beveiliging hervatten en selecteer Ja.

PowerShell, geopend als beheerder:

1. Voer Suspend-BitLocker -MountPoint "C:" -RebootCount 0 uit.
2. Installeer de update en herstart zo vaak als nodig is.
3. Voer Resume-BitLocker -MountPoint "C:" uit.

De parameter -RebootCount bepaalt hoeveel herstarts er mogen plaatsvinden voordat BitLocker zichzelf weer inschakelt. Geldige waarden zijn 0 tot en met 15. Met een waarde van 0 blijft de beveiliging uitgeschakeld tot je die handmatig hervat, en dan moet je die laatste stap dus zelf onthouden. Microsoft merkt ook op dat hervatten alleen werkt op apparaten die de Windows-licentieovereenkomst (EULA) hebben geaccepteerd.

BitLocker uitschakelen: een schijf ontsleutelen met PowerShell of manage-bde

Het ontsleutelen kost één opdracht per schijf. Open PowerShell of een opdrachtprompt als beheerder, want BitLocker-bewerkingen vereisen dat.

1. Controleer eerst de huidige status. Voer Get-BitLockerVolume C: | fl uit in PowerShell. De uitvoer bevat VolumeStatus, ProtectionStatus, LockStatus en EncryptionPercentage. Een volledig versleutelde en beveiligde schijf toont FullyEncrypted en On.
2. Ontsleutel de schijf. Voer in PowerShell Disable-BitLocker -MountPoint "C:" uit. BitLocker begint direct met het ontsleutelen van C:. In een opdrachtprompt is het equivalent manage-bde -off C:. Volgens de beschrijving van Microsoft ontsleutelt het de schijf en schakelt het BitLocker uit, en worden alle sleutelbeveiligers verwijderd zodra het ontsleutelen klaar is.
3. Volg de voortgang. Voer Get-BitLockerVolume C: opnieuw uit, of manage-bde -status, en let op het versleutelingspercentage. De Microsoft-pagina's die ik heb bekeken geven geen typische duur, dus ik ga er niet naar gissen. Het hangt af van hoeveel gegevens de schijf bevat en hoe druk het apparaat is. Je kunt intussen gewoon doorwerken.
4. Controleer het resultaat. Wanneer het ontsleutelen klaar is, toont de volumestatus de schijf als volledig ontsleuteld, en is de beveiliging uitgeschakeld.

Enkele variaties op de voorbeelden van Microsoft:

• Meerdere schijven tegelijk. $BLV = Get-BitLockerVolume gevolgd door Disable-BitLocker -MountPoint $BLV schakelt BitLocker uit op alle volumes. De handleiding laat ook Disable-BitLocker -MountPoint C,D zien voor benoemde schijven.
• Een testrun. Disable-BitLocker ondersteunt -WhatIf, waarmee je ziet wat er zou gebeuren zonder dat het daadwerkelijk gebeurt. Op een server is dat een handige gewoonte.
• Automatische sleutels voor gegevensschijven. Als het besturingssysteemvolume automatische sleutels heeft die het bij het opstarten ontgrendelen, gaat Disable-BitLocker niet door. Voer eerst Clear-BitLockerAutoUnlock uit en schakel daarna BitLocker uit op het volume. Microsoft zegt niet hoe deze sleutels meestal worden aangemaakt, dus controleer de uitvoer van de cmdlet als je hier tegenaan loopt.
• Een andere computer. manage-bde accepteert een parameter -computername om de beveiliging op een ander apparaat te wijzigen.

Je vindt de details in de naslagpagina Disable-BitLocker en de pagina manage-bde -off van Microsoft.

Een opmerking over de app Instellingen en Windows Home. Windows Home bevat geen BitLocker-stationsversleuteling. Daarin zit wel apparaatversleuteling (Device Encryption), die Windows inschakelt wanneer je je aanmeldt met een Microsoft-account of een werk- of schoolaccount. Je beheert die in Instellingen, onder Privacy en beveiliging, Apparaatversleuteling. Het Microsoft-artikel dat ik heb bekeken beschrijft hoe je apparaatversleuteling inschakelt, maar documenteert de stappen om het uit te schakelen niet. Kijk dus naar de schakelaar op je eigen apparaat en lees de tekst op het scherm voordat je iets wijzigt.

Gegevensschijven, USB-schijven en BitLocker weer inschakelen

De opdrachten werken per volume, dus dezelfde stappen gelden voor een datastation of een USB-stick. Het Configuratiescherm-onderdeel toont drie groepen: Besturingssysteemstation, Vaste gegevensstations en Verwisselbare gegevensstations - BitLocker To Go. Met manage-bde -off geef je het volume aan met de stationsletter gevolgd door een dubbele punt, bijvoorbeeld manage-bde -off E:. Microsoft accepteert hier ook een volume-GUID-pad of een gekoppeld volume. Vervang de letter door die welke Verkenner voor jouw station toont, en controleer dat nog eens, want het verwijderen van de versleuteling van het verkeerde volume kost je onnodig tijd.

Het ontsleutelen van een verwisselbaar station heeft één praktisch gevolg. Zodra het klaar is, kan iedereen die de stick in een pc steekt de bestanden lezen, zonder wachtwoord. Bepaal dus eerst of de gegevens erop beschermd moeten blijven.

Je kunt BitLocker later weer inschakelen. Het ondersteuningsartikel van Microsoft over BitLocker-stationsversleuteling beschrijft de weg: open het onderdeel, selecteer BitLocker inschakelen naast het station, kies hoe het station beveiligd wordt en maak een back-up van de herstelsleutel. De versleuteling loopt daarna op de achtergrond, en je kunt het apparaat blijven gebruiken terwijl het klaarkomt. Behandel het als een nieuwe installatie, niet als een ‘hervatting’. Alle eerdere sleutelbeveiligers zijn verwijderd toen je ontsleutelde, dus de herstelsleutel die je eerder bewaarde geldt niet voor de nieuwe versleuteling. Bewaar de nieuwe sleutel op een plek die je vanaf een ander apparaat kunt bereiken, en controleer met de instructies voor het vinden van een herstelsleutel dat de nieuwe sleutel echt in je account verschijnt.

Apparaten beheerd door je organisatie

Je IT-afdeling beheert BitLocker meestal zelf, en het organisatiebeleid kan versleuteling verplicht stellen. Dat is het eerste wat je controleert op een werklaptop. Als een beleid versleuteling vereist, kan een handmatige ontsleuteling ongedaan worden gemaakt, of ervoor zorgen dat het apparaat niet langer voldoet aan de compliancevereisten.

Als je apparaten beheert met Intune, staan de BitLocker-instellingen in een beleid voor schijfversleuteling via endpointbeveiliging. Voor stille versleuteling noemt de richtlijn van Microsoft instellingen zoals Apparaatversleuteling vereisen ingesteld op Ingeschakeld. Het artikel van Microsoft zegt niet wat er gebeurt met een versleuteld apparaat wanneer je het beleid verwijdert of de toewijzing ongedaan maakt, en het beschrijft geen manier om via Intune te ontsleutelen. Ga er dus niet van uit dat het ongedaan maken van een toewijzing iets ontsleutelt. Test het op één apparaat en lees het resultaat af met Get-BitLockerVolume.

Eén uitspraak uit het Intune-artikel is het onthouden waard. Als je het Intune-object verwijdert van een apparaat dat is toegevoegd aan Microsoft Entra en beschermd wordt door BitLocker, synchroniseert Intune en verwijdert het de sleutelbeveiligers voor het besturingssysteemvolume, waardoor BitLocker op dat volume in een opgeschorte status komt. Een apparaatrecord verwijderen om 'op te ruimen' is dus niet zonder risico.

Veelgemaakte fouten

• Ontsleutelen om een opstartprobleem op te lossen. Volgens Microsoft is ontsleutelen geen probleemoplossingsstap. Opschorten, repareren, hervatten.
• Vergeten te hervatten na een opschorting. Met -RebootCount 0 blijft de beveiliging uit totdat je Resume-BitLocker uitvoert. Neem dit op in je updatechecklist.
• De herstelsleutel onbekend laten. Als je ontsleutelt en BitLocker later opnieuw inschakelt, krijg je een nieuwe set beveiligers. Vertrouw niet op een oude uitprint.
• Een laptop met bedrijfsgegevens ontsleutelen. Het station is dan leesbaar voor iedereen die het apparaat meeneemt. Doe dit alleen als het beleid het toestaat.
• De stap voor automatische sleutels overslaan. Disable-BitLocker weigert te draaien totdat de opschoon-cmdlet uit de lijst hierboven die sleutels heeft verwijderd.
• Aannemen dat het Intune-beleid ontsleutelt. De documentatie van Microsoft zegt dat niet, dus controleer het op een testapparaat.

Gerelateerde onderwerpen om te verkennen

• Zoek de herstelsleutel op voordat je iets wijzigt: als een firmware-update of hardwarewijziging het blauwe scherm veroorzaakt, is de herstelsleutel de enige manier om weer binnen te komen.
• Schort BitLocker op voor BIOS- en TPM-updates: dit is het veiligere alternatief voor het uitschakelen van de versleuteling.
• Stille BitLocker-uitrol met Intune: de instellingen voor TPM, Secure Boot en standaardgebruikers bepalen of de versleuteling start zonder melding.
• Apparaatversleuteling versus BitLocker-stationsversleuteling: de twee functies verschillen per editie, en dat verschil bepaalt waar je ze beheert.
• Controleer de versleutelingsstatus op veel pc's: Get-BitLockerVolume levert de gegevens voor een eenvoudig rapport.

Volgende stap

Om BitLocker uit te schakelen, bepaal je eerst of je het moet onderbreken of moet ontsleutelen. Onderbreek het voor updates en reparaties, en ontsleutel met Disable-BitLocker of manage-bde -off alleen als het station geen bescherming meer nodig heeft en het beleid dat toestaat. Controleer daarna Get-BitLockerVolume totdat het volume aangeeft dat het ontsleutelen is voltooid.