Secure Boot (UEFI)

Secure Boot ist der Türsteher deines PCs: keine gültige Signatur, kein Einlass. Inzwischen prüfen manche Spiele, ob der Türsteher Dienst hat.

Kurz gesagt

Secure Boot ist eine Funktion der UEFI-Firmware, die Code vor dem Start prüft: Jedes Programm braucht eine vertrauenswürdige Signatur und Prüfsumme, sonst führt die Firmware es nicht aus [3]. Windows 11 verlangt eine Firmware mit „UEFI, Secure Boot capable“ [2], und Linux-Distributionen wie Debian starten mit eingeschaltetem Secure Boot über einen kleinen, von Microsoft signierten Lader namens shim [3]. Unsere Einschätzung: Lass Secure Boot an und schalte es nur aus, wenn du bewusst unsignierten Code startest und hinnimmst, dass manche Spiele dann nicht mehr starten.

So funktioniert’s

1. Eine Kette von Signaturen. Der PC prüft zu Beginn des Startvorgangs die Signatur der Firmware. Danach prüft Secure Boot die Signatur des Bootloaders und allen Codes, der vor dem Betriebssystem läuft, gegen die Secure-Boot-Richtlinie [1]. Unter Windows setzt Trusted Boot die Kette fort: Der Bootloader prüft den Kernel, und der Kernel prüft Starttreiber und den Early-Launch-Antimalware-Treiber [1].
2. Schlüsseldatenbanken in der Firmware. Die Firmware hält vertrauenswürdige Zertifikate in Datenbanken. Der KEK signiert Änderungen an DB und DBX, die DB enthält die Zertifikate, die Startcode signieren dürfen, und die DBX listet widerrufene Signaturen [4]. Die meiste x86-Hardware kommt mit vorinstallierten Microsoft-Schlüsseln [3].
3. Linux über shim. Seit Debian 10 nutzt Debian shim, das von Microsoft signiert ist und Debians eigene Schlüssel enthält, sodass Debian Kernel und GRUB selbst signieren kann [3]. Eigene Machine Owner Keys (MOK) fügst du mit mokutil hinzu; Änderungen musst du beim nächsten Start an der Konsole bestätigen, damit Schadsoftware nicht heimlich einen Schlüssel einträgt [3].
4. Lockdown und Treiber. Mit Secure Boot läuft der Linux-Kernel im Lockdown-Modus und lehnt Kernelmodule ab, die nicht mit einem vertrauenswürdigen Schlüssel signiert sind. Treiber, die DKMS auf deinem Rechner baut, müssen mit einem eingetragenen MOK signiert sein [3].
5. Zertifikate sind abgelaufen. Microsofts Secure-Boot-Zertifikate von 2011 sind 2026 abgelaufen: die KEK CA 2011 am 24. Juni, die UEFI CA 2011 am 27. Juni und die Windows Production PCA 2011 am 19. Oktober [4]. Geräte ohne die neueren Zertifikate von 2023 starten weiter, bekommen aber keine neuen Schutzmaßnahmen für den frühen Startvorgang mehr [4]. Seit April 2026 zeigt die App Windows-Sicherheit den Stand unter Gerätesicherheit, Secure Boot [5].
6. Spiele verlangen es. EA setzt Secure Boot voraus, um Battlefield 6 am PC zu spielen, und nutzt es zusammen mit Funktionen wie dem TPM gegen Cheats auf Kernel-Ebene und Rootkits [7]. Laut EA verlangen einige seiner Spiele Secure Boot für den Anti-Cheat Javelin [6].

Ein Praxisbeispiel

Ein Spiel meldet, dass Secure Boot aus ist. Du drückst Windows+R, startest msinfo32 und öffnest die Systemübersicht: Der BIOS-Modus sollte UEFI zeigen und der Secure-Boot-Status (in der englischen Oberfläche „Secure Boot State“) auf „On“ stehen [6]. Steht beim BIOS-Modus „Legacy“, muss die Windows-Platte GPT statt MBR nutzen; EA beschreibt die Umwandlung mit mbr2gpt [6]. Danach schaltest du Secure Boot in den UEFI-Einstellungen ein, mit dem Betriebssystemtyp „Windows UEFI mode“ [6]. Bei einem Dual-Boot mit Debian und einem DKMS-Treiber trägst du den erzeugten Schlüssel ein, statt Secure Boot abzuschalten, und bestätigst ihn beim nächsten Start [3]:

sudo mokutil --import /var/lib/dkms/mok.pub

Das ist ein allgemeiner Ablauf und kein Bericht von unserer eigenen Hardware.

Prüfliste

• Prüfe BIOS-Modus und Secure-Boot-Status in msinfo32 [6].
• Wandle eine MBR-Systemplatte in GPT um, bevor du die Firmware auf UEFI umstellst [6].
• Lies den Secure-Boot-Hinweis unter Gerätesicherheit in Windows-Sicherheit, nicht nur das grüne Häkchen [5].
• Frag beim PC- oder Board-Hersteller nach einem Firmware-Update, wenn Windows meldet, dass das Zertifikats-Update blockiert ist [5].
• Trage unter Linux für DKMS-Treiber einen MOK ein, statt Secure Boot abzuschalten [3].
• Lies das Handbuch deines Boards, bevor du Firmware-Einstellungen änderst; EA warnt, dass falsche Einstellungen den Start verhindern können [6].