Kontakt

Wie sicher sind verschlüsselte Daten, wenn der Schlüssel in der Cloud liegt?

Ein im Januar 2026 von Forbes veröffentlichter Bericht belegt erstmals öffentlich, dass Microsoft BitLocker-Wiederherstellungsschlüssel an das FBI herausgegeben hat. Technisch möglich wurde dies durch die Standardkonfiguration moderner Windows-Versionen, die Wiederherstellungsschlüssel automatisch in die Microsoft-Cloud hochlädt. Für Unternehmen im DACH-Raum ergibt sich daraus ein unmittelbarer Prüfbedarf: Die Schlüsselhoheit als Kernelement technischer Schutzmaßnahmen nach Art. 32 DSGVO muss neu bewertet werden. Der Fall zeigt exemplarisch, dass Cloud-gebundene Verschlüsselungslösungen ohne eigenständige Schlüsselverwaltung keinen hinreichenden Schutz bieten.
Sachverhalt
BitLocker ist Microsofts nativer Mechanismus zur Vollverschlüsselung von Windows-Laufwerken und auf modernen Geräten standardmäßig aktiviert. Nach Berichten von Forbes, TechCrunch und Tom’s Hardware hat Microsoft dem FBI im Frühjahr 2025 im Rahmen einer Strafverfolgungsmaßnahme die BitLocker-Wiederherstellungsschlüssel für drei beschlagnahmte Laptops übergeben. Microsoft bestätigte gegenüber Forbes, jährlich im Durchschnitt rund 20 solcher Anfragen zu erhalten.

Der technische Kern des Problems: Windows 11 setzt für die Einrichtung standardmäßig ein Microsoft-Konto voraus, wodurch BitLocker-Schlüssel automatisch mit der Online-Identität des Nutzers verknüpft und in der Microsoft-Cloud gespeichert werden. Bei der Home-Edition ist diese Cloud-Speicherung faktisch obligatorisch. Auch bei Enterprise- und Education-Varianten ist die Cloud-Speicherung je nach Gruppenrichtlinienkonfiguration aktiv – und wird von Microsoft als empfohlene Vorgehensweise kommuniziert.

Zum Vergleich: Apple speichert FileVault-Schlüssel über iCloud Keychain mit Ende-zu-Ende-Verschlüsselung, sodass Apple selbst keinen Zugriff hat und Schlüssel auch auf gerichtliche Anordnung hin nicht herausgeben kann. Microsoft verfügt dagegen strukturell über diesen Zugang – und gibt ihn bei entsprechender Anforderung weiter.

Rechtliche und datenschutzrechtliche Einordnung
Art. 32 DSGVO verpflichtet Verantwortliche, geeignete technische Maßnahmen zur Sicherung personenbezogener Daten zu implementieren, darunter ausdrücklich die Verschlüsselung. Entscheidend ist dabei nicht allein der Einsatz von Verschlüsselung, sondern die Frage, wer die Schlüsselhoheit innehat.

Werden BitLocker-Schlüssel in der Microsoft-Cloud gespeichert, liegt die faktische Kontrolle über die verschlüsselten Daten nicht (mehr) ausschließlich beim Unternehmen. Damit ist die Schutzwirkung der Verschlüsselung gegenüber Dritten – einschließlich US-amerikanischer Behörden auf Basis des CLOUD Act – eingeschränkt. Dies tangiert unmittelbar die Bewertung der technischen Schutzmaßnahmen nach Art. 32 DSGVO, die Durchführung von Transfer Impact Assessments (TIA) bei der Nutzung von Microsoft-Cloudprodukten im Rahmen internationaler Datentransfers und das Verzeichnis der Verarbeitungstätigkeiten und das Ergebnis der Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO.

Zusätzlich ist zu berücksichtigen, dass der US CLOUD Act US-amerikanischen Behörden unter bestimmten Voraussetzungen den Zugriff auf Daten ermöglicht, die von US-Unternehmen – unabhängig vom Speicherort – verwaltet werden. Auch Microsoft als US-Konzern unterliegt dieser Jurisdiktion.

Risikobewertung für Unternehmen
Das Risiko ist mehrdimensional:
  • Behördlicher Zugriff: US-Strafverfolgungsbehörden (und perspektivisch andere Strafverfolgungsbehörden mit entsprechendem Rechtshilfeanspruch) können über Microsoft auf Gerätedaten zugreifen, ohne die Verschlüsselung technisch überwinden zu müssen.
  • Datenpannen-Risiko: Kompromittierungen der Microsoft-Cloud-Infrastruktur (historisch mehrfach belegt) könnten Wiederherstellungsschlüssel in die Hände Dritter bringen.
  • Compliance-Risiko: Unternehmen, die BitLocker als alleinige Schutzmaßnahme nach Art. 32 DSGVO dokumentiert haben, ohne die Schlüsselverwaltung eigenständig zu kontrollieren, riskieren eine lückenhafte Schutzmaßnahmenkonzeption.
  • Reputationsrisiko: Im Fall einer Datenschutzverletzung mit Bezug zu cloud-gespeicherten Schlüsseln stehen Unternehmen vor schwer erklärbaren Lücken im Sicherheitskonzept.

Besonders exponiert sind Unternehmen, die Windows in der Home-Edition einsetzen, Geräte ohne dedizierte Gruppenrichtlinien-Konfiguration betreiben, Managed-Device-Umgebungen mit Default-Settings nutzen oder BitLocker in ihrer DSFA oder ihrem TOM-Katalog als wirksame Schutzmaßnahme aufgeführt haben, ohne den Schlüsselspeicherort zu dokumentieren.

Handlungsempfehlung
  • Inventarisierung: Prüfen Sie, ob und auf welchen Geräten BitLocker-Schlüssel in Microsoft-Cloud-Konten gespeichert sind. Dies ist über das Microsoft-Konto-Portal sowie über Active Directory / Azure AD nachvollziehbar.
  • Schlüsselhoheit herstellen: Konfigurieren Sie BitLocker über Gruppenrichtlinien so, dass Schlüssel ausschließlich lokal (On-Premises-AD oder internes Key-Management-System) gespeichert werden. Löschen Sie ggf. bereits in der Cloud gespeicherte Schlüssel.
  • TOM-Dokumentation aktualisieren: Ergänzen Sie Ihre Verzeichnisse technischer und organisatorischer Maßnahmen um den konkreten Schlüsselspeicherort und die Zugriffskontrollen.
  • TIA überprüfen: Falls Microsoft-Clouddienste im Einsatz sind, prüfen Sie, ob das bestehende Transfer Impact Assessment den Aspekt cloud-gespeicherter Verschlüsselungsschlüssel und den CLOUD Act hinreichend adressiert.
  • Alternative Verschlüsselungslösungen evaluieren: Für hochsensible Bereiche empfiehlt sich die Prüfung von Lösungen mit nachgewiesener Zero-Knowledge-Architektur oder vollständig eigenverantwortlicher Schlüsselverwaltung.
Beratungsbedarf?
Die GfDDE unterstützt Sie bei der Bewertung cloud-gebundener Verschlüsselungslösungen im DSGVO-Kontext – praxisnah und fachlich fundiert.
Jetzt Kontakt aufnehmen
Quellenangaben
Forbes / Thomas Brewster (22. Januar 2026): Microsoft Gave FBI Keys To Unlock BitLocker Encrypted Data

TechCrunch (23. Januar 2026): Microsoft gave FBI a set of BitLocker encryption keys to unlock suspects‘ laptops

Tom’s Hardware (24. Januar 2026): Microsoft gave customers‘ BitLocker encryption keys to the FBI

TechRepublic (26. Januar 2026): Microsoft Shared BitLocker Keys With FBI, Raising Privacy Fears

Schneier on Security (3. Februar 2026): Microsoft is Giving the FBI BitLocker Keys

Mehr Neuigkeiten

Phishing über echte Microsoft-Adresse: Power-BI-Missbrauch und DSGVO-Pflichten für Unternehmen

Seit Januar 2026 ist eine perfide Phishing-Kampagne aktiv, bei der Angreifer Täuschungs-E-Mails über die echte Microsoft-Absenderadresse no-reply-powerbi@microsoft.com versenden. Technisch möglich wird dies durch ein legitimes Feature von Microsoft Power BI: Beim Anlegen eines Dashboards lässt sich jede externe E-Mail-Adresse als Abonnent hinzufügen, und der Inhalt der automatisch versendeten Benachrichtigung ist frei konfigurierbar.

Weiterlesen…