Bitlocker unter Windows 11 mit Hardware-Beschleunigung im Einzelnen

Die Verschlüsselung der Festplatten oder Partitionen durch Bitlocker ist so ein Thema für sich. Nicht jeder mag es. Trotzdem unterstützt es (gerade bei mobilen Geräten) die Sicherheit. Im November 2025 hatte Microsoft schon den Wechsel von der Soft- auf die Hardware-Beschleunigung bei Bitlocker angekündigt.

Jetzt geht Microsoft dabei noch weiter ins Detail und zeigt auch ein e Demo, wie die Hardwarebeschleunigung die Ver- und Entschlüsselung beschleunigen kann und auch die Sicherheit dadurch weiter erhöht wird. Denn anstatt durch die CPU und Treiber wird es direkt durch die Treiber „gejagt“, bevor es dann auf einer NVMe gespeichert wird. (Siehe Bild).

Hardwarebeschleunigtes BitLocker wird in Windows nicht verwendet, wenn:

Ein Benutzer BitLocker manuell über die Befehlszeile oder PowerShell aktiviert und einen Algorithmus oder eine Schlüsselgröße angibt, die vom SoC-Anbieter nicht unterstützt wird. Dies gilt auch für alle Automatisierungstools oder Skripte.
Ein Administrator eine Unternehmensrichtlinie (über MDM oder GPO) mit einer Schlüsselgröße oder einem Algorithmus anwendet, die bzw. den der SoC-Anbieter nicht unterstützt (z. B. AES-CBC-128 Bit oder AES-CBC-256 Bit). Wir planen, dieses Verhalten in einem Update im Frühjahr zu ändern, indem wir die Schlüsselgröße für neue BitLocker-Aktivierungen automatisch erhöhen, ohne jedoch den Algorithmus selbst zu ändern. Wenn die Richtlinie beispielsweise AES-XTS-128 Bit festlegt, wird sie auf AES-XTS-256 aktualisiert, um hardwarebeschleunigtes BitLocker auf unterstützten Plattformen zu aktivieren. Wenn die Richtlinie jedoch AES-CBC-128 oder AES-CBC-256 festlegt, wird der Algorithmus nicht auf AES-XTS geändert, und hardwarebeschleunigtes BitLocker wird nicht verwendet.

Das nur einmal vorab von Microsoft. Die Verbesserungen (Geschwindigkeitszuwachs) der NVMe Speichermedien machen es möglich, dass durch die Änderung auf eine Hardware-Verschlüsselung Zeit eingespart werden kann. Das war vorher nicht notwendig. Denn jetzt haben wir viel höhere Eingabe-/Ausgabe-Geschwindigkeiten (I/O). Ist ähnlich, wie die native NVMe-Unterstützung in Windows Server 2025.

Vorab wird, wie wir es im November schon erwähnt haben, nur neue Hardware unterstützt. Dazu zählen die kommenden Intel vPro-Geräte mit Intel Core Ultra Series 3-CPUs (früherer Codename Panther Lake). Andere Hardware ist schon in Planung.

Wer einmal überprüfen möchte, ob seine Partitionen verschlüsselt sind und wie, kann im Windows Terminal den Befehl manage-bde -status eingeben und Enter drücken. Dort wird dann auch angezeigt, ob es Hardware-verschlüsselt ist (siehe Bild).