KMS wird Hardware-gesichert: Microsoft macht TPM für die Volumenaktivierung zur Pflicht
Der Key Management Service ist seit Windows Vista das stille Arbeitstier der Volumenaktivierung. Ein KMS-Host im eigenen Netz, die Clients melden sich alle paar Tage, fertig – ohne Cloud, ohne dass jeder Rechner einzeln bei Microsoft anklopfen muss. Genau an diesem Fundament dreht Microsoft jetzt: Künftig muss ein KMS-Host per TPM-Attestierung beweisen, dass er auf verifizierter, unmanipulierter Hardware läuft, bevor er überhaupt aktivieren darf. Was das für deine Infrastruktur bedeutet – und warum du jetzt schon deine Aktivierungsserver inventarisieren solltest – klopfe ich hier ab.
- Microsoft führt „KMS Hardware-Secured“ ein – eine TPM-gestützte Attestierung des KMS-Hosts.
- Ab August 2026 zeigt Windows Server 2025 Readiness-Hinweise zum TPM-Status an – noch ohne Zwang.
- Verpflichtend wird die Attestierung erst mit einem künftigen Windows Server LTSC-Release.
- Handlungsbedarf jetzt: KMS-Hosts inventarisieren, TPM-Fähigkeit prüfen, Migration planen.
Was Microsoft konkret ändert
In der Ankündigung „Strengthening Key Management Service (KMS) with Hardware-Based Trust“ vom 22. Juli 2026 beschreibt Microsoft den Wechsel vom reinen Software-Vertrauen hin zu einer hardwaregestützten Vertrauenskette. Der KMS-Host muss sich künftig gegenüber Microsoft mit TPM-Nachweisen ausweisen, bevor er Aktivierungen ausstellen darf. Das TPM belegt dabei zwei Dinge: die Hardware-Identität des Servers und die Plattform-Integrität – also dass am System nicht manipuliert wurde. Erst nach erfolgreicher Attestierung verarbeitet der Host Aktivierungsanfragen. Zwischen Client und KMS-Host entsteht so, wie Microsoft es formuliert, eine „kryptografische Vertrauenskette“.
Das erklärte Ziel ist eindeutig: Nur noch verifizierte Server sollen Lizenzen ausstellen können. Microsoft zielt damit auf gefälschte KMS-Hosts, Spoofing und die seit Jahren bekannten Container-basierten „KMS-Emulatoren“, mit denen sich Windows illegal aktivieren lässt. Ein legitimer Nebeneffekt für Microsoft – und ein handfestes Projekt für alle, die on-premises aktivieren.
Der Zeitplan
| Ab August 2026 | Windows Server 2025 blendet Readiness-Benachrichtigungen ein und zeigt, ob der Host TPM-tauglich ist. Reine Vorbereitungsphase, keine Erzwingung – die Aktivierung läuft unverändert weiter. |
| Künftiges LTSC | Mit einem späteren Windows Server LTSC-Release wird die TPM-Attestierung verpflichtend. Ein konkretes Release hat Microsoft offiziell noch nicht benannt – kursierende Angaben zu „Server 2028 LTSC“ sind Einordnungen der Fachpresse, keine Zusage. |
Übersetzt heißt das: Du hast Zeit – aber nicht unbegrenzt. Die Readiness-Phase ist genau dafür gedacht, dass niemand am Stichtag von einem toten Aktivierungsserver überrascht wird.
Technische Voraussetzungen
TPM im KMS-Host Der physische Host muss ein TPM besitzen und für Windows Server zertifiziert sein. Microsoft nennt bislang keine explizite Version – praktisch läuft es auf TPM 2.0 hinaus, das ohnehin Zertifizierungsvoraussetzung moderner Server ist. | Attestierungs-Fähigkeit Es reicht nicht, dass ein TPM verbaut ist – der Host muss Attestierung aktiv unterstützen und den Nachweis gegenüber Microsoft führen können. Firmware/TPM aktiviert im UEFI ist Pflicht. |
Virtuelle KMS-Hosts Für virtualisierte Hosts (Hyper-V, VMware, VDI) will Microsoft eine separate Anleitung nachreichen. Ein vTPM ist hier der Knackpunkt – Details noch offen. | Netzzugang zur Attestierung Da Microsoft die Hardware-Nachweise verifiziert, braucht der KMS-Host einen Weg nach draußen. Für streng abgeschottete Netze ist das ein neuer Planungspunkt. |
- Alte KMS-Hosts ohne TPM: Betagte Blechserver oder Uralt-VMs als Aktivierungsserver fallen spätestens beim LTSC-Enforcement aus.
- VM als „mal eben“-KMS: Die verbreitete Praxis, KMS beiläufig auf irgendeiner VM ohne vTPM mitlaufen zu lassen, steht auf der Kippe, bis Microsofts VM-Leitfaden da ist.
- Abgeschottete Air-Gap-Netze: Ohne Weg zur Microsoft-Verifizierung ist die künftige Attestierung nicht trivial – hier lohnt der frühe Blick auf Alternativen.
Was du als Admin jetzt tun solltest
Die Readiness-Phase ab August 2026 ist dein Zeitfenster. Meine Empfehlung für die nächsten Wochen:
Get-Tpm laufen lassen bzw. tpm.msc prüfen – TPM vorhanden, aktiviert, bereit?Meine Einschätzung
Technisch ist der Schritt nachvollziehbar: KMS war jahrelang das Einfallstor für illegale Aktivierungen, und eine hardwaregebundene Vertrauenskette schließt genau diese Lücke. Wer seine Server ohnehin auf TPM 2.0-Blech betreibt, wird die Umstellung kaum spüren. Unangenehm wird es an den Rändern – bei alten Aktivierungs-VMs, in Air-Gap-Umgebungen und überall dort, wo KMS „irgendwo mitläuft“. Dass Microsoft die VM-Guidance erst nachreicht, ist der größte offene Punkt, denn genau dort sitzen in der Praxis die meisten KMS-Hosts. Gut ist, dass es eine echte Readiness-Phase gibt und der Zwang erst mit einem späteren LTSC kommt. Dieses Zeitfenster sollte man nutzen – nicht verstreichen lassen.
KMS bleibt – wird aber erwachsen. Ab August 2026 warnt Windows Server 2025, verpflichtend wird die TPM-Attestierung erst mit einem künftigen LTSC. Wer jetzt seine Aktivierungsserver inventarisiert, den TPM-Status prüft und die VM-Frage im Blick behält, geht das Thema entspannt an. Wer wartet, bis der KMS-Host am Stichtag die Aktivierung verweigert, hat ein Problem mit Ansage.