BitLocker回復キーを突然求められる原因と対処法｜Windows Update・BIOS更新後の確認手順と予防策【2026年版】

トラブル・設定

2026.8.4

BitLocker回復キーを突然求められる原因と対処法｜Windows Update・BIOS更新後の確認手順と予防策【2026年版】

本記事にはアフィリエイト広告（Amazon・楽天市場等）のリンクが含まれています。

BitLocker回復キー／ Windows Update・BIOS更新後の対処

回復キーID(8桁)と48桁の回復キーは別物です。まず画面のIDを照合してから探します
Microsoftアカウントでの探し方から、BIOS更新前に保護を一時停止する予防策まで順番に解説します

Windows UpdateやBIOSアップデートの直後に再起動すると、青い回復画面が表示され、48桁のBitLocker回復キーを求められることがあります。画面に出ている「回復キーID」はキーそのものではなく、複数の回復キーから正しいものを特定するための8桁の識別番号です。

個人で使っているパソコンなら、回復キーはMicrosoftアカウントに保存されている可能性があります。焦ってTPMのクリアやBIOSの初期化、Windowsのリセットへ進む前に、確認すべき順番を整理します。

回復キーIDの入力だけでは解除できない個人PCはMicrosoftアカウントに保存されやすいBIOS更新前は保護の一時停止が基本

出典：Microsoftサポート BitLocker回復キーの見つけ方・Microsoftサポート BitLocker回復キーのバックアップ・Microsoft Learn BitLocker recovery overview・Microsoftサポート Secure Boot証明書の失効について・Microsoftサポート Secure Boot証明書失効の個別日程一覧・Microsoft Learn Suspend-BitLockerコマンドリファレンス・Microsoft Learn Resume-BitLockerコマンドリファレンス・Microsoft Learn manage-bde statusコマンドリファレンス・Microsoft Learn manage-bde protectorsコマンドリファレンス

Windows UpdateやBIOSアップデートの後に再起動したら、見慣れない青い画面が表示され、48桁のBitLocker回復キーを求められて困った経験はないでしょうか。SSDのデータが消えたわけではありませんが、正しいキーを入力できなければWindowsを起動できません。

結論から言うと、画面に表示される「回復キーID」の先頭8桁を控え、Microsoftアカウントに保存された回復キー一覧からIDが一致する項目を探せば、多くの場合はそのまま起動できます。回復キーIDそのものを入力してもドライブは解除できず、回復キーが見つからないまま焦ってTPMをクリアしたりWindowsを初期化したりすると、保存していたデータを失う可能性があります。

この記事では、回復キーIDの確認手順とMicrosoftアカウントでの探し方、Windows Update・BIOSアップデート・Secure Boot・TPM操作のそれぞれがなぜ回復モードを引き起こすのかという仕組み、回復キーを入力しても毎回表示される場合の切り分け、次にBIOSやSecure Bootを更新する前にやっておく予防策までを、Microsoft公式サポート情報にもとづいて順番に整理します。

最初に確認する情報回復キーID(先頭8桁)48桁の回復キーとは別物です

個人PCの主な保存先Microsoftアカウントaccount.microsoft.comで確認できます

やってはいけない操作TPMのクリア・初期化回復キー未確認のまま実行しない

次回の更新に向けた予防策BitLockerの一時停止更新後は保護の再開を忘れずに

初動BitLocker回復画面が出たら回復キーIDを最初に確認する

BitLocker回復画面が表示されたら、最初に画面内の「回復キーID」を確認してください。Microsoftは、回復画面に表示される回復キーIDの先頭8桁を書き留めるよう案内しています。Microsoftアカウントに複数の回復キーが登録されている場合、このIDを照合することで、入力すべき回復キーを特定できます。

回復キーIDそのものを入力しても、ドライブのロックは解除できません。画面に表示される情報には、それぞれ次のような役割があります。

画面に表示される情報	役割
回復キーID	使用する回復キーを特定するための識別番号
BitLocker回復キー	ドライブを解除する48桁の数字
Microsoftアカウントのヒント	回復キーが保存されたアカウントを特定する手掛かり
エラーコード	回復モードに入った原因を調べるための情報

Windows 11 バージョン24H2以降では、回復キーがMicrosoftアカウントに保存されている場合、回復画面にアカウントのヒントが表示されることがあります。複数のMicrosoftアカウントを使い分けている場合は、表示されたメールアドレスの一部も確認してください。

検索先MicrosoftアカウントからBitLocker回復キーを探す手順

個人で使用しているWindows 11パソコンでは、回復キーがMicrosoftアカウントに保存されている可能性があります。スマートフォンや別のパソコンからWebブラウザを開き、account.microsoft.com/devices/recoverykeyへアクセスして、普段Windowsへのサインインに使っているMicrosoftアカウントでログインします。

回復キーの一覧が表示されたら、BitLocker回復画面に表示されている回復キーIDの先頭8桁と一致する項目を探します。該当する項目に記載された48桁の回復キーを、ロックされているパソコンへ入力してください。Microsoftアカウント内に複数のパソコンや複数の回復キーが登録されている場合、デバイス名だけで判断するのは危険です。必ず回復キーIDを照合します。

家族が初期設定したパソコンは別のアカウントも確認する

パソコンの初期設定やBitLockerの有効化を家族や別の管理者が行った場合、回復キーがその人のMicrosoftアカウントに保存されている可能性があります。自分のMicrosoftアカウントに回復キーが見つからなくても、購入直後の設定をほかの人に任せた場合は、その人のアカウントも確認してください。

会社や学校のパソコンは管理者へ連絡する

会社や学校のアカウントで管理されているパソコンでは、回復キーが組織のMicrosoft Entra IDや管理システムに保存されている可能性があります。Microsoftのサポート情報では、組織アカウントの回復キーはaka.ms/aadrecoverykeyから確認できると案内されています。個人のMicrosoftアカウントに表示されない場合は、会社や学校のIT担当者へ連絡してください。管理対象端末では、利用者が自分で回復キーを表示できない設定になっていることもあります。

USBメモリや印刷した用紙も確認する

BitLockerを手動で有効化した場合、回復キーをUSBメモリ、テキストファイル、印刷した用紙へ保存していることがあります。「BitLocker Recovery Key」や「BitLocker回復キー」と書かれたテキストファイルがないか、バックアップ用USBメモリやクラウドストレージも確認してください。

回復キーを保存したUSBメモリや印刷物は、パソコン本体と同じ場所に保管しないほうが安全です。Microsoftも、パソコンと回復キーを同時に持ち出されないよう、別々の場所に保管するよう案内しています。

原因の全体像BitLocker回復キーを突然求められるのはなぜか

BitLockerは、WindowsがインストールされたSSDやHDDを暗号化し、パソコンの盗難やストレージの抜き取りによる情報流出を防ぐ機能です。通常は、TPMと呼ばれるセキュリティチップが起動時の状態を確認し、問題がなければ暗号化されたドライブを自動的に解除します。

しかし、前回までと異なるハードウェア、ファームウェア、起動設定が検出されると、BitLockerは不正なアクセスと正常な設定変更を区別できないことがあります。その場合、正規の所有者が操作していても、追加確認として48桁の回復キーを要求します。代表的な原因は次のとおりです。

回復画面が出る前に行った操作	考えられる原因
Windows Update	更新と同時に起動関連の構成やファームウェアが変化した
BIOSアップデート	TPMが記録していた起動時の測定値が変化した
Secure Bootの有効化・無効化	起動時に信頼する署名や構成が変化した
TPMの無効化・初期化	暗号化キーを自動解除するための情報を利用できなくなった
BIOS設定の初期化	Secure Bootや起動順位などが以前と変わった
マザーボード交換	TPMが別のものに変わった
SSDを別のパソコンへ移動	暗号化時とは異なるハードウェアで起動した
起動順位の変更	Windows Boot Manager以外が先に読み込まれる構成になった

Microsoft LearnのBitLocker回復シナリオの解説にも、BIOS・UEFIファームウェアの更新、TPMの無効化やクリア、マザーボードを新しいTPMを積んだものへ交換、起動順位の変更、ブートマネージャーの変更、BitLockerドライブを別のパソコンへ移動した場合などが、回復モードに入る典型例として挙げられています。

誤解に注意Windows Update直後の表示でも更新自体が原因とは限らない

Windows Update後にBitLocker回復画面が表示されると、Windowsの品質更新プログラムそのものを疑いたくなります。しかし、Microsoftは、通常のWindows品質更新や機能更新をインストールする際、利用者が事前にBitLockerを手動停止する必要はないと説明しています。Microsoftの仕組みを通して適用される更新では、必要に応じてBitLocker側の処理が行われます。

そのため、Windows Update直後に回復画面が出た場合でも、更新プログラムだけを原因と決めつけないことが重要です。Windows Updateと同じタイミングでメーカーのファームウェアが適用された、再起動後にUEFI設定が変わった、Secure Bootの構成が更新された、もともと不安定だったTPMや起動構成が更新をきっかけに検出されたといった可能性もあります。

Windows Updateの「更新の履歴」を開き、直前に適用された内容を確認してください。「ファームウェア」「システムファームウェア」「UEFI」などが含まれている場合は、BIOSや起動環境の変化が関係している可能性があります。

2026年のSecure Boot証明書更新にも注意する

Windowsでは、2011年に発行されたSecure Boot証明書から、新しい2023年証明書への移行が進められています。Microsoftのサポート情報によると、Microsoft Corporation KEK CA 2011は2026年6月24日、Microsoft Corporation UEFI CA 2011は2026年6月27日から順次有効期限を迎えます。証明書が失効しても、既存の起動やブートレベルの脆弱性修正に依存しない通常の起動・操作は継続しますが、新しいSecure Boot関連のセキュリティ更新を適用できなくなる可能性があります。

多くの個人向けパソコンでは、新しい証明書がWindows Updateを通じて自動的に配信されるため、利用者がBIOS上でSecure Bootを無効化したり、証明書を手動で削除したりする必要はありません。2024年以降に出荷された一部のパソコンには、2023年証明書があらかじめ組み込まれています。

証明書更新の警告を見たことを理由に、自己判断でSecure Bootのキーを削除したり、CSMを有効化したりすると、BitLocker回復画面やWindowsが起動しないトラブルにつながる可能性があります。Secure Boot証明書の更新自体について詳しく確認したい場合は、セキュアブート証明書が2026年6月に失効する仕組みと本当の対処法を解説した記事もあわせて確認してください。メーカーから専用BIOSの適用を案内された場合は、回復キーを確認してBitLockerを一時停止してから更新してください。

ファームウェア要因BIOSアップデート後に回復キーを求められる原因

BIOSやUEFIは、Windowsが起動する前にCPU、メモリ、ストレージ、TPM、Secure Bootなどを初期化するファームウェアです。BitLockerはTPMを利用して起動環境が以前と同じかを検証しています。BIOSアップデートによって測定される内容が変わると、TPMが暗号化キーを自動的に取り出せず、回復モードに入ることがあります。

Microsoftも、ファームウェア変更前にはBitLockerを一時停止し、更新完了後に保護を再開するよう案内しています。事前に保護を停止しておけば、BIOS変更による回復画面を防ぎやすくなります。

BIOSアップデート後に一度だけ回復キーを求められ、正しいキーを入力した後は通常どおり起動できるのであれば、更新後の構成をBitLockerが再認識した可能性があります。毎回回復キーを求められる場合は、Secure Boot、TPM、起動順位などの設定が以前と異なっているか、起動するたびに状態が変化している可能性があります。

署名検証Secure Bootの設定変更が引き金になるケース

Secure Bootは、Windows起動前に読み込まれるブートローダーやドライバーの署名を検証し、信頼できないソフトウェアの実行を防ぐUEFI機能です。Secure Bootを無効から有効へ変更した場合だけでなく、有効から無効へ変更した場合、既定キーを削除した場合、Secure Bootの証明書データベースを手動更新した場合にも、BitLockerが起動環境の変化を検出することがあります。

Microsoftは、Secure Bootデータベースを手動またはMicrosoft以外の方法で更新する場合、BitLockerの保護を一時停止する必要があると説明しています。VALORANTのRiot Vanguardのように、アンチチート機能を有効にするためにSecure Bootを変更する場合も、先に回復キーを保存してください。この組み合わせで実際に起動トラブルが起きるケースは、セキュアブートを有効にしたのにVALORANTが起動しない原因を確認した記事でも扱っています。

Secure Bootを有効にする目的でCSMを無効化すると、従来のLegacy BIOS起動からUEFI起動へ切り替わり、Windowsが起動しなくなることがあります。BitLockerだけでなく、システムディスクがGPT形式になっているか、Windows Boot Managerから起動しているかも確認が必要です。ここではSecure Bootを何度も切り替えず、変更前の設定を写真に残しておくことが重要です。

要注意操作TPMを無効化・クリアすると回復画面が出る

TPMには、BitLockerが暗号化ドライブを自動解除するために必要な情報が保護されています。BIOS設定からTPM、Intel PTT、AMD fTPMを無効化すると、Windowsは通常の方法でドライブを解除できなくなり、回復キーを要求する場合があります。

特に注意したいのが「Clear TPM」「TPMをクリア」「Security Device Supportの初期化」といった操作です。TPMのクリアは、単なるオン・オフとは異なり、TPM内の情報を初期化する操作です。

疑問解消Windows HomeなのにBitLocker回復キーが求められる理由

「Windows 11 HomeにはBitLockerがないはずなのに、なぜ回復キーを求められるのか」と疑問に思う人もいるでしょう。Windows Homeでは、Pro版に搭載される詳細な「BitLockerドライブ暗号化」とは別に、「デバイスの暗号化」が利用できるパソコンがあります。

デバイスの暗号化は内部的にBitLockerの暗号化技術を使用しており、Windows Home搭載パソコンでも利用できます。対応パソコンをMicrosoftアカウントや会社・学校アカウントで初期設定すると、デバイスの暗号化が自動的に有効になり、回復キーがそのアカウントへ保存される場合があります。ローカルアカウントで設定した場合は、自動的には有効化されません。

自分でBitLockerを有効にした記憶がなくても、初期設定時にデバイス暗号化が有効になっている可能性があります。現在の状態は、Windows 11の「設定」から「プライバシーとセキュリティ」「デバイスの暗号化」の順に開くと確認できます。項目が表示されないパソコンでは、デバイス暗号化に対応していないか、管理者アカウントでサインインしていない可能性があります。

再発時のチェック回復キーを入力しても毎回表示される場合の確認方法

正しい回復キーを入力してWindowsが起動しても、再起動するたびに回復画面が表示される場合は、原因となる起動環境の変化が解消されていません。最初に、BIOSアップデートや設定変更の前にSecure Boot、TPM、CSM、起動順位を変更していなかったか確認します。BIOSアップデートによって設定が初期化されると、Secure Bootが無効化されたり、Windows Boot Manager以外のストレージが起動順位の先頭になったりすることがあります。

Windows上でSecure Bootの状態を確認する

Windowsが起動できたら、スタートメニューで「システム情報」を検索して開きます。「BIOSモード」が「UEFI」、「セキュアブートの状態」が「有効」または「オン」になっているか確認してください。以前からSecure Bootを無効にしていたパソコンで、この記事だけを見て突然有効化する必要はありません。重要なのは、トラブル発生前と現在の設定が一致しているかです。

BitLockerの状態をコマンドで確認する

管理者としてコマンドプロンプトを開き、次のコマンドを実行すると、Cドライブの暗号化状態を確認できます。

Cドライブの暗号化状態を確認する

manage-bde -status C:

「保護状態」がオンになっている場合は、BitLockerによる保護が有効です。登録されている回復キーやTPMなどの保護機能を確認する場合は、次のコマンドを使用します。

登録されている保護機能(回復キー等)を確認する

manage-bde -protectors -get C:

表示された情報には回復キーに関する重要な情報が含まれるため、スクリーンショットを公開したり、第三者へそのまま送ったりしないでください。

正しい設定に戻してからBitLockerを一時停止・再開する

BIOS、Secure Boot、TPM、起動順位が正しい状態になっているにもかかわらず、回復画面が繰り返される場合は、BitLockerの保護を一時停止してから再開すると、新しい起動環境に合わせて保護情報が更新されることがあります。ただし、設定が不安定なまま再登録すると、再び回復画面が出る可能性があります。最初にBIOS設定やWindows Boot Managerの状態を確認してください。

コントロールパネルから操作する場合は、「システムとセキュリティ」「BitLockerドライブ暗号化」の順に開き、Cドライブの「保護の中断」を選択します。問題の原因となった更新や設定確認が完了したら、同じ画面から「保護の再開」を選択してください。一時停止した保護は、手動で再開するまで停止した状態が続きます。

最終手段BitLocker回復キーが見つからない場合の選択肢

Microsoftアカウント、家族のアカウント、会社や学校のアカウント、USBメモリ、印刷物、テキストファイルを確認しても回復キーが見つからない場合、暗号化されたデータへアクセスできない可能性があります。

Microsoftは、回復キーが見つからず、原因となった変更も元に戻せない場合、Windowsの回復オプションからデバイスをリセットする必要があると案内しています。ただし、リセットを実行するとファイルが削除されます。重要なデータが入っている場合は、回復キーを十分に探す前に初期化しないでください。

事前準備BIOS更新前にBitLockerトラブルを防ぐ5つの手順

BIOSアップデート、TPMファームウェア更新、Secure Boot設定変更、マザーボード交換を行う前には、BitLockerの状態を確認してください。次の順番で進めると、突然の回復画面を防ぎやすくなります。

手順1　BitLockerが有効か確認するWindows Proでは、スタートメニューで「BitLockerの管理」を検索します。Windows Homeでは、「設定」「プライバシーとセキュリティ」「デバイスの暗号化」の順に開きます。暗号化が有効になっていない場合でも、メーカーのBIOS更新画面にBitLockerの警告が表示されることがあるため、Windows上の実際の暗号化状態を確認してから進めてください。

手順2　48桁の回復キーを確認するMicrosoftアカウントに回復キーが保存されているか、実際にアクセスして確認します。「自動的に保存されているはず」と考えるだけでなく、回復キーIDと48桁の数字を表示できることを確認してください。必要に応じて、Microsoftアカウントとは別にUSBメモリや安全なクラウドストレージにもバックアップします。Microsoftは、回復キーを複数の場所へバックアップできると案内しています。

手順3　BitLockerの保護を一時停止するコントロールパネルの「システムとセキュリティ」「BitLockerドライブ暗号化」を開き、システムドライブの「保護の中断」を選択します。PowerShellを管理者として起動し、Suspend-BitLocker -MountPoint "C:" -RebootCount 0を実行する方法もあります。RebootCount 0を指定すると、手動で再開するまで一時停止した状態が続きます。この操作はSSD全体の暗号化を解除するものではなく、保護機能を一時的に止めるだけです。

手順4　BIOSやSecure Bootを更新する回復キーの確認とBitLockerの一時停止が完了してから、メーカーが案内する方法でBIOSやファームウェアを更新します。更新中はパソコンの電源を切らず、ノートパソコンではACアダプターを接続してください。メーカー別のBIOS画面内更新手順は、BIOSアップデートのやり方を解説した記事で確認できます。更新後は、XMP・EXPO、ファン設定、起動順位などが初期化される場合があるため、Windows Boot Manager、Secure Boot、TPMの状態もあわせて確認します。

手順5　BitLockerの保護を再開するWindowsが正常に起動し、BIOS設定にも問題がないことを確認したら、コントロールパネルの「BitLockerドライブ暗号化」から「保護の再開」を選択します。PowerShellを使用する場合はResume-BitLocker -MountPoint "C:"を実行します。保護を一時停止したまま放置すると、BitLocker本来の盗難・不正アクセス対策が弱くなるため、更新後は忘れずに再開してください。

Q&Aよくある質問

回復キーIDを入力すれば解除できますか

回復キーIDでは解除できません。回復キーIDは、Microsoftアカウントなどに保存された複数の回復キーから、正しいものを特定するための番号です。BitLocker回復画面へ入力するのは、IDと一致する48桁の回復キーです。

一度回復キーを入力すれば次回から表示されませんか

BIOSアップデートなど一度だけの変更が原因であれば、次回以降は通常どおり起動できることがあります。毎回表示される場合は、Secure Boot、TPM、起動順位、ブートマネージャーなどの状態が正しく保存されていないか、BitLockerが毎回異なる起動環境を検出している可能性があります。

BitLockerを無効にしたほうがよいですか

回復画面が表示されたことだけを理由に、BitLockerを完全に無効化する必要はありません。BitLockerやデバイス暗号化は、パソコンやSSDが盗まれたときに保存データを読み取られにくくする機能です。BIOSアップデート時は完全に復号するのではなく、回復キーを保存したうえで保護を一時停止し、更新後に再開する方法が基本です。

回復キーを入力しても解除できないのはなぜですか

入力している回復キーと、画面に表示されている回復キーIDが一致していない可能性があります。数字の入力間違いだけでなく、古いパソコンや別ドライブ用の回復キーを選んでいないか確認してください。正しいキーでも解除できない場合は、ドライブ自体の破損やBitLockerメタデータの問題も考えられます。重要なデータがある場合は、初期化やフォーマットを行う前に専門業者への相談も検討してください。

Microsoftサポートに連絡すれば回復キーを発行してもらえますか

発行してもらうことはできません。Microsoftは、失われたBitLocker回復キーを取得、提供、再作成できないと明記しています。Microsoftアカウント、組織のアカウント、USBメモリ、テキストファイル、印刷物など、過去に保存した場所から探す必要があります。

総括回復キーIDの照合と一時停止・再開の習慣が対処の基本です

総評

Windows UpdateやBIOSアップデート後にBitLocker回復画面が表示されても、正しい48桁の回復キーを入力できれば、Windowsを起動できる可能性があります。最初に確認するのは、回復画面に表示された回復キーIDの先頭8桁です。Microsoftアカウント内の回復キー一覧からIDが一致する項目を探し、対応する48桁の数字を入力してください。

Windows Update直後に表示された場合でも、通常の品質更新そのものが原因とは限りません。同時に適用されたファームウェア、BIOS設定の初期化、Secure Boot、TPM、起動順位の変化も確認してください。2026年に進むSecure Boot証明書の移行についても、自分でBIOS設定を触る必要は基本的にありません。

今後BIOSやSecure Bootを更新する場合は、事前に回復キーが利用できることを確認し、BitLockerの保護を一時停止します。更新後にWindowsとBIOSの状態を確認してから保護を再開することで、突然回復キーを求められるトラブルを防ぎやすくなります。