Du möchtest Deine BitLocker PIN ändern, weil sie zu einfach ist oder jemand sie gesehen hat? Unter Windows 11 und Windows 10 öffnest Du dafür „BitLocker verwalten“, wählst anschließend Dein Betriebssystemlaufwerk und klickst dann auf „PIN ändern“. Dort ersetzt Du die bisherige Start-PIN durch eine neue. Die Verschlüsselung Deiner Daten bleibt dabei bestehen.
Etwas anders läuft es, wenn Du hingegen die PIN vergessen hast oder die passende Schaltfläche fehlt. Wir zeigen außerdem, wie Du die PIN per Eingabeaufforderung ändern kannst und was beim Zurücksetzen zu beachten ist.
Was ist die BitLocker PIN und welche PIN möchtest Du ändern?
Die BitLocker PIN ist eine zusätzliche Sicherheitsabfrage für das verschlüsselte Windows-Laufwerk. Du gibst sie vor dem Start von Windows ein. Zusammen mit dem Trusted Platform Module, kurz TPM, schützt sie die Freigabe des Laufwerks. Diese Konfiguration wird als „TPM und PIN“ bezeichnet.
Nicht jeder verschlüsselte PC verwendet eine Start-PIN. Bei einer Konfiguration mit TPM ohne PIN wird das Laufwerk unter den vorgesehenen Startbedingungen automatisch freigegeben. Allein aus einer aktivierten Verschlüsselung lässt sich deshalb nicht ableiten, dass eine BitLocker PIN vorhanden ist.
| Bezeichnung | Wofür wird sie verwendet? | Wo änderst Du sie? |
|---|---|---|
| BitLocker Start-PIN | Freigabe des Windows-Laufwerks vor dem Betriebssystemstart | BitLocker-Verwaltung oder manage-bde |
| Windows Hello PIN | Anmeldung an Deinem Windows-Benutzerkonto | Einstellungen, Konten, Anmeldeoptionen |
| Windows-Kennwort | Anmeldung am lokalen Konto oder am jeweiligen Benutzerkonto | Kontoeinstellungen oder zuständige Kontoverwaltung |
| BitLocker Wiederherstellungsschlüssel | Notfallzugang zum Laufwerk mit einem 48-stelligen Zahlencode | Separate Verwaltung der Wiederherstellungsinformationen |
Erscheint die PIN-Abfrage erst bei Deinem Benutzerbild auf dem Windows-Anmeldebildschirm, gehört sie normalerweise zu Windows Hello. Auch wenn Du Dein Windows Passwort änderst, bleibt die BitLocker Start-PIN davon unabhängig.
Wichtig: Solltest Du Dir unsicher sein, was Deine Änderungen für Auswirkungen haben, so ändere die Bitlocker PIN bitte auf keinen Fall.
Voraussetzungen: Das solltest Du vor dem PIN-Wechsel überprüfen
Passende Windows-Edition und vorhandene Start-PIN
Die hier beschriebene BitLocker-Verwaltung steht in Windows 11 und Windows 10 in den Editionen Pro, Enterprise und Education zur Verfügung. Windows Home kann auf geeigneten Geräten zwar die Geräteverschlüsselung verwenden. Diese bietet aber nicht dieselbe Verwaltung für eine BitLocker Start-PIN.
Deine Edition findest Du unter Einstellungen, System, Info bei den Windows-Spezifikationen. Für die Änderung muss auf Deinem Betriebssystemlaufwerk bereits eine PIN-basierte BitLocker-Schutzmethode eingerichtet sein. Windows muss laufen und das betreffende Laufwerk entsperrt sein.
Die übliche Start-PIN arbeitet mit dem TPM zusammen. Bei Unklarheiten kannst Du die Informationen zum TPM Deines Computers prüfen. Für einen normalen PIN-Wechsel musst Du weder das TPM löschen noch Einstellungen im UEFI verändern.
Wiederherstellungsschlüssel erreichbar aufbewahren
Prüfe vor der Änderung, ob Du Deinen BitLocker Wiederherstellungsschlüssel finden und sicher speichern kannst. Er sollte auch dann erreichbar sein, wenn dieser PC nicht startet. Eine Datei, die ausschließlich auf dem geschützten Laufwerk liegt, hilft Dir in diesem Moment nicht.
Speichere offene Dokumente und halte eine aktuelle Sicherung wichtiger Dateien bereit. Der PIN-Wechsel selbst löscht keine Daten. Eine Datensicherung schützt Dich jedoch zusätzlich vor unabhängigen Problemen wie einem Laufwerksdefekt.
Berechtigungen auf privaten PCs und Firmengeräten
Für die normale Änderung einer bekannten PIN über die grafische Oberfläche sind nicht grundsätzlich Administratorrechte erforderlich. Standardbenutzer dürfen die PIN ändern, wenn sie die bisherige PIN kennen und keine entsprechende Richtlinie das verhindert.
Für den hier beschriebenen Befehlszeilenweg und für das Zurücksetzen einer vergessenen PIN benötigst Du dagegen Administratorrechte. Auf einem Firmenrechner solltest Du vorab klären, ob Du die Änderung selbst durchführen darfst. Eine zentrale Vorgabe lässt sich nicht zuverlässig durch eine lokale Einstellung ersetzen.
BitLocker PIN ändern in Windows 11 und 10: Schritt für Schritt
Die Systemsteuerung ist der einfachste Weg, wenn Du Deine bisherige BitLocker PIN kennst. Unter Windows 11 und Windows 10 ist der grundsätzliche Ablauf gleich.
Schritt 1: BitLocker-Verwaltung öffnen
- Öffne zuerst das Windows-Startmenü.
- Gib
BitLockerin die Suche ein. - Wähle „BitLocker verwalten“ aus.
- Suche im Bereich für Betriebssystemlaufwerke Dein Windows-Laufwerk. Meistens ist das
C:.
Alternativ erreichst Du die Verwaltung über Systemsteuerung, System und Sicherheit, BitLocker-Laufwerkverschlüsselung. Entscheidend ist, dass Du das Betriebssystemlaufwerk auswählst und nicht versehentlich einen USB-Stick oder eine zusätzliche Datenpartition.
Schritt 2: Bisherige PIN ersetzen
- Klappe die verfügbaren Aktionen für das Windows-Laufwerk auf, falls sie noch nicht sichtbar sind.
- Klicke dann bitte auf „PIN ändern“.
- Gib Deine bisherige PIN ein, sofern der Dialog danach fragt.
- Trage die gewünschte neue PIN ein.
- Wiederhole danach die neue PIN im Bestätigungsfeld.
- Bestätige die Änderung und achte auf die Erfolgsmeldung.
Die angezeigten Anforderungen an Länge und Zeichen müssen erfüllt sein. Erscheint eine Fehlermeldung, korrigiere die Eingabe und warte auf die Bestätigung. Eine lediglich ausgefüllte Eingabemaske bedeutet noch nicht, dass Windows die neue PIN übernommen hat.
Wähle nicht „BitLocker deaktivieren“. Damit würdest Du die BitLocker-Verschlüsselung abschalten, statt nur die Start-PIN auszutauschen. Auch ein Aussetzen des Schutzes ist für die normale PIN-Änderung nicht erforderlich.
Schritt 3: Neue PIN beim Neustart testen
Wähle im Startmenü unter „Ein/Aus“ die Option „Neu starten“. Gib die neue PIN bei der BitLocker-Abfrage ein. Wenn anschließend der Windows-Anmeldebildschirm erscheint, hat die Entsperrung funktioniert. Melde Dich dort wie gewohnt an.
Ein Sperren mit Windows-Taste und L reicht für diesen Test nicht aus. Dabei prüfst Du Deine Windows-Anmeldung, aber nicht die Entsperrung des Laufwerks vor dem Systemstart.
BitLocker PIN mit CMD oder PowerShell ändern
Mit dem integrierten Werkzeug manage-bde kannst Du die Start-PIN direkt in einer administrativen Konsole ändern. Du benötigst dafür kein zusätzliches Programm.
Administrative Konsole starten
Suche im Startmenü nach cmd, klicke mit der rechten Maustaste auf die Eingabeaufforderung und wähle „Als Administrator ausführen“. Bestätige die Benutzerkontensteuerung oder gib die erforderlichen administrativen Zugangsdaten ein. Weitere Zugangswege zeigt Dir die Anleitung CMD als Admin ausführen.
Du kannst stattdessen das Windows Terminal als Administrator öffnen und ein PowerShell-Profil verwenden. Der folgende Aufruf startet in beiden Fällen dasselbe Windows-Werkzeug.
Befehl ausführen und neue PIN eingeben
Für ein Windows-Laufwerk mit dem Buchstaben C lautet der Befehl:
manage-bde -changepin C:
Der Parameter -changepin ändert eine vorhandene PIN für das Betriebssystemlaufwerk. Er aktiviert weder BitLocker auf einem unverschlüsselten Laufwerk noch richtet er bei einer reinen TPM-Konfiguration erstmals eine Start-PIN ein.
Nach dem Aufruf fordert Dich das Werkzeug zur Eingabe der neuen PIN und ihrer Bestätigung auf. In der administrativen Konsole wird dafür die alte PIN nicht benötigt. Voraussetzung bleibt, dass Du bereits Zugriff auf das laufende Windows und das entsperrte Laufwerk hast.
Warte auf die erfolgreiche Abschlussmeldung. Führe danach den beschriebenen Neustart-Test durch. Verwende einen anderen Laufwerksbuchstaben nur dann, wenn dort tatsächlich Dein laufendes Windows installiert ist.
Praxistipp: Tippe die neue PIN erst in die interaktive Abfrage ein. Hänge sie nicht an die Befehlszeile an und speichere sie nicht in einem Skript. So landet sie nicht unnötig als Klartext in einer gespeicherten Befehlsfolge.
BitLocker PIN vergessen: So setzt Du sie zurück
Ob Du die vergessene BitLocker PIN direkt zurücksetzen kannst, hängt davon ab, ob Windows noch läuft. Der Wiederherstellungsschlüssel hilft beim Entsperren des Laufwerks. Er ersetzt jedoch keine Windows-Anmeldung und verschafft Dir keine Administratorrechte.
Fall 1: Windows läuft noch
Starte den Computer zunächst nicht neu. Solange das Laufwerk entsperrt ist, kannst Du mit den erforderlichen Administratorrechten eine neue PIN festlegen. Verwende dazu den Befehlszeilenweg oder öffne in der BitLocker-Verwaltung „PIN ändern“ und anschließend die Option zum Zurücksetzen einer vergessenen PIN.
Bei einem Standardkonto musst Du für das administrative Zurücksetzen zusätzliche Zugangsdaten angeben. Fehlen Dir diese, wende Dich an die Person, die den PC verwaltet.
Fall 2: Du kommst nicht mehr über die Startabfrage hinaus
- Wähle am BitLocker-Startbildschirm die angezeigte Möglichkeit zur Wiederherstellung. Beachte die dort eingeblendete Taste oder Auswahl.
- Vergleiche anschließend bitte die angezeigte Schlüssel-ID mit Deinen gespeicherten Wiederherstellungsinformationen.
- Gib den zugehörigen 48-stelligen Wiederherstellungsschlüssel ein.
- Lass danach Windows normal starten und melde Dich an Deinem Benutzerkonto an.
- Öffne die BitLocker-Verwaltung und wähle beim Betriebssystemlaufwerk „PIN ändern“.
- Wähle die Option zum Zurücksetzen einer vergessenen PIN und bestätige die administrative Berechtigung.
- Lege eine neue PIN fest und bestätige sie.
In einer Unternehmensumgebung kann die IT die Wiederherstellungsinformationen beispielsweise in Microsoft Entra ID oder Active Directory verwalten. Für die zweite Variante gibt es die Anleitung zum Auslesen des BitLocker Wiederherstellungskennworts aus dem Active Directory.
Fall 3: Weder PIN noch Wiederherstellungsschlüssel sind verfügbar
Ist das Laufwerk gesperrt und steht keine andere gültige Entsperrmethode zur Verfügung, lässt sich der Zugang nicht durch ein neues Windows-Kennwort oder ein Zurücksetzen des TPM herstellen. Suche zuerst nach gesicherten Wiederherstellungsinformationen oder frage die zuständige IT.
Eine Neuinstallation kann den PC wieder nutzbar machen, rettet aber nicht die weiterhin verschlüsselten Dateien. Lösche oder formatiere das Laufwerk deshalb nicht, solange Du die Daten noch benötigst.
Welche Länge und Zeichen darf die neue BitLocker PIN haben?
Ohne abweichende Richtlinie verwendet eine neu festgelegte BitLocker Start-PIN 6 bis 20 Ziffern. Eine Organisation kann eine andere Mindestlänge vorgeben. Vierstellige PINs sind technisch in entsprechend konfigurierten Umgebungen möglich, aber nicht der normale Standard für eine neue PIN.
Eine alte, kurze PIN kann deshalb bisher funktioniert haben, während Windows beim Ändern eine längere verlangt. Maßgeblich sind die aktuell wirksamen Vorgaben, nicht die Länge der vorherigen PIN.
Zahlen oder erweiterte PIN mit Buchstaben?
Mit aktivierter Unterstützung für erweiterte Start-PINs können zusätzlich Buchstaben, Sonderzeichen und Leerzeichen verwendet werden. Das muss zur Gerätekonfiguration passen. Zeichen, die unter Windows funktionieren, lassen sich in der Umgebung vor dem Systemstart nicht auf jeder Hardware genauso eingeben.
Prüfe deshalb besonders bei einer erweiterten PIN das Tastaturlayout und die verwendete Tastatur. Umlaute oder layoutabhängige Sonderzeichen können den Alltag unnötig erschweren. Eine längere, nicht leicht zu erratende Zahlenfolge ist für viele Anwender praktischer.
Eine PIN wählen, die sicher und alltagstauglich ist
Als praktische Orientierung kannst Du acht bis zehn zufällig gewählte Ziffern verwenden, sofern die geltenden Vorgaben das erlauben. Vermeide Geburtsdaten, fortlaufende Zahlen und wiederholte Ziffern. Nutze außerdem nicht dieselbe Kombination wie für Deine Windows-Anmeldung.
Entscheidend ist nicht nur die Länge: Du musst die PIN zuverlässig eingeben können und solltest sie vor fremden Blicken schützen. Ein offen am Notebook befestigter Zettel würde den zusätzlichen Schutz weitgehend entwerten.
BitLocker PIN lässt sich nicht ändern: Typische Probleme lösen
Die Option „PIN ändern“ fehlt
Kontrolliere zuerst Windows-Edition und ausgewähltes Laufwerk. Prüfe dann, ob überhaupt eine PIN-basierte Schutzmethode eingerichtet ist. Öffne dafür eine administrative Konsole und führe folgenden Lesebefehl aus:
manage-bde -status C:Die Ausgabe enthält unter anderem den Verschlüsselungsstatus, den Schutzstatus und die vorhandenen Schlüsselschutzvorrichtungen. Eine ausführlichere Erklärung findest Du unter BitLocker-Einstellungen mit manage-bde anzeigen.
| Angezeigter Zustand | Was bedeutet das für die PIN-Änderung? |
|---|---|
| TPM und PIN | Eine entsprechende Start-PIN ist vorhanden. Die beschriebenen Änderungswege passen grundsätzlich. |
| TPM ohne PIN-basierte Schutzmethode | Es gibt keine Start-PIN zum Ändern. Eine erstmalige Einrichtung wäre ein eigener Konfigurationsschritt. |
| Laufwerk nicht mit BitLocker verschlüsselt | Es gibt für dieses Laufwerk keine aktive BitLocker Start-PIN. |
| Verschlüsselt, aber Schutz aus | Die Daten können verschlüsselt sein, obwohl der Schutz ausgesetzt oder noch nicht aktiviert ist. |
Lösche keine vorhandenen Schlüsselschutzvorrichtungen, um eine fehlende Schaltfläche zu erzwingen. Auf verwalteten Geräten sollte die IT prüfen, welche Startauthentifizierung vorgesehen ist.
„Zugriff verweigert“ oder Änderung durch Richtlinie gesperrt
Bei einer Fehlermeldung in der Konsole kontrollierst Du zuerst, ob Du sie tatsächlich als Administrator geöffnet hast. Die Mitgliedschaft in der Administratorgruppe allein bedeutet nicht, dass jedes gestartete Fenster erhöhte Rechte verwendet.
Kann ein Standardbenutzer die bekannte PIN in der Oberfläche nicht ändern, kann eine BitLocker-Richtlinie genau diese Aktion untersagen. Die relevanten Einstellungen liegen im Gruppenrichtlinieneditor unter Computerkonfiguration, Administrative Vorlagen, Windows-Komponenten, BitLocker-Laufwerkverschlüsselung, Betriebssystemlaufwerke.
Dort lassen sich unter anderem Änderungen durch Standardbenutzer, die Mindestlänge und erweiterte Start-PINs steuern. Auf einem Firmenrechner werden solche Vorgaben häufig zentral festgelegt. Schwäche sie nicht ab, nur damit eine bestimmte PIN akzeptiert wird.
Die neue PIN wird beim Festlegen abgelehnt
Prüfe die vollständige Fehlermeldung. Häufig ist die PIN kürzer als erlaubt, länger als 20 Zeichen oder enthält unzulässige Zeichen. Auch eine abweichende Wiederholung im Bestätigungsfeld verhindert die Änderung.
Eine Windows Hello PIN, die Buchstaben erlaubt, sagt nichts über die zulässigen Zeichen der BitLocker Start-PIN aus. Beide Funktionen haben eigene Einstellungen.
Die PIN wurde geändert, funktioniert beim Start aber nicht
Prüfe die Tastatureingabe, bevor Du weitere Änderungen vornimmst. Verwende bei Problemen mit dem Ziffernblock zunächst die obere Zahlenreihe. Bei einer erweiterten PIN können Großschreibung und Tastaturlayout entscheidend sein.
Reagiert die Tastatur gar nicht, versuche die eingebaute Notebook-Tastatur oder eine direkt angeschlossene kabelgebundene USB-Tastatur. Eine unter Windows funktionierende Verbindung über Bluetooth oder eine Dockingstation ist kein Nachweis dafür, dass dieselbe Eingabe bereits vor dem Betriebssystemstart verfügbar ist.
Vermeide viele weitere Rateversuche. Das TPM kann bei wiederholten Fehleingaben eine Sperre auslösen. Die zulässige Anzahl und das weitere Verhalten hängen von Hardware und Konfiguration ab. Verwende stattdessen den vorbereiteten Wiederherstellungsweg.
Nach dem Neustart erscheint keine PIN-Abfrage
Prüfe den Schutzstatus und die konfigurierte Entsperrmethode. Ein vollständig verschlüsseltes Laufwerk allein beweist noch keinen aktiven PIN-Schutz. Wurde BitLocker für Wartungsarbeiten ausgesetzt, muss der Schutz nach deren Abschluss wieder fortgesetzt werden.
In Firmenumgebungen kann außerdem eine eingerichtete Netzwerkentsperrung den Start im vertrauenswürdigen Netzwerk ohne manuelle PIN-Eingabe ermöglichen. Eine fehlende Abfrage ist deshalb nicht automatisch eine fehlgeschlagene PIN-Änderung.
Windows fordert weiterhin den Wiederherstellungsschlüssel
Eine wiederkehrende Wiederherstellungsabfrage kann mit der Startumgebung zusammenhängen, etwa nach Änderungen an Firmware, TPM oder Secure Boot. Ein weiterer PIN-Wechsel behebt diese Ursache nicht.
Gehe in diesem Fall gezielt nach der Anleitung BitLocker verlangt bei jedem Start den Wiederherstellungsschlüssel vor, statt wiederholt neue PINs festzulegen.
Praxistipp für Fernwartung: Neustart nicht ohne Vorbereitung auslösen
Änderst Du die PIN während einer Fernwartung, plane die anschließende Eingabe am Gerät. Eine normale Remote-Desktop-Verbindung steht am BitLocker-Startbildschirm noch nicht zur Verfügung. Nach einem Neustart kann der PC deshalb unerreichbar bleiben, bis jemand vor Ort die PIN eingibt.
Stimme den Test mit dem Benutzer ab und halte Wiederherstellungsinformationen über einen sicheren, getrennten Weg bereit. Die PIN und der Wiederherstellungsschlüssel gehören nicht ungeschützt in ein Supportticket, eine E-Mail oder einen Screenshot.
FAQ: Häufige Fragen zum Ändern der BitLocker PIN
Öffne „BitLocker verwalten“, wähle Dein Betriebssystemlaufwerk und klicke auf „PIN ändern“. Alternativ kannst Du in einer administrativen Konsole manage-bde -changepin C: verwenden, wenn C: Dein Windows-Laufwerk ist und bereits eine Start-PIN eingerichtet wurde.
Ja, eine bekannte Start-PIN lässt sich über die BitLocker-Oberfläche normalerweise auch als Standardbenutzer ändern. Eine Firmenrichtlinie kann das verhindern. Zum Zurücksetzen einer vergessenen PIN benötigst Du Administratorrechte.
Nein, die vorhandene Start-PIN lässt sich mit den regulären BitLocker-Verwaltungswerkzeugen nicht im Klartext anzeigen. Die Anzeige von Wiederherstellungsinformationen zeigt nicht Deine PIN. Bei einer vergessenen PIN ist ein berechtigtes Zurücksetzen erforderlich.
Ein reiner PIN-Wechsel ersetzt nicht automatisch den BitLocker Wiederherstellungsschlüssel. Auf verwalteten Geräten kann allerdings ein separater Vorgang, etwa eine konfigurierte Schlüsselrotation nach einer Wiederherstellung, einen neuen Wiederherstellungsschlüssel erzeugen.
Die übliche BitLocker Start-PIN gehört zum Schutz des Betriebssystemlaufwerks und nicht zu einem einzelnen Windows-Konto. Wird sie geändert, betrifft das alle Personen, die diesen Startschutz verwenden. Persönliche Windows Hello PINs bleiben davon getrennt.
Der lokale PIN-Wechsel benötigt grundsätzlich keine Internetverbindung. Eine Verbindung kann jedoch nötig sein, um einen online hinterlegten Wiederherstellungsschlüssel abzurufen oder Vorgaben einer Unternehmensverwaltung umzusetzen.
Bei einer mit Kennwort entsperrten externen BitLocker-Festplatte änderst Du das Laufwerkskennwort, nicht eine TPM-Start-PIN. Öffne dafür beim entsperrten Datenträger die BitLocker-Verwaltung und verwende die Kennwortänderung. Der Parameter -changepin ist dafür nicht vorgesehen.
Ändere sie insbesondere dann, wenn sie jemand Unbefugtes kennen könnte, sie zu leicht erratbar ist oder sich die berechtigten Nutzer ändern. Auf Firmengeräten gelten zusätzlich die jeweiligen Sicherheitsvorgaben. Einen pauschalen Wechselrhythmus brauchst Du daraus nicht abzuleiten.
Fazit: BitLocker PIN gezielt ändern und den Start prüfen
Der Weg zum Ändern der Bitlocker PIN kann unterschiedlich ausfallen. Entweder über die Windows Oberfläche für eine bekannte PIN oder das administrative Zurücksetzen bei einer vergessenen Kombination. Lass die Laufwerksverschlüsselung dabei eingeschaltet. Wichtig ist am Ende nicht nur die Erfolgsmeldung, sondern ein kontrollierter Start mit der neuen PIN und ein weiterhin erreichbarer Wiederherstellungsschlüssel.
Neueste Kommentare