Windows Server 2025: BitLocker-Wiederherstellungsschlüssel werden im MMS nicht mehr angezeigt – Ursache und Lösungswege

Allgemein
1

Liebe Kundinnen und Kunden,

mit Windows Server 2025 hat Microsoft die Sicherheitsanforderungen im Active Directory
verschärft: Domain Controller unter Windows Server 2025 geben vertrauliche Attribute –
darunter das BitLocker-Wiederherstellungspasswort (msFVE-RecoveryPassword) – nur noch
über verschlüsselte LDAP-Verbindungen zurück (siehe
Neuigkeiten in Windows Server 2025 | Microsoft Learn).

Ältere Betriebssysteme (Windows Server 2016/2019/2022) verschlüsseln LDAP-Verbindungen
als Client standardmäßig nicht. Läuft der neo42 Management Service (MMS) auf einem
solchen System und fragt einen Domain Controller unter Windows Server 2025 ab, bleibt
das Passwort-Attribut schlicht leer – die Abfrage schlägt nicht fehl und das Verhalten
ist daher leicht zu übersehen.

Wichtig: Es gehen keine Daten verloren. Die Wiederherstellungsschlüssel liegen
unverändert im Active Directory – lediglich das Auslesen über eine unverschlüsselte
Verbindung wird blockiert.

Wann funktioniert was?

MMS-Server Domain Controller Status
Windows Server 2025 beliebig :white_check_mark: funktioniert
Windows Server 2016/2019/2022 bis Windows Server 2022 :white_check_mark: funktioniert
Windows Server 2016/2019/2022 Windows Server 2025 :warning: betroffen

Entscheidend ist allein das Betriebssystem des MMS-Servers, der die AD-Abfragen
durchführt – die verwalteten Clients spielen keine Rolle.

Ihre Möglichkeiten

  1. MMS-Server auf Windows Server 2025 aktualisieren (unsere Empfehlung):
    idealerweise vor oder zusammen mit der Anhebung Ihrer Domain Controller. Ab
    Windows Server 2025 verschlüsselt das Betriebssystem LDAP-Verbindungen von sich
    aus, das Auslesen funktioniert dann ohne weitere Maßnahmen.

  2. Auf ein zukünftiges MMS-Release warten: Wir planen eine Anpassung, mit der
    der MMS die LDAP-Verschlüsselung selbst erzwingt – dann funktioniert das Auslesen
    auch unter Windows Server 2016/2019/2022. Wir informieren Sie, sobald eine
    entsprechende Version verfügbar ist; bis dahin empfehlen wir Weg 1.

  3. Anforderung auf dem Domain Controller temporär deaktivieren (nur zur
    Information):     Über das Attribut dSHeuristics lässt sich die
    Verschlüsselungsanforderung vorübergehend deaktivieren (siehe
    Microsoft-Dokumentation).
    Bitte beachten Sie: Die Einstellung wirkt gesamtstrukturweit (forest-weit),
    betrifft alle vertraulichen Attribute (z. B. auch LAPS-Passwörter) und wird von
    Microsoft ausdrücklich als nicht sicher eingestuft – wir sprechen hierfür keine
    Empfehlung aus.

Hinweis zur Diagnose: Blockierte unverschlüsselte Zugriffe protokolliert der
Domain Controller im Ereignisprotokoll „Directory Service“ unter der
Ereignis-ID 3079 (Details in der
Microsoft-Dokumentation).

Bei Fragen wenden Sie sich gerne an neosupport@neo42.de.

Ihr neo42 Team

2 „Gefällt mir“