Windows 11: Microsoft kann nicht alle Secure-Boot-Probleme lösen
Microsoft verteilt neue Secure-Boot-Zertifikate für Windows 11. Auf einigen älteren PCs scheitert die Umstellung jedoch an der Firmware - und nicht jedes Problem lässt sich per Windows-Update beheben.
Derzeit verteilt Microsoft neue Secure-Boot-Zertifikate für Windows 11 und Windows 10. Zum Glück erfolgt die Umstellung in der Regel automatisch. Es gibt aber eben auch Fälle, bei denen Probleme auftreten können. Dies gilt vor allem dann, wenn Firmwarebeschränkungen, fehlende BIOS-Updates oder Probleme mit den hinterlegten Schlüsseln die vollständige Aktualisierung verhindern.
Alte Zertifikate laufen seit Juni 2026 aus
Die bisher verwendeten Secure-Boot-Zertifikate wurden 2011 ausgestellt und laufen seit Juni 2026 schrittweise aus. Microsoft ersetzt sie durch Zertifikate aus dem Jahr 2023. Aktualisiert werden müssen unter anderem die Secure-Boot-Datenbank und der Key Exchange Key, kurz KEK.
Secure Boot prüft beim Start des Rechners, ob Bootloader und andere frühe Systemkomponenten mit vertrauenswürdigen Schlüsseln signiert wurden. Dadurch sollen manipulierte oder nicht autorisierte Bestandteile am Start gehindert werden.
Probleme bei HP, Dell und älteren Geräten
Innerhalb einer Fragerunde mit Microsoft und PC-Herstellern sollen in diesem Zusammenhang Administratoren unter anderem über Bitlocker-Wiederherstellungsabfragen, festhängende KEK-Aktualisierungen und widersprüchliche Secure-Boot-Anzeigen geklagt haben. Betroffen seien unter anderem Geräte von HP und Dell. In einzelnen Fällen, sei das Problem sogar so weit, dass der Secure Boot reservierte Speicher innerhalb der Firmware nicht ausreiche. Natürlich stammen die meisten der geschilderten Probleme vor allem aus Unternehmensumgebungen, allerdings sind auch private Systeme auf dieselben Firmware- und BIOS-Komponenten angewiesen.
So lässt sich der Secure-Boot-Status prüfen
Der Stand der Umstellung lässt sich in der Windows-Sicherheits-App kontrollieren. Der entsprechende Bereich befindet sich unter "Windows-Sicherheit", im Menüpunkt "Gerätesicherheit" unter "Sicherer Start". Dort können Sie sich anzeigen lassen, ob die neuen Zertifikate schon installiert wurden, die Aktualisierung noch aussteht oder ob ein BIOS-/UEFI-Update erforderlich ist.
Was passiert, wenn das Update nicht installiert wird?
Wichtig zu erwähnen ist an dieser Stelle, dass ein PC mit alten Zertifikaten seinen Betrieb nicht plötzlich einstellt. Windows sollte weiterhin starten und auch reguläre Windows-Updates weiter installieren. Es fehlt dann allerdings an zukünftigen Secure-Boot-Aktualisierungen, also neuen Freigaben oder Sperrlisten für Komponenten.
Sollten Sie also einen älteren Windows-11-PC nutzen, hat das zunächst keine direkten Folgen fürs Spielen. Fps, Ladezeiten und Stabilität werden durch alte Secure-Boot-Zertifikate nicht beeinflusst. Probleme könnten höchstens bei Spielen mit strengem Anti-Cheat auftreten, wenn diese künftig neue Secure-Boot-Vorgaben verlangen. Solange Secure Boot aktiviert ist und das Spiel normal startet, besteht für Privatanwender aber kein akuter Handlungsbedarf.
Übrigens: Liegt das Problem mit den Secure-Boot-Zertifikaten in der Firmware, ist Microsoft auf den jeweiligen Geräte- oder Mainboard-Hersteller angewiesen. Gibt es für ein älteres System kein passendes BIOS-Update mehr, könnte die vollständige Umstellung dauerhaft ausbleiben.
Mitmachen und kommentieren:
Welche Meldung zeigt Windows beim Secure-Boot-Status Ihres PCs an? Die PCGH-Redaktion freut sich über Ihre fundierte Meinung in den Kommentaren zu dieser Meldung. Sollten Sie noch keinen Extreme-Account haben, laden wir Sie zu einer Registrierung im Forum ein. Beachten Sie beim Kommentieren aber bitte die gültigen Forenregeln. Folgen Sie gerne PCGH bei 🔈 Youtube oder 💬 Whatsapp und erhalten Sie Neuigkeiten zu Grafikkarten, CPUs und Gaming direkt in Ihrem Feed.
Quelle: via Windows Latest
Von mir aus, kein Thema.
Open Source ist das einzig Wahre.
Ich will hier nicht MS verteidigen (denn sie haben sich den Sch*** selbst eingebrockt...) aber bei den Systemen wo es nicht funktioniert liegt es NICHT daran dass Microsoft zu langsam/spät/schlecht/etc. ist sondern meistens einfach daran, dass das BIOS des Boards in seiner vorhandenen Version ein remote-Flashen nicht unterstützt.
Microsoft kann Zertifikate und Updates verteiolen so viel sie wollen, wenn der User auf der anderen Seite ein BIOS benutzt das etliche Jahre alt ist und das einen Zertifikatsflash per Fernupdate technisch schlicht nicht kann hat MS keine Chance.
Dafür muss die verwendete Hardware oder BIOS nicht mal besonders alt sein: Mein Z890-Board von 2024 konnte das mit der installierten frühen BIOS-Version auch nicht, daher gabs bei der Gerätesicherheit Fehlermeldungen. Nach einem BIOS Update hat Windows sofort beim nächsten Boot die Zertifikate reingeflasht und das Thema war durch. Genau dasselbe beim Z790-Board meiner Frau von 2022. Nach nem BIOS-Update liefs sofort, vorher ging nix.
Nur ein milliardenschweres Techunternehmen bekommt es nicht hin das von seinem OS geforderte Zertifikat rechtzeitig für jeden Nutzer zu verteilen.
Muss ich nicht verstehen, brauch ich nicht verstehen, nutze kein System mit Secure Boot.
Weder bei meinen drei Rechner zu Hause, noch auf einem der ganzen Rechner in der Firma.
Also wenn Microsoft irgendetwas verkacken möchte, dann wird es auf jeden Fall eine große Nummer!
Wir diskutieren hier gefühlt ein ganzes Jahr schon drüber, passiert ist bis heute nichts.
Mir geht das Theman mitlerweile vollkommen am Arsch vorbei.
Wenn nichts mehr geht, dann sollen die persönlich vorbeikommen und ihre Fehler beseitigen und das einstellen, oder aber dann ist Linux zu 100% schnell drüberinstalliert.
So einfach geht das! Da muss man ger nicht erst anfangen zu labern.
Es wäre nicht das erste Unternehmen, dass aus dem Nichts im Nichts verschwindet. So wie 3DFX und Konsorten.