BitLocker bij het opstarten om een wachtwoord te laten vragen (pre-boot authenticatie)

Om BitLocker bij het opstarten om een wachtwoord te laten vragen (pre-boot authenticatie), moet je BitLocker inschakelen met een opstart-PIN (of wachtwoord, afhankelijk van het type schijf).

Hieronder staat de juiste manier om dit in te stellen op Windows 10/11 Pro, Enterprise of Education.
(BitLocker is NIET beschikbaar op de Home-editie tenzij je upgrade.)

✅ Stap 1 — “Vereis PIN bij opstarten” inschakelen

Standaard gebruikt Windows alleen TPM (zonder wachtwoordprompt).
We moeten eerst het Groepsbeleid aanpassen.

1️⃣ Open de Editor voor lokaal groepsbeleid

Druk op Win + R, typ:

Druk op Enter.

2️⃣ Navigeer naar:

3️⃣ Open:

“Aanvullende verificatie bij opstarten vereisen”

Stel dit in op:

✅ Ingeschakeld

✅ Vink aan: BitLocker toestaan zonder compatibele TPM (optioneel)

Onder “TPM-opstartconfiguratie”:
Selecteer Opstart-PIN met TPM vereisen

Klik op Toepassen → OK

Forceer daarna een update van het groepsbeleid via Terminal of PowerShell, anders kan de volgende stap een foutmelding geven:

✅ Stap 2 — BitLocker inschakelen met opstart-PIN

Open nu Opdrachtprompt als administrator en voer uit:

Je wordt gevraagd een opstart-PIN aan te maken.

✅ Stap 3 — Herstelsleutel opslaan (BELANGRIJK)

Na het inschakelen moet je je herstelsleutel opslaan:

Of exporteer deze:

Bewaar deze op een veilige plek (USB-stick of Microsoft-account).

🔁 Als BitLocker al is ingeschakeld

Als BitLocker al actief is en je alleen een PIN wilt toevoegen:

🔐 Wat gebeurt er nu?

Bij het herstarten zal Windows:

• Het BitLocker-scherm tonen

• Om je PIN vragen

• Daarna verder opstarten

⚠️ Belangrijke opmerkingen

• Vereist TPM 1.2 of 2.0 (de meeste moderne pc’s hebben dit)

• Werkt alleen op Pro/Enterprise/Education

• De PIN is numeriek (geen volledig toetsenbordwachtwoord)