Windows 11 TPM 2.0 prüfen und aktivieren

TPM 2.0 ist ein Sicherheitschip, den Windows 11 als Systemanforderung voraussetzt.

TPM steht für Trusted Platform Module. Es ist eine Sicherheitskomponente, die kryptografische Schlüssel, Kennwörter und Zertifikate getrennt vom Betriebssystem speichert, sodass Schadsoftware nicht darauf zugreifen kann. Windows 11 setzt Version 2.0 dieses Moduls voraus; ohne TPM 2.0 lässt sich die Installation normalerweise nicht durchführen.

Das Modul gibt es in zwei Formen. Ein diskretes TPM ist ein separater Chip auf dem Mainboard. Ein Firmware-TPM läuft als Teil des Prozessors, bei Intel-Systemen unter dem Namen Intel Platform Trust Technology (PTT) und bei AMD-Systemen als fTPM. Für Windows 11 spielt es keine Rolle, welche Form Sie haben, solange es sich um Version 2.0 handelt und die Funktion aktiviert ist.

Neben der Installationsanforderung verwendet Windows 11 das TPM für Funktionen wie BitLocker-Laufwerkverschlüsselung und Windows Hello. Die Schlüssel dieser Funktionen liegen sicher im Modul, wodurch es schwieriger wird, sie außerhalb Ihres PCs auszulesen.

Microsoft hat TPM 2.0 als Anforderung gewählt, um ein Grundniveau an Hardwaresicherheit auf jedem Windows-11-PC zu gewährleisten. Das Modul ermöglicht es beispielsweise, beim Start zu prüfen, ob Firmware und Startdateien verändert wurden, und Anmeldeinformationen sicher zu speichern. Viele Computer ab Baujahr 2016 verfügen über ein passendes Firmware-TPM, das ab Werk jedoch nicht immer aktiviert ist. Dadurch scheint ein PC manchmal kein TPM zu besitzen, obwohl das Modul vorhanden ist und nur noch aktiviert werden muss.

TPM 2.0 am schnellsten mit der Konsole tpm.msc prüfen.

Die integrierte Verwaltungskonsole zeigt auf einen Blick, ob das TPM vorhanden, bereit und in Version 2.0 ist.

1. Drücken Sie Windows + R, geben Sie tpm.msc ein und bestätigen Sie mit Enter.
2. Sehen Sie sich das Feld Status an. Steht dort, dass das TPM für die Verwendung bereit ist, ist das Modul aktiv.
3. Sehen Sie unter Informationen zum TPM-Hersteller in der Zeile Spezifikationsversion nach. Dort sollte 2.0 stehen.

Sehen Sie stattdessen die Meldung, dass kein kompatibles TPM gefunden werden kann, ist das Modul in der Firmware deaktiviert oder nicht vorhanden. Steht dort eine niedrigere Versionsnummer als 2.0, zum Beispiel 1.2, erfüllt das Gerät die Anforderung von Windows 11 nicht.

Im linken Menü der Konsole sehen Sie außerdem eine Option zum Vorbereiten oder Löschen des TPM. Diese benötigen Sie bei einer normalen Prüfung nicht; sie sind für Verwaltung und Problembehandlung gedacht. Für die Frage, ob Sie für Windows 11 bereit sind, genügen die Statuszeile und die Spezifikationsversion. Notieren Sie sich die Version, denn Sie benötigen sie später, falls Sie die Firmware anpassen müssen.

Get-Tpm in PowerShell für eine textbasierte Prüfung verwenden.

Möchten Sie den Status auf eine Weise auslesen, die Sie kopieren oder in einem Skript verwenden können, ist PowerShell praktischer als die Konsole. Öffnen Sie PowerShell als Administrator und führen Sie aus:

Get-Tpm

Die Ausgabe enthält einige Zeilen, die Ihnen sofort Antwort geben:

• TpmPresent: steht auf True, wenn ein TPM vorhanden ist.
• TpmReady: steht auf True, wenn das Modul einsatzbereit ist.
• TpmEnabled: steht auf True, wenn das Modul aktiviert ist.

Stehen TpmPresent und TpmReady beide auf True, ist Ihr System für Windows 11 bereit. Erscheint eine Fehlermeldung oder stehen die Werte auf False, müssen Sie das Modul wahrscheinlich noch in der Firmware aktivieren.

Möchten Sie die vollständige Anforderungsprüfung von Microsoft durchführen lassen, verwenden Sie die App PC-Integritätsprüfung (PC Health Check). Sie prüft nicht nur TPM 2.0, sondern auch Secure Boot, den Prozessor und den Arbeitsspeicher und meldet in einfacher Sprache, ob Ihr PC für Windows 11 geeignet ist. Nur für den TPM-Status ist Get-Tpm schneller, aber die App liefert ein vollständiges Bild, wenn Sie unsicher sind, ob Sie alle Systemanforderungen erfüllen.

Sicherheitsprozessor in Windows-Sicherheit anzeigen.

Eine dritte Prüfmethode befindet sich direkt in den Einstellungen und zeigt auch sofort die Version an.

1. Öffnen Sie Einstellungen > Datenschutz und Sicherheit > Windows-Sicherheit.
2. Wählen Sie Gerätesicherheit.
3. Klicken Sie unter Sicherheitsprozessor auf Details zum Sicherheitsprozessor.
4. Lesen Sie unter Spezifikationsversion ab, ob dort 2.0 steht.

Sehen Sie unter dem Sicherheitsprozessor gar keinen Eintrag, erkennt Windows kein TPM und Sie müssen es zuerst in der Firmware aktivieren. Erscheint ein Warndreieck mit dem Hinweis, dass der Sicherheitsprozessor Aufmerksamkeit benötigt, klicken Sie darauf; oft genügt ein Neustart oder ein Firmware-Update, um die Meldung zu beheben.

Die drei Methoden liefern dieselben Informationen; wählen Sie diejenige, die Ihnen am angenehmsten ist. Die folgende Übersicht stellt sie gegenüber.

TPM über die UEFI-Firmware aktivieren, wenn das Modul deaktiviert ist.

Ergibt die Prüfung, dass kein TPM gefunden wird, obwohl Ihr System eines besitzt, ist die Funktion oft nur in der Firmware deaktiviert. Sie aktivieren sie in den UEFI-Einstellungen (BIOS).

1. Gehen Sie zu Einstellungen > System > Wiederherstellung und wählen Sie unter Erweiterter Start die Schaltfläche Jetzt neu starten.
2. Wählen Sie nach dem Neustart Problembehandlung > Erweiterte Optionen > UEFI-Firmwareeinstellungen und klicken Sie auf Neu starten.
3. Suchen Sie im UEFI nach einem Abschnitt wie Security, Advanced oder Trusted Computing.
4. Aktivieren Sie die TPM-Option. Bei Intel heißt sie oft Intel PTT oder Intel Platform Trust Technology, bei AMD AMD fTPM oder AMD PSP fTPM switch.
5. Speichern Sie (meist mit F10) und starten Sie neu.

Möchten Sie nicht über Windows in die Firmware gelangen, können Sie das UEFI auch öffnen, indem Sie beim Start sofort eine Taste drücken, meist Entf, F2 oder F10, je nach Hersteller. Der Startbildschirm zeigt oft kurz, welche Taste Sie benötigen. Der Weg über Einstellungen und Erweiterter Start funktioniert jedoch auf jedem PC, auch wenn der Startbildschirm zu schnell vorbeihuscht.

Prüfen Sie nach dem Neustart mit tpm.msc, ob das Modul jetzt erkannt wird. Die genauen Bezeichnungen der Menüs unterscheiden sich je nach Hersteller und Mainboard; die offizielle Anleitung mit Varianten finden Sie bei Microsoft Support.

Nicht erkanntes TPM durch Firmware-Update oder Löschen des TPM beheben.

Manchmal bereitet das Modul nach dem Aktivieren weiterhin Probleme. Diese Schritte helfen dann:

• Aktualisieren Sie die UEFI-Firmware auf die neueste Version. Ältere Firmware erkennt fTPM oder PTT nicht immer zuverlässig.
• Prüfen Sie, ob Secure Boot aktiviert ist; Windows 11 verlangt das zusätzlich zu TPM 2.0.
• Löschen Sie das TPM nur als letzten Ausweg über tpm.msc mit der Option TPM löschen. Dadurch werden gespeicherte Schlüssel entfernt. Tun Sie das nicht, wenn BitLocker aktiv ist, ohne Ihren Wiederherstellungsschlüssel zur Hand zu haben.

Ein häufiger Fall ist, dass das UEFI die TPM-Option zwar anzeigt, Windows nach dem Aktivieren aber immer noch nichts erkennt. Meist hilft es dann, die Firmware-Einstellungen zu speichern, den PC vollständig auszuschalten (nicht nur neu zu starten) und erneut zu starten. Bei AMD-Systemen ist die fTPM-Option manchmal unter einem Untermenü namens AMD CBS oder PSP versteckt, tiefer in den Einstellungen, als Sie erwarten würden. Nehmen Sie sich Zeit, die Menüs in Ruhe durchzugehen, bevor Sie zu dem Schluss kommen, dass Ihr PC kein TPM hat.

Achten Sie auch auf diskrete TPM-Module auf älteren Mainboards: Diese verlangen manchmal eine physische Anwesenheitsbestätigung im UEFI, bevor Windows sie verwenden darf. Das UEFI zeigt dann eine Meldung an, in der Sie die Änderung mit einer Taste bestätigen müssen. Überspringen Sie diesen Schritt nicht, da das Modul sonst trotz Ihrer Einstellung deaktiviert bleibt.

Bei einem PC, den Sie mit einem lokalen Konto eingerichtet haben, verläuft die erneute Einrichtung manchmal anders als bei einem Microsoft-Konto. Mehr dazu lesen Sie unter Windows 11 mit lokalem Konto installieren. Möchten Sie nach einer Hardwareänderung sicherstellen, dass Sie Windows erneut aktivieren können, verknüpfen Sie Ihre Lizenz wie unter Windows digitale Lizenz mit Ihrem Microsoft-Konto verknüpfen beschrieben.

Ohne TPM 2.0 bleiben nur Windows 10 oder ein Hardware-Upgrade.

Erfüllt Ihr Gerät die Anforderung dauerhaft nicht, zum Beispiel weil es nur TPM 1.2 besitzt oder kein Modul unterstützt, gibt es einige realistische Optionen.

Es kursieren Umgehungen, um Windows 11 ohne TPM 2.0 zu installieren, aber diese führen zu einer nicht unterstützten Konfiguration. Eine solche Installation erhält nicht immer Updates und kann bei einem großen Windows-Update an der Systemanforderung scheitern. Für einen PC, den Sie täglich nutzen, ist das ein Risiko, das Sie besser vermeiden; auf Windows 10 zu bleiben oder die Hardware zu aktualisieren, führt zu einem stabileren Ergebnis.

Ziehen Sie neue Hardware in Betracht, bedenken Sie, was mit Ihrer bestehenden Lizenz geschieht. Ein moderner Prozessor enthält fast immer ein Firmware-TPM, sodass Sie bei einem neuen PC nur noch selten an diese Anforderung stoßen.