TPM 2.0 inschakelen op een Windows 11-pc

TPM, oftewel Trusted Platform Module, is een hardwarematige beveiligingsfunctie die in moderne pc’s is ingebouwd. Windows 11 vereist TPM 2.0 voor de installatie, omdat deze chip nodig is voor verschillende beveiligingsfuncties van Windows, waaronder BitLocker, Windows Hello en Secure Boot. Soms is TPM wel aanwezig maar staat het op sommige systemen standaard uitgeschakeld in de firmware.

TPM inschakelen is essentieel in beheerde of zakelijke omgevingen en een onmisbaar onderdeel van de beveiligingsstrategie van elke IT-infrastructuur. Het helpt u te voldoen aan de basisnormen voor hardwarebeveiliging en ondersteunt moderne beveiligingsfuncties. Zoekt u uitleg over hoe u TPM 2.0 inschakelt? Deze gids behandelt verschillende methoden, waaronder TPM-beheer, PowerShell en BIOS of UEFI.

Wilt u dit onderwerp liever visueel uitgelegd zien? Bekijk dan TPM 2.0 inschakelen op een Windows 11-pc

Vereisten om TPM 2.0 in te schakelen op een Windows 11-pc

Voordat u TPM 2.0 op uw pc inschakelt, moet u aan de volgende voorwaarden voldoen:

• Hardwareondersteuning voor TPM 2.0. Uw device moet een Trusted Platform Module 2.0-chip op het moederbord hebben. De meeste pc’s en laptops die na 2016 zijn gemaakt hebben die standaard. Toch is het verstandig de compatibiliteit te controleren, zeker bij oudere systemen.
• Toegang tot de UEFI/BIOS-instellingen. Om dit in te schakelen, moet u de firmware van het systeem openen. Dat doet u door direct na het inschakelen van uw device op een specifieke toets te drukken, zoals F2, DEL of ESC.
• Beheerdersrechten. U moet aangemeld zijn met een Windows-account dat over de juiste rechten beschikt om instellingen te wijzigen in tools als PowerShell en de TPM-beheerconsole.
• Verschillen per OEM (Original Equipment Manufacturer). Afhankelijk van de fabrikant kunnen de TPM-instellingen een andere naam hebben. Op Intel-systemen heet het bijvoorbeeld PTT of Platform Trust Technology, terwijl AMD het fTPM noemt.

De status van TPM 2.0 controleren

Methode 1: de TPM-status controleren met tpm.msc

Met de ingebouwde TPM-beheerconsole controleert u of TPM 2.0 aanwezig en ingeschakeld is op uw systeem. Dit zijn de stappen:

1. Open het dialoogvenster Uitvoeren met de toetsencombinatie Win + R.
2. Typ tpm.msc om de TPM-beheerconsole te starten.
3. Bekijk vervolgens de TPM-status. Let in het venster TPM-beheer op lokale computer op het volgende:
   1. Staat er “De TPM is gereed voor gebruik”, dan is de TPM geïnstalleerd en actief.
   2. Staat er “Er is geen compatibele TPM gevonden”, dan is de chip mogelijk uitgeschakeld in de firmware of helemaal niet aanwezig.
4. Zoek de Specificatieversie in het gedeelte Informatie over TPM-fabrikant. Houd er rekening mee dat Windows 11 versie 2.0 vereist. Staat er 1.2 of ontbreekt de vermelding, dan voldoet uw systeem mogelijk niet aan de TPM-vereiste van Windows.

Methode 2: TPM valideren via PowerShell

U kunt de TPM-status ook valideren met PowerShell als beheerder. Deze methode is uitstekend geschikt voor systeembeheerders of IT-medewerkers die de TPM-status in een beheerde omgeving op meerdere devices moeten controleren.

1. Open PowerShell als beheerder. Let op: u kunt ook Windows Terminal (Admin) gebruiken als dat beschikbaar is.
2. Voer vervolgens de TPM-query uit:

Get-WmiObject -Namespace "Root\CIMV2\Security\MicrosoftTpm" -Class Win32_Tpm

3. Let in de uitvoer op het volgende:
   1. IsEnabled_InitialValue = True – dit geeft aan dat de TPM-hardware is ingeschakeld.
   2. IsActivated_InitialValue = True – dit bevestigt dat de TPM in BIOS/UEFI is geactiveerd.
   3. SpecVersion = 2.0 of hoger – bevestigt dat de TPM-versie voldoet aan de vereiste voor Windows 11.

Hebt u vastgesteld dat de TPM niet wordt gevonden of uitgeschakeld is, schakel deze dan in via de BIOS/UEFI-instellingen. De volgende methode legt uit hoe dat werkt.

TPM 2.0 inschakelen in BIOS/UEFI

De stappen kunnen per device iets verschillen, maar u schakelt TPM 2.0 in via de UEFI- en BIOS-instellingen. Zo gaat u te werk:

1. Start uw computer eerst opnieuw op. Druk zodra het scherm opnieuw opstart op de toets waarmee u BIOS/UEFI opent. Dat kan F2, F10, F12, Delete of Esc zijn, afhankelijk van de configuratie van de pc.
2. Ga in BIOS/UEFI naar Security, Advanced of het gedeelte Trusted Computing. De precieze locatie hangt af van de fabrikant.
3. Zoek TPM op en schakel het in.
   1. Zoek op Intel-systemen naar PTT (Platform Trust Technology) en schakel dit in.
   2. Zoek op systemen met een AMD-chipset naar fTPM (Firmware TPM) of AMD fTPM configuration en schakel dit in.
   3. In sommige BIOS-versies heet de optie TPM Device of Trusted Platform Module.
4. Druk op F10 (of de aangewezen toets) om de wijzigingen op te slaan en opnieuw op te starten.
5. Controleer tot slot via tpm.msc of PowerShell of TPM in Windows is ingeschakeld.

De interfaces verschillen echter per fabrikant. Soms zijn de TPM-opties pas beschikbaar nadat u een firmware-update hebt uitgevoerd.

Group Policy en beveiligingstoepassingen van TPM 2.0

Zodra TPM 2.0 is ingeschakeld, komt een breed scala aan beveiligingsfuncties beschikbaar die u via Group Policy in Windows kunt configureren. Deze functies versterken de systeembeveiliging, beschermen gevoelige gegevens en verkleinen de kans op cyberaanvallen, zeker in zakelijke omgevingen.

Toepassingen van TPM in Group Policy

• BitLocker-stationsversleuteling. TPM slaat versleutelingssleutels veilig op, waarmee stationsversleuteling mogelijk wordt en gegevens beschermd blijven, zelfs als het station wordt verwijderd. Bovendien kunt u BitLocker-beleid afdwingen via Group Policy.
• Credential Guard. Deze functie gebruikt virtualisatiegebaseerde beveiliging om aanmeldreferenties te isoleren van het OS en zo te beschermen tegen malware. TPM wordt gebruikt om geheimen op te slaan en te beveiligen en helpt bij controles van de systeemintegriteit.
• Validatie van Secure Boot. TPM helpt bij het valideren van de integriteit van firmware en bootloader tijdens het opstarten en voorkomt zo dat rootkits en bootkits (soorten malware die de netwerkbeveiliging aanvallen) worden uitgevoerd voordat Windows laadt.

TPM-beleid openen en configureren

1. Open het dialoogvenster Uitvoeren met de sneltoets Win + R, typ gpedit.msc en druk op Enter. Hiermee opent u de Editor voor lokaal groepsbeleid (niet beschikbaar in Windows Home-edities).
2. Ga naar:

Computerconfiguratie > Beheersjablonen > Systeem > Services voor Trusted Platform Module

3. Vervolgens configureert u beleid zoals:
   1. TPM inschakelen of beperken voor BitLocker.
   2. Externe attestatie van TPM-beveiligde devices toestaan, zodat IT-beheerders kunnen vaststellen dat er niet met systemen is geknoeid, ook niet buiten kantoor.
   3. Vereisten voor een TPM-opstartsleutel of pincode afdwingen.

Problemen met TPM 2.0 oplossen

Bij het inschakelen van TPM 2.0 kunt u tegen problemen aanlopen. Hieronder vindt u de meest voorkomende problemen met de bijbehorende oplossingen.

Probleem: TPM wordt niet gedetecteerd

Als de TPM-beheerconsole en PowerShell geen TPM tonen, controleer dan het volgende:

• Firmwareversie. Mogelijk hebt u een verouderde BIOS/UEFI die geen TPM ondersteunt. De beste oplossing is de site van uw systeemfabrikant (HP, Lenovo, Asus enzovoort) te bezoeken om de nieuwste patch te downloaden en het BIOS op uw Windows-pc bij te werken.
• Ontbrekende hardware. Op oudere (van vóór 2016) en zelfgebouwde pc’s is TPM mogelijk niet fysiek aanwezig. Controleer de specificaties van uw moederbord om de fysieke aanwezigheid te bevestigen. U kunt het volgende proberen:
  • Zoek uw moederbordmodel op de website van de fabrikant. De meeste handleidingen bevatten een hoofdstuk over TPM-ondersteuning, waarin u kunt zien of er een header voor een los te plaatsen module aanwezig is.
  • Kijk of er een TPM-header aanwezig is. Sommige desktops hebben een TPM-header op het moederbord waarop u een losse TPM-chip kunt installeren. In dat geval kunt u een compatibele TPM-module bij de fabrikant kopen.
  • Controleer in BIOS/UEFI of er opties voor firmware-TPM (fTPM/PTT) zijn. Veel moderne systemen beschikken over een firmwarematige TPM die u via het BIOS kunt inschakelen. Controleer de BIOS-instellingen nogmaals om zeker te weten dat de chip ontbreekt.

Probleem: BIOS-wachtwoord vereist

Als de firmware-instellingen vergrendeld zijn, hebt u een beheerders- of supervisorwachtwoord nodig om beveiligingsconfiguraties te wijzigen, waaronder het inschakelen van TPM. U kunt de referenties opvragen bij uw IT-afdeling of de handleiding of documentatie van uw fabrikant raadplegen.

Probleem: TPM wordt niet consequent gedetecteerd

Systemen waarop Snel opstarten is ingeschakeld initialiseren de TPM soms niet volledig tijdens een reboot. Volg deze stappen om die functie uit te schakelen:

1. Open het Configuratiescherm en ga naar Energiebeheer.
2. Selecteer vervolgens Het gedrag van de aan/uit-knoppen bepalen en klik daarna op Instellingen wijzigen die momenteel niet beschikbaar zijn.
3. Schakel Snel opstarten inschakelen uit.
4. Start opnieuw op en controleer de TPM-status opnieuw.

Zo reset u de TPM

Als de TPM zich onverwacht gedraagt of eerder in een andere omgeving is gebruikt, kunt u deze resetten via de volgende stappen:

1. Open het dialoogvenster Uitvoeren (Win + R) en typ tpm.msc. Druk op Enter om de TPM-beheerconsole te openen.
2. Selecteer in het rechterdeelvenster TPM wissen. Ziet u die optie niet, klik dan op Vernieuwen.
3. Volg de aanwijzingen en start opnieuw op.

BELANGRIJK: het wissen van de TPM kan sleutels verwijderen die gekoppeld zijn aan functies als BitLocker, waardoor u geen toegang meer krijgt tot versleutelde bestanden. Importeer uw herstel- en versleutelingssleutels en maak er een back-up van om dat te voorkomen.

Met TPM 2.0 houdt u uw Windows 11-systemen veilig

TPM 2.0 inschakelen op uw pc en in beheerde omgevingen is bijzonder belangrijk om te voldoen aan de eisen van Windows 11 en om beveiligingsfuncties als BitLocker en Credential Guard beschikbaar te maken.

U kunt de TPM-status controleren met tpm.msc of PowerShell en nagaan of de versie 2.0 of hoger is. Wordt de chip niet gedetecteerd, ga dan naar uw BIOS-instellingen en schakel PTT en fTPM in. Zodra TPM actief is, kunt u via Group Policy de TPM-beveiligingen afdwingen en er een vast onderdeel van uw bevoorradingsproces van maken.