Ein verlorener Laptop ohne Verschlüsselung ist wie ein offenes Buch

Ein Anmeldepasswort schützt die Betriebssystemsitzung. Es schützt jedoch nicht die Daten auf der Festplatte. Wenn jemand die Festplatte aus einem unverschlüsselten Laptop ausbaut oder diese über einen USB-Stick bootet, sind alle Dateien auf diesem Gerät lesbar: Kundendaten, Verträge, Zugangsdaten, persönliche Informationen. Der Passwortbildschirm erscheint dabei nicht einmal.

Das ist kein theoretisches Risiko. Eine Umfrage von Kensington aus dem Jahr 2025 unter 1.000 IT-Entscheidungsträgern ergab, dass 76 % in den letzten zwei Jahren von Gerätediebstahl betroffen waren. (Kensington / Vanson Bourne, 2025). Dennoch geben nur 7 % der Sicherheitsverantwortlichen an, dass sie sich Sorgen machen, ein verlorenes Gerät könnte einen Datenschutzverstoß verursachen – obwohl solche Vorfälle 17 % aller Datenschutzverstöße ausmachen. (Forrester, Bericht „State of Data Security“ 2023).

Für wachsende KMUs geht das Risiko über bloße Peinlichkeit hinaus. Nach der DSGVO kann schon ein einziger vermisster, unverschlüsselter Laptop mit personenbezogenen Daten eine meldepflichtige Datenschutzverletzung auslösen, und die Zahl der Meldungen über Datenschutzverletzungen in ganz Europa ist in den letzten Jahren auf Hunderte pro Tag gestiegen. (Quelle: DLA Piper GDPR Data Breach Survey; bitte überprüfe die genaue Zahl und das Jahr vor der Veröffentlichung.) Standards wie ISO 27001 und NIS2 betrachten Festplattenverschlüsselung als Mindestanforderung. Und immer häufiger wird in Sicherheitsfragebögen für Kunden und Due-Diligence-Formularen für Anbieter eine gezielte Frage gestellt: Sind alle Geräte eures Unternehmens verschlüsselt? Wenn die Antwort „Wir glauben schon“ lautet, reicht das nicht aus.

Dieser Leitfaden führt dich durch die zentrale Durchsetzung einer vollständigen Festplattenverschlüsselung in deinem gesamten Mac- und Windows-Bestand, sodass jedes Gerät vom ersten Login an geschützt ist und du dies nachweisen kannst, wenn Prüfer oder Kunden danach fragen.

Was du brauchst, bevor du loslegst

• Administratorzugriff auf macOS (für FileVault) und Windows (für BitLocker über Intune, Gruppenrichtlinien oder ein anderes MDM-Tool)
• Eine Endpunkt- oder Gerätemanagement-Lösung, um Richtlinien zentral durchzusetzen und zu überprüfen
• Einen Plan zur Hinterlegung von Wiederherstellungsschlüsseln, damit verschlüsselte Geräte auch dann wiederherstellbar bleiben, wenn jemand sein Passwort vergisst oder die Hardware wechselt
• Eine Bestandsaufnahme deiner aktuellen Geräteflotte, einschließlich der Betriebssystemversionen, da Windows Home-Editionen und sehr alte Hardware zu Hindernissen führen können

Schritt 1: Verstehe, was Festplattenverschlüsselung tatsächlich schützt

Die Vollfestplattenverschlüsselung (FDE) schützt ruhende Daten. Sie verschlüsselt den gesamten Inhalt der Festplatte, sodass dieser ohne den richtigen Entschlüsselungsschlüssel unlesbar ist. Unter macOS wird dies von FileVault übernommen, unter Windows von BitLocker.

Der entscheidende Unterschied: Ein Anmeldepasswort sperrt lediglich die Betriebssystemsitzung. Es verhindert, dass ein zufälliger Passant sich hinsetzt und den Laptop benutzt. Es nützt jedoch nichts, wenn jemand die Festplatte entfernt, von einem externen Medium bootet oder die Festplatte an einen anderen Rechner anschließt. Die Verschlüsselung schließt diese Lücke vollständig. Selbst bei physischem Zugriff auf die Hardware bleiben die Daten unlesbar.

Das ist besonders wichtig, wenn Geräte das Büro verlassen – was bei Remote- und Hybrid-Teams täglich der Fall ist. Ein Laptop, der im Taxi liegen bleibt, in einem Café gestohlen wird oder am Flughafen verloren geht, wird ohne Verschlüsselung zu einer potenziellen Datenpanne. Mit aktivierter Verschlüsselung ist es lediglich ein verlorenes Stück Hardware.

Schritt 2: Überprüfe deinen aktuellen Gerätebestand auf Verschlüsselungslücken

Bevor du irgendetwas vorschreibst, solltest du herausfinden, wo du stehst. Überprüfe den Verschlüsselungsstatus jedes Geräts. Auf einem Mac kannst du im Terminal den Befehl „fdesetup status“ ausführen. Unter Windows öffnest du eine Eingabeaufforderung und führst „manage-bde -status“ aus. Beide Befehle zeigen dir eindeutig an, ob die Verschlüsselung aktiviert ist.

Stellt ehrliche Erwartungen auf: FileVault ist auf dem Mac optional. Nutzer können es bei der Ersteinrichtung überspringen, und viele tun das auch. Auch auf nicht verwalteten Windows-Rechnern ist BitLocker nicht garantiert. Sofern nicht jemand es aktiv aktiviert hat oder eine Richtlinie es erzwingt, werdet ihr auf beiden Plattformen Lücken finden.

Eine Umfrage von Kensington aus dem Jahr 2025 unter 1.000 IT-Entscheidungsträgern ergab, dass 46 % eine Datenpanne als direkte Folge eines ungesicherten oder gestohlenen Geräts erlebt hatten. (Kensington / Vanson Bourne, 2025). Beim Audit geht es darum, Annahmen in Fakten umzuwandeln. Geh nicht davon aus, dass eine der beiden Plattformen abgedeckt ist, bevor du nicht nachgesehen hast.

Wenn du mehr als nur eine Handvoll Geräte verwaltest, ist eine manuelle Überprüfung schon mühsam. Ein Endpunktmanagement-Tool oder eine IT-Sicherheitsplattform kann den Verschlüsselungsstatus deiner gesamten Geräteflotte in Sekundenschnelle abrufen.

Schritt 3: FileVault unter macOS aktivieren

Auf einem einzelnen Mac lässt sich FileVault in den Systemeinstellungen unter „Datenschutz & Sicherheit“ aktivieren. Bei einer Unternehmensflotte solltest du dich jedoch nicht darauf verlassen, dass jeder Mitarbeiter dies selbst erledigt. Der richtige Ansatz ist ein MDM-Konfigurationsprofil, das FileVault automatisch erzwingt.

Wenn das Profil über MDM bereitgestellt wird, aktiviert es FileVault bei der nächsten Benutzeranmeldung. Der Benutzer sieht eine Aufforderung, gibt sein Passwort ein, und die Verschlüsselung beginnt im Hintergrund. Es gibt keine Möglichkeit, diesen Vorgang zu überspringen. Genau darum geht es.

Das entscheidende Detail ist die Hinterlegung des Wiederherstellungsschlüssels. Wenn FileVault aktiviert wird, generiert es einen Wiederherstellungsschlüssel. Dieser Schlüssel ist die einzige Möglichkeit, das Laufwerk zu entsperren, falls der Nutzer sein Passwort vergisst. Befindet sich dieser Schlüssel ausschließlich auf dem Gerät des Nutzers, hast du ein Problem, wenn dieser das Unternehmen verlässt oder sich selbst aussperrt. Deine MDM- oder IT-Plattform muss die Wiederherstellungsschlüssel zentral speichern, nicht auf dem Gerät selbst. Apples Chips der T2- und M-Serie übernehmen die Verschlüsselung auf Hardwareebene, sodass es keine nennenswerten Leistungseinbußen gibt.

Schritt 4: BitLocker unter Windows aktivieren

Unter Windows kann BitLocker über Microsoft Intune (für cloudverwaltete Geräte) oder über Gruppenrichtlinien (für lokale Active-Directory-Umgebungen) erzwungen werden. Wie bei FileVault ist das Ziel eine Richtlinie, die die Verschlüsselung automatisch aktiviert, ohne dass der Nutzer eingreifen muss.

BitLocker nutzt in der Regel ein Trusted Platform Module (TPM) zur Speicherung seiner Schlüssel und funktioniert auf modernen Rechnern am besten mit TPM 2.0. Die meisten Business-Laptops, die in den letzten fünf Jahren hergestellt wurden, verfügen darüber. Windows 11 erfordert TPM 2.0 als Systemvoraussetzung; wenn du also Windows 11 nutzt, bist du auf der Hardware-Seite auf der sicheren Seite.

Es gibt eine Falle bei der Anschaffung, in die viele KMUs tappen: Windows Home unterstützt weder verwaltetes BitLocker noch eine zentralisierte MDM-Durchsetzung, sondern nur eine eingeschränkte automatische Geräteverschlüsselung. Du benötigst Windows Pro oder Enterprise. Das ist kein Einstellungsproblem, das du später beheben kannst; es ist eine Entscheidung, die du bereits beim Kauf treffen musst. Wenn dein Gerätepark Home-Editionen enthält, musst du diese Lizenzen upgraden, bevor eine BitLocker-Durchsetzung möglich ist. Bei der Abwägung zwischen Mac und Windows für den geschäftlichen Einsatz lohnt es sich, die Verwaltbarkeit der Verschlüsselung in den Vergleich einzubeziehen.

Wie bei FileVault müssen Wiederherstellungsschlüssel zentral hinterlegt werden. Sowohl Intune als auch Active Directory unterstützen dies, es muss jedoch explizit konfiguriert werden.

Schritt 5: Verschlüsselung als Richtlinie durchsetzen, nicht als Anfrage

Hier beginnt die eigentliche Arbeit. Die Verschlüsselung für eine Handvoll Geräte zu aktivieren, ist unkompliziert. Sie jedoch auf 30, 50 oder 200 Rechnern durchzusetzen – bei monatlich neuen Mitarbeitern und Geräteaustausch – ist eine ganz andere Herausforderung.

Mitarbeiter zu bitten, die Verschlüsselung selbst zu aktivieren, funktioniert ab etwa 20 Geräten nicht mehr. Die Leute lassen es einfach sein. Neue Mitarbeiter schlüpfen ohne Verschlüsselung durch das Onboarding. Jemand installiert sein Betriebssystem neu und die Richtlinie wird nicht erneut angewendet. Du hast keine einfache Möglichkeit zu wissen, wer die Vorschriften einhält und wer nicht.

Der native Weg wird bei großem Umfang ebenfalls mühsam, da du zwei völlig getrennte Systeme verwaltest. FileVault-Richtlinien liegen in deinem Mac-MDM. BitLocker-Richtlinien liegen in Intune oder in der Gruppenrichtlinie. Das sind zwei Konsolen, zwei Konfigurationssätze und zwei Stellen, die du überprüfen musst, wenn etwas aus dem Ruder läuft. Jedes neue Gerät erfordert einen manuellen Schritt im entsprechenden System.

Eine einheitliche IT-Plattform ändert die Situation grundlegend. Im deeploi-Setup werden Verschlüsselungsrichtlinien sowohl für macOS als auch für Windows automatisch im Rahmen der Geräteregistrierung angewendet. Wenn ein neuer Laptop hinzugefügt wird, ist die Verschlüsselung bereits beim ersten Login aktiviert und muss nicht nachträglich nachgeregelt werden. Eine einzige Konsole deckt sowohl Mac als auch Windows ab und schließt so die Lücke zwischen „Wir haben eine Richtlinie“ und „Die Richtlinie wird tatsächlich umgesetzt“. Dieser Ansatz ist für Teams ohne festangestelltes IT-Personal gedacht, nicht für Leute, die ihre Tage in Intune verbringen wollen.

Schritt 6: Verschlüsselung für Audits überprüfen und dokumentieren

Eine einmalige Durchsetzung der Verschlüsselung reicht nicht aus. Du brauchst kontinuierliche Transparenz. Geräte werden ausgetauscht. Betriebssysteme werden neu installiert. Neue Geräte kommen hinzu. Ohne kontinuierliche Überwachung tauchen unverschlüsselte Geräte unbemerkt in deiner Umgebung auf.

Für die Einhaltung von Cybersicherheitsvorschriften brauchst du mehr als nur ein Richtliniendokument. Du brauchst den Nachweis, dass die Richtlinie tatsächlich angewendet wird – Gerät für Gerät, genau in diesem Moment. ISO 27001-Auditoren und Unternehmenskunden, die eine Anbieter-Due-Diligence-Prüfung durchführen, erwarten Belege: eine übersichtliche Liste der Geräte und den aktuellen Verschlüsselungsstatus jedes einzelnen.

Im deeploi-Dashboard ist der Verschlüsselungsstatus jedes einzelnen Geräts in einer Live-Ansicht sichtbar. Du kannst sehen, welche Geräte verschlüsselt sind und welche nicht, und diesen Status sofort abrufen, sobald ein Kundenfragebogen oder ein Auditor danach fragt.

Behebung häufiger Probleme

BitLocker fordert nach einem Firmware-Update den Wiederherstellungsschlüssel an

UEFI- oder Firmware-Updates können die Startmesswerte ändern, die BitLocker beim Systemstart überprüft. Wenn die Messwerte nicht übereinstimmen, geht BitLocker davon aus, dass der Startvorgang manipuliert wurde, und fragt nach dem Wiederherstellungsschlüssel. Das ist ein erwartetes Verhalten, kein Fehler. Um damit umzugehen, stelle sicher, dass die Wiederherstellungsschlüssel zentral hinterlegt sind, damit die IT den Schlüssel schnell bereitstellen kann. Um dies zu verhindern, deaktiviere BitLocker vor der Installation von Firmware-Updates und aktiviere es anschließend wieder.

FileVault wird nach der Bereitstellung der Richtlinie nicht aktiviert

FileVault erfordert, dass sich der Benutzer nach der Installation des MDM-Profils abmeldet und wieder anmeldet. Wenn sich der Benutzer seit der Bereitstellung nicht abgemeldet hat, wird die Verschlüsselung nicht gestartet. Die Lösung ist einfach: Erinnere den Benutzer daran, seinen Mac neu zu starten. Bei der Registrierung neuer Geräte geschieht dies automatisch während der Einrichtung.

Ältere Hardware ohne TPM 2.0 blockiert BitLocker

Geräte ohne TPM 2.0 können BitLocker in der Standardkonfiguration nicht ausführen. Windows 11 erfordert bereits TPM 2.0, daher betrifft dies vor allem veraltete Windows-10-Geräteflotten. Wenn du ältere Geräte hast, die nicht aktualisiert werden können, solltest du deren Austausch planen. In der Zwischenzeit sollte eine umfassende Sicherheitsstrategie diese Geräte als erhöhtes Risiko kennzeichnen.

FAQ

Reicht eine Festplattenverschlüsselung aus, um die Endgeräte des Unternehmens zu sichern?

Sie ist eine wichtige Schutzebene, aber nicht die einzige. Die Verschlüsselung schützt ruhende Daten, d. h., sie schützt vor physischem Diebstahl und unbefugtem Zugriff auf das Laufwerk. Ein umfassender Ansatz zur Endgerätesicherheit umfasst außerdem regelmäßige Patches, Endgeräteschutzsoftware, Zugriffskontrollen und Sensibilisierungsschulungen für Mitarbeiter.

Verlangsamt die Verschlüsselung Laptops?

Auf moderner Hardware sind die Auswirkungen auf die Leistung vernachlässigbar. Apples Chips der T2- und M-Serie wickeln die Verschlüsselung in dedizierter Hardware ab. Unter Windows verfügen moderne Prozessoren über dedizierte AES-Befehle, die die Verschlüsselung mit vernachlässigbarem Mehraufwand bewältigen.

Was passiert, wenn ein Mitarbeiter sein Passwort auf einem verschlüsselten Gerät vergisst?

Genau deshalb ist die Hinterlegung von Wiederherstellungsschlüsseln so wichtig. Wenn Schlüssel zentral gespeichert sind, kann die IT das Gerät ohne Datenverlust entsperren. Ohne hinterlegte Schlüssel sind die Daten auf diesem Laufwerk möglicherweise dauerhaft unzugänglich. Richte die Schlüsselhinterlegung ein, bevor du die Verschlüsselung durchsetzt – nicht danach.

Brauche ich separate Tools für die Verschlüsselung unter Mac und Windows?

Nicht unbedingt. Zwar unterscheiden sich die zugrunde liegenden Technologien (FileVault vs. BitLocker), doch einheitliche IT-Plattformen können die Verschlüsselung auf beiden Betriebssystemen von einer einzigen Konsole aus durchsetzen und überwachen. Das ist besonders wertvoll für gemischte Geräteflotten, wie sie in den meisten KMUs zum Einsatz kommen.

Fazit und nächste Schritte

Festplattenverschlüsselung ist eine unverzichtbare Grundvoraussetzung für jedes Unternehmen, das Laptops ausgibt. Sie beseitigt das größte Risiko bei Verlust oder Diebstahl eines Geräts: die Offenlegung von Daten. Die nativen Tools FileVault und BitLocker funktionieren gut, aber sich darauf zu verlassen, dass Mitarbeiter sie aktivieren, ist nicht skalierbar, und die Verwaltung zweier separater Systeme führt zu Abweichungen und blinden Flecken.

Der praktische Weg ist die zentrale Durchsetzung: Verschlüsselung, die bei der Geräteeinrichtung automatisch angewendet, kontinuierlich überprüft und für Audits dokumentiert wird. Kombiniere dies mit automatisiertem Patch-Management und Endpunktüberwachung, und du hast die Grundlagen der IT-Sicherheit abgedeckt – ganz ohne spezielles Team.

Eine auf KMU ausgerichtete IT-Plattform wie deeploi vereint all diese Komponenten: die Durchsetzung der Verschlüsselung auf Mac und Windows, die Geräteüberwachung und die Dokumentation der Compliance an einem Ort. Wenn dein Gerätepark wächst und du den Verschlüsselungsstatus immer noch manuell überprüfst, ist es Zeit, dies zu automatisieren.