Externe Festplatte verschlüsseln: BitLocker oder VeraCrypt fürs Backup

Für ein Backup, das auch nach einem Diebstahl dicht bleibt, gibt es unter Windows zwei ausgereifte Wege: BitLocker To Go verschlüsselt Wechseldatenträger direkt aus dem Explorer heraus, verlangt aber Windows 11 Pro, Enterprise oder Education. VeraCrypt ist kostenlos, quelloffen und läuft auch unter Windows Home, macOS und Linux. Wer eine externe Festplatte verschlüsseln will, entscheidet also zuerst über Windows-Edition und Geräte-Mix – beide Werkzeuge arbeiten mit AES-256, und beide stehen und fallen mit deinem Passwort.

BitLocker oder VeraCrypt – was passt zu deinem Backup?

Beide Programme können eine externe Festplatte verschlüsseln, der Unterschied liegt in Edition, Plattform und Flexibilität. Vier Zeilen reichen für die Entscheidung:

Kriterium	BitLocker To Go	VeraCrypt
Windows-Edition	nur Pro, Enterprise, Education	jede Edition, auch Home
Andere Systeme	Windows; macOS und Linux nur mit Zusatzsoftware	Windows, macOS, Linux, teils BSD
Umfang	immer das komplette Laufwerk	ganzes Laufwerk oder einzelne Tresor-Datei
Aufwand	Rechtsklick im Explorer, nichts zu installieren	Download und Installation, alternativ portabel

Faustregel: reine Windows-Umgebung mit Pro-Edition → BitLocker To Go ist der schnellste Weg. Windows Home oder ein Mix aus PC, Mac und Linux → VeraCrypt.

Ein Punkt, der ständig verwechselt wird: Die automatische Geräteverschlüsselung, die seit Windows 11 24H2 auf deutlich mehr Rechnern greift und auch unter Home verfügbar ist, schützt laut Microsoft-Dokumentation ausschließlich das Systemlaufwerk und interne Datenlaufwerke – externe USB-Datenträger fasst sie nicht an. Ein „verschlüsselter Rechner“ sagt also nichts darüber aus, ob die Backup-Platte in der Schublade geschützt ist.

Vor dem Start: diese drei Dinge klären

Verschlüsselung kennt keine Kulanz. Ein vergessenes Passwort bedeutet endgültigen Datenverlust, eine Hintertür gibt es nicht – weder bei Microsoft noch bei VeraCrypt. Deshalb vorher:

1. Passphrase statt Passwort planen. Vier bis fünf zufällige Wörter ergeben eine Phrase, die man sich merken kann und die trotzdem lang genug ist (mindestens 12–16 Zeichen). Kurze Passwörter fallen mit genug Rechenzeit per Brute-Force.
2. Wiederherstellungsschlüssel getrennt sichern. BitLocker erzeugt einen 48-stelligen Wiederherstellungsschlüssel. Der gehört an einen zweiten Ort: Microsoft-Konto, Ausdruck oder anderer Datenträger – niemals auf die Platte, die gerade verschlüsselt wird. VeraCrypt kennt keinen solchen Ersatzschlüssel, dort ist die Passphrase alles.
3. Zweitkopie anlegen, falls schon Daten drauf sind. Liegen auf der externen Platte bereits wichtige Dateien, kopiere sie vorher woandershin. Bricht die Erstverschlüsselung ab, etwa durch Stromausfall oder abgezogenes Kabel, kann das den Datenbestand kosten.

Externe Festplatte verschlüsseln mit BitLocker To Go

Die Menüwege gelten für Windows 11 25H2 und 24H2 (Stand August 2026), Edition Pro. Ein TPM-Chip ist für Wechseldatenträger nicht nötig: BitLocker To Go entsperrt die Platte über das Passwort, nicht über die Hardware des Rechners. So kannst du eine externe Festplatte verschlüsseln, ohne irgendetwas zu installieren.

1. Externe Festplatte anschließen und den Datei-Explorer öffnen.
2. Rechtsklick auf das Laufwerk, dann „BitLocker aktivieren“ wählen. Unter Windows 11 steckt der Eintrag gegebenenfalls hinter „Weitere Optionen anzeigen“.
3. „Kennwort zum Entsperren des Laufwerks verwenden“ anhaken und die Passphrase zweimal eingeben.
4. Beim Wiederherstellungsschlüssel „In Microsoft-Konto speichern“ oder „In Datei speichern“ wählen – die Datei danach sofort auf ein anderes Medium verschieben.
5. Verschlüsselungsumfang: Bei einer neuen oder frisch formatierten Platte reicht „Nur verwendeten Speicherplatz verschlüsseln“ (schneller). Wurden auf der Platte schon einmal Daten gelöscht, ist „Gesamtes Laufwerk verschlüsseln“ die gründlichere Wahl, weil auch Reste in freien Blöcken erfasst werden.
6. Verschlüsselungsmodus: Windows nutzt für Wechseldatenträger standardmäßig den kompatiblen Modus (AES-CBC), damit die Platte auch an älteren Windows-Versionen vor 10 1511 aufgeht. Steckst du sie nur an aktuelle Rechner, wähle den „Neuen Verschlüsselungsmodus“ – das ist XTS-AES, der für Datenträger entwickelte Modus mit besserem Manipulationsschutz.
7. Auf „Verschlüsselung starten“ klicken und die Platte angeschlossen lassen, bis der Vorgang durch ist. Je nach Größe, Füllstand und USB-Anschluss dauert das von Minuten bis zu mehreren Stunden.

Danach verlangt Windows bei jedem Anstecken das Passwort. Über Systemsteuerung → BitLocker-Laufwerkverschlüsselung lässt sich für den eigenen PC das automatische Entsperren einrichten – an fremden Rechnern bleibt die Passworteingabe Pflicht. Praktisch für den Alltag: Ein Backup-Programm kann erst schreiben, wenn das Laufwerk entsperrt ist. Wer nachts automatisch sichert, sollte das automatische Entsperren am Backup-Rechner aktivieren, sonst laufen die Jobs ins Leere.

Externe Festplatte verschlüsseln mit VeraCrypt

Mit VeraCrypt lässt sich eine externe Festplatte verschlüsseln, ohne auf Windows Pro umzusteigen – das Programm ist kostenlos und quelloffen. Lade es ausschließlich von der offiziellen Projektseite veracrypt.io, manipulierte Kopien auf Download-Portalen sind ein reales Risiko. Aktuell ist Version 1.26.29 vom 9. Juni 2026; sie schließt zwei Sicherheitslücken (CVE-2026-53762 und CVE-2026-54073) und behebt einen Absturz beim Ruhezustand unter frisch installiertem Windows 11 25H2. Wer noch eine ältere Version nutzt, aktualisiert also besser.

Neu seit 1.26.29: Für Volumes außerhalb des Systemlaufwerks steht Argon2id als Schlüsselableitungsverfahren zur Wahl – ein Verfahren, das absichtlich viel Arbeitsspeicher braucht und damit Passwort-Rateangriffe mit Grafikkarten deutlich teurer macht. Passend dazu heißt das Feld in der Oberfläche jetzt KDF statt wie früher „PKCS-5 PRF“. Für ein Backup-Volume ist Argon2id eine sinnvolle Wahl; bleibst du bei der Voreinstellung, bekommst du weiterhin solide PBKDF2-Ableitung mit SHA-512.

Variante A: verschlüsselter Container (eine Tresor-Datei)

Der Datei-Container ist der bequemste Einstieg: eine einzige große Datei auf einer ansonsten ganz normalen Platte, die als eigenes Laufwerk eingebunden wird.

1. VeraCrypt starten und auf „Volume erstellen“ klicken.
2. „Einen verschlüsselten Datei-Container erstellen“ wählen, danach „Standard-VeraCrypt-Volume“.
3. Als Speicherort einen Dateinamen auf der externen Festplatte angeben, etwa Backup-Tresor.hc.
4. Bei der Verschlüsselung AES stehen lassen. Beim KDF entweder die Voreinstellung SHA-512 behalten oder Argon2id wählen. AES bremst moderne CPUs nicht, weil sie den Algorithmus über den Befehlssatz AES-NI in Hardware rechnen.
5. Größe des Containers festlegen – so groß, wie das Backup werden soll – und die Passphrase vergeben.
6. Im Formatierungsschritt die Maus einige Sekunden im Fenster bewegen. Die Zeigerbewegungen liefern Zufallsdaten für den Schlüssel. Dann auf „Formatieren“ klicken.
7. Zum Benutzen: freien Laufwerksbuchstaben markieren, über „Datei…“ die .hc-Datei auswählen, „Einbinden“ klicken, Passwort eingeben. Der Tresor erscheint als zusätzliches Laufwerk, in das du dein Backup schreibst. „Trennen“ verschließt ihn wieder.

Variante B: die komplette externe Platte verschlüsseln

Statt eines Containers wählst du in Schritt 2 „Eine Partition/ein Laufwerk verschlüsseln (nicht Systemlaufwerk)“ und gibst die externe Platte an. Achtung: Wer eine Platte mit vorhandenen Daten „an Ort und Stelle“ verschlüsselt, braucht vorher zwingend ein zweites Backup – bricht der Vorgang ab, ist der Datenbestand in Gefahr. Der saubere Weg für eine Backup-Platte: leer formatieren, verschlüsseln, dann neu befüllen.

Ein praktischer Vorteil von VeraCrypt: Die portable Version darf mit auf die Platte. Damit öffnest du deinen Tresor an jedem Windows-Rechner, ohne dort etwas zu installieren – Administratorrechte am jeweiligen PC vorausgesetzt.

Wenn es hakt: typische Stolperfallen

• „BitLocker aktivieren“ fehlt im Kontextmenü. Dann läuft Windows Home, dort ist BitLocker To Go nicht enthalten. Die Edition steht unter Einstellungen → System → Info. Kurios, aber hilfreich: Eine bereits verschlüsselte Platte kann Windows Home per Passwort entsperren und lesen – nur neu einrichten geht dort nicht. Wer keine Pro-Lizenz kaufen will, nimmt VeraCrypt.
• Die Platte geht am Mac oder unter Linux nicht auf. macOS öffnet BitLocker-Volumes nicht von Haus aus, unter Linux braucht es das Paket dislocker oder ein aktuelles cryptsetup. Für Backups, die zwischen Systemen wandern, ist VeraCrypt der ruhigere Weg.
• Der VeraCrypt-Container lässt sich nicht einbinden. Meistens stimmt die Passphrase nicht – falsches Tastaturlayout und vertauschtes Y/Z sind Klassiker. Sonst dauert es nur: Ist das KDF auf „Automatisch“ gestellt, probiert VeraCrypt alle Verfahren durch, was einige Sekunden kostet. Wer weiß, womit das Volume erzeugt wurde, stellt es fest ein.
• Die Erstverschlüsselung zieht sich endlos. An USB 2.0 oder bei einer randvollen Platte ist das normal. Ein USB-3-Port (blauer Anschluss oder USB-C) und die Option „Nur verwendeten Speicherplatz“ verkürzen die Sache erheblich.
• Die verschlüsselte Platte ist plötzlich schreibgeschützt. Prüfe, ob sie wirklich entsperrt und nicht nur eingehängt ist, und ob am Gehäuse ein Schreibschutzschalter sitzt. Bei BitLocker kann außerdem eine Richtlinie greifen, die Schreibzugriff auf unverschlüsselte oder fremdverschlüsselte Wechselmedien blockiert – auf Firmengeräten der häufigste Grund.

Warum reicht das Windows-Passwort nicht?

Das Anmeldepasswort schützt nur die laufende Windows-Sitzung. Hängt jemand deine externe Platte an einen anderen Rechner oder startet er ein Linux vom USB-Stick, liest er die Dateien direkt vom Datenträger – das Konto-Passwort spielt dabei keine Rolle, weil es gar nicht abgefragt wird. Wer sein Backup ernsthaft absichern will, muss deshalb die externe Festplatte verschlüsseln und nicht nur den PC.

Verschlüsselung setzt eine Ebene tiefer an: Die Daten selbst werden mit einem Schlüssel unlesbar gemacht, den erst deine Passphrase freischaltet. Beide Werkzeuge nutzen dafür AES (Advanced Encryption Standard), meist mit 256 Bit Schlüssellänge im XTS-Modus, der speziell für Datenträger entworfen wurde. Der Algorithmus selbst gilt nach heutigem Stand als nicht brechbar; angegriffen wird in der Praxis das Passwort. Genau da setzt Argon2id an – es macht jeden einzelnen Rateversuch teuer.

Für Azubis und alle, die Prüfungsstoff wiederholen: Hier greifen zwei der vier Schutzziele der IT-Sicherheit ineinander. Verschlüsselung sichert die Vertraulichkeit (niemand Unbefugtes liest mit), das Backup selbst die Verfügbarkeit (die Daten sind nach einem Ausfall wieder da). Beides zusammen ergibt erst eine belastbare Datensicherung – und deshalb bleibt die 3-2-1-Regel gültig: drei Kopien, zwei verschiedene Medien, eine außer Haus. Nur liegt die Kopie außer Haus jetzt verschlüsselt dort, und der Wiederherstellungsschlüssel getrennt von der Platte.

Häufige Fragen

Kann ich unter Windows 11 Home eine externe Festplatte mit BitLocker verschlüsseln?

Nein. BitLocker To Go gibt es nur in Windows 11 Pro, Enterprise und Education. Eine bereits verschlüsselte Platte kann Windows Home zwar per Passwort entsperren und lesen, neu einrichten lässt sich die Verschlüsselung dort aber nicht – dafür nimmst du VeraCrypt.

Was passiert, wenn ich die Passphrase vergesse?

Dann sind die Daten weg. Eine Hintertür gibt es nicht. Bei BitLocker rettet dich nur der 48-stellige Wiederherstellungsschlüssel, den du vorher separat gespeichert haben musst. VeraCrypt kennt keinen Ersatzschlüssel.

Ist BitLocker oder VeraCrypt sicherer?

Beide setzen auf AES-256 und gelten als praktisch unknackbar. Der Unterschied liegt in der Praxis: BitLocker ist bequem in Windows integriert, VeraCrypt ist quelloffen, kostenlos und läuft auch auf Home, macOS und Linux.

Schützt die Geräteverschlüsselung von Windows nicht schon meine externe Platte?

Nein. Die automatische Geräteverschlüsselung erfasst nur das Systemlaufwerk und interne Datenlaufwerke. Externe USB-Datenträger bleiben unverschlüsselt und müssen separat gesichert werden.

Bremst die Verschlüsselung mein Backup aus?

Im Alltag kaum. Aktuelle Prozessoren rechnen AES über den AES-NI-Befehlssatz in Hardware. Spürbar langsam ist nur die einmalige Erstverschlüsselung, vor allem an USB 2.0 oder bei einer sehr vollen Platte.