Was ist das TPM in Windows? — Eine bebilderte Einführung in den „Tresor, der Schlüssel nie herausgibt“ und das gemessene Starten

„Wir haben PCs, auf denen Windows 11 nicht läuft. Es heißt, es gäbe kein TPM.“ — in den vergangenen Jahren ist dieser Satz in praktisch jeder Beratung zur Erneuerung von Firmen-PCs gefallen. Man weiß, dass es „eine Art Sicherheitschip“ ist, aber nur wenige können erklären, was er eigentlich tut und warum er zur Pflicht wurde, geschweige denn, warum ein bloßes BIOS-Update dazu führt, nach dem BitLocker-Wiederherstellungsschlüssel gefragt zu werden.

Das TPM ist kein „Chip, der Verschlüsselung schneller macht“, und auch kein „Chip, der Viren blockiert“. Ganz direkt gesagt, tut es nur zwei Dinge.

1. Es lässt Sie einen privaten Schlüssel verwenden, ohne dass dieser Schlüssel jemals den Chip verlässt.
2. Es zeichnet auf, was beim Start geladen wurde, und gibt Schlüssel nur frei, wenn dieser Datensatz dem erwarteten entspricht.

Sind diese beiden Punkte einmal klar, lässt sich leicht erklären, warum Windows-Sicherheitsfunktionen wie BitLocker, Windows Hello, Credential Guard und die Gerätezustandsbestätigung alle auf demselben Fundament stehen — und warum die Probleme, auf die man in der Praxis stößt, überhaupt entstehen.

Dieser Artikel behandelt zunächst die Funktionsweise des TPM mit Diagrammen, dann wo Windows es einsetzt, wie Sie den Zustand Ihres eigenen PCs prüfen, wie Sie praktische Probleme wie die Aufforderung nach dem Wiederherstellungsschlüssel und das Löschen des TPM handhaben, und schließlich, wie Entwickler das TPM aus ihrer eigenen Anwendung heraus nutzen — alles gestützt auf die offizielle Dokumentation.

1. Das Wichtigste zuerst

Das TPM (Trusted Platform Module) ist ein sicherheitsdedizierter Prozessor, der für das Erzeugen, Speichern und Verwenden kryptografischer Schlüssel zuständig ist.¹ Was es tut, läuft auf die beiden obigen Punkte hinaus.

• Es lässt einen privaten Schlüssel verwenden, ohne den Chip (den Tresor) zu verlassen. Der private Teil eines als nicht exportierbar markierten Schlüssels wird nie einer anderen Software, einem anderen Prozess oder Benutzer offengelegt.²
• Es zeichnet auf, was beim Start geladen wurde (das Kassenbuch). Firmware und Bootloader zeichnen den Hash des Codes, den sie gleich ausführen werden, in einen Bereich namens PCRs auf, bevor sie die Kontrolle übergeben. Ein Schlüssel kann so „versiegelt“ werden, dass er nur freigegeben wird, wenn dieser Datensatz wie erwartet ist, und BitLocker ist das klassische Beispiel dafür.³²

Aus diesen beiden Tatsachen ergeben sich mehrere praktisch nützliche Schlussfolgerungen. Details folgen in den jeweiligen Abschnitten.

• Der Grund, warum eine vierstellige Windows-Hello-PIN sicher ist, liegt darin, dass der Schutz vor Brute-Force-Angriffen (Sperre nach 32 fehlgeschlagenen Authentifizierungen) in Hardware liegt (Abschnitt 2).²
• Die Mindestanforderungen von Windows 11 sind Firmware, die „UEFI, Secure-Boot-fähig“ ist, plus TPM 2.0. Windows 11 IoT Enterprise hat jedoch gelockerte Anforderungen für dedizierte Geräte, und es gibt Konfigurationen, in denen das TPM optional ist (Abschnitt 6).⁴⁵
• Es gibt drei TPM-Implementierungen (dedizierter Chip / integriert / Firmware), aber Windows verwendet sie alle identisch (Abschnitt 5).⁶
• Windows 10/11 initialisieren das TPM automatisch und übernehmen dessen Besitz, sodass Sie normalerweise keinen Grund haben, Einstellungen in tpm.msc anzufassen (Abschnitt 8).¹
• Das Löschen des TPM führt zu Datenverlust. Die Überprüfung von Backups und Wiederherstellungswegen ist zwingend erforderlich, bevor Sie es tun (Abschnitt 9).⁷
• Entwickler sollten CNGs „Microsoft Platform Crypto Provider“ verwenden, statt das TPM direkt anzusprechen (Abschnitt 10).⁸

2. Was ein TPM ist — Ein Tresor, der Schlüssel nie herausgibt

Stellen Sie sich zunächst eine Welt ohne TPM vor. Versuchen Sie, einen privaten Schlüssel allein per Software zu schützen, landet der Schlüssel irgendwann als Klartext im Speicher, weil die CPU den Wert des Schlüssels lesen muss, um eine Signatur oder eine Entschlüsselung zu berechnen. Mit anderen Worten: Er lässt sich grundsätzlich nicht vor Malware verbergen, die den Kernel erreicht hat, oder vor einem Angreifer, der Speicher physisch auslesen kann. Die offizielle Dokumentation sagt genau das: Softwarebasierter Schlüsselschutz ist „Reverse-Engineering-Angriffen ausgesetzt, bei denen der Angreifer analysiert, wie der Schlüssel im Speicher abgelegt und während der Verwendung kopiert wird“.³

Das TPM kehrt diese Ausgangslage um. Schlüssel werden im TPM erzeugt und bleiben im TPM. Anwendungen und das Betriebssystem erhalten nicht den Schlüssel — sie bitten das TPM, eine Aufgabe zu erledigen, und erhalten nur das Ergebnis.

flowchart TB
    subgraph SW["A. Schlüssel allein per Software schützen"]
        A1["App / Betriebssystem"] -->|"lädt den Schlüssel und berechnet"| A2["Privater Schlüssel im Speicher<br/>existiert zu einem Moment als Klartext"]
        A2 -.->|"kann ausgelesen werden"| A3["Malware, die den Kernel erreicht hat<br/>Speicheranalyse, physischer Angriff"]
    end
    subgraph HW["B. Den Schlüssel dem TPM anvertrauen"]
        B1["App / Betriebssystem"] -->|"sendet nur die Anfrage:<br/>dies signieren / jenes entschlüsseln"| B2["TPM"]
        B2 --> B3["Rechnet intern mit dem privaten Schlüssel<br/>der Schlüssel verlässt den Chip nie"]
        B3 -->|"gibt nur das Ergebnis zurück"| B4["App / Betriebssystem erhält nur<br/>die Signatur oder die entschlüsselten Daten"]
        B5["Malware, die den Kernel erreicht hat<br/>Speicheranalyse, physischer Angriff"] -.->|"kann den Schlüssel selbst nicht extrahieren"| B2
    end
    SW ~~~ HW

Abbildung 1: Schlüssel allein per Software schützen im Vergleich zum Anvertrauen an das TPM

Der wichtige Punkt hier ist, dass das TPM passiv ist. Es überwacht nichts aus eigenem Antrieb und hält keine Viren ab. Es ist eine Komponente, die Befehle empfängt und Antworten zurückgibt, nicht mehr.⁶ Genau deshalb erfordert die Nutzenextraktion aus dem TPM, dass der OEM (der PC-Hersteller) Hardware und Firmware sorgfältig integriert, und Windows baut seine Funktionen auf dieser Annahme auf.

Die andere Säule ist der Schutz vor Brute-Force-Angriffen. Ein vom TPM geschützter Schlüssel kann mit einem Autorisierungswert wie einer PIN versehen sein. Schlagen Rateversuche für diesen Wert eine bestimmte Anzahl Mal fehl, verweigert das TPM weitere Versuche und sperrt. Für TPM 2.0 konfiguriert Windows dieses Verhalten so: konkret Sperre nach 32 fehlgeschlagenen Authentifizierungen, wobei alle 10 Minuten ein Fehlschlag vergessen wird. Nach 320 Minuten ohne jeden Fehlschlag kehrt der gemerkte Fehlerzähler auf null zurück.²

Die Tatsache, dass das Versuchslimit in Hardware liegt, ist es, was das funktionieren lässt. Zählt man Fehlschläge in Software, kann ein Angreifer das durch Neustart, Zurückstellen der Systemuhr oder Wiederherstellen der Zählerdatei aushebeln. Mit einem TPM kann er das nicht.³ Genau das ist die Grundlage dafür, dass eine vierstellige Windows-Hello-PIN sicherer ist als ein Passwort.

3. Im Inneren des TPM — EK, SRK, PCR und NVRAM

Das TPM enthält mehrere Elemente mit unterschiedlichen Rollen. Die Namen ähneln sich und lassen sich leicht verwechseln, legen wir ihre relative Position also mit einem Diagramm fest.

flowchart TB
    TPM["TPM 2.0"]
    TPM --> EK["EK / Endorsement Key<br/>abgeleitet aus einem bei der Herstellung gesetzten Seed<br/>wird mit Herstellerzertifikat ausgeliefert"]
    TPM --> SRK["SRK / Storage Root Key<br/>der übergeordnete Schlüssel, der andere Schlüssel umhüllt"]
    TPM --> PCR["PCR 0-23<br/>kumuliert Startmessungen"]
    TPM --> NV["NVRAM<br/>kleiner Bereich, der Stromausfall übersteht"]
    EK --> AIK["AIK / Attestierungsschlüssel<br/>die nach außen anstelle des EK präsentierte Identität"]
    SRK --> K1["BitLocker-Schlüssel"]
    SRK --> K2["Windows-Hello-Schlüssel"]
    SRK --> K3["Zertifikat-Privatschlüssel"]
    PCR -.->|"gebunden, sodass Freigabe<br/>nur bei diesen Werten möglich ist"| K1

Abbildung 2: Die wichtigsten Komponenten des TPM und die Eltern-Kind-Beziehungen zwischen Schlüsseln

Der EK (Endorsement Key) ist ein für dieses TPM eindeutiges asymmetrisches Schlüsselpaar. Die private Hälfte wird im TPM gehalten und niemals nach außen offengelegt oder von außen zugänglich gemacht.² Er wird mit einem vom Hersteller signierten EK-Zertifikat geliefert, das bezeugt, dass „dieser Schlüssel sich tatsächlich in einem von uns hergestellten TPM befindet“. Das ist es, was Ihnen erlaubt, ein echtes TPM von Malware zu unterscheiden, die eines vortäuscht.³

Beachten Sie, dass Microsofts Dokumentation den EK als RSA-Schlüsselpaar beschreibt,² diese Formulierung stammt jedoch aus der Ära von TPM 1.2. Das unveränderliche, bei der Herstellung in einen TPM-2.0-Chip geschriebene Geheimnis ist streng genommen ein Seed namens Endorsement Primary Seed, und der EK wird über ein festes Verfahren (eine Vorlage) aus diesem Seed abgeleitet. Die Ableitung aus demselben Seed ergibt stets denselben Schlüssel, sodass der EK zwar neu erzeugt werden kann, aber dennoch faktisch ein für dieses TPM eindeutiger Schlüssel bleibt. Sowohl RSA- als auch ECC-EKs lassen sich ableiten, und es ist nicht ungewöhnlich, dass ein reales Gerät beide verfügbar hat.

Den EK direkt offenzulegen würde jedoch den PC eindeutig identifizieren und ein Datenschutzproblem schaffen. Reale Szenarien verwenden daher einen AIK (Attestation Identity Key). Eine Zertifizierungsstelle nutzt den EK und dessen Zertifikat, um zu belegen, dass „dieser AIK innerhalb eines echten TPM existiert“, und stellt ein AIK-Zertifikat aus. Da Sie pro vertrauender Partei einen anderen AIK verwenden können, können mehrere Prüfer nicht zusammenarbeiten, um dasselbe Gerät zu verfolgen.³

Der SRK (Storage Root Key) ist der übergeordnete Schlüssel, der zum Umhüllen anderer Schlüssel verwendet wird. Das TPM kann einen von ihm erzeugten Schlüssel verschlüsseln und nach außen ausgeben, und dieser Schlüssel lässt sich nur von genau diesem TPM entschlüsseln. Dieser Vorgang wird „Wrapping“ oder „Binding“ genannt.² Mit anderen Worten: Auch wenn der interne Speicher des TPM klein ist, können Sie effektiv beliebig viele Schlüssel halten, indem Sie sie verschlüsselt auf externem Speicher ablegen.

Die PCRs (Platform Configuration Registers) sind spezielle Register, die Messwerte zum Startzeitpunkt kumulieren. Es gibt 24 davon, nummeriert 0 bis 23, jedes mit einem definierten Zweck.⁹ Ihre entscheidende Eigenschaft ist, dass Sie nicht direkt einen beliebigen Wert schreiben können; der Wert lässt sich nur mit einer Extend-Operation vorantreiben. Extend ist eine Einwegoperation, die den aktuellen Wert mit dem neuen Messwert verkettet, das Ergebnis hasht und dies zum neuen Wert macht — es ist daher grundsätzlich unmöglich, „nur die unbequemen Einträge unterwegs zu löschen“. Die Werte werden beim Neustart zurückgesetzt.³

Beachten Sie, dass TPM 2.0 auch PCRs mit einem rücksetzbaren Attribut besitzt (für DRTM und Anwendungszwecke). Die PCRs jedoch, die BitLocker zum Versiegeln verwendet (0, 2, 4, 7 und 11), sind statische Measured-Boot-PCRs und lassen sich vor einem Neustart nicht zurücksetzen. Die Erklärungen in diesem Artikel gehen von diesen aus.

NVRAM ist ein kleiner nichtflüchtiger Bereich, der etwa Zertifikate hält. TPM 2.0 verbessert gegenüber TPM 1.2 Algorithmen, Kryptografie, Hierarchien, Root-Schlüssel, Autorisierung und NVRAM.⁶

4. Measured Boot und PCRs — Warum „ein geändertes Starten nicht öffnet“

Die andere Säule des TPM ist Measured Boot. Das ist der Schlüssel zum Verständnis, wie sich BitLocker verhält.

4.1. Was „Messung“ tatsächlich bedeutet

Machen wir zunächst das Wort „Messung“ konkret. Messung bedeutet hier nicht das Messen einer physikalischen Größe wie Gewicht oder Temperatur. Es bedeutet, einen Hash über die gesamte Bytefolge des Programms oder der Konfigurationsdaten zu berechnen, die gleich ausgeführt werden. Ein Hash ist ein Wert fester Länge, der wie ein „Fingerabdruck des Inhalts“ wirkt, mit folgenden Eigenschaften.

• Derselbe Inhalt liefert immer denselben Wert, egal wer ihn berechnet oder wann.
• Unterscheidet sich der Inhalt auch nur um ein Byte, ist der Wert völlig anders.
• Den ursprünglichen Inhalt aus dem Wert zurückzugewinnen, ist praktisch unmöglich.

Zum Beispiel wird abc, mit SHA-256 gehasht, zu

ba7816bf8f01cfea414140de5dae2223b00361a396177a9cb410ff61f20015ad

und abd, das sich nur im letzten Zeichen unterscheidet, wird zu

a52d159f262b2c6ddb724a61840befc36eb30c88877a4030b65cbe86298449c9

Ein Unterschied von einem Zeichen ändert den Wert vollständig, und der Vergleich der beiden Werte lässt nicht einmal einen Hinweis darauf, dass die Inhalte ähnlich waren. Sie können den SHA-256-Wert jeder Datei mit PowerShells Get-FileHash berechnen und sich so selbst ein Gefühl für diesen „Fingerabdruck“ verschaffen.

Kurz gesagt: „Startmessungen“ sind die Hashes jeder Firmware, jedes Bootloaders und jeder Konfiguration, die während des Startvorgangs ausgeführt wird. Stimmen alle Messwerte mit dem vorherigen Start überein, können Sie feststellen, dass „die am Start beteiligte Software und Konfiguration exakt dieselbe war wie beim letzten Mal“. Wurde umgekehrt der Bootloader manipuliert oder der Rechner mit einem anderen Betriebssystem gestartet, ändert sich der entsprechende Messwert zwangsläufig. Das ist das Fundament von Measured Boot.

4.2. Die Messkette — Messen, bevor man ausführt, was man lädt

Der Mechanismus ist einfach. Innerhalb der Systemfirmware gibt es einen bedingungslos vertrauten Ausgangspunkt namens CRTM (Core Root of Trust for Measurement). Das CRTM hasht die als Nächstes auszuführende Softwarekomponente bedingungslos und zeichnet diesen Messwert im TPM auf. Jede nachfolgende Komponente tut dasselbe — Sie messen, was Sie laden, bevor Sie es ausführen. Da der Messwert vor der Ausführung gesendet wird, kann eine Komponente ihren eigenen Messwert nicht aus dem TPM löschen.³

sequenceDiagram
    autonumber
    participant FW as UEFI-Firmware CRTM
    participant BM as Windows Boot Manager
    participant OS as Windows-Kernel
    participant T as TPM

    FW->>T: Erweitert den Hash des als Nächstes auszuführenden Codes
    Note over T: PCR 0 / 2 / 4 / 7 werden aktualisiert
    FW->>BM: Übergibt die Kontrolle
    BM->>T: Fordert die Freigabe des versiegelten BitLocker-Schlüssels an
    alt PCRs stimmen mit den Werten zum Versiegelungszeitpunkt überein
        T-->>BM: Gibt den Schlüssel zurück
        BM->>BM: Entschlüsselt das Betriebssystem-Volume
        BM->>T: Erweitert um Kernel, ELAM, Boot-Treiber
        Note over BM,T: Vor der Ausführung messen, dann übergeben
        BM->>OS: Übergibt die Kontrolle und startet Windows
    else PCRs weichen ab
        T-->>BM: Gibt den Schlüssel nicht zurück
        BM->>BM: Wechselt zur Aufforderung des Wiederherstellungsschlüssels
    end

Abbildung 3: Measured Boot und die Freigabe des BitLocker-Schlüssels

Der Grund, warum das Diagramm „den Kernel nach dem Entschlüsseln messen“ in dieser Reihenfolge zeigt, liegt darin, dass gemäß dem Prinzip von Measured Boot alles, was geladen wird, vor der Ausführung gemessen wird. Der Windows-Bootloader verifiziert die digitale Signatur des Kernels, bevor er ihn lädt, und der Kernel wiederum verifiziert die Boot-Treiber, Startdateien und ELAM — eine Kette.¹⁰ Sich selbst erst nach dem Start des Kernels zu messen, würde erlauben, die Messung zu überspringen, was sinnlos wäre.

BitLocker erzeugt im TPM einen Schlüssel, der nur verwendet werden kann, wenn diese Messwerte den erwarteten Werten entsprechen. Die erwarteten Werte werden zu dem Zeitpunkt berechnet, an dem der Windows Boot Manager vom Betriebssystem-Volume der Systemfestplatte läuft. Wird der Rechner mit einem anderen Betriebssystem gestartet oder die Konfiguration geändert, ändern sich die Messwerte im TPM, das TPM erlaubt die Verwendung des Schlüssels nicht, und das verschlüsselte Betriebssystem-Volume kann nicht entschlüsselt werden.³

Welche PCRs werden also tatsächlich beobachtet? Hier das Standard-Plattformvalidierungsprofil für eine native UEFI-Konfiguration.⁹

Standardmäßig sind PCR 0, 2, 4 und 11 die Versiegelungsziele. Wird der Secure-Boot-Zustand (PCR 7) unterstützt, verwendet die Versiegelung jedoch stattdessen PCR 7 und PCR 11.⁹ Das ist eine wichtige Unterscheidung. PCR 0/2/4 sind Hashes der Firmware- und Boot-Manager-Images selbst, ihre Werte ändern sich also bei jedem Firmware-Update, und Sie landen in der Wiederherstellung. PCR 7 dagegen misst, „ob Secure Boot aktiviert ist und welchen Schlüsseln vertraut wird“, sodass sich der Wert bei gleichbleibendem Signierer nicht ändert, wenn das Image aktualisiert wird. Microsoft erklärt, dass die Bindung an PCR 7 die Wahrscheinlichkeit senkt, nach Firmware- oder Image-Updates in die Wiederherstellung zu geraten.⁹

Die Art, wie PCR 11 verwendet wird, ist etwas ungewöhnlich und ein ziemlich cleverer Trick. Der antizipierte Angriff ist einer, bei dem der Angreifer den Rechner des Opfers so belässt, wie er ist (Hardware und Firmware bleiben erhalten), und nur die Betriebssystemfestplatte gegen eine eigene austauscht. Der Schlüssel ist an das ursprüngliche TPM versiegelt, den gesamten Rechner zu wechseln wäre also sinnlos — der Sinn liegt darin, das TPM des Opfers weiter zu nutzen. Der Angreifer extrahiert den versiegelten BitLocker-Schlüssel-Blob aus den Metadaten auf der Betriebssystempartition des Opfers, startet ein Betriebssystem unter eigener Kontrolle, ruft die TPM-API auf und versucht, diesen Schlüssel-Blob zu entsiegeln.

Das funktioniert nicht, weil Windows beim Versiegeln des Schlüssels PCR 11 auf 0 setzt, und der Boot Manager PCR 11 stets auf 1 ändert, wenn er die Kontrolle an den nächsten Bootloader übergibt (legitim oder nicht). Sobald das Betriebssystem des Angreifers läuft, hat der Boot Manager die Kontrolle bereits abgegeben, und PCR 11 ist definitiv nicht mehr 0. Selbst auf demselben Rechner mit demselben TPM lässt sich der Schlüssel daher ab keiner späteren Stufe als dem Boot Manager mehr anfordern.¹¹

Beachten Sie, dass auch Secure Boot selbst Teil der Verteidigung von BitLocker ist. Standardmäßig nutzt BitLocker den Integritätsschutz von Secure Boot über die PCR-7-Messung und verhindert so, dass nicht autorisierte EFI-Firmware, EFI-Boot-Anwendungen und Bootloader starten und den BitLocker-Schlüssel erlangen.¹¹

5. dTPM, fTPM und Pluton — Unterschiede in der Implementierung

Weil sich der Ausdruck „TPM-Chip“ eingebürgert hat, nehmen Menschen tendenziell an, das TPM müsse eine eigenständige Komponente sein, aber es gibt drei Implementierungen.⁶

flowchart LR
    C1["CPU"] ---|"LPC-/SPI-Bus"| T1["Dedizierter TPM-Chip<br/>= diskret, dTPM"]
    C2["CPU-/Chipsatz-<br/>Gehäuse"] --> T2["Dedizierte Hardware im selben Gehäuse<br/>logisch getrennt<br/>= integriert"]
    C3["Allzweck-CPU"] --> T3["Firmware-Implementierung, die in<br/>einer vertrauenswürdigen Ausführungsumgebung (TEE) läuft<br/>= Firmware, fTPM"]
    C4["SoC"] --> T4["Von Microsoft entworfener<br/>Sicherheitsprozessor<br/>= Pluton"]

Abbildung 4: Die drei TPM-Implementierungen und Pluton als deren Erweiterung

• Ein diskretes TPM (dTPM) ist ein dedizierter Chip in einem eigenen Halbleitergehäuse. Er wird auf dem Mainboard verbaut, mit dem Vorteil, dass der OEM ihn getrennt vom System selbst bewerten und zertifizieren kann.⁶
• Ein integriertes TPM ist als dedizierte Hardware implementiert, die im selben Gehäuse wie andere Komponenten sitzt, aber logisch getrennt ist.⁶
• Ein Firmware-TPM (fTPM) führt das TPM als Firmware innerhalb der vertrauenswürdigen Ausführungsumgebung (TEE) einer Allzweck-Recheneinheit aus.⁶ Es eignet sich für kleine, stromsparende Geräte, bei denen ein dedizierter Chip nicht praktikabel ist.

Windows verwendet jedes kompatible TPM auf exakt dieselbe Weise. Microsoft bezieht keine Position dazu, wie ein TPM implementiert sein sollte, und sagt, ein breites Ökosystem diene jeder Art von Bedürfnis.⁶ Mit anderen Worten: Ein fTPM ist nicht „zweite Klasse“.

Darüber hinaus treibt Microsoft Pluton die integrierte Form einen Schritt weiter. Es ist ein sicherer kryptografischer Prozessor, der in die CPU eingebaut ist, von Microsoft entworfen und von Silizium-Partnern gefertigt, konzipiert, um TPM-Funktionalität bereitzustellen und gleichzeitig Sicherheitsfunktionen zu bieten, die über den Umfang der TPM-2.0-Spezifikation hinausgehen.¹² Stand 2026 ist Pluton auf Windows-11-Rechnern mit folgenden Chipsätzen verfügbar.¹²

• AMD: Ryzen-6000-/7000-/8000-/9000-Serien, Ryzen-AI-Serien
• Intel: Core-Ultra-200V-Serie, Core-Ultra-Serie-3-Prozessoren
• Qualcomm: Snapdragon 8cx Gen 3, Snapdragon-X-Serien

Betrieblich ist das Unterscheidungsmerkmal von Pluton, dass es zwei Firmware-Update-Pfade gibt. Neben dem herkömmlichen UEFI-Capsule-Update der Firmware im SPI-Flash des Mainboards kann neue Pluton-Firmware dynamisch über Betriebssystem-Updates geladen werden. Beim Systemstart initialisiert es aus der Firmware im SPI-Flash, und während des Windows-Starts wird die über Windows Update erhaltene neueste Version (falls vorhanden) geladen.¹² Die Aussicht, dass eine Korrektur verteilt wird, ohne auf das BIOS-Update des PC-Anbieters warten zu müssen, wenn eine Schwachstelle in der TPM-Firmware gefunden wird, ist in der Praxis eine willkommene Eigenschaft.

6. TPM 1.2 gegenüber 2.0 und die Windows-11-Anforderungen

Wer mit älteren PCs zu tun hat, trifft weiterhin auf TPM 1.2. Der Unterschied zwischen beiden ist mehr als „die Version ist gestiegen“.⁶

SHA-1 ist der Teil, der am stärksten beißt. NIST verlangte von den meisten US-Bundesbehörden ab 2014 den Wechsel zu SHA-256, und Microsoft und Google beendeten 2017 die Unterstützung für auf SHA-1 basierende Signaturen und Zertifikate. Da die TPM-1.2-Spezifikation nur SHA-1 verwenden kann, kann sie diesem Trend nicht folgen.⁶

Dann ist da Windows 11. Die Mindestanforderungen sind eine 64-Bit-CPU auf der Kompatibilitätsliste, 4 GB Arbeitsspeicher, 64 GB Speicherplatz, eine mit DirectX 12 oder höher kompatible Grafikkarte mit WDDM-2.0-Treiber, ein Display mit mindestens 720p, größer als 9 Zoll, mit 8 Bit pro Farbkanal, Systemfirmware, die „UEFI, Secure-Boot-fähig“ ist, und TPM 2.0.⁴

Lesen Sie das genau. Was die Mindestanforderung verlangt, ist, Secure-Boot-fähig zu sein, nicht, es aktiviert zu haben.⁴ Sie erfüllen die Anforderung auch mit deaktiviertem Secure Boot, es besteht also keine Notwendigkeit, UEFI-Einstellungen allein für den Umstieg auf Windows 11 anzufassen. Aktivieren Sie Secure Boot jedoch und erfüllt die Plattform die Anforderungen für die PCR-7-Bindung, bindet BitLocker an PCR 7 und gerät seltener in die Wiederherstellung (Abschnitt 4). Das Aktivieren allein bewirkt das nicht automatisch, prüfen Sie also über manage-bde -protectors -get C:, an welche PCRs Sie tatsächlich gebunden sind. Die korrekte Sichtweise ist, es wegen dieses praktischen Nutzens zu aktivieren, nicht weil es eine Anforderung ist.

Ein weiterer leicht übersehener Punkt ist, dass TPM 2.0 in den alten oder CSM-Modi (Compatibility Support Module) des BIOS nicht unterstützt wird. Geräte mit TPM 2.0 müssen ihren BIOS-Modus als „nur natives UEFI“ konfiguriert haben, und die Legacy-/CSM-Optionen müssen deaktiviert sein.⁶

Das schafft in der Praxis eine unangenehme Situation, denn ein im Legacy-Modus installiertes Betriebssystem startet nicht mehr, sobald Sie den BIOS-Modus auf UEFI ändern. Bevor Sie den BIOS-Modus ändern, müssen Sie mit dem Werkzeug MBR2GPT das Betriebssystem und die Festplatte in einen UEFI-fähigen Zustand bringen.⁶ Rechner, die „ein TPM haben, aber nicht auf Windows 11 aktualisiert werden können“, befinden sich oft genau in diesem Zustand. Das Gesamtbild zur Entscheidung, wie von Windows 10 migriert werden soll, ist dargelegt in „Eine realistische Antwort nach dem Support-Ende von Windows 10 — Eine Entscheidungstabelle für ESU, LTSC und Ersatz“.

Beachten Sie auch, dass für die Gerätezustandsbestätigung Windows TPM 2.0 unterstützt, und selbst ein Gerät mit TPM 2.0 nicht wie erwartet funktioniert, wenn es ein Legacy-BIOS ausführt.¹

6.1. Die Ausnahme — TPM ist auf Windows 11 IoT Enterprise optional

Alles Obige zu „Windows 11 erfordert TPM 2.0“ gilt für die allgemeinen PC-Editionen. Windows 11 IoT Enterprise hat separat definierte, gelockerte Mindestanforderungen für dedizierte Geräte, und auf IoT Enterprise LTSC (sowie Nicht-LTSC ab 24H2) sind sowohl TPM als auch Secure Boot Optional.⁵ Bei Industrie-PCs und eingebetteten Geräten kann dieses Wissen die Schlussfolgerung umkehren, „dieses Board kann kein Windows 11 ausführen“.

Die offizielle Anforderungstabelle hat zwei Spalten: PREFERRED und OPTIONAL (das Minimum für dedizierte Geräte).⁵

Es gibt drei Vorbehalte.

• Das bedeutet nicht „LTSC heißt kein TPM nötig“. Die gelockerten Anforderungen sind für IoT Enterprise definiert; Windows 11 Enterprise LTSC (ohne IoT) wird wie die allgemeinen PC-Editionen behandelt. Die Namen ähneln sich und werden verwechselt, aber die Schlussfolgerung ändert sich je nachdem, welche Lizenz Sie beschaffen.
• Nicht-LTSC IoT Enterprise unterscheidet sich je nach Version. In den OPTIONAL-Anforderungen für 21H2 bis 23H2 ist TPM 2.0 weiterhin erforderlich (nur Secure Boot ist optional); das TPM wird erst ab 24H2 optional.⁵
• Prozessoranforderungen sind separat. Selbst mit optionalem TPM und Secure Boot ist die Liste der unterstützten Prozessoren separat definiert, prüfen Sie sie also unbedingt.⁵

Microsoft selbst fügt einen Hinweis dazu hinzu, was die Wahl der gelockerten Anforderungen bedeutet: Sie sollten sorgfältig überlegen, bevor Sie Anforderungen auf einem Gerät senken, dem Endbenutzer später Software hinzufügen können, da das Fehlen eines TPM die von diesen Endbenutzern benötigte Software beeinträchtigen kann.⁵ Ohne TPM kann BitLocker Schlüssel nicht an den Startzustand versiegeln, und Windows-Hello-Schlüssel fallen auf Softwareschutz zurück. Wechseln Sie Ihre Perspektive von „es passend machen, um die Anforderung zu erfüllen“ zu „es passend machen, um den Schutz zu erhalten, den dieses Gerät braucht“.

Das Gesamtbild der Wahl zwischen IoT Enterprise und LTSC sowie der Lizenzbeschaffung ist dargelegt in „Welches Windows sollte auf einen Industrie-PC? — Ein praktischer Leitfaden zu Windows IoT Enterprise / LTSC“.

7. Wo Windows das TPM tatsächlich einsetzt

Zu hören, „ein TPM ist erforderlich“, ist schwer zu akzeptieren, wenn Sie nicht sehen können, von welchen alltäglichen Funktionen es abhängt. Hier eine Übersicht.

flowchart LR
    TPM["TPM 2.0"]
    TPM --> BL["BitLocker / Geräteverschlüsselung<br/>versiegelt Schlüssel an den Startzustand"]
    TPM --> WH["Windows Hello<br/>schützt an eine PIN oder Biometrie gebundene Schlüssel<br/>Brute-Force-Schutz macht kurze PINs sicher"]
    TPM --> CG["Credential Guard<br/>schützt Schlüssel der isolierten Umgebung durch Messung"]
    TPM --> MB["Measured Boot / Remote-Attestierung<br/>stellt eine signierte Zusammenfassung des Startzustands aus"]
    TPM --> HA["Gerätezustandsbestätigung<br/>Eingabe für die bedingten Zugriffsrichtlinien des MDM"]
    TPM --> PCP["Platform Crypto Provider<br/>macht Zertifikat-Privatschlüssel nicht exportierbar"]

Abbildung 5: Die wichtigsten auf dem TPM aufbauenden Windows-Sicherheitsfunktionen

BitLocker / Geräteverschlüsselung. Wie in Abschnitt 4 behandelt. Es gibt vier Entsperrmethoden — nur TPM, TPM + PIN, TPM + Startschlüssel und TPM + PIN + Startschlüssel —, und „nur TPM“ wird als die bequemste, aber weniger sichere Methode beschrieben im Vergleich zu jenen, die einen zusätzlichen Authentifizierungsfaktor erfordern.¹¹

Beachten Sie, dass sich die Voraussetzungen für die Geräteverschlüsselung (den Mechanismus, der BitLocker automatisch aktiviert) in den vergangenen Jahren geändert haben. Früher musste die Erfüllung der Modern-Standby- oder HSTI-Anforderungen sowie das Fehlen DMA-fähiger externer Anschlüsse gegeben sein, aber ab Windows 11 Version 24H2 wurden diese Voraussetzungen entfernt, und weit mehr Rechner sind nun abgedeckt.¹³ Die Behauptung in älteren Beiträgen, „es funktioniert nur auf Modern-Standby-Rechnern“, gilt ab 24H2 nicht mehr. Sie können prüfen, ob ein bestimmter Rechner qualifiziert, unter „Device Encryption Support“ in msinfo32.exe (Systeminformationen).¹³

Windows Hello / Windows Hello for Business. Die Authentifizierung kombiniert einen pro Gerät bereitgestellten Schlüssel mit einer PIN oder Biometrie. Existiert ein TPM, schützt das TPM den Schlüssel; andernfalls wird er per Software geschützt. Biometrische Daten werden auf diesem Gerät nur verwendet, um auf den bereitgestellten Schlüssel zuzugreifen, und nicht zwischen Geräten geteilt.³ Auf einem Gerät mit TPM kann der Schlüssel nicht anderswohin kopiert werden, was Ihnen die Eigenschaft verschafft, dass durchgesickerte Anmeldedaten auf einem anderen Gerät nicht verwendet werden können.

Credential Guard. Diese Funktion führt Anmeldedaten-Hashing in einem isolierten, vom Kernel unzugänglichen Speicherbereich durch. Dieser isolierte Bereich wird während des Startvorgangs initialisiert und geschützt, und Credential Guard nutzt das TPM, um seine Schlüssel durch Messung zu schützen. Die Schlüssel sind nur in der Startphase zugänglich, in der der isolierte Bereich initialisiert wird, und stehen dem normalen Kernel nicht zur Verfügung.³

Measured Boot und Remote-Attestierung. Mit einem AIK kann das TPM eine kryptografisch über den aktuellen Messzustand signierte Aussage (ein Quote) erzeugen. Diese an eine entfernte Partei zu senden, belegt, „mit welcher Software und Konfiguration der Rechner gestartet und das Betriebssystem initialisiert hat“.³ Die Messung endet beim Ausgangszustand von Windows, sie enthält also keine datenschutzsensiblen Informationen wie etwa, welche Anwendungen Sie nutzen.³

Gerätezustandsbestätigung. Microsofts Health-Attestation-Dienst stellt AIK-Zertifikate für TPMs mehrerer Hersteller aus, parst die Measured-Boot-Informationen und verwandelt sie in einfache Aussagen wie „ist BitLocker an“, „ist Secure Boot an“ und „ist DEP aktiviert“. MDM-Systeme (etwa Intune) können diese Aussagen dann nutzen, um ein Gerät zu isolieren oder den Zugriff auf Cloud-Dienste zu blockieren, ohne den komplexen Quote selbst parsen zu müssen.¹³

Platform Crypto Provider. Dies schützt Zertifikat-Privatschlüssel mit dem TPM. Eine Zertifikatvorlage kann „den Platform Crypto Provider des TPM verwenden“ angeben, und ein als nicht exportierbar konfigurierter Zertifikat-Privatschlüssel kann nicht aus dem TPM entnommen werden. Erfordert das Zertifikat eine PIN, greift der Brute-Force-Schutz des TPM automatisch.³ Das ist der für Entwickler relevante Einstiegspunkt, der in Abschnitt 10 behandelt wird.

Virtuelle Smartcards. Diese Funktion lässt das TPM sich verhalten wie „eine stets eingesteckte Smartcard“ und beseitigt so die Kosten für den Kauf und die Verteilung physischer Karten und Lesegeräte.³ Microsoft empfiehlt Nutzern virtueller Smartcards inzwischen jedoch, zu Windows Hello for Business oder FIDO2-Sicherheitsschlüsseln zu wechseln.² Es bleibt als vorhandener Bestand erhalten, ist aber nicht die Richtung, die man für ein neues Design wählen sollte.

8. Das TPM Ihres eigenen PCs prüfen

Ab hier wird es praktisch. Zunächst ist zu beachten, dass Windows 10/11 das TPM automatisch initialisieren und dessen Besitz übernehmen. Es besteht daher normalerweise keine Notwendigkeit, Einstellungen in der TPM-Verwaltungskonsole (tpm.msc) anzufassen, und Microsoft erklärt: „In den meisten Fällen empfehlen wir, die Konfiguration über tpm.msc zu vermeiden.“ Die Ausnahmen sind Situationen im Zusammenhang mit dem Zurücksetzen oder der Neuinstallation des PCs.¹ Übrigens endete die aktive Weiterentwicklung der TPM-Verwaltungskonsole mit Windows Server 2019 / Windows 10 Version 1809.¹

8.1. Betrachtung in der grafischen Oberfläche

• Win + R → tpm.msc öffnet die TPM-Verwaltungskonsole. Sie zeigt an, ob ein TPM vorhanden ist, dessen Zustand, Spezifikationsversion und Hersteller.
• Dieselben Informationen finden Sie unter Gerätesicherheit → Details des Sicherheitsprozessors in der Windows-Sicherheit. Von diesem Bildschirm aus gelangen Sie zu Fehlerbehebung beim Sicherheitsprozessor → TPM löschen (in Abschnitt 9 behandelt — drücken Sie es nicht leichtfertig).⁷

8.2. Betrachtung in PowerShell

Untersuchen Sie mehrere Rechner, ist PowerShell der verlässliche Weg. Das Modul TrustedPlatformModule verfügt über einen vollständigen Satz an Cmdlets.¹⁴

# Den TPM-Zustand auf einen Schlag prüfen (als Administrator ausführen)
Get-Tpm

Die Ausgabe sieht so aus.¹⁵

TpmPresent                : True
TpmReady                  : True
TpmEnabled                : True
TpmActivated              : True
TpmOwned                  : True
ManufacturerIdTxt         : INTC
ManufacturerVersion       : 402.1.0.0
ManagedAuthLevel          : Full
OwnerClearDisabled        : False
AutoProvisioning          : Enabled
LockedOut                 : False
LockoutHealTime           : 10 minutes
LockoutCount              : 0
LockoutMax                : 31

So lesen Sie sie.¹⁵

• TpmPresent: ob ein TPM existiert. Ist dies False, liegt das Problem bei der Hardware oder den UEFI-Einstellungen.
• TpmReady: ob Windows es verwenden kann. Ist TpmPresent True, aber TpmReady False, ist bei der Initialisierung oder Besitzübernahme etwas schiefgelaufen.
• LockedOut / LockoutCount / LockoutMax / LockoutHealTime: der Zustand des Brute-Force-Schutzes. Ist LockedOut True, sind Sie vorübergehend gesperrt, etwa wegen falsch eingegebener PINs.
• OwnerClearDisabled: ist dies True, kann das Betriebssystem das TPM nicht mit dem Besitzer-Autorisierungswert zurücksetzen (löschen).
• AutoProvisioning: ob die automatische Bereitstellung durch Windows aktiviert ist.

Möchten Sie programmatisch entscheiden, ob die Spezifikationsversion 2.0 ist, ist WMI der bequeme Weg.

# Spezifikationsversion, Hersteller und Aktivierungszustand abrufen
Get-CimInstance -Namespace 'root/CIMv2/Security/MicrosoftTpm' -ClassName Win32_Tpm |
    Select-Object SpecVersion, ManufacturerId, ManufacturerVersion,
                  IsEnabled_InitialValue, IsActivated_InitialValue, IsOwned_InitialValue

Achten Sie hier auf ManufacturerId. Das von Get-Tpm zurückgegebene ManufacturerIdTxt (eine Zeichenkette wie INTC) ist eine Eigenschaft, die es nur bei Get-Tpm gibt; sie existiert nicht in der Win32_Tpm-Klasse.¹⁶ Schreiben Sie unachtsam Select-Object ManufacturerIdTxt, kommt diese Spalte stillschweigend leer zurück.

Was Win32_Tpm hat, ist ein uint32-Wert ManufacturerId, der zu einer Zeichenkette wird, wenn jedes Byte als ASCII-Zeichen interpretiert wird (zum Beispiel 1414548736 → 0x54 0x50 0x4D 0x00 → TPM).¹⁶ Möchten Sie die Zeichenkette, dekodieren Sie sie entweder selbst wie unten oder verwenden Sie einfach Get-Tpm.

# ManufacturerId (uint32) in eine ASCII-Zeichenkette umwandeln und auflisten
Get-CimInstance -Namespace 'root/CIMv2/Security/MicrosoftTpm' -ClassName Win32_Tpm |
    Select-Object SpecVersion, ManufacturerVersion,
        @{ Name = 'ManufacturerText'; Expression = {
            $bytes = [System.BitConverter]::GetBytes([uint32]$_.ManufacturerId)
            # Den uint32 vom höchstwertigen Byte her lesen (z. B. 1229870147 -> 0x49 0x4E 0x54 0x43 -> INTC)
            if ([System.BitConverter]::IsLittleEndian) { [array]::Reverse($bytes) }
            -join ($bytes | Where-Object { $_ -ne 0 } | ForEach-Object { [char]$_ })
        } }

SpecVersion kommt in der Form „Spezifikationsversion, Revision, Errata“ zurück, etwa 2.0, 0, 1.16.¹⁶ Zu prüfen, ob es mit 2.0 beginnt, genügt, um zu entscheiden, ob die Windows-11-TPM-Anforderung erfüllt ist (andere Anforderungen wie CPU, Speicher und Speicherplatz müssen separat geprüft werden — siehe Abschnitt 11). Um dies remote gegen viele Rechner auszuführen, siehe „Einstieg in PowerShell Remoting (WinRM) — Mehrere Windows-Rechner gleichzeitig verwalten“.

Darüber hinaus liefert Get-TpmEndorsementKeyInfo Informationen zum EK und dessen Zertifikat, und Get-TpmSupportedFeature sagt Ihnen, ob bestimmte Funktionen unterstützt werden. Unblock-Tpm hebt eine Sperre auf, und Clear-Tpm setzt das TPM zurück.¹⁴

8.3. Betrachtung mit Kommandozeilenwerkzeugen

tpmtool ist das Standardwerkzeug zum Abrufen von TPM-Informationen und zur Diagnose.¹⁷

:: Grundlegende TPM-Informationen anzeigen
tpmtool getdeviceinformation

:: TPM-Protokolle im aktuellen Verzeichnis sammeln
tpmtool gatherlogs

Um gleichzeitig den BitLocker-Zustand zu betrachten, verwenden Sie zusätzlich manage-bde -status oder Get-BitLockerVolume. Untersuchungsverfahren auf Seiten des Ereignisprotokolls sind behandelt in „Ereignisprotokolle mit Get-WinEvent praxisnah untersuchen — Die Geschwindigkeit der Filterung entscheidet über die Dauer der Untersuchung“.

9. Praktische Probleme — Aufforderungen zum Wiederherstellungsschlüssel, Löschen des TPM und Sperren

In der Praxis kommt das TPM meist zur Sprache, wenn etwas schiefgegangen ist. Hier die drei häufigsten Fälle.

9.1. Sie werden nach dem BitLocker-Wiederherstellungsschlüssel gefragt

Das ist die häufigste Anfrage, und die Ursache einzugrenzen ist tatsächlich einfach.

flowchart TD
    S["Aufforderung zum Wiederherstellungsschlüssel beim Start"] --> Q1{"Hat sich kurz zuvor<br/>etwas geändert?"}
    Q1 -->|"UEFI/BIOS aktualisiert"| A1["Messwerte wie PCR 0 haben sich geändert<br/>ab dem nächsten Start wird neu versiegelt, also<br/>mit dem Wiederherstellungsschlüssel entsperren und fortfahren"]
    Q1 -->|"Secure-Boot-Einstellungen geändert<br/>CSM aktiviert"| A2["Der PCR-7-Messwert hat sich geändert<br/>Einstellung rückgängig machen oder mit dem Schlüssel entsperren"]
    Q1 -->|"TPM gelöscht<br/>Mainboard ausgetauscht"| A3["Der versiegelte Schlüssel selbst ist verschwunden<br/>sofern BitLocker nicht vorher ausgesetzt wurde,<br/>ist der Wiederherstellungsschlüssel der einzige Weg"]
    Q1 -->|"Anderes Betriebssystem von USB gestartet<br/>Boot-Reihenfolge geändert"| A4["Messwerte der Boot-Konfiguration haben sich geändert<br/>rückgängig machen und neu starten"]
    Q1 -->|"Keine Ahnung"| A5["Untersuchen, auch einen möglichen Angriff einbeziehen<br/>Protokolle sammeln, dann mit dem Schlüssel entsperren"]
    A1 --> R["Prüfen, wo der Wiederherstellungsschlüssel gespeichert ist<br/>AD DS / Entra ID / Microsoft-Konto"]
    A2 --> R
    A3 --> R
    A4 --> R
    A5 --> R

Abbildung 6: Eingrenzung, warum Sie nach dem BitLocker-Wiederherstellungsschlüssel gefragt wurden

Firmware-Updates sind der klassische Auslöser für den Wiederherstellungsmodus. Microsoft empfiehlt, BitLocker vor einem Firmware-Update auszusetzen, wenn Sie ein Profil konfiguriert haben, das PCR 0 einschließt.⁹ Umgekehrt sinkt bei Rechnern, bei denen Secure Boot korrekt konfiguriert ist und die Bindung an PCR 7 erfolgt, die Häufigkeit, nach Firmware-Updates in die Wiederherstellung zu geraten.⁹ Auf Modern-Standby-Rechnern ist der PCR-7-Messwert eine Logo-Anforderung, und sind TPM und Secure Boot korrekt konfiguriert, erfolgt die Bindung standardmäßig an PCR 7 und PCR 11.⁹

Die betriebliche Schlussfolgerung ist einfach. Setzen Sie BitLocker stets vor einem UEFI-Update, einer Änderung der Secure-Boot-Konfiguration, dem Löschen des TPM oder dem Austausch des Mainboards aus. Und prüfen Sie vorher, wo der Wiederherstellungsschlüssel gespeichert ist (Active Directory Domain Services, Microsoft Entra ID, oder bei privaten Rechnern ein Microsoft-Konto). Organisationen können BitLocker so konfigurieren, dass Wiederherstellungsschlüssel in AD DS gespeichert werden.³

Ob Sie ein Aussetzen eingefügt haben, macht den ganzen Unterschied für den nachfolgenden Aufwand aus. Das Aussetzen von BitLocker hinterlässt einen klaren Schlüsselschutz auf dem Volume, sodass selbst beim Löschen oder Austauschen des TPM der Rechner startet, ohne dass Sie den Wiederherstellungsschlüssel eingeben müssen (die Fortsetzung des Schutzes nach dem Start versiegelt gegen das neue TPM neu). Abbildung 6 sagt für den Fall, dass Sie ohne Aussetzen gelöscht oder ausgetauscht haben, „der Wiederherstellungsschlüssel ist der einzige Weg“. Anders gesagt: Ein einziger vorbereitender Schritt vermeidet diesen Zweig vollständig.

9.2. Sie möchten das TPM löschen / Sie haben es bereits gelöscht

Das Löschen des TPM verursacht Datenverlust. Die Warnung in der offiziellen Dokumentation ist eindeutig: Das Löschen zerstört alle im Zusammenhang mit dem TPM erzeugten Schlüssel, zusammen mit den durch diese Schlüssel geschützten Daten (virtuelle Smartcards, Anmelde-PINs und Ähnliches). Für alle vom TPM geschützten oder verschlüsselten Daten stellen Sie sicher, dass Sie Backups und einen Wiederherstellungsweg haben.⁷

Es gibt drei weitere praktische Vorsichtsmaßnahmen.⁷

• Löschen Sie nicht das TPM eines Geräts, das Ihnen nicht gehört (ein Firmen- oder Schul-PC), ohne Anweisung eines Administrators.
• Löschen Sie stets über die Betriebssystemfunktion (tpm.msc oder Windows-Sicherheit), niemals direkt über UEFI.
• Möchten Sie das TPM nur vorübergehend stoppen, verwenden Sie „TPM ausschalten“ statt zu löschen.

Nach dem Löschen initialisiert Windows das TPM automatisch neu und übernimmt erneut dessen Besitz.⁷

Hervorzuheben ist hier, dass das Löschen des TPM keine Datenbereinigung ist. Was beim Löschen verloren geht, sind die Schlüssel im TPM; nicht ein einziges Byte der Daten auf der Festplatte wird gelöscht. BitLocker-Wiederherstellungsschlüssel werden normalerweise bei AD DS, Microsoft Entra ID oder einem Microsoft-Konto hinterlegt, sodass jeder, der einen davon besitzt, das Volume auch nach dem Löschen des TPM weiterhin entschlüsseln kann.

Bei der Übergabe eines Rechners an einen Dritten ist der eigentliche Kern der Aufgabe ein Verfahren zur Datenträgerlöschung: Windows’ „Diesen PC zurücksetzen (alles entfernen)“, ein dediziertes Löschwerkzeug, kryptografisches Löschen oder physische Zerstörung. Das Löschen des TPM ist nur der letzte Schliff. Das vollständige Entsorgungs- und Übergabeverfahren ist dargelegt in „Was vor der Entsorgung eines Windows-PCs zu tun ist — Eine praktische Checkliste für Datenlöschung, Kontotrennung und Backups“.

Es gibt noch eine überraschend wenig bekannte Falle. Manche Systeme tragen mehrere TPMs, die sich im UEFI umschalten lassen, aber Windows unterstützt diese Konfiguration nicht. Das Umschalten von TPMs kann dazu führen, dass Windows das neue nicht korrekt erkennt, und BitLocker gerät in den Wiederherstellungsmodus. Wechseln Sie doch, müssen Sie wechseln, löschen und Windows neu installieren. Microsoft empfiehlt dringend, sich bei einem System mit zwei TPMs für eines zu entscheiden und es nie zu ändern.⁷

9.3. Das TPM ist gesperrt

Wiederholt falsch eingegebene PINs sperren das TPM. In der Windows-Standardkonfiguration sperrt TPM 2.0 nach 32 fehlgeschlagenen Authentifizierungen und vergisst alle 10 Minuten einen Fehlschlag. Selbst während der Sperre können Sie aus der Sperre herauskommen, indem Sie den Rechner für das Heilungsintervall eingeschaltet lassen.² Zehn Minuten sind nur der Windows-Standardwert, prüfen Sie also das tatsächliche Intervall mit LockoutHealTime von Get-Tpm auf diesem Rechner (Abschnitt 8). Es einfach ruhen zu lassen, ist manchmal schneller, als hektisch immer wieder neu zu starten.

Möchten Sie sie sofort aufheben, senden Sie den Sperr-Reset-Befehl. Das TPM-Besitzerpasswort wird hier leicht missverstanden. Ab Windows 10 Version 1607 behält Windows das Besitzerpasswort bei der Bereitstellung des TPM nicht bei (es setzt einen zufälligen, hochentropischen Wert und verwirft ihn dann).¹⁸ Verfahren, die davon ausgehen, „der Administrator hat das Besitzerpasswort“, stocken in der Praxis.

Was stattdessen verwendet wird, ist die Sperr-Autorisierung. Der Standardwert 5 von OSManagedAuthLevel bedeutet für TPM 2.0 „nur die Sperr-Autorisierung beibehalten“.¹⁸ Mit anderen Worten: Der Standardzustand ist, „das vollständige Besitzerpasswort ist verschwunden, aber die zum Aufheben einer Sperre benötigte Autorisierung bleibt erhalten“, und der Sperrzeit-Reset in tpm.msc und Unblock-Tpm funktionieren normalerweise mit dieser Autorisierung. Es gibt eine Einstellung, die das Besitzerpasswort selbst beibehält (OSManagedAuthLevel in der Registrierung auf 4 setzen), aber Microsoft rät dringend davon ab.¹⁸

Beachten Sie, dass es auch ohne das Besitzerpasswort einen Weg zu Verwaltungsvorgängen wie Aktivieren, Deaktivieren und Löschen des TPM über die physische Anwesenheitsbestätigung im UEFI gibt.¹⁸ Das ist jedoch kein alternativer Weg, eine Sperre sofort und zerstörungsfrei aufzuheben. Ist die Sperr-Autorisierung nicht verfügbar, besteht der Grundansatz darin, auf zeitbasierte Heilung zu warten (ein Fehlschlag alle 10 Minuten); Löschen ist ein letztes Mittel, das jeden Schlüssel zerstört (Abschnitt 9.2).

Beachten Sie außerdem, dass in Konfigurationen, in denen Sie den Autorisierungswert zum Zurücksetzen explizit eingeben, ein Reset-Versuch mit dem falschen Wert das TPM dazu bringt, weitere Reset-Versuche für 24 Stunden zu verweigern.² Probieren Sie keine Werte auf gut Glück aus.

Schließlich erlaubt TPM 2.0 auch Schlüssel, die ohne Autorisierungswert erzeugt wurden, und diese bleiben verwendbar, während das TPM gesperrt ist. BitLockers Standardkonfiguration „nur TPM“ kann Windows selbst bei gesperrtem TPM weiterhin starten.²

10. Das TPM aus Entwicklersicht — Platform Crypto Provider und CNG

Kommt in Ihrer eigenen Anwendung eine Anforderung auf — „den Lizenzschlüssel an das Gerät binden“, „ein gerätespezifisches Client-Zertifikat für die Verbindung zum Server verwenden“, „sicherstellen, dass sich die geheimen Werte in der Konfigurationsdatei nur auf diesem Rechner entschlüsseln lassen“ — ist das TPM eine starke Option.

10.1. Verwenden Sie CNG, nicht TBS

Windows besitzt eine niedrigschwellige API namens TBS (TPM Base Services). Es ist ein Systemdienst, der den TPM-Zugriff über Anwendungen hinweg zentral verwaltet, bereitgestellt als RPC-basierte API, die den TPM-Zugriff kooperativ nach der vom Aufrufer angegebenen Priorität einplant.¹⁹

Aber die TBS-Dokumentation selbst sagt Folgendes: „Das TPM kann auch zur Schlüsselspeicherung verwendet werden, Entwicklern wird jedoch empfohlen, für diese Szenarien die Schlüsselspeicher-APIs zu verwenden. Die Schlüsselspeicher-APIs bieten Funktionalität zum Erzeugen von Schlüsseln, Signieren, Verschlüsseln und Persistieren von Schlüsseln auf einer höheren, leichter zu handhabenden Ebene als TBS.“¹⁹ Mit anderen Worten: Möchten Sie lediglich einen Schlüssel schützen, gibt es keinen Grund, TBS anzufassen.

Was Sie verwenden sollten, ist der CNG-Schlüsselspeicheranbieter (Cryptography API: Next Generation) „Microsoft Platform Crypto Provider“. CNG trennt kryptografische Anbieter von Schlüsselspeicheranbietern, und der Platform Crypto Provider ist ein KSP, der das TPM nutzt, um private Schlüssel sicher zu speichern und deren Extraktion zu verhindern.⁸

Es gibt zwei Eigenschaften, die der Platform Crypto Provider bietet und die ein reiner Software-CNG-Anbieter nicht (oder nicht in gleichem Maß) bieten kann.³

• Schlüsselschutz: Sie können Schlüssel mit Nutzungsbeschränkungen im TPM erzeugen. Das Betriebssystem kann den Schlüssel im TPM laden und verwenden, ohne ihn in den Systemspeicher zu kopieren. Er lässt sich als nicht exportierbar konfigurieren. Ein vom TPM erzeugter Schlüssel existiert nur in diesem TPM, und dieses TPM ist keine Quelle für Kopien des Schlüssels.
• Schutz vor Brute-Force-Angriffen: Sie können für einen Schlüssel einen Autorisierungswert wie eine PIN verlangen, und bei zu vielen Rateversuchen verweigert das TPM für eine Zeit.

10.2. In C# schreiben

Von .NET aus arbeiten Sie mit den CNG-Klassen in System.Security.Cryptography.

using System;
using System.Security.Cryptography;

const string KeyName = "KomuraSoft.DeviceKey";

// NTE_EXISTS: "das Objekt existiert bereits" (ein Schlüssel gleichen Namens ist bereits vorhanden)
const int NTE_EXISTS = unchecked((int)0x8009000F);

// Der Schlüsselspeicheranbieter, der das TPM verwendet
var provider = new CngProvider("Microsoft Platform Crypto Provider");

// Entscheiden, ob dies ein benutzerbezogener oder ein rechnerbezogener Schlüssel ist (von einem Dienst oder einer Aufgabe verwendet).
// Die erzeugende und die verwendende Seite müssen stets übereinstimmen — eine Abweichung hier bedeutet,
// dass "der von mir erzeugte Schlüssel nicht gefunden werden kann"
const bool UseMachineKey = false;
var openOptions = UseMachineKey ? CngKeyOpenOptions.MachineKey : CngKeyOpenOptions.None;
var creationOptions = UseMachineKey
    ? CngKeyCreationOptions.MachineKey   // Erzeugung erfordert Administratorrechte
    : CngKeyCreationOptions.None;

CngKey OpenOrCreateKey()
{
    if (CngKey.Exists(KeyName, provider, openOptions))
    {
        // Ab dem zweiten Lauf den bestehenden Schlüssel öffnen (er ist im TPM persistiert)
        return CngKey.Open(KeyName, provider, openOptions);
    }

    var creationParameters = new CngKeyCreationParameters
    {
        Provider = provider,
        KeyCreationOptions = creationOptions,
        // Niemals erlauben, den privaten Schlüssel herauszunehmen — das ist der ganze Sinn der TPM-Nutzung
        ExportPolicy = CngExportPolicies.None,
    };
    creationParameters.Parameters.Add(
        new CngProperty("Length", BitConverter.GetBytes(2048), CngPropertyOptions.None));

    try
    {
        return CngKey.Create(CngAlgorithm.Rsa, KeyName, creationParameters);
    }
    catch (CryptographicException ex) when (ex.HResult == NTE_EXISTS)
    {
        // Erzeugt ein anderer Prozess zwischen Exists und Create einen Schlüssel desselben Namens,
        // schlägt Create mit NTE_EXISTS fehl. Nur in diesem Fall den vom Gewinner erzeugten Schlüssel erneut öffnen.
        // Jeder andere Fehlschlag (TPM nicht verfügbar, unzureichende Rechte und Ähnliches) wird
        // unverändert an den Aufrufer weitergereicht
        return CngKey.Open(KeyName, provider, openOptions);
    }
}

using (var key = OpenOrCreateKey())
using (var rsa = new RSACng(key))
{
    byte[] payload = System.Text.Encoding.UTF8.GetBytes("device-attestation-challenge");
    // Das Signieren geschieht innerhalb des TPM. Der private Schlüssel erscheint nie im Prozessspeicher
    byte[] signature = rsa.SignData(payload, HashAlgorithmName.SHA256, RSASignaturePadding.Pkcs1);
}

ExportPolicy = CngExportPolicies.None ist der entscheidende Punkt. Belassen Sie es beim Standardwert, riskieren Sie eine Konfiguration, in der der Schlüssel exportiert werden kann, obwohl Sie sich die Mühe gemacht haben, das TPM zu verwenden. „Der Schlüssel verlässt nie [den Chip]“ ist überhaupt der Grund, ein TPM zu verwenden, geben Sie also explizit nicht exportierbar an.

Die andere Falle ist die Verwechslung von benutzerbezogenen mit rechnerbezogenen Schlüsseln. Die zweiargumentigen Überladungen von CngKey.Exists / CngKey.Open suchen nur nach benutzerbezogenen Schlüsseln. Ändern Sie nur die erzeugende Seite auf CngKeyCreationOptions.MachineKey und lassen die verwendende Seite unverändert, wird der bestehende Maschinenschlüssel nicht gefunden, und Sie erhalten einen Fehlermodus, bei dem der Code „jedes Mal versucht, einen Schlüssel gleichen Namens neu zu erzeugen, und scheitert“. Wie im obigen Code stellen Sie sicher, dass derselbe Geltungsbereich (CngKeyCreationOptions.MachineKey und CngKeyOpenOptions.MachineKey) an allen drei Stellen verwendet wird: Erzeugung, Existenzprüfung und Öffnen.

Es gibt auch einen Grund, OpenOrCreateKey in eine Funktion mit try/catch auszulagern. „Auf Existenz prüfen, dann erzeugen“ ist unter Nebenläufigkeit brüchig. Sehen zwei Prozesse — etwa wenn die App zweimal gestartet wird — beide Exists == false und fahren mit Create fort, gewinnt, wer zuerst erzeugt, und der Verlierer scheitert mit „ein Schlüssel dieses Namens existiert bereits“. Das passiert nur beim ersten Start, und selbst dann nur selten, sodass Sie es beim Testen fast nie treffen werden. Bauen Sie die Bereinigung von Anfang an ein: Der Verlierer öffnet erneut den vom Gewinner erzeugten Schlüssel.

Das erneute Öffnen ist jedoch nur gültig, wenn der Grund für den Fehlschlag „ein Schlüssel dieses Namens existiert bereits“ (NTE_EXISTS) ist. Leiten Sie andere Fehlschläge — das TPM ist nicht verfügbar, Rechte sind unzureichend — über denselben Pfad, wird die eigentliche Ursache durch eine andere Ausnahme von Open ersetzt, die „Schlüssel nicht gefunden“ besagt, und die Untersuchung führt in die Irre. Deshalb grenzt der obige Code im Ausnahmefilter auf HResult ein.

10.3. Realitäten, die Sie in Ihr Design einbauen sollten

Aus dem, was die offizielle Dokumentation sagt, und aus der Natur des TPM ergeben sich mehrere Punkte, die Sie vor Beginn der Implementierung klären sollten.

• Das TPM ist nicht schnell. Es ist ein dedizierter Mikrocontroller oder ein kleiner Prozessor, der in einem geschützten Modus der CPU läuft.² Dass eine Schlüsselerzeugung mehrere Sekunden dauert, ist nicht ungewöhnlich. Verwenden Sie TPM-Schlüssel nicht direkt, um große Datenmengen zu verschlüsseln. Verschlüsseln Sie die Daten mit einem symmetrischen Schlüssel wie AES, und schützen Sie diesen symmetrischen Schlüssel mit dem TPM-Schlüssel — eine zweistufige Anordnung.
• Führen Sie Schlüsselerzeugung oder Signierung nicht im UI-Thread aus. Die obige Langsamkeit zeigt sich direkt als Einfrieren.
• Das Löschen des TPM zerstört die Schlüssel. Gehen Sie davon aus, dass sie durch Reparaturen, Mainboard-Austausch oder Neuinstallation des Betriebssystems verloren gehen, und gestalten Sie einen Weg zur erneuten Registrierung ein (etwa ein Verfahren zur erneuten Registrierung des Geräts serverseitig). Ein Design, bei dem „wenn der Schlüssel weg ist, stecken Sie fest“, wird garantiert zu einem Vorfall in der Praxis führen.
• Entscheiden Sie zwischen benutzer- und rechnerbezogen. Benutzerbezogene Schlüssel sind an das Profil gebunden. Verwenden Sie sie von einem Dienst oder einer geplanten Aufgabe aus, benötigen Sie rechnerbezogen (CngKeyCreationOptions.MachineKey), und die Erzeugung erfordert Administratorrechte. Vergessen Sie nicht, auch auf der verwendenden Seite CngKeyOpenOptions.MachineKey zu übergeben. Für Überlegungen dazu, wo Daten abgelegt werden sollen, lohnt sich auch „Wie Sie wählen, wo eine Windows-App lokale Daten speichert — Eine Entscheidungstabelle für SQLite / JSON / Registrierung / Access“.
• Allein die rechnerbezogene Einstellung lässt ein Dienstkonto den Schlüssel noch nicht verwenden. MachineKey bestimmt nur, wo der Schlüsselspeicher liegt; wer ihn verwenden darf, wird durch die am Schlüssel angehängte ACL (Sicherheitsdeskriptor) bestimmt. Ein von einem Administrator erzeugter und anschließend von einem nicht-administrativen Dienstkonto geöffneter Schlüssel, der mit „Zugriff verweigert“ fehlschlägt, ist ein klassischer Vorfall. Die Abhilfe besteht entweder darin, den Schlüssel unter der Identität zu erzeugen, die ihn verwenden wird (dem Konto des Dienstes), oder die SID des Dienstes bei der Erzeugung im Sicherheitsdeskriptor als erlaubt einzutragen (CNGs Eigenschaft Security Descr). In jedem Fall stets das Verhalten unter dem tatsächlichen Ausführungskonto verifizieren.
• Entscheiden Sie, wie Sie mit Umgebungen ohne TPM umgehen. Weisen Sie sie als Anforderung zurück, oder weichen Sie auf Microsoft Software Key Storage Provider aus und akzeptieren „eine niedrigere Schutzstufe“? In gemischten Umgebungen ist es üblich, in der Zertifikatvorlage den Platform Crypto Provider zu bevorzugen und gleichzeitig Software-Anbieter zuzulassen.³
• Überlegen Sie sorgfältig, ob Sie einem Schlüssel eine PIN geben. Der Schutz vor Brute-Force-Angriffen ist ein Vorteil, aber die TPM-Sperre ist global. Fehlerzähler pro einzelnem Schlüssel zu verwalten, ist technisch nicht praktikabel, sodass zu viele Authentifizierungsfehlschläge das gesamte TPM sperren.² Das bedeutet, dass eine Fehleingabe in Ihrer eigenen Anwendung Windows Hello auf demselben Rechner mit in Mitleidenschaft ziehen kann.
• Die Handhabung der Anmeldedaten selbst bleibt ein separates Problem. Wie Sie es so gestalten, dass nichts im Klartext in Skripten oder Konfigurationsdateien gespeichert wird, ist behandelt in „Anmeldeinformationen in PowerShell sicher handhaben — Klartext-Passwörter aus Ihren Skripten verbannen“.

11. Bewährte Praxis (Entscheidungstabelle)

12. Zusammenfassung

• Das TPM ist ein passiver Sicherheitsprozessor, der sowohl „ein Tresor, der einen privaten Schlüssel verwenden lässt, ohne ihn den Chip verlassen zu lassen“ als auch „ein Kassenbuch, das aufzeichnet, was beim Start geladen wurde“ ist.
• Die für Measured Boot verwendeten statischen PCRs lassen sich nur mit Extend vorantreiben, und da die Messung vor der Ausführung erfolgt, kann keine Komponente in der Kette ihre eigenen Spuren löschen. BitLocker versiegelt seine Schlüssel an diese Messwerte (TPM 2.0 hat zwar rücksetzbare PCRs, aber das sind nicht die zum Versiegeln verwendeten).
• Standardmäßig unter nativem UEFI verwendet die Versiegelung PCR 0/2/4/11; ist Secure Boot verfügbar, PCR 7/11. Die Bindung an PCR 7 macht das Geraten in die Wiederherstellung nach einem Firmware-Update weniger wahrscheinlich.
• Es gibt drei Implementierungen — diskret, integriert und Firmware —, und Windows behandelt sie alle identisch. Pluton ist die in die CPU integrierte Form, und ihr betriebliches Unterscheidungsmerkmal ist, dass sich ihre Firmware auch über Windows Update aktualisieren lässt.
• Die Windows-11-Anforderungen sind TPM 2.0 und Firmware, die „UEFI, Secure-Boot-fähig“ ist. Die Anforderung ist Fähigkeit, nicht Aktivierung, aber die Aktivierung hat den praktischen Nutzen, BitLocker an PCR 7 zu binden. Ein Rechner mit TPM erfüllt die Anforderung im CSM-Modus weiterhin nicht, führen Sie also MBR2GPT aus, bevor Sie den BIOS-Modus ändern.
• Die Ausnahme ist Windows 11 IoT Enterprise, wo die gelockerten Anforderungen für dedizierte Geräte sowohl TPM als auch Secure Boot optional machen. Das gilt aber für IoT Enterprise LTSC und Nicht-LTSC ab 24H2; Nicht-LTSC 21H2 bis 23H2 erfordern TPM 2.0, und Windows 11 Enterprise LTSC ohne IoT erhält die Lockerung nicht. Sich von vornherein gegen ein TPM zu entscheiden, bedeutet auch, auf den Schutz von BitLocker und Windows Hello zu verzichten.
• Setzen Sie vor einem Firmware-Update, einer Änderung der Secure-Boot-Konfiguration, dem Löschen des TPM oder dem Austausch des Mainboards BitLocker aus und bestätigen Sie, wo sich der Wiederherstellungsschlüssel befindet — als Paar.
• Verwenden Sie aus Ihrer eigenen Anwendung heraus CNGs Microsoft Platform Crypto Provider statt TBS. Geben Sie explizit nicht exportierbar an, und bauen Sie die Langsamkeit des TPM sowie den Verlust der Schlüssel beim Löschen in Ihr Design ein.

Verwandte Artikel

• Eine realistische Antwort nach dem Support-Ende von Windows 10 — Eine Entscheidungstabelle für ESU, LTSC und Ersatz
• Welches Windows sollte auf einen Industrie-PC? — Ein praktischer Leitfaden zu Windows IoT Enterprise / LTSC
• Was vor der Entsorgung eines Windows-PCs zu tun ist — Eine praktische Checkliste für Datenlöschung, Kontotrennung und Backups
• Einstieg in PowerShell Remoting (WinRM) — Mehrere Windows-Rechner gleichzeitig verwalten
• Ereignisprotokolle mit Get-WinEvent praxisnah untersuchen — Die Geschwindigkeit der Filterung entscheidet über die Dauer der Untersuchung
• Anmeldeinformationen in PowerShell sicher handhaben — Klartext-Passwörter aus Ihren Skripten verbannen
• Wie Sie wählen, wo eine Windows-App lokale Daten speichert — Eine Entscheidungstabelle für SQLite / JSON / Registrierung / Access

Verwandte Beratungsleistungen

KomuraSoft LLC übernimmt Bestandsaufnahmen der Hardwareanforderungen für die Windows-11-Migration, Beratung zum betrieblichen Design von BitLocker sowie die Vertragsentwicklung von Windows-Geschäftsanwendungen einschließlich gerätespezifischer Schlüsselverwaltung mit dem TPM.

• Windows-Anwendungsentwicklung
• Fehleruntersuchung und Ursachenanalyse
• Nutzung vorhandener Ressourcen und Migrationsunterstützung
• Kontakt

Referenzlinks

Verwandte Artikel

Aktuelle Artikel mit denselben Schlagwörtern führen zu verwandten Themen weiter.

Verwandte Themen

Diese Seiten ordnen den Artikel in einen größeren Leistungs- und Entscheidungskontext ein.

Leistungen zu diesem Thema

Dieser Artikel ist direkt mit den folgenden Leistungen verbunden.

Häufige Fragen

Fragen, die in Beratungen zu diesem Artikelthema häufig gestellt werden.

Was tut das TPM eigentlich?

Kurz gesagt ist es ein kleiner Tresor, der Ihnen erlaubt, einen privaten Schlüssel zu verwenden, ohne den Schlüssel jemals herauszugeben. Ein im TPM erzeugter privater Schlüssel kann, je nach Konfiguration, den Chip überhaupt nie verlassen. Anwendungen und das Betriebssystem erhalten nicht den Schlüssel selbst; sie bitten das TPM, „diese Daten zu signieren“ oder „mit diesem Schlüssel zu entschlüsseln“, und erhalten nur das Ergebnis. Darüber hinaus werden die Hashes der beim Start geladenen Firmware und des Bootloaders in einem Bereich namens PCRs kumulativ aufgezeichnet, und ein Schlüssel kann so „versiegelt“ werden, dass er nur freigegeben wird, wenn diese Werte den erwarteten entsprechen. Genau dieser Mechanismus ist der Grund, warum sich BitLocker nicht entsperren lässt, sobald das Innere des PCs ausgetauscht wurde.

Warum hat Windows 11 TPM 2.0 zur Pflicht gemacht?

Weil BitLocker, Windows Hello, Credential Guard und die Gerätezustandsbestätigung alle um einen hardwareverankerten Vertrauensanker herum konzipiert sind. TPM 1.2 konnte nur RSA und SHA-1 verwenden, und sein Sperrverhalten unterschied sich von Anbieter zu Anbieter, während TPM 2.0 neuere Algorithmen unterstützt und Windows den Schutz vor Brute-Force-Angriffen einheitlich konfiguriert. Beachten Sie, dass TPM 2.0 nicht im klassischen BIOS-Kompatibilitätsmodus (CSM) funktioniert, eine native UEFI-Konfiguration ist also Voraussetzung. Die Ausnahme ist Windows 11 IoT Enterprise: Bei IoT Enterprise LTSC sowie bei Nicht-LTSC-Versionen ab 24H2 sind sowohl TPM als auch Secure Boot optional (bei Nicht-LTSC 21H2 bis 23H2 ist TPM 2.0 weiterhin erforderlich; das ähnlich benannte Windows 11 Enterprise LTSC ohne IoT erhält die gelockerten Anforderungen nicht).

Was ist der Unterschied zwischen dTPM, fTPM und Pluton? Welches sollte ich wählen?

Sie unterscheiden sich in der Implementierung. Ein dTPM (Discrete TPM) ist ein dedizierter Chip auf dem Mainboard; ein fTPM (Firmware-TPM) ist eine Softwareimplementierung, die in der vertrauenswürdigen Ausführungsumgebung der CPU läuft; und Pluton ist ein von Microsoft entworfener, in die CPU integrierter Sicherheitsprozessor. Aus Sicht von Windows werden sie alle gleich verwendet, und Microsoft stellt ausdrücklich klar, keine Position dazu zu beziehen, welche Implementierung Sie wählen sollten. Die praktischen Unterschiede bestehen darin, dass ein diskreter Chip einen Bus zur CPU besitzt, der zum Ziel physischer Angriffe werden kann; dass das Verhalten eines fTPM von CPU-Firmware-Updates abhängt; und dass sich die Firmware von Pluton über Windows Update aktualisieren lässt. Können Sie bei der Beschaffung wählen, sind für geschäftlich genutzte Rechner die Support-Richtlinie des Anbieters und die Zuverlässigkeit seiner Firmware-Updates die realistischen Kriterien.

Ich habe das BIOS aktualisiert und wurde nach dem BitLocker-Wiederherstellungsschlüssel gefragt. Warum?

Der BitLocker-Schlüssel ist an die Messwerte zum Startzeitpunkt (PCRs) versiegelt; ändern sich die gemessenen Größen, wird der Schlüssel nicht freigegeben, und Sie gelangen in die Wiederherstellung. Ein Firmware-Update ist genau ein Vorgang, der Messwerte wie PCR 0 verändert. Microsoft selbst empfiehlt, BitLocker vor einem Firmware-Update auszusetzen, wenn das Profil PCR 0 einschließt. Sobald Sie mit dem Wiederherstellungsschlüssel entsperren, wird der Schlüssel gegen die neuen Messwerte neu versiegelt, sodass es aus demselben Grund nicht erneut passiert. Betrieblich sollten Sie BitLocker vor einem UEFI-Update, einer Änderung der Secure-Boot-Konfiguration, dem Löschen des TPM oder dem Austausch des Mainboards stets aussetzen — und vorab prüfen, wo der Wiederherstellungsschlüssel gespeichert ist (Active Directory, Microsoft Entra ID oder ein Microsoft-Konto).

Wie schütze ich Schlüssel mit dem TPM aus meiner eigenen Anwendung heraus?

Statt TPM-Befehle direkt auszugeben, verwenden Sie den CNG-Schlüsselspeicheranbieter (Cryptography API: Next Generation) namens „Microsoft Platform Crypto Provider“. In .NET erzeugt die bloße Übergabe dieses Anbieters und von ExportPolicies.None an CngKey.Create den privaten Schlüssel im TPM in einem Zustand, in dem er nicht herausgenommen werden kann. Die systemnahen TPM Base Services (TBS) sind ebenfalls öffentlich, aber Microsoft selbst empfiehlt, für Schlüsselspeicherung, Signierung und Verschlüsselung die höherwertigen Schlüsselspeicher-APIs zu verwenden. Bauen Sie implementierungsseitig ein, dass TPM-Operationen langsam sind, dass das Löschen des TPM die Schlüssel zerstört und dass Sie eine Entscheidung darüber benötigen, wie Sie auf Rechnern ohne TPM ausweichen.

Autorenprofil

Profilseite des Artikelautors.

Go Komura

Geschäftsführer von KomuraSoft LLC

Spezialisiert auf Windows-Softwareentwicklung, technische Beratung und Fehleranalyse, insbesondere bei bestehenden Systemen und schwer reproduzierbaren Störungen.