Windows 11: Microsofts neue TPM-Regel trifft nicht deinen PC

KMS Hardware-Secured prüft den Aktivierungsserver per TPM, nicht den einzelnen Rechner.

Microsoft bindet die Windows-Volumenaktivierung an den TPM-Chip. Daraus wurde am Wochenende die Meldung, raubkopiertes Windows 11 höre bald auf zu funktionieren. Der Blogbeitrag vom 22. Juli sagt das nicht. Betroffen sind KMS-Server in Unternehmen, nicht einzelne Rechner. Was wirklich angekündigt wurde und ab wann es gilt.

Steffen Zahn, Veröffentlicht am 28.07.2026

Seit dem Wochenende kursiert die Meldung, Microsoft schiebe raubkopierten Windows-11-Installationen endgültig einen Riegel vor. Auslöser ist ein Beitrag im Windows IT Pro Blog vom 22. Juli. Darin geht es um TPM, den Sicherheitschip auf dem Mainboard, und um die Windows-Aktivierung. Nur steht dort etwas anderes, als die Schlagzeilen behaupten.

Was KMS überhaupt ist

Firmen aktivieren Windows nicht Rechner für Rechner bei Microsoft. Sie betreiben einen eigenen Server im Haus, den Key Management Service, kurz KMS. Jeder PC im Netz fragt dort an und bekommt seine Aktivierung. Das spart Aufwand, hat aber eine Schwäche. Ein KMS-Host weist sich bisher nur über seine Software-Konfiguration aus, und die lässt sich kopieren.

Genau das passiert laut Microsoft. Angreifer stellen gefälschte oder geklonte KMS-Server auf, die sich im Firmennetz als echt ausgeben und Maschinen lizenzieren, für die niemand bezahlt hat. Für das Unternehmen wird daraus ein Lizenz- und Compliance-Problem.

Was Microsoft dagegen tut

Die neue Funktion heißt KMS Hardware-Secured und verlangt vom KMS-Host eine TPM-Attestierung. Das Trusted Platform Module, kurz TPM, ist ein Chip auf dem Mainboard, der kryptografisch belegen kann, um welche Hardware es sich handelt und dass an ihr nichts manipuliert wurde. Der Server muss zwei Dinge nachweisen, bevor er überhaupt eine Lizenz vergeben darf: seine Hardware-Identität, die Microsoft gegenprüft, und dass die Plattform seither unverändert geblieben ist. Wer eine der beiden Prüfungen nicht besteht, aktiviert gar nichts mehr.

Der Zeitplan, und was schon jetzt gilt

Scharf ist davon noch nichts. Ab August 2026 zeigt Windows Server 2025 lediglich Hinweise an, ob ein Host bereit ist. Sichtbar werden sie über den Befehl slmgr /dlv und in der Ereignisanzeige unter Anwendungs- und Dienstprotokolle, Key Management Service. Die eine Meldung besagt, das Gerät sei als KMS-Host mit hardwarebasierter Sicherheit geeignet, die andere, dass es die Anforderungen nicht erfüllt.

Pflicht wird die TPM-Attestierung erst mit der nächsten Windows-Server-Version aus der Langzeitwartung, dem LTSC-Zweig. Ein Datum dafür nennt Microsoft nicht. Bis dahin laufen bestehende KMS-Installationen unverändert weiter. Wer prüfen will, ob seine Hardware mitspielt, kann das in einer PowerShell mit Administratorrechten tun, mit dem Befehl Get-TpmSupportedFeature -FeatureList "Key Attestation". Antwortet der Server mit Key Attestation, ist die Funktion vorhanden.

Warum dein Rechner damit nichts zu tun hat

Und damit zu der Stelle, an der die Berichterstattung entgleist ist. KMS Hardware-Secured prüft den Server, nicht den Client. Auf dem PC vor dir passiert dabei nichts. Wer sein Windows privat betreibt, merkt von der Änderung nichts, egal mit welcher Lizenz.

Der Kurzschluss entstand über einen zweiten Punkt. Microsoft hatte Ende 2025 eine Aktivierungsmethode namens KMS38 unbrauchbar gemacht, und daraus wurde die Erwartung, hier folge der nächste Schlag. KMS38 hatte mit KMS-Servern oder TPM aber nichts zu tun. Die Methode nutzte eine Hilfsdatei des Windows-Upgrades aus, um ein weit entferntes Ablaufdatum vorzutäuschen. Microsoft hat schon früher Anleitungen zur Umgehung des TPM-Checks aus dem eigenen Support-Dokument entfernt, das Thema ist also nicht neu.

Auch die Umgehung, die tatsächlich KMS im Namen trägt, ist nicht betroffen. Sie spricht keinen echten KMS-Host an, sondern startet einen gefälschten Server auf dem eigenen Rechner, der die Anfrage einfach bejaht. Da ist keine Instanz, die eine TPM-Prüfung durchführen könnte. Die heute verbreiteten Methoden setzen ohnehin an ganz anderer Stelle an.

Dass TPM bei Windows 11 nicht immer so zwingend ist, wie es klingt, war schon beim Upgrade älterer Rechner zu beobachten.

Wer jetzt wirklich handeln muss

Betroffen sind Administratoren, und auch von denen nur die mit einem eigenen KMS-Host. Für physische Server verlangt Microsoft, dass das Gerät im Windows Server Catalog zertifiziert ist und ein TPM installiert und aktiviert hat. Für virtuelle KMS-Hosts gibt es bislang keine Vorgaben. Die will Microsoft in einem späteren Beitrag nachreichen, hat die Regeln für diesen Fall also selbst noch nicht veröffentlicht.