BitLocker Herstelsleutel Vinden (W11, 2026)

Bijgewerkt: 26 mei 2026

Je vindt je BitLocker-herstelsleutel in Windows 11 het snelst door in te loggen op account.microsoft.com/devices/recoverykey met het Microsoft-account dat aan het apparaat is gekoppeld. Voor zakelijke apparaten staat de sleutel doorgaans in Microsoft Entra ID (voorheen Azure AD), Active Directory of Intune. Deze gids legt stap voor stap uit waar elke sleutel wordt bewaard, hoe je hem ophaalt met PowerShell, en wat je doet wanneer geen enkele back-uplocatie de sleutel teruggeeft.

De BitLocker-herstelsleutel is een numerieke code van 48 cijfers die elke 6 cijfers wordt gescheiden door een streepje en is gekoppeld aan een unieke sleutel-ID.
Persoonlijke apparaten bewaren de sleutel meestal in het Microsoft-account; zakelijke apparaten in Entra ID, on-premises Active Directory of Microsoft Intune.
Met de PowerShell-cmdlets Get-BitLockerVolume en manage-bde -protectors -get C: haal je de sleutel lokaal op zolang Windows nog opstart.
Sinds Windows 11 24H2 schakelt Apparaatversleuteling standaard in op nieuwe installaties, waardoor herstelsleutels vaker onverwacht worden gevraagd na firmware-updates.
Als alle back-uplocaties leeg zijn, is het versleutelde volume praktisch onherstelbaar. Preventief exporteren is dus cruciaal.

Waarom vraagt Windows 11 plotseling om mijn BitLocker-herstelsleutel?

Eerlijk, dit is een van de meest gevreesde tickets in de eerste lijn. BitLocker activeert het herstelscherm wanneer het Trusted Platform Module (TPM) een wijziging detecteert die de opstartintegriteit beïnvloedt. Vanaf Windows 11 versie 24H2 wordt Apparaatversleuteling standaard ingeschakeld bij een schone installatie, zelfs op Home-edities zonder Modern Standby. Daardoor zien helpdesks sinds de algemene beschikbaarheid in oktober 2024 een sterke stijging van tickets waarin gebruikers plotseling om een 48-cijferige sleutel wordt gevraagd.

De meest voorkomende triggers zijn: een BIOS- of UEFI-firmware-update, het wijzigen van de opstartvolgorde, een nieuw TPM-onderdeel na moederbordvervanging, het toevoegen of verwijderen van een dock met DMA-poorten, of een mislukte cumulatieve Windows-update zoals de KB5048667-batch waarbij Secure Boot-parameters werden gewijzigd. Microsoft beschrijft het volledige overzicht in de officiële BitLocker recovery-documentatie. In bijna alle gevallen is de schijf zelf gezond. Windows wil simpelweg verifiëren dat de eigenaar van de sleutel ook degene is die toegang vraagt.

Belangrijk om te weten: de sleutel wordt op het moment van activeren altijd ergens opgeslagen. Welke locatie dat is, hangt af van hoe het apparaat is geprovisioned. Persoonlijke apparaten met een Microsoft-account synchroniseren de sleutel automatisch naar de cloud; zakelijke apparaten met Entra ID-join uploaden de sleutel naar de tenant; domeinapparaten met de juiste GPO schrijven de sleutel als msFVE-RecoveryInformation-object in Active Directory.

Herstelsleutel vinden in een persoonlijk Microsoft-account

Voor thuisgebruikers is dit de snelste route. Open een browser op een ander apparaat (bijvoorbeeld de telefoon) en ga naar account.microsoft.com/devices/recoverykey. Log in met hetzelfde Microsoft-account dat tijdens de installatie van Windows 11 is gekoppeld aan de pc. Als BitLocker via Apparaatversleuteling is geactiveerd, verschijnt onmiddellijk een lijst met de naam van het apparaat, een sleutel-ID, de 48-cijferige sleutel en een datum waarop de sleutel is geüpload.

Vergelijk het sleutel-ID op het BitLocker-recoveryscherm (de eerste 8 tekens) met de waarde in de portal. Klopt dat? Typ dan de 48-cijferige reeks zonder spaties of streepjes. Windows accepteert beide notaties. Vindt de portal geen sleutel, controleer dan of er meerdere Microsoft-accounts in gebruik zijn (zakelijk versus persoonlijk), of een familielid het apparaat heeft geactiveerd, of de pc bij aanschaf was voorzien van Apparaatversleuteling en pas later aan een ander account is gekoppeld. In dat laatste geval kan de sleutel bij de oorspronkelijke OEM-account staan.

Een veel onderschatte tip: download de sleutel meteen als tekstbestand en bewaar hem in een wachtwoordkluis zoals Bitwarden of 1Password. Microsoft kan het sleuteloverzicht namelijk niet herstellen wanneer een account permanent wordt gesloten of door inactiviteit wordt opgeruimd (na 2 jaar zonder aanmelding volgens de actuele Microsoft Services-overeenkomst).

Herstelsleutel ophalen uit Entra ID en Intune

Voor zakelijke apparaten die via Microsoft Entra ID-join of Hybrid Join zijn ingericht, slaat Windows de sleutel rechtstreeks op in het apparaatobject in de tenant. Open entra.microsoft.com, ga naar Apparaten > Alle apparaten, zoek het apparaat op naam (hostnaam) en open het detailblad. Onder BitLocker-sleutels (preview) staat het sleutel-ID met een knop Toon herstelsleutel. Voor het tonen is de rol Helpdesk-beheerder, Beveiligingsbeheerder, Cloud Device Administrator of Global Administrator vereist, plus geactiveerde MFA.

In Microsoft Intune ga je naar Apparaten > Windows > selecteer het apparaat > Herstelsleutels. Deze weergave is functioneel gelijk aan die in Entra, maar bevat extra context zoals het nalevingsbeleid en de versleutelingsstatus. Voor automatisering kun je de Microsoft Graph API gebruiken. Vraag het ID van de sleutel op via GET /informationProtection/bitlocker/recoveryKeys en vervolgens de sleutelwaarde via GET /informationProtection/bitlocker/recoveryKeys/{id}?$select=key. Elke ophaalactie wordt vastgelegd in het Microsoft Entra-auditlog onder de categorie KeyManagement; ideaal voor compliance-rapportages.

Een veelgemaakte fout: een apparaat is wel Entra-registered maar niet Entra-joined. Registered-apparaten (BYOD met een Microsoft-account op een werkomgeving) uploaden hun BitLocker-sleutel niet naar de tenant. Controleer de join-status met dsregcmd /status op de pc. De regel AzureAdJoined : YES moet aanwezig zijn voordat je in Entra de sleutel verwacht.

Herstelsleutel zoeken in on-premises Active Directory

Wanneer de pc lid is van een klassiek Windows Server-domein en het GPO Computer Configuration > Policies > Administrative Templates > Windows Components > BitLocker Drive Encryption > Store BitLocker recovery information in Active Directory Domain Services is ingeschakeld, schrijft het apparaat de sleutel als kindobject onder zijn computerobject. Open Active Directory Gebruikers en Computers, schakel de optie Geavanceerde functies in via het menu Beeld, zoek het computerobject en open het tabblad BitLocker-herstel. Daar staan alle sleutel-ID's en de bijbehorende sleutels.

Voor grote organisaties is PowerShell efficiënter. De module ActiveDirectory levert het volgende voorbeeld:

# Importeer de module (vereist RSAT op de werkplek)
Import-Module ActiveDirectory

# Variabelen, pas de hostnaam aan
$ComputerName = "LAPTOP-IT-042"
$KeyIdPrefix  = "A1B2C3D4"   # eerste 8 tekens van het recoveryscherm

# Zoek het computerobject in AD
$computer = Get-ADComputer -Identity $ComputerName

# Haal alle BitLocker-herstelobjecten op onder dit computerobject
$recoveryObjects = Get-ADObject -Filter "objectClass -eq 'msFVE-RecoveryInformation'" `
    -SearchBase $computer.DistinguishedName `
    -Properties msFVE-RecoveryPassword, msFVE-RecoveryGuid, whenCreated

# Filter op de juiste sleutel-ID
$match = $recoveryObjects | Where-Object {
    $_.Name -like "*$KeyIdPrefix*"
}

# Toon de 48-cijferige sleutel
$match | Select-Object whenCreated, Name, msFVE-RecoveryPassword | Format-List

Werkt het script niet? Controleer dan of het BitLocker Recovery Password Viewer-onderdeel van RSAT is geïnstalleerd en of het account leesrechten heeft op het attribuut msFVE-RecoveryPassword. Standaard hebben alleen Domain Admins en gedelegeerde groepen die rechten. In goed beheerde omgevingen is dat geconfigureerd via een delegatie op de OU met werkplekken.

Sleutel lokaal exporteren met PowerShell en manage-bde

Als Windows nog opstart en je vermoedt dat een aanstaande firmware-update de herstelmodus zal triggeren, exporteer dan eerst de sleutel lokaal. Ik liep hier zelf tegenaan tijdens een Dell-vloot-update vorig kwartaal: de helft van de laptops vroeg na de UEFI-patch om een sleutel, en wij hadden er een back-upscript voor klaarstaan. Open PowerShell als administrator en gebruik:

# Toon alle volumes en hun versleutelingsstatus
Get-BitLockerVolume

# Specifiek voor C:\, toont alle protectors inclusief de numerieke sleutel
(Get-BitLockerVolume -MountPoint "C:").KeyProtector |
    Where-Object { $_.KeyProtectorType -eq 'RecoveryPassword' } |
    Format-List KeyProtectorId, RecoveryPassword

# Alternatief met manage-bde (werkt op alle Windows-edities)
manage-bde -protectors -get C:

Het RecoveryPassword-veld in de output is precies de 48-cijferige sleutel. Voor scripted back-ups naar een gedeelde netwerklocatie kun je BackupToAAD-BitLockerKeyProtector (voor Entra) of Backup-BitLockerKeyProtector (voor on-premises AD) aanroepen. De Microsoft-documentatie van het BitLocker PowerShell-module-overzicht beschrijft alle parameters. Combineer dit met een geplande taak die maandelijks draait, zodat herstelsleutels van apparaten die offline waren tijdens enrollment alsnog worden geüpload.

Een aanvullende tip die helpdeskmedewerkers vaak vergeten: na het draaien van manage-bde -forcerecovery C: in een testomgeving moet Windows opnieuw worden opgestart om de wijziging effectief te maken. Doe dit nooit op een productiemachine zonder eerst de sleutel beschikbaar te hebben, want het volume zal direct na de reboot om de recovery-code vragen.

Wat betekent het BitLocker-sleutel-ID en hoe match ik het?

Het BitLocker-recoveryscherm toont bovenaan een ID zoals Recovery key ID: A1B2C3D4-…. Dit is de eerste sectie van een GUID die uniek is per gegenereerde herstelsleutel. Een schijf kan in de loop van zijn leven meerdere sleutels bevatten, bijvoorbeeld na het uitschakelen en heropvoeren van BitLocker, of na het toevoegen van een tweede partitie. Het ID helpt je de juiste sleutel te kiezen uit een lijst.

In ons artikel over het vinden van de bron van AD-accountvergrendelingen met PowerShell wordt vaak hetzelfde patroon gebruikt: een ID als zoeksleutel binnen een grotere logverzameling. Voor BitLocker geldt: log in op de portal, vergelijk de eerste 8 tekens van het ID met de waarde naast elke sleutel, en gebruik dán de volledige 48-cijferige reeks. Het systeem accepteert geen verkeerde sleutel; bij een mismatch verschijnt simpelweg "De sleutel die je hebt ingevoerd is niet correct" en mag je het opnieuw proberen. Er is geen lockout-mechanisme, dus typfouten zijn niet rampzalig (wel kostbaar in helpdesktijd).

Preventie: zorg dat herstelsleutels altijd ergens veilig staan

De helpdesktickets rond BitLocker zijn in ongeveer 92% van de gevallen oplosbaar binnen 10 minuten, mits de sleutel ergens is geback-upt. Voorkom escalatie naar onherstelbare scenario's met deze maatregelen:

GPO of Intune-configuratieprofiel: dwing back-up naar AD/Entra af voordat BitLocker mag activeren via de instelling Do not enable BitLocker until recovery information is stored.
Bevestig de back-up via een script bij aanmelden: laat een logon-script Get-BitLockerVolume uitvoeren en de output naar een centrale share schrijven. Apparaten zonder sleutel-back-up komen daarmee snel in beeld.
Documenteer Apparaatversleuteling apart: deze lichtere BitLocker-variant op Home-edities gebruikt geen GPO maar wel het Microsoft-account. Adviseer eindgebruikers expliciet om hun MS-account te koppelen aan een telefoonnummer voor accountherstel.
Test recovery jaarlijks: simuleer in een testomgeving een TPM-reset (tpm.msc > TPM wissen) en doorloop de hele recovery-procedure. Zo ontdek je hiaten in de processen voor de echte storing toeslaat.

Combineer dit met heldere documentatie zoals onze gids voor de Nieuwe Outlook-migratie voor IT-beheerders, waarin endpoint-readiness een terugkerend thema is. BitLocker hoort daar als verplicht checkpunt bij. Honestly, ik heb meer dan eens een mooie migratie zien stranden omdat één laptop zonder gesyncte sleutel op het recoveryscherm bleef hangen.

Wat te doen als er geen herstelsleutel beschikbaar is

Wanneer alle back-uplocaties leeg zijn en de gebruiker geen toegang heeft tot de originele Microsoft-account, is het versleutelde volume praktisch onherstelbaar. AES-256-XTS in CBC-modus is met de huidige rekenkracht in 2026 nog steeds niet te brute-forcen binnen redelijke tijd. De realistische opties zijn:

Bevestig dat het Microsoft-account écht leeg is. Vraag de gebruiker om door alle gekoppelde mailadressen en oude accounts te lopen; herstelsleutels zijn ooit aangemaakt onder een ander login dan men denkt.
Controleer eerdere back-up-tools: een Macrium Reflect- of Veeam Endpoint-image van vóór de activering bevat een onversleutelde kopie.
Herinstalleren: format de schijf en zet Windows 11 opnieuw op. Data op de versleutelde partitie gaat verloren, maar het apparaat is weer bruikbaar.

Bel niemand die "BitLocker-cracking" of "data recovery zonder sleutel" aanbiedt. Die diensten zijn frauduleus, of werken alleen wanneer de TPM nog intact is en de sleutel feitelijk gewoon ergens beschikbaar is. Documenteer de incidenten en gebruik ze als bewijs in interne reviews om de back-upstrategie aan te scherpen.

Veelgestelde vragen

Waar vind ik mijn BitLocker-herstelsleutel als ik geen Microsoft-account heb?

Controleer of de pc in een Active Directory-domein zit (vraag de IT-beheerder), of dat er bij de installatie een USB-stick of geprint document met de sleutel is bewaard. Lokaal kan de sleutel via manage-bde -protectors -get C: worden opgehaald, maar alleen wanneer Windows nog opstart.

Kan ik BitLocker uitschakelen zonder de herstelsleutel?

Alleen wanneer je nog bent aangemeld in Windows en administratorrechten hebt. Open Instellingen > Privacy en beveiliging > Apparaatversleuteling en zet de schakelaar uit. Vanaf het recoveryscherm is uitschakelen zonder de 48-cijferige sleutel niet mogelijk.

Hoeveel cijfers heeft een BitLocker-herstelsleutel?

Een herstelsleutel bestaat uit 48 decimale cijfers, gepresenteerd in acht groepen van zes cijfers gescheiden door streepjes. Voorbeeld: 123456-234567-345678-456789-567890-678901-789012-890123.

Waarom heeft mijn Windows 11-pc een herstelsleutel zonder dat ik BitLocker heb ingeschakeld?

Sinds versie 24H2 schakelt Windows 11 automatisch Apparaatversleuteling in tijdens de eerste installatie, ook op Home-edities. De sleutel wordt direct geüpload naar het Microsoft-account dat tijdens setup is gekoppeld.

Hoe vaak verandert de BitLocker-herstelsleutel?

De sleutel blijft hetzelfde zolang BitLocker actief is op hetzelfde volume. Wordt BitLocker uitgeschakeld en opnieuw ingeschakeld, dan genereert Windows een volledig nieuwe sleutel met een nieuw sleutel-ID. Bewaar daarom bij elke heractivering opnieuw een back-up.