- Secure Boot blockiert Bootloader ohne gültige Signatur oder solche, die vom UEFI nicht erkannt werden.
- Windows 7 Wird nicht unterstützt; Neuinstallation und Dual-Boot können Probleme verursachen.
- Die Deaktivierung ist eine vorübergehende Erleichterung; die wirkliche Lösung besteht darin, zu signieren oder die richtigen Schlüssel zu verwenden.
- Wenn die Überprüfung dennoch fehlschlägt, stellen Sie die Werkseinstellungen wieder her und wenden Sie sich an den Hersteller.
Wenn die Meldung „Sicherheitsverletzung beim Systemstart“ erscheint und Ihr Computer auf diesem Bildschirm hängen bleibt, keine Sorge: Sie sind nicht allein. Diese Meldung wird vor dem Laden des Betriebssystems angezeigt und hängt üblicherweise damit zusammen, wie das BIOS/UEFI die digitalen Signaturen der Bootloader überprüft.
Bei vielen Computern, insbesondere solchen von Herstellern wie ASUS, ist Microsofts Secure-Boot-Überprüfung standardmäßig aktiviert, um vor Malware und Bootkits zu schützen. Das Problem tritt auf, wenn die vom UEFI erwarteten Schlüssel oder Signaturen nicht mit denen des Bootloaders übereinstimmen, der versucht, Ihr Windows- oder Linux-System zu starten . Dies führt zur Sicherheitsblockierung.
Was ist Secure Boot und warum wird diese Meldung angezeigt?
Secure Boot ist eine UEFI-Funktion, die sicherstellt, dass nur Software gestartet werden kann, die von vertrauenswürdigen Stellen (Microsoft, Hersteller oder dem Benutzer) signiert ist. Beim Systemstart vergleicht UEFI die Signatur des Bootloaders mit einer Datenbank autorisierter Schlüssel . Wird eine unerwartete Signatur festgestellt, wird der Vorgang abgebrochen und es kommt zu einer Secure-Boot-Verletzung.
Es gibt typische Szenarien, die dies verursachen. Beispielsweise kann es bei Computern mit Windows 8.1, 10 oder 11 nach einer Neuinstallation des Systems, einem Editionswechsel oder der Installation eines anderen Betriebssystems als des vorinstallierten dazu kommen, dass die Bootloader-Schlüssel nicht mehr mit den vom UEFI registrierten Schlüsseln übereinstimmen. Dies reicht aus, um die Überprüfung fehlschlagen zu lassen und den Vorgang zu verhindern.
Ein weiterer klassischer Fall betrifft Windows 7: Dieses System ist nicht mit Secure Boot kompatibel. Nach bestimmten Updates, wie beispielsweise KB3133977, traten Startfehler auf, da das UEFI eine Signatur erwartet, die Windows 7 nicht bereitstellen kann, wodurch die Überprüfung ungültig wird.
Bei Nutzern, die von einer Linux- oder Dual-Boot-Umgebung kommen, ist ein Absturz noch wahrscheinlicher. Installationen mit GRUB, benutzerdefinierten Kerneln oder unsignierten Bootloadern können den Absturz auslösen, insbesondere beim erneuten Aktivieren von Secure Boot nach dessen Deaktivierung für die Installation.
Häufige Symptome und Meldungen
Die häufigste Warnung lautet „Verletzung der Secure-Boot-Richtlinie“. Auf vielen Geräten wird eine Unterüberschrift wie „Ungültige Signatur erkannt. Überprüfen Sie die Secure-Boot-Richtlinie im Setup“ angezeigt . Kurz gesagt: Das UEFI teilt Ihnen mit, dass die Signatur des auszuführenden Bootloaders nicht mit der Secure-Boot-Richtlinie übereinstimmt und dass Sie die Firmware-Einstellungen überprüfen sollten.
Manchmal erscheint die Meldung ohne weitere Informationen; in anderen Fällen werden allgemeine Anweisungen zum Aufrufen des BIOS/UEFI angezeigt oder ein Neustart erzwungen. Lässt sich der Computer nach Deaktivierung von Secure Boot sowohl unter Windows als auch unter Linux normal starten , ist die Ursache bestätigt: Es handelt sich um ein Problem mit Signaturen oder Verifizierungsrichtlinien, nicht um ein Hardwareproblem.
So greifen Sie auf das BIOS/UEFI zu, um Einstellungen zu ändern
Bei ASUS-Computern (und vielen anderen) können Sie die Firmware-Einstellungen über eine bestimmte Tastenkombination aufrufen. Schalten Sie den Computer aus, halten Sie die Taste F2 (oder Entf) gedrückt und drücken Sie gleichzeitig den Ein-/Ausschalter . Lassen Sie die Taste erst los, wenn der BIOS/UEFI-Bildschirm erscheint.
Sobald Sie im Menü sind, können Sie mit den Pfeiltasten und der Eingabetaste navigieren oder, falls Ihr UEFI dies zulässt, mit dem Touchpad oder der Maus . Suchen Sie die Abschnitte zu „Boot“ oder „Sicherheit“, wo sich üblicherweise die Einstellungen für den sicheren Start befinden.
Änderungen speichern Sie am schnellsten, indem Sie F10 drücken und bestätigen. Nach der Bestätigung startet der Computer neu und die Änderungen werden angewendet . Sollten Sie mit einer Einstellung nicht zufrieden sein, können Sie diese jederzeit auf demselben Weg rückgängig machen.
Ändern der Secure Boot-Einstellungen: Methode 1 (Registerkarte „Boot“)
Bei vielen ASUS-Computern lässt sich die Überprüfung einfach deaktivieren, indem man den Betriebssystemtyp ändert. Gehen Sie zum Reiter „Start“ und suchen Sie nach der Option „Sicherer Start“ . Dort finden Sie eine Einstellung ähnlich dem „Betriebssystemtyp“.
Wählen Sie diese Einstellung und anstelle der Option für Windows im UEFI-Modus die Option „Anderes Betriebssystem“. Dadurch wird Secure Boot deaktiviert und der Computer kann weiterhin unsignierte Bootloader oder Bootloader mit Signaturen verwenden, die von der UEFI-Datenbank nicht erkannt werden.
Es ist wichtig zu beachten, dass beim Aktivieren des Windows-UEFI-Modus Secure Boot erneut aktiviert wird . Dieser Modus erfordert, dass der Bootloader von einer von UEFI anerkannten Zertifizierungsstelle signiert ist (in der Regel Microsoft und die Schlüssel des Herstellers). Erfüllt Ihr System diese Anforderung nicht, wird die Sicherheitsverletzung erneut gemeldet.
Nachdem Sie die Änderung vorgenommen haben, speichern Sie sie mit F10, bestätigen Sie die Änderungen und starten Sie den Computer neu. Startet das System anschließend wieder normal, haben Sie das Problem auf der Verifizierungsebene eingegrenzt . Sie können nun mit deaktiviertem Secure Boot weiterarbeiten oder es später wieder aktivieren.
Ändern der Secure Boot-Einstellungen: Methode 2 (Registerkarte „Sicherheit“)
Eine weitere gängige Methode hierfür ist der Zugriff auf den Reiter „Sicherheit“. Navigieren Sie zu „Sicherheit“ und suchen Sie nach „Sicherer Systemstart“. In diesem Menü finden Sie die Option „Sicherer Systemstart“ (oder „Sicherheitsstartmenü“, je nach Übersetzung) und ändern Sie diese auf „Deaktiviert“.
Die genaue Bezeichnung kann je nach Modell und Firmware-Version variieren, das Prinzip ist jedoch dasselbe: Deaktivieren Sie Secure Boot Control, damit das UEFI den Bootloader nicht blockiert . Drücken Sie anschließend F10 zum Speichern und Bestätigen. Der Computer wird neu gestartet, um die neue Richtlinie anzuwenden.
Bei Computern anderer Hersteller kann der Pfad leicht abweichen. Auf Mainboards anderer Hersteller befindet sich „Secure Boot“ möglicherweise unter Einstellungen, Start, Sicherheit oder Authentifizierung . Wichtig ist, den Schalter und die zugehörige Tastatur für Secure Boot zu finden.
Denken Sie daran, dass Sie die Einstellung jederzeit rückgängig machen und Secure Boot wieder aktivieren können, sobald Sie signierte Bootloader oder eine kompatible Konfiguration bereit haben. Die vorübergehende Deaktivierung hilft Ihnen, wieder Zugriff zu erhalten, aber der zusätzliche Schutz von Secure Boot wird empfohlen, sobald alles ordnungsgemäß funktioniert.
Der typische Fall eines Dual-Boots mit Windows und Arch Linux
Ein praktisches Beispiel: Nachdem ich einer Anleitung gefolgt war, um Arch Linux parallel zu Windows zu installieren und Secure Boot während der Installation deaktiviert hatte, erschien beim erneuten Aktivieren die Warnung „Secure-Boot-Verletzung: Ungültige Signatur; überprüfen Sie die Richtlinie in den Einstellungen“. In diesem Fall starten beide Systeme problemlos , solange Secure Boot deaktiviert ist. Ist es jedoch aktiviert, stürzt der Installationsprozess ab.
Dies geschieht, weil GRUB, der Linux-Kernel oder die Boot-Zeichenkette – sofern nicht anders konfiguriert – keine von UEFI akzeptierte Signatur besitzen . Auf Mainboards wie dem Gigabyte B650M wird beim erneuten Aktivieren von Secure Boot die Signatur des Linux-Bootloaders nicht anhand der Datenbankschlüssel überprüft, was zu einem Verstoß führt.
Was können Sie tun, wenn Sie Secure Boot in einem Dual-Boot-System aktiv halten möchten? In der Linux-Welt haben Sie zwei Hauptoptionen: Verwenden Sie die von Microsofts Drittanbieter-CA signierte „Shim“-Zeichenkette (sofern Ihre Distribution dies anbietet) oder signieren Sie den Bootloader und den Kernel selbst und registrieren Sie Ihren Schlüssel (MOK/KEK) im UEFI.
Bei Distributionen, die „Shim“ unterstützen (z. B. viele auf Debian/Ubuntu und Fedora basierende), installieren Sie einfach die signierten Shim- und GRUB-Pakete und stellen Sie sicher, dass in Ihrem UEFI die Option „Microsoft UEFI-Zertifizierungsstelle von Drittanbietern“ aktiviert ist . Beim ersten Start werden Sie aufgefordert, den Besitzerschlüssel (MOK) zu registrieren; bestätigen Sie dies, starten Sie das System neu, und die Überprüfung sollte anschließend erfolgreich sein.
Unter Arch Linux, wo dies oft dem Benutzer überlassen wird, können Sie Ihre Binärdateien mit Tools wie sbctl oder sbsigntools signieren. Der Prozess umfasst das Generieren Ihres Schlüsselpaares, das Signieren des Bootloaders (z. B. GRUB oder systemd-boot) und des Kernel-/EFI-Stubs sowie das Eingeben Ihres öffentlichen Schlüssels in das UEFI (über den MOK Manager oder direkt, je nach gewählter Methode). Anschließend kann Secure Boot Ihre Bootkette validieren.
Wenn Sie bereits versucht haben, die Werksschlüssel im UEFI wiederherzustellen, und dies nicht funktioniert hat, ist das ein Zeichen dafür, dass es nicht ausreicht, die PK/KEK/DB/DBX-Datenbanken einfach in ihren ursprünglichen Zustand zurückzusetzen ; Sie benötigen außerdem, dass der Loader, den Sie verwenden möchten, mit einem dieser vertrauenswürdigen Schlüssel signiert ist, oder Sie müssen einen neuen registrieren, der Ihre Binärdatei legitimiert.
Herstellerangaben: ASUS und Gigabyte
Bei ASUS-Geräten gibt es neben den bereits erwähnten Pfaden eine wichtige Besonderheit: Die Einstellung „Windows UEFI“ entspricht aktiviertem Secure Boot , „Anderes Betriebssystem“ hingegen deaktiviertem Secure Boot. Nach einer Neuinstallation von Windows oder einem Editionswechsel kann eine Diskrepanz der Tastaturbelegung den Start im abgesicherten Modus verhindern, bis die Belegung korrigiert ist.
Auf Gigabyte-Mainboards (z. B. B650M) befindet sich das Menü für sicheren Start üblicherweise unter Einstellungen oder Sicherheit. Dort gibt es ein Untermenü für die Signaturprüfung und Schlüsselverwaltung. Stellen Sie sicher, dass der Modus auf „Standard“ oder „Benutzerdefiniert“ eingestellt ist, je nachdem, ob Sie nur die Werksschlüssel oder Ihre eigenen verwenden . Wenn Sie Shims und Signaturen von Drittanbietern verwenden, aktivieren Sie „Microsoft UEFI-Zertifizierungsstelle von Drittanbietern“, sofern Ihre Firmware diese Option bereitstellt.
Löschen Sie die DBX-Datei (Liste der widerrufenen Binärdateien) nicht, da diese dazu dient, anfällige oder kompromittierte Loader zu blockieren . Falls Sie sie bereinigen müssen, führen Sie einfach einen „Auf Werkseinstellungen zurücksetzen“ durch, um PK/KEK/DB/DBX in ihren ursprünglichen Zustand zurückzusetzen, und versuchen Sie es anschließend erneut mit einem ordnungsgemäß signierten Loader.
Gigabyte ermöglicht es Ihnen außerdem, Secure Boot global zu deaktivieren, falls Sie nur während der Anpassung Ihrer Boot-Kette wieder Zugriff benötigen. Deaktivieren Sie Secure Boot, starten Sie das System neu, erstellen Sie die Bootloader-Signatur und aktivieren Sie es anschließend wieder, um den Schutz aufrechtzuerhalten.
Wann Sie Secure Boot deaktivieren sollten und welche Risiken bestehen, wenn Sie es nicht deaktivieren
Das Deaktivieren von Secure Boot ist eine praktische Lösung, um den Systemstart sofort wiederherzustellen oder während der Konfiguration eines Dual-Boot-Systems. Allerdings verlieren Sie dadurch eine wichtige Sicherheitsebene auf Firmware-Ebene , die Angriffe abwehrt, die vor dem Betriebssystem geladen werden.
Wenn Sie die Funktion dauerhaft deaktiviert lassen, sollten Sie andere Sicherheitsmaßnahmen verstärken: Festplattenverschlüsselung, Passwortschutz im UEFI und bewährte Update-Praktiken . Sobald Ihr Bootloader und Kernel ordnungsgemäß signiert sind, empfiehlt es sich, die Funktion wieder zu aktivieren.
In Unternehmensumgebungen oder öffentlich zugänglichen Systemen empfiehlt es sich, Secure Boot aktiviert zu lassen und Bootketten zu verwenden, die mit vertrauenswürdigen Schlüsseln signiert sind . Unternehmensdistributionen enthalten in der Regel alles, was für die Verwendung mit Microsofts Drittanbieter-Zertifizierungsstelle erforderlich ist.
Bei Heimcomputern, auf denen ausschließlich Windows installiert ist und der Bootvorgang nicht verändert wurde, führt eine Neuinstallation von Windows im UEFI-Modus in der Regel zur Angleichung der Tasten und zur Behebung von Überprüfungsfehlern, vorausgesetzt, es wurden keine ungewöhnlichen Firmware-Änderungen vorgenommen.
Wenn nichts funktioniert: Schlüssel zurücksetzen, Richtlinien überprüfen und um Hilfe bitten.
Sollte die Verletzung weiterhin auftreten, obwohl ansonsten alles in Ordnung zu sein scheint, rufen Sie die UEFI-Einstellungen auf und suchen Sie nach der Option „Auf Werkseinstellungen zurücksetzen“ oder einer ähnlichen Option, um PK, KEK, DB und DBX zurückzusetzen. Versuchen Sie nach dem Zurücksetzen die Verwendung eines signierten und kompatiblen Bootloaders . Funktioniert dieser unter Windows, aber nicht unter Linux, müssen Sie die Signaturkette unter Linux vervollständigen.
Eine weitere Möglichkeit besteht darin, die genaue Richtlinie Ihrer Firmware zu überprüfen: Manche Geräte unterscheiden zwischen dem „Standardmodus“ (nur Herstellerschlüssel) und dem „Benutzermodus“ (in dem Sie Ihre eigenen Schlüssel hinzufügen können). Wenn Sie Ihre eigenen Signaturen verwenden möchten, aktivieren Sie den benutzerdefinierten Modus und fügen Sie Ihren MOK oder Ihr Zertifikat der Datenbank der zulässigen Signaturen hinzu.
Wenn die Situation auf ein Firmware-Problem hindeutet (z. B. unerwartete Abstürze, sich selbst zurücksetzende Einstellungen oder die Unfähigkeit, Tastendrücke zu speichern), wenden Sie sich an den Support Ihres Computer- oder Mainboard-Herstellers . Im Fall von ASUS kann Ihnen das Kundensupport-Center bei den für Ihr Modell spezifischen Schritten helfen.
Wenn Sie sich nur für die Windows -Systemwiederherstellungsoptionen ( Wiederherstellung, Datenrettung oder Reparatur) interessieren, sollten Sie die erweiterten Wiederherstellungsfunktionen von Microsoft in Betracht ziehen. Diese Tools können helfen, wenn das Problem im Betriebssystem liegt . Beachten Sie jedoch, dass eine Secure-Boot-Verletzung ihren Ursprung in der Firmware hat.
Best Practices zur Vermeidung künftiger Secure Boot-Verstöße
Bevor Sie Windows neu installieren oder die Edition ändern, vergewissern Sie sich, dass Sie dies im UEFI-Modus mit einer GPT-Partition durchführen und vermeiden Sie die gleichzeitige Verwendung von Legacy-/CSM- und UEFI-Modi. Je konsistenter Firmware und System sind, desto geringer ist die Wahrscheinlichkeit von Signaturkonflikten.
Wenn Sie Linux verwenden, prüfen Sie, ob Ihre Distribution signierte Shim-Pakete und Bootloader anbietet. Bei benutzerdefinierten Kerneln sollten Sie die Schlüssel signieren und registrieren, damit UEFI sie validieren kann, ohne den Startvorgang zu blockieren.
Aktualisieren Sie Ihr UEFI/BIOS auf die neueste stabile Version, sobald der Hersteller dies empfiehlt, da häufig Verbesserungen und Kompatibilitätskorrekturen für Secure Boot enthalten sind . Führen Sie die Aktualisierung jedoch immer bei eingeschaltetem Computer durch und befolgen Sie die Anweisungen genau.
Vermeiden Sie drastische Änderungen an der Tastatur, es sei denn, diese sind unbedingt erforderlich. Ein einfacher Werksreset ist sicherer als das Löschen der DBX-Datei oder das planlose Ändern der PK/KEK-Dateien . Ein Fehler in diesen Datenbanken kann dazu führen, dass die Firmware nahezu alle Befehle ablehnt und die Wiederherstellung erheblich erschwert.
Spezielle Hinweise zu Windows 7, Windows 8.1/10/11 und Secure Boot
Windows 7 unterstützt Secure Boot nicht. Bei der Installation auf Computern mit aktiviertem Secure Boot schlägt die Überprüfung wahrscheinlich fehl. Bestimmte Updates, wie beispielsweise KB3133977, haben diese Inkompatibilität verdeutlicht und zu Startfehlern geführt, wenn UEFI gültige Signaturen erfordert.
In Windows 8.1, 10 und 11 ist Unterstützung vorhanden, jedoch gibt es einige Besonderheiten: Neuinstallationen, Editionswechsel oder Installationen, die von der mit dem Computer gelieferten Version abweichen, können zu Diskrepanzen führen, bis der Loader und die Schlüssel erneut synchronisiert sind.
Wenn Sie den Windows-Bootloader reparieren müssen, können Sie die Wiederherstellungsumgebung verwenden, um den BCD neu zu erstellen oder den Bootmanager neu zu installieren. Beachten Sie dabei stets Secure Boot: Wenn Sie Secure Boot aktiviert lassen, verwenden Sie unbedingt offizielle, signierte Installationsmedien, um weitere Kontosperrungen zu vermeiden.
Sollte alles andere fehlschlagen, hilft in der Regel die Neuinstallation von Windows im UEFI-Modus, wobei der Installer den signierten Bootloader neu konfigurieren kann. Anschließend können Sie, falls gewünscht, Linux mit einer kompatiblen Bootkette hinzufügen .
Falls Sie die Funktion deaktivieren müssen: Gehen Sie zu „Start“ oder „Sicherheit“, suchen Sie nach „Sicherer Start“ oder „Sicherer Start – Steuerung“ und stellen Sie diese auf „Deaktiviert“ oder ändern Sie den „Betriebssystemtyp“ auf „Anderes Betriebssystem“. Speichern Sie die Einstellungen mit F10 und versuchen Sie, das System zu starten.
Falls Sie diese Funktion aktivieren müssen: Wählen Sie „Windows UEFI“ oder aktivieren Sie „Secure Boot Control“. Stellen Sie sicher, dass Ihr Bootloader signiert ist und die Keybase (DB) diese Signatur erkennt (unabhängig davon, ob sie von Microsoft, dem Hersteller oder Ihrer eigenen stammt).
Wenn Sie Linux mit Shim verwenden: Aktivieren Sie die Microsoft-Zertifizierungsstelle (falls verfügbar) und registrieren Sie Ihren MOK beim ersten Start, wenn Sie dazu aufgefordert werden . Wenn Sie Ihre Binärdateien signieren, fügen Sie Ihren öffentlichen Schlüssel der Datenbank oder über den MOK Manager hinzu.
Sollte nach dem Ändern der Schlüssel ein Problem auftreten: Setzen Sie die PK/KEK/DB/DBX-Schlüssel auf die Werkseinstellungen zurück und versuchen Sie es erneut mit einem offiziell signierten Bootloader. Besteht das Problem weiterhin, wenden Sie sich bitte an den Support des Herstellers.
Die berüchtigte „Secure Boot Violation“ muss kein Ausweg sein: Wenn Sie wissen, was das UEFI prüft und wie Sie die richtigen Signaturen einfügen, können Sie den Bootvorgang sicher wiederherstellen, ohne auf Schutz verzichten zu müssen – egal, ob Sie nur Windows verwenden oder im Dual-Boot-Modus mit Linux koexistieren.
Leidenschaftlicher Autor über die Welt der Bytes und der Technologie im Allgemeinen. Ich liebe es, mein Wissen durch Schreiben zu teilen, und genau das werde ich in diesem Blog tun und Ihnen die interessantesten Dinge über Gadgets, Software, Hardware, technologische Trends und mehr zeigen. Mein Ziel ist es, Ihnen dabei zu helfen, sich auf einfache und unterhaltsame Weise in der digitalen Welt zurechtzufinden.