Schreibzugriff auf Wechseldatenträger verweigern, die nicht durch BitLocker geschützt sind
Diese Computerrichtlinie macht den Schreibzugriff auf Wechseldatenträger vom BitLocker-Schutz des jeweiligen Laufwerks abhängig.
seit 0.9.8.11
Zweck
Registry-Schlüssel anzeigen (2)
HKLM\System\CurrentControlSet\Policies\Microsoft\FVE\RDVDenyWriteAccessHKLM\Software\Policies\Microsoft\FVE\RDVDenyCrossOrg
Diese Computerrichtlinie macht den Schreibzugriff auf Wechseldatenträger vom BitLocker-Schutz des jeweiligen Laufwerks abhängig.
RDVDenyWriteAccess ist ein Wert vom Typ REG_DWORD. Bei 1 bindet Windows nicht durch BitLocker geschützte Wechseldatenträger schreibgeschützt ein. BitLocker-geschützte Wechseldatenträger können weiterhin mit Lese- und Schreibzugriff eingebunden werden. Der Wert 0 deaktiviert diese Einschränkung; fehlt der Wert, ist die Richtlinie nicht konfiguriert.
Die Richtlinie verschlüsselt vorhandene Datenträger nicht automatisch. Sie beschränkt stattdessen deren Schreibbarkeit anhand des von Windows erkannten BitLocker-Schutzstatus.
Hinweise
Weitere Wirkungen
RDVDenyCrossOrg ist eine untergeordnete Option derselben Richtlinie und ebenfalls ein REG_DWORD-Wert. Sie ist nur relevant, wenn RDVDenyWriteAccess aktiviert ist.
Bei RDVDenyCrossOrg = 1 erhalten auch BitLocker-geschützte Wechseldatenträger nur dann Schreibzugriff, wenn ihre BitLocker-Identifikationsfelder zu den für den Computer festgelegten Organisationskennungen passen. Andere Laufwerke werden schreibgeschützt eingebunden. Die verwendeten Identifikationsfelder stammen aus der separaten Richtlinie „Eindeutige Bezeichner für Ihre Organisation angeben“.
Bei RDVDenyCrossOrg = 0 wird diese zusätzliche Organisationsprüfung nicht erzwungen.
Sicherheit
Die Richtlinie verhindert, dass Benutzer oder Anwendungen Daten auf nicht durch BitLocker geschützte Wechseldatenträger schreiben. Dadurch kann sie das unverschlüsselte Speichern oder Weitergeben von Daten über solche Datenträger einschränken. Mit aktivierter Organisationsprüfung kann der Schreibzugriff zusätzlich auf entsprechend gekennzeichnete BitLocker-Datenträger begrenzt werden.
Der Lesezugriff wird durch diese Richtlinie nicht gesperrt. Sie ersetzt außerdem keine Datei- oder Freigabeberechtigungen und gewährt keinen Schreibzugriff, der aufgrund anderer Zugriffsregeln bereits verweigert wird.
Mögliche Nebenwirkungen
Programme können auf betroffenen Datenträgern keine Dateien erstellen, ändern oder löschen. Dies gilt auch für anderweitig verschlüsselte Wechselmedien, wenn Windows sie nicht als durch BitLocker geschützt erkennt.
Bei aktivierter Organisationsprüfung können BitLocker-geschützte Datenträger anderer Organisationen oder Datenträger ohne passende Identifikationsfelder nur schreibgeschützt verwendet werden.
Hinweise
Ist die Richtlinie „Wechseldatenträger: Schreibzugriff verweigern“ unter „Wechselspeicherzugriff“ aktiviert, wird die hier beschriebene BitLocker-Richtlinie ignoriert, da die allgemeinere Richtlinie den Schreibzugriff unabhängig vom BitLocker-Status verweigert.
Microsoft weist außerdem darauf hin, dass bei aktivierter Richtlinie bestimmte BitLocker-Konfigurationen mit Startschlüsseln oder Wiederherstellungsschlüsseln nicht zugelassen sein dürfen. Wiederherstellungskennwörter sind davon begrifflich zu unterscheiden.
Microsoft-Dokumentation
Microsoft Learn: Konfigurieren von BitLocker – Schreibzugriff auf Wechseldatenträger verweigern
Microsoft Learn: BitLocker-Konfigurationsdienstanbieter – RemovableDrivesRequireEncryption