LONDON (IT BOLTWISE) – Microsoft führt mit „KMS Hardware-Secured“ ein neues Sicherheitsframework für Unternehmens-KMS-Hosts ein. Ab dem nächsten Windows-Server-Release müssen Aktivierungsserver ihre Hardware-Identität über TPM nachweisen. Nur KMS-Hosts mit intaktem TPM-Chip dürfen künftig Windows-Geräte im Firmennetzwerk aktivieren. Damit adressiert der Konzern gefälschte oder manipulierte Aktivierungsserver, die bislang zur Umgehung von Lizenzkontrollen genutzt werden konnten.
Microsoft verschärft den Hardwareschutz in Unternehmen spürbar: Mit dem als „KMS Hardware-Secured“ angekündigten Sicherheitsframework sollen Aktivierungsprozesse in der KMS-basierten Lizenzierung künftig nicht mehr nur über Software-Checks, sondern über eine verifizierbare Hardware-Identität laufen. Der Mechanismus knüpft an die sogenannte „Key Management Services (KMS)“-Infrastruktur an, also an die Server, die in Firmenumgebungen die Aktivierung von Windows-Geräten steuern. Laut Ankündigung vom 22. Juli 2026 verlangt das neue Protokoll einen Nachweis der Hardware-Identität der KMS-Hosts, bevor diese überhaupt für die Windows-Aktivierung akzeptiert werden.
Der Kern liegt in einer TPM-gestützten Schlüsselattestierung: Nur Server mit einem intakten TPM-Chip sollen künftig Windows-Geräte im Firmennetzwerk aktivieren dürfen. Das Ziel ist dabei nicht, klassische Aktivierungswege für Privatnutzer zu verändern, sondern einen wachsenden Angriffspunkt in Unternehmensnetzen zu schließen. In der Meldung heißt es, dass Kriminelle immer wieder manipulierte oder „falsche“ KMS-Server einsetzen, um Lizenzkontrollen zu umgehen. Für IT-Leitung und Security-Teams ist das eine klare Verschiebung der Verantwortung: Die Härtung rückt näher an die Vertrauenskette aus Hardware, Firmware und Boot-Prozess heran und entfernt sich damit von reinen Software-Signalen, die in der Praxis leichter zu fälschen sind.
Damit kommt auf Administratoren eine konkrete Vorbereitungsaufgabe zu. Wer Windows Server 2025 betreibt, soll ersten Benachrichtigungen zufolge ab August 2026 erhalten, während die vollständige Durchsetzung der TPM-basierten Anforderungen im nächsten Windows-Server-LTSC-Release ansteht. Praktisch heißt das: IT-Verantwortliche können bereits jetzt prüfen, ob die eigene Hardware die nötigen TPM-Funktionen für die Schlüsselattestierung unterstützt. Laut Quelle lässt sich das über einen PowerShell-Befehl kontrollieren, der feststellen soll, ob die TPM-Module die erforderliche Schlüsselattestierung bereitstellen. Für die Planung bedeutet das weniger „Big Bang“ und mehr Assessment: KMS-Hosts, die hardwareseitig nicht mitziehen, müssen frühzeitig in Richtung kompatiblerer Plattformen oder TPM-Konfigurationen migriert werden.
Spannend ist dabei die parallele Sicherheitsagenda rund um Secure Boot und Zertifikatswechsel. Microsoft treibt zudem den Austausch alter Secure-Boot-Zertifikate voran: Am 14. Juli 2026 wurde das Update KB5101650 veröffentlicht, das Windows-11-Systeme auf neuere Builds umstellt. Das Ziel ist ein mehrjähriger Wechsel vom Zertifikatsstandard aus dem Jahr 2011 hin zum Windows UEFI CA 2023. In der Ankündigung betont der Konzern, dass das Auslaufen alter Zertifikate keinen „Ausfalltermin“ darstellt: Systeme ohne neue Zertifikate booten weiterhin und erhalten Updates. Dennoch gab es technische Hürden, etwa BitLocker-Wiederherstellungsschleifen auf Geräten von Dell, HP und Lenovo; in der Folge pausierte Microsoft Updates für betroffene Systeme. Für Unternehmen heißt das: Wer KMS- und TPM-Themen angeht, sollte zeitgleich auch Secure-Boot- und BitLocker-Abhängigkeiten im Wartungsfenster berücksichtigen, statt Sicherheitsupdates isoliert zu betrachten.
Die Logik dahinter passt zu einer breiteren Linie in der Microsoft-Sicherheitsstrategie: Authentifizierung und Schutz werden stärker an Hardware-Komponenten gekoppelt, insbesondere an TPM 2.0. Diese Kopplung steht auch beim Thema biometrische Sicherheit im Fokus. Laut Quelle veröffentlichte das Center for Internet Security (CIS) am 28. Juli 2026 neue Benchmarks für Windows 11 Enterprise (Version 5.0.1) und Windows 10 Enterprise (Version 4.0.0). Zusätzlich verweist ein Analysebeitrag des Bundesamts für Sicherheit in der Informationstechnik (BSI) vom 27. Juli 2026 darauf, dass die Wirksamkeit von Windows- Hello-Biometrie stark von der Hardware-Konfiguration abhängt. Ohne Enhanced Sign-in Security (ESS) – also die virtualisierungsbasierte Sicherheit, die TPM 2.0 nutzt – könnten Gesichtserkennungssysteme potenziell durch Masken ausgetrickst werden. ESS isoliert demnach biometrische Daten, und genau diese Trennung untermauert die Aussage der Quelle, dass Microsoft Softwaresicherheit nicht losgelöst von physischer TPM-Hardware denkt.
Im Unternehmensalltag führt diese Richtung jedoch zwangsläufig zu Betriebs- und Kompatibilitätsfragen. Selbst wenn der Konzern betont, dass Windows- Systeme mit nicht aktualisierten Zertifikaten weiter booten, zeigen die genannten BitLocker-Fälle, dass sichere Startketten und Schlüsselmaterial in der Praxis fein abgestimmte Komponenten sind. Gleichzeitig treffen TPM-Anforderungen KMS- und Aktivierungsprozesse an einer Stelle, die viele Organisationen bisher eher als „Backend-Service“ betrachtet haben: Der Wechsel bedeutet, dass KMS-Hosts nicht mehr nur erreichbar sein müssen, sondern auch hardwareseitig vertrauenswürdig sein sollen. Für viele Admins ergibt sich daraus ein erweitertes Betriebskonzept, in dem Hardware-Checks, Firmware-Standards und Sicherheitsrichtlinien schon vor der eigentlichen Softwaremigration geprüft werden. Die Grundlage dafür ist bereits jetzt vorhanden: Die Quelle nennt explizit die Möglichkeit, den TPM-Status über Tools der Windows-Sicherheits-App mit farbigen Symbolen zu prüfen, um den Zertifikatsstatus zu kontrollieren.
Für die Architekturteams und IT-Entscheider ist vor allem wichtig, was sich damit aus der Angreiferperspektive ändert. Bei gefälschten KMS-Servern reicht es nicht mehr, die Oberfläche der Aktivierung nachzuahmen; entscheidend wird die Attestierung über einen echten, intakten TPM-Chip. Das erhöht die Hürde für Angriffe, setzt aber auch voraus, dass Unternehmen ihre Hardwaresicherheit im Griff haben: TPM-Integrität, korrekte Konfiguration, sowie ein Wartungsprozess, der den Ersatz oder die Aktualisierung von Systemen abdeckt, bevor LTSC-Zeitpunkte und Durchsetzungstermine greifen. Wenn CIS-Benchmarks und die BSI-Analyse zudem als Bezugspunkte dienen, ergibt sich ein durchgängiger Trend: Sicherheitsentscheidungen wandern von der reinen Softwareebene in die Vertrauenskette aus Virtualisierungsschutz, TPM 2.0 und sicheren Boot-Mechanismen. In Summe wirkt „KMS Hardware-Secured“ damit nicht wie ein isoliertes Feature, sondern wie eine logische Fortsetzung einer Hardware-zentrierten Sicherheitsstrategie, die in den nächsten Serverzyklen die Standarderwartung an Aktivierungs- und Authentifizierungsumgebungen neu definiert.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Windows Server: Microsoft macht KMS-Hosts TPM-pflichtig ab nächstem Release" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Windows Server: Microsoft macht KMS-Hosts TPM-pflichtig ab nächstem Release" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Windows Server: Microsoft macht KMS-Hosts TPM-pflichtig ab nächstem Release« bei Google Deutschland suchen, bei Bing oder Google News!