TPM 2.0 und Windows 11: So prüfen Sie, ob Sie es haben – und warum es zählt

„Dieser PC erfüllt die Mindestsystemanforderungen für die Ausführung von Windows 11 nicht.” Neben dieser Meldung tauchen fast immer drei Buchstaben auf — TPM. Es folgt eine halbe Stunde Suche im Internet, aus der die Erkenntnis hervorgeht, man müsse einen neuen Rechner kaufen.

Das muss nicht stimmen. Bei einem Teil der neueren Rechner ist der Chip vorhanden. Der Hersteller hat ihn nur deaktiviert gelassen.

Die Antwort sofort: Drücken Sie Win + R, tippen Sie tpm.msc und bestätigen Sie. Suchen Sie im Fenster die Zeile Spezifikationsversion — dort muss 2.0 stehen. Erscheint stattdessen „Kompatibles TPM kann nicht gefunden werden”, ist TPM bei einem Teil der neueren Rechner womöglich nur im UEFI deaktiviert: Intel PTT oder AMD fTPM. Sie stellen es auf Enabled und kaufen nichts. Nur bevor Sie ins UEFI gehen — vergewissern Sie sich, dass Sie den BitLocker-Wiederherstellungsschlüssel haben.

Was TPM eigentlich tut

TPM (Trusted Platform Module) ist ein kleiner Sicherheitschip — heute eher ein Stück Firmware, das direkt im Prozessor läuft. Es ist ein kryptografisches Modul: Es führt kryptografische Operationen selbst aus, schützt als nicht exportierbar markierte Schlüssel und bewahrt Messwerte darüber auf, was beim Start des Rechners ausgeführt wurde.

Praktisch stützen sich drei Dinge darauf: der Schlüssel, mit dem beim Start die BitLocker-verschlüsselte Platte entsperrt wird; die Anmeldung über Windows Hello, bei der TPM den privaten Schlüssel schützen kann (die PIN selbst und biometrische Daten werden im TPM üblicherweise nicht gespeichert); und die Integritätsmessungen des Starts, auf die sich Schutzmechanismen stützen, die prüfen, dass kein untergeschobener Bootloader gestartet wurde.

Der Unterschied zu einem in einer Datei gespeicherten Passwort ist grundlegend: Ein korrekt erzeugter, nicht exportierbarer Schlüssel lässt sich mit gewöhnlichen Mitteln nicht aus dem TPM exportieren. Stiehlt jemand ein Notebook und baut die SSD aus, bekommt er sie an einem anderen Rechner ohne Wiederherstellungsschlüssel nicht auf — das TPM ist im ursprünglichen Mainboard geblieben. Genau darauf baut die Verschlüsselung des Firmen-Notebooks mit BitLocker auf.

Für den Firmeninhaber folgt daraus eine einfache Sache: TPM 2.0 ist nicht nur eine lästige Installationsbedingung für Windows 11, sondern das, worauf die Datenverschlüsselung auf dem reisenden Notebook steht.

So prüfen Sie es schnell

Am schnellsten geht es über die TPM-Konsole:

1. Drücken Sie Win + R, tippen Sie tpm.msc, bestätigen Sie mit Enter.
2. Im Abschnitt TPM-Herstellerinformationen finden Sie die Zeile Spezifikationsversion. Dort muss 2.0 stehen.
3. Springt stattdessen „Kompatibles TPM kann nicht gefunden werden” heraus, fehlt der Chip entweder oder er ist deaktiviert — und das Zweite ist deutlich häufiger.

Drei weitere Stellen zeigen jeweils etwas anderes, und es lohnt sich, sie alle durchzugehen:

Das Letzte sollten Sie sich merken. Es ist die häufigste Sackgasse des ganzen Themas: TPM 2.0 in Ordnung, aber der BIOS-Modus meldet Legacy — und Windows 11 kommt trotzdem nicht durch. Den konkreten Ablehnungsgrund nennt auch die App PC-Integritätsprüfung (PC Health Check) direkt von Microsoft.

„Modul nicht gefunden” heißt noch nicht, dass Sie keines haben

Das ist die wichtigste Erkenntnis des ganzen Artikels. Bei Rechnern etwa ab dem Jahr 2017 ist TPM kein eigenes Plättchen auf dem Mainboard mehr, sondern eine im Prozessor eingebaute Funktion: bei Intel heißt sie PTT (Platform Trust Technology), bei AMD fTPM (Firmware TPM). Eine ganze Reihe von Board-Herstellern lässt sie ab Werk deaktiviert — und der Anwender liest dann, er müsse einen neuen Rechner kaufen.

Microsoft weist selbst darauf hin, dass der Eintrag im UEFI Security Device, Security Device Support, TPM State, AMD fTPM switch, AMD PSP fTPM, Intel PTT oder Intel Platform Trust Technology heißen kann. Wo Sie ihn je nach Hersteller finden (die Bezeichnungen unterscheiden sich je nach Firmware-Version):

Ins UEFI kommen Sie auch, ohne die Starttaste zu erraten: Einstellungen → System → Wiederherstellung → Jetzt neu starten, dann Problembehandlung → Erweiterte Optionen → UEFI-Firmwareeinstellungen.

Bevor Sie den Eintrag umschalten, erledigen Sie eines: Vergewissern Sie sich, dass Sie den BitLocker-Wiederherstellungsschlüssel haben. Änderungen rund um TPM und Secure Boot können beim nächsten Start die blaue Abfrage nach dem 48-stelligen Schlüssel auslösen, und ohne ihn kommen Sie nicht an die Daten. Wo Sie ihn finden, behandeln wir im Artikel darüber, was zu tun ist, wenn sich die Platte nicht entsperren lässt.

Bei Notebooks von Dell, HP und Lenovo ist TPM meist ab Werk aktiviert; deaktiviert begegnet es uns vor allem bei zusammengebauten Desktop-Systemen. In manche Boards lässt sich ein separates Modul für den TPM-/JTPM-Anschluss nachkaufen, rechnen Sie aber damit, dass Pinzahl und Pinbelegung herstellerspezifisch sind, es kein Universalteil gibt und die Beschaffung bei älteren Modellen miserabel ist. Hat der Prozessor fTPM oder PTT, kaufen Sie gar nichts.

TPM ist nicht die einzige Hürde — und oft nicht einmal die härteste

Der Rechner muss alle Bedingungen gleichzeitig erfüllen:

• Prozessor aus der unterstützten Liste, 64-Bit, 1 GHz und zwei Kerne oder mehr,
• 4 GB RAM und 64 GB Platz auf der Platte,
• Firmware UEFI mit Secure-Boot-Fähigkeit,
• TPM Version 2.0,
• Grafik mit DirectX 12 und WDDM-2.0-Treiber.

In der Praxis stoppt Sie am häufigsten der Prozessor, nicht TPM. Die Grenze verläuft grob bei Intel Core der 8. Generation und neuer (mit ein paar Ausnahmen aus der 7. Generation) sowie bei AMD Ryzen 2000 und neuer — die erste Ryzen-Generation wird nicht unterstützt. Prüfen Sie Ihr konkretes Modell gegen die Microsoft-Liste; nach dem Namen geht die Rechnung nicht immer auf.

Wenn TPM 2.0 aktiviert ist und die Installation trotzdem nicht läuft, gehen Sie diese Reihenfolge durch:

1. msinfo32 meldet beim BIOS-Modus Legacy → die Platte nutzt die MBR-Partitionierung. Windows enthält das Werkzeug mbr2gpt, das die Systemplatte ohne Neuinstallation und ohne Datenverlust nach GPT konvertiert (zuerst mbr2gpt /validate /disk:0 /allowFullOS), danach stellt man im UEFI das Booten von CSM/Legacy auf reines UEFI um. Zuerst die Sicherung. Wird das falsch gemacht, startet der Rechner nicht mehr.
2. Secure Boot ist deaktiviert → im UEFI aktivieren.
3. Der Prozessor steht nicht auf der Liste → weiter hilft dieser Weg nicht mehr.

Wenn auf dieser Platte die produktive Firmenbuchhaltung liegt und Sie sich die Konvertierung nach GPT selbst nicht zutrauen, melden Sie sich bei uns — in Brünn machen wir das mit vorheriger Sicherung und geprüftem Start nach dem Eingriff.

Vier Wege, wenn der Rechner Windows 11 nicht erfüllt

Zum dritten Weg: Microsoft garantiert bei Rechnern außerhalb der Anforderungen weder Updates noch Kompatibilität und setzt ein Wasserzeichen auf den Desktop und in die Einstellungen. Beim Familien-PC ist das die Entscheidung des Besitzers. Bei einem Rechner, auf dem eine Firma Rechnungen schreibt und die Buchhaltung hält, kappen Sie bewusst die Gewissheit, dass der Sicherheitspatch ankommt.

Zwei Daten, die die ganze Überlegung verändern. Der reguläre Support für Windows 10 endete am 14. Oktober 2025, und die kostenpflichtigen wie kostenlosen erweiterten Updates (ESU) sind eine Brücke auf begrenzte Zeit — das aktuelle Enddatum und die Bedingungen zeigt Ihnen direkt der Registrierungsbildschirm unter Einstellungen → Windows Update, verlassen Sie sich darauf und nicht auf Artikel; die Zusammenhänge haben wir im Text zum Support-Ende von Windows 10 aufgeschrieben. Und das zweite Datum betrifft auch die, die bereits auf der Elf sind: Windows 11 Version 24H2 erhält in den Editionen Home und Pro ab dem 13. Oktober 2026 keine Updates mehr, also in etwa zwei Monaten. Version 25H2 wird auf 24H2 als Aktivierungspaket verteilt; der Ablauf hängt vom Systemzustand ab, und neue Hardwareanforderungen bringt die Version nicht mit. Die Editionen Enterprise und Education haben ein Jahr länger Zeit.

Wo TPM umgekehrt Ärger macht

Ruckler bei Ryzen. Ein belegtes Problem mit konkreter Ursache: Bei einem Teil der Ryzen-Systeme führte fTPM langwierige Transaktionen im SPI-Flash-Speicher des Mainboards aus, und das System stand dabei ein bis zwei Sekunden still. In der Musik hörte man es als Knacken, in Spielen als Ruckler. Gelöst wird das nicht durch das Abschalten von fTPM — Sie würden TPM verlieren — sondern durch ein BIOS-Update auf eine Version mit AGESA-Mikrocode 1.2.0.7 oder neuer. Ob Ihr Board eines bekommen hat, hängt vom Hersteller ab.

Die Meldung über beschädigten fTPM-Speicher. Nach einem Prozessortausch oder einem BIOS-Update erscheint bei AM4-Boards beim Start das Angebot, dass die fTPM-Daten beschädigt sind oder sich geändert haben, und ob die Firmware sie zurücksetzen soll. Zurücksetzen bedeutet Löschen der Schlüssel — also auch des BitLocker-Schlüssels. Wenn Sie nicht wissen, wo Ihr Wiederherstellungsschlüssel liegt, bestätigen Sie dieses Angebot nicht.

Die Schaltfläche „TPM löschen”. Sie sieht harmlos aus und ist sowohl in der Windows-Sicherheit als auch in manchen UEFI griffbereit. Durch das Löschen verlieren Sie alle Schlüssel, die im Chip waren — BitLocker wie Windows Hello. Ist die Platte verschlüsselt und der Schlüssel nirgends gespeichert, entsteht eine Lage, die niemand mehr löst, auch Microsoft nicht. Den Schlüssel vor dem Eingriff sichern, nicht danach.

Verschlüsselung, von der Sie nichts wissen. Ab Version 24H2 aktiviert Windows bei einer Neuinstallation auf einem passenden Rechner die Geräteverschlüsselung selbst, sobald sich der Anwender mit einem Microsoft-Konto oder einem Arbeitskonto anmeldet; der Schlüssel wird bei diesem Konto hinterlegt. Beim Upgrade von einer älteren Version passiert das nicht. Ein neues Notebook in der Firma kann also verschlüsselt sein, ohne dass es jemand bewusst eingeschaltet hätte — und das ist etwas, das Sie früher herausfinden wollen als in dem Moment, in dem der Rechner nicht mehr startet.

Wenn Sie die Einstellungen nicht selbst anfassen wollen, erledigen wir das im Rahmen der Windows-Neuinstallation und Einrichtung.

Wann man es dem Service überlässt

PTT oder fTPM im UEFI zu aktivieren, schafft ein technisch versierterer Mensch selbst, und es kostet nichts. In den Service gehört es, wenn:

• im UEFI kein einziger Eintrag zu TPM existiert und Sie wissen müssen, ob das Board es überhaupt kann,
• die Platte im MBR liegt und Ihnen die Konvertierung nach GPT bei einem Rechner mit produktiven Firmendaten bevorsteht,
• der Rechner verschlüsselt ist und niemand den Wiederherstellungsschlüssel hat — dort sucht man zuerst den Schlüssel und gültige Protectors, erst dann geht es um Windows,
• Sie sich fragen, ob sich eine Investition in den Rechner überhaupt lohnt; die Entscheidungskriterien haben wir im Artikel neu installieren, reparieren oder wegwerfen zusammengeschrieben.

Wir machen das in Brünn als ganz normale Arbeit — von der TPM-Prüfung und den UEFI-Einstellungen bis zur Plattenkonvertierung und dem Umstieg auf Windows 11 mit vorheriger Sicherung. Was es kosten wird, sagen wir nach der Diagnose; das Aktivieren von PTT/fTPM ist meist eine einfache Einstellung. Bei einer verschlüsselten Platte seien wir präzise: Wir können helfen, einen verfügbaren Wiederherstellungsschlüssel dort zu finden, wo er üblicherweise liegt (Microsoft-Konto, Firmenverzeichnis, gedruckte Kopie, USB, Domäne), zu prüfen, ob das Volume einen anderen gültigen Protector hat, oder die Daten zu retten, nachdem das Volume entsperrt wurde. Ohne brauchbaren Schlüssel oder Protector lässt sich BitLocker gewöhnlich nicht knacken — das können weder wir noch sonst jemand. Schreiben Sie uns, um welchen Rechner es geht und was er meldet.

Vor jedem Eingriff in TPM, UEFI oder die Partitionstabelle gilt dieselbe Regel wie immer: zuerst die Sicherung nach 3-2-1, erst dann der Eingriff. Die reine Prüfung in tpm.msc ändert nichts und riskiert nichts — riskant ist erst das, was danach folgt.

Online-Auftrag: Windows-Neuinstallation — nennen Sie Modell und Symptom, wir melden uns mit dem nächsten Schritt.