TPM non disponibile: BitLocker e Windows Hello non funzionano: Ecco cosa fare

Quando Windows mostra il messaggio “TPM non disponibile”, il problema può sembrare inizialmente poco importante. In realtà, soprattutto su un PC Windows 10 o Windows 11 moderno, il TPM rappresenta uno degli elementi fondamentali della sicurezza hardware. Se il sistema operativo non riesce più a comunicare correttamente con il Trusted Platform Module, le conseguenze possono essere immediate: BitLocker può smettere di funzionare correttamente, Windows Hello può rifiutare il PIN, l’accesso biometrico può non essere disponibile e, in determinati scenari aziendali, possono comparire problemi con Microsoft Entra ID, Conditional Access e autenticazione SSO. (Microsoft Learn)

Il TPM, acronimo di Trusted Platform Module, non è semplicemente un componente “che Windows usa per BitLocker”. È una vera e propria radice di fiducia hardware. Conserva e protegge materiale crittografico, partecipa alle verifiche dell’integrità dell’avvio e permette a Windows di dimostrare che determinate operazioni vengono eseguite su un dispositivo considerato affidabile.

Windows 11, in particolare, utilizza il TPM 2.0 come elemento importante della propria architettura di sicurezza. Microsoft raccomanda TPM 2.0 per funzionalità come Windows Hello, Device Health Attestation e altri meccanismi di protezione hardware. (Microsoft Learn)

Il messaggio “TPM non disponibile”, quindi, non dovrebbe essere affrontato cancellando immediatamente il TPM. È proprio questo il punto più delicato dell’intera procedura.

Il TPM non va cancellato alla cieca.

Prima bisogna capire perché Windows non lo vede, se il TPM è disabilitato nel firmware, se il firmware non lo inizializza correttamente, se il driver TPM presenta problemi, se il dispositivo è entrato in una condizione di lockout oppure se un aggiornamento BIOS, UEFI, firmware o Windows ha modificato lo stato della piattaforma.

Quando compare il problema

Il problema può manifestarsi in diversi momenti.

Può comparire improvvisamente dopo un aggiornamento di Windows, dopo un aggiornamento del BIOS o UEFI, dopo un aggiornamento del firmware TPM, dopo il ripristino delle impostazioni del firmware, dopo una modifica della modalità Legacy/UEFI oppure dopo interventi sulla configurazione Secure Boot.

In altri casi il computer continua ad avviarsi normalmente, ma Windows Hello smette di accettare il PIN. L’utente si trova davanti a una situazione apparentemente inspiegabile: la password funziona, ma il PIN Windows Hello non viene più riconosciuto oppure viene richiesto di configurare nuovamente Windows Hello.

Su un computer aziendale il problema può essere ancora più evidente. Un dispositivo Microsoft Entra joined può perdere alcune funzionalità di autenticazione, il provisioning di Windows Hello for Business può fallire e possono verificarsi problemi con il Primary Refresh Token e il Single Sign-On. Microsoft documenta esplicitamente scenari nei quali un TPM non pronto o non correttamente configurato impedisce il corretto funzionamento di Windows Hello for Business e dell’autenticazione Entra. (Microsoft Learn)

Perché BitLocker dipende dal TPM

BitLocker utilizza il TPM per proteggere le informazioni crittografiche necessarie allo sblocco del sistema e per verificare che l’ambiente di avvio sia coerente con quello atteso.

È per questo che un cambiamento nel BIOS, nel firmware, nella configurazione UEFI o nella catena di boot può provocare una richiesta della BitLocker Recovery Key.

Non significa necessariamente che BitLocker sia guasto.

Significa che il sistema ha rilevato un cambiamento nella propria catena di fiducia e, non potendo verificare automaticamente lo stato precedente, richiede una forma alternativa di autenticazione.

Microsoft segnala infatti che la sostituzione o il cambio del TPM può provocare l’ingresso di BitLocker nella modalità di ripristino. (Microsoft Learn)

Lo stesso principio spiega perché è importante gestire correttamente BitLocker prima di determinati aggiornamenti firmware. Microsoft specifica che alcuni aggiornamenti non Microsoft, firmware TPM e modifiche UEFI/BIOS possono richiedere la sospensione temporanea della protezione. (Microsoft Learn)

Prima operazione: non cancellare il TPM

La prima regola è semplice e deve diventare quasi automatica per chi amministra sistemi Windows:

prima si verifica, poi eventualmente si interviene.

Se il computer contiene dati protetti da BitLocker, è fondamentale verificare di possedere la relativa Recovery Key prima di effettuare qualsiasi operazione distruttiva sul TPM.

La cancellazione del TPM elimina infatti le chiavi presenti nel modulo. Microsoft avverte esplicitamente che questa operazione può rendere inaccessibili dati o credenziali protetti dal TPM e può richiedere la riconfigurazione di Windows Hello. (Microsoft Learn)

Su un PC aziendale la prudenza deve essere ancora maggiore: la cancellazione del TPM non dovrebbe essere effettuata autonomamente dall’utente. Deve essere valutata dall’amministratore IT, soprattutto quando il dispositivo è gestito tramite Microsoft Intune, Microsoft Configuration Manager, Microsoft Entra ID o criteri aziendali di sicurezza.

Verificare il TPM da Windows

Il primo controllo pratico è eseguire tpm.msc.

Premendo Win + R e digitando:

tpm.msc

si apre la console di gestione del TPM.

Se tutto funziona correttamente, Windows dovrebbe indicare che il TPM è pronto per l’utilizzo e mostrare informazioni relative al produttore e alla versione della specifica.

Se invece compare un messaggio come “Impossibile trovare un TPM compatibile”, non significa automaticamente che il computer non possieda il TPM.

Potrebbe semplicemente essere disabilitato nel firmware.

È una distinzione fondamentale.

Un notebook moderno Intel può utilizzare Intel PTT, mentre una piattaforma AMD può utilizzare AMD fTPM. In entrambi i casi si tratta di implementazioni firmware del TPM e non necessariamente di un chip TPM separato visibile fisicamente sulla scheda madre.

Microsoft conferma che, quando un TPM 2.0 non viene rilevato da Windows, bisogna verificare che UEFI sia conforme e che il TPM non sia stato disabilitato o nascosto dalle impostazioni firmware. (Microsoft Learn)

Verificare il TPM con PowerShell

Per ottenere una seconda conferma è possibile aprire PowerShell come amministratore ed eseguire:

Get-Tpm

Il risultato deve essere interpretato nel suo insieme.

Un sistema correttamente funzionante dovrebbe normalmente mostrare un TPM presente e pronto, con proprietà coerenti come TpmPresent e TpmReady.

È inoltre possibile interrogare direttamente il componente:

Get-CimInstance -Namespace "Root/CIMv2/Security/MicrosoftTpm" -ClassName Win32_Tpm

Questa verifica permette di capire se Windows riesce almeno a interrogare il provider TPM.

Se tpm.msc e PowerShell mostrano entrambi l’assenza del TPM, bisogna spostare l’attenzione verso UEFI, firmware e hardware.

Controllare BIOS e UEFI

Quando Windows non vede il TPM, il BIOS/UEFI diventa il secondo luogo da controllare.

Il nome della voce cambia in base al produttore.

Su sistemi Intel può essere indicato come Intel PTT, Platform Trust Technology oppure TPM Security.

Su sistemi AMD può comparire come AMD fTPM, Firmware TPM o una voce equivalente.

Su Dell, HP, Lenovo, ASUS, Gigabyte, MSI e altri produttori la posizione delle impostazioni può essere completamente differente.

Il concetto però è sempre lo stesso: il TPM deve essere abilitato e disponibile al sistema operativo.

Un riferimento utile sul sito ICT Officine Informatiche Roma è la guida dedicata all’abilitazione del TPM 2.0 nei diversi firmware BIOS. (Officine Informatiche Roma)

Dopo aver modificato l’impostazione è necessario salvare la configurazione, riavviare Windows e ripetere il controllo con tpm.msc.

Controllare UEFI e Secure Boot

Il TPM non vive isolato. Su Windows 11 deve essere considerato insieme alla configurazione UEFI e Secure Boot. Da Windows è possibile verificare la modalità firmware attraverso msinfo32. La voce Modalità BIOS dovrebbe normalmente indicare UEFI.

Da PowerShell è inoltre possibile verificare Secure Boot:

Confirm-SecureBootUEFI

• Se restituisce True, Secure Boot è attivo.
• Se restituisce False, Secure Boot è disattivato.

La presenza di una configurazione Legacy/CSM può creare una situazione nella quale il sistema operativo funziona, ma la catena di sicurezza non è configurata come previsto per Windows 11.

Sul sito Officine Informatiche Roma è disponibile anche una guida specifica sulla verifica e conversione da BIOS Legacy a UEFI/GPT, particolarmente utile quando la configurazione del firmware deve essere riallineata. (Officine Informatiche Roma)

Controllare BitLocker prima di toccare il TPM

Prima di qualsiasi operazione sul TPM è opportuno verificare lo stato della crittografia.

Da PowerShell è possibile utilizzare:

Get-BitLockerVolume

oppure:

manage-bde -status

È importante conoscere almeno lo stato della protezione, il metodo di protezione utilizzato e la presenza dei protector.

Per approfondire i protector TPM di BitLocker:

manage-bde -protectors -get C:

Questo passaggio è particolarmente importante perché permette di capire cosa potrebbe accadere se il TPM venisse resettato.

La regola professionale è semplice: prima si verifica la possibilità di recuperare la chiave BitLocker, poi si interviene sul TPM.

Recuperare e verificare la Recovery Key

• Se BitLocker è attivo, la Recovery Key deve essere disponibile.
• In un computer personale può essere associata all’account Microsoft.
• In un ambiente aziendale può essere archiviata in Microsoft Entra ID, Active Directory o nei sistemi di gestione previsti dall’organizzazione.
• Se la chiave non è disponibile, fermarsi prima di cancellare il TPM è una scelta corretta.

Un TPM resettato non è una semplice impostazione BIOS da ripristinare. Le chiavi precedentemente presenti possono essere perse e Windows Hello può richiedere una nuova configurazione. (Microsoft Learn)

Controllare Windows Hello

Windows Hello utilizza il TPM per proteggere le chiavi associate all’autenticazione.

Il PIN non deve essere considerato semplicemente una password alternativa.

Nel modello Windows Hello for Business, il PIN contribuisce all’utilizzo della chiave privata protetta dall’hardware TPM. (Microsoft Learn)

Per questo motivo un TPM non funzionante può manifestarsi con:

• PIN non disponibile.
• Impossibile configurare Windows Hello.
• Problemi durante la creazione del PIN.
• Richiesta continua di configurazione di Windows Hello.
• Errori di provisioning Windows Hello for Business.

Microsoft documenta, tra gli altri, l’errore 0x80090035, associato allo scenario nel quale un criterio richiede il TPM ma il dispositivo non dispone di un TPM utilizzabile. (Microsoft Learn)

Se il TPM è presente ma non è pronto

Quando tpm.msc vede il TPM ma segnala che non è pronto, la situazione è diversa rispetto a un TPM completamente assente.

In questo caso può essere utile riavviare il computer e verificare nuovamente lo stato.

Occorre inoltre controllare gli eventi di sistema, in particolare quelli relativi a TPM-WMI.

Microsoft documenta anche situazioni nelle quali il TPM entra in una condizione di lockout, ad esempio dopo numerosi tentativi considerati sospetti. In questi casi è possibile che il TPM sia presente ma temporaneamente non utilizzabile per determinate operazioni. (Microsoft Learn)

Prima di procedere a un reset, quindi, bisogna distinguere un TPM disabilitato, un TPM non inizializzato, un TPM in lockout e un TPM realmente guasto.

Quando aggiornare il BIOS o il firmware TPM

Se il TPM è abilitato ma Windows continua a non riconoscerlo, è opportuno verificare la disponibilità di un aggiornamento BIOS/UEFI e, quando previsto dal produttore, un aggiornamento del firmware TPM.

Questo è particolarmente importante sui notebook aziendali.

Un firmware obsoleto può avere problemi di compatibilità con Windows 11, Secure Boot o con gli aggiornamenti del sistema operativo.

Gli aggiornamenti firmware devono però essere trattati con attenzione quando BitLocker è attivo.

Microsoft indica che alcuni aggiornamenti firmware TPM o UEFI possono richiedere la sospensione di BitLocker. (Microsoft Learn)

Quando necessario, una procedura PowerShell può essere:

Suspend-BitLocker -MountPoint "C:" -RebootCount 0

Dopo aver completato e verificato l’aggiornamento firmware:

Resume-BitLocker -MountPoint "C:"

Il parametro utilizzato deve essere scelto in funzione del numero di riavvii previsti dalla procedura firmware. Microsoft documenta esplicitamente questo comportamento. (Microsoft Learn)

Il caso delicato: cancellare il TPM

La cancellazione del TPM deve essere considerata una delle ultime operazioni, non la prima.

Se tutte le verifiche precedenti hanno escluso un problema BIOS, firmware, driver o configurazione e Microsoft o il produttore indicano il reset come procedura corretta, è possibile utilizzare gli strumenti di Windows.

• La procedura consigliata passa dalla sicurezza di Windows, attraverso
• Sicurezza dispositivo,
• Dettagli processore di sicurezza,
• Risoluzione dei problemi del processore di sicurezza e quindi
• Cancella TPM.

Microsoft raccomanda di effettuare la cancellazione attraverso Windows e non direttamente dal firmware UEFI. (Microsoft Learn)

Dopo il riavvio Windows dovrebbe inizializzare nuovamente il TPM.

A quel punto sarà necessario verificare nuovamente tpm.msc, BitLocker e Windows Hello.

È normale che il PIN Windows Hello precedentemente associato al TPM non sia più utilizzabile dopo la cancellazione. Microsoft indica esplicitamente che, dopo il clear del TPM, Windows Hello può richiedere la reimpostazione del PIN. (Support Microsoft)

Se il TPM non si cancella

Può accadere che il tentativo di cancellazione fallisca con errori come 0x80290300.

In questo scenario il problema può essere collegato alle impostazioni BIOS che regolano la gestione del TPM dal sistema operativo, come OS Management of TPM o Reset of TPM from OS.

Microsoft documenta proprio questo scenario e indica che tali impostazioni devono consentire al sistema operativo di effettuare l’operazione richiesta. (Microsoft Learn)

Anche qui il principio rimane invariato: prima di cambiare impostazioni firmware bisogna sapere quale configurazione sta utilizzando il dispositivo e, se BitLocker è attivo, avere la Recovery Key disponibile.

Verificare il sistema dopo il ripristino

Una volta risolto il problema TPM, non bisogna fermarsi al messaggio “TPM pronto”.

È necessario verificare l’intera catena.

Si controlla nuovamente:

Get-Tpm

Poi:

Get-BitLockerVolume

Successivamente:

manage-bde -protectors -get C:

e:

Confirm-SecureBootUEFI

È opportuno aprire anche tpm.msc e verificare che il TPM sia pronto.

A questo punto si testa Windows Hello.

Se il computer è Microsoft Entra joined, è inoltre utile verificare lo stato dell’identità con:

dsregcmd /status

Microsoft indica proprio dsregcmd /status come strumento utile per verificare lo stato del Primary Refresh Token nei problemi di Windows Hello for Business, SSO e Microsoft Entra. (Microsoft Learn)

Il caso dei PC gestiti con Intune

In ambiente aziendale il problema TPM non deve essere considerato esclusivamente locale.

Il dispositivo potrebbe essere conforme alle policy hardware ma non conforme alle policy di sicurezza perché il TPM non viene rilevato correttamente.

Questo può influenzare BitLocker, Windows Hello for Business, compliance, Conditional Access, Autopilot e altre configurazioni di sicurezza.

Prima di effettuare un Clear TPM su un notebook aziendale è quindi necessario verificare la configurazione presente in Intune e le policy applicate al dispositivo.

Un problema locale può infatti trasformarsi in un problema di provisioning aziendale se il dispositivo perde le chiavi necessarie all’autenticazione.

Quando il problema è comparso dopo Windows Update

Se il TPM funzionava perfettamente fino a un determinato aggiornamento, non bisogna ignorare la correlazione temporale.

Questo non significa automaticamente che Windows Update abbia “rotto il TPM”.

L’aggiornamento potrebbe avere modificato componenti di boot, driver, firmware, criteri di sicurezza o interazioni con UEFI.

In questo caso è opportuno confrontare la cronologia degli aggiornamenti con la data di comparsa del problema e controllare eventuali aggiornamenti BIOS o firmware installati nello stesso periodo.

Sul sito Officine Informatiche Roma sono presenti diverse guide dedicate al troubleshooting di Windows Update e alla gestione degli aggiornamenti in ambienti aziendali. (Officine Informatiche Roma)

La sequenza corretta delle operazioni

La procedura più sicura può essere riassunta in una sequenza operativa precisa.

• Prima fase: identificare il sintomo e verificare quando è iniziato il problema, soprattutto se la comparsa è successiva a Windows Update, BIOS, firmware o modifiche UEFI.
• Seconda fase: aprire tpm.msc e verificare se Windows rileva il TPM e se lo considera pronto.
• Terza fase: eseguire Get-Tpm da PowerShell e confrontare il risultato con quello della console TPM.
• Quarta fase: verificare BIOS/UEFI e assicurarsi che TPM, Intel PTT o AMD fTPM siano effettivamente abilitati.
• Quinta fase: verificare che il sistema utilizzi UEFI e controllare lo stato di Secure Boot.
• Sesta fase: verificare BitLocker con Get-BitLockerVolume o manage-bde -status.
• Settima fase: verificare l’esistenza e l’accessibilità della BitLocker Recovery Key prima di qualsiasi operazione distruttiva.
• Ottava fase: controllare driver TPM, firmware BIOS/UEFI e aggiornamenti disponibili dal produttore.
• Nona fase: se il problema riguarda Windows Hello, verificare gli eventi TPM-WMI e, negli ambienti Entra, eseguire dsregcmd /status.
• Decima fase: solo se necessario e dopo avere effettuato tutti i controlli di sicurezza, valutare il Clear TPM.
• Undicesima fase: dopo il Clear TPM, riavviare il dispositivo e lasciare che Windows reinizializzi automaticamente il TPM.
• Dodicesima fase: verificare nuovamente TPM, BitLocker, Secure Boot e Windows Hello.
• Tredicesima fase: nei dispositivi aziendali, verificare nuovamente la registrazione Entra, la compliance Intune e il provisioning di Windows Hello for Business.
• Questa sequenza è importante perché evita l’errore più pericoloso: risolvere apparentemente il TPM e contemporaneamente perdere l’accesso alle chiavi necessarie per BitLocker o alle credenziali protette da Windows Hello.

Quando il TPM è realmente guasto

Se il TPM rimane invisibile anche dopo aver verificato BIOS/UEFI, firmware, impostazioni PTT/fTPM, driver e aggiornamenti del produttore, il problema potrebbe essere hardware.

In un notebook aziendale questo è il momento nel quale ha senso aprire una segnalazione hardware.

Non bisogna continuare a cancellare e reinizializzare il TPM all’infinito.

Se il firmware non riesce a esporre correttamente il dispositivo di sicurezza al sistema operativo, potrebbe essere necessario un intervento del produttore, un aggiornamento firmware specifico o, nei casi più gravi, la sostituzione della scheda madre.

Microsoft stessa indica di rivolgersi al produttore quando il problema TPM persiste dopo le normali procedure di troubleshooting. (Support Microsoft)

Conclusione

Un TPM non disponibile non è semplicemente un piccolo errore di Windows.

È un problema che coinvolge hardware, firmware, UEFI, Secure Boot, crittografia, autenticazione e sicurezza del sistema operativo.

Il modo corretto di affrontarlo è procedere con metodo.

• Prima si verifica.
• Poi si identifica la causa.
• Successivamente si controllano BIOS, UEFI, TPM, firmware, BitLocker e Windows Hello.
• Solo alla fine, quando esistono tutte le condizioni di sicurezza necessarie, si prende in considerazione la cancellazione del TPM.

La lezione più importante è forse anche la più semplice: non cancellare mai un TPM alla cieca su un computer con BitLocker attivo.

Un intervento apparentemente banale può trasformare un problema di autenticazione in un problema di accesso ai dati.

Su un PC personale è già un inconveniente serio. Su un notebook aziendale può diventare un incidente operativo, perché allo stesso TPM possono essere legati BitLocker, Windows Hello for Business, Entra ID e le policy di sicurezza dell’intera organizzazione.

Fonti

• Microsoft Learn – Risolvere i problemi relativi al TPM
• Microsoft Learn – BitLocker e TPM: problemi noti
• Microsoft Learn – BitLocker: problemi e troubleshooting
• Microsoft Learn – Domande frequenti su BitLocker
• Microsoft Learn – Windows Hello for Business FAQ
• Microsoft Support – Aggiornamento del firmware del processore di sicurezza TPM
• Microsoft Support – Sicurezza dispositivo in Sicurezza di Windows
• ICT Officine Informatiche Roma – Abilitare TPM 2.0 in diverse versioni di BIOS