Windows 11-Update KB5083769 löst in bestimmten Konfigurationen BitLocker-Wiederherstellungsaufforderungen aus

Das Problem betrifft vor allem verwaltete IT-Umgebungen, die eine bestimmte Gruppenrichtlinienkonfiguration verwenden. Damit die BitLocker-Wiederherstellungsumgebung aktiviert wird, müssen mehrere Kriterien gleichzeitig erfüllt sein. Erstens muss BitLocker auf dem Gerät aktiviert sein. Zweitens muss die Gruppenrichtlinie für TPM-Plattformvalidierungsprofile bei nativen UEFI-Firmware-Konfigurationen so eingestellt sein, dass sie PCR7 einschließt.

Zu den weiteren technischen Anforderungen gehört das Vorhandensein des Windows UEFI CA 2023-Zertifikats in der Secure Boot-Signaturdatenbank des Geräts. Außerdem darf auf dem System nicht der mit 2023 signierte Windows Boot Manager laufen, und die Secure Boot State PCR7-Bindung muss bei der Überprüfung über die Systeminformationen als „Nicht möglich“ gemeldet werden. Wenn diese Bedingungen erfüllt sind, fordert das System den Benutzer zur Eingabe eines BitLocker-Wiederherstellungskennworts auf. Microsoft weist darauf hin, dass dieses Ereignis in der Regel nur einmal auftritt und nachfolgende Neustarts wie erwartet funktionieren.

Um dieses Problem bei der Bereitstellung in Unternehmensnetzwerken zu vermeiden, empfiehlt Microsoft, die problematische Gruppenrichtlinienkonfiguration zu entfernen, bevor das Update angewendet wird. Für Administratoren, die die PCR7-Richtlinie nicht ändern können, wird die Verwendung eines „Known Issue Rollback“ als alternative Sicherheitsmaßnahme empfohlen. Zwar ist eine dauerhafte Behebung für eine zukünftige Windows-11-Version geplant, doch stuft Microsoft den Schweregrad des Fehlers insgesamt als gering ein, da die erforderlichen Konfigurationseinstellungen nur selten vorkommen.