Anzeigenamen hier eingeben Beschreibung hier eingeben Diese Richtlinieneinstellung ermöglicht das Verwalten der Gruppenrichtlinienliste der von Windows blockierten TPM-Befehle (Trusted Platform Module). Wenn Sie diese Richtlinieneinstellung aktivieren, blockiert Windows bestimmte Befehle, sodass sie nicht an das TPM auf dem Computer gesendet werden. Auf TPM-Befehle wird anhand einer Befehlsnummer verwiesen. Die Befehlsnummer 129 entspricht z. B. "TPM_OwnerReadInternalPub", und die Befehlsnummer 170 steht für "TPM_FieldUpgrade". Führen Sie "tpm.msc" aus, und navigieren Sie zum Abschnitt "Befehlsverwaltung", um die zugehörige Befehlsnummer für einen TPM-Befehl mit TPM 1.2 zu finden. Wenn Sie diese Richtlinieneinstellung deaktivieren oder nicht konfigurieren, können nur die in der Standardliste oder lokalen Liste angegebenen TPM-Befehle von Windows blockiert werden. Die Standardliste der blockierten TPM-Befehle ist in Windows vorkonfiguriert. Führen Sie "tpm.msc" aus, navigieren Sie zum Abschnitt "Befehlsverwaltung", und blenden Sie die Spalte "Auf der Standardliste mit Blockierungen" ein, um die Standardliste anzuzeigen. Die lokale Liste von blockierten TPM-Befehlen wird außerhalb der Gruppenrichtlinie durch Ausführen von "tpm.msc" oder durch Skripting in der Win32_Tpm-Schnittstelle konfiguriert. Weitere Informationen finden Sie in den verwandten Richtlinieneinstellungen zum Erzwingen oder Ignorieren der Standardliste und lokalen Liste blockierter TPM-Befehle. Liste der blockierten TPM-Befehle konfigurieren Mit dieser Richtlinieneinstellung können Sie die Standardliste blockierter TPM-Befehle (Trusted Platform Module) des Computers erzwingen oder ignorieren. Wenn Sie diese Richtlinieneinstellung aktivieren, ignoriert Windows die Standardliste blockierter TPM-Befehle des Computers, und es werden nur die in der Gruppenrichtlinie oder der lokalen Liste festgelegten Befehle blockiert. Die Standardliste blockierter TPM-Befehle ist in Windows vorkonfiguriert. Führen Sie "tpm.msc" aus, navigieren Sie zum Abschnitt "Befehlsverwaltung", und blenden Sie die Spalte "Auf der Standardliste mit Blockierungen" ein, um die Standardliste anzuzeigen. Die lokale Liste blockierter TPM-Befehle wird außerhalb der Gruppenrichtlinie durch Ausführen von "tpm.msc" oder durch Skripting in der Win32_Tpm-Schnittstelle konfiguriert. Weitere Informationen finden Sie in der verwandten Richtlinieneinstellung zum Konfigurieren der Gruppenrichtlinienliste blockierter TPM-Befehle. Wenn Sie diese Richtlinieneinstellung deaktivieren oder nicht konfigurieren, blockiert Windows zusätzlich zu den Befehlen in der Gruppenrichtlinie und lokalen Listen blockierter TPM-Befehle die TPM-Befehle in der Standardliste. Standardliste der blockierten TPM-Befehle ignorieren Diese Richtlinieneinstellung ermöglicht das Erzwingen oder Ignorieren der lokalen Liste blockierter TPM-Befehle (Trusted Platform Module) des Computers. Wenn Sie diese Richtlinieneinstellung aktivieren, ignoriert Windows die lokale Liste blockierter TPM-Befehle des Computers, und es werden nur die in der Gruppenrichtlinie oder der Standardliste festgelegten Befehle blockiert. Die lokale Liste blockierter TPM-Befehle wird außerhalb der Gruppenrichtlinie durch Ausführen von "tpm.msc" oder durch Skripting in der Win32_Tpm-Schnittstelle konfiguriert. Die Standardliste der blockierten TPM-Befehle ist in Windows vorkonfiguriert. Weitere Informationen finden Sie in der verwandten Richtlinieneinstellung zum Konfigurieren der Gruppenrichtlinienliste blockierter TPM-Befehle. Wenn Sie diese Richtlinieneinstellung deaktivieren oder nicht konfigurieren, blockiert Windows zusätzlich zu den Befehlen in der Gruppenrichtlinienliste und der Standardliste blockierter TPM-Befehle die TPM-Befehle in der lokalen Liste. Lokale Liste der blockierten TPM-Befehle ignorieren Trusted Platform Module-Dienste Ebene der TPM-Besitzerautorisierungsinformationen für das Betriebssystem konfigurieren Mit dieser Richtlinieneinstellung wird konfiguriert, in welchem Umfang TPM-Besitzerautorisierungsinformationen in der Registrierung des lokalen Computers gespeichert werden. Abhängig vom Umfang der lokal gespeicherten TPM-Besitzerautorisierungsinformationen können bestimmte TPM-Aktionen, die eine TPM-Besitzerautorisierung erfordern, vom Betriebssystem und den TPM-basierten Anwendungen durchgeführt werden, ohne dass der Benutzer das TPM-Besitzerkennwort eingeben muss. Sie können auswählen, ob der vollständige TPM-Besitzerautorisierungswert, das TPM-Verwaltungsdelegierungs-BLOB plus TPM-Benutzerdelegierungs-BLOB oder keiner der Werte vom Betriebssystem gespeichert werden sollen. Wenn Sie diese Richtlinieneinstellung aktivieren, speichert Windows die TPM-Besitzerautorisierung in der Registrierung des lokalen Computers anhand der vom Betriebssystem verwalteten, von Ihnen festgelegten TPM-Authentifizierungseinstellung. Wählen Sie die vom Betriebssystem verwaltete TPM-Authentifizierungseinstellung "Vollständig" aus, um die vollständige TPM-Besitzerautorisierung, das TPM-Verwaltungsdelegierungs-BLOB und das TPM-Benutzerdelegierungs-BLOB in der lokalen Registrierung zu speichern. Mit dieser Einstellung können Sie das TPM verwenden, ohne dass die externe Speicherung bzw. Remotespeicherung des TPM-Besitzerautorisierungswerts erforderlich wird. Diese Einstellung eignet sich für Szenarien, die nicht davon abhängig sind, ob das Zurücksetzen der TPM-Anti-Hammering-Logik oder das Ändern des TPM-Besitzerautorisierungswerts verhindert wird. Für manche TPM-basierten Anwendungen ist es möglicherweise notwendig, dass diese Einstellung geändert wird, bevor von der TPM-Anti-Hammering-Logik abhängige Features verwendet werden können. Wählen Sie die vom Betriebssystem verwaltete TPM-Authentifizierungseinstellung "Delegiert" aus, um nur das TPM-Verwaltungsdelegierungs-BLOB und das TPM-Benutzerdelegierungs-BLOB in der lokalen Registrierung zu speichern. Diese Einstellung eignet sich für TPM-basierte Anwendungen, die von der TPM-Anti-Hammering-Logik abhängig sind. Wählen Sie die vom Betriebssystem verwaltete TPM-Authentifizierungseinstellung "Keine" für Kompatibilität mit früheren Betriebssystemen und Anwendungen oder für Szenarien aus, in denen die TPM-Besitzerautorisierung nicht lokal gespeichert werden darf. Die Verwendung dieser Einstellung kann zu Problemen mit einigen TPM-basierten Anwendungen führen. Hinweis: Wenn die vom Betriebssystem verwaltete TPM-Authentifizierungseinstellung von "Vollständig" in "Delegiert" geändert wird, wird der vollständige TPM-Besitzerautorisierungswert neu generiert. Kopien des ursprünglichen TPM-Besitzerautorisierungswerts werden ungültig. Vollständig Delegiert Keine Standardbenutzer-Sperrdauer Mit dieser Richtlinieneinstellung können Sie den Zeitraum (in Minuten) zum Zählen von Autorisierungsfehlern von Standardbenutzern für TPM-Befehle (Trusted Platform Module) verwalten, die eine Autorisierung erfordern. Wenn die Anzahl der TPM-Befehle mit einem Autorisierungsfehler innerhalb des Zeitraums einen Schwellenwert erreicht, wird verhindert, dass Standardbenutzer Befehle an das TPM senden können, die eine Autorisierung erfordern. Mit dieser Richtlinieneinstellung können Administratoren verhindern, dass die TPM-Hardware in einen Sperrmodus versetzt wird, da dies die Geschwindigkeit herabsetzt, mit der Standardbenutzer Befehle, für die eine Autorisierung erforderlich ist, an das TPM senden können. Ein Fehler bei der Autorisierung tritt immer dann auf, wenn ein Standardbenutzer einen Befehl an das TPM sendet, woraufhin eine Fehlermeldung ausgegeben wird, die besagt, dass ein Autorisierungsfehler aufgetreten ist. Autorisierungsfehler, die älter als der Zeitraum sind, werden ignoriert. Für jeden Standardbenutzer gelten zwei Schwellenwerte. Jede Überschreitung dieser Schwellenwerte verhindert, dass der Standardbenutzer einen Befehl, für den eine Autorisierung erforderlich ist, an den TPM senden kann. Der Wert "Standardbenutzer-Sperrschwelle (einzeln)" entspricht der maximalen Gesamtzahl von Autorisierungsfehlern, die für einen einzelnen Standardbenutzer zulässig sind, bevor der Benutzer keine Befehle mehr an das TPM senden darf, die eine Autorisierung erfordern. Der Wert "Standardbenutzer-Sperrschwelle (gesamt)" entspricht der maximalen Gesamtzahl von Autorisierungsfehlern, die für alle Standardbenutzer zulässig sind, bevor kein Standardbenutzer mehr Befehle an das TPM darf, die eine Autorisierung erfordern. Das TPM besitzt eine Schutzfunktion gegen Programme zum Ermitteln von Kennwörtern, indem es in einen Hardware-Sperrmodus versetzt wird, wenn zu viele Befehle mit einem ungültigen Autorisierungswert eingehen. Wenn das TPM in den Sperrmodus versetzt wird, gilt dieser Modus global für alle Benutzer, inklusive Administratoren und Windows-Features wie die BitLocker-Laufwerkverschlüsselung. Die Anzahl von Autorisierungsfehlern, die ein TPM zulässt, und die Zeitdauer für den Sperrmodus variieren je nach TPM-Hersteller. Einige TPMs können in Abhängigkeit von früheren Fehlern für eine längere Zeitdauer und nach weniger Autorisierungsfehlern in den Sperrmodus versetzt werden. Bei manchen TPMs muss das System neu gestartet werden, um den Sperrmodus zu beenden. Bei anderen TPMs muss das System eingeschaltet bleiben, da eine gewisse Anzahl von Taktzyklen durchlaufen werden muss, um den Sperrmodus zu beenden. Ein Administrator mit TPM-Besitzerkennwort kann die Sperrlogik der TPM-Hardware mithilfe der TPM-Verwaltungskonsole ("tpm.msc") vollständig zurücksetzen. Jedes Mal, wenn ein Administrator die Sperrlogik der TPM-Hardware zurücksetzt, werden alle bisherigen Autorisierungsfehler von Standardbenutzern für das TPM ignoriert, sodass die Standardbenutzer das TPM sofort wieder normal verwenden können. Wird dieser Wert nicht konfiguriert, wird der Standardwert 480 Minuten (8 Stunden) verwendet. Standardbenutzer-Sperrschwelle (einzeln) Mit dieser Richtlinieneinstellung können Sie die maximale Anzahl von Autorisierungsfehlern für einzelne Standardbenutzer für das TPM (Trusted Platform Module) verwalten. Wenn die Anzahl der Autorisierungsfehler für den Benutzer innerhalb des Zeitraums für "Standardbenutzer-Sperrdauer" mit diesem Wert übereinstimmt, kann der Standardbenutzer keine Befehle an das TPM (Trusted Platform Module) senden, die eine Autorisierung erfordern. Mit dieser Richtlinieneinstellung können Administratoren verhindern, dass die TPM-Hardware in einen Sperrmodus versetzt wird, da dies die Geschwindigkeit herabsetzt, mit der Standardbenutzer Befehle, für die eine Autorisierung erforderlich ist, an das TPM senden können. Ein Fehler bei der Autorisierung tritt immer dann auf, wenn ein Standardbenutzer einen Befehl an das TPM sendet, woraufhin eine Fehlermeldung ausgegeben wird, die besagt, dass ein Autorisierungsfehler aufgetreten ist. Autorisierungsfehler, die älter als der Zeitraum sind, werden ignoriert. Für jeden Standardbenutzer gelten zwei Schwellenwerte. Jede Überschreitung dieser Schwellenwerte verhindert, dass der Standardbenutzer einen Befehl, für den eine Autorisierung erforderlich ist, an den TPM senden kann. Dieser Wert verweist auf die maximale Anzahl von Autorisierungsfehlern, die für einen einzelnen Standardbenutzer zulässig sind, bevor der Benutzer keine Befehle mehr an das TPM senden darf, die eine Autorisierung erfordern. Der Wert "Standardbenutzer-Sperrschwelle (gesamt)" entspricht der maximalen Gesamtzahl von Autorisierungsfehlern, die für alle Standardbenutzer zulässig sind, bevor kein Standardbenutzer mehr Befehle an das TPM senden darf, die eine Autorisierung erfordern. Das TPM besitzt eine Schutzfunktion gegen Programme zum Ermitteln von Kennwörtern, indem es in einen Hardware-Sperrmodus versetzt wird, wenn zu viele Befehle mit einem ungültigen Autorisierungswert eingehen. Wenn das TPM in den Sperrmodus versetzt wird, gilt dieser Modus global für alle Benutzer, inklusive Administratoren und Windows-Features wie die BitLocker-Laufwerkverschlüsselung. Die Anzahl von Autorisierungsfehlern, die ein TPM zulässt, und die Zeitdauer für den Sperrmodus variieren je nach TPM-Hersteller. Einige TPMs können in Abhängigkeit von früheren Fehlern für eine längere Zeitdauer und nach weniger Autorisierungsfehlern in den Sperrmodus versetzt werden. Bei manchen TPMs muss das System neu gestartet werden, um den Sperrmodus zu beenden. Bei anderen TPMs muss das System eingeschaltet bleiben, da eine gewisse Anzahl von Taktzyklen durchlaufen werden muss, um den Sperrmodus zu beenden. Ein Administrator mit TPM-Besitzerkennwort kann die Sperrlogik der TPM-Hardware mithilfe der TPM-Verwaltungskonsole ("tpm.msc") vollständig zurücksetzen. Jedes Mal, wenn ein Administrator die Sperrlogik der TPM-Hardware zurücksetzt, werden alle bisherigen Autorisierungsfehler von Standardbenutzern für das TPM ignoriert, sodass die Standardbenutzer das TPM sofort wieder normal verwenden können. Wird dieser Wert nicht konfiguriert, wird der Standardwert 4 verwendet. Der Wert 0 (Null) bedeutet, dass das Betriebssystem keine Befehle von Standardbenutzern an das TPM zulässt, die einen Autorisierungsfehler verursachen könnten. Standardbenutzer-Sperrschwelle (gesamt) Mit dieser Richtlinieneinstellung können Sie die maximale Anzahl von Autorisierungsfehlern für alle Standardbenutzer für das TPM (Trusted Platform Module) verwalten. Wenn die Gesamtzahl der Autorisierungsfehler für alle Standardbenutzer innerhalb des Zeitraums für "Standardbenutzer-Sperrdauer" mit diesem Wert übereinstimmt, ist es keinem Standardbenutzer mehr möglich, Befehle an das TPM (Trusted Platform Module) zu senden, die eine Autorisierung erfordern. Mit dieser Richtlinieneinstellung können Administratoren verhindern, dass die TPM-Hardware in einen Sperrmodus versetzt wird, da dies die Geschwindigkeit herabsetzt, mit der Standardbenutzer Befehle, für die eine Autorisierung erforderlich ist, an das TPM senden können. Ein Fehler bei der Autorisierung tritt immer dann auf, wenn ein Standardbenutzer einen Befehl an das TPM sendet, woraufhin eine Fehlermeldung ausgegeben wird, die besagt, dass ein Autorisierungsfehler aufgetreten ist. Autorisierungsfehler, die älter als der Zeitraum sind, werden ignoriert. Für jeden Standardbenutzer gelten zwei Schwellenwerte. Jede Überschreitung dieser Schwellenwerte verhindert, dass der Standardbenutzer einen Befehl, für den eine Autorisierung erforderlich ist, an das TPM senden kann. Der Wert "Standardbenutzer-Sperrschwelle (einzeln)" entspricht der maximalen Gesamtzahl von Autorisierungsfehlern, die für einen einzelnen Standardbenutzer zulässig sind, bevor der Benutzer keine Befehle an das TPM mehr senden darf, die eine Autorisierung erfordern. Dieser Wert entspricht der maximalen Gesamtzahl von Autorisierungsfehlern, die für alle Standardbenutzer zulässig sind, bevor kein Standardbenutzer mehr Befehle an das TPM senden darf, die eine Autorisierung erfordern. Das TPM besitzt eine Schutzfunktion gegen Programme zum Ermitteln von Kennwörtern, indem es in einen Hardware-Sperrmodus versetzt wird, wenn zu viele Befehle mit einem ungültigen Autorisierungswert eingehen. Wenn das TPM in den Sperrmodus versetzt wird, gilt dieser Modus global für alle Benutzer, inklusive Administratoren und Windows-Features wie die BitLocker-Laufwerkverschlüsselung. Die Anzahl von Autorisierungsfehlern, die ein TPM zulässt, und die Zeitdauer für den Sperrmodus variieren je nach TPM-Hersteller. Einige TPMs können in Abhängigkeit von früheren Fehlern für eine längere Zeitdauer und nach weniger Autorisierungsfehlern in den Sperrmodus versetzt werden. Bei manchen TPMs muss das System neu gestartet werden, um den Sperrmodus zu beenden. Bei anderen TPMs muss das System eingeschaltet bleiben, da eine gewisse Anzahl von Taktzyklen durchlaufen werden muss, um den Sperrmodus zu beenden. Ein Administrator mit TPM-Besitzerkennwort kann die Sperrlogik der TPM-Hardware mithilfe der TPM-Verwaltungskonsole ("tpm.msc") vollständig zurücksetzen. Jedes Mal, wenn ein Administrator die Sperrlogik der TPM-Hardware zurücksetzt, werden alle bisherigen Autorisierungsfehler von Standardbenutzern für das TPM ignoriert, sodass die Standardbenutzer das TPM sofort wieder normal verwenden können. Wird dieser Wert nicht konfiguriert, wird der Standardwert 9 verwendet. Der Wert 0 (Null) bedeutet, dass das Betriebssystem keine Befehle von Standardbenutzern an das TPM zulässt, die einen Autorisierungsfehler verursachen könnten. System für die Verwendung der älteren Parametereinstellung zur Vermeidung von Wörterbuchangriffen für TPM 2.0 konfigurieren Durch diese Richtlinieneinstellung wird das TPM für die Verwendung der Parameter zur Vermeidung von Wörterbuchangriffen (Sperrschwellenwert und Wiederherstellungszeit) konfiguriert, und zwar gemäß den in Windows 10, Version 1607, und früheren Versionen verwendeten Werten. Die Richtlinie wird erst wirksam, wenn a) das TPM ursprünglich mit einer Windows-Version nach Windows 10, Version 1607, vorbereitet wurde und b) das System über ein TPM der Version 2.0 verfügt. Hinweis: Das Aktivieren dieser Richtlinie wird erst wirksam, nachdem die TPM-Wartungsaufgabe ausgeführt wurde (normalerweise nach einem Systemneustart). Nachdem die Richtlinie für ein System aktiviert wurde und (nach einem Systemneustart) wirksam ist, hat das Deaktivieren der Richtlinie keine Auswirkungen. Das System-TPM bleibt unabhängig vom Wert dieser Gruppenrichtlinie mit den älteren Parametern zur Vermeidung von Wörterbuchangriffen konfiguriert. Die einzige Möglichkeit, die deaktivierte Einstellung dieser Richtlinie auf ein System anzuwenden, auf dem sie einmal aktiviert war, besteht darin, a) die Einstellung in der Gruppenrichtlinie zu deaktivieren und b) die TPM-Daten im System zu löschen. Dienst für Integritätsnachweise für Geräte Überwachung und Berichterstellung für Integritätsnachweise für Geräte aktivieren Durch diese Gruppenrichtlinie wird die Berichterstellung für Integritätsnachweise für Geräte (DHA-Berichte, Device Health Attestation) auf unterstützten Geräten aktiviert. Dadurch können unterstützte Geräte Informationen, die sich auf Integritätsnachweise für Geräte beziehen (Gerätestartprotokolle, PCR-Werte, TPM-Zertifikat usw.), an den Dienst für Integritätsnachweise für Geräte (DHA-Dienst) senden, sobald ein Gerät startet. Der DHA-Dienst überprüft den Sicherheitszustand und die Integrität der Geräte und stellt die Ergebnisse über ein cloudbasiertes Berichterstellungsportal Unternehmensadministratoren zur Verfügung. Diese Richtlinie ist unabhängig von DHA-Berichten, die von Geräteverwaltungslösungen (wie MDM oder SCCM) initiiert werden, und verursacht keine Konflikte mit den zugehörigen Workflows. Konfigurieren Sie das System für die Löschung des TPMs, wenn es sich nicht im Bereitzustand befindet. Mit dieser Richtlinieneinstellung wird konfiguriert, dass der Benutzer vom System zum Löschen des TPMs aufgefordert wird, wenn sich das TPM in einem anderen Zustand als "Bereit" befindet. Die Richtlinie wird nur wirksam, wenn sich das System-TPM in einem anderen Zustand als "Bereit" befindet, zum Beispiel im Zustand "Das TPM kann mit eingeschränkter Funktionalität verwendet werden". Die Aufforderung zum Löschen des TPMs wird ab dem nächsten Neustart bei der Benutzeranmeldung ausgegeben, wenn der angemeldete Benutzer der Administratorgruppe des Systems angehört. Die Aufforderung kann geschlossen werden, wird jedoch nach jedem Neustart und jeder Anmeldung erneut angezeigt, bis die Richtlinie deaktiviert wird oder sich das TPM im Bereitzustand befindet. Geben Sie die zu blockierenden Befehle an, indem Sie ihre Nummern zur Liste hinzufügen. Liste der blockierten TPM-Befehle: Fügen Sie der Liste z. B. die Nummern 129 und 170 hinzu, um die Befehle "TPM_OwnerReadInternalPub" und "TPM_FieldUpgrade" zu blockieren. Vom Betriebssystem verwaltete TPM-Authentifizierungsebene: Dauer zum Zählen von TPM-Autorisierungsfehlern (Minuten): Maximale Anzahl an Autorisierungsfehlern pro Zeitraum: Maximale Anzahl an Autorisierungsfehlern pro Zeitraum: