Overslaan naar inhoud 
BitLocker
BitLocker is actief op veel zakelijke notebooks met Windows, vaak zonder dat gebruikers het merken. De versleuteling beschermt gegevens bij verlies of diefstal. Bij het uit gebruik nemen rijst echter de vraag of het het wissen vervangt en of BitLocker vooraf moet worden uitgeschakeld. Dit item legt werking, beperkingen en de juiste volgorde uit.
Kort uitgelegd
BitLocker is de in Windows geïntegreerde schijfversleuteling van Microsoft, die hele schijven versleutelt met het XTS-AES-algoritme. De sleutel wordt meestal beschermd door de TPM van de computer, zodat gegevens alleen op het eigen apparaat na een correcte opstart leesbaar zijn. Voor het uit gebruik nemen van IT is BitLocker een belangrijke bescherming tot aan het wissen, maar het vervangt geen aantoonbare gegevensverwijdering.
Zo werkt BitLocker
BitLocker versleutelt het systeemstation en op verzoek ook andere stations. Voor verwisselbare media zoals USB-sticks bestaat BitLocker To Go. De functie is opgenomen in Windows Pro, Enterprise en Education. Op veel apparaten met Windows Home is een vereenvoudigde ‘apparaatversleuteling’ op dezelfde technologie beschikbaar, die bij geschikte hardware automatisch kan worden ingeschakeld.
| Onderdeel | Functie |
|---|---|
| Encryptie | XTS-AES met 128 bit (standaard) of 256 bit |
| TPM | Beveiligingschip die de sleutel alleen vrijgeeft als het opstartproces ongewijzigd is; optioneel met een extra pincode |
| Herstelsleutel | 48-cijferige numerieke code voor noodgevallen, bijvoorbeeld na een hardwarevervanging; vaak opgeslagen in Entra ID, Active Directory of een Microsoft-account |
| Beheer | Groepsbeleid of apparaatbeheer, bijvoorbeeld met Microsoft Intune |
Waar u op moet letten bij het afvoeren
- Versleuteling is geen wissen: De gegevens blijven op de schijf staan. Wie de herstelsleutel kent, kan ze lezen. Dergelijke sleutels bestaan vaak nog jaren later in directoryservices of back-ups.
- Optie ‘alleen gebruikte schijfruimte versleutelen’: Gegevens die zijn verwijderd voordat BitLocker werd ingeschakeld, kunnen onversleuteld in de vrije ruimte staan. Het verwijderen van de BitLocker-sleutel werkt dan niet als een volledige Crypto Erase.
- Uitschakelen is meestal onnodig: ‘BitLocker uitschakelen’ ontsleutelt de schijf, wat tijd kost. Wordt de gegevensdrager daarna volledig met een geteste methode gewist, dan is deze stap doorgaans niet nodig. Zinvol is ze wanneer een apparaat met geïnstalleerd systeem intern wordt doorgegeven.
- Bewijs ontbreekt: Noch versleuteling noch het verwijderen van sleutels levert een rapport per gegevensdrager op.
Vuistregel: BitLocker beschermt oude apparaten op weg naar het wissen. Het vervangt het wissen zelf en het bewijs ervan niet.
BitLocker in vergelijking
BitLocker is softwareversleuteling van het besturingssysteem. Daarnaast zijn er zelfversleutelende schijven, waarbij de hardware versleutelt, en onder macOS de oplossing FileVault. Een overzicht geeft het item Harde-schijfversleuteling. Welke wismethode bij welke schijf past, beschrijft onze gids Geformatteerd is niet gewist: harde schijven en ssd’s veilig wissen. Wat te doen bij het retourneren van bedrijfsapparaten staat in de offboarding-checklist.
BitLocker en Second IT
Second IT wist gegevensdragers softwarematig met Blancco, bij harde schijven ook verborgen gebieden zoals HPA en DCO. Voor elk apparaat ontvangt u een digitaal ondertekend wiscertificaat met serienummer. Gegevensdragers die niet kunnen worden gewist, worden in eigen huis vernietigd volgens DIN 66399 (tot beveiligingsniveau H-5 en E-5). Meer over gecertificeerde gegevensvernietiging.
Veelgestelde vragen over BitLocker
Moet ik BitLocker uitschakelen voordat ik een notebook verkoop?
Wordt de schijf daarna volledig en aantoonbaar gewist, dan doorgaans niet. Het wissen overschrijft respectievelijk reinigt de volledige gegevensdrager, ongeacht de versleuteling. Belangrijk is dat er geen firmware- of BIOS-vergrendelingen actief blijven.
Is het voldoende om de BitLocker-sleutel te verwijderen?
Alleen onder voorwaarden: de volledige schijf moet vanaf het begin volledig versleuteld zijn geweest en er mogen geen kopieën van de herstelsleutel meer bestaan. Omdat dit zelden zeker kan worden aangetoond, is een gecontroleerd wissen met rapport de veilige weg.
Wat gebeurt er met de herstelsleutels van uit gebruik genomen apparaten?
Ze blijven opgeslagen in Entra ID, Active Directory of het Microsoft-account totdat ze worden verwijderd. Na het aantoonbaar wissen van de apparaten moet u de items opschonen conform uw wisbeleid.
In welke Windows-versies is BitLocker opgenomen?
BitLocker is opgenomen in Windows Pro, Enterprise en Education. Op veel apparaten met Windows Home bestaat een vereenvoudigde apparaatversleuteling op dezelfde technologie, die bij geschikte hardware automatisch kan worden ingeschakeld. Voor USB-sticks bestaat BitLocker To Go.
Wat is de BitLocker-herstelsleutel?
Een 48-cijferige numerieke code voor noodgevallen, bijvoorbeeld na een hardwarevervanging. Wie hem kent, kan de versleutelde gegevens lezen. Hij staat vaak in Entra ID, Active Directory of een Microsoft-account en nog jaren later in directoryservices of back-ups.
Versleuteld is goed, gewist met certificaat is veilig.
Stuur ons uw apparatenlijst. U ontvangt uw aanbod gemiddeld binnen 48 uur.