TPM (Trusted Platform Module)

Seit Windows 11 ist das Kürzel TPM vielen IT-Abteilungen bekannt: Ohne TPM 2.0 lässt sich das Betriebssystem offiziell nicht installieren. Der kleine Sicherheitschip schützt aber nicht nur beim Start. Er verwaltet Schlüssel für die Verschlüsselung – und spielt deshalb auch beim Ausmustern eine Rolle.

Aufbau und Funktionsweise

Das TPM ist ein eigenständiger Kryptoprozessor mit geschütztem Speicher. Es gibt ihn als separaten Chip auf der Hauptplatine, als Funktion im Prozessor (Firmware-TPM, etwa Intel PTT oder AMD fTPM) oder in Servern als steckbares Modul. Die Spezifikation stammt von der Trusted Computing Group, die Version 2.0 ist zusätzlich als internationale Norm ISO/IEC 11889 veröffentlicht.

Funktion	Wozu sie dient
Schlüsselspeicher	Schützt Schlüssel, etwa für BitLocker, vor dem Auslesen
Messung des Systemstarts	Erkennt Manipulationen an Firmware und Bootloader
Zufallszahlen	Liefert Zufallswerte für kryptografische Verfahren
Bescheinigung (Attestation)	Belegt gegenüber Diensten, dass ein Gerät in vertrauenswürdigem Zustand ist
Anmeldeschutz	Bindet Anmeldedaten wie PIN oder Gesichtserkennung an das Gerät

TPM 1.2 und TPM 2.0

TPM 1.2 war lange Standard, unterstützt aber nur ältere Verfahren wie SHA-1. TPM 2.0 erlaubt modernere Algorithmen und mehr Flexibilität. Windows 11 setzt TPM 2.0 voraus. Viele Geräte, die das nicht erfüllen, werden mit dem Ende des Supports für Windows 10 ausgemustert. Mehr dazu im Beitrag Gebrauchte PCs verkaufen zum Windows-10-Ende und im Eintrag End of Support.

Was beim Ausmustern zu beachten ist

• Verschlüsselung: Ist BitLocker aktiv, hält das TPM den Schlüssel. Wird die Festplatte in ein anderes Gerät eingebaut, ist sie ohne Wiederherstellungsschlüssel nicht lesbar.
• TPM zurücksetzen: Beim Löschen des TPM gehen alle darin gespeicherten Schlüssel verloren. Daten, die nur damit geschützt waren, sind danach nicht mehr entschlüsselbar.
• Kein Ersatz für die Datenlöschung: Das Zurücksetzen des TPM ist kein dokumentiertes Löschverfahren. Der Datenträger selbst muss gelöscht werden.
• Firmware-Sperren: Ein gesetztes BIOS-Passwort verhindert oft das Zurücksetzen und mindert den Wiederverkaufswert.
• Geräteregistrierung: Bei Geräten in Windows Autopilot ist die Hardware-Kennung registriert. Sie muss vor dem Verkauf entfernt werden.

TPM und Second IT

Second IT löscht Datenträger aus PCs und Notebooks softwarebasiert mit Blancco, unabhängig von der Verschlüsselung, und stellt für jedes Gerät ein digital signiertes Löschzertifikat aus. Bei der Aufbereitung werden Geräte mit aktuellem Betriebssystem versehen. Mehr zur zertifizierten Datenlöschung.

Häufige Fragen zum TPM

Wie finde ich heraus, ob mein PC TPM 2.0 hat?

Unter Windows über den Befehl „tpm.msc“. Dort stehen Status und Spezifikationsversion. Bei manchen Geräten muss das TPM erst in den Firmware-Einstellungen aktiviert werden.

Lässt sich TPM 2.0 nachrüsten?

Bei manchen Hauptplatinen über ein steckbares Modul oder durch Aktivieren des Firmware-TPM. Bei vielen älteren Notebooks ist das nicht möglich. Dann ist ein Austausch des Geräts die Regel.

Gehen beim TPM-Reset die Daten auf der Festplatte verloren?

Die Daten bleiben physisch auf dem Datenträger. Waren sie mit einem Schlüssel aus dem TPM verschlüsselt und fehlt der Wiederherstellungsschlüssel, sind sie danach nicht mehr lesbar. Unverschlüsselte Daten bleiben lesbar.