Nicht behebbarer Fehler in der TPM-Hardware: TPM sicher zurücksetzen

Die Meldung „Beim Gerätetreiber für das Trusted Platform Module (TPM) ist ein nicht behebbarer Fehler in der TPM-Hardware aufgetreten“ heißt fast nie, dass der Chip defekt ist – meist hängt nur sein Zustand fest. Die sichere Reihenfolge: BitLocker-Wiederherstellungsschlüssel sichern und BitLocker aussetzen, TPM-Treiber neu installieren, Windows aktualisieren, das TPM über tpm.msc löschen, neu starten. Erst danach BIOS-Update und Hardware-Check.

Die Schritte gelten für Windows 11 in den Versionen 24H2 und 25H2 (Stand August 2026) und genauso für Windows-10-Rechner, die noch Updates aus dem ESU-Programm bekommen. Entscheidend ist die Reihenfolge: Wer zuerst das TPM löscht und erst danach an den BitLocker-Schlüssel denkt, steht beim nächsten Start vor einer verschlüsselten Platte.

Prüfen, ob wirklich das Trusted Platform Module klemmt

Das Trusted Platform Module ist der kleine Sicherheitschip, der kryptografische Schlüssel verwahrt – für BitLocker, Windows Hello und die Anmeldung an modernen Diensten. Der erste Blick geht in die Ereignisanzeige: Win+R, eventvwr, dann Windows-Protokolle → System, Quelle TPM. Drei Ereignis-IDs tauchen dort auf, und sie bedeuten nicht dasselbe:

• ID 14 – genau dieser Fehlertext. Microsoft führt ihn unter KB4562894: Der Treiber kommt an den Chip nicht mehr heran, TPM-Dienste wie Datenverschlüsselung fallen aus. Das ist der Fall, für den diese Anleitung gedacht ist.
• ID 17 – „Die Trusted Platform Module-Hardware konnte einen TPM-Befehl nicht ausführen.“ Gleiche Ursachenkette, dieselben Schritte.
• ID 15 – der Sonderfall, der viele unnötig nervös macht. Microsoft beschreibt in KB2696920, dass der Chip nach dem Aufwachen aus dem Standby erst seinen Selbsttest zu Ende bringt. Fragt Windows in dieser Sekunde eine Zufallszahl ab, scheitert der Befehl, wird dreimal wiederholt und dann protokolliert. Steht die Meldung einzeln nach dem Aufwachen im Log und läuft der Rechner sonst normal, kannst du sie ignorieren – Windows nutzt einfach eine andere Zufallsquelle.

Danach schaust du dir an, was der Chip selbst meldet. Win+R, tpm.msc, Enter:

• „Das TPM ist einsatzbereit“ – Chip lebt, das Problem liegt eher beim Treiber oder bei Windows. Einstieg: Schritt 1.
• „Kompatibles TPM kann nicht gefunden werden“ oder leerer Status – die Firmware-Ebene meldet nichts zurück. Einstieg: Schritt 4.
• „Das TPM ist einsatzbereit, aber mit reduzierter Funktionalität“ – typischer Zwischenzustand nach einem Firmware-Wechsel, den ein Reset auflöst.

Wer es lieber in Textform hat: In einer Administrator-PowerShell zeigt Get-Tpm die Werte TpmPresent, TpmReady und TpmEnabled. Steht TpmPresent auf False, redet Windows gar nicht mit dem Chip – das ist ein Firmware-Thema, kein Treiber-Thema, und du kannst dir die Treiber-Runde sparen.

Zwei Abgrenzungen sparen weitere Arbeit: In einer virtuellen Maschine ohne konfiguriertes vTPM erscheint dieselbe Meldung völlig zu Recht – dort fehlt schlicht der virtuelle Chip. Und wenn der Rechner mit Bluescreen abstürzt und die TPM-Meldung nur nebenbei im Protokoll steht, ist sie oft Folge und nicht Ursache; dann gehört der Stopcode an den Anfang der Suche.

Vor dem Eingriff absichern – sonst sperrst du dich aus

Das ist der Schritt, den die meisten überspringen und der hinterher echten Ärger macht. Sobald du das TPM löschst oder am BIOS drehst, verliert der Chip seine Schlüssel. Ist das Systemlaufwerk mit BitLocker oder der Windows-Geräteverschlüsselung geschützt, verlangt Windows beim nächsten Start den 48-stelligen Wiederherstellungsschlüssel. Ohne ihn kommst du an die Daten nicht mehr heran – da hilft kein Support-Trick.

• Wiederherstellungsschlüssel besorgen: Bei privaten Geräten liegt er im Microsoft-Konto unter account.microsoft.com/devices/recoverykey. Bei Firmen- oder Schulgeräten liegt er im Verwaltungskonto der IT – dort nachfragen statt selbst herumprobieren. Welche Schutzvorrichtungen überhaupt aktiv sind, zeigt manage-bde -protectors -get C: in einer Administrator-Eingabeaufforderung.
• BitLocker aussetzen: manage-bde -protectors -disable C: (Laufwerksbuchstaben anpassen). Das entschlüsselt nichts, es pausiert den Schutz nur für die anstehenden Eingriffe.
• Backup ziehen: Wichtige Daten auf eine externe Platte kopieren, bevor es an TPM-Reset und BIOS-Update geht. Falls am Ende doch ein Hardwaredefekt dahintersteckt, ist das der Unterschied zwischen Ärger und Datenverlust.

Den TPM-Fehler Schritt für Schritt beheben

Der Reihe nach durcharbeiten, vom harmlosesten Eingriff zum tiefsten. Meist ist nach Schritt 3 Ruhe.

1. TPM-Treiber neu installieren. Geräte-Manager öffnen (Win+X → Geräte-Manager), Sicherheitsgeräte aufklappen, Rechtsklick auf Trusted Platform Module 2.0 → Gerät deinstallieren, dann Neustart. Windows lädt den Standardtreiber beim Hochfahren automatisch neu. Hat der Hersteller einen eigenen TPM- oder Chipsatztreiber im Support-Bereich, ist das der zweite Versuch – besonders nach einem BIOS-Wechsel, weil Treiber und neue Firmware zusammenpassen müssen.
2. Windows und Firmware aktualisieren. Microsoft nennt als offizielle Problemumgehung genau zwei Dinge: das aktuelle Servicing-Stack-Update plus das monatliche kumulative Update in Windows und ein verfügbares BIOS- beziehungsweise TPM-Firmware-Update vom Gerätehersteller. Beides erledigen, bevor du am Chip selbst ansetzt – das kostet nur Zeit und keine Schlüssel.
3. TPM löschen. Jetzt der Reset – der BitLocker-Schlüssel liegt hoffentlich schon bereit. Drei Wege führen zum selben Ziel: in tpm.msc rechts im Aktionsbereich auf TPM löschen; über Windows-Sicherheit → Gerätesicherheit → Details zum Sicherheitsprozessor → Problembehandlung für den Sicherheitsprozessor; oder Clear-Tpm in einer Administrator-PowerShell. Nach dem Neustart verlangt die Firmware bei vielen Geräten eine Bestätigung per Tastendruck – das ist der Nachweis, dass ein Mensch am Gerät sitzt, und kein Fehler.
4. BIOS/UEFI prüfen und aktualisieren. Beim Start die Setup-Taste drücken (je nach Board Entf, F2 oder F10) und unter Security nachsehen, ob das TPM überhaupt aktiv ist. Auf Consumer-Mainboards heißt der Schalter selten „TPM“, sondern fTPM (AMD) oder Intel PTT – das ist das in den Prozessor integrierte Firmware-TPM. Einschalten, speichern, neu starten. Bringt das nichts, das neueste BIOS des Herstellers einspielen. Während eines BIOS-Updates niemals den Strom unterbrechen; ein abgebrochenes Update macht das Board im schlimmsten Fall unbrauchbar.
5. Nach dem Reset aufräumen. Ein frisch gelöschtes TPM ist leer – alles, was daran hing, muss neu aufgesetzt werden. BitLocker wieder scharf schalten mit manage-bde -protectors -enable C:, danach unter Einstellungen → Konten → Anmeldeoptionen die Windows-Hello-PIN sowie Fingerabdruck oder Gesichtserkennung neu einrichten. Wer das vergisst, wundert sich beim nächsten Anmelden.

Wenn der Fehler bleibt

Kommt die Meldung nach Treiber, Updates und Reset zurück, liegt es meist nicht mehr an der Software. Drei Ursachen sind wahrscheinlich:

• AMD-fTPM-Stottern: Auf Ryzen-Systemen führte das Firmware-TPM zu kurzen Hängern, Audio-Knacken und sporadischen TPM-Fehlern. Ursache waren nach AMDs eigener Erklärung ausgedehnte fTPM-Zugriffe auf den SPI-Flash-Baustein des Mainboards. Den Fix hat AMD als Microcode-Paket AGESA V2 PI 1.2.0.7 an die Boardhersteller gegeben, ausgeliefert ab Mai 2022 – jedes BIOS mit dieser oder einer neueren AGESA-Version enthält ihn. Ehrlicherweise: Ein Teil der Betroffenen berichtete auch danach noch von Aussetzern. Hängt dein BIOS mehrere Versionen zurück, ist das trotzdem der erste Hebel.
• Schwache CMOS-Batterie: Die Knopfzelle CR2032 auf dem Mainboard puffert die BIOS-Einstellungen. Ist sie am Ende, verliert das Board seine TPM-Konfiguration zwischendurch – und Windows meldet den Fehler sporadisch, obwohl sich am System nichts geändert hat. Der Tausch kostet ein paar Euro und erklärt erstaunlich viele dieser Fälle bei Rechnern jenseits der fünf Jahre.
• Echter Hardwaredefekt: Bleibt der Status in tpm.msc auch nach Reset und aktuellem BIOS leer, kann der Chip tatsächlich hinüber sein. Beim fTPM sitzt er im Prozessor; ein diskretes TPM-Modul steckt dagegen auf einem eigenen Header und lässt sich auf vielen Boards tauschen – es bringt eigenen Speicher mit und ist deshalb vom fTPM-Problem gar nicht betroffen. Spätestens hier verweist Microsoft selbst auf den Hersteller-Support; solange Garantie besteht, ist das die günstigste Option.

Aus der eigenen Praxis: Nach einem CMOS-Reset an einem Heimserver stand der TPM-Status leer und Windows warf genau diese Meldung. Schuld war keine Hardware, sondern die beim Zurücksetzen mit abgeschaltete fTPM-Option im Setup. Einmal wieder eingeschaltet, Treiber neu erkannt, Ruhe. Vor dem Panikmodus lohnt sich also immer der Blick auf die Firmware-Schalter.

Warum passiert das überhaupt?

Der Chip speichert seine Schlüssel in einem geschützten Bereich, getrennt vom restlichen System. Windows spricht ausschließlich über den TPM-Treiber mit ihm. Passen Treiber, Firmware und hinterlegte Schlüssel nicht mehr zusammen – nach einem Update, einem BIOS-Wechsel, einem CMOS-Reset oder einem unsauberen Herunterfahren – verweigert das Modul die Auskunft. Windows kann diesen Konflikt nicht eigenmächtig auflösen und meldet ihn als „nicht behebbar“. Das ist eine Sicherheitsentscheidung, kein Defekt-Befund. Auffällig oft tritt der Fehler direkt nach einem BIOS-Update auf, weil sich dort die Firmware-Seite ändert, während Windows noch den alten Zustand erwartet.

Wer für die IHK-Prüfung lernt, hat hier einen Klassiker vor sich: Ein Trusted Platform Module ist ein Vertrauensanker in Hardware. Es liefert lieber gar nichts aus, als möglicherweise inkonsistente oder manipulierte Schlüssel herauszugeben – Integrität schlägt Verfügbarkeit. „Nicht behebbar“ bezieht sich dabei nur auf den automatischen Selbstheilungsversuch des Treibers, nicht auf deine manuellen Möglichkeiten. Genau deshalb ist der Fehler in den meisten Fällen mit einem Reset erledigt.

Vorbeugen heißt vor allem drei Dinge: BIOS und Windows aktuell halten, vor jedem Firmware-Eingriff den BitLocker-Wiederherstellungsschlüssel griffbereit haben und die CMOS-Batterie bei älteren Rechnern im Blick behalten.

Häufige Fragen

Ist mein PC kaputt, wenn der TPM-Fehler erscheint?

Meist nicht. In den allermeisten Fällen hängt nur der TPM-Zustand fest. Treiber neu installieren, Windows aktualisieren und das TPM über tpm.msc löschen behebt das – ein echter Chipdefekt ist die Ausnahme.

Verliere ich Daten, wenn ich das TPM lösche?

Nur wenn BitLocker aktiv ist und du den Wiederherstellungsschlüssel nicht hast. Sichere ihn vorher über dein Microsoft-Konto und setze BitLocker mit manage-bde -protectors -disable C: aus, dann passiert nichts.

Welche Ereignis-ID hat der TPM-Fehler?

Der Fehlertext steht als Ereignis-ID 14 der Quelle TPM im Systemprotokoll (KB4562894), ID 17 meldet einen fehlgeschlagenen TPM-Befehl. ID 15 ist ein anderer Fall und meist harmlos.

Ist die TPM-Meldung nach dem Standby gefährlich?

Nein. Laut Microsoft läuft nach dem Aufwachen noch der Selbsttest des Chips; fragt Windows dabei eine Zufallszahl ab, scheitert der Befehl und wird protokolliert. Taucht die Meldung vereinzelt auf, kannst du sie ignorieren.

Wo finde ich das TPM im BIOS?

Unter Security. Auf Consumer-Boards heißt die Option meist fTPM (AMD) oder Intel PTT statt TPM – das ist das im Prozessor integrierte Firmware-TPM. Dort aktivieren, speichern und neu starten.