Schaltfläche „TPM löschen“ in der Windows-Sicherheit unter Windows 11 aktivieren oder deaktivieren

Ein Trusted Platform Module (TPM) erhöht die Sicherheit eines Geräts, indem es Verschlüsselungsschlüssel speichert. Es unterstützt Funktionen wie die BitLocker-Laufwerksverschlüsselung, die Benutzerauthentifizierung und das verschlüsselnde Dateisystem (EFS).

Bei fehlerhafter Konfiguration können Benutzer:innen das TPM über die App „Windows-Sicherheit“ löschen. Das kann dazu führen, dass der Zugriff über BitLocker fehlschlägt, biometrische Anmeldeinformationen verloren gehen und Daten unwiederbringlich weg sind. Administrator:innen sollten deshalb mit administrativen Werkzeugen einheitliche Richtlinien für die TPM-Verwaltung durchsetzen, um genau das zu verhindern.

Dieser Leitfaden zeigt, wie Sie den Zugriff auf „TPM löschen“ steuern, worauf Sie bei der Implementierung achten sollten und beantwortet häufige Fragen.

Lieber als Video? Sehen Sie sich unseren Leitfaden an: Schaltfläche „TPM löschen“ in der Windows-Sicherheit unter Windows 11 aktivieren oder deaktivieren.

Verschiedene Methoden zur Konfiguration der Schaltfläche „TPM löschen“

Stellen Sie vor allen Änderungen sicher, dass Ihr System die folgenden Voraussetzungen erfüllt, damit sich die gewünschten Anpassungen reibungslos und erfolgreich umsetzen lassen:

• Administratorrechte. Sie benötigen Administratorrechte, um festzulegen, wer auf die TPM-Einstellungen zugreifen darf, besonders wenn Sie die Änderung systemweit über den Editor für lokale Gruppenrichtlinien oder die Windows-Registry vornehmen.
• Windows-Edition. Der Registrierungs-Editor steht in allen Editionen von Windows 11 zur Verfügung. Der Editor für lokale Gruppenrichtlinien lässt sich dagegen nur unter Windows 11 Pro, Enterprise und Education öffnen.
• TPM 2.0. Für einen reibungslosen Konfigurationsprozess sollte TPM 2.0 in der UEFI-/BIOS-Firmware Ihres Systems vorhanden und aktiviert sein. Um die Version zu prüfen, drücken Sie Win + R, geben tpm.msc ein und drücken die Eingabetaste. Unter TPM-Herstellerinformationen sollte bei Spezifikationsversion der Wert 2.0 stehen.
• Geltungsbereich der Konfiguration. Die in diesem Leitfaden beschriebenen Schritte wirken systemweit und werden nicht automatisiert in einer Domäne oder Netzwerkumgebung verteilt.

Methode 1: Schaltfläche „TPM löschen“ über den Editor für lokale Gruppenrichtlinien deaktivieren

In domänengebundenen oder Unternehmensumgebungen sollte der Zugriff auf das TPM geregelt sein. Wenn Endbenutzer:innen das TPM nicht löschen können, vermeiden Sie versehentliche Klicks, die die Sicherheitsfunktionen eines Endpunkts gefährden können.

1. Drücken Sie Win + R, geben Sie gpedit.msc in das Dialogfeld ein und drücken Sie Strg + Umschalt + Eingabetaste.
2. Damit öffnet sich der Editor für lokale Gruppenrichtlinien mit Administratorrechten.
3. Navigieren Sie im Editor für lokale Gruppenrichtlinien zu folgendem Pfad: Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Windows-Sicherheit > Gerätesicherheit.
4. Suchen Sie im rechten Bereich den Eintrag Schaltfläche „TPM löschen“ deaktivieren und doppelklicken Sie darauf.
5. Legen Sie die Richtlinie je nach gewünschter Verfügbarkeit fest:
   • Wählen Sie Nicht konfiguriert: Setzt die Richtlinie auf den Standard zurück und zeigt die Schaltfläche „TPM löschen“ an.
   • Wählen Sie Aktiviert: Setzt die Richtlinie so, dass die Schaltfläche TPM löschen ausgeblendet wird.
6. Klicken Sie nach dem Festlegen der Richtlinie unten im Fenster auf Übernehmen und anschließend auf OK.
7. Starten Sie das System neu, damit die Änderungen wirksam werden.
   • Alternativ können Sie eine Eingabeaufforderung öffnen und gpupdate /force eingeben.

🥷 Schnelltipp: Über den Editor für lokale Gruppenrichtlinien (gpedit.msc) gilt diese Methode zwar nur für den lokalen Rechner, sie lässt sich aber auch zentral als Teil eines Gruppenrichtlinienobjekts in Active Directory über die Gruppenrichtlinien-Verwaltungskonsole (GPMC) verteilen.

Methode 2: Zugriff auf „TPM löschen“ über den Registrierungs-Editor konfigurieren

Auf Rechnern mit Windows 11 Home oder in Umgebungen, in denen der Editor für lokale Gruppenrichtlinien nicht verfügbar ist, bietet die Windows-Registry eine Alternative, um den Zugriff auf die Schaltfläche „TPM löschen“ in der App „Windows-Sicherheit“ zu unterbinden.

⚠️ Achtung: Anders als der Editor für lokale Gruppenrichtlinien bietet die Windows-Registry keine Vorlagen für die Konfiguration. Dadurch können fehlerhafte Änderungen entstehen, die zu Instabilität des Geräts führen. Deshalb empfiehlt es sich, vorab ein Backup Ihrer Registry-Einstellungen anzulegen.

1. Drücken Sie Win + R, geben Sie regedit ein und drücken Sie die Eingabetaste.
2. Navigieren Sie im Registrierungs-Editor zu folgendem Pfad: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\TPM
3. Falls der Schlüssel TPM nicht vorhanden ist, klicken Sie mit der rechten Maustaste auf Microsoft, wählen Neu > Schlüssel und nennen ihn TPM.
4. Suchen Sie im Registrierungsschlüssel TPM den DWORD-Wert (32-Bit) HideClearTPM.
   • Falls HideClearTPM nicht existiert, klicken Sie mit der rechten Maustaste auf TPM und dann auf Neu > DWORD-Wert (32-Bit).
   • Benennen Sie das neu erstellte DWORD mit HideClearTPM.
5. Doppelklicken Sie auf HideClearTPM und passen Sie den Wert an die gewünschte Einstellung an:
   • Der Wert 1 blendet die Schaltfläche „TPM löschen“ aus.
   • Der Wert 0 blendet die Schaltfläche ein.
6. Starten Sie das Gerät neu oder melden Sie sich von Ihrem Konto ab, damit die Änderung wirksam wird.

Optionale Methode: Konfiguration mit PowerShell automatisieren

Die oben beschriebene Registry-Methode auf vielen Endpunkten manuell anzuwenden, ist mühsam und zeitaufwendig. Außerdem schleichen sich leicht Fehler ein, etwa Tippfehler beim Anlegen der Registrierungsschlüssel, die die Konfiguration scheitern lassen.

Dafür lassen sich dieselben Registry-Änderungen als PowerShell-Skript umsetzen, sodass die manuelle Konfiguration der Windows-Registry entfällt. PowerShell sorgt zudem für eine präzise und vorhersehbare Standardisierung der Registry-Änderungen und schließt menschliche Fehler aus, wenn Sie dieselbe Änderung auf mehreren Endpunkten wiederholt anwenden.

1. Drücken Sie Win + R, geben Sie PowerShell ein und drücken Sie Strg + Umschalt + Eingabetaste.
2. Damit öffnen Sie eine PowerShell-Eingabeaufforderung mit erhöhten Rechten.
3. Geben Sie je nach gewünschter Änderung die folgenden Befehle ein:
   • Um die Schaltfläche „TPM löschen“ auszublenden:
     New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\TPM" -Name "HideClearTPM" -PropertyType DWord -Value 1 -Force
   • Um die Schaltfläche „TPM löschen“ einzublenden:
     Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\TPM" -Name "HideClearTPM" -Value 0
4. Schließen Sie die PowerShell-Eingabeaufforderung.

📝 Hinweis: Diese PowerShell-Befehle gelten für alle Benutzer:innen eines lokalen Systems. Um die Änderung auf mehreren Endpunkten wirksam zu verteilen, können Sie sie als Anmeldeskript über Gruppenrichtlinien einrichten oder eine automatisierte Skripting-Engine nutzen.

Weitere Aspekte bei der Verwaltung von TPM-Einstellungen

Wer den Zugriff auf die Funktion „TPM löschen“ verwaltet, sollte auch TPM-abhängige Funktionen, alternative Zugriffswege und Auditing-Verfahren berücksichtigen.

Aspekt 1: BitLocker

Wenn Sie die Funktion „TPM löschen“ aktiviert haben, setzen Sie den BitLocker-Schutz unbedingt aus, bevor Sie das TPM löschen. Andernfalls gehen alle im TPM gespeicherten Schlüssel verloren, einschließlich der BitLocker-Schlüssel. Verschlüsselte Laufwerke wechseln dann in den Wiederherstellungsmodus und benötigen beim Start den BitLocker-Wiederherstellungsschlüssel, um das System zu entsperren.

Aspekt 2: Benutzeroberfläche des Windows-Sicherheitscenters

Mit den Methoden in diesem Leitfaden können Administrator:innen verhindern, dass die Schaltfläche „TPM löschen“ in der App „Windows-Sicherheit“ erscheint. Das deaktiviert allerdings nicht das TPM-Verwaltungswerkzeug des Geräts insgesamt, sondern schränkt lediglich den Zugriff über die grafische Oberfläche für Endbenutzer:innen ein, um versehentliche TPM-Resets zu vermeiden.

Aspekt 3: TPM-Verwaltungswerkzeug

Wie in Aspekt 2 erwähnt, deaktivieren die hier beschriebenen Methoden das TPM-Verwaltungswerkzeug nicht vollständig. Administrator:innen können es weiterhin öffnen und das TPM löschen, indem sie tpm.msc im Dialogfeld „Ausführen“ eingeben. Darüber hinaus lässt sich das TPM auch mit dem Befehl Clear-TPM in einer PowerShell-Eingabeaufforderung mit erhöhten Rechten zurücksetzen.

Für eine vollständige Absicherung der TPM-Einstellungen sind zusätzliche Einschränkungen nötig, etwa die Sperrung von tpm.msc per AppLocker und eine strengere Kontrolle der Administratorrechte in der Umgebung.

Aspekt 4: TPM-Nutzung mit der Ereignisanzeige überwachen

Administrator:innen können Änderungen an den TPM-Einstellungen in der Ereignisanzeige über den Pfad Anwendungs- und Dienstprotokolle > Microsoft > Windows > TPM > Operational nachverfolgen. So lassen sich unbefugte oder versehentliche „TPM löschen“-Ereignisse schneller erkennen. Eine aktive Überwachung des TPM hilft außerdem dabei, Wechsel der TPM-Besitzrechte und versehentliche Aussperrungen zu prüfen.

Verschlüsselte Schlüssel durch kontrollierten Zugriff auf „TPM löschen“ schützen

Das Trusted Platform Module (TPM) speichert sämtliche Verschlüsselungsschlüssel eines Geräts und ermöglicht so den Zugriff auf verschlüsselte Programme und Dateien im System. Ohne saubere Zugriffsverwaltung setzen Endbenutzer:innen das TPM ihres Geräts jedoch womöglich versehentlich zurück, was eine ganze Reihe sicherheitsrelevanter Fehler nach sich zieht.

Um das zu verhindern, können Sie die Schaltfläche „TPM löschen“ über den Editor für lokale Gruppenrichtlinien oder den Registrierungs-Editor deaktivieren und so genauer steuern, wer diese Funktion nutzen darf. Kombinieren Sie diese Methoden mit AppLocker und strengeren Richtlinien für administrative Zugriffe, um die TPM-Einstellungen noch weiter abzusichern.