Wie verwaltet man Bitlocker mittels Intune in Azure? Eine Frage, die immer wichtiger wird. Denn die Tage von MBAM sind gezählt. Wir haben uns den aktuellen Stand der Bitlocker-Management-Suite in Microsoft Azure angeschaut.
Warum wandert Bitlocker zu Intune?
Der Extended Support für das Microsoft Bitlocker Administration and Monitoring läuft im April 2026 aus. Bis dahin wird es durch zwei Lösungen ersetzt: Durch die Integration in …
-
- SCCM (On-Premises)
- Intune (Azure-Cloud)
In unserer “Angeschaut”-Reihe verfolgen wir unter anderem sehr gespannt, wie es mit MBAM weitergeht. So haben wir beispielsweise die SCCM Technical Preview 1909 und SCCM Technical Preview 1910 beleuchtet.
Nun möchten wir wissen, wie man Bitlocker in Intune bzw. der Azure-Cloud verwaltet. Das geht gegenwärtig folgendermaßen:
Schritt 1: Lizenzen aufstocken
Als erstes schauten wir uns die benötigten Lizenzen für die Azure-Cloud an. Dabei fiel uns auf, das wir nicht nur eine Subscription für Azure selbst brauchen, sondern auch eine Aufstockung auf AZURE AD PREMIUM P2 und eine Lizenz für ENTERPRISE MOBILITY + SECURITY E5, in der auch Microsoft Intune integriert ist.
Den neu erstellten Usern mussten wir diese Lizenzen in der Azure AD zuweisen. Anders war keine Verwaltung der Computer mit den benötigten Funktionalitäten möglich.
Schritt 2: Testgerät in Intune verwalten
Selbstverständlich muss unser Testgerät, ein handelsübliches Windows 10, in Azure AD verwaltete werden. Nach der Installation erfolgt dies unter:
Einstellungen -> Konten -> Auf Arbeits- oder Schulkonto zugreifen -> Verbinden
Darauf hin konnten wir das Profil für Bitlocker erstellen. Dies wird unter Intune -> Device Configuration -> Profiles erledigt.
Momentan (Januar 2020) sich lässt sich als Plattform nur “Windows 10” auswählen, der Profil-Typ ist “Endpoint Protection”.
Folgend ein paar Screenshots, die ausgewählte Konfigurationen zeigen:
Schritt 3: Recovery Key Management
Was uns gleich auffiel:
-
- Es ist mittels Intune bereits heute möglich, weitere Laufwerke zu verschlüsseln.
- Aber: Man kann den Zugriff auf Wechseldatenträger, die nicht verschlüsselt sind, nur blockieren. Eine per Richtlinie erzwungene Verschlüsselung für Wechseldatenträger (wie bei MBAM möglich), funktioniert Stand heute noch nicht.
- Das führt dazu, dass bei Verlust der PIN bzw. des Passworts für Wechseldatenträger der Recovery-Key nicht mittels Intune zur Verfügung gestellt werden kann. Hier müssen andere – sprich technische oder organisatorische – Maßnahmen getroffen werden.
Ein weiterer wichtiger Punkt ist die Speicherung der Recovery Keys in Intune / Azure AD:
Bitlocker Recovery Keys werden als weiteres Attribut im Azure-AD gespeichert. Jedoch konnten wir bisher trotz diverser Versuche nicht ermitteln, wie die Zugriffsrechte seitens des Cloud-Anbieters geregelt sind. Eine Trennung zwischen Cloud-Anbieter, AD-Administration und Key-Verwaltung ist somit derzeit nicht gegeben. Das “least privilege” und damit eine saubere Rollentrennung war und ist für die Einführung von MBAM ein gewichtiges Argument aus Compliance-Sicht.
Hinweis: Sobald wir mehr über das Recovery Key Management mit Intune erfahren, werden wir diesen Artikel aktualisieren und evtl. noch einen Extra-Beitrag dazu verfassen.
Schritt 4: Reporting und Compliance
Als letzten Schritt erstellten wir eine Compliance Policy. Diese garantiert, dass unser Gerät – sollte Bitlocker nicht aktiviert sein – sofort als nicht-compliant angezeigt wird. Erst dann können entsprechende Maßnahmen gemäß der internen Prozesse von Unternehmen ergriffen werden.
Unser bisheriges Fazit
Die Integration von Bitlocker in die Azure-Cloud ist weiter fortgeschritten, als es derzeit bei SCCM der Fall ist. Jedoch werden im Vergleich zu MBAM nicht alle Funktionen zur Verfügung gestellt. Dies ist bei einem Migrationsprojekt dringend im Detail zu beleuchten.
Ein großer Knackpunkt ist das Compliance-seitig relevante Thema der ungeklärten Zugriffsberechtigungen auf die Recovery Keys – das sind aus unserer Sicht streng vertrauliche Informationen.
Trotzdem wird klar: Microsoft Bitlocker ist und bleibt weiterhin die Schlüsseltechnologie zur Sicherung der Vertraulichkeit von kritischen Unternehmensinformationen. Das Management des Schlüsselmaterials unterliegt derzeit einem größeren Wandel. Wir sind sehr gespannt auf die nächsten Schritte!
Hinweis: In unserem Beitrag “MBAM, SCCM und Intune: Wir vergleichen die Features” stellen wir den aktuellen Stand der Funktionen der drei Systeme gegenüber.
Bilder: Pexels, Microsoft / FB Pro