TPM und TPM 2.0

Kurz: Das TPM (Trusted Platform Module) ist ein Sicherheitschip (oder eine Firmware-Funktion der CPU), der kryptografische Schlüssel sicher aufbewahrt und die Unversehrtheit des Systemstarts messen kann. TPM 2.0 ist die aktuelle Version und für Windows 11 Pflicht.

Genauer: Das TPM ist ein kleiner abgeschotteter Computer für Geheimnisse. Schlüssel werden darin erzeugt und verlassen den Chip nie. Der Chip führt Rechenoperationen damit aus (signieren, entschlüsseln), gibt aber nie den Schlüssel selbst heraus.

Im Detail

Was ein TPM kann:

• Schlüssel erzeugen und speichern, geschützt gegen Auslesen und Ausprobieren (Sperre nach Fehlversuchen, Anti-Hammering).
• Messen der Startkette (Measured Boot): Firmware, Bootloader und Konfiguration werden bei jedem Start gehasht und in Registern (PCR) festgehalten. Der Schlüssel für BitLocker wird nur freigegeben, wenn die Messwerte zu den erwarteten passen.
• Zufallszahlen hoher Qualität.
• Attestierung: Das Gerät kann gegenüber einem Server beweisen, in welchem Zustand es gestartet wurde.
• Anmeldung: Windows Hello, PINs und Passkeys nutzen es, damit Geheimnisse an das Gerät gebunden sind.

Bauformen:

Art	Beschreibung
Diskretes TPM (dTPM)	Eigener Chip auf dem Mainboard, am sichersten
Firmware-TPM (fTPM)	In der CPU/dem Chipsatz (Intel PTT, AMD fTPM), keine Zusatzhardware
Software-TPM	Nur für Tests, kaum Schutz

TPM 1.2 und TPM 2.0:

• 2.0 unterstützt moderne Algorithmen (SHA-256, ECC, AES) statt nur RSA/SHA-1.
• Flexiblere Schlüsselhierarchien und Richtlinien.
• Windows 11 verlangt 2.0, ebenso viele Funktionen wie Secure Boot und Virtualisierungs-Sicherheit.

Prüfen: In Windows Win + R → tpm.msc. Im UEFI ist es oft unter „Security” als „PTT” (Intel) oder „fTPM” (AMD) einzuschalten.

Grenzen: Das TPM schützt Schlüssel, nicht alles. Läuft Schadsoftware im entsperrten System, kann sie das TPM mitbenutzen. Datenschutz-Bedenken (eindeutige Gerätekennung) werden bei TPM 2.0 durch getrennte Schlüssel gemindert.

Siehe auch: BitLocker, Secure Boot, UEFI