BitLocker — co to jest, jak włączyć i wyłączyć szyfrowanie dysku w Windows 11 (2026)

BitLocker to wbudowana w system Windows funkcja pełnego szyfrowania woluminów, która chroni dane na dysku przed nieautoryzowanym dostępem — nawet gdy komputer zostanie skradziony, zgubiony lub dysk zostanie fizycznie wyjęty i podłączony do innego urządzenia. W praktyce działa przezroczysto w tle: po zalogowaniu do Windows dane są automatycznie odszyfrowywane, a dla osoby bez odpowiedniego klucza dysk pozostaje całkowicie nieczytelny.

W skrócie

• Szyfruje cały dysk systemowy (oraz dane na innych dyskach), nie pojedyncze pliki
• Wykorzystuje moduł TPM (Trusted Platform Module) — sprzętowy układ bezpieczeństwa obecny w praktycznie każdym nowoczesnym komputerze i laptopie
• Klucz odszyfrowujący jest automatycznie zwalniany przez TPM przy starcie systemu — użytkownik nie musi wpisywać hasła przy każdym uruchomieniu
• Klucz odzyskiwania (recovery key) — 48-cyfrowy kod, którego absolutnie nie wolno zgubić; bez niego dane są bezpowrotnie stracone
• Dostępny w edycjach Windows 11 Pro, Enterprise, Education (pełny BitLocker) oraz jako Device Encryption w Windows 11 Home (uproszczona wersja, od wersji 24H2 dostępna na znacznie większej liczbie urządzeń)

Pełna definicja — czym właściwie jest BitLocker

BitLocker to mechanizm szyfrowania pełnego dysku (Full Disk Encryption, FDE) wprowadzony po raz pierwszy w Windows Vista. W 2026 roku stanowi podstawową linię obrony danych na milionach komputerów z systemem Windows 11 — od laptopów firmowych po prywatne komputery użytkowników indywidualnych.

W przeciwieństwie do szyfrowania pojedynczych plików (np. EFS), BitLocker szyfruje całe woluminy na poziomie sektorów dysku. Oznacza to, że każdy bit danych zapisany na chronionym dysku — system operacyjny, aplikacje, dokumenty, pliki tymczasowe, a nawet dane w pliku stronicowania — jest zaszyfrowany. Dla osoby nieposiadającej klucza dysk wygląda jak losowy ciąg bajtów, bez żadnej rozpoznawalnej struktury.

Domyślny algorytm szyfrowania w 2026 roku

Domyślnie BitLocker używa algorytmu XTS-AES 128-bit. W środowiskach korporacyjnych administratorzy często podnoszą siłę do XTS-AES 256-bit poprzez polityki grupy (Group Policy). W praktyce nawet 128-bitowy AES jest uznawany za bezpieczny przed atakami brute-force w przewidywalnej przyszłości — również z uwzględnieniem rozwoju komputerów kwantowych.

Rola modułu TPM

Kluczowym elementem architektury BitLockera jest moduł TPM (Trusted Platform Module), w 2026 roku najczęściej w wersji TPM 2.0. To sprzętowy układ scalony na płycie głównej, który przechowuje klucze kryptograficzne i wykonuje operacje kryptograficzne w odizolowanym środowisku. Jego zadaniem jest potwierdzenie, że komputer uruchamia się w znanym, niezmanipulowanym środowisku — jeśli ktoś podmienił bootloader, zmodyfikował BIOS/UEFI lub wyjął dysk i włożył do innego komputera, TPM odmówi wydania klucza i BitLocker przejdzie w tryb odzyskiwania.

Device Encryption vs pełny BitLocker

Microsoft oferuje dwie ścieżki szyfrowania wbudowanego w Windows 11:

Od Windows 11 w wersji 24H2 (wydanej jesienią 2024) Microsoft usunął wymóg Modern Standby i HSTI dla Device Encryption — dzięki temu funkcja działa automatycznie na znacznie większej liczbie komputerów, w tym starszych desktopach i składakach.

Jak włączyć BitLocker — trzy metody krok po kroku

Przed rozpoczęciem upewnij się, że:

• Posiadasz Windows 11 Pro, Enterprise lub Education (dla pełnego BitLockera)
• Twój komputer ma moduł TPM 1.2 lub nowszy (TPM 2.0 zalecany; sprawdź w msinfo32.exe → „Stan modułu TPM”)
• BIOS/UEFI działa w trybie UEFI (nie Legacy/CSM), z włączonym Secure Boot
• Dysk systemowy jest sformatowany w NTFS i ma wydzieloną partycję systemową (~350 MB)

Metoda 1: Panel sterowania (zalecana dla domowych użytkowników)

1. Otwórz Panel sterowania → System i zabezpieczenia → Szyfrowanie dysków funkcją BitLocker
2. Znajdź dysk systemowy (oznaczony jako C:) i kliknij Włącz funkcję BitLocker
3. Wybierz metodę odblokowania: z hasłem, z kluczem na dysku USB lub automatycznie przez TPM (domyślnie)
4. Wybierz sposób zapisu klucza odzyskiwania — zdecydowanie zalecamy zapis na koncie Microsoft (najbezpieczniejsza opcja, klucz dostępny z dowolnego urządzenia przez aka.ms/myrecoverykey). Możesz też zapisać do pliku (na innym dysku!) lub wydrukować
5. Wybierz zakres szyfrowania: szyfruj cały dysk (zalecane dla komputerów już używanych) lub szyfruj tylko używane miejsce (szybsze dla nowych komputerów)
6. Wybierz tryb szyfrowania: Nowy tryb szyfrowania (XTS-AES) — zalecany dla dysków stałych
7. Kliknij Rozpocznij szyfrowanie — proces może trwać od kilkunastu minut do kilku godzin w zależności od rozmiaru dysku i jego szybkości. Komputer można normalnie używać w tym czasie

Metoda 2: Aplikacja Ustawienia dla Device Encryption (Windows 11 Home i Pro)

1. Otwórz Ustawienia → Prywatność i zabezpieczenia → Szyfrowanie urządzenia
2. Jeśli opcja jest widoczna i aktywna, przełącz przełącznik na Włączone
3. Zaloguj się kontem Microsoft z uprawnieniami administratora — system automatycznie zapisze klucz odzyskiwania na koncie Microsoft
4. Szyfrowanie rozpocznie się automatycznie; postęp jest wyświetlany w czasie rzeczywistym

Metoda 3: Wiersz polecenia (administratorzy IT / power userzy)

# Sprawdź status BitLockera na wszystkich dyskach
manage-bde -status

# Włącz BitLocker na dysku C: z TPM i zapisz klucz odzyskiwania na pulpicie
Enable-BitLocker -MountPoint "C:" -TpmProtector -RecoveryKeyPath "$env:USERPROFILE\Desktop" -SkipHardwareTest

# Sprawdź postęp szyfrowania
manage-bde -status C:

Jak wyłączyć BitLocker — trzy sprawdzone metody

Wyłączenie BitLockera (deszyfrowanie dysku) może być potrzebne przed reinstalacją systemu, wymianą płyty głównej, przekazaniem komputera innej osobie lub rozwiązaniem problemów ze zgodnością.

Ważne ostrzeżenie: wyłączenie BitLockera odszyfrowuje Twoje dane — do czasu ponownego włączenia dysk jest niechroniony. Przed wyłączeniem upewnij się, że masz zabezpieczony klucz odzyskiwania (na wypadek, gdyby proces został przerwany).

Metoda 1: Panel sterowania

1. Otwórz Panel sterowania → Szyfrowanie dysków funkcją BitLocker
2. Znajdź zaszyfrowany dysk i kliknij Wyłącz funkcję BitLocker
3. Potwierdź operację — system zapyta, czy chcesz odszyfrować cały dysk, czy tymczasowo wstrzymać ochronę (do następnego restartu)
4. Proces deszyfrowania trwa podobnie długo jak szyfrowanie; postęp jest widoczny na pasku

Metoda 2: Ustawienia (dla Device Encryption)

1. Otwórz Ustawienia → Prywatność i zabezpieczenia → Szyfrowanie urządzenia
2. Przełącz przełącznik na Wyłączone
3. Potwierdź — system rozpocznie deszyfrowanie dysku

Metoda 3: PowerShell (szybko i precyzyjnie)

# Wyłącz BitLocker na dysku C:
Disable-BitLocker -MountPoint "C:"

# Monitoruj postęp deszyfrowania
manage-bde -status C:

Co uruchamia tryb odzyskiwania BitLockera i jak odzyskać dane

BitLocker przechodzi w tryb odzyskiwania (prosi o 48-cyfrowy klucz), gdy wykryje potencjalne naruszenie integralności środowiska startowego. Najczęstsze wyzwalacze:

Gdzie znaleźć klucz odzyskiwania

1. Konto Microsoft (najczęstsze miejsce) — zaloguj się na aka.ms/myrecoverykey z innego urządzenia. Od Windows 11 24H2 ekran odzyskiwania pokazuje podpowiedź, które konto Microsoft jest powiązane z kluczem
2. Konto służbowe/szkolne (Entra ID) — aka.ms/aadrecoverykey → "Urządzenia" → "Wyświetl klucze funkcji BitLocker"
3. Wydruk — jeśli wydrukowałeś klucz podczas konfiguracji
4. Plik TXT na dysku USB — jeśli zapisałeś klucz jako plik tekstowy podczas aktywacji
5. Active Directory — w środowiskach domenowych administrator może odczytać klucz z AD DS

Jeśli nie możesz znaleźć klucza odzyskiwania, a wszystkie powyższe miejsca nie działają — dane są bezpowrotnie stracone. Microsoft nie przechowuje kopii kluczy i nie ma możliwości ich odtworzenia. Jedyną opcją jest pełna reinstalacja systemu (z utratą wszystkich danych). To kluczowy powód, dla którego backup klucza odzyskiwania to absolutnie krytyczny krok podczas włączania BitLockera.

Porównanie BitLocker z alternatywami

Częste pytania

Czy BitLocker spowalnia komputer?

Na nowoczesnych procesorach (Intel Core 8. generacji i nowszych, AMD Ryzen) z dedykowanymi instrukcjami AES-NI — nie. Spadek wydajności jest nieodczuwalny (poniżej 1-2%). Na starszym sprzęcie bez sprzętowego wsparcia AES różnica może wynieść 3-8%, ale dotyczy to komputerów sprzed 2015 roku. Dysk SSD szyfrowany sprzętowo (OPAL/eDrive) nie wykazuje żadnego spadku wydajności.

Co się stanie z BitLockerem po aktualizacji do Windows 11 24H2?

Aktualizacja do Windows 11 24H2 (lub nowszej kompilacji) nie wyłącza BitLockera i nie wymaga ponownego szyfrowania. Jednak aktualizacja BIOS/UEFI może wywołać tryb odzyskiwania — to najczęstsza przyczyna paniki użytkowników po aktualizacjach. Przed każdą aktualizacją BIOS-u warto wstrzymać ochronę BitLocker (Panel sterowania → BitLocker → Wstrzymaj ochronę), a po aktualizacji ją wznowić.

Czy mogę używać BitLockera bez modułu TPM?

Tak, ale tylko w edycjach Pro, Enterprise i Education. Wymaga to użycia klucza startowego na dysku USB (podłączanego przy każdym uruchomieniu) lub hasła. Ta opcja jest jednak odradzana przez Microsoft — hasło nie ma mechanizmu blokady po wielokrotnych błędnych próbach, co czyni je podatnym na ataki brute-force. Tryb bez TPM należy włączyć przez lokalne zasady grupy (gpedit.msc → Konfiguracja komputera → Szablony administracyjne → Składniki systemu Windows → Szyfrowanie dysków funkcją BitLocker → Dyski systemu operacyjnego → Zezwalaj na funkcję BitLocker bez zgodnego modułu TPM`).

Czym się różni Device Encryption w Windows 11 Home od pełnego BitLockera w Pro?

Device Encryption to uproszczona wersja BitLockera dostępna również w Windows 11 Home. Szyfruje tylko dysk systemowy (nie dyski zewnętrzne USB), używa domyślnie XTS-AES 128-bit, wymaga konta Microsoft do backupu klucza i jest sterowana przez prosty przełącznik w Ustawieniach. Pełny BitLocker w Windows 11 Pro pozwala szyfrować wszystkie dyski, włącznie z USB, oferuje wybór siły szyfrowania (do AES 256-bit), integruje się z Active Directory i nie wymaga konta Microsoft.

Jak sprawdzić, czy mój komputer ma już włączony BitLocker?

Najszybszy sposób: otwórz Eksplorator plików i spójrz na ikonę dysku C:. Zaszyfrowany dysk pokazuje ikonę kłódki (zamknięta — zaszyfrowany i zablokowany, otwarta z żółtym trójkątem — zaszyfrowany, ale ochrona wstrzymana). Alternatywnie uruchom PowerShell jako administrator i wpisz manage-bde -status — zobaczysz szczegółowy raport dla każdego dysku, w tym stan szyfrowania, metodę ochrony i lokalizację klucza odzyskiwania.

Czy włączenie BitLockera kasuje moje dane?

Nie. Proces szyfrowania nie usuwa żadnych danych — odczytuje je, szyfruje i zapisuje z powrotem. Możesz normalnie pracować na komputerze podczas szyfrowania. Jedynym ryzykiem jest przerwanie procesu przez awarię zasilania — na laptopie zawsze podłącz zasilacz przed rozpoczęciem szyfrowania.

Co zrobić, gdy zgubię klucz odzyskiwania BitLocker?

Jeśli nie masz klucza w żadnym z miejsc wymienionych wyżej (konto Microsoft, Entra ID, wydruk, USB, AD) — dane są bezpowrotnie stracone. Ani Microsoft, ani żaden serwis komputerowy nie odzyska dostępu do zaszyfrowanego dysku. To celowe zabezpieczenie — BitLocker chroni dane nawet przed samym Microsoftem. Jedyna opcja to format dysku i reinstalacja systemu. Dlatego zawsze zapisuj klucz odzyskiwania w co najmniej dwóch miejscach — najlepiej na koncie Microsoft i jako wydruk.

Potrzebujesz licencji Windows 11 Pro, aby w pełni wykorzystać BitLocker — z możliwością szyfrowania dysków zewnętrznych, integracją z Active Directory i wyborem siły szyfrowania? Sprawdź legalne klucze Windows 11 Pro w KluczeSoft.pl — dostawa klucza w kilka minut, polska faktura VAT i wsparcie techniczne w razie pytań o aktywację.

Sprawdź też

• BitLocker recovery key — gdzie szukać i jak odzyskać dostęp do zaszyfrowanego dysku (2026)