Secure Boot en TPM 2.0 voor anti-cheat (VALORANT, FACEIT): controleren en inschakelen

Controleer TPM 2.0 en Secure Boot in msinfo32 en tpm.msc, bewaar je BitLocker-herstelsleutel, converteer een MBR-systeemschijf en schakel daarna de firmware-TPM en Secure Boot in via de firmware-instellingen van de pc. Daar vragen VAN 9001 en VAN 9003 van VALORANT, de Secure Boot-fout van Battlefield 6, "Failed Attestation Status" van Call of Duty en de fouten van FACEIT om.

Microsoft merkt op dat de meeste moederborden uit de winkel voor zelfgebouwde pc's met de TPM uitgeschakeld worden geleverd, "even though it is almost always available to be enabled", dus controleer het voordat je iets koopt. De valkuilen onderweg zijn BitLocker en een MBR-systeemschijf. Meldt FACEIT in plaats daarvan ontbrekende Windows-beveiligingsupdates of een verboden PawnIO-stuurprogramma, dan gaat het niet om een firmware-instelling; beide staan verderop.

Waarom vragen anti-cheats om TPM 2.0 en Secure Boot?

Zo kan de anti-cheat erop vertrouwen dat de pc schoon is opgestart. Secure Boot, in Windows Beveiligd opstarten genoemd, is volgens Microsoft een functie "waarmee wordt voorkomen dat schadelijke software wordt geladen wanneer een Windows-pc wordt opgestart", en werkt "door alleen vertrouwde, digitaal ondertekende software uit te voeren tijdens het opstartproces". Het doelwit zijn rootkits: Microsoft zegt dat die vóór het besturingssysteem starten, waardoor ze zich volledig kunnen verbergen.

De TPM maakt daar bewijs van. FACEIT legt uit dat het een "Measured Boot" uitvoert, waarbij een vingerafdruk van elk onderdeel in de opstartketen wordt vastgelegd, en de anti-cheat een ondertekend rapport kan geven, attestatie genoemd, dat het opstarten schoon was. FACEIT stelt ook: "TPM and Secure Boot do not impact performance".

Welke games vereisen TPM 2.0 en Secure Boot?

In oktober 2026 vragen deze games en platforms erom:

Windows 11 vraagt alleen om een pc die "Secure Boot capable" is, niet om Secure Boot dat aan staat.

Hoe controleer ik of TPM 2.0 en Secure Boot aan staan?

Systeeminformatie. Druk op Windows + R, typ msinfo32, druk op Enter en lees BIOS-modus en Status beveiligd opstarten. De handleiding van Riot leest ze zo:

TPM-beheer. Voer tpm.msc uit: je wilt De TPM is klaar voor gebruik zien, en een Specificatieversie van 2.0 onder Informatie over TPM-leverancier. Microsoft leest de melding Kan geen compatibele TPM vinden als een TPM die mogelijk is uitgeschakeld.

Windows-beveiliging. Onder Apparaatbeveiliging > Details beveiligingsprocessor wil FACEIT dat Verklaring en Opslag allebei Gereed zijn. Wordt er helemaal geen Beveiligingsprocessor weergegeven, dan is volgens Microsoft de kans groot dat er geen TPM is of dat die in de firmware is uitgeschakeld.

Op een Legacy-pc toont Schijfbeheer de Partitiestijl van de Windows-schijf: klik in het onderste deelvenster met de rechtermuisknop op het nummer van die schijf, zoals Schijf 0, en kies dan Eigenschappen > Volumes.

w0a leest de zes vereisten en laat zien waar elke schakelaar zit; Lage FPS en gestotter in CS2 behandelt de lijst.

Voordat je iets verandert: BitLocker

BitLocker beschermt de schijf tegen "data theft or exposure from lost, stolen, or inappropriately decommissioned devices", en wijzigingen in hoe de pc opstart, kunnen ervoor zorgen dat het om de herstelsleutel van 48 cijfers vraagt. Onder de triggers die Microsoft noemt, vallen het wissen van de TPM, wijzigingen aan de opstartbeheerder en de partitietabel, en "a BIOS or UEFI firmware upgrade", dus verschillende stappen hieronder staan op die lijst. Apparaatversleuteling, de automatische vorm van BitLocker, kan zichzelf volgens Microsoft inschakelen zodra een pc in aanmerking komt, bijvoorbeeld doordat je Secure Boot inschakelt.

1. Zoek vóór de eerste herstart naar de firmware je herstelsleutel op en bewaar die buiten deze pc. Voor een Microsoft-account verwijst de pagina van Microsoft naar aka.ms/myrecoverykey; "Microsoft Ondersteuning beschikt niet over de mogelijkheid om een verloren BitLocker-herstelsleutel op te halen, op te geven of opnieuw te maken."
2. Toont Configuratiescherm > BitLocker-stationsversleuteling de schijf als beveiligd, selecteer dan vóór elke herstart naar de firmware Beveiliging uitstellen. De schijf blijft versleuteld, maar de sleutel ervan ligt onbeschermd klaar tot de beveiliging bij de volgende herstart automatisch wordt hervat.

Hoe schakel ik TPM 2.0 en Secure Boot in?

Zes stappen, in deze volgorde:

1. Is de schijf MBR, converteer hem dan eerst, vanuit Windows. Riot: "If you switch your BIOS to UEFI without converting your drive first, Windows will not boot." MBR2GPT van Microsoft converteert de systeemschijf "without modifying or deleting data on the disk", maar de uitvoer ervan waarschuwt "These changes cannot be undone!", dus maak eerst een back-up en zorg dat de pc UEFI ondersteunt. Op een versleutelde schijf moet BitLocker voor MBR2GPT onderbroken zijn en moeten de sleutelbeschermers achteraf opnieuw worden aangemaakt; Riot en Activision vragen in plaats daarvan de versleuteling uit te zetten, waardoor de schijf onbeschermd is tot die weer aan staat. Voer in een als administrator geopende opdrachtprompt mbr2gpt /validate /allowFullOS uit, daarna, als dat slaagt, mbr2gpt /convert /allowFullOS, en ga direct naar de firmware.
2. Open de firmware-instellingen. Ga in Windows 11 naar Instellingen > Systeem > Herstel en selecteer Nu opnieuw opstarten bij Geavanceerde opstartopties (Windows 10: Instellingen > Bijwerken en beveiliging > Herstel), en daarna Problemen oplossen > Geavanceerde opties > Instellingen voor UEFI-firmware > Opnieuw opstarten. Of druk bij het aanzetten op de firmwaretoets; Riot noemt Del, F2 of F10.
3. Opstartmodus UEFI, CSM uit. Waar UEFI en Legacy/CSM allebei kunnen worden ingeschakeld, zegt Microsoft dat je ervoor moet kiezen "dat UEFI de eerste of enige optie is"; Riot en Activision zeggen CSM uit te schakelen als die instelling bestaat.
4. Schakel de firmware-TPM in. Microsoft zegt dat die soms onder Advanced, Security of Trusted Computing staat, met een label als Security Device, Security Device Support, TPM State, AMD fTPM switch, AMD PSP fTPM, Intel PTT of Intel Platform Trust Technology. Voor VAN: RESTRICTION heeft Riot de firmware-TPM nodig, niet alleen een losse module.
5. Zet Secure Boot op Enabled. Op ASUS-borden zegt FACEIT "Windows UEFI Mode" te gebruiken. Is de optie grijs, dan zegt Activision de UEFI-modus te selecteren, op te slaan en de firmware opnieuw te openen; blijft hij grijs, dan is de oplossing van Riot Restore Factory Keys onder Key Management, wat met BitLocker aan "will change your TPM measurements and trigger BitLocker recovery on next boot".
6. Sla op, start Windows en controleer opnieuw. BIOS-modus UEFI, Status beveiligd opstarten Ingeschakeld, TPM gereed op 2.0; EA merkt op dat sommige versies van Windows nog een herstart nodig kunnen hebben.

Waarom zegt de game nee terwijl Secure Boot aan staat?

Vijf bekende gevallen, elk met de oplossing die de bron ervan geeft:

• Oude firmware. Riot: "An old BIOS can report Secure Boot as "enabled" but fail policy checks that Vanguard requires." Installeer de nieuwste BIOS voor precies jouw moederbord, dat msinfo32 noemt onder Basisbordfabrikant en Basisbordproduct.
• AMD TPM-versie 3.*.0.*. Toont tpm.msc AMD met bij Versie een waarde zoals 3.92.0.5, dan wijzen FACEIT en Activision allebei naar een BIOS-update.
• Opstartlussen of crashes na een wijziging. Het advies van FACEIT: draai de laatste firmwarewijziging terug, werk de BIOS bij, en schakel functies daarna een voor een weer in.
• "Secure Boot Violation" of "Invalid Signature Detected". FACEIT zegt dat de Secure Boot-certificaten van het moederbord verouderd zijn, en dat moderne BIOS-updates "the required 2023 Microsoft certificates" meebrengen. De route van FACEIT schakelt Secure Boot alleen uit om op te starten en bij te werken; zolang het uit staat, mist de pc die bescherming, en Microsoft zegt: "We raden u aan Beveiligd opstarten opnieuw in te schakelen zodra het probleem is opgelost."
• "Your system is missing important Windows security updates." Volgens FACEIT mist deze Windows beveiligingspatches die de anti-cheat vereist. Start Windows Update en installeer wat het aanbiedt; komt er niets, dan zijn de volgende stappen van FACEIT het hulpmiddel van Microsoft om naar Windows 11 te upgraden of een handmatige download uit de updategeschiedenis van Microsoft. Heeft een tweakgids de updateservices uitgezet, dan zet de kaart Windows Update van w0a ze terug op de standaardwaarden van Windows; een aangepaste Windows die updates blokkeert, ondersteunt FACEIT niet. Op Windows 10 vereist FACEIT versie 22H2 (build 19045); de ondersteuning is op 14 oktober 2025 beëindigd, dus beveiligingsoplossingen komen nu alleen nog via het programma Extended Security Updates, dat Microsoft tot 12 oktober 2027 aanbiedt. Voldoet de hardware, dan noemt FACEIT de gratis upgrade naar Windows 11 een blijvende oplossing.

Blokkeert FACEIT het PawnIO-stuurprogramma?

De lijst met geblokkeerde stuurprogramma's van FACEIT noemt PawnIO.sys met één aanwijzing: PawnIO bijwerken naar de nieuwste versie. PawnIO is het optionele stuurprogramma dat w0a aanbiedt om de processortemperatuur en de RAM-timings uit te lezen; een standaardinstallatie van w0a laadt geen enkel kernelstuurprogramma. Is een geblokkeerd stuurprogramma geladen, dan start de anti-cheat niet en toont hij de fout "Forbidden driver"; volgens FACEIT blokkeert een herstart dan het stuurprogramma, zodat de anti-cheat kan draaien, en FACEIT raadt aan om stuurprogramma's van de lijst te verwijderen of de software bij te werken als je die nodig hebt. Op één machine draaide PawnIO 2.2.0 naast FACEIT, met gespeelde matches zonder blokkade. Dat is één waarneming, geen garantie: de lijst van FACEIT noemt PawnIO nog steeds.

w0a installeert PawnIO alleen als je erom vraagt en de uitgever bevestigt die Windows heeft geverifieerd, en downloadt altijd de nieuwste release. Vraag je om PawnIO te installeren of te repareren terwijl FACEIT geïnstalleerd is en er een PawnIO ouder dan 2.2.0 aanwezig is, dan waarschuwt w0a eerst en gaat het alleen verder als je akkoord gaat. Om PawnIO te verwijderen, verwijder je het via de lijst met geïnstalleerde apps van Windows; zoals w0a verwijderen beschrijft, haalt het verwijderen van w0a het niet weg.

Verlopen de Secure Boot-certificaten in 2026?

De certificaten van Microsoft waarop Secure Boot steunt, zijn in 2011 uitgegeven en begonnen op 24 juni 2026 te verlopen; het laatste verloopt op 19 oktober. De vervangers uit 2023 komen via Windows Update: voor de meeste gebruikers op ondersteunde Windows-systemen is volgens Microsoft geen actie nodig. Sinds april 2026 rolt Windows-beveiliging een certificaatstatus uit onder Apparaatbeveiliging > Beveiligd opstarten; Microsoft waarschuwt: "Een groen vinkje alleen betekent niet dat uw certificaten zijn bijgewerkt", dus zoek naar de regel die zegt dat alle vereiste certificaatupdates zijn toegepast.

Wat niet helpt

• Secure Boot uitzetten om een waarschuwing het zwijgen op te leggen. Microsoft: "Secure Boot should not be disabled to work around certificate expiration"; het "significantly reduces device protection, removes safeguards against boot-level malware". De games hierboven stoppen dan ook.
• De fTPM van AMD uitzetten tegen haperingen. Riot zegt dat AMD de fTPM-haperingen van vroege Ryzen-systemen in latere BIOS-updates heeft verholpen, en dat je met fTPM uit geen Vanguard-games meer kunt spelen.
• De TPM wissen als eerste oplossing. Dat kan BitLocker-herstel activeren, en Microsoft zegt eerst een back-up van je gegevens te maken.

Veelgestelde vragen

Verlagen TPM 2.0 en Secure Boot je FPS?

Volgens FACEIT niet: de FAQ over de beveiligingsvereisten zegt dat TPM en Secure Boot geen invloed hebben op de prestaties. Riot zegt dat AMD de fTPM-haperingen van vroege Ryzen-systemen in latere BIOS-updates heeft verholpen, en met fTPM uit kun je geen Vanguard-games meer spelen.

Moet ik een TPM 2.0-module kopen?

Controleer eerst de firmware: volgens Microsoft worden de meeste moederborden die in de winkel worden verkocht voor zelfgebouwde pc's geleverd met de TPM uitgeschakeld, terwijl die bijna altijd kan worden ingeschakeld. Voor VAN: RESTRICTION heeft Riot de firmware-TPM nodig, niet alleen een losse module.

Moet Secure Boot aan staan voor Windows 11?

Nee. De vereisten van Windows 11 vragen om firmware die Secure Boot ondersteunt; het zijn de games in de tabel hierboven die het aan willen hebben.

Kan ik mezelf buitensluiten door Secure Boot in te schakelen?

Ja, in twee gevallen. Op een Legacy-pc met een MBR-schijf start Windows volgens Riot niet meer na een overstap naar UEFI als de schijf niet eerst is geconverteerd. Staat BitLocker aan, dan kan de wijziging ervoor zorgen dat het om de herstelsleutel van 48 cijfers vraagt; bewaar die sleutel dus buiten deze pc voor de eerste herstart.

Kan ik FACEIT spelen op Windows 10?

Ja, op versie 22H2 (build 19045) met TPM 2.0, Secure Boot en actuele beveiligingsupdates. Die updates komen nu alleen nog via het programma Extended Security Updates, dat Microsoft tot 12 oktober 2027 aanbiedt; als de hardware geschikt is, noemt FACEIT de gratis upgrade naar Windows 11 een blijvende oplossing.

Gerelateerd

• Lage FPS en gestotter in CS2: een gemeten checklist
• Geheugenintegriteit weer aanzetten
• Resizable BAR en Smart Access Memory: wat het is, hoe je het controleert
• Intel 13e en 14e generatie: crashes in games en de oplossing die telt
• Windows 11-gaminginstellingen die er echt toe doen
• Wat is PawnIO, en blokkeert FACEIT het?