PC abgeraucht - HDD bitlocker verschlüsselt

[kalist]

Hallo Leute,
ich stehe vor folgender Aufgabe:
Durch eine eine Spannungsspitze hat es den Computer meiner Mum zerlegt. Einschalten, läuft 2 Sekunden an, geht wieder aus.
Mein Netzteil probiert: tut sich auch nichts. Gut, altes System mit Intel 6500, GTX740 etc. wird getauscht, gibts eben einen Neuen.

8500G mit günstigen Komponenten bestellt und zusammen geschraubt (Office-PC).
Ich war jedoch so naiv zu glauben, dass ich im Bootmenu die alte SSD auswählen könnte um noch an die Daten zu kommen.
Leider findet der neue PC im Bios nur die neue Nvme, aber nicht die alte SSD und/oder HDD.
Die 128GB SSD war nur die Systemplatte, die Daten liegen auf der 2TB HDD.

Hab auf der Nvme Windows installiert, komme aber auch nicht an die Daten der HDD, da Bitlocker verschlüsselt.
Auf die SSD kann ich vom neuen Windows aus, auf die Ordner zugreifen. Ich nehme an das dies bedeutet, dass nur ein lokaler Account erstellt wurde (den PC hab nicht ich zusammen gestellt).

Ich denke die Problematik ist klar: Ich brauch die Daten von der HDD.
Kann ich irgendwie die SSD booten, damit ich an den Bitlockerkey komme für die HDD?
Oder kann ich vom neuen Windows aus auf der SSD den Bitlockerkey "auslesen"?

Das wären meine Ideen, ich nehm aber natürlich auch gern jede andere die funktioniert.
Danke vorab fürs lesen und noch mehr für Vorschläge!

 

[Luxxiator]

Wenn der alte PC im MS Konto lag, findeste m.W. den Key dort....

 

[Techlogi]

Bevor du weiter rum probierst, würde ich ganz als erstes mittels Clonezilla eine Sicherung der alten SSD machen.
Dann schau mal auf dem neuem System ob im UEFI CSM aktiviert ist. Um "Win11 ready" zu sein, muss dies nämlich vom Hersteller standardmäßig deaktiviert sein.

 

[kalist]

Wenn der alte PC im MS Konto lag, findeste m.W. den Key dort....

Tja das ist die große Frage ob es eines gibt.
Sie hat sich ohne Passwort angemeldet. Kann ich das auf der SSD irgendwie nachschauen?
Das man das so alles nicht macht, hab ich ihr natürlich schon gesagt, aber nützt mir ja jetzt nichts mehr.

Bevor du weiter rum probierst, würde ich ganz als erstes mittels Clonezilla eine Sicherung der alten SSD machen.
Dann schau mal auf dem neuem System ob im UEFI CSM aktiviert ist. Um "Win11 ready" zu sein, muss dies nämlich vom Hersteller standardmäßig deaktiviert sein.

Ja das wäre auch mein nächster Schritt gewesen, eine Sicherung zu erstellen.
Du meinst, mit CSM aktiv findet er evtl. die SSD? Probier ich direkt.---> Nein ist deaktiviert. Hab ich aktiviert, gespeichert und beenden ... ---> lande wieder im Bios und ist wieder deaktiviert?!?
Nvme hab ich aktuell ausgebaut.

 

[Luxxiator]

Tja das ist die große Frage ob es eines gibt.

Selbst wenn, brauchste die Zugangsdaten des Kontos. Wenn man die nicht hat, gibt es wohl zumindest für das Konto eine Möglichkeit, das Passwort wiederherstellen zu lassen (musste mal schauen). Ohne Key für den Bitlocker sind die Daten definitiv futsch und zwar für immer......

 

[Techlogi]

Mach mal zusätzlich secureboot aus, denn das funktioniert auch nur mit deaktiviertem csm.

 

[kalist]

Mach mal zusätzlich secureboot aus, denn das funktioniert auch nur mit deaktiviertem csm.

so, damit hab ich die SSD im bootmenu gefunden.
Hab ich euphorisch natürlich gleich probiert, allerdings bekomm ich nur einen stehenden Cursor angezeigt. Das mit dem booten wird wohl nix werden.
Ich mach jetzt erst mal das backup.

Evtl. nen USB-Reperaturstick erstellen und damit die SSD zum booten bewegen? Wäre jetzt meine Idee...

Selbst wenn, brauchste die Zugangsdaten des Kontos. Wenn man die nicht hat, gibt es wohl zumindest für das Konto eine Möglichkeit, das Passwort wiederherstellen zu lassen (musste mal schauen). Ohne Key für den Bitlocker sind die Daten definitiv futsch und zwar für immer......

Ich werde mal versuchen Ihre Emailadressen durchzuprobieren. Wenn ich mich recht entsinne unterscheidet windows zwischen "Konto nicht vorhanden" und falsches Passwort.
Aber ich befürchte, dass es nur ein lokales Konto war, sonst wäre die SSD doch auch verschlüsselt?

Beitrag automatisch zusammengeführt: Gestern um 12:07

da fällt mir auf, dass Sie nicht mal weiß ob Sie Windows 8, 10 oder 11 hatte. oder sogar noch 7? ohje...

 

[Luxxiator]

Das mit dem booten wird wohl nix werden.

Wäre jetzt die Frage, wie Windows installiert wurde; GPT oder MBR. Ich gehe mal von MBR aus; dort müsste m.W. CSM eingeschaltet sein, um Windows zu booten. Diese Optionen musste alle mal durchtesten; zumindest sollte Windows starten, auch wenn sich die HW komplett geändert hat....

Evtl. nen USB-Reperaturstick erstellen und damit die SSD zum booten bewegen? Wäre jetzt meine Idee...

So funktioniert das nicht...

EDIT: Evtl hast noch jemand einen alten Desktop in Deiner Umgebung, der noch kein Secure Boot etc hat; dort könnte man sein Glück versuchen. Ich gehe mal von 2,5 Zoll SSD aus, oder?

 

[kalist]

Wäre jetzt die Frage, wie Windows installiert wurde; GPT oder MBR. Ich gehe mal von MBR aus; dort müsste m.W. CSM eingeschaltet sein, um Windows zu booten. Diese Optionen musste alle mal durchtesten; zumindest sollte Windows starten, auch wenn sich die HW komplett geändert hat....

Wenn ich dich richtig verstehe, müsst ich halt mal die Einstellungen im Bios durchtesten. Mit irgendeiner "Version" sollte sie dann zum booten hochkommen.
Solange ich nicht die richtigen Einstellungen finde, wird mir auch der Reparaturstick nichts bringen, ok verstanden.


Hab eben meine alte 250er SSD rausgekramt (wegen Clonen) und bin mal auf die Idee gekommen diese anzuklemmen... War sofort im Windows 8! Verrät mir aber nicht wirklich etwas über die andere SSD.

 

[Luxxiator]

Du könntest in der Datenträgerverwaltung von Windows 8 schauen, in welchem Modus Windows auf der alte SSD installiert wurde. Dort steht GPT oder MBR; dann weißte es ganz genau....

...wird mir auch der Reparaturstick nichts bringen, ok verstanden.

Der hilft Dir eigentlich in dem Fall gar nichts; nur für den momentanen Fall mit GPT oder nicht....

 

[kalist]

Du könntest in der Datenträgerverwaltung von Windows 8 schauen, in welchem Modus Windows auf der alte SSD installiert wurde. Dort steht GPT oder MBR; dann weißte es ganz genau....

Guten Morgen,
musste dann gestern auch mal was arbeiten.

Ok, das mach ich gleich als erstes. Hab allerdings gestern Abend bei ebay das gleiche Z170 Board mit nem 6500 für 50,-€ geschossen (was ein Zufall). Ich denke wenn ich die SSD an das alte System klemme, müsste es ja theoretisch direkt hochfahren? Ja klar, in Abhängigkeit wie Windows installiert wurde.

Die 50,-€ Aufpreis sind es meiner Mum wert um die Daten zu erhalten. Davon ab, dass ich den alten PC sicherlich für 50,-€ wieder los werde.

Beitrag automatisch zusammengeführt: Heute um 09:30

EDIT: Evtl hast noch jemand einen alten Desktop in Deiner Umgebung, der noch kein Secure Boot etc hat; dort könnte man sein Glück versuchen. Ich gehe mal von 2,5 Zoll SSD aus, oder?

Bin auf den Kauf über diese Idee gestoßen, wollte ich noch anfügen. Weil nein, das älteste System in meinem Umfeld das mir einfällt ist ein Ryzen 3600er, da müsste auch schon Secure Boot laufen.

 

[sanni]

Du brauchst den Bitlocker Recovery Key, der wurde dir damals bei der Verschlüsselung mit Bitlocker angezeigt. Logischerweise wirst du ohne diesen die Festplatte nie wieder entschlüsseln können ansonsten wäre Bitlocker ja komplett sinnlos.

 

[tom1tom]

der Key ist zu 99,99% an das Board gebunden.

Da kannst wahrscheinlich noch 10x das gleiche Board kaufen und wird nicht funktionieren.

Denn was bringt eine Verschlüsselung wenn ich sie durch Tausch des Boards aushebeln kann.

Na hoffentlich findest den Recovery key wieder.

 

[n3cron]

Es gibt die Möglichkeit den Key aus einem Mainboard zu extrahieren, dafür brauch man aber spezielles Equipment. Der Datentransfer zwischen TPM und CPU is nicht verschlüsselt und man könnte mit entsprechendem Gerät diese Daten abfangen und rauslesen.

 

[Luxxiator]

Der Datentransfer zwischen TPM und CPU ist nicht verschlüsselt

Sicher?

der Key ist zu 99,99% an das Board gebunden.

Der liegt normal abgeschottet im TPM und den wird das Ding nicht freiwillig rausrücken. Es sei denn, TPM war nicht in Betrieb weil abgeschaltet. Ich frage mich, wie das beim TE überhaupt gelaufen ist; Key während der Neuinstallation einmalig eingegeben und dann wird der automatisch dauerhaft beim Start geladen sprich das System entschlüsselt? Hab da keine Erfahrung mit, aber wenn Windows erkennt, das sich irgendwie die HW geändert hat, will es wieder den Key. Und ob man den Key nachträglich ins MS Konto kriegt, ohne den zu kennen....

 

[n3cron]

Sicher?


Der liegt normal im TPM und den wird das Ding nicht freiwillig rausrücken. Es sei denn, TPM war nicht in Betrieb weil abgeschaltet. Ich frage mich, wie das beim TE überhaupt gelaufen ist; Key während der Neuinstallation einmalig eingegeben und dann wird der automatisch dauerhaft beim Start geladen sprich das System entschlüsselt? Hab da keine Erfahrung mit, aber wenn Windows erkennt, das sich irgendwie die HW geändert hat, will es wieder den Key. Und ob man den Key nachträglich ins MS Konto kriegt, ohne den zu kennen....

Der Entschlüsselung Key wird über die Platine TPM an die CPU geschickt, das kann man rauslesen. Dieser Datenverkehr ist nicht verschlüsselt.

Bitlocker über TPM binnen 42 Sekunden mit Raspberry Pi Pico ermittelt

[English]Gute Nachrichten für Leute, die ihren Bitlocker-Schlüssel „irgendwie“ verloren haben und nicht mehr an verschlüsselte Medien heran kommen. Schlechte Nachrichten für Leute, die meinen „mit…

www.borncity.com

Der als TPM-Sniffer fungierende Raspberry Pi Pico macht sich dabei die Tatsache zunutze, dass die Kommunikation zwischen der CPU und dem externen TPM auf dem LPC-Bus beim Booten unverschlüsselt verfolgt. Das ermöglicht es einem Angreifer, kritische Daten auf dem Weg zwischen den beiden Einheiten abzufangen und so die Bitlocker-Verschlüsselungsschlüssel zu ermitteln.

 

[Luxxiator]

Also wenn das tatsächlich so ist, ist Bitlocker unbrauchbar. Zumindest wenn das TPM extern sprich auf dem Brett liegt...

Im Übrigen ist eine Recovery-Key ein eigener KeyProtector, der unabhängig ist vom Key im TPM. Der Recovery-Key ist dafür da, dass man noch ran kommt, falls der TPM sich sperrt oder gecleard wird.

Den hat wahrscheinlich auch keiner...

 

[n3cron]

Also wenn das tatsächlich so ist, ist Bitlocker unbrauchbar. Zumindest wenn das TPM extern sprich auf dem Brett liegt...

Es ist schon brauchbar, es muss sich jemand mit technischen Dingen auskennen als der durch schnittliche DAU wird es nicht ganz so einfach haben.

Bitlocker ist immer noch recht Sinnvoll, aber natürlich schützt das nichts gegen Geheimdienste, Hacker etc. Wenn aber der Datenträger wie hier im Beispiel von seinem Mastersystem getrennt ist - sind die Daten sicher. So lange niemand zugriff auf das Mainboard hat. Ist das Mainboard defekt wird die Rekonstruktion erschwert.

Das ganze Konzept ist nur für Notebooks eher Fragwürdig.

=> einen Vorteil hats dennoch eine vorher verschlüsselte Festplatte die anschließend Formatiert wurde ist relativ sicher gegen Rekonstruktion von Daten.
Klar kann man hier immer noch versuchen den Cache auszulesen etc. Aber mehr als Kauderwelsch wird man nicht restoren können.

 

[Luxxiator]

Wo liegt der Key, wenn TPM aus war? Irgendwo gehashed auf der Platte, oder? Hat der TE da vllt eine Chance, das Windows mit dem anderen Brett bis zum Desktop bootet, ohne den Key haben zu wollen? Das wäre zu einfach....

 

[n3cron]

Wo liegt der Key, wenn TPM aus war? Irgendwo gehashed auf der Platte, oder? Hat der TE da vllt eine Chance, das Windows mit dem anderen Brett bis zum Desktop bootet, ohne den Key haben zu wollen? Das wäre zu einfach....

Ich bin mir gar nicht sicher ob man ohne TPM Bitlocker verwenden kann.
Ich kenn das aber von anderen Crypt Programmen das der Key halt irgendwo anders abgelegt werden muss z. B anderer Datenträger oder USB Stick.
So war das z. B mal bei Truecrypt.

Edit: Der Key selbst war Passwort verschlüsselt die Empfehlung war sich mit Eselsbrücke einen Satz als Passwort zu setzen mit mindestens 20 Zeichen oder so.
Dann hat auch ein offline Cracker spaß dabei Jahrzehnte zu brauchen.

 

[Luxxiator]

Ich bin mir gar nicht sicher ob man ohne TPM Bitlocker verwenden kann.

Andere Verschlüsseller können das doch auch, oder? Wie eben lt. Deiner Aussage Truecrypt; das existiert ja u.U. schon vor TPM....

 

[n3cron]

Andere Verschlüsseller können das doch auch, oder? Wie eben lt. Deiner Aussage Truecrypt; das existiert ja u.U. schon vor TPM....

Bitlocker ist ein Microsoft Produkt denke ich mal.

Beitrag automatisch zusammengeführt: Heute um 12:00

Andere Verschlüsseller können das doch auch, oder? Wie eben lt. Deiner Aussage Truecrypt; das existiert ja u.U. schon vor TPM....

Mein Rechner privat ist nicht verschlüsselt, ich hätte nichts davon. Ich hab kein Crypto Wallet noch irgendwelche Grauzonen Dinge auf meinem PC. Alles wichtige liegt auf der NAS.

 

[Luxxiator]

Das ist bekannt, aber mal schauen was passiert, wenn dem TE der Start mit dem gebrauchten Brett gelingt. Oder halt nicht....

 

[n3cron]

Das ist bekannt, aber mal schauen was passiert, wenn dem TE der Start mit dem gebrauchten Brett gelingt. Oder halt nicht....

Wenn ihm das Gelingt muss er ins Bios, normalerweise wird bereits dort unter TPM der Key angezeigt also manche Zeigen das dort an (der erzeugte Key)

 

[Luxxiator]

Im BIOS einfach so wird der Key zur Entschlüssselung angezeigt? Das wäre echt blöd im Sinne der Sicherheit oder hab ich jetzt was falsch verstanden?