Microsoft Pluton: Ab 2026 übernimmt wieder das klassische TPM

Microsoft ändert die Rolle seines Sicherheitsprozessors Pluton. Auf neuen Prozessorplattformen von AMD und Qualcomm, die ab 2026 eingeführt werden, übernimmt Pluton nicht mehr die Funktion des Trusted Platform Module (TPM 2.0).

Stattdessen kommt wieder ein herkömmliches Firmware-TPM oder ein separater TPM-Chip zum Einsatz. Auch bei Intel wird die TPM-Funktion auf diese Weise bereitgestellt.

Das klingt zunächst nach einem Rückschritt. Schließlich wurde Pluton ursprünglich als besonders sichere, direkt in den Prozessor integrierte Lösung vorgestellt.

Ganz so einfach ist es allerdings nicht. Microsoft verabschiedet sich keineswegs von Pluton. Der Sicherheitsprozessor bleibt erhalten und übernimmt weiterhin andere Schutzfunktionen unter Windows 11.

Was ist Microsoft Pluton überhaupt?

Microsoft Pluton ist ein Sicherheitsprozessor, der direkt in die Architektur moderner Prozessoren integriert wird.

Anders als ein separater Sicherheitschip auf dem Mainboard ist Pluton Bestandteil des sogenannten System-on-a-Chip (SoC). Dadurch lassen sich besonders sensible Informationen innerhalb einer geschützten Hardwareumgebung verarbeiten.

Dazu gehören beispielsweise:

• Kryptografische Schlüssel

• Anmeldeinformationen

• Sicherheitsrelevante Geräteidentitäten

• Informationen zur Vertrauenswürdigkeit des Systems

Die Idee dahinter ist nachvollziehbar: Je besser sicherheitskritische Daten vom restlichen System abgeschirmt sind, desto schwieriger wird es für Angreifer, diese auszulesen.

Selbst wenn Schadsoftware auf einem Rechner ausgeführt wird oder jemand physischen Zugriff auf das Gerät besitzt, sollen geschützte Informationen nicht ohne Weiteres aus der Hardware extrahiert werden können.

Absolute Sicherheit garantiert das natürlich nicht. Pluton soll bestimmte Angriffswege erschweren, nicht sämtliche Sicherheitsprobleme eines PCs lösen.

Pluton konnte bisher als TPM 2.0 arbeiten

Eine wichtige Funktion von Pluton war bislang die Möglichkeit, selbst als Trusted Platform Module zu arbeiten.

Das TPM ist unter Windows 11 ein zentraler Bestandteil verschiedener Sicherheitsfunktionen.

Dazu gehören unter anderem:

BitLocker: Die Laufwerksverschlüsselung nutzt TPM-Funktionen, um kryptografische Schlüssel zu schützen und die Freigabe des verschlüsselten Laufwerks an bestimmte Sicherheitsbedingungen zu knüpfen.

Windows Hello: Die Anmeldefunktion kann TPM-basierte Schlüssel verwenden, um Anmeldeinformationen besser abzusichern.

System Guard: Windows verwendet hardwaregestützte Sicherheitsfunktionen, um die Integrität des Systems zu überprüfen und Manipulationen zu erkennen.

Wenn Pluton als TPM konfiguriert war, konnte er diese Aufgaben übernehmen und gleichzeitig seine eigene Sicherheitsarchitektur bereitstellen.

Für Windows machte es dabei grundsätzlich keinen Unterschied, ob die benötigte TPM-2.0-Funktion von Pluton oder einer anderen kompatiblen Implementierung bereitgestellt wurde.

Was ändert sich ab 2026?

Microsoft hat seine technische Dokumentation aktualisiert und beschreibt darin eine wichtige Änderung.

Auf neuen AMD- und Qualcomm-Prozessorplattformen ab 2026 wird Pluton nicht mehr als TPM verwendet.

Stattdessen übernehmen andere TPM-Implementierungen diese Aufgabe.

Das bedeutet konkret:

Entscheidend ist dabei das Erscheinungsjahr der Prozessorplattform und nicht allein das Kaufdatum des Computers.

Ein 2026 gekaufter Laptop mit einer älteren Prozessorplattform kann deshalb weiterhin Pluton als TPM verwenden.

Die Änderung betrifft ausschließlich die TPM-Funktion von Pluton.

Bedeutet das das Ende von Microsoft Pluton?

Nein. Und genau das dürfte bei der Meldung leicht untergehen.

Pluton verschwindet nicht aus Windows-PCs.

Microsoft entwickelt und unterstützt die Technologie weiterhin. Pluton soll auch künftig eine hardwareseitig isolierte Sicherheitsumgebung für Windows bereitstellen.

Lediglich die bisher mögliche Rolle als System-TPM entfällt auf den betroffenen neuen Plattformen.

Ein Computer kann also künftig gleichzeitig über Microsoft Pluton und ein separates beziehungsweise firmwarebasiertes TPM verfügen.

Beide Technologien können unterschiedliche Sicherheitsaufgaben übernehmen.

Das ist auch deshalb interessant, weil Pluton von Anfang an für mehr als die reine TPM-Funktion entwickelt wurde.

Was passiert mit älteren Pluton-Geräten?

Wer bereits einen Windows-11-Rechner besitzt, bei dem Microsoft Pluton als TPM eingerichtet ist, muss sich wegen dieser Änderung keine Sorgen machen.

Microsoft stellt ausdrücklich klar, dass entsprechende Geräte mit AMD- oder Qualcomm-Prozessorplattformen aus dem Jahr 2025 oder früher weiterhin unterstützt und mit Updates versorgt werden.

Die bestehende TPM-Funktion wird also nicht einfach durch ein Windows-Update abgeschaltet.

Auch eine Umstellung der TPM-Konfiguration ist aufgrund dieser Ankündigung nicht erforderlich.

Das ist gerade bei der Laufwerksverschlüsselung wichtig. Änderungen an TPM- oder Firmware-Einstellungen können unter bestimmten Umständen dazu führen, dass BitLocker beim nächsten Start den Wiederherstellungsschlüssel verlangt.

Deshalb würde ich von unnötigen Änderungen an einer funktionierenden TPM-Konfiguration grundsätzlich abraten.

Pluton-Firmware weiterhin über Windows Update

Ein interessanter Vorteil von Microsoft Pluton bleibt die Versorgung mit Firmware-Updates.

Bei klassischen Sicherheitschips hängt die Bereitstellung entsprechender Updates häufig vom Gerätehersteller und dessen Updateverfahren ab.

Pluton unterstützt dagegen einen von Microsoft verwalteten Aktualisierungsmechanismus, über den neue Firmwareversionen im Rahmen von Windows-Updates bereitgestellt werden können.

Das kann insbesondere bei Sicherheitskorrekturen hilfreich sein.

Denn selbst gute Sicherheitsfunktionen verlieren an Wert, wenn bekannte Schwachstellen nicht zuverlässig behoben werden.

Allerdings bedeutet das nicht, dass sämtliche Firmwarekomponenten eines PCs automatisch über Microsoft aktualisiert werden. UEFI, TPM und andere Gerätekomponenten können weiterhin eigene Aktualisierungsverfahren besitzen.

Warum nimmt Microsoft diese Änderung vor?

Die Dokumentation beschreibt die neue technische Aufteilung, liefert allerdings keine ausführliche öffentliche Begründung für die Entscheidung.

Deshalb wäre es spekulativ, daraus abzuleiten, dass Pluton als TPM gescheitert sei oder Microsoft grundsätzliche Sicherheitsprobleme festgestellt habe.

Aus technischer Sicht ermöglicht die neue Aufteilung, die TPM-2.0-Funktion und die zusätzlichen Sicherheitsmöglichkeiten von Pluton getrennt bereitzustellen.

Ob dabei vor allem Kompatibilität, Plattformarchitektur, Wartung oder andere Überlegungen ausschlaggebend waren, lässt sich anhand der veröffentlichten Informationen nicht eindeutig beurteilen.

Ich finde die Entwicklung trotzdem interessant: Microsoft hält an Pluton fest, verzichtet bei neuen Plattformen aber auf dessen Einsatz als TPM.

Das zeigt zumindest, dass sich die Aufgabenverteilung innerhalb der Windows-Sicherheitsarchitektur verändert.

Was bedeutet das für Windows-11-Nutzer?

Für die meisten Anwender dürfte sich zunächst wenig ändern.

Windows 11 benötigt weiterhin eine geeignete TPM-2.0-Implementierung. Ob diese über ein Firmware-TPM oder einen separaten Chip bereitgestellt wird, ist für die grundlegende Kompatibilität entscheidender als die Frage, ob Pluton selbst als TPM arbeitet.

Auch bekannte Funktionen wie BitLocker und Windows Hello bleiben verfügbar, sofern die jeweiligen Hardware- und Softwarevoraussetzungen erfüllt sind.

Wer einen neuen PC kauft, sollte deshalb nicht automatisch davon ausgehen, dass ein Gerät ohne Pluton als TPM weniger sicher ist.

Die tatsächliche Sicherheit hängt von mehreren Faktoren ab: der konkreten Hardware, der Firmware, der Windows-Konfiguration und selbstverständlich davon, ob Sicherheitsupdates installiert werden.

Wichtig bleibt außerdem: Wer BitLocker verwendet, sollte seinen Wiederherstellungsschlüssel unbedingt sicher aufbewahren. Das gilt unabhängig davon, welche TPM-Technologie im Computer steckt.

Fazit

Microsoft verändert ab 2026 die Aufgabenverteilung zwischen Pluton und dem Trusted Platform Module.

Auf neuen AMD- und Qualcomm-Prozessorplattformen wird Pluton nicht mehr als TPM 2.0 eingesetzt. Stattdessen übernehmen Firmware-TPMs oder separate TPM-Chips diese Funktion.

Pluton selbst bleibt aber Bestandteil der Windows-Sicherheitsstrategie. Die Technologie wird weiterhin unterstützt und soll zusätzliche hardwaregestützte Schutzfunktionen bereitstellen.

Bestehende Geräte mit Pluton als TPM bleiben unverändert unterstützt.

Für normale Windows-11-Nutzer besteht daher kein unmittelbarer Handlungsbedarf.

Interessant ist die Änderung vor allem aus technischer Sicht: Pluton wird künftig deutlicher vom klassischen TPM getrennt. Welche zusätzlichen Sicherheitsfunktionen Microsoft auf dieser Grundlage noch entwickelt, bleibt abzuwarten.

Quellen

Microsoft Learn – Microsoft Pluton as Trusted Platform Module

Offizielle technische Dokumentation zur TPM-Funktion von Pluton und zur Änderung auf neuen AMD- und Qualcomm-Plattformen ab 2026. Zuletzt aktualisiert am 16. September 2026.

https://learn.microsoft.com/en-us/windows/security/hardware-security/pluton/pluton-as-tpm

Microsoft Learn – Microsoft Pluton Security Processor

Technischer Überblick über die Architektur, unterstützte Prozessorplattformen, Sicherheitsfunktionen und Firmware-Aktualisierung von Pluton.

https://learn.microsoft.com/en-us/windows/security/hardware-security/pluton/microsoft-pluton-security-processor

Microsoft Learn – TPM Recommendations

Hintergrundinformationen zur Verwendung des Trusted Platform Module und zu TPM-basierten Sicherheitsfunktionen unter Windows.

https://learn.microsoft.com/en-us/windows/security/hardware-security/tpm/tpm-recommendations