BitLocker je šifrování disku vestavěné ve Windows. Dělá přesně to, co má: obsah disku je bez klíče nečitelný, takže když vám někdo počítač ukradne nebo vymontuje disk, k datům se nedostane. Pro firmy i jednotlivce je to jedna z nejužitečnějších ochran vůbec – a u notebooku, který jezdí po světě, bychom ji doporučili skoro vždy.
Je tu ale věc, kterou málokdo zaregistroval: BitLocker už dávno není něco, co si člověk vědomě zapíná. Od Windows 11 verze 24H2 se šifrování zařízení aktivuje samo – a s ním vzniká i klíč, o kterém byste měli vědět dřív, než ho budete poprvé potřebovat.
Šifrování se dnes zapíná samo
U Windows 11 24H2 Microsoft zapnul automatické šifrování zařízení ve všech edicích včetně Home a zároveň zmírnil hardwarové podmínky, takže se týká prakticky každého novějšího počítače s TPM a Secure Boot. Spouští se při čisté instalaci, obnovení do továrního nastavení a u nových počítačů – ve chvíli, kdy se při prvním spuštění přihlásíte účtem Microsoft. Obnovovací klíč se v tu chvíli automaticky uloží k vašemu účtu Microsoft, u firemních počítačů ve správě pak do Entra ID či Active Directory. Povýšení staršího systému aktualizací disk zpětně nešifruje – ale každý nový či přeinstalovaný stroj už typicky šifrovaný je.
Výsledek: značná část lidí má dnes šifrovaný disk, aniž by o tom věděla. V běžném provozu to nijak nepoznáte – disk se odemyká automaticky pomocí čipu TPM při startu systému.
Kdy si Windows řeknou o obnovovací klíč
TPM vydá klíč jen tehdy, když start počítače vypadá přesně tak, jak má. Jakmile se něco změní, BitLocker přejde do ochranného režimu a na modré obrazovce požádá o 48místný obnovovací klíč. Stává se to typicky po změnách firmwaru či nastavení BIOS/UEFI, po vymazání nebo výměně TPM, při vypnutí Secure Boot, po servisním zásahu (výměna základní desky) – a někdy taky po obyčejné aktualizaci, která se nepovede.
Není to teorie. V červenci 2024 poslala řádná bezpečnostní aktualizace Windows (KB5040442 a příbuzné balíčky) část počítačů rovnou do obnovovací obrazovky BitLockeru – Microsoft problém oficiálně potvrdil, dotkl se systémů od Windows 10 po servery, a oprava vyšla až se srpnovými aktualizacemi. Podobný incident způsobila už v roce 2022 aktualizace Secure Boot (KB5012170). A při výpadku CrowdStrike v červenci 2024 zažily firmy po celém světě totéž ve velkém: oprava vyžadovala zásah mimo běžný start systému – a tedy obnovovací klíč pro každý jednotlivý stroj.
Kdo klíč měl, ztratil minuty. Kdo ho neměl, díval se na vlastní data skrz zamčené dveře.
V čem je háček
BitLocker nemá zadní vrátka. Bez obnovovacího klíče se k datům nedostanete vy, servis – a řekněme to na rovinu: ani forenzní laboratoř. Klíč není heslo, které by šlo uhodnout; je to náhodný šifrovací klíč chráněný čipem TPM. To je přesně ta vlastnost, kvůli které šifrování chcete – jen se obrací i proti vám, pokud klíč nedržíte.
Automatické ukládání klíče k účtu Microsoft funguje jen tehdy, když instalace proběhla s přihlášením k tomuto účtu – a vy víte, ke kterému. V praxi vídáme situace, kdy klíč nemá kdo dohledat: počítač instaloval „známý, co rozumí počítačům“, účet byl služební a zaměstnanec odešel, firma koupila notebooky mimo centrální správu, nebo se k dávno založenému účtu Microsoft nikdo nedokáže přihlásit. A druhý háček: šifrovaný disk, který se porouchá, je bez klíče ztracený i pro záchranu dat – obnovit lze jen to, co jde dešifrovat.
Pět minut, které vás jednou zachrání
- Zjistěte, jestli šifrujete. Nastavení → Soukromí a zabezpečení → Šifrování zařízení (případně Ovládací panely → Nástroj BitLocker Drive Encryption). Pokud je šifrování zapnuté, pokračujte hned dalším bodem.
- Najděte svůj obnovovací klíč. Přihlaste se na account.microsoft.com/devices/recoverykey – u každého zařízení uvidíte uložené klíče. U firemního počítače se ptejte IT (klíče patří do Entra ID / Active Directory).
- Uložte ho i mimo počítač. Vytiskněte ho nebo uložte do správce hesel či na jiné úložiště – kamkoli, kam se dostanete i ve chvíli, kdy počítač nenastartuje a je tam v bezpečí. Jen ne na samotný šifrovaný disk.
- Ve firmě to nenechávejte na náhodě. Klíče všech strojů patří centrálně do Entra ID/Intune či AD nebo na jiné bezpečné místo. Jednou za čas je dobré ověřit, jestli tam opravdu jsou. Den, kdy je budete potřebovat, nebývá klidný.
- A zálohujte. Šifrování chrání před zloději, ne před vadným diskem. Záloha je záloha.
Zdroje: Elcomsoft – BitLocker ve výchozím stavu ve Windows 11 24H2 (květen 2025) · The Register – červencové aktualizace a obnovovací obrazovka BitLockeru (červenec 2024) · Born City – oprava v srpnových aktualizacích (srpen 2024).