Microsoft verschärft KMS-Aktivierung; TPM erforderlich

Noch ein Nachtrag von dieser Woche. Microsoft hat zum 22. Juli 2026 Maßnahmen angekündigt, um den Missbrauch der KMS-Aktivierung (Key Management Service) bei Windows zu verhindern. Ab den kommenden Windows Server-Versionen müssen KMS-Hosts vor der KMS-Aktivierung von Clients nachweisen, dass sie auf geprüfter, nicht manipulierter Hardware (d.h. TPM-Pflicht) laufen.

Im Unternehmensumfeld unterstützt Microsoft die KMS-Aktivierung. Die KMS-Aktivierung (Key Management Service) ist ein Verfahren von Microsoft zur Aktivierung von Volumenlizenzen in Firmen oder Hochschulen über einen lokalen Server. Das Verfahren zur KMS-Aktivierung ist auf dieser Microsoft-Supportseite beschrieben.

Laut Microsoft verlassen sich Unternehmen seit Jahren auf den Key Management Service (KMS) von Microsoft, um Windows-Geräte in großem Maßstab zu aktivieren. Allerdings nutzen Dritte gefälschte oder geklonte KMS-Server zur Aktivierung von Windows.

TPM-Pflicht zur KMS-Aktivierung kommt

Microsoft sieht in der Verwendung gefälschter oder geklonter KMS-Server zur Aktivierung ein Sicherheitsrisiko, weil Unternehmen erhöhten Compliance- und Lizenzrisiken ausgesetzt sind. Während KMS die Umsetzung umfangreicher Bereitstellungsszenarien ermöglichte, benötigen Unternehmen zunehmend stärkere Garantien hinsichtlich der Geräteidentität und der Integrität der Aktivierung.

Darauf reagiert Microsoft nun mit einer Verschärfung der Anforderungen an KMS-Server. Es kommt eine auf dem Trusted Platform Module (TPM) basierende Attestierung, als "KMS Hardware-Secured" bezeichnet, als verpflichtende Vorgabe. "KMS Hardware-Secured" ermöglicht zu überprüfen, ob ein KMS-Host auf vertrauenswürdiger Hardware läuft, bevor er Windows-Geräte aktivieren kann.

Mir ist das Thema, welches Microsoft zum 22. Juli 2026 im Techcommunity-Beitrag Strengthening Key Management Service – (KMS) with Hardware-Based Trust angekündigt hat, über verschiedene Tweets und Artikel untergekommen.

Ab den kommenden Windows Server-Versionen müssen KMS-Hosts vor der Aktivierung von Clients nachweisen, dass sie auf verifizierter, nicht kompromittierter Hardware laufen. Dies wird durch das TPM erreicht – eine Hardware-Vertrauensbasis, die einen kryptografischen Integritätsnachweis liefert. Die TPM-Attestierung funktioniert folgendermaßen:

• Hardware-Identität: Der KMS-Host nutzt eine TPM-gestützte Attestierung, um seine Hardware-Identität nachzuweisen. Microsoft überprüft diesen Nachweis, bevor der Host Geräte aktivieren kann.
• Plattformintegrität: Das TPM bestätigt, dass der KMS-Host nicht manipuliert wurde.
• Aktivierungsablauf: Nach der Überprüfung kann der KMS-Host Aktivierungsanfragen für Windows-Geräte in der Organisation sicher bearbeiten.

Die TPM-Attestierung bietet laut Microsoft die nachfolgend aufgeführten Vorteile für Unternehmen:

• Höhere Sicherheit: Trägt dazu bei, sicherzustellen, dass nur verifizierte Server Aktivierungslizenzen ausstellen können.
• Manipulationssicherheit: Schützt Aktivierungsgeheimnisse vor Diebstahl oder Spoofing, indem sie an die Hardware gebunden werden.
• Zukunftssichere Compliance: Trägt dazu bei, dass die Infrastruktur für zukünftige Sicherheitsanforderungen bei der Aktivierung gerüstet ist.

Das Ergebnis ist laut Microsoft ein vertrauenswürdigeres Aktivierungsmodell, das dazu beiträgt, das derzeitige Spoofing-Risiko zu verringern und Unternehmen gleichzeitig auf zukünftige Sicherheitsanforderungen vorzubereiten.

Das Ganze soll mit Windows Server 2025 nächsten Monat starten und wird in der nächsten LTSC-Version, voraussichtlich Server 2028, verpflichtend sein. Konkret wird Windows Server 2025 ab August 2026 Benachrichtigungen zur Bereitschaft anzeigen, die Administratoren dabei helfen sollen, zu beurteilen, ob ein KMS-Host für hardwarebasierte Sicherheit bereit ist. Dadurch erhalten die Teams Zeit, Upgrades zu planen, bevor die Durchsetzung beginnt. Details lassen sich im Beitrag Strengthening Key Management Service – (KMS) with Hardware-Based Trust nachlesen.