BitLocker verlangt Wiederherstellungsschlüssel nach Hotpatch KB5120994

BitLocker-Wiederherstellungsschlüssel nach August-Hotpatch KB5120994: Wenn der Rechner plötzlich aussperrt

Seit dem 21. August 2026 berichten Administratoren, dass Windows-11-Geräte nach den Hotpatches KB5120994 und KB5123607 beim nächsten Neustart unerwartet den 48-stelligen BitLocker-Wiederherstellungsschlüssel verlangen. Danach ist teilweise auch die Windows-Hello-PIN nicht mehr verfügbar. Die Daten auf dem Laufwerk sind nach bisherigem Stand intakt – aber ohne den passenden Schlüssel kommt niemand mehr an sie heran.

Das ist die entscheidende Unterscheidung bei diesem Vorfall: Es handelt sich nicht um einen Defekt der SSD oder Festplatte und nicht um gelöschte Dateien. Es handelt sich um einen kryptografischen Zugriffsverlust – das Laufwerk ist verschlüsselt, und der Schlüssel, mit dem Windows es beim Start normalerweise automatisch öffnet, greift nicht mehr. Wer jetzt in Panik das System neu aufsetzt oder das TPM zurücksetzt, macht aus einem lösbaren Zugriffsproblem einen endgültigen Datenverlust.

Was ist genau passiert?

Am 11. August 2026 hat Microsoft den Sicherheits-Hotpatch KB5120994 für Windows 11 24H2 und 25H2 veröffentlicht (OS-Builds 26100.9106 und 26200.9106). Am selben Tag folgte KB5123607, ein eigenständiges Sicherheitsupdate ausschließlich für Hotpatch-registrierte Geräte, das laut Microsoft ohne Neustart wirksam werden soll. In den Release Notes beider Updates steht ausdrücklich:

„Microsoft is not currently aware of any issues with this update.“ – Microsoft Support, KB5120994 und KB5123607

Am 21. August 2026 dokumentierte ein Thread im Intune-Forum auf Reddit dann eine auffällige Abfolge auf einzelnen Geräten: Hotpatch installiert – später Neustart – unerwartete BitLocker-Wiederherstellungsabfrage – nach Eingabe des korrekten Schlüssels startet Windows zwar, aber die Anmeldung per Windows Hello for Business (WHfB) mit PIN funktioniert teilweise nicht mehr. Mehrere Kommentierende meldeten ähnliche Einzelfälle. Der ursprüngliche Verfasser schloss geänderte BIOS- und TPM-Versionen in seiner Umgebung ausdrücklich aus.

Wichtig für die Einordnung: Das sind anekdotische Nutzerberichte, kein Kausalitätsnachweis. Stand 22. August 2026 gibt es weder eine Bestätigung von Microsoft noch einen Eintrag im Release-Health-Dashboard für Windows 11 25H2 – dort ist nach dem August-Update nur ein anderes, spielbezogenes Problem dokumentiert. Es existiert keine offizielle Betroffenenzahl, keine bestätigte Modellliste und keine Ausfallrate. Im Reddit-Thread ist von „some devices“, „a handful of devices“ oder „3 or 4“ Fällen die Rede – Angaben, die nicht unabhängig geprüft und nicht zusammenrechenbar sind.

Warum verlangt BitLocker überhaupt den Wiederherstellungsschlüssel?

BitLocker verschlüsselt das gesamte Laufwerk und gibt es beim Start über einen Schlüssel frei, der im TPM liegt – einem separaten Sicherheitschip auf dem Mainboard. Weichen die beim Start gemessenen Sicherheitswerte vom erwarteten Zustand ab, verweigert BitLocker die automatische Entsperrung. Das ist eine Schutzfunktion, kein Fehler und kein Zeichen für beschädigte Daten.

„The following list provides examples of common events that cause a device to enter BitLocker recovery mode when starting Windows: Turning off, disabling, deactivating, or clearing the TPM; TPM self-test failure; upgrading critical early startup components, such as a BIOS or UEFI firmware upgrade; [and] modifying the Platform Configuration Registers (PCRs) used by the TPM validation profile.“ – Microsoft Learn, BitLocker recovery overview

Microsoft erklärt an keiner Stelle, dass KB5120994 oder KB5123607 ein TPM zurücksetzen, die BitLocker-Bindung lösen oder den WHfB-Container beschädigen. Die im Forum diskutierten Ursachen – TPM-Zustand, Secure-Boot-Zertifikate, Firmwarezustand – bleiben unbestätigte Hypothesen.

Ist mein Gerät betroffen?

Betroffen sein können nach den vorliegenden Berichten:

• Windows 11 24H2 und 25H2 auf Hotpatch-registrierten Enterprise-Geräten
• Installierte Updates KB5120994 (OS-Builds 26100.9106 / 26200.9106) und nachgelagert KB5123607
• Geräte mit aktiviertem BitLocker und Windows Hello for Business

Eine bestimmte Hardware- oder Modellreihe ist für diesen Vorfall nicht bestätigt. Microsoft dokumentiert derzeit keine betroffenen Firmwarestände.

Der getrennte HP-Fall – bitte nicht verwechseln

Parallel existiert ein eigenständiger, dokumentierter Herstellerfall: HP hat am 11. Mai 2026 eine Mitteilung zu BitLocker-Recovery-Schleifen nach bestimmten BIOS-Updates von Anfang April 2026 veröffentlicht. Betroffen sind laut HP alle HP Commercial Notebooks, HP Commercial Desktops und HP Workstation Computers unter Windows 11 23H2, 24H2 und 25H2.

„A BitLocker recovery screen may appear on next boot after updating a computer with BIOS updates released in early April 2026.“ – HP Support

Ursache waren dort fehlgeschlagene Secure-Boot-2023-Zertifikatsaktualisierungen – nicht die August-Hotpatches. HP nennt zur Prüfung die Registrierungswerte UEFICA2023Status und UEFICA2023Error sowie Mindest-BIOS-Stände. Das sollte ausschließlich die IT nach HP-Anleitung prüfen, nicht der Anwender im BIOS. Ebenfalls davon getrennt: Microsoft hatte bereits am 14. April 2026 mit KB5083769 einen anderen Fehler adressiert, bei dem Geräte nach Secure-Boot-Updates in BitLocker Recovery liefen.

Woran erkenne ich die BitLocker- und Windows-Hello-Aussperrung?

• Nach Installation des Hotpatches erscheint beim nächsten Neustart oder Einschalten unerwartet die BitLocker-Wiederherstellungsseite.
• Nach Eingabe des korrekten 48-stelligen Wiederherstellungsschlüssels startet Windows laut Ausgangsbericht zunächst normal.
• Anschließend ist Windows Hello for Business mit PIN teils nicht verfügbar; die Oberfläche meldet sinngemäß, es sei ein Problem aufgetreten und die PIN sei nicht verfügbar.
• Ein weiterer Neustart behebt die PIN-Störung laut Nutzerbericht nur bei einem Teil der Geräte.
• Zusätzlich berichtet der Verfasser, die Geräte blieben in Microsoft Defender sichtbar, seien aber über Intune nicht mehr erreichbar. Auch das ist nicht unabhängig bestätigt.

So prüfen Sie ungefährlich, ob Sie betroffen sind

1. Nicht in BIOS, UEFI oder TPM eingreifen. Notieren oder fotografieren Sie auf der BitLocker-Seite zuerst die ersten acht Stellen der angezeigten Wiederherstellungsschlüssel-ID.
2. Suchen Sie den passenden Schlüssel von einem anderen Gerät aus: bei privat verwalteten Geräten unter aka.ms/myrecoverykey, bei Arbeits- oder Schulgeräten unter aka.ms/aadrecoverykey oder über die zuständige IT-Abteilung.
3. Vergleichen Sie die Schlüssel-ID, bevor Sie den 48-stelligen Schlüssel eingeben.
4. Startet Windows nach der korrekten Eingabe, prüfen Sie, ob die PIN unter den Anmeldeoptionen verfügbar ist. Ist „PIN vergessen“ sichtbar, kann das beim Microsoft-Konto der unterstützte Weg sein; andernfalls mit Kennwort anmelden.
5. Bei verwalteten Geräten sollte die IT prüfen, ob das Gerät für Hotpatch registriert ist und ob KB5120994 / KB5123607 installiert oder angeboten wurden – und BIOS-, TPM- sowie Secure-Boot-Änderungen seit dem letzten fehlerfreien Start dokumentieren.

Das sollten Sie jetzt tun

1. Ruhe bewahren. Eine einzelne Recovery-Abfrage bedeutet nicht, dass Ihre Dateien beschädigt oder gelöscht sind.
2. Nur den passenden Wiederherstellungsschlüssel eingeben. Suchen Sie ihn ausschließlich über das eigene Microsoft-Konto, das Arbeits-/Schulkonto, einen Ausdruck, einen gesicherten USB-Stick oder die IT. Geben Sie den 48-stelligen Schlüssel niemals an Dritte weiter – er entsperrt das komplette Laufwerk.
3. Bei Firmen-, Schul- oder verwalteten Geräten zuerst die IT kontaktieren. Nur sie kann den Schlüssel im Organisationskonto abrufen und die Update-, TPM- und Secure-Boot-Situation bewerten.
4. Wenn Windows startet: sofort sichern. Kopieren Sie wichtige Daten auf ein separates Speichermedium, bevor irgendetwas anderes geändert wird. Erst danach den PIN-Reset über die Anmeldeoptionen prüfen lassen.
5. Keine weiteren Updates, keine Firmware-Aktualisierung, keine Konfigurationsänderungen, solange das Gerät in diesem Zustand ist.

Wenn Sie den Schlüssel nicht finden oder das Gerät gar nicht mehr durchstartet: Lassen Sie das Gerät ab hier in Ruhe und lassen Sie den Fall fachlich prüfen. Jeder weitere Versuch verschlechtert die Ausgangslage.

Das dürfen Sie auf keinen Fall tun

Dieser Abschnitt ist der wichtigste des ganzen Beitrags. Bei einem verschlüsselten Laufwerk sind es fast immer die gut gemeinten „Reparaturversuche“, die aus einer Aussperrung einen endgültigen Verlust machen.

• „Diesen PC zurücksetzen“ oder eine Neuinstallation – niemals als erster Schritt. Im Reddit-Thread wird die vollständige Neuinstallation als einzige bislang zuverlässig funktionierende Maßnahme genannt. Sie erzeugt ein funktionierendes System – aber Microsoft weist ausdrücklich darauf hin, dass ein Zurücksetzen alle Dateien entfernt. Ihre Daten sind danach weg. Ein arbeitsfähiges Notebook ist kein Ersatz für zehn Jahre Buchhaltung.
• Das TPM löschen oder zurücksetzen. Microsoft warnt unmissverständlich: „Clearing the TPM causes you to lose all created keys associated with the TPM, and data protected by those keys, such as a virtual smart card or a sign-in PIN.“ (Microsoft Learn, Troubleshoot the TPM). Auf Arbeits- oder Schulgeräten darf das niemals ohne Anweisung der IT geschehen.
• Den Windows-Hello-Container mit certutil -deleteHelloContainer löschen, ohne vorher alternative Anmeldemethoden bereitzuhalten. Microsoft: „On the latest versions of Windows 11, running the certutil -deletehellocontainer command clears not only Windows Hello for Business, but also any passkeys stored on that Windows device.“ Das löscht zwar nicht nachweislich BitLocker-Daten, kann aber den Zugang zu weiteren Konten kosten.
• Ungezielte Änderungen an BIOS, UEFI, Secure Boot, TPM oder Boot-Konfiguration. Genau diese Eingriffe listet Microsoft als typische Auslöser einer BitLocker-Recovery-Abfrage. HP warnt zusätzlich vor Recovery-Fehlern, wenn Secure-Boot-Zertifikate ohne ausgesetztes BitLocker geändert werden. Sie verschlechtern damit die Ursachenanalyse und möglicherweise den Zugriff.
• Wiederholte Startversuche und „Ausprobieren“ falscher Schlüssel. Prüfen Sie erst die Schlüssel-ID, dann geben Sie ein.

Und ein Punkt, den man nicht oft genug sagen kann: Ohne den richtigen Wiederherstellungsschlüssel kann niemand das Laufwerk öffnen – auch der Hersteller nicht.

„Microsoft Support doesn't have the ability to retrieve, provide, or recreate a lost BitLocker recovery key.“ – Microsoft Support, Find your BitLocker recovery key

Erfahrungsgemäß sind es genau diese hastigen Selbstversuche – zurücksetzen, TPM leeren, im BIOS „mal schauen“ –, die am Ende dazu führen, dass Daten unrettbar sind. Das Laufwerk selbst ist in diesen Fällen völlig gesund.

Gibt es einen Fix von Microsoft?

Nein. Stand 22. August 2026 gibt es für die gemeldete Kombination aus BitLocker-Recovery und anschließend nicht verfügbarer Windows-Hello-PIN nach KB5120994 / KB5123607 keinen offiziellen Fix, keinen Rückruf und keine Herstellerbestätigung. Beide KB-Seiten führen keine bekannten Probleme, das Release-Health-Dashboard ebenfalls nicht. Eine bestimmte Deinstallation, ein Firmwarestand oder ein universeller Workaround lässt sich deshalb seriös nicht empfehlen.

Der offiziell dokumentierte Weg lautet: Wiederherstellungsschlüssel finden, Windows entsperren, Daten sichern, danach die PIN über die vorgesehenen Anmeldeoptionen zurücksetzen. Die HP-Abhilfe zum Secure-Boot-Fall gilt ausschließlich für den dort beschriebenen BIOS-Fall und ist kein Fix für die Hotpatch-Meldung.

Warum dieser Fall in Profihände gehört – und wie RESQ konkret hilft

Eine BitLocker-Aussperrung unterscheidet sich grundlegend von einer defekten Festplatte. Die Elektronik funktioniert, die SSD ist gesund, die Sektoren sind lesbar – und trotzdem sieht man nur eine Wand aus Verschlüsselung. Genau deshalb ist die Vorgehensweise eine andere, und genau deshalb richtet Selbsthilfe hier so großen Schaden an: Ein Klick auf „Diesen PC zurücksetzen“ dauert eine Sekunde und ist unumkehrbar.

Was eine professionelle Datenrettung bei diesem Schadensbild anders macht:

• Arbeit an einer Kopie, nie am Original. Der erste Schritt ist ein vollständiges, schreibgeschütztes Sektor-Abbild des verschlüsselten Datenträgers. Alle weiteren Versuche laufen ausschließlich auf dieser Kopie. Der Originalzustand bleibt unangetastet – selbst wenn ein Ansatz scheitert, ist nichts verloren.
• Saubere Diagnose statt Rätselraten. Ist das Laufwerk lediglich gesperrt, oder liegt zusätzlich ein Hardwaredefekt vor? Ist der Wiederherstellungsschlüssel im Microsoft- oder Entra-Konto hinterlegt, in einem Firmen-Backup, auf einem alten Ausdruck oder in einer Intune-Umgebung, die aktuell nicht mehr erreichbar ist? Diese Abgrenzung entscheidet über den weiteren Weg.
• Erfahrung mit genau diesem Fehlerbild. Update-bedingte Zugriffsverluste bei verschlüsselten Notebooks, TPM-Bindungsprobleme und gesperrte Systemlaufwerke sind ein wiederkehrendes Muster. Wer den Unterschied zwischen einem gesperrten und einem beschädigten Datenträger kennt, spart dem Kunden die teuerste Fehlentscheidung.
• Laborausstattung. Falls im Zuge der Panik bereits Eingriffe stattgefunden haben oder zusätzlich ein Hardwareproblem an SSD oder Festplatte vorliegt, stehen Spezialwerkzeug, Ersatzteile und eine Reinraumumgebung zur Verfügung – nicht jeder Fall braucht das, aber wenn er es braucht, ist es nicht improvisierbar.

Der Ablauf bei RESQ ist bewusst risikofrei für Sie: Sie schildern den Fall, wir nehmen eine kostenlose Ersteinschätzung vor und erstellen einen Kostenvoranschlag. Sie erhalten eine ehrliche Aussage zu den Aussichten – auch dann, wenn diese schlecht sind oder eine Rettung nicht möglich ist. Erst danach entscheiden Sie, ob wir tätig werden sollen. Es gibt keine pauschalen Versprechen: Jede Datenrettung ist eine Einzelfallprüfung, und ohne den passenden Wiederherstellungsschlüssel kann auch professionelle Arbeit an einer mathematisch starken Verschlüsselung scheitern. Genau das sagen wir Ihnen vorab, statt Erwartungen zu wecken.

Details zum Vorgehen finden Sie unter Datenrettung bei RESQ. Wenn Sie den Fall direkt übergeben möchten, können Sie auch sofort einen Auftrag über Ihr Kundenkonto anlegen. Handelt es sich um ein Notebook, das zusätzlich nicht mehr sauber startet oder einen Hardwaredefekt zeigt, ist der Weg über die Reparatur bei RESQ der richtige. Und wenn Sie diesen Vorfall zum Anlass nehmen wollen, künftig besser abgesichert zu sein: Der Backup-Assistent hilft dabei, eine Sicherung aufzubauen, die genau solche Aussperrungen zur Randnotiz macht.

Fazit: Daten sind da – der Zugang fehlt

Nach den August-Hotpatches KB5120994 und KB5123607 melden Administratoren BitLocker-Wiederherstellungsabfragen und ausgefallene Windows-Hello-PINs auf Windows 11 24H2 und 25H2. Ein offizieller Zusammenhang ist nicht bestätigt, ein Fix existiert nicht, belastbare Zahlen fehlen. Was feststeht: Die Dateien auf dem Laufwerk sind nach bisherigem Kenntnisstand intakt – es fehlt nur der Zugang.

Damit das so bleibt, gilt: Schlüssel-ID notieren, Schlüssel im Microsoft- oder Arbeitskonto suchen, bei Firmengeräten die IT einschalten, und wenn Windows startet, sofort auf ein separates Medium sichern. Was Sie nicht tun sollten: zurücksetzen, neu installieren, das TPM leeren oder im BIOS experimentieren.

Wenn Sie den Wiederherstellungsschlüssel nicht finden, das Gerät nicht mehr startet oder Sie schlicht sichergehen wollen, dass nichts Unumkehrbares passiert: Lassen Sie Ihren Fall jetzt kostenlos von RESQ einschätzen – bevor ein gut gemeinter Klick die Daten endgültig kostet.