Windows 11: Microsoft rechtfertigt die strengen Anforderungen

Einige Prozessoren, beispielsweise CPUs der Baureihen Ryzen 1000, Ryzen 2000U/H, Intels 6. Core-Generation und einige CPUs der 7. Generation, bezeichnet Microsoft als nicht kompatibel mit Windows 11. Zudem müssen die UEFI-BIOS-Funktionen Firmware-TPM und Secure Boot aktiviert sein, um eine Installation via Windows Update vornehmen zu können. Nun rechtfertigt sich Microsoft in Gestalt von Dave Weston, Partner Director, Enterprise Security. Seinen Ausführungen zufolge will Microsoft mit Windows 11 ein möglichst sicheres Betriebssystem ermöglichen. Der Hersteller fasst die Sicherheitsmaßnahmen unter der Bezeichnung VBS oder auch Virtualization-based Security zusammen.

Microsoft erlaubt Installation von Windows mit und ohne TPM 2.0

Die Zielsetzung lautet, den Bootvorgang gegenüber Exploit-Angriffen und Malware abzusichern. Natürlich ersetzt dies keine Sicherheitssoftware, die dann aktiv ist, wenn Windows gestartet ist. TPM 2.0 und Secure Boot werden via UEFI-BIOS aktiviert, ein zusätzlicher TPM-Chip ist nicht notwendig. Die dritte Funktion namens HVCI alias Kernisolierung ist rein optional. Falls man die Kernisolierung in der vorinstallierten App Windows-Sicherheit aktiviert hat, wird der Bootvorgang nochmals stärker gegen Schadcode abgesichert. Allerdings darf kein installierter Treiber gegen die Kernisolierung arbeiten. HVCI kostet außerdem CPU-Leistung und ist nur mit folgenden Prozessoren kompatibel:

• AMD Ryzen ab 2000 (bei Notebooks ab Ryzen 3000U/H),
• Intel Core 7. Generation (empfohlen: ab 8. Generation),
• Qualcomm Snapdragon 850, 7c, 7cx, 8cx (alle Generationen)

Laut Microsoft kann man auch Windows 11 auf bestehenden PCs ohne aktiviertes TPM installieren, neu auf dem Markt verfügbare Computer sollen dagegen nur noch mit standardmäßig aktiviertem TPM 2.0 und Secure Boot erhältlich sein. Hacker breiten sich immer mehr aus und es finden immer mehr Angriffe statt, sodass Microsoft mit den aktivierten VBS-Maßnahmen und den Systemanforderungen von Windows 11 ein Zeichen für mehr Sicherheit senden will.

Windows 11 ohne TPM 2.0 und CPU-Check installieren

Microsoft hat nun in einem offiziellen Supportdokument erklärt, wie jeder Nutzer von Windows 10 auf das neue Betriebssystem aktualisieren kann. Hierbei spielt es keine Rolle, ob die verbaute CPU offiziell unterstützt wird oder ob TPM 2.0 aktiv ist. Laut Microsoft sind folgende Schritte notwendig, um Windows 11 auf jedem aktuellen PC mit Windows 10 installieren zu können, der mindestens 4 Gigabyte RAM und 64 Gigabyte freien Speicherplatz besitzt:

• In der Suche "Registrierungs-Editor" oder "regedit" eingeben und als "Administrator ausführen" anklicken.
• Nun zum Pfad "Computer\HKEY_LOCAL_MACHINE\SYSTEM\Setup\MoSetup" navigieren. Falls notwendig muss noch der Ordner "MoSetup" angelegt werden.
• Mit einem Rechtsklick auf den Ordner "MoSetup" erstellt man nun einen neuen "Schlüssel" mit der Bezeichnung "AllowUpgradesWithUnsupportedTPMOrCPU". Der Typ muss "REG_DWORD" lauten.
• Als Wert wird "1" festgelegt.
• Nun kann man den Registrierungs-Editor schließen und nach einem Neustart des PCs Windows 11 via ISO-Datei installieren.
• Wichtig: Jede Änderung im Registrierungs-Editor kann zu Problemen mit Windows führen. Microsoft und PCGH übernehmen keinerlei Schäden, falls es durch die Anleitung zu Problemen mit dem PC kommt. In der Regel sollte sich mit den vorgenommenen Anpassungen Windows 11 installieren lassen.
• Zur Aktivierung von Windows 11 genügt ein Produktschlüssel / Product Key von Windows 10, der bei der Installation eingegeben werden kann.

Quelle: Screenshot / windowslatest.com Quelle: PCGH

Auf einem PC mit nicht-unterstützer Hardware weist Microsoft bei der Installation darauf hin, dass diese PCs keinen Garantieanspruch mehr nach dem manuellen OS-Update haben und es sein kann, dass diese PCs keine Updates mehr erhalten. Microsoft schreibt, dass es "keine Garantie für Updates" auf nicht-unterstützen PCs gibt. Wie stringent die Update-Sperre tatsächlich durchgeführt wird, kann nur die Zeit zeigen. Jeder, der seinen PC auf Windows 11 aktualisiert hat, kann auch wieder auf Windows 10 zurücksetzen.

Was kann ohne aktiviertes TPM 2.0 passieren?

In einer Vorführung zeigt Dave Weston, was auf einem PC mit Windows 10 passieren kann, wenn kein TPM 2.0 via UEFI-BIOS aktiviert ist. In der Demo nutzt der Angreifer ein Passwort-Tool, um das PC-Kennwort eines PCs herauszufinden, der sich an einem kompromittierten Netzwerk angemeldet hat. Ein Angreifer kann sich mit dem Remote Desktop Protocol über den Anmeldevorgang Zugang zum PC verschaffen, sich anmelden und prinzipiell alles Mögliche dort anstellen, da er nun der Administrator des PCs ist. RDP setzt dabei auf Master Boot Record und nicht auf UEFI und den moderneren Partitionstyp GPT.

Nun kann man beispielsweise mit einem Programm dafür sorgen, dass sich der Computer automatisch herunterfährt und beim nächsten Start nicht mehr Windows startet, sondern der Nutzer einen Bildschirm des Hackers zu sehen bekommt und etwa Geld zur Freischaltung des PCs übersenden soll. Selbst, wenn man den Fehler als Nutzer findet und vermeintlich beheben könnte, kann die primäre Partition trotzdem einen irreparablen Schaden davongetragen haben.

Attacke mittels Dockingstation und Thunderbolt

Wenn man biometrische Authentifizierungsoptionen wie beispielsweise einen Fingerabdruck zur Anmeldung am PC nutzt, dann kann dies ebenfalls ein Einfallstor für Angreifer sein, wenn VBS-Maßnahmen nicht aktiv sind. Hierzu ist ein Direct-Memory-Access-Gerät notwendig, welches sich beispielsweise via Thunderbolt mit dem PC verbinden lässt. Theoretisch könnte dies etwa eine entsprechend präparierte Dockingstation für Notebooks sein. Nun liest der Angreifer den Speicher des Opfer-PCs aus. Mittels eines Exploits wird nun die auf dem PC gespeicherte Anmeldeinformation abgeändert, sodass sich der Angreifer am PC anmelden kann.

Virtualisierungsbasierte Sicherheit schützt Anmeldevorgang

In Windows 11 hat man sich dazu entschlossen, die seit dem Jahr 2013 in Windows optional verfügbaren VBS-Maßnahmen standardmäßig zu aktivieren. So wird durch verschiedene UEFI-BIOS-Features und durch unterstützte Prozessoren ein abgesicherter Container erstellt. Es gibt einmal das laufende Betriebssystem und einmal den virtuellen Container, indem bestimmte Informationen gespeichert sind. So sind etwa Anmeldeinformationen und kryptografische Schlüssel in einer geschützten Umgebung im Speicher abgelegt.

Wovor sollen TPM 2.0 und Secure Boot schützen?

Mit TPM 2.0 und Secure Boot kann man den PC beispielsweise besser gegen Angriffe via RDP schützen, da laufend neue kryptografische Schlüssel erzeugt und so nur signierte Anmeldeinformationen geladen werden. Beide VBS-Maßnahmen stoppen Rootkits und Bootkits, die sich im Bootvorgang einnisten und so die Anmeldeinformationen der Nutzer stehlen wollen. Klassische Sicherheitssoftware kann weder Rootkits noch Bootkits aufspüren, da sich beide schon im Bootvorgang von Windows verstecken. So läuft der geschützte Bootvorgang ab.

• Secure Boot überprüft die digitale Signatur vom Bootloader und vergleicht dies mit kryptografischen Schlüsseln vom Mainboard.
• Nun überprüft die UEFI-Funktion Trusted Boot, ob der Kernel und andere Boot-Komponenten ordnungsgemäß signiert sind und meldet diese Informationen dem Firmware TPM.
• Das Trusted Platform Module vergleicht nun die erhaltenen Informationen mit bekannten, als sicher geltenden Boot-Protokollen auf einem lokalen Server.
• Wenn nun TPM 2.0 meldet, dass alles in Ordnung ist, darf Windows booten.
• Wichtig: Secure Boot, Trusted Boot und TPM 2.0 benötigen ein Mainboard mit UEFI-BIOS und die genannten VBS-Maßnahmen müssen im UEFI-BIOS aktiviert sein.

Falls es also einen Angriff während bzw. kurz vor dem Bootvorgang gegeben hat, wird der Schaden reduziert. VBS erkennt beispielsweise die Ransomware-Attacke und neutralisiert diese automatisch. Übrigens gibt es auch Linux-Distributionen, die auf einem Windows-PC mit aktiviertem TPM 2.0 und Secure Boot als zweites Betriebssystem geladen werden können.

Was soll das optionale Feature HVCI alias Kernisolierung bewirken?

Wenn man nun neben TPM 2.0 und Secure Boot auch noch HVCI alias Kernisolierung aktiviert hat, werden auch Treiber und Code in einer virtuellen Umgebung abgelegt, die die CPU und den Speicher nutzt. Nun checkt die Kernisolierung, ob etwa ein Treiber die richtige Signatur besitzt und lässt nur die - vom Hersteller - als sicher signierten Treiber zum Betriebssystem durch, sodass diese im Speicher von Windows geladen werden können. VBS-Funktionen benötigen eine unterstützte CPU mit aktivierter Virtualisierungsfunktion.

Die Speicherintegrität auf CPUs kostet einiges an Leistung, sodass Microsoft beschlossen hat, nur CPUs für Windows 11 als kompatibel auszuweisen, die über genügend Leistung und den vollständigen VBS-Support verfügen. Wenn man von Windows 10 auf Windows 11 aufrüstet, ist HVCI/Kernisolierung standardmäßig deaktiviert, TPM 2.0 und Secure Boot dagegen sind aktiv, wenn man diese im UEFI-BIOS zuvor eingeschaltet hat beziehungsweise, wenn man die Festplattenverschlüsselung Microsoft Bitlocker nutzt. Wir haben in einem separaten Artikel aufgezeigt, wie man HVCI alias Kernisolierung (de)aktiviert.

Ebenfalls lesenswert: Update auf Windows 11: So aktiviert man TPM 2.0

Sammlung zur Verteidigung der hohen Systemanforderungen von Windows 11:

• Microsoft hat demonstriert, warum man hohe Systemanforderungen für Windows 11 definiert hat.
• So müssen die VBS-Maßnahmen TPM 2.0 und Secure Boot aktiviert sein, wenn man via Windows Update auf Windows 11 umsteigen will. Mit beiden Maßnahmen wird der Anmeldevorgang am PC abgesichert.
• Optional kann man auch noch die VBS-Maßnahme HVCI alias Kernisolierung in der Microsoft-App Windows-Sicherheit aktivieren, wenn man über einen offiziell unterstützen Prozessor verfügt und kein installierter Treiber dies verhindert. Die Kernisolierung blockiert unsignierte Treiber, kostet aber CPU-Leistung.

Quellen: Microsoft (1), Microsoft (2)

Artikel teilen

Windows 11: Microsoft rechtfertigt die strengen Anforderungen Die strengen Hardwareanforderungen von Windows 11 sorgen für Diskussionen. Nun verteidigt Hersteller Microsoft die Systemvoraussetzungen.

Per E-Mail versenden

88