Microsofts TPM-Attestierung wird viele Windows-KMS-Aktivatoren blockieren

Microsoft bereitet eine Pflicht zur TPM-Attestierung für Server vor, die die Aktivierung über den Windows Key Management Service (KMS) verwalten. Die Änderung könnte viele gefälschte Windows-KMS-Aktivatoren blockieren, die für Softwarepiraterie eingesetzt werden.

Das Unternehmen erklärt, dass zukünftige KMS-Hosts nachweisen müssen, dass sie auf verifizierter und nicht kompromittierter Hardware ausgeführt werden, bevor sie Windows-Clientgeräte aktivieren dürfen.

Ab August 2026 wird Windows Server 2025 Administratoren entsprechende Bereitschaftshinweise anzeigen.

TPM-Attestierung ergänzt die KMS-Aktivierung um eine Hardwareprüfung

Der Key Management Service (KMS) ermöglicht es Unternehmen, Windows auf einer großen Anzahl von Geräten zu aktivieren, ohne auf jedem einzelnen Rechner einen separaten Produktschlüssel eingeben zu müssen.

Bislang beruhte die KMS-Aktivierung hauptsächlich auf softwarebasierten Prüfungen. Dadurch konnten Angreifer und Softwarepiraten geklonte oder gefälschte KMS-Server erstellen, die gegenüber Windows-Geräten als legitim erschienen.

Microsoft plant nun, für KMS-Hosts eine TPM-Attestierung mit hardwaregestützter Aktivierung vorzuschreiben.

Ein Trusted Platform Module (TPM) ist eine Hardware-Sicherheitskomponente, die kryptografische Schlüssel speichert und kryptografische Operationen ausführt. Die meisten modernen Computer verfügen bereits über ein TPM, und TPM 2.0 ist seit Windows 11 verpflichtend.

KMS-Hosts müssen ihre Echtheit nachweisen

Jedes TPM verfügt über einen eindeutigen Endorsement Key, der zur Identitätsprüfung eines Geräts verwendet werden kann.

Nach Microsofts neuem Verfahren muss ein KMS-Host einen TPM-gestützten Nachweis erbringen, dass er echt ist und nicht manipuliert wurde. Microsoft überprüft diesen Nachweis, bevor der Server Windows-Clients aktivieren darf.

Ziel ist es, zu verhindern, dass gefälschte KMS-Infrastrukturen kopiert, nachgeahmt oder als nicht autorisierter Aktivierungsdienst betrieben werden.

Windows Server 2025 zeigt Bereitschaftswarnungen an

Ab August 2026 wird Windows Server 2025 Hinweise zur Vorbereitung auf die Umstellung anzeigen.

Administratoren können den Status mit dem Befehl slmgr /dlv überprüfen, der detaillierte Lizenzinformationen liefert. Die entsprechenden Meldungen werden außerdem in den Protokollen des KMS-Dienstes angezeigt.

Server ohne verfügbares TPM erhalten eine Warnung, dass das Gerät die Anforderungen für hardwaregeschütztes KMS-Hosting nicht erfüllt. Kompatible Systeme zeigen dagegen an, dass sie als KMS-Host mit hardwarebasierter Sicherheit geeignet sind.

Microsoft empfiehlt Unternehmen, erforderliche Hardware-Upgrades rechtzeitig vor Inkrafttreten der neuen Anforderungen zu planen.

Windows-KMS-Aktivatoren stehen vor einer großen Hürde

Gefälschte Windows-KMS-Aktivatoren werden seit Jahren genutzt, um die Windows-Lizenzierung zu umgehen.

Diese Werkzeuge emulieren in der Regel lokal einen KMS-Dienst oder leiten einen Computer an einen nicht autorisierten KMS-Server im Internet weiter. Das Gerät erhält dadurch eine scheinbar gültige Aktivierung, obwohl keine rechtmäßige Lizenz vorhanden ist.

Die TPM-gestützte Attestierung dürfte diese Methode deutlich erschweren, da der gefälschte Server nachweisen müsste, dass er auf verifizierter Hardware ausgeführt wird.

Die Änderung wird jedoch nicht zwangsläufig alle Möglichkeiten zur Umgehung der Windows-Aktivierung beseitigen. Andere Methoden, die auf andere Bestandteile von Microsofts Lizenzierungssystem abzielen, könnten weiterhin existieren.

Microsoft hat bislang noch keine detaillierten Informationen zur Unterstützung virtualisierter KMS-Hosts veröffentlicht, kündigte jedoch an, dass weitere Hinweise folgen werden.