BitLocker to funkcja zabezpieczeń Windows, która szyfruje całe dyski, aby chronić dane w razie zgubienia, kradzieży lub niewłaściwego wycofania urządzenia z użytku. Pełny BitLocker jest dostępny w wybranych edycjach Windows, natomiast zgodne komputery z edycją Home mogą korzystać z uproszczonego szyfrowania urządzenia. Niezależnie od wariantu najważniejsza zasada brzmi: zachowaj kopię klucza odzyskiwania.
Stan wiedzy: 22 września 2026 r.
Co to jest BitLocker?
BitLocker szyfruje całe dyski, nazywane również woluminami. Jego zadaniem jest ochrona zapisanych danych przed ujawnieniem, gdy urządzenie zostanie zgubione, skradzione albo nieprawidłowo wycofane z użytku.
Szyfrowanie dysków funkcją BitLocker ma znaczenie między innymi wtedy, gdy ktoś przełoży dysk do innego komputera lub użyje narzędzi próbujących uzyskać dostęp do dysku bez uruchamiania znajdującego się na nim Windows. Dane na dysku są chronione przez szyfrowanie całego woluminu.
Nazwa BitLocker może oznaczać pełną funkcję dostępną w edycjach Pro, Enterprise i Education. W Windows działa również szyfrowanie urządzenia – uproszczona odmiana, która automatycznie korzysta z BitLockera i jest dostępna także w edycji Home na zgodnym sprzęcie. To rozróżnienie jest ważne, gdy sprawdzasz możliwości swojego komputera.
Jak działa BitLocker?
BitLocker szyfruje dane na dysku i może współpracować z modułem TPM, który sprawdza, czy wyłączone urządzenie nie zostało zmodyfikowane. Najlepszą ochronę zapewnia właśnie połączenie szyfrowania z takim sprawdzaniem integralności.
Moduł TPM przechowuje informacje wykorzystywane podczas uruchamiania urządzenia. BitLocker może korzystać z niego bez wymagania dodatkowej czynności od użytkownika. Możliwe jest również włączenie dodatkowego zabezpieczenia w postaci PIN-u podawanego przed uruchomieniem Windows albo klucza startowego znajdującego się na nośniku USB.
BitLocker może zaszyfrować dysk systemowy także bez modułu TPM. W takim przypadku potrzebny jest klucz startowy na USB albo hasło. Używanie hasła jest jednak odradzane: może być ono zgadywane, a mechanizm nie blokuje kolejnych prób po błędnych odpowiedziach. Ta możliwość jest domyślnie wyłączona. Bez TPM komputer nie sprawdza również integralności przed uruchomieniem systemu.
Domyślną metodą stosowaną przez szyfrowanie urządzenia jest XTS-AES 128-bit. Nie musisz znać szczegółów technicznych tej metody, aby sprawdzić stan ochrony i zadbać o klucz odzyskiwania.
BitLocker a szyfrowanie urządzenia – czym się różnią?
Pełny BitLocker i szyfrowanie urządzenia korzystają z BitLockera, ale nie są tym samym wariantem funkcji. Różnią się dostępnością w edycjach Windows, sposobem włączania oraz zakresem obsługiwanych dysków.
| Cecha | Szyfrowanie urządzenia | Pełny BitLocker |
|---|---|---|
| Edycje Windows | Wszystkie wersje, także Home, na zgodnym sprzęcie | Windows Pro, Enterprise, Pro Education/SE i Education |
| Włączanie | Przygotowywane automatycznie po czystej instalacji na zgodnym urządzeniu; pełna ochrona jest aktywowana po zalogowaniu odpowiednim kontem Microsoft lub kontem służbowym | Włączany ręcznie przez użytkownika lub administratora |
| Zakres | Dysk systemowy i dyski wewnętrzne | Szyfrowanie całych dysków, w tym obsługa dysków wymiennych |
| Dyski zewnętrzne i USB | Nie są szyfrowane przez szyfrowanie urządzenia | Mogą zostać zaszyfrowane i odblokowane hasłem lub kluczem odzyskiwania |
| Opcje przed uruchomieniem | Uproszczony, automatyczny wariant | Współpraca z TPM oraz możliwość dodatkowego wymagania PIN-u albo klucza startowego USB |
Od Windows 11 w wersji 24H2 wymagania szyfrowania urządzenia zostały złagodzone, dlatego kwalifikuje się do niego więcej komputerów. Dotyczy to również urządzeń z Windows 11 Home, ale nie oznacza udostępnienia w Home pełnej funkcji BitLocker znanej z edycji Pro, Enterprise i Education.
Dlaczego BitLocker sam się włączył?
Jeżeli masz wrażenie, że BitLocker sam się włączył, najczęściej chodzi o automatyczne szyfrowanie urządzenia na zgodnym komputerze. Ten uproszczony mechanizm wykorzystuje BitLocker, dlatego jego nazwa może pojawić się przy sprawdzaniu stanu dysku.
Po czystej instalacji Windows szyfrowanie urządzenia jest automatycznie przygotowywane. Pełna ochrona, obejmująca użycie TPM i zapisanie kopii klucza, włącza się po zalogowaniu na konto Microsoft mające uprawnienia administratora. Klucz odzyskiwania trafia wtedy na to konto. Ochrona może zostać aktywowana również po zalogowaniu kontem służbowym.
Przy korzystaniu wyłącznie z kont lokalnych sytuacja wygląda inaczej. Dane są zaszyfrowane, ale urządzenie pozostaje niechronione. W Eksploratorze plików przy dysku może być wtedy widoczna żółta ikona ostrzeżenia. Sam fakt zaszyfrowania danych nie oznacza więc jeszcze, że cały proces aktywacji ochrony został zakończony.
Automatyczne włączenie może nastąpić również później. Jeśli komputer początkowo nie spełniał wymagań, ale zaczął je spełniać, na przykład po włączeniu Secure Boot, szyfrowanie urządzenia uruchomi się automatycznie. Jeżeli jednak wyłączysz je ręcznie, nie włączy się ponownie samo – trzeba będzie zrobić to w Ustawieniach.
Jak sprawdzić, czy dysk jest zaszyfrowany?
Najbardziej jednoznacznie stan szyfrowania sprawdzisz poleceniem systemowym uruchomionym z uprawnieniami administratora. Możesz też otworzyć ustawienie szyfrowania urządzenia i sprawdzić, czy komputer obsługuje ten mechanizm.
- Sprawdź stan poleceniem. Uruchom wiersz polecenia jako administrator i wpisz
manage-bde -status. Polecenie pokazuje stan szyfrowania dysków. - Otwórz ustawienie szyfrowania urządzenia. Znajduje się ono w Ustawieniach, w sekcji prywatności i zabezpieczeń. Możesz nacisnąć Win+R, wpisać
ms-settings:deviceencryptioni zatwierdzić. - Sprawdź zgodność komputera. Otwórz aplikację Informacje o systemie poleceniem
msinfo32. Znajdziesz tam pozycję dotyczącą obsługi szyfrowania urządzeń, która informuje, czy komputer spełnia wymagania tej funkcji.
Zwróć także uwagę na ikonę dysku w Eksploratorze plików. Żółta ikona ostrzeżenia może oznaczać opisany wcześniej stan, w którym dane są zaszyfrowane, ale przy używaniu wyłącznie kont lokalnych urządzenie pozostaje niechronione.
Jakie są wymagania BitLockera?
Najlepszą ochronę BitLocker zapewnia z modułem TPM 1.2 lub nowszym oraz zgodnym oprogramowaniem układowym. TPM nie jest jednak bezwzględnie konieczny do zaszyfrowania dysku systemowego, ponieważ bez niego można użyć klucza startowego USB albo odradzanego hasła.
- Do sprawdzania integralności potrzebny jest moduł TPM 1.2 lub nowszy.
- Oprogramowanie układowe powinno być zgodne ze standardem TCG.
- Przy TPM 2.0 wymagany jest tryb UEFI bez trybu Legacy/CSM, a Secure Boot jest zalecany.
- Dysk powinien mieć co najmniej dwie partycje. Windows tworzy je automatycznie podczas instalacji.
Więcej informacji o TPM, UEFI i Secure Boot znajdziesz w przewodniku po wymaganiach sprzętowych i systemowych Windows 11.
Czy BitLocker szyfruje pendrive’y i dyski zewnętrzne?
Pełny BitLocker dostępny w obsługiwanych edycjach Windows może szyfrować dyski wymienne, takie jak pendrive’y. Szyfrowanie urządzenia nie obejmuje natomiast dysków zewnętrznych ani nośników USB.
Funkcja szyfrowania nośników wymiennych jest potocznie określana jako BitLocker To Go. Zaszyfrowany nośnik można odblokowywać hasłem albo kluczem odzyskiwania. Wymaga to edycji Windows oferującej pełny BitLocker.
Pełny BitLocker jest funkcją edycji Pro i wyższych. Jeżeli zastanawiasz się, czy przejść na nią z edycji domowej, zobacz porównanie: Windows 11 Home i Pro.
Czy warto używać BitLockera?
BitLocker warto stosować, gdy chcesz chronić dane na wypadek zgubienia, kradzieży albo niewłaściwego wycofania komputera lub dysku z użytku. Jest to szczególnie uzasadnione na urządzeniu, które może zostać wyniesione poza dom lub firmę, pod warunkiem zachowania kopii klucza odzyskiwania.
Prosta reguła decyzji jest następująca: jeśli utrata fizycznego dostępu do urządzenia mogłaby oznaczać ujawnienie ważnych danych, szyfrowanie całego dysku odpowiada na to ryzyko. Dotyczy to zarówno dysku pozostającego w komputerze, jak i sytuacji, w której zostałby on przełożony do innego urządzenia.
Przed planowaną aktualizacją BIOS/UEFI lub zmianą sprzętu można tymczasowo zawiesić ochronę BitLocker. Dysk pozostaje wtedy zaszyfrowany, a ochrona wraca po ponownym uruchomieniu. Bez wcześniejszego zawieszenia komputer może poprosić o klucz odzyskiwania.
Jeżeli zależy Ci tylko na ochronie wybranego katalogu, zobacz również poradnik wyjaśniający, jak zabezpieczyć folder hasłem w Windows 11. Pamiętaj też, że szyfrowanie nie zastępuje kopii zapasowej – chroni dane przed niepowołanym dostępem, a nie przed ich utratą.
Jeżeli po przeczytaniu tego przewodnika uznasz, że szyfrowanie nie jest Ci potrzebne, sprawdź, jak wyłączyć BitLocker i czym różni się wyłączenie od zawieszenia ochrony.
Kopia klucza trafia na konto Microsoft, więc jeśli korzystasz wyłącznie z kont lokalnych, musisz zapisać go samodzielnie – wyjaśniamy to w poradniku o tym, jak założyć konto lokalne w Windows 11.
Klucz odzyskiwania – bez tego ani rusz
Klucz odzyskiwania BitLocker jest 48-cyfrowym hasłem numerycznym. Trzeba mieć jego kopię, ponieważ Microsoft nie odtworzy utraconego klucza.
Jeżeli komputer wyświetli ekran odzyskiwania, nie próbuj obchodzić szyfrowania. Skorzystaj z osobnego przewodnika: sprawdź, jak znaleźć klucz odzyskiwania BitLocker.
Najczęściej zadawane pytania
Czy Windows 11 Home ma BitLocker?
Windows 11 Home może korzystać z szyfrowania urządzenia, czyli uproszczonej odmiany automatycznie wykorzystującej BitLocker. Pełna funkcja BitLocker jest dostępna w edycjach Pro, Enterprise, Pro Education/SE i Education.
Dlaczego BitLocker włączył się sam?
Najczęściej automatycznie włączyło się szyfrowanie urządzenia na zgodnym komputerze. Może to nastąpić po czystej instalacji i zalogowaniu odpowiednim kontem Microsoft lub kontem służbowym, a także wtedy, gdy komputer zacznie spełniać wymagania.
Czy BitLocker szyfruje pendrive?
Tak, ale wymaga to edycji z pełnym BitLockerem. Szyfrowanie urządzenia dostępne także w Home nie obejmuje dysków zewnętrznych ani USB.
Czy mogę wyłączyć BitLocker?
Tak – szyfrowanie urządzenia można wyłączyć w Ustawieniach. Po ręcznym wyłączeniu nie aktywuje się ono automatycznie ponownie; trzeba będzie włączyć je samodzielnie.
Co się stanie, jeśli zgubię klucz odzyskiwania?
Microsoft nie odtworzy utraconego klucza odzyskiwania. Dlatego kopię 48-cyfrowego hasła numerycznego należy zabezpieczyć, zanim będzie potrzebne.
Czy BitLocker działa bez TPM?
Tak, dysk systemowy można zaszyfrować bez TPM, używając klucza startowego USB albo hasła. Hasło jest odradzane i domyślnie wyłączone, a bez TPM nie działa sprawdzanie integralności przed uruchomieniem.
Podsumowanie
BitLocker chroni całe dyski przed ujawnieniem danych po utracie urządzenia, przełożeniu dysku lub próbie dostępu bez uruchamiania Windows. W edycjach Pro, Enterprise i Education dostępna jest pełna funkcja, natomiast zgodne komputery z Home mogą korzystać z automatycznego szyfrowania urządzenia.
Sprawdź stan poleceniem manage-bde -status, ustal, z którego wariantu korzystasz, i upewnij się, że masz kopię klucza odzyskiwania. Dalsze materiały znajdziesz w poradnikach o prywatności w Windows 11 oraz w kompendium bezpieczeństwa Windows.
Źródła
Microsoft Learn: omówienie funkcji BitLocker
Microsoft: szyfrowanie dysków funkcją BitLocker
Microsoft: szyfrowanie urządzeń w systemie Windows
