Windows 11 TPM 2.0 controleren en inschakelen

TPM 2.0 is een beveiligingschip die Windows 11 als systeemeis stelt.

TPM staat voor Trusted Platform Module. Het is een beveiligingscomponent die cryptografische sleutels, wachtwoorden en certificaten los van het besturingssysteem opslaat, zodat kwaadwillende software er niet bij kan. Windows 11 vereist versie 2.0 van deze module; zonder TPM 2.0 laat de installatie zich normaal gesproken niet uitvoeren.

De module bestaat in twee vormen. Een discrete TPM is een aparte chip op het moederbord. Een firmware-TPM draait als onderdeel van de processor, onder de naam Intel Platform Trust Technology (PTT) bij Intel-systemen en fTPM bij AMD-systemen. Voor Windows 11 maakt het niet uit welke vorm je hebt, zolang het maar versie 2.0 is en de functie is ingeschakeld.

Naast de installatie-eis gebruikt Windows 11 de TPM voor functies als BitLocker-schijfversleuteling en Windows Hello. De sleutels van die functies liggen veilig in de module, wat het lastiger maakt om ze buiten je pc om uit te lezen.

Microsoft koos TPM 2.0 als eis om een basisniveau van hardwarebeveiliging op elke Windows 11-pc te garanderen. De module maakt het bijvoorbeeld mogelijk om bij het opstarten te controleren of de firmware en de opstartbestanden niet zijn aangepast, en om aanmeldgegevens veilig te bewaren. Veel computers van na 2016 hebben een geschikte firmware-TPM aan boord, maar die staat af fabriek niet altijd aan. Daardoor lijkt een pc soms geen TPM te hebben terwijl de module wel aanwezig is en alleen nog moet worden ingeschakeld.

Controleer TPM 2.0 het snelst met de console tpm.msc.

De ingebouwde beheerconsole toont in een oogopslag of TPM aanwezig, gereed en van versie 2.0 is.

1. Druk op Windows + R, typ tpm.msc en bevestig met Enter.
2. Bekijk het vak Status. Staat daar dat de TPM gereed is voor gebruik, dan is de module actief.
3. Kijk bij Informatie over TPM-fabrikant naar de regel Specificatieversie. Daar hoort 2.0 te staan.

Zie je in plaats daarvan de melding dat er geen compatibele TPM kan worden gevonden, dan is de module uitgeschakeld in de firmware of niet aanwezig. Staat er een lager versienummer dan 2.0, bijvoorbeeld 1.2, dan voldoet het apparaat niet aan de eis van Windows 11.

In het menu links in de console zie je ook een optie om de TPM voor te bereiden of te wissen. Die heb je bij een gewone controle niet nodig; ze zijn bedoeld voor beheer en probleemoplossing. Voor de vraag of je klaar bent voor Windows 11 volstaan de statusregel en de specificatieversie. Noteer die versie, want je hebt hem verderop nodig als je de firmware moet aanpassen.

Gebruik Get-Tpm in PowerShell voor een controle in tekst.

Wil je de status uitlezen op een manier die je kunt kopieren of in een script gebruiken, dan is PowerShell handiger dan de console. Open PowerShell als beheerder en voer uit:

Get-Tpm

De uitvoer bevat een paar regels die je meteen antwoord geven:

• TpmPresent: staat op True als er een TPM aanwezig is.
• TpmReady: staat op True als de module klaar is voor gebruik.
• TpmEnabled: staat op True als de module is ingeschakeld.

Staan TpmPresent en TpmReady allebei op True, dan is je systeem in orde voor Windows 11. Verschijnt er een foutmelding of staan de waarden op False, dan moet je de module waarschijnlijk nog inschakelen in de firmware.

Wil je de volledige eisencontrole van Microsoft laten uitvoeren, gebruik dan de app PC-statuscontrole (PC Health Check). Die kijkt niet alleen naar TPM 2.0, maar ook naar Secure Boot, de processor en het werkgeheugen, en meldt in gewone taal of je pc geschikt is voor Windows 11. Voor alleen de TPM-status is Get-Tpm sneller, maar de app geeft een compleet beeld als je twijfelt of je aan alle systeemeisen voldoet.

Bekijk de beveiligingsprocessor in Windows-beveiliging.

Een derde controlemethode zit in de instellingen zelf en toont ook meteen de versie.

1. Open Instellingen > Privacy en beveiliging > Windows-beveiliging.
2. Kies Apparaatbeveiliging.
3. Klik onder Beveiligingsprocessor op Details van beveiligingsprocessor.
4. Lees bij Specificatieversie af of er 2.0 staat.

Zie je onder de beveiligingsprocessor helemaal geen kopje staan, dan detecteert Windows geen TPM en moet je hem eerst in de firmware aanzetten. Verschijnt er een waarschuwingsdriehoek met de melding dat de beveiligingsprocessor aandacht nodig heeft, klik die dan aan; vaak volstaat een herstart of het bijwerken van de firmware om de melding te verhelpen.

De drie methoden geven dezelfde informatie; kies degene die je het prettigst vindt. Het onderstaande overzicht zet ze naast elkaar.

Schakel TPM in via de UEFI-firmware als de module uit staat.

Blijkt uit de controle dat er geen TPM wordt gevonden terwijl je systeem er wel een heeft, dan staat de functie vaak alleen uitgeschakeld in de firmware. Je zet hem aan in de UEFI-instellingen (BIOS).

1. Ga naar Instellingen > Systeem > Systeemherstel en kies bij Geavanceerd opstarten de knop Nu opnieuw opstarten.
2. Kies na het herstarten Problemen oplossen > Geavanceerde opties > UEFI-firmware-instellingen en klik op Opnieuw opstarten.
3. Zoek in de UEFI naar een onderdeel als Security, Advanced of Trusted Computing.
4. Zet de TPM-optie aan. Bij Intel heet die vaak Intel PTT of Intel Platform Trust Technology, bij AMD AMD fTPM of AMD PSP fTPM switch.
5. Sla op (meestal met F10) en start opnieuw op.

Kom je liever niet via Windows in de firmware, dan kun je de UEFI ook openen door bij het opstarten meteen op een toets te drukken, meestal Del, F2 of F10, afhankelijk van het merk. Het opstartscherm toont vaak kort welke toets je nodig hebt. De route via Instellingen en Geavanceerd opstarten werkt echter op elke pc, ook als het opstartscherm te snel voorbijkomt.

Na de herstart controleer je met tpm.msc of de module nu wordt herkend. De exacte namen van de menu's verschillen per fabrikant en per moederbord; de officiele uitleg met varianten staat bij Microsoft Support.

Los een niet-herkende TPM op met een firmware-update of door de TPM te wissen.

Soms blijft de module na het inschakelen toch problemen geven. Deze stappen helpen dan:

• Werk de UEFI-firmware bij naar de nieuwste versie. Oudere firmware herkent fTPM of PTT niet altijd goed.
• Controleer of Secure Boot is ingeschakeld; Windows 11 vraagt dat naast TPM 2.0.
• Wis de TPM alleen als laatste redmiddel via tpm.msc met de optie TPM wissen. Dit verwijdert opgeslagen sleutels, dus doe dit niet als BitLocker actief is zonder je herstelsleutel bij de hand te hebben.

Een veelvoorkomend geval is dat de UEFI de TPM-optie wel toont, maar dat Windows na inschakelen alsnog niets ziet. Meestal helpt het dan om de firmware-instellingen op te slaan, de pc volledig uit te zetten (niet alleen herstarten) en opnieuw op te starten. Bij AMD-systemen zit de fTPM-optie soms verstopt onder een submenu met de naam AMD CBS of PSP, dieper in de instellingen dan je zou verwachten. Neem de tijd om de menu's rustig door te lopen voordat je concludeert dat je pc geen TPM heeft.

Let ook op discrete TPM-modules op oudere moederborden: die vragen soms een fysieke aanwezigheidsbevestiging in de UEFI voordat Windows ze mag gebruiken. De UEFI toont dan een melding waarin je de wijziging moet goedkeuren met een toets. Sla die stap niet over, want anders blijft de module uitgeschakeld ondanks je instelling.

Bij een pc die je met een lokaal account hebt opgezet, verloopt het opnieuw instellen soms anders dan bij een Microsoft-account. Lees hierover meer in Windows 11 installeren met een lokaal account. Wil je na een hardwarewijziging zeker weten dat je Windows opnieuw kunt activeren, koppel dan je licentie zoals beschreven in Windows digitale licentie koppelen aan je Microsoft-account.

Zonder TPM 2.0 blijft alleen Windows 10 of een hardware-upgrade over.

Voldoet je apparaat definitief niet aan de eis, bijvoorbeeld omdat het alleen TPM 1.2 heeft of geen module ondersteunt, dan zijn er een paar realistische opties.

Er circuleren omwegen om Windows 11 zonder TPM 2.0 te installeren, maar die zorgen voor een niet-ondersteunde configuratie. Zo'n installatie ontvangt niet altijd updates en kan bij een grote Windows-update alsnog vastlopen op de systeemeis. Voor een pc die je dagelijks gebruikt is dat een risico dat je liever vermijdt; op Windows 10 blijven of de hardware upgraden geeft een stabieler resultaat.

Overweeg je nieuwe hardware, houd dan rekening met wat er met je bestaande licentie gebeurt. Of je een Windows- of softwarelicentie mag meenemen naar een andere pc, hangt af van het licentietype; dat lees je in Mag je een softwarelicentie doorverkopen of overdragen?. Een moderne processor bevat vrijwel altijd een firmware-TPM, waardoor je op een nieuwe pc zelden nog tegen deze eis aanloopt.