Notebook chce po opravě obnovovací klíč BitLockeru

Notebook se vrátí z opravy, nastartuje a místo přihlášení ukáže modrou obrazovku se žádostí o 48místný obnovovací klíč. Není to porucha ani chyba servisu, je to bezpečnostní pojistka šifrování. Vysvětlíme, proč se objeví, kde klíč najdete a co udělat předtím, než zařízení pošlete na dílnu.

Proč si Windows najednou řeknou o obnovovací klíč?

Šifrování BitLocker si klíč k disku neschovává v systému, ale zamyká ho v čipu TPM na základní desce. Čip klíč vydá jen tehdy, když zařízení při startu vypadá stejně jako v okamžiku zašifrování. Změní se hardware nebo firmware a měření nesedí — TPM odmítne a Windows se zeptají člověka.

Nejde tedy o závadu disku ani o to, že by technik něco pokazil. Je to přesně to chování, kvůli kterému se šifrování používá: kdo disk vymontuje a připojí k jinému počítači, vidí jen změť. Ze stejného důvodu se bez klíče k datům nedostane nikdo — ani vy, ani my.

Situace, po kterých se výzva objeví nejčastěji

• Výměna základní desky — s deskou se mění i čip TPM a uložený klíč mizí s ní.
• Aktualizace nebo reset BIOSu, změna Secure Boot, přepnutí režimu disku, vypnutí a zapnutí TPM v nastavení firmwaru.
• Zásah do startu systému — start z instalačního USB, změna pořadí zařízení, přidání druhého disku.
• Vybitá baterie CMOS nebo odpojení hlavní baterie při rozsáhlejší opravě, po kterém se vynuluje nastavení firmwaru.
• Někdy stačí velká aktualizace Windows nebo výměna dokovací stanice, kterou zařízení při startu vidí jinak.

Mám vůbec disk zašifrovaný? Poznám to předem?

Poznáte, a stojí za to se podívat ještě dnes. Ve Windows 11 otevřete Nastavení → Ochrana osobních údajů a zabezpečení → Šifrování zařízení. Přepínač v poloze zapnuto znamená, že disk zašifrovaný je. Ve vydání Pro najdete navíc v ovládacích panelech položku Šifrování jednotky BitLocker s přehledem jednotek.

Řada lidí netuší, že šifrování běží. Novější notebooky si ho zapnou samy ve chvíli, kdy se uživatel přihlásí účtem Microsoft, a firemní ThinkPady bývají šifrované z rozhodnutí správce. Vedle jednotky C: bývá v ovládacích panelech vidět i ikona zámku u externího disku, na který se zálohuje.

Kde obnovovací klíč najdu?

Klíč má 48 číslic v osmi skupinách a na modré obrazovce je nad polem pro zadání vypsáno ID klíče — několik znaků, podle kterých poznáte, který klíč ze seznamu patří k této jednotce. Postupujte podle toho, jak je zařízení přihlášené.

1. Osobní účet Microsoft. Na jiném počítači se přihlaste na stránky svého účtu a otevřete přehled zařízení, část s klíči pro obnovení BitLockeru. Vyzkoušejte všechny účty, které jste kdy při nastavení notebooku použili — často je klíč pod účtem, na který si člověk nevzpomene.
2. Firemní nebo školní účet. Klíč má správce IT. V prostředí Microsoft Entra ID, dříve Azure AD, se ukládá k objektu zařízení, ve starších doménách do Active Directory, ve firmách se správou zařízení bývá i v konzoli pro správu. Řekněte správci sériové číslo a ID klíče z obrazovky.
3. Vytištěný nebo uložený soubor. Při ručním zapnutí BitLockeru nabízejí Windows uložení do textového souboru nebo tisk. Hledejte soubor s názvem začínajícím na BitLocker na USB flash disku, na síťovém úložišti nebo v šuplíku s papíry od notebooku.
4. Jiný počítač ve firmě. Když správce klíče exportoval, bývají ve sdílené složce s evidencí zařízení podle výrobního čísla.

Co udělat před odesláním zařízení do servisu?

Deset minut přípravy ušetří po opravě hodiny hledání. Projděte tenhle postup pokaždé, když má technik sahat na desku, na disk nebo na firmware — tedy prakticky u každé větší opravy.

1. Zjistěte, jestli je disk šifrovaný podle návodu výše, a to i u domácího IdeaPadu koupeného v obchodě.
2. Zálohujte data na externí disk nebo do cloudu. Šifrování zálohu nenahrazuje a za data zákazníka neručíme.
3. Uložte si klíč mimo notebook — do souboru na jiné zařízení, do správce hesel nebo vytiskněte. V ovládacích panelech je u jednotky volba pro zálohování klíče.
4. Před ohlášenou aktualizací firmwaru ochranu pozastavte. U jednotky zvolte pozastavení ochrany; po restartu se sama zapne a výzva se neobjeví. Souvislosti popisuje článek aktualizace BIOSu.
5. Napište nám do objednávky, že je zařízení šifrované. Počítáme s tím při plánování testů po opravě.

Mám klíč přiložit do krabice?

Nemusíte a lepší je to nedělat. Když má technik po opravě jen ověřit, že zařízení startuje, nabíjí a drží teploty, vystačí si s testem bez přihlášení do vašeho systému. Pokud je ale závada softwarová nebo se projevuje až ve Windows, bez odemčení ji nepotvrdíme. V takovém případě se domluvíme předem a klíč nám pošlete odděleně od zásilky. Po opravě ho můžete klidně změnit tím, že šifrování vypnete a znovu zapnete — vygeneruje se nový.

Co když klíč mám a Windows ho nepřijmou?

Nejčastěji je zadaný klíč od jiné jednotky nebo od jiného zařízení. Porovnejte ID klíče na obrazovce s identifikátorem u klíče v seznamu; musí souhlasit. Klíč zadávejte bez pomlček, číslice se zadávají i z horní řady, a pozor na numerickou klávesnici, kterou některé notebooky mají při startu vypnutou.

Když klíč sedí a systém přesto nestartuje, přesouvá se problém jinam: poškozený zavaděč, umírající SSD nebo vadná paměť. V prostředí obnovení, ke kterému vede tlačítko Novo a spouštěcí klávesy, zkuste opravu spouštění. Opakované selhání patří na dílnu — na stránce notebook nenabootuje je popsané, co při tom měříme.

Jak se šifrování projeví při záchraně dat?

Když zařízení nestartuje kvůli desce nebo napájení, ale SSD je v pořádku, data z něj běžně vyčteme v jiném stroji. U šifrovaného disku to jde jen s klíčem — bez něj vidíme šum. Proto se na začátku ptáme, jestli BitLocker běží, a než začneme cokoli počítat, prověříme přístup.

Za posouzení, jestli se data dají zachránit, nic neplatíte; kolik bude stát samotné vyčtení, řekneme předem, a při zrušení po posouzení účtujeme 666 Kč. U rodinných fotek z IdeaPadu i u účetnictví z firemního ThinkCentre platí totéž pravidlo: rozhoduje, jestli existuje klíč a záloha. Víc k technické stránce najdete na stránce poškozený disk a záchrana dat.

Vyplatí se šifrování vypnout, abych měl klid?

U firemního zařízení to není vaše rozhodnutí a u soukromého bych to rozmýšlel. Notebook se ztrácí a krade, a odcizený nešifrovaný disk vydá útočníkovi poštu, doklady i uložená hesla během pár minut. Rozumnější je šifrování nechat běžet a mít klíč uložený na dvou místech, z nichž ani jedno není zašifrovaný notebook sám.

Pokud si zařízení chystáte k prodeji nebo ho předáváte dál, šifrování naopak pomůže: stačí smazat klíč a data jsou prakticky nečitelná. Před odesláním zařízení k opravě si připravte také typové a sériové číslo ze štítku, jak popisuje článek o zjištění modelu — podle nich objednáváme díly.

Časté dotazy

Text jsme revidovali 17. září 2026.