LONDON (IT BOLTWISE) – Microsoft stärkt die Vertrauensbasis für Unternehmens-Server künftig über TPM-basierte Attestierung: KMS-Hosts sollen ihre Identität hardwaregestützt nachweisen, bevor sie Lizenzen ausrollen. Der Wechsel fällt mit dem LTSC-Release voraussichtlich im Jahr 2028 zusammen, aber die technische Vorbereitung beginnt schon vorher. Ab August 2026 sollen Windows Server 2025-Releases Bereitschaftsmeldungen für den Key Management Service im „Hardware-Secured“-Modus liefern. IT-Teams erhalten damit neue Diagnose- und Prüfmechanismen, müssen aber ihre KMS-Infrastruktur bis dahin sauber inventarisieren und abgleichen.
Microsoft verschärft die Hardware-Anforderungen für seine kommenden Windows-Server-Versionen und verlagert damit einen zentralen Teil der Vertrauensprüfung in Richtung TPM: Im LTSC-Release für voraussichtlich 2028 soll die TPM-Attestierung (Trusted Platform Module) zu einer verpflichtenden Voraussetzung werden. Im Kern bedeutet das, dass Key-Management-Server (KMS-Hosts) ihre Identität nicht mehr nur über Software-Parameter oder Konfigurationsstände belegen, sondern über eine hardwarebasierte Nachweiskette. Erst wenn diese Attestierung erfolgreich durchläuft, sollen die Hosts autorisiert werden, Aktivierungs- bzw. Lizenzinformationen an Clients im Unternehmensnetzwerk zu verteilen. Für Security-Verantwortliche ist das ein klarer Schritt weg von rein vertrauenswürdigen „Dateien auf einem Rechner“ hin zu „vertrauenswürdige Hardware, die sich selbst belegen kann“.
Damit die Umstellung im Jahr 2028 nicht wie ein harter Cut-off wirkt, startet die Vorbereitung bereits deutlich früher. Laut Plan beginnt Microsoft ab August 2026 mit Bereitschaftsmeldungen in Windows Server 2025, die speziell für den Key Management Service (KMS) im Modus „Hardware-Secured“ ausgegeben werden. Praktisch bekommen IT-Verantwortliche Statusinformationen über das Software-Lizenzierungs-Tool slmgr /dlv sowie über den Event Viewer in die Hand. Diese Vorabphase ist strategisch: Sie soll Teams Zeit geben, Diskrepanzen zwischen vorhandener Hardware und den künftigen Attestierungsanforderungen zu erkennen, bevor Lizenzerteilung und Aktivierungsprozesse im Produktivbetrieb davon abhängen. Genau solche „Frühwarnsysteme“ reduzieren das Risiko, dass KMS-Cluster oder Einzelhosts kurz vor dem Stichtag unbemerkt nicht die erwartete Sicherheitsbasis erfüllen.
Technisch werden die Rahmenbedingungen dabei relativ konkret beschrieben: Voraussetzung sind TPM 2.0, aktiviertes Secure Boot sowie eine entsprechende Zertifizierung im Windows Server Catalog. Für die IT heißt das vor allem: Inventar und Referenzarchitektur müssen mit der Sicherheitskonfiguration der Plattform zusammenpassen. Sobald KMS-Hosts ihre Identität auf Basis eines TPM-Moduls nachweisen müssen, entsteht in der Praxis eine neue Abhängigkeit zwischen Virtualisierungsschicht, Firmware-Stand und Hardware-Trust-Element. Unternehmen, die KMS-Server schon heute stark automatisieren (z. B. durch Imaging-Prozesse oder generische VM-Templates), müssen sicherstellen, dass das TPM-Feature und Secure Boot nicht nur „irgendwie vorhanden“, sondern tatsächlich im Sinne der Attestierung unterstützt und aktiv sind. Für die Diagnose liefert Microsoft mehrere Werkzeuge: Ab August 2026 lässt sich die TPM-Unterstützung gezielt über PowerShell abfragen. Der Befehl Get-TpmSupportedFeature -FeatureList „Key Attestation“ soll dabei explizit prüfen, ob die notwendige Schlüssel-Attestierung von der Hardware unterstützt wird; parallel protokolliert der Event Viewer Warnmeldungen im Umfeld des Key Management Service, falls die erforderliche Hardware-Bereitschaft fehlt. Ergänzend zeigt slmgr /dlv eine eindeutige Statusmarkierung wie „eligible“ oder „does not meet requirements“, was die Bewertung im Audit- und Troubleshooting-Alltag deutlich erleichtert.
Aus Infrastruktur-Sicht verschiebt diese Änderung die Planbarkeit, weil KMS in vielen Organisationen lange als „relativ stabiler Service“ behandelt wurde, während sich die Sicherheitsbasis der Serverplattform oft im Hintergrund entwickelt hat. Microsoft nennt deshalb bis Juni 2026 als Zielbild, bestehende KMS-Server zu inventarisieren und auf TPM 2.0 sowie Secure Boot zu prüfen. Dazu passen auch die genannten Wartungsarbeiten: die Bereinigung von DNS-Einträgen mit Fokus auf _vlmcs._tcp, die Aktualisierung der Firmware sowie die Erneuerung von Secure-Boot-Zertifikaten. Gerade Firmware-Updates und Secure-Boot-Zertifikate sind oft ein unterschätzter Hebel, weil sie zwar selten „funktional“ aussehen, aber unmittelbar über Boot- und Trust-Ketten entscheiden. In virtualisierten Umgebungen kommt ein zusätzlicher Layer hinzu: Microsoft betont, dass die Prüfung auf vTPM-Unterstützung essenziell ist. Unternehmen, die KMS-Hosts in Hypervisor-Clusters betreiben, müssen also sicherstellen, dass vTPM und die zugrunde liegende Hardware-Trust-Architektur so zusammenspielen, wie es die Attestierung später erwartet.
Markt- und Architekturhistorisch betrachtet knüpft die Entwicklung an eine breitere Tendenz an: Aktivierungs- und Identitätsdienste werden zunehmend mit hardwaregestütztem Vertrauen abgesichert, weil reine Software-Signale in kompromittierten Umgebungen leichter zu fälschen sind. Die Umstellung auf TPM 2.0 und Secure Boot ist dabei nicht nur ein „Zusatzfeature“, sondern verändert die Bedrohungsfläche. Angreifer, die einen Server zunächst nur auf Betriebssystem- oder Konfigurationsebene manipulieren, finden weniger Spielraum, wenn die entscheidende Autorisierung an einen Attestierungsnachweis gekoppelt ist. Für die betriebliche Umsetzung bedeutet das jedoch auch mehr Disziplin in Change-Prozessen: Wer Firmware rollt, Secure Boot Parameter ändert oder VM-Images erneuert, muss die Auswirkungen auf die TPM-Attestierung direkt mit testen. Microsoft kündigt zudem an, zu einem späteren Zeitpunkt einen spezifischen Leitfaden für virtuelle KMS-Hosts zu veröffentlichen, um den Besonderheiten softwaredefinierter Infrastrukturen Rechnung zu tragen. Solche Leitfäden sind in der Praxis oft entscheidend, weil die Details bei vTPM-Setups und Template-basierten Bereitstellungen den Unterschied zwischen „läuft“ und „läuft unter bestimmten Bedingungen“ ausmachen.
Für die Compliance- und Sicherheitsstrategie folgt daraus eine klare Konsequenz: Die technische Maßnahme betrifft zwar zunächst den professionellen Einsatz im Server-Umfeld, aber sie wirkt auf die gesamte KMS-Betriebslogik zurück. Dazu gehört auch, dass Diagnoseroutinen frühzeitig in Monitoring und Betriebshandbücher wandern sollten. Wenn slmgr /dlv ab August 2026 „eligible“-Status zuverlässig ausweist und der Event Viewer bei fehlender Hardware-Bereitschaft Warnungen liefert, lassen sich daraus geeignete Prüfketten für regelmäßige Checks ableiten. In der Vorbereitung sollten Teams außerdem DNS-Einträge und KMS-Registrierung so behandeln, dass sie im Fehlerfall nicht nur „wiederhergestellt“, sondern gezielt gegen die neuen Sicherheitsannahmen validiert werden. Für Privatanwender sieht Microsoft ausdrücklich keine Auswirkungen durch die neuen Hardware-Anforderungen an KMS-Hosts und die TPM-Attestierung. Damit bleibt die Umstellung klar auf Unternehmens-IT fokussiert – und genau dort liegt der Hebel: Ein robust abgestimmter KMS-Betrieb wird zu einem Teil der Trust-Infrastruktur, nicht zu einer isolierten Service-Option.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Windows Server 2028: TPM-Attestierung macht KMS-Hosts zur Hardware-Entscheidung" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Windows Server 2028: TPM-Attestierung macht KMS-Hosts zur Hardware-Entscheidung" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Windows Server 2028: TPM-Attestierung macht KMS-Hosts zur Hardware-Entscheidung« bei Google Deutschland suchen, bei Bing oder Google News!