Sollen raubkopierte Windows 11-Versionen blockiert werden? Die neuen TPM-Regeln von Microsoft haben Panik ausgelöst, die Wahrheit ist: Eigentlich plant Microsoft nicht, private Endnutzer zur Rechenschaft zu ziehen.
„Raubkopiertes Windows 11 ist dem Untergang geweiht?“
Vor kurzem hat eine Nachricht über die Verstärkung des TPM-Sicherheitsmechanismus durch Microsoft in Technikgemeinschaften eine hitzige Diskussion ausgelöst. Die erste Reaktion vieler Nutzer nach dem Lesen des Titels lautet: Geht Microsoft jetzt endlich ernsthaft vor? Bereitet es sich darauf vor, Raubkopien von Systemen mit Hilfe von TPM-Chips zu erkennen und Windows 11, für das keine Lizenz erworben wurde, direkt außer Betrieb zu setzen?
Das stimmt teilweise, aber nicht ganz: Microsoft hat tatsächlich ein neues Sicherheitsupdate angekündigt – KMS Hardware-Secured (hardwaregeschütztes KMS), das verlangt, dass KMS-Server in Windows-Massenlizenzumgebungen TPM für die Hardware-Authentifizierung verwenden.
Aber diese Änderung zielt nicht auf Raubkopien von Windows auf Computern normaler Nutzer ab, sondern auf KMS-Aktivierungsserver, die in Unternehmen bereitgestellt werden.
TPM + KMS: Behebung des Fehlers im Enterprise-Lizenzsystem
Dieses Missverständnis stammt ursprünglich aus einem technischen Dokument, das Microsoft letzte Woche veröffentlicht hat.
Da Windows 11 auf unterstützten Geräten ohnehin zwingend TPM 2.0 verlangt, haben viele Medien diese beiden Dinge miteinander verbunden: Auf der einen Seite steht die Anforderung von Windows 11 an TPM, auf der anderen Seite kündigt Microsoft die Einführung der TPM-Überprüfung für KMS an. Daraus haben einige Berichte ein anscheinend plausibles, aber tatsächlich falsches Fazit gezogen:
„Microsoft wird mit Hilfe von TPM-Chips raubkopiertes Windows 11 erkennen und die Aktivierung von Raubkopien blockieren.“
Tatsächlich zielt dieses Update von Microsoft auf KMS (Key Management Service, Schlüsselverwaltungsdienst) ab.
Für normale Verbraucher hängt die Windows-Aktivierung normalerweise von erworbenen Produktschlüsseln oder digitalen Lizenzen ab, die mit Microsoft-Konten verknüpft sind. Für große Unternehmen, Regierungsbehörden, Schulen und andere Organisationen ist es bei der Verwaltung von Tausenden von Computern jedoch unmöglich, auf jedem Gerät einzeln einen Schlüssel einzugeben – daher stellen diese Institutionen normalerweise ihre eigenen KMS-Server bereit.
Einfach ausgedrückt, die Funktion von KMS ähnelt einem „Lizenzierungszentrum“ innerhalb des Unternehmens: Der Computer des Mitarbeiters sendet eine Aktivierungsanfrage an den KMS-Server → der KMS-Server bestätigt, dass das Unternehmen über eine gültige Volumenlizenz verfügt → und stellt daraufhin Aktivierungsdienste für eine große Anzahl von Windows-Geräten bereit.
Dieses Modell senkt die Verwaltungskosten von Unternehmen erheblich, aber es entstehen auch Probleme: Wenn ein Angreifer einen KMS-Server erstellt, der „wie ein echter aussieht“, und ihn in das Unternehmensnetzwerk einbindet, kann er heimlich auf Aktivierungsanfragen antworten und Windows-Aktivierung für Geräte im Unternehmen bereitstellen, für die keine Lizenz erworben wurde.
Das heißt: Angreifer müssen Windows selbst nicht knacken, sie müssen sich nur als „gültiger Lizenzserver“ ausgeben – das von Microsoft eingeführte KMS Hardware-Secured dient dazu, diese Lücke zu schließen.
Der KMS-Server muss nachweisen: „Ich bin ich und wurde nicht manipuliert“
Laut Beschreibung auf der offiziellen Website muss der KMS-Host unter dem neuen Mechanismus TPM verwenden, um die Hardware-Authentifizierung auf Hardwareebene abzuschließen.
Microsoft verlangt von KMS-Servern, zwei Dinge nachzuweisen:
Erstens: Es handelt sich um echte, gültige Hardware. TPM generiert und speichert Geräteidentitätsinformationen, und Microsoft kann überprüfen, ob diese Identität den Erwartungen entspricht.
Zweitens: Es wurde nicht bösartig manipuliert. TPM kann den Plattformstatus des Servers überprüfen und sicherstellen, dass die Ausführungsumgebung nicht von Angreifern geändert wurde.
Wenn der KMS-Server eine der beiden Überprüfungen nicht besteht, kann er keine Windows-Aktivierungsdienste mehr für Geräte bereitstellen.
Microsoft gibt an, dass dieser Mechanismus das Klonen von unternehmenseigenen KMS-Servern, das Fälschen von Antworten auf Aktivierungsanfragen und die Aktivierung von Windows für nicht lizenzierte Geräte über gefälschte Server verhindern kann, und gleichzeitig Vorbereitungen für strengere Sicherheitskonformitätsanforderungen in der Zukunft trifft.
IT-Administratoren von Unternehmen können im Voraus prüfen
Gemäß den Anweisungen von Microsoft müssen Unternehmen, die physische KMS-Hosts verwenden, zwei Dinge bestätigen: Ob der Server über die Zertifizierung des Windows Server-Katalogs verfügt; ob der TPM-Chip installiert und aktiviert ist. Für KMS-Hosts, die in virtuellen Maschinenumgebungen ausgeführt werden, hat Microsoft derzeit die spezifischen Anforderungen für virtuelle KMS-Umgebungen noch nicht vollständig veröffentlicht.
Für IT-Administratoren von Unternehmen wird diese Änderung auch nicht sofort wirksam. Microsoft plant, ab August 2026 den Bereitschaftsstatus der KMS-Hardwaresicherheitsfunktion auf Windows Server 2025 anzuzeigen. Davor können Administratoren im Voraus prüfen, ob ihre KMS-Umgebung die Anforderungen erfüllt.
Zum Beispiel führen Sie in PowerShell mit Administratorrechten den folgenden Befehl aus:
- Get-TpmSupportedFeature -FeatureList „Key Attestation“
Wenn das Gerät diese Funktion unterstützt, gibt das System relevante Informationen zurück, die anzeigen, dass die Hardware über die TPM-Authentifizierungsfähigkeit verfügt.
Darüber hinaus können Sie auf dem KMS-Host auch den Befehl slmgr /dlv ausführen, um den aktuellen Status anzuzeigen. Gleichzeitig protokolliert der Pfad im Windows-Ereignisanzeiger: Anwendungs- und Dienstprotokolle > Schlüsselverwaltungsdienst auch den entsprechenden Status.
Beachten Sie jedoch: Diese Hinweise dienen nur dazu, Unternehmen bei der Vorbereitung im Voraus zu unterstützen, sie blockieren die Aktivierung nicht sofort, und vorhandene KMS-Bereitstellungen können weiterhin normal funktionieren. Die tatsächliche Durchsetzung erfolgt erst, wenn Microsoft in Zukunft die neue Windows Server LTSC-Version (Langzeit-Serviceversion) veröffentlicht.
Also: Werden normale Windows 11-Nutzer davon betroffen sein?
Damit kommt die Frage, die normale Nutzer am meisten interessiert: Wird mein Windows 11 plötzlich nicht mehr aktiviert? Die Antwort lautet: Nein.
Einige Medien sind der Ansicht, dass Microsoft letztes Jahr KMS38 blockiert hat und jetzt den KMS-Sicherheitsmechanismus aktualisiert, was zeigt, dass Microsoft umfassend gegen „raubkopiertes Windows“ vorgeht – aber tatsächlich gibt es keine direkte Verbindung zwischen den beiden Maßnahmen.
Dieser TPM-Überprüfungsmechanismus prüft die KMS-Server, die von Unternehmen für Volumenlizenzen verwendet werden: Er scannt nicht den Computer, den der Nutzer gerade verwendet, er überprüft nicht, ob die Home-Edition von Windows 11 über TPM aktiviert wurde, und Microsoft hat auch keinen neuen TPM-Lizenzprüfmechanismus für die Retail-Version von Windows 11 eingeführt.
Die derzeit gängigen legitimen Aktivierungsmethoden, einschließlich des Produktschlüssels für die Windows-Retail-Edition und der mit dem Microsoft-Konto verknüpften digitalen Lizenz, werden nicht beeinträchtigt.
Tatsächlich haben viele der derzeit verbreiteten Aktivierungstools für raubkopiertes Windows KMS bereits umgangen.
Zum Beispiel die HWID-Aktivierung: Sie simuliert den Ablauf der gültigen digitalen Lizenz, verknüpft die Hardwareinformationen des Geräts mit dem Microsoft-Aktivierungssystem und lässt das System so erscheinen, als ob es über eine gültige Lizenz verfügt. Der gesamte Ablauf erfordert keinen KMS-Server. Eine andere Methode namens TSforge ändert direkt die Lizenzdatendatei in der Windows-Softwareplattform – durch Fälschen von Lizenzinformationen geht das System davon aus, dass es die Aktivierung abgeschlossen hat, und hängt ebenfalls nicht von KMS ab.
Daher kann aus technischer Sicht das von Microsoft eingeführte KMS Hardware-Secured die derzeit vorhandenen Aktivierungsmethoden für raubkopiertes Windows nicht direkt beenden.
Warum verfolgt Microsoft nicht massenhaft einzelne Nutzer von Raubkopien?
Viele Menschen fragen sich vielleicht: Da Microsoft in der Lage ist, die Sicherheit von Unternehmenslizenzen mit Hilfe von TPM zu verstärken, warum nutzt es nicht ähnliche Technologien, um alle raubkopierten Windows-Versionen zu bekämpfen?
Der Grund ist ganz einfach: Natürlich hofft Microsoft, dass Nutzer gültige Lizenzen erwerben, aber die Verfolgung jedes einzelnen Nutzers und das Ergreifen rechtlicher Maßnahmen sind mit weit höheren Kosten als Nutzen verbunden.
Derzeit beträgt der offizielle Preis von Windows 11 Home etwa 139 US-Dollar, und die Pro-Version kostet etwa 199 US-Dollar. Für Nutzer, die teure Computer kaufen, sind diese Kosten möglicherweise akzeptabel; aber für Nutzer, die selbst preiswerte PCs zusammenbauen oder Einsteiger-Laptops kaufen, ist die zusätzliche Zahlung eines Betriebssystems neben der Hardware eine nicht unerhebliche Ausgabe.
Das ist auch der Grund, warum einige Aktivierungstools für Raubkopien nach vielen Jahren noch existieren.
Darüber hinaus basiert das Geschäftsmodell von Microsoft heute längst nicht mehr nur auf Einnahmen aus Windows-Lizenzen: Unabhängig davon, ob Nutzer eine Windows-Lizenz erwerben oder nicht, kann Microsoft über Ökosystemdienste wie Microsoft 365, OneDrive, Copilot und Anzeigen auf MSN-Diensten Einnahmen erzielen.
In den letzten Jahren wurde Windows 11 daher von vielen Nutzern dafür kritisiert, dass es „immer mehr Anzeigen“ enthält. Microsoft hat später zugegeben, dass die Werbeinhalte tatsächlich zu zahlreich sind, und begonnen, einige systeminterne Empfehlungen zu reduzieren, zum Beispiel standardmäßig einige Widgets und MSN-Feed-Anzeigen zu deaktivieren.
Daher ist es für Microsoft möglicherweise wichtiger, dass Nutzer im Windows-Ökosystem bleiben, als ob sie einmal eine Windows-Lizenzgebühr gezahlt haben.
Referenzlink: https://www.windowslatest.com/2026/07/27/you-heard-wrong-microsoft-isnt-ending-pirated-windows-11-with-tpm-and-the-new-rule-only-affects-enterprise-servers/
Dieser Artikel stammt aus dem WeChat-Offiziellen Konto „CSDN“, zusammengestellt von Zheng Liyuan, und wird von 36kr mit Genehmigung veröffentlicht.