Windows 11: Microsoft pausiert Secure-Boot-Zertifikate auf problematischen PCs
Microsoft pausiert die Verteilung neuer Secure-Boot-Zertifikate auf einigen Windows-PCs. Bei den betroffenen Geräten könnten Firmware-Fehler im schlimmsten Fall den Windows-Start verhindern.
Microsoft hat die automatische Aktualisierung der Secure-Boot-Zertifikate auf einer bislang nicht näher bezifferten Gruppe von Windows-PCs vorübergehend ausgesetzt. Windows erkennt bei diesen Geräten bekannte Firmware- oder Plattformprobleme, durch die das Zertifikats-Update fehlschlagen oder im ungünstigsten Fall den Start des Betriebssystems verhindern könnte. Betroffene Nutzer sollen deshalb zunächst auf eine korrigierte Firmware ihres PC- oder Mainboard-Herstellers warten. Die zugrunde liegende Zertifikatsumstellung betrifft neben Windows 11 auch weitere noch unterstützte Windows- und Windows-Server-Versionen.
Ob Windows einen PC bereits einer betroffenen Gerätegruppe zugeordnet hat, kann die Windows-Sicherheits-App unter "Gerätesicherheit" im Bereich "Secure Boot" anzeigen. Erscheint dort der Hinweis, dass Zertifikats-Updates wegen eines bekannten Problems vorübergehend pausiert wurden, sollten Nutzer auf ein Firmware-Update des Geräte- oder Mainboard-Herstellers warten. Das Fehlen dieses Hinweises belegt allerdings nicht in jedem Fall, dass die Umstellung bereits vollständig abgeschlossen ist.
Fehlerhaftes UEFI kann den Windows-Start blockieren
Hintergrund ist der Wechsel von den 2011 ausgestellten Secure-Boot-Zertifikaten auf neue Versionen aus dem Jahr 2023. Diese Vertrauensanker sorgen dafür, dass beim Start nur signierte und zugelassene Boot-Komponenten ausgeführt werden. Rechner ohne aktualisierte Zertifikate funktionieren zunächst weiter und erhalten reguläre Windows-Updates, könnten aber künftige Schutzmaßnahmen für Bootmanager und andere Komponenten vor dem eigentlichen Windows-Start verpassen.
Die Aktualisierung erfordert eine enge Abstimmung zwischen Windows und dem UEFI des jeweiligen Rechners. Microsoft dokumentiert mehrere mögliche Fehlerquellen. Manche Firmware-Versionen überschreiben beim Einspielen eines neuen Zertifikats etwa die vorhandene Secure-Boot-Datenbank, statt den neuen Eintrag korrekt anzuhängen. Wird dabei das bisher benötigte 2011er-Zertifikat entfernt, kann das UEFI den noch damit signierten Windows-Bootmanager ablehnen - der PC startet anschließend nicht mehr.
In anderen Fällen fehlt ein vom Gerätehersteller signierter Key Exchange Key, kurz KEK. Ohne diese Autorisierung darf Windows die betreffende Secure-Boot-Variable nicht aktualisieren. Microsoft kann diese Einschränkung nicht eigenständig umgehen; erforderlich ist eine passende Bereitstellung durch den OEM. Besonders ältere oder bereits aus dem Support gefallene Systeme könnten daher dauerhaft auf dem alten Stand verbleiben.
Nutzer sollten nicht auf eigene Faust eingreifen
Microsoft empfiehlt bei einem angezeigten Kompatibilitätsproblem, zunächst Windows und sämtliche Hersteller-Updates zu installieren. Ein aktuelles BIOS beziehungsweise UEFI kann die notwendige Unterstützung nachliefern. Manuelle Änderungen an Secure-Boot-Schlüsseln oder der Windows-Registry sind für normale Nutzer nicht ratsam, da ein Fehler Bitlocker-Abfragen, Startprobleme oder einen vollständig blockierten Bootvorgang auslösen kann.
PCGH hatte bereits erklärt, wie sich der Zertifikatsstatus über die Windows-Sicherheits-App beziehungsweise Powershell überprüfen lässt. Erscheint dort bereits das Zertifikat "Windows UEFI CA 2023", besteht bezüglich dieses Teils der Umstellung kein Handlungsbedarf. Die vorsorgliche Blockade ist folglich kein allgemeines Scheitern des Secure-Boot-Updates, sondern eine Schutzmaßnahme für bekannte problematische Konfigurationen. Offen bleibt allerdings, wie viele PCs betroffen sind und welche Hersteller zeitnah korrigierte Firmware anbieten werden.
Mitmachen und kommentieren
Haben Sie Probleme mit dem Update? Die PCGH-Redaktion freut sich über Ihre fundierte Meinung in den Kommentaren zu dieser Meldung. Sollten Sie noch keinen Extreme-Account haben, laden wir Sie zu einer Registrierung im Forum ein. Beachten Sie beim Kommentieren aber bitte die gültigen Forenregeln. Folgen Sie gerne PCGH bei 🔈 Youtube oder 💬 Whatsapp und erhalten Sie Neuigkeiten zu Grafikkarten, CPUs und Gaming direkt in Ihrem Feed.
Quellen: Microsoft Support, Microsoft Learn, Windows Latest
