Wie man BitLocker mit PowerShell aussetzen kann

Die wichtigsten Erkenntnisse

• Automatisierte BitLocker-Verwaltung: Das Skript bietet eine optimierte Möglichkeit, die BitLocker-Verschlüsselung auf Windows-Systemen auszusetzen und so die Effizienz der IT-Verwaltung zu verbessern.
• Erfordert Administratorrechte: Für die Ausführung des Skripts sind Administratorrechte erforderlich, um eine sichere Bearbeitung der Verschlüsselungseinstellungen zu gewährleisten.
• Bedingte Neustartoptionen: Parameter wie -Restart und -RestartIfNoEncryption bieten Flexibilität für verschiedene Betriebsszenarien in IT-Umgebungen.
• Vorübergehende Aussetzung für Wartungsarbeiten: Das Skript ist ideal für System-Updates oder Hardwareänderungen, da es die Verschlüsselung nur bis zum nächsten Neustart unterbricht und so die allgemeine Sicherheit aufrechterhält.
• Skript vs. manuelle Verwaltung: Dieser PowerShell-Ansatz ist effizienter und weniger fehleranfällig als manuelle Methoden zur Aussetzung von BitLocker.
• Sicherheit und Compliance: Verwenden Sie das Skript mit Bedacht und im Rahmen der Sicherheitsrichtlinien Ihres Unternehmens, um eine mögliche Offenlegung von Daten zu vermeiden.
• Erweitert durch IT-Verwaltungstools: Die Integration mit Plattformen wie NinjaOne kann die Skriptbereitstellung und das IT-Sicherheitsmanagement weiter optimieren.
• Automatisierte Reaktivierung nach einem Neustart: BitLocker wird nach einem Systemneustart automatisch reaktiviert, sodass eine kontinuierliche Datensicherung gewährleistet ist.

BitLocker, das Verschlüsselungsprogramm von Microsoft, bietet eine essenzielle Sicherheitsebene für die Datensicherung. In bestimmten Szenarien, zum Beispiel bei System-Updates oder Hardwareänderungen, ist es jedoch erforderlich, die Aktivität von BitLocker vorübergehend zu unterbrechen. PowerShell-Skripts wie das thematisierte stellen sich als eine effiziente Lösung für die Verwaltung des BitLocker-Status dar und bieten IT-Expert:innen Komfort und Kontrolle.

Kontext

Das mitgelieferte PowerShell-Skript dient dazu, die BitLocker-Verschlüsselung auf Windows-Systemen bis zum nächsten Neustart auszusetzen. Diese Funktion ist besonders wertvoll in verwalteten IT-Umgebungen, in denen umfangreiche Software-Updates oder Änderungen an der Systemkonfiguration häufig eine vorübergehende Aussetzung der Verschlüsselung erfordern. Für Managed Service Provider (MSPs) und IT-Expert:innen vereinfacht dieses Skript den Prozess und gewährleistet eine minimale Unterbrechung der Sicherheitsprotokolle bei der Durchführung kritischer Vorgänge.

Das Skript zur Aussetzung von BitLocker

#Requires -Version 5.1

<#
.SYNOPSIS
    Suspends BitLocker Protection until after the next restart. Can optionally restart the computer once suspended.
.DESCRIPTION
    Suspends BitLocker Protection until after the next restart. Can optionally restart the computer once suspended.
.EXAMPLE
    (No Parameters)

    Checking for Bitlocker Volumes...
    Bitlocker Volumes found!

    Drive RecoveryPassword                                                Status
    ----- ----------------                                                ------
    C:    652795-525382-638803-450769-280214-250415-444829-276023 FullyEncrypted



    Suspending Found Volumes
    Suspended Drive C:

PARAMETER: -Restart
    Restart the computer after suspending BitLocker protection.

PARAMETER: -RestartIfNoEncryption
    Restart the computer even if no BitLocker protection was found.

.OUTPUTS
    None
.NOTES
    Minimum OS Architecture Supported: Windows 10, Server 2016
    Release Notes:
    Initial Release
By using this script, you indicate your acceptance of the following legal terms as well as our Terms of Use at https://www.ninjaone.com/terms-of-use.
    Ownership Rights: NinjaOne owns and will continue to own all right, title, and interest in and to the script (including the copyright). NinjaOne is giving you a limited license to use the script in accordance with these legal terms. 
    Use Limitation: You may only use the script for your legitimate personal or internal business purposes, and you may not share the script with another party. 
    Republication Prohibition: Under no circumstances are you permitted to re-publish the script in any script library or website belonging to or under the control of any other software provider. 
    Warranty Disclaimer: The script is provided “as is” and “as available”, without warranty of any kind. NinjaOne makes no promise or guarantee that the script will be free from defects or that it will meet your specific needs or expectations. 
    Assumption of Risk: Your use of the script is at your own risk. You acknowledge that there are certain inherent risks in using the script, and you understand and assume each of those risks. 
    Waiver and Release: You will not hold NinjaOne responsible for any adverse or unintended consequences resulting from your use of the script, and you waive any legal or equitable rights or remedies you may have against NinjaOne relating to your use of the script. 
    EULA: If you are a NinjaOne customer, your use of the script is subject to the End User License Agreement applicable to you (EULA).
#>

[CmdletBinding()]
param (
    [Parameter()]
    [Switch]$Restart = [System.Convert]::ToBoolean($env:restart),
    [Parameter()]
    [Switch]$RestartIfNoEncryption = [System.Convert]::ToBoolean($env:restartRegardlessOfBitlockerStatus)
)

begin {
    function Test-IsElevated {
        $id = [System.Security.Principal.WindowsIdentity]::GetCurrent()
        $p = New-Object System.Security.Principal.WindowsPrincipal($id)
        $p.IsInRole([System.Security.Principal.WindowsBuiltInRole]::Administrator)
    }
}
process {
    if (-not (Test-IsElevated)) {
        Write-Error -Message "Access Denied. Please run with Administrator privileges."
        exit 1
    }

    Write-Host "Checking for BitLocker Volumes..."
    $BitLockerVolumes = Get-BitLockerVolume | Where-Object { $_.ProtectionStatus -eq "On" } | ForEach-Object {
        [PSCustomObject]@{
            Drive            = $_.MountPoint
            RecoveryPassword = $_.KeyProtector | Where-Object { $_.RecoveryPassword } | Select-Object -ExpandProperty RecoveryPassword
            Status           = $_.VolumeStatus
        }
    }

    if ($BitlockerVolumes) {
        Write-Host "BitLocker Volumes found!"
        $BitLockerVolumes | Format-Table -AutoSize | Out-String | Write-Host

        Write-Host "Suspending Found Volumes"
        $BitlockerVolumes | ForEach-Object {
            try {
                Suspend-BitLocker -MountPoint $_.Drive -RebootCount 1 -ErrorAction Stop | Out-Null
                Write-Host "Suspended Drive $($_.Drive)"
            }
            catch {
                Write-Error "Failed to suspend drive $($_.Drive)!"
                Exit 1
            }
        }
    }else{
        Write-Warning "No BitLocker Volumes found with protection turned on?"
        if(-not $RestartIfNoEncryption){
            Exit 1
        }
    }

    if(($Restart -or $RestartIfNoEncryption) -and ($BitLockerVolumes -or $RestartIfNoEncryption)){
        Write-Host "Scheduling restart for 30 seconds from now."

        Start-Process cmd.exe -ArgumentList "/c shutdown.exe /r /t 30" -Wait -NoNewWindow
    }
    
}
end {
    
    
    
}

 

Detaillierte Aufschlüsselung

Das Skript überprüft zunächst, ob es mit Administratorrechten ausgeführt wird, was für die Änderung der BitLocker-Einstellungen unerlässlich ist. Anschließend werden alle Laufwerke mit aktiviertem BitLocker-Schutz identifiziert und ihr Status aufgelistet. Wenn BitLocker aktiv ist, setzt das Skript es auf den identifizierten Laufwerken aus und ermöglicht den Zugriff auf das unverschlüsselte Laufwerk nur für die nächste Startsequenz.

Zwei wichtige Parameter, -Restart und -RestartIfNoEncryption, geben Benutzer:innen die Kontrolle über das Verhalten des Computers nach der Skriptausführung. Der Parameter -Restart löst nach dem Aussetzen von BitLocker einen Systemneustart aus, während -RestartIfNoEncryption einen Neustart gewährleistet, auch wenn keine verschlüsselten Datenträger gefunden werden. Diese Flexibilität ist entscheidend für die Automatisierung in größeren IT-Infrastrukturen.

Mögliche Anwendungsfälle

Stellen Sie sich einen IT-Administrator in einem großen Unternehmen vor, der sich darauf vorbereitet, ein wichtiges Software-Update auf allen Computern des Unternehmens bereitzustellen. Mit diesem Skript kann er BitLocker vorübergehend aussetzen, das Update anwenden und BitLocker beim nächsten Systemneustart wieder aktivieren, um die Sicherheit aufrechtzuerhalten und gleichzeitig eine reibungslose Bereitstellung des Updates zu gewährleisten.

Vergleiche

In der Regel erfordert die Aussetzung von BitLocker manuelle Eingriffe für jedes System oder komplexe Gruppenrichtlinienkonfigurationen. Dieses Skript vereinfacht den Prozess und bietet einen unkomplizierten, skriptbasierten Ansatz, der in automatisierte Arbeitsabläufe integriert werden kann und somit eine effizientere Option für MSPs und IT-Expert:innen darstellt.

FAQs

• Ist es sicher, BitLocker mit diesem Skript auszusetzen?
  • Ja, aber stellen Sie sicher, dass es in einer kontrollierten Umgebung verwendet wird. Das Skript setzt die Verschlüsselung nur bis zum nächsten Neustart aus, nach dem BitLocker automatisch wieder aktiviert wird.

• Kann dieses Skript unter jeder Windows-Version verwendet werden?
  • Das Skript ist für Windows 10, Server 2016 und höher konzipiert, da diese Versionen die erforderlichen PowerShell-Befehle unterstützen.

• Gibt das Skript eine Rückmeldung, wenn BitLocker nicht gefunden wird?
  • Ja, es warnt, wenn keine verschlüsselten Datenträger gefunden werden, und handelt entsprechend den Parametern des Skripts.

Folgen

Dieses Skript ist zwar ein leistungsfähiges Tool, aber sein Missbrauch kann zu Sicherheitsschwachstellen führen. Durch die vorübergehende Aussetzung von BitLocker werden Daten offengelegt, weshalb es mit Bedacht und in sicheren Umgebungen verwendet werden sollte. Stellen Sie immer sicher, dass die Aussetzung von BitLocker mit den Sicherheitsrichtlinien Ihres Unternehmens übereinstimmt.

Empfehlungen

• Führen Sie das Skript immer in einer sicheren und kontrollierten Umgebung aus.
• Sorgen Sie dafür, dass alle Systeme nach der Ausführung des Skripts ordnungsgemäß neu gestartet werden, um sicher zu sein, dass BitLocker wieder aktiviert wird.
• Integrieren Sie dieses Skript in umfassendere Systemwartungsprotokolle, um die allgemeine Sicherheitsintegrität zu wahren.

Abschließende Überlegungen

Im Rahmen von Managed IT-Services können Tools wie NinjaOne solche Skripte ergänzen. NinjaOne bietet umfassende IT-Management-Lösungen, die die Bereitstellung von Skripten, die Überwachung des Systemzustands und die Verwaltung der Sicherheit in einem Netzwerk erleichtern. Die Integration von PowerShell-Skripten in solche Plattformen verbessert die Effizienz, Sicherheit und Kontrolle, die für moderne IT-Infrastrukturen unerlässlich sind.