Was ist TPM 2.0 und warum ist es in Windows 11 jetzt obligatorisch?

Informatec Digital » Ressourcen » Was ist TPM 2.0 und warum ist es in Windows 11 jetzt obligatorisch?

Wenn Sie über ein Upgrade auf Windows 11 nachdenken, sind Sie wahrscheinlich schon auf die gefürchtete Meldung gestoßen, dass Ihr Computer TPM 2.0 für die Systeminstallation benötigt . Und natürlich stellt sich die Frage: Was ist das, warum ist es jetzt zwingend erforderlich und was passiert, wenn mein PC es nicht hat oder es nirgends aufgeführt ist?

In den neuesten Windows-Versionen hat sich diese kleine Komponente von einem nahezu unbekannten Bestandteil zu einem zentralen Sicherheitsmerkmal und einer unverzichtbaren technischen Voraussetzung entwickelt . Das mag technisch klingen, aber die zugrundeliegende Idee ist recht einfach: Es handelt sich um eine Art Tresor im Computer, der die Schlüssel zu allen wichtigen Daten enthält.

Was ist TPM und welche Rolle spielt es in Ihrem Computer?

Das Akronym TPM steht für Trusted Platform Module (Vertrauenswürdiges Plattformmodul) . Dabei handelt es sich um einen Chip oder eine integrierte Funktionalität innerhalb des Prozessors, die als sicherer Kryptoprozessor fungiert – ein Mini-Prozessor, der ausschließlich für Sicherheits- und Verschlüsselungsoperationen zuständig ist.

Dieses Modul ist verantwortlich für die Erstellung, Speicherung und den Schutz kryptografischer Schlüssel, Passwörter, Zertifikate und anderer sensibler Daten, die das Betriebssystem benötigt, um sicherzustellen, dass niemand ohne Erlaubnis auf Ihre Informationen zugreifen kann, selbst wenn er physischen Zugriff auf den Computer hat.

TPM ist keine neue Erfindung: Es wird seit Jahren in professionellen Umgebungen zur Erhöhung der Hardware-Sicherheit eingesetzt , insbesondere in Unternehmen und öffentlichen Verwaltungen . Mit dem Erscheinen von Windows 11 rückte es jedoch in den Vordergrund, da Microsoft es zur obligatorischen Voraussetzung für die offizielle Systeminstallation gemacht hat.

Rein physikalisch betrachtet kann das TPM ein separater, auf das Motherboard gelöteter Chip oder ein Modul sein, das in einen bestimmten Anschluss gesteckt wird . In vielen modernen Geräten, insbesondere Laptops, ist die TPM-Funktionalität bereits in die CPU integriert (Intel PTT, AMD fTPM), obwohl sie manchmal standardmäßig deaktiviert ist und über das UEFI/BIOS aktiviert werden muss.

Was genau leistet TPM und warum ist es so wichtig?

Der interessanteste Aspekt des TPM ist, dass es als sicherer und isolierter Speicherort für kryptografische Schlüssel und Authentifizierungsinformationen dient . Die darin gespeicherten Schlüssel sind für das Betriebssystem oder Anwendungen nicht direkt zugänglich; der Zugriff erfolgt ausschließlich über spezifische Befehle auf dem Chip selbst.

Jedes TPM verfügt über eigene kryptografische Schlüssel, die mit dem jeweiligen Gerät verknüpft sind . Einer dieser Schlüssel ist der Endorsement Key (EK), ein eindeutiges RSA-Schlüsselpaar, das werkseitig generiert und im Chip gespeichert wird und für Software unzugänglich ist. Weitere Schlüssel werden aus diesem EK generiert, beispielsweise der Storage Root Key , der als Grundlage für die Verschlüsselung der übrigen im Modul gespeicherten Schlüssel dient.

Darüber hinaus kann das TPM einen Attestation Identity Key (AIK) generieren , der den Boot-Status des Systems zuverlässig verifiziert. Der Chip berechnet während des Bootvorgangs Hashwerte oder Messwerte der Firmware, des UEFI und kritischer Teile des Betriebssystems und sendet diese Messwerte an einen Server, der prüft, ob alles den Erwartungen entspricht. Werden verdächtige Änderungen festgestellt, gilt das Gerät als potenziell kompromittiert.

Dank dieser Konstruktion bietet das TPM hervorragenden Schutz vor modernen Bedrohungen wie Firmware-Angriffen, hochentwickelter Ransomware , Bootmanipulation oder Datendiebstahl durch physischen Zugriff . Ein Angreifer mag zwar Zugriff auf die Festplatte haben, doch ohne die im TPM gespeicherten Schlüssel bleiben die verschlüsselten Daten unbrauchbar.

Der TPM-Standard definiert nicht nur den Chip, sondern auch eine ganze Reihe von Spezifikationen und Befehlen, die von der Trusted Computing Group (TCG) gepflegt werden , einer gemeinnützigen Organisation, die für die Aktualisierung und Erweiterung dieser Standards verantwortlich ist, um sie an neue Sicherheitsanforderungen anzupassen.

TPM 1.2 vs. TPM 2.0: Warum Windows 11 die neue Version benötigt

Viele Jahre lang war TPM 1.2 die am weitesten verbreitete Version und sogar als internationaler Standard ISO/IEC 11889 standardisiert. Diese Version ermöglichte bereits Schlüsselschutz, Datenverschlüsselung und Systemintegritätsprüfung, war aber in ihren Verschlüsselungsalgorithmen und den angebotenen Funktionen eingeschränkter.

Der Wechsel zu TPM 2.0 brachte eine deutliche Verbesserung der Leistungsfähigkeit und Flexibilität . Unter anderem ermöglicht der neue Standard die austauschbare Verwendung verschiedener kryptografischer Algorithmen, anstatt wie bei TPM 1.2 praktisch an SHA-1 gebunden zu sein. Dies ist für eine bessere Abwehr moderner Angriffe unerlässlich.

TPM 2.0 beinhaltet außerdem Verbesserungen beim Schlüsselmanagement, beim Schutz biometrischer Daten und bei der Signaturprüfung und ist so konzipiert, dass es nicht nur auf Desktop- und Laptop-PCs, sondern auch auf Geräten mit begrenzteren Ressourcen, wie z. B. Tablets oder eingebetteten Systemen, funktioniert.

Deshalb hat Microsoft für Windows 11 TPM 2.0 als minimal akzeptables Hardware-Sicherheitsniveau festgelegt . Obwohl Windows technisch auch mit TPM 1.2 funktioniert, basieren die fortschrittlichsten Sicherheitsfunktionen und zukünftigen Plattformverbesserungen auf den erweiterten Funktionen von Version 2.0.

In der Praxis bedeutet dies, dass ein Computer mit TPM 1.2 zwar Windows 11 hinsichtlich der Leistung ausführen kann, er jedoch nicht den offiziellen Systemsicherheitsanforderungen entspricht und die Installation außerhalb der von Microsoft unterstützten Methoden liegt.

Wozu nutzt Windows TPM im Alltag?

In Windows 10 und insbesondere in Windows 11 ist das TPM in zahlreiche Sicherheitsfunktionen integriert. Es ist nicht ständig sichtbar, arbeitet aber im Hintergrund, um Ihre Daten und Ihre Identität zu schützen.

Eine der auffälligsten Funktionen ist BitLocker , das Windows-Laufwerkverschlüsselungssystem . Wenn BitLocker aktiviert ist, werden die Daten auf der Festplatte verschlüsselt und der Entschlüsselungsschlüssel im TPM (Target Memory Module) gespeichert (bzw. geschützt). Dadurch kann jemand, der die Festplatte oder den Laptop stiehlt, ohne die im Modul gespeicherten Schlüssel nicht auf die Daten zugreifen, selbst wenn er das Laufwerk an einen anderen Computer anschließt.

Das TPM wird auch in Windows Hello verwendet, dem Anmeldesystem, das Gesichtserkennung, Fingerabdruck oder PIN nutzt . Die biometrischen Daten und zugehörigen Schlüssel sind über den Chip mit der Hardware Ihres Computers verknüpft, wodurch sie deutlich schwerer zu stehlen oder auf einem anderen Gerät wiederzuverwenden sind.

Ein weiteres Schlüsselelement ist die Verbindung zu Secure Boot und Measured Boot . Secure Boot stellt sicher, dass während der anfänglichen Startphase nur signierte und vertrauenswürdige Software geladen wird, während Measured Boot Messwerte jeder laufenden Komponente im TPM aufzeichnet. Dies ermöglicht die Erkennung von Versuchen, Schadsoftware in den Systemstartprozess einzuschleusen.

Darüber hinaus kann Windows TPM mit Technologien wie Credential Guard oder virtualisierungsbasiertem Anmeldeinformationsschutz kombinieren . In diesem Szenario werden Passwörter und Zugriffstoken in einer geschützten Umgebung isoliert, und das TPM fungiert als kryptografische Vertrauensankerstelle, wodurch es Angreifern deutlich erschwert wird, Anmeldeinformationen zu stehlen.

Weitere gängige Anwendungsbereiche sind virtuelle Smartcards zur Authentifizierung an Unternehmensressourcen , der Schutz vor Wörterbuchangriffen beim Versuch, Passwörter zu knacken, oder die sichere Speicherung von Zertifikaten und Schlüsseln für VPN-Verbindungen, digital signierte E-Mails und sicheres Surfen.

Verschiedene Arten der TPM-Implementierung

Obwohl wir TPM stets so bezeichnen, als wäre es ein einzelner Chip, gibt es tatsächlich mehrere Implementierungsmöglichkeiten, jede mit ihren eigenen Sicherheitsmerkmalen . Sie alle entsprechen den TCG-Spezifikationen, unterscheiden sich jedoch auf physikalischer oder logischer Ebene.

Zum einen gibt es diskrete TPMs, also dedizierte, spezielle Chips, die auf das Motherboard gelötet werden. Theoretisch sind sie die sicherste Option, da sie so konstruiert sind, dass sie gegen physische Manipulationen resistent sind und die Wahrscheinlichkeit von Fehlern durch die gemeinsame Nutzung des Platzes mit anderen Komponenten verringern.

Eine weitere weit verbreitete Option ist das in die Haupt-CPU integrierte TPM , das über eigene Sicherheitsmechanismen verfügt und ein Schutzniveau bietet, das dem des diskreten Chips nahekommt, jedoch die Kosten senkt und den Herstellern mehr Komfort bietet.

Es gibt auch firmwarebasierte TPMs , die in der vertrauenswürdigen Ausführungsumgebung der CPU laufen . Sie sind nach wie vor sehr sicher und bieten dem Durchschnittsnutzer ausreichenden Schutz für den täglichen und professionellen Einsatz.

Am weniger sicheren Ende des Spektrums befinden sich rein softwarebasierte TPMs , die im Grunde das Verhalten des Moduls nachahmen, jedoch ohne eine starke Vertrauensbasis in der Hardware, wodurch sie anfällig für externe Angriffe oder Schwachstellen im Betriebssystem selbst sind.

Schließlich ist es in Virtualisierungsumgebungen üblich, virtuelle TPMs zu verwenden, die vom Hypervisor bereitgestellt werden . Dadurch können virtuelle Maschinen ähnliche Funktionen ausführen, ohne dass für jede Maschine ein separater physischer Chip benötigt wird.

Warum Windows 11 TPM 2.0 vorschreibt

Die größte Änderung bei Windows 11 besteht darin, dass Microsoft TPM nicht länger als optionale Zusatzfunktion betrachtet, sondern es zu einer zentralen Sicherheitsvoraussetzung macht . Die Idee dahinter ist, dass alle Computer, auf denen das System läuft, über eine hardwarebasierte Vertrauensbasis verfügen, um den aktuellen Bedrohungen besser begegnen zu können.

Heutzutage beschränken sich Angriffe nicht mehr auf einfache Viren; wir sprechen von hochentwickelter Ransomware, Malware, die sich in die Firmware einnistet, dem Versuch, Zugangsdaten zu stehlen, und Fernzugriff durch Ausnutzung von Fehlkonfigurationen . In diesem Kontext reicht es nicht mehr aus, sich allein auf Sicherheitssoftware zu verlassen. Deshalb setzt Microsoft darauf, den Schutz direkt in die Hardware zu integrieren.

Durch die Anforderung von TPM 2.0 stellt Windows 11 sicher, dass Funktionen wie BitLocker, Windows Hello, Secure Boot, Measured Boot, Credential Guard und andere virtualisierungsbasierte Technologien standardmäßig aktiviert werden können , ohne dass es davon abhängt, ob der jeweilige Hersteller oder Benutzer diese aktiviert oder nicht.

In vielen Geräten, die ab 2016 hergestellt wurden, insbesondere in Laptops und PCs für den geschäftlichen Einsatz, war TPM 2.0 bereits ab Werk integriert, wenn auch teilweise deaktiviert . In anderen Fällen, insbesondere bei individuell zusammengestellten Computern oder Mainboards der Mittel- und Einsteigerklasse aus den letzten Jahren, war das Modul nicht standardmäßig integriert und musste über einen speziellen Anschluss nachgerüstet werden.

Dies ist die Ursache vieler Beschwerden von Nutzern, die über sehr leistungsstarke Computer verfügen, die problemlos Windows 11 ausführen könnten , aber feststellen, dass sie den Filter nicht passieren, weil ihnen TPM 2.0 fehlt oder es im UEFI/BIOS deaktiviert ist.

So erkennen Sie unter Windows, ob Ihr PC über TPM 2.0 verfügt.

Bevor Sie davon ausgehen, dass Ihr PC nicht mit Windows 11 kompatibel ist, sollten Sie prüfen, ob er tatsächlich über TPM 2.0 verfügt und, falls ja, welche Version aktiv ist . Windows bietet hierfür mehrere Möglichkeiten, ohne dass zusätzliche Software installiert werden muss.

Eine der einfachsten Möglichkeiten ist die Verwendung der Microsoft Management Console für TPM :

1. Drücken Sie die Tastenkombination Windows-+ R Um das Dialogfeld „Ausführen“ zu öffnen.
2. Schreiben Sie tpm.msc (ohne Anführungszeichen) und die Eingabetaste drücken.
3. Das Verwaltungsfenster des Secure Platform Module wird geöffnet.

Wenn in diesem Fenster eine Meldung wie „Kompatibles TPM nicht gefunden“ oder „Kein kompatibles TPM gefunden“ erscheint , kann dies zweierlei bedeuten: Ihr Gerät verfügt nicht über dieses Modul, oder es ist in den Firmware-Einstellungen deaktiviert. Im zweiten Fall müssen Sie auf das UEFI/BIOS zugreifen, um es zu aktivieren.

Wenn die Konsole hingegen anzeigt, dass „TPM betriebsbereit ist“ und Herstellerinformationen anzeigt , müssen Sie das Feld „Spezifikationsversion“ überprüfen. Steht dort 2.0, erfüllt Ihr PC diese Anforderung für Windows 11; ist die Zahl niedriger (z. B. 1.2), erreicht das Gerät nicht das erforderliche Sicherheitsniveau.

Eine weitere Alternative besteht darin, auf PowerShell mit AdministratorrechtenÖffnen Sie PowerShell als Administrator und geben Sie den folgenden Befehl ein: get-tpm und drücken Sie die Eingabetaste. Suchen Sie unter den angezeigten Daten den Wert. TpmPresentWird „False“ angezeigt, ist das Modul nicht auf dem Motherboard vorhanden; wird „True“ angezeigt, ist es vorhanden, und Sie können auch seinen Status und seine Eigenschaften überprüfen.

Sie können auch die Windows-Sicherheits-App überprüfen , insbesondere die Abschnitte „Gerätesicherheit“ und „Sicherheitsprozessor“ . Wenn dieser Abschnitt nicht angezeigt wird, fehlt das TPM wahrscheinlich oder ist deaktiviert. Wenn er angezeigt wird, können Sie unter „Details zum Sicherheitsprozessor“ die Spezifikationsversion einsehen.

So aktivieren Sie TPM 2.0 über das UEFI/BIOS

Wenn Ihre Überprüfungen ergeben, dass das TPM nicht verfügbar ist, Sie aber vermuten, dass Ihr Computer relativ neu ist, kann das Modul einfach in den Firmware-Einstellungen deaktiviert sein . Bei vielen selbstgebauten PCs oder Consumer-Motherboards ist es standardmäßig deaktiviert.

Um dies zu ändern, müssen Sie auf das UEFI/BIOS Ihres Computers zugreifen und die Option für TPM oder Plattformsicherheit suchen . Der genaue Pfad variiert je nach Hersteller, aber unter Windows finden Sie ihn unter Einstellungen > Update und Sicherheit > Wiederherstellung. Dort können Sie unter Erweiterter Start die Option „Jetzt neu starten“ auswählen.

Nach dem Neustart wählen Sie „Problembehandlung“ > „Erweiterte Optionen“ > „UEFI-Firmwareeinstellungen“ > „Neustart“ . Dadurch gelangen Sie zum Firmware-Menü. Dort finden Sie Optionen wie „Sicherheit“, „Erweiterte Einstellungen“ oder Ähnliches. Die Bezeichnungen können je nach Hersteller leicht variieren, nehmen Sie sich also Zeit.

Bei Systemen mit Intel-Prozessoren wird diese Funktion üblicherweise als „Intel PTT“ oder „Intel Platform Trust Technology “ bezeichnet. Bei AMD-Prozessoren findet man sie häufig unter Bezeichnungen wie „AMD fTPM“ oder „AMD PSP fTPM “. Sie kann auch unter Bezeichnungen wie „Sicherheitsgerät“, „Unterstützung für Sicherheitsgeräte“, „TPM-Status“ oder „Trusted Computing“ aufgeführt sein.

Sobald Sie die Option gefunden haben, müssen Sie ihren Status auf „Aktiviert“ ändern, die Änderungen speichern und Ihren Computer neu starten . Anschließend sollte nach der Rückkehr zu Windows das TPM in tpm.msc oder der Windows-Sicherheits-App angezeigt werden. Dort können Sie überprüfen, ob es der Spezifikation 2.0 entspricht.

Beachten Sie außerdem, dass das TPM auf vielen Geräten mit dem Secure-Boot-System zusammenarbeitet . Wenn Secure Boot deaktiviert ist, werden die Optionen des Moduls möglicherweise nicht angezeigt oder funktionieren nicht korrekt. In solchen Fällen empfiehlt es sich, Secure Boot zunächst zu aktivieren und anschließend den TPM-Status erneut zu überprüfen.

Welche Computer verfügen typischerweise über TPM 2.0 und welche Anforderungen gelten dafür?

Im Allgemeinen verfügen die meisten Computer, die ab 2018 hergestellt wurden, über integriertes TPM 2.0 oder eine vergleichbare Technologie . Wenn Ihr PC jünger als fünf oder sechs Jahre ist, ist die Wahrscheinlichkeit sehr hoch, dass er diese Funktion besitzt, selbst wenn sie deaktiviert ist.

Ein weiterer Hinweis liefern die Prozessoren: Intel-Prozessoren ab der achten Generation sind in der Regel über Intel PTT für die Nutzung von TPM 2.0 vorbereitet , während es im AMD-Ökosystem üblich ist, dass Ryzen-Prozessoren ab der zweiten Generation fTPM mit Unterstützung für diese Version integrieren.

Das TPM ist jedoch nicht die einzige Voraussetzung für Windows 11. Das System benötigt außerdem eine 64-Bit-CPU mit mindestens zwei Kernen à 1 GHz, 4 GB RAM und 64 GB Speicherplatz . Auch wenn dies nach heutigen Maßstäben eher bescheidene Spezifikationen sind, schließen sie viele ältere Computer aus, die mit Windows 10 noch recht gut laufen.

Bei vielen selbstgebauten Desktop-PCs war der Arbeitsspeicher auf Mainboards der Mittel- und Einsteigerklasse von vor einigen Jahren nicht standardmäßig integriert, sondern nur über einen Anschluss zum separaten Einbau erhältlich . Dies führte zu einer kuriosen Situation: Die Rechner waren zwar hinsichtlich CPU und Grafik sehr leistungsstark, wurden aber durch das Fehlen eines kleinen Speicherchips ausgebremst.

Wer das zusätzliche Modul nicht installieren möchte oder kann, muss sich überlegen, ob er Windows 10 bis zum Ende des offiziellen Supports weiter nutzen oder ein Hardware-Upgrade in Betracht ziehen möchte . Der Support für Windows 10 läuft noch bis Oktober 2025, sodass noch etwas Zeit bleibt, um in Ruhe eine Entscheidung zu treffen.

Was passiert, wenn Ihr Computer kein TPM 2.0 hat?

Wenn Sie nach allen Überprüfungen bestätigen, dass Ihr PC kein TPM 2.0 besitzt und eine Nachrüstung unwahrscheinlich ist , sind Ihre Optionen eingeschränkt. Offiziell erfüllt dieser Computer nicht die Windows-11-Anforderungen, weshalb Sie Windows 11 nicht über die Standardkanäle von Microsoft installieren können.

Es gibt inoffizielle Methoden, die Systemvoraussetzungsprüfungen während der Windows 11-Installation zu umgehen , beispielsweise durch die Modifizierung von Konfigurationsdateien oder die Verwendung von Drittanbieter-Tools. Dies bedeutet jedoch, auf Supportleistungen zu verzichten und, was noch wichtiger ist, das System ohne das von Microsoft als unerlässlich erachtete Mindestmaß an Sicherheit zu betreiben.

Bei Geräten, die kein TPM 2.0 unterstützen, sollte man abwägen, ob es sinnvoller ist, Windows 10 bis zum Ende seines Lebenszyklus zu nutzen, Alternativen wie andere Betriebssysteme in Betracht zu ziehen oder in einen moderneren Computer zu investieren . Letztendlich hängt alles davon ab, wie Sie Ihren Computer nutzen und wie wichtig Ihnen integrierte Hardware-Sicherheit ist.

Für viele Heimanwender kann dies eine gute Gelegenheit sein, sich für kürzlich generalüberholte Computer zu entscheiden, die bereits mit aktiviertem TPM 2.0 ausgestattet sind und Windows 11 reibungslos ausführen können – und das zu geringeren Kosten als ein brandneuer PC.

TPM mag auf den ersten Blick wie eine weitere Sicherheitsmaßnahme erscheinen, sein Hauptzweck ist jedoch der bessere Schutz Ihrer Daten, Passwörter und digitalen Zugangsdaten . Sie interagieren möglicherweise nicht direkt damit, aber es fungiert als stiller Wächter all dessen, was auf Ihrem Computer wichtig ist.

In Verbindung stehender Artikel:

Schritt-für-Schritt-Anleitung zur Installation von Windows 11 von einem USB-Stick