Verschlüsselung 2026: BitLocker vs VeraCrypt vs LUKS

Festplattenverschlüsselung schützt Ihre Daten bei Verlust oder Diebstahl Ihres Geräts. 2026 gibt es drei etablierte Lösungen. Welche ist die richtige?

Warum Festplattenverschlüsselung?

Ein gestohlener Laptop ohne Verschlüsselung gibt dem Dieb Zugriff auf alle Ihre Daten. Dokumente, Passwörter (im Browser gespeichert), Fotos, E-Mails. Mit Verschlüsselung ist die Festplatte ohne Passwort ein Haufen zufälliger Daten.

Szenarien, in denen Verschlüsselung rettet:

Laptop-Diebstahl

Verlorener USB-Stick

Verkauf des Geräts ohne korrektes Löschen

Behörden-Zugriff an Grenzen (Travel Mode)

Die Kandidaten

BitLocker (Microsoft)

Windows-eigene Vollverschlüsselung. In Windows Pro/Enterprise eingebaut. Aktiviert in Windows 11 Home automatisch (Device Encryption).

VeraCrypt (Open Source)

Der Nachfolger von TrueCrypt. Cross-Plattform, Open Source, maximal konfigurierbar. Für Paranoiker und Cross-Plattform-Nutzer.

LUKS (Linux)

Linux Unified Key Setup. Der Standard für Linux-Vollverschlüsselung. In jeder Distribution verfügbar, extrem sicher.

Funktionsvergleich

| Feature | BitLocker | VeraCrypt | LUKS |
|---------|-----------|-----------|------|
| Plattform | Windows | Windows, macOS, Linux | Linux |
| Full Disk Encryption | ✅ | ✅ | ✅ |
| Partition-Verschlüsselung | ✅ | ✅ | ✅ |
| Container-Verschlüsselung | ❌ | ✅ | ❌ |
| Hidden Volumes | ❌ | ✅ | ❌ |
| Hardware-Beschleunigung | ✅ AES-NI | ✅ AES-NI | ✅ AES-NI |
| TPM-Integration | ✅ | ❌ | ⚠️ (Clevis) |
| Pre-Boot-Auth | ✅ | ✅ | ✅ |
| Key Recovery | ✅ (AD/MS-Konto) | ❌ (kein Recovery) | ⚠️ (Key-File) |
| Price | Windows Pro | Kostenlos | Kostenlos |

BitLocker im Detail

Stärken

Nahtlose Integration: In Windows eingebaut, keine extra Software

TPM 2.0: Hardware-gestützte Verschlüsselung, Key im TPM-Chip

Transparent: Nach dem Booten merken Sie nichts von der Verschlüsselung

Recovery Key: Über Microsoft-Konto oder Active Directory wiederherstellbar

Performance: Minimaler Overhead durch AES-NI

Schwächen

Nur Windows Pro/Enterprise: Home-Version nur "Device Encryption" (begrenzt)

Proprietär: Code nicht öffentlich auditierbar

TPM-Bindung: Bei Mainboard-Tausch kann Recovery nötig werden

Microsoft-Konto-Recovery: Bequem, aber Privacy-Bedenken

Aktivierung

``powershell


Status prüfen

manage-bde -status C:

Aktivieren (Windows Pro)

manage-bde -on C: -UsedSpaceOnly -EncryptionMethod XtsAes256

Recovery-Key sichern

manage-bde -protectors -add C: -RecoveryPassword
`

VeraCrypt im Detail

Stärken

Cross-Plattform: Gleiche Software für Windows, macOS, Linux

Hidden Volumes: Plausible Deniability — verschlüsselte Volumes innerhalb verschlüsselter Volumes

Container: Verschlüsselte Datei-Container, die als Drive mountbar sind

Open Source: Code auditiert, transparent

Portabilität: Container zwischen Plattformen transferierbar

Schwächen

Kein TPM: Key nur per Passwort/Keyfile

Komplexer: Mehr Konfiguration nötig als BitLocker

Keine Recovery: Passwort vergessen = Daten weg

Backup-Kompatibilität: Manche Backup-Tools kommen nicht klar mit VeraCrypt

VeraCrypt-Setup

VeraCrypt herunterladen von veracrypt.fr

"Create Volume" → "Create an encrypted file container"

Größe, Passwort, Algorithmus wählen

Container mounten → Dateien hineinkopieren

LUKS im Detail

Stärken

Linux-Standard: Jede Distribution unterstützt LUKS

Schnell: Minimaler Performance-Verlust durch dm-crypt

Multi-Key: Mehrere Passwörter/Keys für dieselbe Partition

Key-File-Support: USB-Stick als Key

Clevis/Tang: Network-bound Disk Encryption (NBDE) für Server

Schwächen

Nur Linux: Keine Windows/macOS-Kompatibilität

Keine Container: Nur Partition-Verschlüsselung

Key-Management: Etwas komplexer als BitLocker

LUKS bei der Installation

Die meisten Linux-Installer (Ubuntu, Fedora, Arch) bieten LUKS bei der Installation an:

Ubuntu: "Encrypt the new Ubuntu installation for security"

Fedora: Automatisch aktivierbar im Installer

Arch: cryptsetup luksFormat /dev/sdX2 → cryptsetup open`

Performance-Vergleich

| Tool | Overhead (CrystalDiskMark) | Boot-Zeit | Alltag |
|------|---------------------------|-----------|--------|
| BitLocker (AES-XTS 256) | 1-3 % | +1-2 s | Unmerklich |
| VeraCrypt (AES-256) | 2-5 % | n/a (Container) | Unmerklich |
| LUKS (AES-XTS 256) | 1-3 % | +2-3 s | Unmerklich |

Bei moderner Hardware (AES-NI) ist Verschlüsselung praktisch kostenlos.

Sicherheit

Die größte Schwachstelle

Alle drei Tools: der Boot-Vorgang. Wenn der Angreifer physischen Zugriff hat, während das Gerät läuft, kann er RAM-Inhalte auslesen (Cold Boot Attack).

Lösung: Gerät nie ungesperrt lassen.Bildschirm sperren bei Abwesenheit.

Backdoor-Diskussion

BitLocker: Theoretisch könnte Microsoft einen Recovery-Key hinterlegen. Bei TPM-only ohne PIN sogar wahrscheinlich. Empfehlung: PIN zusätzlich aktivieren.

VeraCrypt: Keine bekannten Backdoors, Code auditiert.

LUKS: Open Source, community-geprüft, keine Backdoors.

Empfohlene Setups

Windows-Nutzer

OS: BitLocker mit PIN (nicht nur TPM)

Externe SSD: VeraCrypt-Container

Backup: BitLocker-to-Go für externe HDDs

macOS-Nutzer

OS: FileVault (Mac-eigen, sehr gut)

Container: VeraCrypt für Cross-Plattform-Dateien

Linux-Nutzer

OS: LUKS (bei Installation aktivieren)

Container: VeraCrypt für Cross-Plattform-Dateien

FAQ

Verliert man Performance durch Verschlüsselung?

Mit AES-NI (jeder Prozessor seit ~2015): praktisch nein. 1-3 % in synthetischen Benchmarks, im Alltag unmerklich.

Kann ich Verschlüsselung rückgängig machen?

Ja, bei allen drei Tools. Aber sichern Sie Ihre Daten vorher!

Was, wenn ich mein Passwort vergesse?

BitLocker: Recovery-Key (Microsoft-Konto, AD, USB)

VeraCrypt: Kein Recovery. Daten unwiederbringlich verloren

LUKS: Backup-Passphrase oder Key-File

Lohnt sich Verschlüsselung bei Desktop-PCs?

Ja. Ein Einbruch und Ihr PC ist weg — inklusive aller lokalen Daten. Bei Laptops: absolut Pflicht.

Fazit

BitLocker für Windows-Nutzer — einfach, integriert, schnell. VeraCrypt für Cross-Plattform-Nutzer und Privacy-Fans. LUKS für Linux-Nutzer — der Standard.

Die beste Verschlüsselung ist die, die aktiviert ist. Wenn Sie noch keine Verschlüsselung nutzen: Aktivieren Sie heute eine. Es kostet 30 Minuten und schützt Sie ein Leben lang.