TPM 2.0 aktivieren auf einem Windows-11-PC: So geht’s

TPM steht für Trusted Platform Module und ist eine hardwarebasierte Sicherheitsfunktion, die in modernen PCs integriert ist. Windows 11 setzt für die Installation TPM 2.0 voraus, denn es ist die Grundlage für mehrere Sicherheitsfunktionen von Windows, darunter BitLocker, Windows Hello und Secure Boot. Auf manchen Systemen ist TPM zwar vorhanden, in der Firmware jedoch standardmäßig deaktiviert.

In verwalteten Umgebungen und Unternehmensumgebungen ist die Aktivierung von TPM unverzichtbar und ein zentraler Baustein der Sicherheitsstrategie jeder IT-Infrastruktur. Sie hilft dabei, Compliance mit Hardware-Sicherheitsbaselines sicherzustellen, und unterstützt moderne Sicherheitsfunktionen. Wenn Sie wissen möchten, wie Sie TPM 2.0 aktivieren, finden Sie in dieser Anleitung mehrere Methoden, darunter die TPM-Verwaltung, PowerShell sowie BIOS bzw. UEFI.

Eine visuelle Aufbereitung des Themas finden Sie hier: So aktivieren Sie TPM 2.0 auf einem Windows-11-PC

Voraussetzungen für die Aktivierung von TPM 2.0 auf einem Windows-11-PC

Bevor Sie TPM 2.0 auf Ihrem PC aktivieren, müssen die folgenden Voraussetzungen erfüllt sein:

• Hardware-Unterstützung für TPM 2.0. Ihr Gerät muss einen Trusted-Platform-Module-2.0-Chip auf dem Mainboard verbaut haben. Die meisten PCs und Laptops, die nach 2016 hergestellt wurden, bringen ihn standardmäßig mit. Insbesondere bei älteren Systemen sollten Sie die Kompatibilität jedoch unbedingt prüfen.
• Zugriff auf die UEFI-/BIOS-Einstellungen. Für die Aktivierung müssen Sie die Firmware des Systems aufrufen. Dazu drücken Sie direkt nach dem Einschalten des Geräts eine bestimmte Taste, etwa F2, ENTF oder ESC.
• Administratorrechte. Sie müssen mit einem Windows-Konto angemeldet sein, das über die nötigen Berechtigungen verfügt, um Einstellungen in Tools wie PowerShell und der TPM-Verwaltungskonsole zu konfigurieren.
• Herstellerspezifische Unterschiede (Erstausrüster, OEM). Je nach Hersteller werden die TPM-Einstellungen unterschiedlich bezeichnet. Bei Intel-Systemen heißt die Funktion beispielsweise PTT oder Platform Trust Technology, bei AMD dagegen fTPM.

So prüfen Sie den TPM-2.0-Status

Methode 1: TPM-Status mit tpm.msc prüfen

Mit der integrierten TPM-Verwaltungskonsole prüfen Sie, ob TPM 2.0 auf Ihrem System vorhanden und aktiviert ist. Gehen Sie dazu folgendermaßen vor:

1. Öffnen Sie das Dialogfeld Ausführen mit der Tastenkombination Win + R.
2. Geben Sie tpm.msc ein, um die TPM-Verwaltungskonsole zu starten.
3. Prüfen Sie anschließend den TPM-Status. Achten Sie im Fenster TPM-Verwaltung auf dem lokalen Computer auf Folgendes:
   1. Erscheint die Meldung „Das TPM ist einsatzbereit“, ist das TPM installiert und aktiv.
   2. Erscheint „Kompatibles TPM kann nicht gefunden werden“, ist der Chip möglicherweise in der Firmware deaktiviert oder gar nicht vorhanden.
4. Suchen Sie im Abschnitt TPM-Herstellerinformationen nach der Spezifikationsversion. Windows 11 erfordert Version 2.0. Steht dort 1.2 oder fehlt die Angabe, erfüllt Ihr System die TPM-Anforderung von Windows möglicherweise nicht.

Methode 2: TPM über PowerShell prüfen

Sie können den TPM-Status auch mit PowerShell als Administrator prüfen. Diese Methode eignet sich hervorragend für Systemadministrator:innen und IT-Teams, die den TPM-Status in einer verwalteten Umgebung auf vielen Geräten kontrollieren müssen.

1. Öffnen Sie PowerShell als Administrator. Hinweis: Alternativ können Sie Windows Terminal (Administrator) verwenden, sofern verfügbar.
2. Führen Sie anschließend den TPM-Abfragebefehl aus:

Get-WmiObject -Namespace "Root\CIMV2\Security\MicrosoftTpm" -Class Win32_Tpm

3. Achten Sie in der Ausgabe auf Folgendes:
   1. IsEnabled_InitialValue = True, Die TPM-Hardware ist aktiviert.
   2. IsActivated_InitialValue = True, Das TPM wurde im BIOS/UEFI aktiviert.
   3. SpecVersion = 2.0 oder höher, Die TPM-Version erfüllt die Anforderung für Windows 11.

Wenn Sie festgestellt haben, dass kein TPM gefunden wird oder es deaktiviert ist, aktivieren Sie es in den BIOS-/UEFI-Einstellungen. Wie das geht, zeigt die folgende Methode.

So aktivieren Sie TPM 2.0 im BIOS/UEFI

Die einzelnen Schritte können je nach Gerät abweichen, grundsätzlich aktivieren Sie TPM 2.0 aber über die UEFI- und BIOS-Einstellungen. So gehen Sie vor:

1. Starten Sie Ihren Computer zunächst neu. Drücken Sie die Taste für den Aufruf von BIOS/UEFI, sobald der Bildschirm neu startet. Je nach Konfiguration des PCs kann das F2, F10, F12, Entf oder Esc sein.
2. Wechseln Sie im BIOS/UEFI zum Bereich Security, Advanced oder Trusted Computing. Wo genau er liegt, hängt vom Hersteller ab.
3. Suchen Sie die TPM-Option und aktivieren Sie sie.
   1. Suchen Sie auf Intel-Systemen nach PTT (Platform Trust Technology) und aktivieren Sie die Option.
   2. Auf Systemen mit AMD-Chipsätzen suchen und aktivieren Sie fTPM (Firmware TPM) bzw. die AMD-fTPM-Konfiguration.
   3. In manchen BIOS-Versionen heißt die Option TPM Device oder Trusted Platform Module.
4. Drücken Sie F10 (oder die jeweils vorgesehene Taste), um die Änderungen zu speichern und neu zu starten.
5. Prüfen Sie zum Schluss mit tpm.msc oder über PowerShell, ob TPM unter Windows aktiviert ist.

Die Oberflächen unterscheiden sich allerdings je nach Hersteller. In manchen Fällen sind die TPM-Optionen erst nach einem Firmware-Update verfügbar.

Gruppenrichtlinien und Sicherheits-Anwendungsfälle für TPM 2.0

Ist TPM 2.0 einmal aktiviert, stehen Ihnen zahlreiche Sicherheitsfunktionen offen, die Sie über Gruppenrichtlinien in Windows konfigurieren können. Sie stärken die Systemsicherheit, schützen sensible Daten und verkleinern die Angriffsfläche für Cyberangriffe, gerade in Unternehmensumgebungen.

Anwendungsfälle für TPM in Gruppenrichtlinien

• BitLocker-Laufwerkverschlüsselung. Das TPM speichert Verschlüsselungsschlüssel sicher, ermöglicht damit die Laufwerkverschlüsselung und schützt Daten selbst dann, wenn das Laufwerk ausgebaut wird. Zusätzlich lassen sich BitLocker-Richtlinien per Gruppenrichtlinie durchsetzen.
• Credential Guard. Diese Funktion nutzt virtualisierungsbasierte Sicherheit, um Anmeldeinformationen vom Betriebssystem zu isolieren und so vor Malware zu schützen. Sie verwendet das TPM, um Geheimnisse zu speichern und abzusichern, und unterstützt Integritätsprüfungen des Systems.
• Secure-Boot-Validierung. Das TPM hilft beim Start dabei, die Integrität von Firmware und Bootloader zu prüfen. So wird verhindert, dass Rootkits und Bootkits (Malware-Arten, die die Netzwerksicherheit angreifen) ausgeführt werden, bevor Windows geladen ist.

So rufen Sie TPM-Richtlinien auf und konfigurieren sie

1. Öffnen Sie das Dialogfeld Ausführen mit Win + R, geben Sie gpedit.msc ein und drücken Sie die Eingabetaste. Damit öffnen Sie den Editor für lokale Gruppenrichtlinien (in den Home-Editionen von Windows nicht verfügbar).
2. Navigieren Sie zu:

Computerkonfiguration > Administrative Vorlagen > System > Trusted Platform Module-Dienste

3. Anschließend können Sie beispielsweise folgende Richtlinien konfigurieren:
   1. TPM für BitLocker aktivieren oder einschränken.
   2. Remote-Attestierung TPM-geschützter Geräte zulassen. So können IT-Administrator:innen sicherstellen, dass Systeme nicht manipuliert wurden, selbst außerhalb des Standorts.
   3. TPM-Startschlüssel oder PIN-Anforderungen erzwingen.

Fehlerbehebung bei TPM-2.0-Problemen

Beim Aktivieren von TPM 2.0 können Probleme auftreten. Hier sind die häufigsten, jeweils mit Lösung.

Problem: TPM wird nicht erkannt

Zeigen die TPM-Verwaltungskonsole und PowerShell kein TPM an, prüfen Sie Folgendes:

• Firmware-Version. Möglicherweise haben Sie ein veraltetes BIOS/UEFI, das TPM nicht unterstützt. Am besten rufen Sie die Website Ihres Systemherstellers auf (HP, Lenovo, Asus usw.), laden den aktuellen Patch herunter und aktualisieren das BIOS Ihres Windows-PCs.
• Fehlende Hardware. Bei älteren (vor 2016 gebauten) und selbst zusammengestellten PCs ist unter Umständen kein TPM physisch verbaut. Prüfen Sie die Spezifikationen Ihres Mainboards, um das zu klären. Sie können Folgendes versuchen:
  • Schlagen Sie Ihr Mainboard-Modell auf der Website des Herstellers nach. Die meisten Handbücher enthalten einen Abschnitt zur TPM-Unterstützung, in dem Sie erfahren, ob ein Header für ein Zusatzmodul vorhanden ist.
  • Suchen Sie nach einem TPM-Header. Manche Desktop-PCs haben auf dem Mainboard einen TPM-Header, in den sich ein separater TPM-Chip einsetzen lässt. Ist er vorhanden, können Sie beim Hersteller ein kompatibles TPM-Modul kaufen.
  • Prüfen Sie im BIOS/UEFI, ob es Optionen für ein Firmware-TPM (fTPM/PTT) gibt. Viele moderne Systeme bringen ein firmwarebasiertes TPM mit, das Sie im BIOS aktivieren können. Sehen Sie die BIOS-Einstellungen noch einmal durch, um sicherzugehen, dass wirklich keines vorhanden ist.

Problem: BIOS-Passwort erforderlich

Sind die Firmware-Einstellungen gesperrt, benötigen Sie ein Administrator- oder Supervisor-Passwort, um Sicherheitskonfigurationen zu ändern und etwa TPM zu aktivieren. Die Anmeldeinformationen erhalten Sie über Ihre IT-Abteilung, alternativ finden Sie sie im Handbuch oder in der Dokumentation des Herstellers.

Problem: TPM wird nur zeitweise erkannt

Auf Systemen mit aktiviertem Schnellstart wird das TPM beim Neustart möglicherweise nicht vollständig initialisiert. So deaktivieren Sie die Funktion:

1. Öffnen Sie die Systemsteuerung und wechseln Sie zu Energieoptionen.
2. Wählen Sie anschließend Auswählen, was beim Drücken von Netzschaltern geschehen soll und klicken Sie dann auf Einige Einstellungen sind momentan nicht verfügbar.
3. Deaktivieren Sie das Kontrollkästchen Schnellstart aktivieren.
4. Starten Sie neu und prüfen Sie den TPM-Status erneut.

So setzen Sie das TPM zurück

Verhält sich das TPM unerwartet oder wurde es zuvor in einer anderen Umgebung eingesetzt, können Sie es so zurücksetzen:

1. Öffnen Sie das Dialogfeld Ausführen (Win + R) und geben Sie tpm.msc ein. Drücken Sie die Eingabetaste, um die TPM-Verwaltungskonsole zu öffnen.
2. Wählen Sie im rechten Bereich TPM löschen. Fehlt die Option, klicken Sie auf Aktualisieren.
3. Folgen Sie den Anweisungen und starten Sie neu.

WICHTIG: Beim Löschen des TPM können Schlüssel verloren gehen, die an Funktionen wie BitLocker gebunden sind. Dann haben Sie keinen Zugriff mehr auf verschlüsselte Dateien. Importieren und sichern Sie Ihre Wiederherstellungs- und Verschlüsselungsschlüssel, um das auszuschließen.

Mit aktiviertem TPM 2.0 bleiben Ihre Windows-11-Systeme sicher

TPM 2.0 auf Ihrem PC und in verwalteten Umgebungen zu aktivieren, ist enorm wichtig, um die Compliance mit Windows 11 sicherzustellen und Sicherheitsfunktionen wie BitLocker und Credential Guard nutzen zu können.

Den TPM-Status prüfen Sie mit tpm.msc oder PowerShell und stellen dabei sicher, dass Version 2.0 oder höher vorliegt. Wird das TPM nicht erkannt, rufen Sie die BIOS-Einstellungen auf und aktivieren PTT bzw. fTPM. Ist es aktiv, können Sie TPM-gestützte Schutzmechanismen per Gruppenrichtlinie erzwingen und fest in Ihren Provisionierungsprozess aufnehmen.