Jak wyłączyć BitLocker: wstrzymać lub odszyfrować dysk

By Mirko Peters · 2026-11-12

Jak wyłączyć BitLocker: kiedy wstrzymać ochronę, kiedy ją odszyfrować za pomocą Disable-BitLocker lub manage-bde -off oraz co zmienia się na urządzeniach zarządzanych.

Automatically translated with AI from the original post. Read the English original

Aby wyłączyć BitLocker na dysku systemowym, otwórz Windows PowerShell jako administrator i uruchom polecenie Disable-BitLocker -MountPoint "C:". Ten sam efekt w wierszu polecenia uzyskasz poleceniem manage-bde -off C:. Oba sposoby usuwają protektory kluczy i w tle rozpoczynają odszyfrowywanie dysku. Jeśli potrzebujesz jedynie przejść przez aktualizację oprogramowania sprzętowego lub zmianę sprzętu, nie chcesz tego robić. Powinieneś wstrzymać ochronę, która jest tymczasowa i zachowuje zaszyfrowanie danych. Artykuł jest przeznaczony dla użytkowników systemu Windows, którzy chcą całkowicie usunąć BitLockera, oraz dla administratorów, którzy otrzymują takie żądanie. Wyjaśnia różnicę, dokładne polecenia, sposób sprawdzania postępu oraz przyczyny, dla których na urządzeniu zarządzanym odszyfrowanie może być niedostępne.

Najważniejsze wnioski

• Wstrzymanie BitLockera jest tymczasowe i zachowuje zaszyfrowanie dysku, natomiast wyłączenie BitLockera odszyfrowuje cały dysk i usuwa jego protektory kluczy.
• Aby odszyfrować dysk systemowy, uruchom w Windows PowerShell jako administrator polecenie Disable-BitLocker -MountPoint C: lub polecenie manage-bde -off C: w wierszu polecenia z uprawnieniami administratora.
• Przed aktualizacjami oprogramowania sprzętowego lub TPM użyj polecenia Suspend-BitLocker, aby system Windows nie żądał klucza odzyskiwania przy następnym uruchomieniu.
• Na urządzeniu zarządzanym przez organizację zasady mogą wymagać szyfrowania, dlatego przed jakimkolwiek odszyfrowywaniem zapytaj dział IT.
• Postęp sprawdzisz poleceniem Get-BitLockerVolume, które pokazuje stan woluminu, stan ochrony oraz procent zaszyfrowania.

Wstrzymanie czy odszyfrowanie: wybierz, zanim cokolwiek wpiszesz

Dwa różne działania są określane tym samym słowem „wyłącz”, a ich pomylenie powoduje większość problemów.

Wstrzymanie ochrony zawiesza BitLockera na jakiś czas. Dysk pozostaje zaszyfrowany, a ochronę można wznowić w dowolnym momencie. Microsoft zaleca wstrzymanie przed aktualizacjami oprogramowania innych firm, które zmieniają komponenty rozruchowe, na przykład przed aktualizacjami oprogramowania sprzętowego producenta i aktualizacjami oprogramowania TPM. Jeśli pominiesz wstrzymanie, według Microsoftu system nie rozpozna klucza BitLockera i przy następnym uruchomieniu, a także przy każdym kolejnym, zostaniesz poproszony o klucz odzyskiwania.

Odszyfrowanie to to, co wykonują polecenia PowerShell i manage-bde. Usuwa ono wszystkie protektory kluczy i rozpoczyna odszyfrowywanie woluminu. Przewodnik Microsoftu dotyczący operacji BitLockera podaje jasną zasadę: odszyfrowanie dotyczy sytuacji, w której ochrona nie jest już wymagana, a nie rozwiązywania problemów.

Zadaj sobie więc jedno pytanie: czy chcesz, aby dysk był trwale bez ochrony, czy tylko chwilowo wyłączony z drogi? Przy aktualizacji oprogramowania sprzętowego, zmianie BIOS-u lub zadaniu naprawczym wstrzymaj ochronę. Jeśli ktoś twierdzi, że laptop „działa szybciej bez tego”, sprawdź to, zanim odszyfrujesz urządzenie przechowujące dane firmowe. Moja rekomendacja jest taka: zachowaj szyfrowanie na każdym laptopie, który opuszcza budynek firmy.

Wstrzymaj BitLockera na czas aktualizacji, a potem wznów ochronę

Zajmie to minutę i pozwoli uniknąć monitu o klucz odzyskiwania. Microsoft dokumentuje zarówno ścieżkę przez Panel sterowania, jak i ścieżkę przez PowerShell.

Panel sterowania:

1. Otwórz Panel sterowania.
2. Wybierz System i zabezpieczenia, następnie Szyfrowanie dysków funkcją BitLocker, a potem Wstrzymaj ochronę.
3. Wybierz Tak.
4. Po aktualizacji wróć w to samo miejsce, wybierz Wznów ochronę i wybierz Tak.

PowerShell uruchomiony jako administrator:

1. Uruchom Suspend-BitLocker -MountPoint "C:" -RebootCount 0.
2. Zainstaluj aktualizację i uruchom ponownie komputer tyle razy, ile będzie potrzebne.
3. Uruchom Resume-BitLocker -MountPoint "C:".

Parametr -RebootCount określa, ile ponownych uruchomień może upłynąć, zanim BitLocker włączy się ponownie. Dopuszczalne wartości to od 0 do 15. Wartość 0 utrzymuje wstrzymaną ochronę do momentu, aż wznowisz ją ręcznie, co oznacza, że musisz pamiętać o ostatnim kroku. Microsoft zaznacza również, że wznowienie działa tylko na urządzeniach, które zaakceptowały postanowienia licencyjne systemu Windows (EULA).

Jak wyłączyć BitLocker: odszyfruj dysk za pomocą PowerShell lub manage-bde

Odszyfrowanie wymaga jednego polecenia dla każdego dysku. Otwórz PowerShell lub wiersz polecenia jako administrator, ponieważ operacje BitLocker tego wymagają.

1. Sprawdź stan. Uruchom Get-BitLockerVolume C: | fl w PowerShell. Dane wyjściowe zawierają VolumeStatus, ProtectionStatus, LockStatus i EncryptionPercentage. W pełni zaszyfrowany i chroniony dysk pokazuje FullyEncrypted oraz On.
2. Odszyfruj dysk. W PowerShell uruchom Disable-BitLocker -MountPoint "C:". BitLocker natychmiast rozpocznie odszyfrowywanie dysku C:. W wierszu polecenia odpowiednikiem jest manage-bde -off C:. Opis Microsoft mówi, że polecenie odszyfrowuje dysk i wyłącza BitLocker, a po zakończeniu odszyfrowywania wszystkie protektory kluczy są usuwane.
3. Obserwuj postęp. Uruchom ponownie Get-BitLockerVolume C: lub manage-bde -status i sprawdź procent szyfrowania. Strony Microsoft, które sprawdziłem, nie podają typowego czasu trwania, więc nie zgaduj. Zależy to od ilości danych na dysku i obciążenia komputera. Podczas tego procesu możesz dalej pracować.
4. Potwierdź wynik. Gdy odszyfrowywanie się zakończy, stan woluminu pokazuje dysk jako w pełni odszyfrowany, a ochrona jest wyłączona.

Kilka wariantów względem przykładów Microsoft:

• Kilka dysków naraz. $BLV = Get-BitLockerVolume, a następnie Disable-BitLocker -MountPoint $BLV wyłącza BitLocker na wszystkich woluminach. Przewodnik operacyjny pokazuje również Disable-BitLocker -MountPoint C,D dla wskazanych dysków.
• Próba bez zmian. Disable-BitLocker obsługuje -WhatIf, które pokazuje, co by się stało, bez wykonywania operacji. To przydatny nawyk na serwerze.
• Automatyczne klucze dla dysków danych. Jeśli wolumin systemu operacyjnego ma automatyczne klucze, które otwierają go podczas uruchamiania, Disable-BitLocker nie wykona operacji. Najpierw uruchom Clear-BitLockerAutoUnlock, a następnie wyłącz BitLocker na woluminie. Microsoft nie wyjaśnia, jak te klucze zwykle się tam pojawiają, więc jeśli napotkasz ten problem, sprawdź dane wyjściowe polecenia.
• Inny komputer. manage-bde akceptuje parametr -computername, aby zmienić ochronę na innym urządzeniu.

Szczegóły znajdziesz w dokumentacji Microsoft Disable-BitLocker oraz na stronie manage-bde -off.

Uwaga dotycząca aplikacji Ustawienia i wersji Windows Home. Windows Home nie zawiera funkcji BitLocker Drive Encryption. Zamiast niej jest Szyfrowanie urządzenia, które system Windows włącza po zalogowaniu kontem Microsoft lub kontem służbowym albo szkolnym. Zarządzasz nim w Ustawieniach, w sekcji Prywatność i zabezpieczenia, Szyfrowanie urządzenia. Artykuł Microsoft, który sprawdziłem, opisuje, jak je włączyć, ale nie dokumentuje kroków wyłączania, więc przed zmianą spójrz na przełącznik na swoim urządzeniu i przeczytaj tekst na ekranie.

Dyski danych, dyski USB i ponowne włączanie BitLocker

Polecenia działają dla poszczególnych woluminów, więc te same kroki dotyczą dysku danych lub dysku USB. Aplet Panelu sterowania wyświetla trzy grupy: Dysk systemu operacyjnego, Stałe dyski danych oraz Wymienne dyski danych – BitLocker To Go. Za pomocą polecenia manage-bde -off wskazujesz wolumin, podając literę dysku z dwukropkiem, na przykład manage-bde -off E:. Firma Microsoft akceptuje tutaj także ścieżkę GUID woluminu lub zamontowany wolumin. Zastąp literę tą, którą Eksplorator pokazuje dla Twojego dysku, i sprawdź ją dwukrotnie, ponieważ odszyfrowanie niewłaściwego woluminu to strata czasu.

Odszyfrowanie dysku wymiennego ma jedną praktyczną konsekwencję. Po zakończeniu procesu każdy, kto podłączy pendrive do komputera, może odczytać pliki bez hasła. Najpierw zdecyduj, czy dane na nim powinny pozostać chronione.

BitLocker możesz włączyć ponownie w późniejszym czasie. Artykuł pomocy technicznej firmy Microsoft dotyczący szyfrowania dysków BitLocker opisuje tę ścieżkę: otwórz aplet, wybierz opcję Włącz funkcję BitLocker obok dysku, wybierz sposób ochrony dysku i wykonaj kopię zapasową klucza odzyskiwania. Szyfrowanie przebiega wtedy w tle, a urządzenia możesz używać podczas jego trwania. Traktuj to jak nową konfigurację, a nie jak „wznowienie”. Wszystkie wcześniejsze moduły ochrony kluczy zostały usunięte w momencie odszyfrowania, więc klucz odzyskiwania zapisany wcześniej nie ma zastosowania do nowego szyfrowania. Zapisz nowy klucz w miejscu, do którego masz dostęp z innego urządzenia, i sprawdź według wskazówek dotyczących znajdowania klucza odzyskiwania, czy nowy klucz rzeczywiście pojawia się na Twoim koncie.

Urządzenia zarządzane przez Twoją organizację

Dział IT zwykle zarządza funkcją BitLocker, a zasady organizacji mogą wymagać szyfrowania. To pierwsza rzecz do sprawdzenia w służbowym laptopie. Jeśli zasady wymagają szyfrowania, ręczne odszyfrowanie może zostać cofnięte lub może spowodować, że urządzenie przestanie spełniać wymagania zgodności.

Jeśli zarządzasz urządzeniami za pomocą Intune, ustawienia BitLocker znajdują się w zasadach szyfrowania dysków w sekcji zabezpieczeń punktu końcowego. W przypadku cichego szyfrowania wytyczne firmy Microsoft wymieniają ustawienia takie jak Wymagaj szyfrowania urządzenia ustawione na Włączone. Artykuł firmy Microsoft nie mówi, co dzieje się z zaszyfrowanym urządzeniem po usunięciu lub odłączeniu zasad, i nie opisuje sposobu odszyfrowania za pośrednictwem Intune. Nie zakładaj, że odłączenie zasad cokolwiek odszyfruje. Przetestuj to na jednym urządzeniu i sprawdź wynik za pomocą Get-BitLockerVolume.

Jedno stwierdzenie z artykułu o Intune warto zapamiętać. Jeśli usuniesz obiekt Intune urządzenia dołączonego do Microsoft Entra, które chroni BitLocker, Intune zsynchronizuje się i usunie moduły ochrony kluczy dla woluminu systemu operacyjnego, co pozostawi funkcję BitLocker w stanie wstrzymania na tym woluminie. Usuwanie rekordu urządzenia w celu „posprzątania” nie jest więc niegroźne.

Częste błędy

• Odszyfrowanie w celu naprawy problemu z rozruchem. Firma Microsoft podkreśla, że odszyfrowanie nie jest krokiem rozwiązywania problemów. Wstrzymaj, napraw, wznów.
• Zapomnienie o wznowieniu po wstrzymaniu. Przy -RebootCount 0 ochrona pozostaje wyłączona, dopóki nie uruchomisz Resume-BitLocker. Dodaj to do listy kontrolnej aktualizacji.
• Brak wiedzy o kluczu odzyskiwania. Jeśli odszyfrujesz dysk, a później ponownie włączysz funkcję BitLocker, otrzymasz nowy zestaw modułów ochrony. Nie polegaj na starym wydruku.
• Odszyfrowanie laptopa z danymi firmowymi. Dysk jest wtedy czytelny dla każdego, kto dostanie urządzenie w ręce. Rób to wyłącznie wtedy, gdy zezwalają na to zasady.
• Pominięcie kroku automatycznych kluczy. Polecenie Disable-BitLocker odmówi wykonania, dopóki polecenie czyszczące z listy powyżej nie usunie tych kluczy.
• Zakładanie, że zasady Intune odszyfrowują dysk. Dokumentacja firmy Microsoft tego nie mówi, dlatego sprawdź to na urządzeniu testowym.

Powiązane tematy do zgłębienia

• Znajdź klucz odzyskiwania przed wprowadzeniem zmian: jeśli aktualizacja oprogramowania sprzętowego lub zmiana sprzętu wywoła niebieski ekran, klucz odzyskiwania jest jedynym sposobem na powrót do systemu.
• Wstrzymaj funkcję BitLocker przed aktualizacjami BIOS i TPM: to bezpieczniejsza alternatywa dla wyłączania szyfrowania.
• Ciche wdrażanie BitLockera w Intune: ustawienia TPM, Secure Boot i standardowych użytkowników decydują o tym, czy szyfrowanie ruszy bez monitu.
• Szyfrowanie urządzenia a szyfrowanie dysków BitLocker: obie funkcje różnią się w zależności od wydania systemu, a ta różnica determinuje, gdzie nimi zarządzasz.
• Sprawdzanie stanu szyfrowania na wielu komputerach: Get-BitLockerVolume dostarcza dane potrzebne do prostego raportu.

Następny krok

Aby wyłączyć BitLockera, najpierw zdecyduj, czy potrzebujesz jego zawieszenia, czy odszyfrowania. Zawieszaj go na czas aktualizacji i napraw, a odszyfrowuj poleceniem Disable-BitLocker lub manage-bde -off dopiero wtedy, gdy wolumin nie wymaga już ochrony i zasady na to pozwalają. Następnie sprawdzaj Get-BitLockerVolume, aż wolumin zgłosi, że odszyfrowywanie zostało zakończone.