Microsoft verschärft KMS-Aktivierung: TPM wird ab Windows Server 2028 verpflichtend
Microsoft verschärft die KMS-Aktivierung mit TPM-Attestierung. Ab Server 2028 LTSC wird hardwarebasierte Absicherung verpflichtend. Was Admins jetzt wissen müssen.
Microsoft hat am 22. Juli 2026 Maßnahmen angekündigt, um den Missbrauch gefälschter und geklonter KMS-Server bei der Windows-Aktivierung einzudämmen. Ab den kommenden Windows Server-Versionen müssen KMS-Hosts vor der Aktivierung von Clients nachweisen, dass sie auf geprüfter, nicht manipulierter Hardware laufen. Die sogenannte KMS Hardware-Secured-Attestierung basiert auf dem Trusted Platform Module (TPM).
Was hat Microsoft angekündigt?
Im Techcommunity-Beitrag Strengthening Key Management Service (KMS) with Hardware-Based Trust erklärte Microsoft die neuen Anforderungen. Der Kern der Ankündigung: KMS-Hosts müssen künftig eine TPM-Attestierung bestehen, bevor sie Windows-Geräte aktivieren können.
Die Konkretisierung erfolgt in zwei Schritten:
- Ab August 2026 (Windows Server 2025): Benachrichtigungen zur Bereitschaft werden angezeigt. Administratoren können prüfen, ob ihr KMS-Host für hardwarebasierte Sicherheit bereit ist. Dies ist eine Warnstufe, keine Durchsetzung.
- Windows Server 2028 LTSC (nächste LTSC-Version): Die TPM-Attestierung wird verpflichtend. Nur noch KMS-Hosts mit gültiger TPM-Attestierung können Clients aktivieren.
Was ist der Hintergrund?
Microsoft begründet die Verschärfung mit dem Sicherheitsrisiko durch gefälschte oder geklonte KMS-Server. Unternehmen nutzen den Key Management Service traditionell zur Aktivierung von Volumenlizenzen über einen lokalen Server. Das Verfahren ist auf der Microsoft-Supportseite dokumentiert.
Laut Microsoft nutzen Dritte gefälschte oder geklonte KMS-Server zur Aktivierung von Windows. Dies führt zu:
- Erhöhten Compliance- und Lizenzrisiken für Unternehmen
- Sicherheitsrisiken durch mangelnde Geräteidentität
- Spoofing-Risiken bei der Aktivierung
Die TPM-Attestierung soll diese Risiken verringern, indem ein kryptografischer Integritätsnachweis liefert, dass der KMS-Host auf vertrauenswürdiger Hardware läuft.
Technische Details
Die neue Überprüfung wird als KMS Hardware-Secured bezeichnet. Der Unterschied zur bisherigen Aktivierung (Legacy) liegt in der TPM-basierten Vertrauenskette:
- Legacy: KMS-Host aktiviert Clients ohne hardwarebasierte Prüfung der Host-Identität
- KMS Hardware-Secured: KMS-Host muss TPM-Attestierung bestehen, die verifiziert, dass die Hardware nicht manipuliert wurde
Die TPM-Attestierung bietet folgende Vorteile laut Microsoft:
- Vertrauenswürdigeres Aktivierungsmodell
- Reduzierung des Spoofing-Risikos
- Vorbereitung auf zukünftige Sicherheitsanforderungen
Administratoren können die Bereitschaft ihres Systems selbst prüfen:
Get-TpmSupportedFeature -FeatureList "Key Attestation"
Wird key attestation ausgegeben, ist der Rechner für die KMS Hardware-Secured Aktivierung bereit.
Wer ist betroffen?
Betroffen sind alle Organisationen, die KMS-Aktivierung einsetzen, insbesondere:
- Unternehmen mit KMS-Servern für Volumenlizenzen
- IT-Dienstleister, die KMS-Hosting für Kunden betreiben
- Bildungseinrichtungen mit Volumenlizenzverträgen
- Jedes Unternehmen mit mehreren Windows-Server- oder Client-Lizenzen
Nicht betroffen: Organisationen, die MAK (Multiple Activation Key) oder individuelle Aktivierung nutzen. Einzelne Windows-Installationen mit Retail- oder OEM-Lizenzen sind ebenfalls nicht betroffen.
Was sollten Admins jetzt tun?
- KMS-Hosts inventarisieren: Alle KMS-Server im Unternehmen identifizieren und deren Hardware-Status dokumentieren
- TPM-Unterstützung prüfen: Auf jedem KMS-Host
Get-TpmSupportedFeature -FeatureList "Key Attestation"ausführen - Windows Server 2025 bereitstellen: Ab August 2026 die neuen Bereitschaftswarnungen in Server 2025 beobachten
- Hardware-Upgrades planen: KMS-Hosts ohne TPM 2.0 müssen auf kompatible Hardware umziehen
- Migrationspfad festlegen: Prüfen, ob MAK oder Microsoft 365-Aktivierung als Alternative in Frage kommt
- Timeline dokumentieren: Zwischen August 2026 (Warnstufe) und Server 2028 LTSC (Durchsetzung) liegt ausreichend Zeit für die Planung
Einordnung für Unternehmen
Für KMU mit einfachen Lizenzstrukturen ist der Umstieg auf MAK oder individuelle Aktivierung oft der schnellste Weg. Für größere Unternehmen mit vielen KMS-Servern ist die Prüfung der TPM-Fähigkeit jetzt die erste Priorität. Die bis zum Erscheinen von Server 2028 LTSC verbleibende Zeit reicht für eine strukturierte Migration, aber nur wenn jetzt begonnen wird.
Die Ankündigung ist ein weiterer Schritt in Microsofts langfristiger Strategie, TPM als Vertrauensbasis für diverse Sicherheitsfeatures zu etablieren. Die Parallele zu den Windows 11 TPM-Anforderungen liegt auf der Hand.
Passende Anleitungen auf S-EDV
- Windows Server 2012 R2 und Azure Arc ESU - Hintergrund zu Microsofts Lifecycle-Strategie für Windows Server.
- Microsoft Defender BlueHammer: Patchstand prüfen - Aktuelles Beispiel für die Bedeutung aktueller Microsoft-Patches im Server-Umfeld.
