Einstellungen für Startkonfigurationsdaten und BitLocker

Dieser Artikel beschreibt die Einstellungen für Startkonfigurationsdaten (Boot Configuration Data, BCD), die von BitLocker verwendet werden.

Während des Startvorgangs überprüft BitLocker, ob sich die sicherheitsrelevanten BCD-Einstellungen seit der letzten Aktivierung, Fortsetzung oder Wiederherstellung von BitLocker nicht geändert haben.

Wenn ein Risiko besteht, eine bestimmte BCD-Einstellung aus dem Validierungsprofil auszuschließen, können Sie diese BCD-Einstellung in die BCD-Validierungsabdeckung aufnehmen, um die Validierungsvorgaben anzupassen.
Wenn die Standard-BCD-Einstellung wiederholt eine Wiederherstellung bei harmlosen Änderungen auslöst, können Sie diese BCD-Einstellung aus der Validierungsabdeckung ausschließen.

Ein Vorteil der Verwendung von sicherem Start ist, dass BCD-Einstellungen während des Starts korrigiert werden können, ohne Wiederherstellungsereignisse auszulösen. Der sichere Start erzwingt dieselben BCD-Einstellungen wie BitLocker. Die BCD-Erzwingung für den sicheren Start kann nicht innerhalb des Betriebssystems konfiguriert werden.

BCD-Validierungseinstellungen anpassen

Um die von BitLocker validierten BCD-Einstellungen zu ändern, fügt der Admin BCD-Einstellungen zum Plattformvalidierungsprofil hinzu oder schließt sie daraus aus, indem die Richtlinieneinstellung Erweitertes Validierungsprofil für Startkonfigurationsdaten verwenden aktiviert und konfiguriert wird.

Für die BitLocker-Validierung sind BCD-Einstellungen bestimmten Microsoft-Startanwendungen zugeordnet. Diese BCD-Einstellungen können auch auf andere Microsoft-Startanwendungen angewendet werden, die nicht Teil der Gruppe sind, für die die BCD-Einstellungen bereits gelten. Diese Einstellung erfolgt durch Anfügen eines der folgenden Präfixe an die BCD-Einstellungen, die im Dialogfeld der Gruppenrichtlinieneinstellungen eingegeben werden:

• winload
• winresume
• memtest
• alle oben genannten Punkte

Alle BCD-Einstellungen werden durch Kombination des Präfixwerts mit einem hexadezimalen Wert (Hex) oder einem Anzeigenamen angegeben.

Der hexadezimale Wert der BCD-Einstellung wird gemeldet, wenn BitLocker in den Wiederherstellungsmodus wechselt, und im Ereignisprotokoll (Ereignis-ID 523) gespeichert. Der hexadezimale Wert identifiziert eindeutig die BCD-Einstellung, die das Wiederherstellungsereignis ausgelöst hat.

Sie können den Anzeigenamen der BCD-Einstellungen auf einem Computer schnell mit dem Befehl bcdedit.exe /enum all abrufen.

Nicht alle BCD-Einstellungen haben Anzeigenamen. Für Einstellungen ohne Anzeigenamen ist der hexadezimale Wert die einzige Möglichkeit, eine Ausschlussrichtlinie zu konfigurieren.

Wenn Sie BCD-Werte in der Richtlinieneinstellung Erweitertes Startkonfigurationsdaten-Validierungsprofil verwenden angeben, verwenden Sie folgende Syntax:

• Fügen Sie der Einstellung das Präfix der Startanwendung voran.
• Fügen Sie einen Doppelpunkt : an.
• Fügen Sie entweder den Hexadezimalwert oder den Anzeigenamen an.
• Wenn Sie mehrere BCD-Einstellungen eingeben, muss jede Einstellung in einer neuen Zeile stehen.

Beispielsweise ergeben sowohl „winload:hypervisordebugport“ als auch „winload:0x250000f4“ denselben Wert.

Eine Einstellung, die für alle Startanwendungen gilt, kann auch nur auf eine einzelne Anwendung angewendet werden. Das Gegenteil trifft jedoch nicht zu. Beispielsweise kann entweder „all:locale“ oder „winresume:locale“ angegeben werden. Da die BCD-Einstellung „win-pe“ jedoch nicht für alle Startanwendungen gilt, ist „winload:winpe“ gültig, aber „all:winpe“ nicht. Die Einstellung zur Steuerung des Startdebuggens („bootdebug“ oder 0x16000010) wird immer validiert und hat keine Wirkung, wenn sie in den angegebenen Feldern enthalten ist.

Standardprofil für BCD-Validierung

Die folgende Tabelle enthält das von BitLocker verwendete Standard-BCD-Validierungsprofil:

Vollständige Liste der Anzeigenamen für ignorierte BCD-Einstellungen

Die folgende Liste enthält alle BCD-Einstellungen mit Anzeigenamen, die standardmäßig ignoriert werden. Diese Einstellungen sind nicht Teil des Standard-BitLocker-Validierungsprofils, können aber hinzugefügt werden, wenn eine Validierung dieser Einstellungen vor dem Entsperren eines durch BitLocker geschützten Betriebssystemlaufwerks erforderlich ist.