TPM-Plattformvalidierungsprofil für systemeigene UEFI-Firmwarekonfigurationen konfigurieren

Mit dieser Richtlinieneinstellung können Sie konfigurieren, wie die TPM-Sicherheitshardware (Trusted Platform Module) des Computers den BitLocker-Verschlüsselungsschlüssel sichert. Diese Richtlinieneinstellung gilt nicht, wenn der Computer nicht über ein kompatibles TPM verfügt oder wenn BitLocker bereits mit TPM-Schutz eingeschaltet ist.

Wichtig: Diese Gruppenrichtlinie gilt nur für Computer mit systemeigener UEFI-Firmwarekonfiguration. Computer mit BIOS- oder UEFI-Firmware, für die ein Kompatibilitätsdienstmodul (CSM) aktiviert ist, speichern unterschiedliche Werte in den Plattformkonfigurationsregistern (PCRs). Verwenden Sie die Gruppenrichtlinieneinstellung "TPM-Plattformvalidierungsprofil für BIOS-basierte Firmwarekonfigurationen konfigurieren", um das TPM-PCR-Profil für Computer mit BIOS-Konfigurationen oder für Computer mit UEFI-Firmware und aktiviertem CSM zu konfigurieren.

Wenn Sie diese Richtlinieneinstellung aktivieren, bevor Sie BitLocker einschalten, können Sie die Startkomponenten konfigurieren, die das TPM überprüft, bevor der Zugriff auf das BitLocker-verschlüsselte Betriebssystemlaufwerk entsperrt wird. Ändert sich eine dieser Komponenten, während der BitLocker-Schutz aktiviert ist, gibt das TPM den Verschlüsselungsschlüssel nicht zum Entsperren des Laufwerks frei. Stattdessen wird die BitLocker-Wiederherstellungskonsole angezeigt, und es muss entweder das Wiederherstellungskennwort oder der Wiederherstellungsschlüssel angegeben werden, um das Laufwerk zu entsperren.

Wenn Sie diese Richtlinieneinstellung deaktivieren oder nicht konfigurieren, verwendet BitLocker das Standard-Plattformvalidierungsprofil für die verfügbare Hardware oder das Plattformvalidierungsprofil, das im Setupskript angegeben wurde. Ein Plattformvalidierungsprofil besteht aus einer Gruppe von Indizes für das Plattformkonfigurationsregister (PCR) im Bereich von 0 bis 23.

Auf PCs ohne Unterstützung für den sicheren Startzustand (PCR 7) schützt das Standard-Plattformvalidierungsprofil den Verschlüsselungsschlüssel vor Änderungen am ausführbaren Code der Kernsystemfirmware (PCR 0), am erweiterten oder austauschbaren ausführbaren Code (PCR 2), am Start-Manager (PCR 4) und an der BitLocker-Zugriffssteuerung (PCR 11).

Wenn Unterstützung für den sicheren Startzustand (PCR 7) verfügbar ist, schützt das Standard-Plattformvalidierungsprofil den Verschlüsselungsschlüssel mithilfe des sicheren Startzustands (PCR 7) und der BitLocker-Zugriffssteuerung (PCR 11).

Warnung: Wenn Sie ein anderes Profil als das Standard-Plattformvalidierungsprofil verwenden, wirkt sich dies auf die Sicherheit und Verwaltbarkeit des Computers aus. Die Empfindlichkeit von BitLocker gegenüber Plattformmodifikationen (böswillig oder autorisiert) nimmt zu bzw. ab. Dies hängt jeweils davon an, ob PCRs ein- oder ausgeschlossen werden. Genauer gesagt: Wenn Sie diese Richtlinie ohne PCR 7 festlegen, wird die Gruppenrichtlinie "Sicheren Start für Integritätsüberprüfung zulassen" außer Kraft gesetzt. Dadurch wird verhindert, dass BitLocker den sicheren Start für die Integritätsüberprüfung der Plattform oder der Startkonfigurationsdaten (BCD) verwendet. Wenn diese Richtlinie festgelegt ist, wird beim Firmwareupdate u. U. eine BitLocker-Wiederherstellung durchgeführt. Wenn Sie diese Richtlinie so festlegen, dass PCR 0 einbezogen wird, sollten Sie BitLocker vor dem Installieren von Firmwareupdates anhalten.

Es wird empfohlen, diese Richtlinie nicht zu konfigurieren, damit Windows das PCR-Profil ausgehend von der auf den einzelnen PCs verfügbaren Hardware auswählt, um eine optimale Sicherheit und Benutzerfreundlichkeit zu erreichen.