BitLocker-herstelsleutel vinden of kwijt? Zo kom je weer in je laptop

Je zet je laptop aan en in plaats van je bureaublad zie je een blauw scherm: 'Voer de herstelsleutel in om dit station te ontgrendelen'. Geen wachtwoordveld, geen knop om verder te gaan, alleen een vraag om een code van 48 cijfers. Rustig aan: in de meeste gevallen ben je die BitLocker-herstelsleutel helemaal niet kwijt. Hij staat al ergens opgeslagen, je wist het alleen nog niet.

Inhoudsopgave

Spring direct naar een onderdeel:

• Waar vind ik mijn BitLocker-herstelsleutel?
• Welke sleutel hoort bij jouw laptop? (de herstelsleutel-ID)
• Tips voor het invullen op het blauwe scherm
• Kun je het BitLocker-scherm overslaan?
• Waarom vraagt Windows hier ineens om?
• Staat de sleutel niet in je Microsoft-account? Kijk hier
• Ik kom niet in mijn Microsoft-account
• Laptop ingesteld met een lokaal account?
• Laptop vraagt bij elke start opnieuw om de sleutel
• Kan ik BitLocker verwijderen zonder sleutel?
• Voorkom dat dit je nog eens overkomt

Waar vind ik mijn BitLocker-herstelsleutel?

Bijna altijd in het Microsoft-account waarmee de laptop is ingesteld. Je haalt hem zo op met je telefoon:

• Pak je telefoon, een tablet of een andere computer.
• Ga naar aka.ms/myrecoverykey. Dat adres staat ook op het blauwe scherm van je laptop en brengt je naar account.microsoft.com/devices/recoverykey.
• Log in met het Microsoft-account waarmee de laptop is ingesteld.
• Zoek in het overzicht de sleutel waarvan de sleutel-ID overeenkomt met de ID op je laptopscherm.
• Typ de code van 48 cijfers over op je laptop en druk op Enter.

Welke sleutel hoort bij jouw laptop? (de herstelsleutel-ID)

Op het herstelscherm staat een sleutel-ID, een code van acht tekens zoals 'A1B2C3D4'. In je Microsoft-account staat bij elke sleutel ook een ID. Zoek de vermelding waarvan de ID met diezelfde acht tekens begint: dat is de juiste sleutel. Zie je meerdere apparaten met dezelfde naam, bijvoorbeeld omdat je Windows ooit opnieuw hebt geïnstalleerd, dan is de ID de enige betrouwbare manier om de goede te vinden. Twijfel je toch, probeer dan gewoon meerdere sleutels. Er zit geen limiet op het aantal pogingen en een verkeerde code richt geen schade aan.

Tips voor het invullen op het blauwe scherm

Het herstelscherm werkt voordat Windows is opgestart, en dat merk je aan het toetsenbord.

• Werken de cijfertoetsen niet? Gebruik dan F1 tot en met F9 voor de cijfers 1 tot en met 9, en F10 voor de 0.
• Op een laptop zonder apart numeriek toetsenblok gebruik je gewoon de cijfers boven de letters. Het numerieke blok werkt alleen als Num Lock aanstaat.
• De streepjes tussen de groepen van zes cijfers hoef je niet te typen.
• Druk op Esc voor meer herstelopties, bijvoorbeeld om de sleutel-ID nog eens te zien of om de laptop opnieuw op te starten.

Kun je het BitLocker-scherm overslaan?

Nee, niet als het om de schijf gaat waarop Windows staat. Via Esc zie je soms de optie 'Dit station overslaan', maar daarmee kom je niet in Windows terecht. Je komt dan in de herstelomgeving, en daar blijft je systeemschijf op slot. Er bestaat geen toetscombinatie, BIOS-instelling of tool die het herstelscherm omzeilt: dat is precies de bescherming die BitLocker biedt. Wat wel vaak werkt, is ervoor zorgen dat Windows niet meer om de sleutel vraagt. Heb je net iets veranderd in de BIOS, lees dan het stuk hieronder over terugdraaien.

Waarom vraagt Windows hier ineens om?

Veel mensen hebben BitLocker nooit bewust aangezet, toch staat het aan. Sinds Windows 11 versie 24H2 versleutelt Windows de systeemschijf standaard bij een nieuwe installatie, ook op Home-edities. Log je in met een Microsoft-account, dan gaat de versleuteling aan en komt de herstelsleutel automatisch in dat account te staan, zonder melding. De schijf is gekoppeld aan een chip op het moederbord, de TPM. Zolang de opstartomgeving hetzelfde blijft, ontgrendelt die chip de schijf zelf en merk je er niets van. Verandert er iets ingrijpends, dan wil Windows bewijs dat jij het echt bent. Dit zijn de bekendste oorzaken:

• Een BIOS- of UEFI-update, of het resetten van de BIOS-instellingen naar de fabrieksinstellingen
• Secure Boot aan- of uitgezet
• De opslagmodus in de BIOS gewijzigd, bijvoorbeeld van RAID naar AHCI
• Nieuw geheugen, een extra SSD of een vervangen moederbord
• Een leeggehaalde of vervangen TPM
• Opstarten vanaf een USB-stick waarbij de opstartvolgorde is aangepast

Probeer eerst dit: draai de wijziging terug

Weet je wat je hebt veranderd, zet het dan terug zoals het was. Ga naar de BIOS (meestal met F2, F10, Del of Esc tijdens het opstarten) en controleer of Secure Boot nog aanstaat, of de opstartvolgorde klopt en of de opslagmodus niet is gewijzigd. Herkent de TPM de omgeving weer, dan start Windows gewoon door zonder om de sleutel te vragen. Dit lost een verrassend groot deel van de gevallen op, zeker na een BIOS-update die de instellingen naar standaard heeft teruggezet. Is de laptop van je werk of school, blijf dan van de BIOS af en bel de IT-afdeling.

Staat de sleutel niet in je Microsoft-account? Kijk hier

Leeg overzicht, of geen sleutel met de juiste ID? Dan zijn er nog vier plekken waar hij kan staan.

Een ander Microsoft-account

Het gaat om het account waarmee de laptop is ingesteld, niet per se om het account dat je nu het meest gebruikt. Heb je meerdere Microsoft-accounts, controleer ze dan allemaal. Ook een oud Hotmail- of Outlook-adres uit de tijd dat je de laptop kocht kan het juiste zijn.

Een zakelijk account of je systeembeheerder

Is de laptop van je werk of school, dan staat de sleutel niet in een persoonlijk account maar in de beheeromgeving van de organisatie, Entra ID of Intune. Neem contact op met de IT-afdeling: die zoekt de sleutel binnen een minuut voor je op.

Een bestand of afdruk

Wie BitLocker zelf aanzet, krijgt de keuze om de sleutel op te slaan als tekstbestand of af te drukken. Zoek op een USB-stick of op een andere computer naar een bestand met een naam als 'BitLocker-herstelsleutel A1B2C3D4.txt': de acht tekens in de naam zijn de sleutel-ID. Kijk ook in de map met belangrijke papieren. Het bestand kan niet op de versleutelde schijf zelf staan, want daar kom je nu juist niet bij.

Het account van degene die de laptop heeft ingesteld

Heeft een familielid, een kennis of de winkel de laptop voor je klaargezet, dan staat de sleutel waarschijnlijk in hun Microsoft-account. Vraag het na. Bij aankoop via een computerzaak is bellen de moeite waard: sommige zaken leggen dit vast in hun administratie.

Ik kom niet in mijn Microsoft-account

Weet je het wachtwoord niet meer, kies dan op het inlogscherm voor 'Wachtwoord vergeten' en laat een code sturen naar je telefoonnummer of herstel-e-mailadres. Heb je daar geen toegang meer toe, dan kun je via account.live.com/acsr een herstelformulier invullen. Microsoft stelt dan vragen die alleen de eigenaar kan beantwoorden, zoals onderwerpen van recente e-mails en eerdere wachtwoorden. Doe dat vanaf een apparaat en internetverbinding die je vaker gebruikt, dat vergroot de kans dat het lukt. Reken op een antwoord binnen 24 uur.

Laptop ingesteld met een lokaal account?

Heb je je laptop bewust ingesteld zonder Microsoft-account, dan zet Windows de automatische versleuteling niet aan en bestaat er ook geen herstelsleutel. Zie je het herstelscherm toch, dan is een van deze drie dingen aan de hand:

• Je hebt BitLocker later zelf aangezet. De sleutel staat dan alleen op de plek die je toen hebt gekozen: een bestand, een USB-stick, een afdruk of een Microsoft-account. Er is geen automatische reservekopie.
• Je hebt later een Microsoft-account toegevoegd, bijvoorbeeld voor de Microsoft Store. Dat zet je aanmelding niet om, dus de sleutel staat er niet automatisch in. Kijk toch even op aka.ms/myrecoverykey, maar reken er niet op.
• Het is een zakelijk apparaat dat aan Entra ID of Intune is gekoppeld. Dan staat de sleutel bij de beheerder.

Dan liever geen versleuteling?

Zonder versleuteling heb je nooit last van dit scherm, maar een dief haalt de SSD er gewoon uit en leest alles op een andere computer. Voor een vaste computer thuis is dat een acceptabel risico. Voor een laptop die mee naar kantoor, school of op reis gaat niet. Zet BitLocker dan alsnog aan via Instellingen, Privacy en beveiliging, en bewaar de sleutel meteen in je wachtwoordmanager. Meer over die afweging lees je in een laptop instellen met een lokaal account.

Laptop vraagt bij elke start opnieuw om de sleutel

Kom je met de sleutel binnen, maar staat het blauwe scherm er bij de volgende start weer? Dan ziet de TPM nog steeds een andere opstartomgeving dan hij verwacht. Meestal is het een van deze oorzaken, en zo los je het op:

• Er zit een USB-stick, SD-kaart of dockingstation aan de laptop die bij het opstarten wordt meegenomen. Koppel alles los en start opnieuw op.
• Secure Boot staat uit of de opstartvolgorde is veranderd. Zet de BIOS-instellingen terug zoals ze waren.
• De TPM-metingen zijn na een BIOS-update niet bijgewerkt. Log in, open de opdrachtprompt als beheerder en typ manage-bde -protectors -disable C:. Herstart de laptop één keer en typ daarna manage-bde -protectors -enable C:. Windows legt de huidige situatie dan opnieuw vast als de normale.
• Helpt dat niet, kijk dan bij de fabrikant van je laptop of er een nieuwere BIOS-update is. Sommige oudere versies veroorzaken precies deze lus.

Kan ik BitLocker verwijderen zonder sleutel?

Wel de versleuteling, niet met je bestanden erbij. Er bestaat geen achterdeur, geen tool die het kraakt en geen dienst die het voor je oplost. Zonder sleutel is de data op die schijf onleesbaar, ook voor Microsoft zelf. Wat je wel kunt doen, is de laptop weer bruikbaar maken. Start op vanaf een USB-stick met Windows 11, verwijder tijdens de installatie alle partities van de systeemschijf en installeer Windows opnieuw. De laptop werkt daarna weer prima, maar alle bestanden die erop stonden zijn weg. Precies daarom is een back-up geen luxe. Een externe schijf of een clouddienst kost weinig en vangt niet alleen dit op, maar ook een kapotte SSD of een verkeerde klik. Hoe je dat inricht, lees je in de ideale back-up voor je laptop.

Voorkom dat dit je nog eens overkomt

Ben je weer binnen? Zet dan meteen deze dingen goed.

Bewaar je sleutel waar je hem terugvindt

Open de opdrachtprompt of PowerShell als beheerder en typ manage-bde -protectors -get C:. Bij 'Numeriek wachtwoord' zie je de code van 48 cijfers en de bijbehorende ID. Zet die in je wachtwoordmanager of print hem uit, niet in een bestand op dezelfde laptop.

Zet BitLocker even op pauze voor je aan de BIOS of hardware zit

Ga naar Instellingen, Privacy en beveiliging, Apparaatversleuteling en zet de schakelaar tijdelijk uit. Of gebruik manage-bde -protectors -disable C: -RebootCount 1: dat onderbreekt de beveiliging voor precies één herstart, daarna gaat hij vanzelf weer aan.

Controleer hoe je ervoor staat

Typ in een opdrachtprompt als beheerder manage-bde -status C:. Bij 'Beveiligingsstatus' zie je of de bescherming aan staat, bij 'Conversiestatus' of de schijf daadwerkelijk versleuteld is. Voor een laptop die mee op pad gaat: versleuteling aan laten. Voor een vaste thuiscomputer die nooit het huis uit gaat, mag je afwegen of het risico op gestolen data opweegt tegen het risico dat je jezelf buitensluit.