Windows 11 verlangt TPM 2.0 und Secure Boot

Anfang Oktober 2021 wurde die finale Version von Microsofts neuem OS Windows 11 der Öffentlichkeit zur Verfügung gestellt. Die offensichtlichste Änderung wurde wieder am Design vollzogen. Das Startmenü wurde überarbeitet und erinnert nun mehr an einen Launcher, wie man ihn von Android kennt, als das klassische Windows-Startmenü. Im Zusammenspiel mit einigen anderen Anpassungen und erweiterter Anpassbarkeit soll vor allem die Benutzerfreundlichkeit erhöht werden. Dass Microsoft nicht nur die Optik überarbeitet hat, zeigt sich auch an den Anforderungen für das neue Betriebssystem.

Nicht nur die Anforderungen an Arbeitsspeicher und Prozessor steigen, für Windows 11 nennt Microsoft auch Secure Boot und TPM 2.0 als Voraussetzungen. Für User mit älterer Hardware könnte das ein Problem darstellen. Auf vielen Geräten befindet sich noch der Vorgänger TPM 1.2 im Einsatz. Bisher ist TPM Anwendern vor allem beim Einsatz von Bitlocker relevant. Bei der Windows-Laufwerksverschlüsselung gibt es neben einem klassischen PIN die Möglichkeit, die Authentifizierung mittels TPM erledigen zu lassen.

Über das ISO lässt sich Windows 11 auch ohne TPM2 installieren. Microsoft warnt aber davor, dass solche Geräte nicht über die Windows Updates mit den neuesten Patches versorgt werden. Computer mit altem TPM-Modul können damit eine potenzielle Sicherheitslücke darstellen. Deshalb sollten solche Geräte vorerst auf Windows 10 bleiben. Zwar profitiert man dann nicht vom neuen Design und den neuen Funktionalitäten, wird aber weiterhin mit Patches und Fixes versorgt.

TPM 2.0 nachrüsten

Ob ein Gerät bereits mit einem TPM-Chip mit entsprechender Version ausgestattet ist, lässt sich beispielsweise über die Windows-Einstellungen zum Sicherheitschip prüfen. Dazu einfach „Sicherheitschip“ in die Suche eingeben, das entsprechende Menü sollte dann bereits vorgeschlagen werden. Alternativ durch Drücken der Windows-Taste und der R-Taste das Eingabefenster öffnen und dort „TPM.msc“ eingeben und ausführen. Daraufhin öffnet sich die Konsole zum TPM-Management. Falls dort keine Angaben zu finden sind kann es sein, dass TPM deaktiviert ist.

Über das Cmdlet Get-TPM lässt sich dann prüfen, ob überhaupt ein TPM-Chip gefunden wurde. Lautet der Wert für den Eintrag TpmPresent false wurde kein Chip gefunden. Ist TpmPresent true aber TpmReady false wurde zwar einer gefunden, der ist aber deaktiviert oder inkompatibel. In dem Fall kann im BIOS geprüft werden, ob entsprechende Einstellungen verfügbar sind und TPM aktiviert werden kann. Die meisten Mainboards, die seit 2016 auf den Markt kamen, sind bereits mit TPM 2.0 ausgestattet. Es gibt auch Möglichkeiten, ein TPM-Modul nachzurüsten. Allerdings gibt es dafür leider keine standardisierten Anschlüsse und Notebooks und Mini-PCs beispielsweise lassen sich gar nicht nachrüsten.

UEFI und Secure Boot

Außerdem wird Secure Boot mit Windows 11 zwingende Voraussetzung. Secure Boot sorgt dafür, dass beim Start nur Programme geladen werden, die dem System bekannt sind. Dazu werden Signaturen bekannter Programme in der Firmware gespeichert. Wird ein Programm nicht in dieser Datenbank gefunden unterbindet Secure Boot den Start ebendieser, indem der Start abgebrochen wird. Das Feature dient vor allem dem Schutz vor böswilligen Boot- und Rootkits die beim Start geladen werden. Voraussetzung für den Secure Boot ist, dass das BIOS im UEFI-Modus arbeitet. Das ist inzwischen Standard. Alte Geräte oder solche, die mit einem alternativen Betriebssystem ausgestattet wurden, arbeiten mitunter aber noch im Legacy-Modus.

Geprüft werden kann das in der App „Systeminformationen“. In der Systemübersicht gibt es den Eintrag „BIOS-Modus“ der entweder den Wert UEFI oder Vorgängerversion hat. Die Umstellung auf UEFI muss im BIOS vorgenommen werden. Allerdings wird dafür eine andere Festplattenformatierung benötigt als für den Legacymodus (GPT statt MBR). Mit der falschen Formatierung kann Windows nicht gestartet werden.

Für den Umstieg bietet Microsoft das vorinstallierte Kommandozeilentool MBR2GPT an. Um es zu nutzen muss man Windows im erweiterten Modus starten und dort die Kommandozeile öffnen. Mit dem Befehl „MBR2GPT /validate“ sollte zunächst geprüft werden, ob die Festplatte umformatiert werden kann. Mit „MBR2GPT /convert“ startet man die Konvertierung. Je nach Festplatte und Größe kann der Vorgang ein paar Minuten dauern. Nach einer erfolgreichen Konvertierung kann im BIOS der UEFI-Modus aktiviert bzw. Legacy-Support deaktiviert werden. Bei der Konvertierung gehen keine Daten verloren. Ein vorheriges Backup ist dennoch zu empfehlen, falls es zu Problemen kommt.

Fazit

Mit den steigenden Anforderungen reagiert Microsoft auf neue, moderne Arbeitswelten. Allerdings geht das mit höheren Systemanforderungen einher. Es muss im Einzelfall genau geprüft werden, ob eine Nachrüstung oder gar eine Neuanschaffung für Windows 11 sinnvoll ist. In vielen Fällen dürfte es mehr Sinn ergeben, vorerst bei Windows 10 zu bleiben. Microsoft hat zugesichert das Betriebssystem bis mindestens 2025 mit neuen Updates zu versorgen. Insbesondere vom Einsatz von Windows 11 mit einem alten TPM-Chip ist abzuraten, da man sonst unter Umständen nicht mit neuen Patches und Fixes versorgt wird.