Verschiedene Unternehmen wie Elcomsoft mit System Recovery ab Version 7.05 bieten Software an, um die Bitlocker-Verschlüsselung aufzuheben, indem bei einem gemounteten BitLocker-Laufwerk der Arbeitsspeicher ausgelesen wird. Dazu überträgt ein Programm Inhalte des RAM beispielsweise über den FireWire-Port. Anschließend kann auf einem anderen PC im Speicherabbild der enthaltene Schlüssel angezeigt werden. Damit sind Zugriffe auf geschützte Daten des angegriffenen Rechners sofort oder später möglich. Ein Speicherabbild und damit das Auslesen des Schlüssels ist nur auf einem eingeschalteten Computer möglich, bei dem das Passwort bereits eingegeben wurde. Diese Angriffsmöglichkeit besteht auch für vergleichbare Programme wie TrueCrypt. Um diesen Angriff bei gesperrten PCs zu verhindern, bietet Microsoft eine Gruppenrichtlinie "Neue DMA-Geräte deaktivieren, wenn dieser Computer gesperrt wird". Durch Aktivierung ist ein Zugriff auf den Arbeitsspeicherinhalt für hotplugfähige Geräte nur möglich, wenn der Computer nach dem Anschließen entsperrt wurde. TrueCrypt als auch Bitlocker löschen das eingegebene Passwort wieder aus dem RAM, nur der Schlüssel bleibt prinzipbedingt im Speicher.