Rechner aktualisieren und sicherer betreiben TPM 2.0 und Secure Boot – PCs fit machen für Windows 11

Um auf einem PC Windows 11 zu installieren, muss die Hardware dafür vorbreitet sein. Wir zeigen, wie das geht, auf was dabei geachtet werden muss und wie ein Test umgangen wird. Eine wesentliche Rolle dabei spielen Secure Boot und TPM.

Anbieter zum Thema

Lenovo Global Technology Germany GmbH

Insider Research

Southern Tech GmbH

Microsoft Deutschland GmbH

Wenn in einem PC der TPM-Chip (Trusted Platform Module) nicht aktiviert ist und Secure Boot nicht zum Einsatz kommt, lässt sich weder Windows 10 zu Windows 11 aktualisieren noch Windows 11 neu auf dem PC installieren. Es gibt zwar den einen oder anderen Trick, die diesbezügliche Überprüfung auszuschalten, die Windows 11 vor der Aktualisierung durchführt. Allerdings ist nicht sichergestellt, dass das immer funktioniert.

Und grundsätzlich ist die Prüfung auf TPM und Secure Boot natürlich sinnvoll, da Secure Boot ein wichtiges Feature ist und TPM schlussendlich für Sicherheitsfunktionen wie Bitlocker wichtig ist, um PCs vor Angreifern zu schützen. In vielen Fällen ist es außerdem nicht notwendig, die Tests von Windows 11 zu deaktivieren. Oft reicht es aus, wenn der TPM-Chip im Bios aktiviert wird – denn häufig ist dieser bereits vorhanden aber eben nicht in Betrieb.

TPM-Chip nachrüsten

Wenn im PC kein TPM verbaut ist, kann über den Typ der Hauptplatine herausgefunden werden, ob TPM-Chips nachgerüstet werden können. In den meisten Fällen kosten solche Module zwischen 40 und 100 Euro. Der Hersteller der Hauptplatine und der Typ des Motherboards lassen sich zum Beispiel in der Befehlszeile von Windows mit dem Befehl "wmic baseboard get product,Manufacturer,version" herausfinden. Auch das Tool CPU-Z liefert ohne Installation entsprechende Ergebnisse.

TPM-Chip im Bios/UEFI aktivieren

Bricht die Installation von Windows 11 mit einer Fehlermeldung ab, dass kein TPM-Chip vorhanden ist, sollte zunächst im BIOS/UEFI überprüft werden, ob ein TPM-Chip verbaut, aber nicht aktiviert ist. Hier besteht der einfachste Weg darin, im BIOS/UEFI zunächst zu überprüfen, ob im Bereich "Sicherheit" oder "Security" Funktionen für den TPM-Chip zu sehen sind. Sind hier keine Funktionen zu sehen, besteht die Chance bei "Boot" oder "Authentication" fündig zu werden.

Nach der Aktivierung steht der Chip sofort zur Verfügung. In Windows kann mit "tpm.msc" überprüft werden, ob der Chip von Windows erkannt wurde und auch dort zur Verfügung steht. Bei "Status" sollte die Meldung "Das TPM ist einsatzbereit" erscheinen.

Secure Boot im BIOS aktivieren

Secure Boot hat die Aufgabe, sicherzustellen, dass während des Starts von Windows keine Malware über Treiber oder Preload-Funktionen das System infiltrieren kann. Denn oft ist der Virenscanner noch nicht aktiv, wenn Malware lädt. Diese Lücke im Sicherheitssystem soll durch Secure Boot verhindert werden. Sobald Secure Boot aktiviert ist, startet Windows nur dann, wenn die Firmware und die Boot-Dateien von Windows nicht unberechtigt verändert wurden.

Ist auf einem PC Secure Boot vorhanden und aktiv, lässt sich das in Windows 10 und Windows 11 über die Einstellungen in Erfahrung bringen. Die Optionen dazu sind bei "Datenschutz & Sicherheit" im Bereich "Windows-Sicherheit" über "Gerätesicherheit" zu finden. Hier ist zu sehen, ob in Windows der TPM-Chip vorhanden ist ("Sicherheitschip") und auch ob Secure Boot aktiviert ist ("Sicherer Start").

Wenn Secure Boot nicht aktiv ist, stehen auch diese Optionen in den meisten Fällen im BIOS/UEFI zur Verfügung. Meistens sind bei "Boot" oder "Boot Configuration", "Security", "Sicherheit" oder "Authentication" die entsprechenden Optionen zu finden. Nach Aktivierung der Funktion steht Secure Boot auch in Windows zur Verfügung. Teilweise bieten manche PCs noch weitere Einstellungsmöglichkeiten für Secure Boot. Diese sind aber nur optional.

Virtualisierungsfunktionen aktivieren

Generell ist es auch sinnvoll, die Virtualisierungsfunktionen von Prozessoren im BIOS/UEFI zu aktivieren. Dadurch können verschiedene Sicherheitsfunktionen in Windows und auch VMs mit Hyper-V auf Funktionen des Prozessors zugreifen, die für die Virtualisierung wichtig sind. Auch das Windows-Subsystem für Linux benötigt diese Technik. Die Einstellungen dazu sind meistens bei "Virtualization" zu finden. Windows 11 lässt sich aber auch ohne die Aktivierung dieser Funktionen installieren.

TPM und Secure Boot für virtuelle Computer mit Windows 11

Soll Windows 11 als VM mit Hyper-V virtualisiert werden, können in den Einstellungen der VM bei "Sicherheit" die Optionen "Sicherer Start aktivieren" mit "Vorlage: Microsoft Windows" und "Trusted Platform Module aktivieren" gesetzt werden. Um Windows 11 installieren zu können, muss außerdem noch bei "Prozessor" die "Anzahl virtueller Prozessoren" auf mindestens 2 gesetzt werden. Danach lassen sich Windows-10-Computer zu Windows 11 aktualisieren und auch neue VMs mit Windows 11 installieren.

Die Installation in VMware Workstation ist ebenfalls möglich. Hier sind allerdings mehr Anpassungen notwendig, die VMware auf der Seite "Installing Windows 11 as a guest OS on VMware Workstation Pro/Player and Fusion (86207)" beschreibt.

Rufus: Windows 11 ohne TPM und Secure Boot mit USB-Stick installieren

Mit etwas Recherche finden sich im Internet zahlreiche Tipps, mit denen die Registry von Windows 10 so manipuliert werden kann, dass sich Windows 11 auch ohne TPM und Secure Boot installieren lässt. Ist auf dem PC kein TPM vorhanden oder soll Secure Boot nicht zum Einsatz kommen, ist der bessere Weg aber, die Installation mit einem Windows-11-Abbild vorzunehmen, bei dem die Überprüfung bereits deaktiviert ist. Das geht am einfachsten mit dem kostenlosen Tool Rufus. Das Tool steht auch als portable Version zur Verfügung.

Nach dem Start muss bei "Auswahl" nur noch eine ISO-Datei von Windows 11 ausgewählt werden. Diese stellt Microsoft kostenlos zur Verfügung. Nach dem Laden der ISO-Datei steht bei "Abbildungseigenschaft" die Option "Extended Windows 11 Installaton (no TPM / no Secure Boot)" zur Verfügung. Nach Auswahl der Option und des richtigen USB-Sticks bei "Laufwerk" lässts ich ein Installationsdatenträger erstellen, der keine Überprüfung von TPM-Chip oder Secure Boot durchführt.

(ID:47959942)