Noch ein Nachtrag von dieser Woche. Microsoft hat zum 22. Juli 2026 Maßnahmen angekündigt, um den Missbrauch der KMS-Aktivierung (Key Management Service) bei Windows zu verhindern. Ab den kommenden Windows Server-Versionen müssen KMS-Hosts vor der KMS-Aktivierung von Clients nachweisen, dass sie auf geprüfter, nicht manipulierter Hardware (d.h. TPM-Pflicht) laufen.
Im Unternehmensumfeld unterstützt Microsoft die KMS-Aktivierung. Die KMS-Aktivierung (Key Management Service) ist ein Verfahren von Microsoft zur Aktivierung von Volumenlizenzen in Firmen oder Hochschulen über einen lokalen Server. Das Verfahren zur KMS-Aktivierung ist auf dieser Microsoft-Supportseite beschrieben.
Laut Microsoft verlassen sich Unternehmen seit Jahren auf den Key Management Service (KMS) von Microsoft, um Windows-Geräte in großem Maßstab zu aktivieren. Allerdings nutzen Dritte gefälschte oder geklonte KMS-Server zur Aktivierung von Windows.
TPM-Pflicht zur KMS-Aktivierung kommt
Microsoft sieht in der Verwendung gefälschter oder geklonter KMS-Server zur Aktivierung ein Sicherheitsrisiko, weil Unternehmen erhöhten Compliance- und Lizenzrisiken ausgesetzt sind. Während KMS die Umsetzung umfangreicher Bereitstellungsszenarien ermöglichte, benötigen Unternehmen zunehmend stärkere Garantien hinsichtlich der Geräteidentität und der Integrität der Aktivierung.
Darauf reagiert Microsoft nun mit einer Verschärfung der Anforderungen an KMS-Server. Es kommt eine auf dem Trusted Platform Module (TPM) basierende Attestierung, als "KMS Hardware-Secured" bezeichnet, als verpflichtende Vorgabe. "KMS Hardware-Secured" ermöglicht zu überprüfen, ob ein KMS-Host auf vertrauenswürdiger Hardware läuft, bevor er Windows-Geräte aktivieren kann.
Mir ist das Thema, welches Microsoft zum 22. Juli 2026 im Techcommunity-Beitrag Strengthening Key Management Service – (KMS) with Hardware-Based Trust angekündigt hat, über verschiedene Tweets und Artikel untergekommen.
Ab den kommenden Windows Server-Versionen müssen KMS-Hosts vor der Aktivierung von Clients nachweisen, dass sie auf verifizierter, nicht kompromittierter Hardware laufen. Dies wird durch das TPM erreicht – eine Hardware-Vertrauensbasis, die einen kryptografischen Integritätsnachweis liefert. Die TPM-Attestierung funktioniert folgendermaßen:
- Hardware-Identität: Der KMS-Host nutzt eine TPM-gestützte Attestierung, um seine Hardware-Identität nachzuweisen. Microsoft überprüft diesen Nachweis, bevor der Host Geräte aktivieren kann.
- Plattformintegrität: Das TPM bestätigt, dass der KMS-Host nicht manipuliert wurde.
- Aktivierungsablauf: Nach der Überprüfung kann der KMS-Host Aktivierungsanfragen für Windows-Geräte in der Organisation sicher bearbeiten.
Die TPM-Attestierung bietet laut Microsoft die nachfolgend aufgeführten Vorteile für Unternehmen:
- Höhere Sicherheit: Trägt dazu bei, sicherzustellen, dass nur verifizierte Server Aktivierungslizenzen ausstellen können.
- Manipulationssicherheit: Schützt Aktivierungsgeheimnisse vor Diebstahl oder Spoofing, indem sie an die Hardware gebunden werden.
- Zukunftssichere Compliance: Trägt dazu bei, dass die Infrastruktur für zukünftige Sicherheitsanforderungen bei der Aktivierung gerüstet ist.
Das Ergebnis ist laut Microsoft ein vertrauenswürdigeres Aktivierungsmodell, das dazu beiträgt, das derzeitige Spoofing-Risiko zu verringern und Unternehmen gleichzeitig auf zukünftige Sicherheitsanforderungen vorzubereiten.
Das Ganze soll mit Windows Server 2025 nächsten Monat starten und wird in der nächsten LTSC-Version, voraussichtlich Server 2028, verpflichtend sein. Konkret wird Windows Server 2025 ab August 2026 Benachrichtigungen zur Bereitschaft anzeigen, die Administratoren dabei helfen sollen, zu beurteilen, ob ein KMS-Host für hardwarebasierte Sicherheit bereit ist. Dadurch erhalten die Teams Zeit, Upgrades zu planen, bevor die Durchsetzung beginnt. Details lassen sich im Beitrag Strengthening Key Management Service – (KMS) with Hardware-Based Trust nachlesen.
MVP: 2013 – 2016
Die Glacéhandschuhe werden ausgezogen und das wahre Gesicht kommt zum Vorschein. Das TPM wurde ja immer wieder versucht als DRM-Maßnahme missbraucht zu werden, statt als technische Sicherheitsvorrichtung. Hier zeigt es sich mal wieder.
Ich hoffe es gibt Protest. Erinnert sich wer an die GDID? Das hier geht noch weiter, und ändert sich nicht mit einer Neuinstallation.
*https://github.com/SmtimesIWndr/gdid-reversal
Der gelackmeierte ist wie immer der dumme ehrliche Kunde:
1) Telefonaktivierung mit unterdrückter Rufnummer geht nicht mehr
2) Telefonaktivierung über onlineeingabe (Mobilgeräte) wurde massiv kastriert
https://borncity.com/blog/2017/02/12/merkwrdigkeiten-bei-microsofts-office-aktivierungsseite-fr-mobilgerte/
Diese links gehen jetzt nur noch einmal pro anruf und nur bei übertragener Rufnummer, was den Sinn nimmt
3) Weitere Verschärfungen:
https://borncity.com/blog/2026/01/05/microsoft-deaktiviert-online-aktivierung-fuer-office-und-windows/
Wie der Elefant im Porzellanladen schafft Big Tech sich maximal kundenunfreundlich neu zu erfinden. Dieser Fix schadet mehr als das er etwas nützt.
Der gemeine Cyberkriminelle lacht sich ins Fäustchen und ist davon nicht einmal betroffen. Die Nachsicht hat wie immer der ehrliche Mensch, der alles richtig gemacht hat.
Andersrum TPM war schon immer als DRM gedacht, der Sicherheitsaspekt ist das Abfallprodukt!
Dazu musst du nur in die historische Entwicklung schauen und vor allem an den beteiligten Partien!
"Das Ergebnis ist laut Microsoft ein vertrauenswürdigeres Aktivierungsmodell, das dazu beiträgt, das derzeitige Spoofing-Risiko zu verringern und Unternehmen gleichzeitig auf zukünftige Sicherheitsanforderungen vorzubereiten."
Ich übersetzte mal. "Wir haben unsere Systeme nicht ihm griff und werden den ehrlichen Kunden weiter rumschubsen.
Raubkopien gab es schon immer, das fing schon an, bevor Micro-Soft sein erstes BASIC für den Altair verkaufte, wurde da aber durch Bill Gates mit seinem berühmten Brief an die Community erstmals thematisiert.
Aber es ist jedem Softwareunternehmen, das vom Verkauf seiner Software (und darauf basierenden Diensten) leben will, nicht zu verübeln, wenn es versucht, den unlizenzierten Einsatz seiner Software zu verhindern.
naja früher war das durchaus verständlich, da kauftest das Windows extra dazu… aber heute? Ist doch bei jedem neuen PC ohne Extra Kosten dabei, noch dazu seit Win7 praktisch gratis da das "upgrade" umsonst angeboten wurde…
meine Win10 Lizenzen sind im Prinzip auch alles Win7 Lizenzen die Gratis upgegradet wurden und selbst diese sind nicht extra gekauft sondern waren bei der Hardware dabei…und würde ich Win11 nutzen wären die auch gratis upgegradet, aber ausser auf dem Testrig kommt mir kein Win11 auf die Maschinen.
MS Office daselbe Spiel, mit MS HUP das Office Professional Plus für unter 30€ da fang ich doch nicht an raubzukopieren!
Sag mal, in welcher Welt lebst du? Selbstverständlich wenn du einen fertigen PC kaufst, ist da die Windows Lizenz schon eingepreist.
Die hatten das System noch nie richtig im Griff. Wie haben die eigentlich überlebt bevor sie mit Windows XP die Aktivierung eingeführt haben?
Inwiefern soll das jetzt aktiv Piracy einschränken?
Klingt für mich am Ende nur danach das die Ehrlichen die dummen sind. Vergleichbar mit dem Kopierschutz bei Spielen, der Ehrliche bekommt sein Spiel nicht gestartet und muss sich mit Problemen rumschlage, der mit der Raubkopie drück einfach auf Play und alles läuft.
Das verstehe ich auch nicht. Einen neuen Server mit TPM Chip zu kaufen oder aufzubauen ist ja nicht so das große Ding. Und dazu ist nicht mal eine Erlaubnis bei MS nötig, oder eine Aktivierung des TPM mit einem Microsoft-Schlüssel…
Darum soll es ja gehen. Dass du nur „genuine" Hosts einsetzt, die dann entsprechende Lizenzschlüssel hinterlegt haben und nicht einen KMS Host, den auf eine Docker Container laufen lassen kannst, während du die Betriebssysteme mit den MAK aktivierst.
Schöne neue Welt.
Also wer ein KMS Host abseits der offiziellen Weg einsetzt würde ich mal sagen der weiß ganz genau was er da tut. Da sehe ich kein Lizenzrisiko.
Microsoft hat aber jahrelang davon profitiert dass Privatanwender sich Office "besorgt" haben und das auch in der Firma dann benutzen wollten.
Gates sagte mal lieber eine MS Raubkopie als ein Konkurrenzprodukt…
Zumal MS ja selbst gerne "raubkopiert"… (siehe DrDOS; MSDOS)
Du lebst wirklich in einer anderen Welt. Ich muss dir das mal chronologisch klar machen:
CP/M-80
—- CP/M-86 —> DR-DOS (mit ein paar Zutaten aus GEM-DOS)
—- QDOS -> PC/MS-DOS
——————————-> Zeit
CP/M 86 und QDOS entstanden quasi zeitgleich, wobei QDOS so gestaltet wurde, dass es von den Funktionsaufrufen, Parameter usw. weitestmöglich kompatibel zu CP/M-80 war, damit die Portierung von CP/M Software einfach war. DR-DOS wurde auf der Basis von CP/M-86 entwickelt, und es flossen Komponenten von GEM-DOS ein. GEM-DOS ist ab 1984 für ATARI 68000 Computer entstanden und ist quasi ein CP/M basiertes Betriebssystem mit MS-DOS-kompatiblen Elementen (Funktionsaufrufe, FAT12/16 Dateisystem, usw.), damit GEM (für MS-DOS) drauf portiert werden konnte, ohne viel an GEM ändern zu müssen. (GEM-DOS plus GEM == TOS Betriebssystem ATARI ST.) CP/M-86 hat nämlich ein ganz anderes Dateisystem als MS-DOS (QDOS und MS-DOS 1.0 uterstützten noch keine Datei-Ordner) , aber GEM-DOS ist quasi schon ein MS-DOS-Betriebssstem für 68000 Computer (es gibt sogar eine COMMAND.TOS die auch Batchverarbeitung unterstützt).
MS-DOS ist weder eine Kopie von DR-DOS noch von CP/M-86. Dessen Vorfahre QDOS wurde vollständig eigen entwickelt, und übernahm nur Funktionsnummern und Übergabeparameter für Systemfunktionsaufrufe von CP/M, um Softwareportierungen einfach zu machen. Es hat aber schon immer ein zu CP/M inkompatibles (besseres!) Dateisystem, anfangs noch ohne Unterstützung für Ordner und anderes Zeugs. Der Befehlssatz von DOS ist im Vergleich zu CP/M viel logischer, schau dir mal COPY versus PIP an. DR-DOS, das auf einem völlig umgekrempelten CP/M basiert, musste sich sehr an MS-DOS orientieren, um kompatibel dazu zu sein/bleiben, bis auf DIR ist kein CP/M Befehl mehr übrig.
MSDOS 5 gegen DRDOS6.0 kostete MS $280million (2000)
********************************************************
Faced with the prospect of these devastating internal memos being read aloud to a jury, Microsoft correctly realized a public trial would be a disaster. In January 2000, just weeks before the high-profile court date, Microsoft settled out of court with Caldera.
For nearly a decade, the tech giant enforced strict confidentiality over the terms of the deal, which left the public guessing at the cost of the payout. However, in November 2009, following a series of successful public records motions, the settlement documents were finally unsealed. The records revealed that Microsoft had paid Caldera $280 million to make the lawsuit disappear.
***********************************************************
Der Rechtsstreit drehte sich um die Zwangsbündelung von MS-DOS 7.0 und Windows 4.0 (Handelsname des Bundles war Windows 95).
Caldera hatte bewiesen, was Windows 4.0 auch unter DR-DOS und anderen DOS-Versionen uneingeschränkt lauffähig ist.
Caldera hat dann Microsoft wegen Wettbewerbsbehinderung anderer DOS-Anbieter verklagt.
Sie haben noch nicht alles erzählt, du wirst es später noch vollständig verstehen was da auf alle mit "KMS-Aktivierung" in Zukunft (~ab dem Windows Server 2028 LTSC) zukommt. :-)
Die KMS-Aktivierung wird eigentich nicht mehr gebraucht, Aktivierung erfolgt über Intue.
Mir kommt es so vor, dass KMS mittlerweile nur für die größten Kunden (also nichts kleiner als Fortune Global 500 oder US-Regierung) gedacht ist. Für alle "kleineren" Geschäftskunden ist Intune gedacht bzw. privat das Microsoft-Konto. Die Leser hier im Blog nutzen doch bestimmt KMS nicht (mehr lange), oder?
Nicht so schlimm …
Gerade für Privat gibts für die viele Heimanwender inzwischen sehr gute Alternativen.
Hier ist KI eine tolle Unterstützung.
Und in Firmen werden Admins 8h/Tag bezahlt das Ökosystem lauffähig zu halten.
Da können zunehmend Probleme OnMass letztlich nur gut sein. =)
Vielleicht das Ende für gebraucht Lizenz Händler. Da hab ich mich schon immer gefragt wie die kurz nach einer Veröffentlichung eines neuen Betriebssystems bereits gebrauchte Lizenzen anbieten können. Die Arbeiten im großen Stil mit KMS Servern und man aktiviert dann über das Internet gegen deren KMS. Wenn man dort 5 Lizenzen erwirbt kann auch niemand prüfen ob man am Ende 10 aktiviert hat, oder ob die einen Server ohne TPM einmal aktiviert haben und dann einfach zig mal geklont um die Lizenzen mehrfach bereitzustellen. Also eigentlich nur konsequent diesem Missbrauch einen Riegel vor zu schieben.
Nur wird das in der Praxis nicht funktionieren. Diejenigen, die einen KMS "illegal" betreiben, werden Mittel und Wege finden das zu umgehen und entsprechend ihre Dienste weiterhin anbieten.