Windows Server 2025: Microsoft behebt endlich lästigen BitLocker-Bug

Nach einem fehlerhaften Update verlangt BitLocker unter Windows Server 2025 plötzlich nach dem Wiederherstellungsschlüssel. Ver­ant­wortlich für die unerwartete Sperrung ist ein Konflikt im Boot-Prozess, den Administratoren jetzt beheben können.

Fix für BitLocker-Wiederherstellung

Microsoft hat ein Problem behoben, durch das bestimmte Geräte mit Windows Server 2025 nach dem Sicherheitsupdate vom April 2026 in den Wieder­her­stellungsmodus starteten. BitLocker verlangte dabei nach einem Neustart einen Wiederherstellungsschlüssel, sodass ohne diesen kein Zugriff auf das System möglich war.

Die Verschlüsselungsfunktion schützt Datenträger vor unbefugtem Zugriff. Üblicherweise greift sie nur bei Hardware-Änderungen oder TPM-Aktuali­sierungen. In diesem Fall reagierte sie jedoch auf legitime Änderungen am Boot-Manager durch das Update und sperrte das System.

Patch für Server und Windows 11

Wie Bleeping Computer berichtet, stellt Microsoft mit dem kumulativen Update KB5094125 eine Lösung für Server bereit. Für Windows 11 gibt es schon länger einen entsprechenden Patch. Die Aktualisierung verhindert, dass inkompatible Gruppenrichtlinien die Installation des neuen Boot-Managers erzwingen und so den Fehler auslösen.

Betroffen sind vor allem Unternehmensumgebungen. Voraussetzung ist eine nicht empfohlene TPM-Validierungsrichtlinie sowie die Meldung des Diagnose­werkzeugs, dass keine Bindung an das Platform Configuration Register 7 (PCR7) möglich ist.

PCR7 ist ein TPM-Speicherbereich, der Teile des Startvorgangs protokolliert. Das Update reduziert Störungen im Betrieb durch unerwartete Wiederher­stell­ungsabfragen. Bis zur Installation können Administratoren die betroffene Gruppenrichtlinie vorübergehend entfernen oder einen Known Issue Rollback nutzen.

Hintergründe zum Boot-Prozess

Ursache ist die Umstellung der Vertrauenskette beim sicheren Systemstart. Microsoft integriert das Zertifikat "Windows UEFI CA 2023" in die Signaturdatenbanken. Ältere Richtlinien können den neuen Boot-Manager fälschlich als Risiko einstufen, woraufhin BitLocker das Laufwerk vorsorglich sperrt.

Hattet ihr in der IT-Umgebung mit dem Fehler zu kämpfen? Teilt eure Erfahrungen in den Kommentaren mit uns. Was meint ihr dazu?

Siehe auch: