TPM-Attestierung für KMS: Windows-Aktivierung sichern

Stellen Sie sich einen winzigen Chip vor, der darüber entscheidet, ob Ihr Unternehmen Windows legal starten darf. Genau diese Rolle schreibt Microsoft dem TPM zu, während Microsoft die Vorgaben für die Unternehmensaktivierung verschärft.

Nachdem Microsoft TPM mit Windows 11 auf Mainboards durchgesetzt hat, verwandelt das Unternehmen diesen Hardware-Fußabdruck in ein Mittel gegen Piraterie für große Organisationen. Microsoft hat sein KMS-Aktivierungssystem aktualisiert, sodass KMS-Server die kryptografischen Fähigkeiten eines TPM nutzen können, um zu belegen, dass sie echt, unverändert und zum Ausstellen von Lizenzen autorisiert sind.

Praktische Änderung, klares Ziel

KMS, der Key Management Service, wird von Unternehmen genutzt, wenn Hunderte oder Tausende Geräte gleichzeitig aktiviert werden müssen. Seit Jahren imitieren Angreifer und Werkzeuge aus dem Schattenmarkt KMS oder missbrauchen es, um Windows ohne gültige Lizenzen zu aktivieren. Die neue TPM-basierte Attestierung prüft die Hardware-Identität und Integrität eines Servers, bevor er auf Aktivierungsanfragen antworten darf, und verringert so die Angriffsfläche für gefälschte oder manipulierte Aktivierungsserver.

Der Ablauf ist prinzipiell einfach: Ein TPM auf dem KMS-Host bestätigt, dass der Server ein anerkanntes Hardwaregerät ist, stellt fest, dass das System nicht manipuliert wurde, und erlaubt anschließend das Signieren beziehungsweise die kryptografische Bestätigung, dass Aktivierungsanfragen legitim sind. Diese Vertrauenskette verlagert Aktivierungsentscheidungen aus rein softwarebasierten Prüfungen in hardwaregestützte Nachweise.

Microsoft erklärt, dass diese hardwaregestützte Überprüfung in der nächsten Windows-Server-Version verpflichtend wird. Organisationen können ab August 2026 zusammen mit Windows Server 2025 mit formellen Warnungen rechnen, damit IT-Teams Zeit haben, sich vor dem Inkrafttreten anzupassen.

Was sollten Netzwerk- und Lizenzverantwortliche tun? Beginnen Sie mit einer Bestandsaufnahme der Aktivierungsserver und der Plattformen, auf denen sie laufen. Überprüfen Sie, ob Mainboards und Prozessoren in Ihrer Infrastruktur TPM unterstützen, sorgen Sie dafür, dass die Firmware aktuell ist, und bereiten Sie sich darauf vor, TPM-Schlüssel oder Zertifikate gemäß den Vorgaben Ihrer Hersteller bereitzustellen. Testen Sie KMS-Server mit aktivierter Attestierung in einer Staging-Umgebung, bevor Sie die Funktion in der Produktion aktivieren.

Diese Veränderung zielt nicht nur darauf ab, piratierte Lizenzen zu unterbinden. Es geht darum, die Vertrauensgrundlage für Unternehmensaktivierungen anzuheben, es Angreifern schwerer zu machen, legitime Server zu imitieren, und Administratoren klarere Hinweise auf den Zustand ihrer Aktivierungsinfrastruktur zu geben.

Wenn Sie die Windows-Lizenzierung eines Unternehmens verwalten, behandeln Sie die bevorstehende TPM-Attestierung als Priorität und planen Sie jetzt Ihre Upgrades und Tests.