Glossar
Trusted Platform Module (TPM)
Hardware-Sicherheitschip, der Schlüssel erzeugt und schützt, Startmessungen aufzeichnet und als Vertrauensanker für BitLocker, Windows Hello und Nachweise dient.
Ein Trusted Platform Module ist ein sicherer Kryptoprozessor – entweder ein separater Chip oder Firmware in einem geschützten Bereich der CPU –, der kryptografische Schlüssel erzeugt und so speichert, dass sie sich nicht exportieren lassen. Er enthält außerdem Platform Configuration Registers (PCRs), die beim Start Messwerte von Firmware und Startkomponenten aufzeichnen. Schlüssel lassen sich an eine Menge von PCR-Werten binden (Sealing), sodass sie nur freigegeben werden, wenn das Gerät in einem bekannt guten Zustand startet. TPM 2.0 ist eine Voraussetzung für Windows 11; den Status prüfen Sie mit tpm.msc oder Get-Tpm.
Das TPM ist der Vertrauensanker vieler Windows-Schutzfunktionen: BitLocker bindet den Volumeschlüssel daran, Windows Hello for Business speichert dort seinen privaten Schlüssel, Credential Guard kann damit seine Schlüssel schützen, und der Integritätsnachweis für Geräte liest seine Messwerte. Ein TPM allein hindert einen Angreifer mit physischem Zugriff nicht daran, Teile des Busverkehrs mitzuschneiden; Geräte mit hohem Risiko sollten es daher mit einer Pre-Boot-PIN kombinieren. Halten Sie die TPM-Firmware aktuell, denn frühere Schwachstellen betrafen die Schlüsselerzeugung.
Siehe BitLocker mit TPM und PIN und Secure Boot und UEFI härten.