Das fehlende Bauteil kostet nicht nur Windows 11, sondern auch die Verschlüsselung
Liegen bleiben bei uns in diesen Wochen die Geräte, die tadellos laufen. Bei der Prüfung fallen sie trotzdem durch. Im Bericht steht dann, es fehle das TPM, ein kleiner Sicherheitschip auf der Hauptplatine, den Windows 11 verlangt. Der häufigste Grund für diese Meldung ist ein Firmware-TPM, das im UEFI abgeschaltet ist. Intel nennt es PTT, AMD nennt es fTPM, und praktisch jede Business-CPU ab etwa 2016 bringt es mit. Einschalten, neu prüfen, erledigt. Das ist der erste Griff, und er dauert Minuten. Wer ihn auslässt, tauscht Geräte, die keinen Tausch gebraucht hätten.
Meldet die Prüfung danach dasselbe, wird es enger. Nachrüsten lässt sich der Chip nicht, wo keiner verbaut ist, hilft nur ein anderes Gerät. Ab dem 14. Oktober bekommt so ein Rechner keine Sicherheitsupdates mehr.
Derselbe Chip speichert den Schlüssel, mit dem Windows die Festplatte verschlüsselt. Die Funktion ist eingebaut und heißt BitLocker. Ist der Chip da, merkt davon niemand etwas: Der Rechner startet wie immer, die Platte ist trotzdem geschützt. Fehlt er, muss bei jedem Einschalten jemand ein Passwort eintippen oder einen USB-Stick anstecken. Machbar ist das.
Folge: Die Platte bleibt unverschlüsselt, weil das niemand durchhält.
Ab dem 15. Oktober steht damit ein Gerät im Betrieb, das an zwei Stellen offen ist. Der Rechner hängt am selben Netz wie Buchhaltung und Ablage. Geht er verloren, baut jemand die Platte aus und liest sie an einem anderen Rechner: Mailverkehr, Kalkulationen, Klientendaten. Unverschlüsselte Platten kennen wir sonst aus Betrieben, in denen das nie jemand veranlasst hat.
Bei den Jahrgängen 2016 bis 2018 hängt die Prüfung allerdings häufiger an einer anderen Stelle als am Chip: an der Liste der Prozessoren, die Microsoft für Windows 11 freigegeben hat. Das TPM ist vorhanden und eingeschaltet, die CPU steht nicht auf der Liste, und für den Betrieb ist das Ergebnis dasselbe. Nur die Verschlüsselung bleibt in diesem Fall möglich. Lesen Sie deshalb nach, an welchem Punkt der Prüfbericht wirklich hängt, bevor jemand über neue Hardware redet.
Fünf Punkte.Still für sich beantwortet.
Es geht nicht um Schuld, nur um das Muster.
Die drei Stellen, die zuletzt auffallen
Die Freigabe des Herstellers. Es gibt sie schriftlich, mit Version und Datum, oder es gibt sie nicht. „Läuft erfahrungsgemäß“ ist keine, und im Schadensfall trägt sie auch niemand.
Das Gerät am Kabel. Scanner, Etikettendrucker, Plotter, Messgeräte, Kartenleser. Über die Tauglichkeit entscheidet hier nicht der Rechner, sondern der Treiber, und den schreibt der Gerätehersteller, nicht Microsoft.
Der eine Arbeitsplatz, an dem alles hängt. Eine Anwendung, ein Gerät, eine Person, kein zweiter Platz, an dem dieselbe Arbeit möglich wäre. Und weil dort alles zusammenläuft, liegt dort auch alles: der Jahrgang Kalkulationen, das Archiv, die Datenbank. Solche Stellen fallen im Alltag nicht auf, weil sie funktionieren.
Für Technik-Interessierte Support-Matrix, Treiber und das fehlende TPM
Vier Punkte entscheiden, ob ein Gerät wirklich stehen bleiben muss und was das dann für den Betrieb bedeutet.
Ein Härtefall ist damit keine Ausrede, sondern eine dokumentierte Entscheidung mit einem Enddatum.
- Die Support-Matrix. Softwarehersteller führen eine Liste der unterstützten Betriebssysteme, meist bis zur Versionsnummer hinunter. Nicht freigegeben heißt nicht, dass die Anwendung nicht startet, sondern dass der Hersteller im Fehlerfall nicht hilft und keine Korrektur liefert.
- Der Klassentreiber. Für viele Drucker und Scanner bringt Windows einen eigenen Standardtreiber mit, der die Grundfunktionen abdeckt. Was dabei wegfällt, sind die Zusatzfunktionen: Scanprofile, Kostenstellen, Vorlagen, die Übergabe direkt in Ihre Ablage. Genau das ist im Büro der eigentliche Nutzen des Geräts.
- Das TPM 2.0. Der Chip verwahrt Schlüssel so, dass sie das Gerät nicht verlassen, und gibt sie nur frei, wenn der Startvorgang unverändert ist. Deshalb steht er bei Windows 11 in der Liste der Mindestanforderungen. Ob er wirklich fehlt, zeigt erst der Blick ins UEFI, weil die Firmware-Variante dort oft nur abgeschaltet ist. Fehlt er tatsächlich, verlangt BitLocker bei jedem Start einen Startschlüssel von einem USB-Stick oder ein eigenes Kennwort. Die Kennwortvariante ist ab Werk abgeschaltet, weil sie sich unbegrenzt durchprobieren lässt. Beides prüft beim Start auch nicht mehr, ob am System etwas verändert wurde. (Microsoft-Dokumentation, Stand 29. Juli 2025.)
- Die virtuelle Maschine. Die alte Anwendung läuft samt ihrem alten Betriebssystem gekapselt auf aktueller Hardware. Die Anwendung bleibt unverändert, das Altsystem verliert seinen direkten Weg ins Netz, und der neue Rechner bringt mit, was dem alten fehlt: Updates und eine verschlüsselte Platte.
„Man ruft beim Hersteller an, weil nur er sagen kann, ob seine Software unter Windows 11 freigegeben ist. Sagt er nein, wird daraus eine Entscheidung: ablösen oder abschotten. Das Gerät einfach stehen lassen und nichts aufschreiben ist die einzige Variante, die nicht geht.“
Ab jetzt entscheidet die Zusage
Zuerst die schriftliche Auskunft einholen. Beim Hersteller anrufen, Produkt und Version nennen, Antwort per Mail verlangen. Das ist eine Sache von Minuten und der einzige Schritt, der sich nicht beschleunigen lässt, wenn er zu spät beginnt.
Kommt sie, ist es kein Härtefall. Dann geht das Gerät in die normale Reihe, sinnvollerweise mit einem Testarbeitsplatz vorweg, an dem jemand die Anwendung einmal durch einen echten Arbeitstag schickt.
Kommt sie nicht, entscheidet der Termin. Entweder Sie beauftragen jetzt die freigegebene Nachfolgeversion, mit Preis und Datum, oder das Gerät bleibt bewusst stehen. Beides ist vertretbar. Was nicht vertretbar ist, ist die dritte Variante: dass es einfach so bleibt und niemand es aufgeschrieben hat.
Muss es bleiben, schotten Sie es ab. Eigenes Netzsegment, kein Mailprogramm, kein Browser, keine Freigaben, ein benannter Verantwortlicher und ein Datum für die Wiedervorlage. Weil die Platte offen liegt, kommt eine Frage dazu: Was liegt darauf, und muss es dort liegen? Was weg kann, kommt weg.
Und für dieses Gerät gibt es Updates gegen Geld. Microsoft verkauft für Windows 10 erweiterte Sicherheitsupdates, verrechnet je Gerät und Jahr, mit einem Preis, der sich jedes Jahr verdoppelt. Für ein einzelnes abgeschottetes Gerät mit einer Anwendung ohne Nachfolger ist das der Unterschied zwischen kontrolliert und ungepatcht. Für eine ganze Reihe ist es eine Ratenzahlung auf einen Tausch, der ohnehin kommt. Die Preise und die Rechnung dazu stehen im Gerätecheck.
So sieht es aus, wenn es funktioniert: Zwei Geräte stehen noch auf Windows 10, beide stehen auf einer Liste, beide haben einen Grund und ein Datum, keines geht abends mit, und Sie können das in einem Satz erklären.
Beim Hersteller anrufen und auf einer schriftlichen Antwort bestehen können Sie selbst, und Sie bekommen als Kunde meist die deutlichere Auskunft. Das Wegsperren einer Altanwendung auf neuer Hardware, das eigene Netzsegment und der Testarbeitsplatz gehören zu Leuten, die das laufend machen. Drei Wochen vor dem Stichtag ist keine Zeit, so etwas zum ersten Mal zu probieren.
„Den einen Rechner lassen wir eben stehen“
Der Gedanke ist nicht falsch. Ein einzelnes Gerät, das eine klar umrissene Aufgabe erledigt, ist selten das größte Risiko im Betrieb, und manchmal ist genau das die richtige Entscheidung.
Der Unterschied liegt woanders. Ein Schlüssel, den ein ausgeschiedener Mitarbeiter noch hat, ist auch kein Drama, solange jemand weiß, dass er ihn hat. Zum Problem wird er in dem Moment, in dem niemand es mehr aufgeschrieben hat. Genauso ist es hier: Nicht das Stehenbleiben ist der Fehler, sondern das Stehenbleiben ohne Eintrag.
Vier Fragen, und was Sie selbst tun können.
Wer für jedes bleibende Gerät keine Zeile vorlegen kann, hat Ihren Gerätepark nie verwaltet, sondern immer nur auf ihn reagiert.
Nach der Freigabe gefragt.Und „das läuft schon“ gehört?
Dann bleibt am Ende ein Gerät stehen, für das sich niemand zuständig fühlt. Reden wir eine halbe Stunde darüber. Wir sehen uns die Anwendungen und Geräte an, die nicht mitkommen, und sagen Ihnen bei jedem, was darauf liegt und wie es ab Oktober abgesichert ist.
