TPM 2.0 (Trusted Platform Module)

Der Sicherheitschip auf Ihrem Mainboard – Grundlage für Windows 11, BitLocker und moderne Verschlüsselung

Startseite
/
IT-Standards
/
TPM 2.0
ISO/IEC 11889 | TCG-Standard

TPM 2.0 – Trusted Platform Module

Das TPM (Trusted Platform Module) ist ein spezieller Sicherheitschip, der auf dem Mainboard eines Computers fest verbaut ist. Es dient als vertrauenswürdige Umgebung für kryptografische Operationen und speichert sicherheitsrelevante Informationen geschützt vor Software-Angriffen.

Hardware-Sicherheit Windows 11 BitLocker Secure Boot

1. Was ist ein TPM?

Ein TPM ist ein dedizierter Mikrocontroller, der kryptografische Schlüssel sicher speichert und verarbeitet. Stellen Sie sich ihn als einen Tresor vor, der selbst dann sicher bleibt, wenn das Betriebssystem kompromittiert wurde.

Hardware vs. Firmware

Diskretes TPM: Separater Chip auf dem Mainboard (höchste Sicherheit)

Integriertes TPM (fTPM): Im Prozessor oder Chipsatz integriert (z.B. AMD fTPM, Intel PTT)

Funktional identisch, nur die physische Implementierung unterscheidet sich.

TPM 1.2 vs. 2.0

TPM 1.2 (2003): Nur SHA-1, eingeschränkte Algorithmen

TPM 2.0 (2014): Unterstützt moderne Algorithmen (SHA-256, ECC), flexibler, größerer Schlüsselspeicher

Windows 11 setzt zwingend TPM 2.0 voraus.

Standards & Gremien

TCG (Trusted Computing Group): Entwickelt die TPM-Spezifikation

ISO/IEC 11889: Internationaler Standard seit 2009

Wo sitzt das TPM im System?

CPU
TPM
RAM
Festplatte

Das TPM ist direkt mit der CPU verbunden und arbeitet unabhängig vom Hauptspeicher – dadurch kann es selbst in kompromittierten Umgebungen vertrauenswürdig bleiben.

2. Was kann ein TPM?

Sichere Schlüsselspeicherung

Kryptografische Schlüssel werden im TPM geboren und sterben im TPM – sie verlassen niemals den Chip. Selbst wenn ein Angreifer vollen Zugriff auf das System hat, kann er die Schlüssel nicht extrahieren.

Platform Configuration Registers (PCRs)

Die PCRs speichern kryptografische Hashes des Systemzustands (BIOS, Bootloader, Kernel). Beim Hochfahren werden Werte "gemessen" – weicht ein Wert ab, kann der Zugriff auf Schlüssel verweigert werden.

Zufallszahlengenerator

Integrierter Hardware-Zufallszahlengenerator (TRNG) für kryptografisch sichere Zufallszahlen – besser als Software-RNGs.

Sealing / Binding

Daten können so verschlüsselt werden, dass sie nur unter bestimmten Systemzuständen (PCR-Werte) entschlüsselt werden können. Beispiel: Festplatte entschlüsselt sich nur, wenn das System unverändert gebootet wurde.

3. Wofür wird TPM im Alltag genutzt?

Windows 11 Voraussetzung

Microsoft hat TPM 2.0 zur Pflicht für Windows 11 gemacht. Dies soll die Sicherheit des Betriebssystems grundlegend erhöhen und Angriffe erschweren.

BitLocker

BitLocker verwendet das TPM, um den Verschlüsselungsschlüssel für die Festplatte sicher zu speichern. Beim Booten wird geprüft, ob das System unverändert ist – erst dann wird der Schlüssel freigegeben.

Secure Boot

Das TPM speichert die gemessenen Werte (PCRs) während des Bootvorgangs. Secure Boot stellt sicher, dass nur signierte Komponenten geladen werden – das TPM protokolliert dies.

Virtualisierte TPMs

In virtuellen Maschinen kann ein virtuelles TPM (vTPM) bereitgestellt werden, das die gleichen Funktionen emuliert – Grundlage für verschlüsselte VMs.

4. So prüfen Sie, ob Ihr PC ein TPM hat

Windows 10/11

• TPM-Verwaltung: tpm.msc (Ausführen-Dialog mit Win+R)
• PowerShell: Get-Tpm
• Geräte-Manager: "Sicherheitsgeräte" → "Trusted Platform Module 2.0"

Erwartete Ausgabe: TpmPresent: True, TpmReady: True, TpmEnabled: True

BIOS/UEFI

Im BIOS/UEFI finden Sie die TPM-Einstellungen oft unter:

  • "Security" → "TPM Configuration"
  • "Advanced" → "Trusted Computing"
  • Bei Intel-Systemen: "Intel Platform Trust Technology (PTT)"
  • Bei AMD-Systemen: "AMD fTPM"

5. Sicherheitsaspekte & Kontroversen

Vorteile

  • Hardware-basierte Sicherheit: Unabhängig vom Betriebssystem
  • Schutz vor Bootkits/Rootkits: Durch Messung der Boot-Komponenten
  • Starke Authentifizierung: Plattformbindung von Schlüsseln
  • Voraussetzung für moderne Sicherheitsfeatures (Windows Hello, Credential Guard)

Kontroversen

  • Besitz vs. Kontrolle: Wer kontrolliert den Chip? (Hersteller vs. Nutzer)
  • Trusted Computing vs. Treuhand Computing: Kritiker fürchten DRM-Zwang
  • Remote Attestation: Dritte könnten Systemzustand prüfen

6. TPM aktivieren (für Windows 11)

Schritt-für-Schritt

  1. BIOS/UEFI aufrufen (meist F2, Del, F10 beim Start)
  2. TPM-Einstellungen suchen (unter "Security", "Advanced" oder "Trusted Computing")
  3. TPM aktivieren – Optionen: "Enabled", "Activate", "TPM 2.0"
  4. Speichern & Neustarten (F10)

Achtung: BIOS-Update kann TPM zurücksetzen

Nach einem BIOS-Update können gespeicherte Schlüssel verloren gehen. Bei BitLocker-geschützten Laufwerken benötigen Sie dann den Wiederherstellungsschlüssel!

Praxisaufgabe: TPM untersuchen

  1. Prüfen Sie auf Ihrem Windows-PC, ob ein TPM vorhanden ist (tpm.msc).
  2. Notieren Sie die TPM-Version und den Hersteller.
  3. Überprüfen Sie im BIOS, ob TPM aktiviert ist.
  4. Recherchieren Sie: Hat Ihr Prozessor ein integriertes fTPM (Intel PTT / AMD fTPM)?

Verwandte Standards

Secure Boot

Schutz des Bootvorgangs – eng mit TPM verzahnt.

Zu Secure Boot
HTTPS

Sichere Webverbindungen – basiert auf ähnlichen kryptografischen Prinzipien.

Zu HTTPS
IT-Sicherheit

Weitere Sicherheitsstandards und Konzepte.

Zur IT-Sicherheit