BitLocker Drive Encryption
| Format | BitLocker Drive Encryption |
|---|---|
| Kurzname | BitLocker |
| Kategorie | Dateisystem |
| Plattformen | Windows |
| Crush Unterstützung | Noch nicht unterstützt |
| Status | Überprüft |
| Zuletzt überprüft | 2026-10-04 |
Forensische Relevanz
Vollständige Volume-Verschlüsselung von Windows. Das Volume behält einen Bootsektor mit der Signatur '-FVE-FS-' (BitLocker To Go auf FAT-Medien: 'MSWIN4.1') und drei Kopien der FVE-Metadaten, die die Key Protectors (TPM, PIN, Passwort, Wiederherstellungspasswort, Systemstartschlüssel) und den Zeitpunkt der Verschlüsselung des Volumes aufführen. Der Rest ist Chiffretext, außer freiem Speicherplatz auf Volumes, die mit der Option 'used space only' (nur belegten Speicherplatz verschlüsseln) verschlüsselt wurden. Ohne das Geheimnis eines der Protectors lassen sich die Dateien nicht lesen, es sei denn, der Schutz ist angehalten oder noch nicht eingerichtet. Dann liegt ein Clear Key ungeschützt auf dem Volume. BitLocker To Go schützt Wechseldatenträger auf dieselbe Weise.
Signaturen
| Offset | Hex | ASCII (nicht druckbar als .) | Beschreibung |
|---|---|---|---|
| Offset 3 (0x3) | 2D 46 56 45 2D 46 53 2D | -FVE-FS- | BitLocker-Signatur '-FVE-FS-' im Volume-Bootsektor |
| Offset unbekannt | 2D 46 56 45 2D 46 53 2D | -FVE-FS- | Signatur des FVE-Metadatenblocks (drei Kopien; auch auf BitLocker-To-Go-Volumes) |
Bekannte Dateiendungen
Nicht erfasst
Referenzen
- BitLocker Drive Encryption (BDE) format (libyal/libbde) https://github.com/libyal/libbde/blob/main/documentation/BitLocker%20Drive%20Encryption%20(BDE)%20format.asciidoc
- ForensicsWiki — BitLocker disk encryption https://forensics.wiki/bitlocker_disk_encryption/
- BitLocker overview (Microsoft) https://learn.microsoft.com/en-us/windows/security/operating-system-security/data-protection/bitlocker/
Diesen Eintrag zitieren
Crush-Format-Referenz, „BitLocker Drive Encryption“. https://kalink0.github.io/crush-forensics/formats/de/bitlocker/ — Quelle: crush/data/build_formats_db.py zum Commit 640a2a9928f4e36a976b89901512a8dce824d093, erstellt 2026-10-21 06:46:19 UTC.
Eintrag in der Quelldatei bei diesem Commit · Änderungshistorie der Quelle · Korrektur melden