TPM 2.0 und Secure Boot – PCs fit machen für Windows 11

Rechner aktualisieren und sicherer betreiben TPM 2.0 und Secure Boot – PCs fit machen für Windows 11

05.02.2022 Von Thomas Joos

Anbieter zum Thema

V2_Screen_M.png (SEPPmail - Deutschlang GmbH)

Um auf einem PC Windows 11 zu installieren, muss die Hardware dafür vorbreitet sein. Wir zeigen, wie das geht, auf was dabei geachtet werden muss und wie ein Test umgangen wird. Eine wesentliche Rolle dabei spielen Secure Boot und TPM.

Mit ein paar Tricks lässt sich Windows 11 auch ohne TPM und Secure Boot installieren. Doch besser ist es, TPM und Secure Boot zu nutzen, was sich oft ganz einfach umsetzen lässt.(Bild: Joos /) — Mit ein paar Tricks lässt sich Windows 11 auch ohne TPM und Secure Boot installieren. Doch besser ist es, TPM und Secure Boot zu nutzen, was sich oft ganz einfach umsetzen lässt.
(Bild: Joos /)

Wenn in einem PC der TPM-Chip (Trusted Platform Module) nicht aktiviert ist und Secure Boot nicht zum Einsatz kommt, lässt sich weder Windows 10 zu Windows 11 aktualisieren noch Windows 11 neu auf dem PC installieren. Es gibt zwar den einen oder anderen Trick, die diesbezügliche Überprüfung auszuschalten, die Windows 11 vor der Aktualisierung durchführt. Allerdings ist nicht sichergestellt, dass das immer funktioniert.

Und grundsätzlich ist die Prüfung auf TPM und Secure Boot natürlich sinnvoll, da Secure Boot ein wichtiges Feature ist und TPM schlussendlich für Sicherheitsfunktionen wie Bitlocker wichtig ist, um PCs vor Angreifern zu schützen. In vielen Fällen ist es außerdem nicht notwendig, die Tests von Windows 11 zu deaktivieren. Oft reicht es aus, wenn der TPM-Chip im Bios aktiviert wird – denn häufig ist dieser bereits vorhanden aber eben nicht in Betrieb.

Bildergalerie

Aktivieren eines TPM-Chips im BIOS/UEFI.(Bild: Joos / Intel / Dell)

Secure Boot im BIOS/UEFI aktivieren.(Bild: Joos / Intel / Dell)

Aktivieren der Virtualisierungsfunktionen für Prozessoren im BIOS.(Bild: Joos / Intel / Dell)

TPM-Chip und Secure Boot kann für VMs in Hyper-V aktiviert werden.(Bild: Joos / Microsoft)

Bildergalerie mit 13 Bildern

TPM-Chip nachrüsten

Wenn im PC kein TPM verbaut ist, kann über den Typ der Hauptplatine herausgefunden werden, ob TPM-Chips nachgerüstet werden können. In den meisten Fällen kosten solche Module zwischen 40 und 100 Euro. Der Hersteller der Hauptplatine und der Typ des Motherboards lassen sich zum Beispiel in der Befehlszeile von Windows mit dem Befehl "wmic baseboard get product,Manufacturer,version" herausfinden. Auch das Tool CPU-Z liefert ohne Installation entsprechende Ergebnisse.

TPM-Chip im Bios/UEFI aktivieren

Bricht die Installation von Windows 11 mit einer Fehlermeldung ab, dass kein TPM-Chip vorhanden ist, sollte zunächst im BIOS/UEFI überprüft werden, ob ein TPM-Chip verbaut, aber nicht aktiviert ist. Hier besteht der einfachste Weg darin, im BIOS/UEFI zunächst zu überprüfen, ob im Bereich "Sicherheit" oder "Security" Funktionen für den TPM-Chip zu sehen sind. Sind hier keine Funktionen zu sehen, besteht die Chance bei "Boot" oder "Authentication" fündig zu werden.

Nach der Aktivierung steht der Chip sofort zur Verfügung. In Windows kann mit "tpm.msc" überprüft werden, ob der Chip von Windows erkannt wurde und auch dort zur Verfügung steht. Bei "Status" sollte die Meldung "Das TPM ist einsatzbereit" erscheinen.

Secure Boot im BIOS aktivieren

Secure Boot hat die Aufgabe, sicherzustellen, dass während des Starts von Windows keine Malware über Treiber oder Preload-Funktionen das System infiltrieren kann. Denn oft ist der Virenscanner noch nicht aktiv, wenn Malware lädt. Diese Lücke im Sicherheitssystem soll durch Secure Boot verhindert werden. Sobald Secure Boot aktiviert ist, startet Windows nur dann, wenn die Firmware und die Boot-Dateien von Windows nicht unberechtigt verändert wurden.

Ist auf einem PC Secure Boot vorhanden und aktiv, lässt sich das in Windows 10 und Windows 11 über die Einstellungen in Erfahrung bringen. Die Optionen dazu sind bei "Datenschutz & Sicherheit" im Bereich "Windows-Sicherheit" über "Gerätesicherheit" zu finden. Hier ist zu sehen, ob in Windows der TPM-Chip vorhanden ist ("Sicherheitschip") und auch ob Secure Boot aktiviert ist ("Sicherer Start").

Wenn Secure Boot nicht aktiv ist, stehen auch diese Optionen in den meisten Fällen im BIOS/UEFI zur Verfügung. Meistens sind bei "Boot" oder "Boot Configuration", "Security", "Sicherheit" oder "Authentication" die entsprechenden Optionen zu finden. Nach Aktivierung der Funktion steht Secure Boot auch in Windows zur Verfügung. Teilweise bieten manche PCs noch weitere Einstellungsmöglichkeiten für Secure Boot. Diese sind aber nur optional.

Virtualisierungsfunktionen aktivieren

Generell ist es auch sinnvoll, die Virtualisierungsfunktionen von Prozessoren im BIOS/UEFI zu aktivieren. Dadurch können verschiedene Sicherheitsfunktionen in Windows und auch VMs mit Hyper-V auf Funktionen des Prozessors zugreifen, die für die Virtualisierung wichtig sind. Auch das Windows-Subsystem für Linux benötigt diese Technik. Die Einstellungen dazu sind meistens bei "Virtualization" zu finden. Windows 11 lässt sich aber auch ohne die Aktivierung dieser Funktionen installieren.

TPM und Secure Boot für virtuelle Computer mit Windows 11

Soll Windows 11 als VM mit Hyper-V virtualisiert werden, können in den Einstellungen der VM bei "Sicherheit" die Optionen "Sicherer Start aktivieren" mit "Vorlage: Microsoft Windows" und "Trusted Platform Module aktivieren" gesetzt werden. Um Windows 11 installieren zu können, muss außerdem noch bei "Prozessor" die "Anzahl virtueller Prozessoren" auf mindestens 2 gesetzt werden. Danach lassen sich Windows-10-Computer zu Windows 11 aktualisieren und auch neue VMs mit Windows 11 installieren.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Geschäftliche E-Mail

Bitte geben Sie eine gültige E-Mailadresse ein.

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Stand: 08.12.2025

Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.

Einwilligung in die Verwendung von Daten zu Werbezwecken

Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH, Max-Josef-Metzger-Straße 21, 86157 Augsburg, einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von Newslettern und Werbung nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.

Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.

Meine Einwilligung umfasst zudem die Verarbeitung meiner E-Mail-Adresse und Telefonnummer für den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern wie z.B. LinkedIN, Google und Meta. Hierfür darf die Vogel Communications Group die genannten Daten gehasht an Werbepartner übermitteln, die diese Daten dann nutzen, um feststellen zu können, ob ich ebenfalls Mitglied auf den besagten Werbepartnerportalen bin. Die Vogel Communications Group nutzt diese Funktion zu Zwecken des Retargeting (Upselling, Crossselling und Kundenbindung), der Generierung von sog. Lookalike Audiences zur Neukundengewinnung und als Ausschlussgrundlage für laufende Werbekampagnen. Weitere Informationen kann ich dem Abschnitt „Datenabgleich zu Marketingzwecken“ in der Datenschutzerklärung entnehmen.

Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden. Dies gilt nicht für den Datenabgleich zu Marketingzwecken.

Recht auf Widerruf

Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://contact.vogel.de abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung.

Die Installation in VMware Workstation ist ebenfalls möglich. Hier sind allerdings mehr Anpassungen notwendig, die VMware auf der Seite "Installing Windows 11 as a guest OS on VMware Workstation Pro/Player and Fusion (86207)" beschreibt.

Rufus: Windows 11 ohne TPM und Secure Boot mit USB-Stick installieren

Mit etwas Recherche finden sich im Internet zahlreiche Tipps, mit denen die Registry von Windows 10 so manipuliert werden kann, dass sich Windows 11 auch ohne TPM und Secure Boot installieren lässt. Ist auf dem PC kein TPM vorhanden oder soll Secure Boot nicht zum Einsatz kommen, ist der bessere Weg aber, die Installation mit einem Windows-11-Abbild vorzunehmen, bei dem die Überprüfung bereits deaktiviert ist. Das geht am einfachsten mit dem kostenlosen Tool Rufus. Das Tool steht auch als portable Version zur Verfügung.

Nach dem Start muss bei "Auswahl" nur noch eine ISO-Datei von Windows 11 ausgewählt werden. Diese stellt Microsoft kostenlos zur Verfügung. Nach dem Laden der ISO-Datei steht bei "Abbildungseigenschaft" die Option "Extended Windows 11 Installaton (no TPM / no Secure Boot)" zur Verfügung. Nach Auswahl der Option und des richtigen USB-Sticks bei "Laufwerk" lässts ich ein Installationsdatenträger erstellen, der keine Überprüfung von TPM-Chip oder Secure Boot durchführt.

(ID:48442808)