Microsoft bevestigt: Windows 11-updates KB5083769 en KB5082052 veroorzaken onterecht BitLocker-herstelprompt

De nieuwste updates voor Windows 11, Windows 10 en Windows Server 2022 en 2025 kunnen onverwacht zorgen voor een BitLocker-herstelverzoek. Gelukkig is er een oplossing.

Microsoft heeft deze week de nieuwste Patch Tuesday-update uitgebracht, bedoeld voor april 2024. Voor Windows 11 betreft dit onder andere de updates KB5083769 en KB5082052. Deze updates brengen onder meer een grote wijziging voor Remote Desktop

Aanvankelijk meldde Microsoft geen bekende problemen met deze Patch Tuesday, maar inmiddels heeft het bedrijf bevestigd dat alle systemen met deze updates te maken krijgen met een probleem dat verband houdt met BitLocker. Dit geldt voor Windows 11, Windows 10 (update KB5082200) en ook voor Windows Server 2025 en Server 2022.

Microsoft legt uit dat de fout ontstaat door een niet-aangeraden configuratie van de BitLocker-gerelateerde Groepsbeleid-instelling (Group Policy). Dit kan ertoe leiden dat gebruikers onterecht een BitLocker-herstelsleutel moeten invoeren. Het goede nieuws: Deze sleutel hoeft slechts één keer ingevoerd te worden én het probleem doet zich alleen bij een beperkt aantal systemen voor. Dit betreft apparaten die aan de volgende voorwaarden voldoen:

• BitLocker is ingeschakeld op de systeemschijf (OS-drive).
• Het groepsbeleid “Configure TPM platform validation profile for native UEFI firmware configurations” is geactiveerd, waarbij PCR7 is opgenomen in het validatieprofiel (of de bijbehorende registerinstelling handmatig is aangepast).
• Systeeminformatie (msinfo32.exe) geeft aan dat de Secure Boot State PCR7 Binding als “Not Possible” wordt weergegeven.
• Het Windows UEFI CA 2023-certificaat staat in de Secure Boot Signature-database van het apparaat, waardoor de 2023-ondertekende Windows Boot Manager als standaard kan worden ingesteld.
• Het apparaat draait nog niet op de 2023-ondertekende Windows Boot Manager.

Microsoft heeft daarom ook een tijdelijke oplossing gedeeld, waarmee beheerders of gebruikers de foutieve groepsbeleidsinstelling kunnen verwijderen vóór het installeren van de update. Dit is tevens de aanbevolen werkwijze. Volg de onderstaande stappen:

1. Open de Groepsbeleid-editor (gpedit.msc) of Group Policy Management Console.
2. Navigeer naar: Computerconfiguratie > Beheersjablonen > Windows-componenten > BitLocker-stationsversleuteling > Besturingssysteemstations.
3. Stel “Configure TPM platform validation profile for native UEFI firmware configurations” in op “Niet geconfigureerd“.
4. Voer op de getroffen apparaten de volgende opdracht uit om het beleid te vernieuwen: gpupdate /force
5. Voer de volgende opdracht uit om BitLocker tijdelijk te pauzeren (indien BitLocker is ingeschakeld op de C:-schijf): manage-bde -protectors -disable C:
6. Voer daarna deze opdracht uit om BitLocker weer te activeren: manage-bde -protectors -enable C:
7. Hiermee worden de BitLocker-bindingen bijgewerkt naar het standaard PCR-profiel dat Windows selecteert.

Daarnaast kunnen beheerders ook een zogenaamde “Known Issue Rollback” (KIR) toepassen om het probleem te voorkomen, nog vóórdat de Patch Tuesday-update wordt gedownload.