Windows Server 2028: TPM-Attestierung als neue Hürde für die Volumenaktivierung
Nach Angaben von AD HOC NEWS soll die TPM-Attestierung mit Windows Server 2028 zur Voraussetzung für die Volumenaktivierung werden.
Parallel berichtet WinFuture über grundlegende Änderungen bei der Windows-Server-Volumenaktivierung. Für Betreiber von KMS-Infrastrukturen ist damit nicht das Server-Upgrade allein relevant, sondern die Vertrauenskette der Aktivierungsplattform.
KMS-Host muss Hardware-Identität nachweisen
Betroffen sind KMS-Hosts. Künftig soll ein Host seine Identität über ein Trusted Platform Module nachweisen, bevor er Lizenzen an Clients im Netzwerk verteilen darf. Die Attestierung verschiebt die Prüfung damit von einer reinen Software- und Konfigurationsfrage auf die Hardwarebasis des Aktivierungsservers.
Die im Bericht genannten Mindestparameter sind klar:
| Komponente | Erwarteter Status |
|---|---|
| TPM | TPM 2.0 vorhanden |
| Boot-Kette | Secure Boot aktiviert |
| Plattform | Zertifizierung im Windows Server Catalog |
| KMS-Host | Hardware-Secured-fähig |
| Aktivierung | Identität per TPM-Attestierung nachweisbar |
Wenn einer dieser Parameter fehlt, ist der KMS-Host für die kommende Architektur nicht vollständig vorbereitet. Das Risiko liegt nicht primär im einzelnen Client. Es liegt zentral im Aktivierungsdienst: Ein nicht geeigneter Host kann künftig zur Blockade für die Lizenzverteilung im Netzwerk werden.
Bereitschaftsmeldungen ab Windows Server 2025
AD HOC NEWS zufolge soll Windows Server 2025 ab August 2026 Bereitschaftsmeldungen für den KMS-Modus „Hardware-Secured“ ausgeben. Administratoren erhalten damit vor dem erwarteten LTSC-Wechsel 2028 einen Prüfpfad.
Die TPM-Unterstützung für die Schlüsselattestierung lässt sich laut Bericht mit PowerShell abfragen:
Get-TpmSupportedFeature -FeatureList 'Key Attestation'
Zusätzlich sollen zwei Prüfstellen verfügbar sein:
slmgr /dlvfür den Aktivierungs- und Eignungsstatus;- Event Viewer unter Anwendungs- und Dienstprotokollen im Bereich Key Management Service für Warnungen zur Hardware-Bereitschaft.
Der relevante Status ist binär. Das System wird entweder als „eligible“ geführt oder meldet, dass es die Anforderungen nicht erfüllt. Für den Betrieb bedeutet das: Nicht erst auf das Zielrelease warten. Der Status eines KMS-Hosts muss vor einer Beschaffung, einem Firmware-Wechsel oder einer Virtualisierungsumstellung geprüft werden.
Inventarisierung vor dem Plattformwechsel
Der sinnvolle Ablauf ist kurz. Erstens: alle KMS-Hosts erfassen. Zweitens: TPM 2.0 und Secure Boot je Host kontrollieren. Drittens: die Attestierungsabfrage dokumentieren. Viertens: Warnungen und slmgr /dlv-Ausgaben in die Betriebsdokumentation übernehmen.
Besondere Aufmerksamkeit verdienen ältere Serverplattformen sowie Systeme, auf denen TPM-Funktionen zwar vorhanden, aber im Firmware-Setup deaktiviert sind. Auch ein funktionsfähiger KMS-Dienst ersetzt den Hardware-Nachweis nicht, wenn dieser künftig Teil der Autorisierung wird.
| Prüfpunkt | Werkzeug | Ziel |
|---|---|---|
| Schlüsselattestierung | PowerShell | TPM-Unterstützung feststellen |
| Aktivierungsstatus | slmgr /dlv | Eignung des Hosts prüfen |
| Hardware-Warnungen | Event Viewer | fehlende Bereitschaft erkennen |
| Plattformbasis | Firmware- und Hardwareinventar | TPM 2.0 und Secure Boot absichern |
Die Meldung ist kein Anlass für einen überstürzten Austauschzyklus. Sie ist jedoch ein klarer Beschaffungsparameter für jede KMS- und Windows-Server-Planung bis 2028.