TPM 2.0 (Trusted Platform Module)

Windows 11 will sich nicht installieren lassen, und die Fehlermeldung nennt einen Chip, von dem du noch nie gehört hast. Die gute Nachricht: In vielen neueren PCs steckt er längst, er ist nur ausgeschaltet.

Kurz gesagt

TPM 2.0 ist ein Trusted Platform Module: ein abgesicherter Kryptoprozessor, der kryptografische Schlüssel erzeugt und speichert, ihre Nutzung begrenzt und Messwerte des Startvorgangs festhält [1]. Die Trusted Computing Group (TCG) gibt die Spezifikation heraus; aktuell ist die TPM 2.0 Library in Version 185 vom März 2026 [7], und TPM 2.0 ist zugleich als internationale Norm ISO/IEC 11889 veröffentlicht [2]. Windows 11 nennt TPM 2.0 als Mindestanforderung an die Hardware [3]. Unsere Einschätzung: Bei einem Desktop-PC aus den letzten Jahren lohnt der Blick in die Firmware-Einstellungen, bevor du annimmst, dass dem Board das TPM fehlt.

So funktioniert’s

1. Schlüssel, die drinbleiben. Ein TPM kann Schlüssel erzeugen, die außerhalb des TPM nicht verfügbar sind, sodass niemand sie kopieren und anderswo nutzen kann [1]. Werden zu viele falsche Autorisierungswerte probiert, sperrt seine Wörterbuchangriff-Logik weitere Versuche [1].
2. Den Start messen. Beim Booten kann der geladene Code, also Firmware und Teile des Betriebssystems, gemessen und im TPM festgehalten werden. Windows nutzt diese Messwerte als Nachweis, wie das System gestartet ist, und um einen TPM-Schlüssel nur dann freizugeben, wenn die richtige Software gebootet hat [1]. Measured Boot braucht ein TPM und UEFI Secure Boot [2].
3. Drei Bauformen. TPM 2.0 gibt es als eigenen Chip (dTPM) in eigenem Gehäuse, als integrierten Baustein neben anderer Logik und als Firmware-TPM (fTPM), das in einer vertrauenswürdigen Ausführungsumgebung auf dem Hauptprozessor läuft [2]. Windows nutzt jedes kompatible TPM auf dieselbe Weise, und Microsoft legt sich nicht fest, welche Bauform besser ist [2].
4. Warum 2.0 und nicht 1.2. TPM 1.2 erlaubt nur RSA und SHA-1. TPM 2.0 unterstützt neuere Algorithmen, und Windows legt die Sperrregeln fest, sodass der Schutz vor Wörterbuchangriffen auf jedem Gerät gleich ist [2].
5. Nur mit UEFI. Im Legacy- oder CSM-Modus des BIOS wird TPM 2.0 nicht unterstützt; die Firmware muss im reinen UEFI-Modus laufen [2].
6. Wer es nutzt. Windows Hello und BitLocker nutzen das TPM, und die Geräteverschlüsselung setzt TPM 2.0 voraus [2][4]. Eine virtuelle Maschine mit Windows 11 braucht ein virtuelles TPM [3].

Ein Praxisbeispiel

Bevor du einen PC mit Windows 10 aktualisierst, drückst du Windows+R und startest tpm.msc. Die Meldung „Compatible TPM cannot be found“ heißt, dass das TPM womöglich abgeschaltet ist. Meldet das Fenster ein betriebsbereites TPM, prüfst du, ob unter „Specification Version“ 2.0 steht [4]. In einer PowerShell mit Administratorrechten bekommst du denselben Status als Objekt [6]:

Get-Tpm

TpmPresent und TpmReady sollten beide True zeigen [6]. Taucht kein TPM auf, öffnest du die UEFI-Einstellungen und suchst nach einer Option namens Security Device, TPM State, AMD fTPM switch, AMD PSP fTPM, Intel PTT oder Intel Platform Trust Technology [4]. Das ist ein allgemeiner Ablauf und kein Bericht von unserer eigenen Hardware.

Prüfliste

• Prüfe die Spezifikationsversion in tpm.msc oder unter Windows-Sicherheit, Gerätesicherheit [4].
• Schalte fTPM oder Intel PTT in der Firmware ein, wenn kein TPM erscheint [4].
• Stelle die Firmware auf UEFI um, bevor du dich auf TPM 2.0 verlässt, und bereite eine MBR-Systemplatte vorher mit MBR2GPT vor, sonst startet Windows nicht mehr [2].
• Sichere deinen BitLocker-Wiederherstellungsschlüssel, bevor du TPM-Einstellungen änderst. Microsoft schreibt, dass ein Wechsel zwischen TPMs BitLocker in den Wiederherstellungsmodus schickt [5].
• Lösche das TPM nur aus Windows heraus, nie direkt im UEFI, und nur auf einem eigenen Gerät: Das Löschen entfernt alle Schlüssel und die damit geschützten Daten [5].
• Gib einer Windows-11-VM ein virtuelles TPM, statt nach Umgehungen zu suchen [3].