Secure Boot und TPM 2.0 für Anti-Cheat (VALORANT, FACEIT): prüfen und einschalten

Prüf TPM 2.0 und Secure Boot in msinfo32 und tpm.msc, sichere deinen BitLocker-Wiederherstellungsschlüssel, konvertiere einen MBR-Systemdatenträger und schalte dann das Firmware-TPM und Secure Boot in den Firmware-Einstellungen des PCs ein. Genau das verlangen VALORANT mit VAN 9001 und VAN 9003, Battlefield 6 mit seinem Secure-Boot-Fehler, Call of Duty mit seinem Failed Attestation Status und FACEIT mit seinen Fehlern.

Microsoft merkt an, dass die meisten Mainboards aus dem Handel für selbst gebaute PCs mit ausgeschaltetem TPM ausgeliefert werden, "even though it is almost always available to be enabled"; prüf also nach, bevor du etwas kaufst. Die Fallen auf dem Weg sind BitLocker und ein MBR-Systemdatenträger. Meldet FACEIT stattdessen fehlende Windows-Sicherheitsupdates oder einen verbotenen PawnIO-Treiber, liegt es an keiner Firmware-Einstellung; beides steht weiter unten.

Warum verlangen Anti-Cheats TPM 2.0 und Secure Boot?

Damit kann der Anti-Cheat darauf vertrauen, dass der PC sauber gestartet ist. Secure Boot hilft laut Microsoft zu verhindern, dass schädliche Software geladen wird, wenn ein Windows-PC startet, indem es beim Start nur vertrauenswürdige, digital signierte Software laufen lässt. Sein Ziel sind Rootkits: Microsoft zufolge starten sie vor dem Betriebssystem und können sich dadurch vollständig verstecken.

Das TPM macht daraus einen Nachweis. FACEIT erklärt, dass es einen "Measured Boot" (gemessenen Start) durchführt, dabei einen Fingerabdruck jeder Komponente in der Startkette festhält und dem Anti-Cheat einen signierten Bericht geben kann, die sogenannte Attestation, dass der Start sauber war. FACEIT gibt außerdem an, dass TPM und Secure Boot die Leistung nicht beeinträchtigen.

Welche Spiele brauchen TPM 2.0 und Secure Boot?

Stand Oktober 2026 verlangen diese Spiele und Plattformen beides:

Windows 11 verlangt nur einen PC, der "Secure Boot capable" ist (also Secure Boot unterstützt), nicht, dass Secure Boot eingeschaltet ist.

Wie prüfe ich, ob TPM 2.0 und Secure Boot an sind?

Systeminformationen. Drück Win+R, gib msinfo32 ein, drück die Eingabetaste und lies BIOS-Modus und Sicherer Startzustand ab. Riots Anleitung deutet sie so:

TPM-Verwaltung. Führ tpm.msc aus: Du willst Das TPM ist einsatzbereit sehen und unter TPM-Herstellerinformationen eine Spezifikationsversion von 2.0. Die Meldung Es wurde kein kompatibles TPM gefunden deutet Microsoft als ein TPM, das möglicherweise deaktiviert ist.

Windows-Sicherheit. Unter Gerätesicherheit > Details zum Sicherheitschip will FACEIT bei Nachweis und Speicher jeweils Bereit sehen. Fehlt der Eintrag Sicherheitschip ganz, heißt das laut Microsoft wahrscheinlich, dass kein TPM vorhanden ist oder dass es in der Firmware ausgeschaltet ist.

Auf einem Legacy-PC zeigt die Datenträgerverwaltung den Partitionsstil des Windows-Datenträgers: Klick im unteren Bereich mit der rechten Maustaste auf die Nummer dieses Datenträgers, etwa Datenträger 0, dann Eigenschaften > Volumes.

w0a liest die sechs Voraussetzungen aus und zeigt, wo jeder Schalter sitzt; Wenig FPS und Ruckler in CS2 geht die Liste durch.

Bevor du etwas änderst: BitLocker

BitLocker schützt das Laufwerk laut Microsoft vor Datendiebstahl oder Offenlegung von Daten bei verlorenen, gestohlenen oder unsachgemäß außer Betrieb genommenen Geräten, und Änderungen daran, wie der PC startet, können dazu führen, dass es nach seinem 48-stelligen Wiederherstellungsschlüssel fragt. Zu den Auslösern, die Microsoft nennt, gehören das Löschen des TPM, Änderungen am Start-Manager und an der Partitionstabelle sowie ein Upgrade der BIOS- oder UEFI-Firmware; mehrere der Schritte unten stehen also auf der Liste. Die Geräteverschlüsselung, die automatische Form von BitLocker, kann sich laut Microsoft von selbst einschalten, sobald ein PC die Voraussetzungen erfüllt, zum Beispiel, indem Secure Boot eingeschaltet wird.

1. Such vor dem ersten Neustart in die Firmware deinen Wiederherstellungsschlüssel heraus und bewahre ihn außerhalb dieses PCs auf. Bei einem Microsoft-Konto verweist Microsofts Seite auf aka.ms/myrecoverykey; der Microsoft-Support kann laut Microsoft einen verlorenen BitLocker-Wiederherstellungsschlüssel weder abrufen noch bereitstellen oder neu erstellen.
2. Zeigt Systemsteuerung > BitLocker-Laufwerkverschlüsselung das Laufwerk als geschützt an, wähle vor jedem Neustart in die Firmware Schutz anhalten. Das Laufwerk bleibt verschlüsselt, aber sein Schlüssel liegt unverschlüsselt vor, bis der Schutz beim nächsten Neustart automatisch wieder aufgenommen wird.

Wie schalte ich TPM 2.0 und Secure Boot ein?

Sechs Schritte, in dieser Reihenfolge:

1. Ist der Datenträger MBR, konvertier ihn zuerst, aus Windows heraus. Riot zufolge startet Windows nicht, wenn du das BIOS auf UEFI umstellst, ohne vorher das Laufwerk zu konvertieren. Microsofts MBR2GPT konvertiert den Systemdatenträger laut Microsoft, ohne Daten auf dem Datenträger zu ändern oder zu löschen, aber seine Ausgabe warnt "These changes cannot be undone!" (Diese Änderungen können nicht rückgängig gemacht werden!); sichere also zuerst deine Daten und stell sicher, dass der PC UEFI unterstützt. Auf einem verschlüsselten Laufwerk braucht MBR2GPT ein angehaltenes BitLocker, und dessen Schutzvorrichtungen müssen danach neu erstellt werden; Riot und Activision verlangen stattdessen, die Verschlüsselung auszuschalten, womit das Laufwerk ungeschützt bleibt, bis sie wieder an ist. Führ in einer Eingabeaufforderung als Administrator mbr2gpt /validate /allowFullOS aus, dann, wenn das durchläuft, mbr2gpt /convert /allowFullOS, und geh direkt in die Firmware.
2. Die Firmware-Einstellungen öffnen. Geh unter Windows 11 zu Einstellungen > System > Wiederherstellung und wähle neben Erweiterter Start die Option Jetzt neu starten (Windows 10: Einstellungen > Update und Sicherheit > Wiederherstellung), dann Problembehandlung > Erweiterte Optionen > UEFI-Firmwareeinstellungen > Neu starten. Oder drück beim Einschalten die Firmware-Taste; Riot nennt Entf, F2 oder F10.
3. Boot-Modus UEFI, CSM aus. Wo sich UEFI und Legacy/CSM beide aktivieren lassen, sollst du laut Microsoft UEFI als erste oder einzige Option wählen; Riot und Activision sagen, CSM zu deaktivieren, falls es die Einstellung gibt.
4. Das Firmware-TPM aktivieren. Laut Microsoft sitzt es manchmal unter Advanced, Security oder Trusted Computing, beschriftet als Security Device, Security Device Support, TPM State, AMD fTPM switch, AMD PSP fTPM, Intel PTT oder Intel Platform Trust Technology. Für VAN: RESTRICTION braucht Riot das Firmware-TPM, nicht allein ein separates Modul.
5. Secure Boot auf Enabled stellen. Bei ASUS-Boards sollst du laut FACEIT "Windows UEFI Mode" verwenden. Ist die Option ausgegraut, sagt Activision, du sollst den UEFI-Modus wählen, speichern und die Firmware erneut öffnen; bleibt sie grau, ist Riots Lösung Restore Factory Keys unter Key Management, was laut Riot bei eingeschaltetem BitLocker deine TPM-Messwerte ändert und beim nächsten Start die BitLocker-Wiederherstellung auslöst.
6. Speichern, Windows starten, erneut prüfen. BIOS-Modus UEFI, Sicherer Startzustand Ein, TPM einsatzbereit mit 2.0; EA merkt an, dass manche Windows-Versionen möglicherweise einen weiteren Neustart brauchen.

Warum sagt das Spiel trotz aktivem Secure Boot nein?

Fünf bekannte Fälle, jeder mit der Lösung, die seine Quelle nennt:

• Alte Firmware. Laut Riot kann ein altes BIOS Secure Boot als aktiviert melden, aber an Richtlinienprüfungen scheitern, die Vanguard verlangt. Installier das neueste BIOS für genau dein Board, das msinfo32 unter BaseBoard-Hersteller und BaseBoard-Produkt nennt.
• AMD-TPM-Version 3.*.0.*. Zeigt tpm.msc AMD mit einer Herstellerversion wie 3.92.0.5, verweisen FACEIT und Activision beide auf ein BIOS-Update.
• Boot-Schleifen oder Abstürze nach einer Änderung. FACEITs Rat: die letzte Firmware-Änderung zurücknehmen, das BIOS aktualisieren und dann die Funktionen einzeln wieder einschalten.
• "Secure Boot Violation" oder "Invalid Signature Detected". Laut FACEIT sind die Secure-Boot-Zertifikate des Boards veraltet, und moderne BIOS-Updates bringen die erforderlichen Microsoft-Zertifikate von 2023 mit. Der Weg von FACEIT schaltet Secure Boot nur aus, um zu starten und zu aktualisieren; solange es aus ist, fehlt dem PC dieser Schutz, und Microsoft empfiehlt, es wieder einzuschalten, sobald das Problem behoben ist.
• "Your system is missing important Windows security updates." Laut FACEIT fehlen diesem Windows Sicherheitspatches, die der Anti-Cheat verlangt. Starte Windows Update und installiere, was es anbietet; kommt nichts, sind FACEITs nächste Schritte Microsofts Tool für das Upgrade auf Windows 11 oder ein manueller Download aus Microsofts Updateverlauf. Hat ein Tweak-Guide die Update-Dienste abgeschaltet, setzt die Karte Windows Update von w0a sie auf die Windows-Standardwerte zurück; ein verändertes Windows, das Updates blockiert, unterstützt FACEIT nicht. Unter Windows 10 verlangt FACEIT Version 22H2 (Build 19045); der Support endete am 14. Oktober 2025, seitdem kommen Sicherheitskorrekturen nur noch über das Programm Extended Security Updates, das Microsoft bis zum 12. Oktober 2027 betreibt. Erfüllt die Hardware die Voraussetzungen, nennt FACEIT das kostenlose Upgrade auf Windows 11 eine dauerhafte Lösung.

Blockiert FACEIT den PawnIO-Treiber?

FACEITs Liste blockierter Treiber nennt PawnIO.sys mit einer einzigen Anweisung: PawnIO auf die neueste Version aktualisieren. PawnIO ist der optionale Treiber, den w0a zum Auslesen der CPU-Temperatur und der RAM-Timings anbietet; eine Standardinstallation von w0a lädt keinen Kernel-Treiber. Ist ein blockierter Treiber geladen, startet der Anti-Cheat nicht und zeigt den Fehler "Forbidden driver"; laut FACEIT blockiert ein Neustart dann den Treiber, damit der Anti-Cheat laufen kann, und FACEIT empfiehlt, gelistete Treiber zu entfernen oder die Software zu aktualisieren, wenn du sie brauchst. Auf einem Rechner lief PawnIO 2.2.0 neben FACEIT, und Matches wurden ohne Sperre gespielt. Das ist eine einzelne Beobachtung, keine Garantie: FACEITs Liste nennt PawnIO weiterhin.

w0a installiert PawnIO nur, wenn du darum bittest und den Herausgeber bestätigst, den Windows geprüft hat, und lädt immer die neueste Version herunter. Bittest du w0a, PawnIO zu installieren oder zu reparieren, während FACEIT installiert und ein PawnIO älter als 2.2.0 vorhanden ist, warnt w0a zuerst und macht nur weiter, wenn du zustimmst. Um PawnIO zu entfernen, deinstalliere es über die Liste der installierten Apps von Windows; w0a zu deinstallieren entfernt es nicht, wie w0a deinstallieren beschreibt.

Laufen die Secure-Boot-Zertifikate 2026 ab?

Die Microsoft-Zertifikate, auf die sich Secure Boot stützt, wurden 2011 ausgestellt und begannen am 24. Juni 2026 abzulaufen; das letzte läuft am 19. Oktober ab. Die Nachfolger von 2023 kommen über Windows Update, und für die meisten Nutzer unterstützter Windows-Systeme ist laut Microsoft nichts zu tun. Seit April 2026 verteilt die Windows-Sicherheit nach und nach einen Zertifikatsstatus unter Gerätesicherheit > Sicherer Start; Microsoft warnt, dass ein grünes Häkchen allein nicht bestätige, dass deine Zertifikate aktualisiert sind, also such nach der Zeile, die besagt, dass alle erforderlichen Zertifikatupdates angewendet wurden.

Was nicht hilft

• Secure Boot ausschalten, um eine Warnung loszuwerden. Microsoft schreibt, Secure Boot solle nicht deaktiviert werden, um den Ablauf der Zertifikate zu umgehen; das verringere den Schutz des Geräts erheblich und entferne Schutzmaßnahmen gegen Schadsoftware auf Startebene. Die Spiele oben laufen dann ebenfalls nicht mehr.
• AMDs fTPM ausschalten, um Ruckler zu beheben. Laut Riot hat AMD die fTPM-Ruckler früher Ryzen-Systeme mit späteren BIOS-Updates behoben, und das Ausschalten von fTPM kostet dich die Vanguard-Spiele.
• Das TPM als erste Maßnahme löschen. Das kann die BitLocker-Wiederherstellung auslösen, und Microsoft sagt, du sollst vorher deine Daten sichern.

Häufige Fragen

Senken TPM 2.0 und Secure Boot die FPS?

Laut FACEIT nicht: Die FAQ zu den Sicherheitsanforderungen sagt, dass TPM und Secure Boot die Leistung nicht beeinflussen. Das fTPM-Ruckeln früher Ryzen-Systeme haben laut Riot spätere BIOS-Updates behoben, und fTPM abzuschalten kostet dich die Vanguard-Spiele.

Muss ich ein TPM-2.0-Modul kaufen?

Prüf zuerst die Firmware: Laut Microsoft werden die meisten Mainboards aus dem Handel für selbst gebaute PCs mit abgeschaltetem TPM ausgeliefert, obwohl es sich fast immer einschalten lässt. Für VAN: RESTRICTION braucht Riot das Firmware-TPM, nicht nur ein separates Modul.

Braucht Windows 11 eingeschaltetes Secure Boot?

Nein. Die Anforderungen von Windows 11 verlangen Firmware, die Secure Boot unterstützt; eingeschaltet wollen es die Spiele aus der Tabelle oben.

Kann ich mich durch das Einschalten von Secure Boot aus meinem PC aussperren?

Ja, in zwei Fällen. Auf einem Legacy-PC mit MBR-Datenträger startet Windows laut Riot nach dem Wechsel auf UEFI nicht, wenn der Datenträger nicht vorher umgewandelt wurde. Ist BitLocker an, kann die Änderung nach dem 48-stelligen Wiederherstellungsschlüssel fragen; bewahr diesen Schlüssel deshalb vor dem ersten Neustart außerhalb dieses PCs auf.

Kann ich FACEIT unter Windows 10 spielen?

Ja, mit Version 22H2 (Build 19045), TPM 2.0, Secure Boot und aktuellen Sicherheitsupdates. Diese Updates kommen inzwischen nur noch über das Programm Extended Security Updates, das Microsoft bis zum 12. Oktober 2027 betreibt; erfüllt die Hardware die Voraussetzungen, nennt FACEIT das kostenlose Upgrade auf Windows 11 eine dauerhafte Lösung.

Verwandt

• Wenig FPS und Ruckler in CS2 trotz gutem PC: eine gemessene Checkliste
• Speicherintegrität wieder einschalten
• Resizable BAR und Smart Access Memory: was es ist, wie du es prüfst
• Intel 13. und 14. Gen: Abstürze in Spielen und der Fix, der zählt
• Windows 11 für Gaming optimieren: die Einstellungen, die wirklich zählen
• Was ist PawnIO, und blockiert FACEIT es?