- Secure Boot erfordert UEFI, GPT-Partitionen und gültige Boot-Schlüssel.
- Mit msinfo32 können Sie den BIOS-Modus und den Secure-Boot-Status überprüfen.
- Durch Deaktivieren von CSM und Auswählen von Windows UEFI wird die Signaturprüfung ermöglicht.
- Durch die Verwaltung der Schlüssel (Wiederherstellung der Werkseinstellungen) wird der Status „Nicht aktiv“ behoben.
Nach einem BIOS/UEFI-Update kommt es häufig vor, dass Secure Boot deaktiviert ist, seinen Status ändert oder als „Nicht aktiv“ angezeigt wird. Daher empfiehlt es sich, die Einstellungen zu überprüfen, um Secure Boot wieder ordnungsgemäß zu aktivieren. In diesem Artikel erkläre ich detailliert, wie Sie Secure Boot sicher wieder aktivieren, ohne dabei wichtige Aspekte wie UEFI, GPT, CSM, Boot-Schlüssel, TPM 2.0 und BitLocker zu vernachlässigen.
Bevor Sie irgendetwas ändern, sollten Sie in Windows und der Firmware einige kurze Überprüfungen durchführen. So vermeiden Sie häufige Fehler wie das berüchtigte „Legacy UEFI“ oder Verschlüsselungssperren. Halten Sie Ihren Wiederherstellungsschlüssel bereit, falls Sie BitLocker verwenden , und konsultieren Sie gegebenenfalls die Bedienungsanleitung Ihres Herstellers, da die Menüs je nach Mainboard (ASUS, MSI, Gigabyte, Lenovo, Dell, HP usw.) unterschiedlich sein können.
Was ist Safe Start und warum sollte man es aktivieren?
Secure Boot ist eine Firmware-Schutzschicht, die die kryptografischen Signaturen der beim Systemstart geladenen Software überprüft und so sicherstellt, dass nur signierte und vertrauenswürdige Software ausgeführt wird. Anders ausgedrückt: Sie blockiert die Ausführung nicht autorisierter Bootloader oder Treiber und hilft, Schadsoftware einzudämmen, die versucht, in den Bootvorgang einzudringen.
Neben der Sicherheit beeinflusst die korrekte Konfiguration auch die Stabilität und Kompatibilität mit modernen Systemen. Falls Sie Tools oder Betriebssysteme starten müssen, die diese Überprüfung nicht unterstützen, können Sie sie vorübergehend deaktivieren. Hersteller empfehlen jedoch, Secure Boot – außer in sehr speziellen Fällen – dauerhaft aktiviert zu lassen.
Erste Überprüfungen unter Windows: BIOS-Modus und Secure-Boot-Status
Im ersten Schritt sollten Sie den aktuellen Status Ihres Computers überprüfen. Windows bietet eine Schnellvorschau, um festzustellen, ob Sie sich im UEFI- oder Legacy-Modus (CSM) befinden und ob Secure Boot aktiviert ist. Diese Überprüfung spart Zeit, denn wenn bereits „Aktiviert“ angezeigt wird, ist kein weiteres Vorgehen erforderlich.
- Presse Windows-+ RSchreibt msinfo32 und mit Enter bestätigen. Die Systeminformationen werden geöffnet.
- Suchen Sie die Felder BIOS-Modus y Sicherer Startzustand.
- Wenn im BIOS-Modus UEFI und Secure Boot aktiviert angezeigt werden, müssen Sie keine Änderungen vornehmen. Wenn dort „Deaktiviert“ steht, können Sie Secure Boot aktivieren. Nicht unterstütztIhr Motherboard unterstützt diese Funktion nicht.
- Wenn der BIOS-Modus angezeigt wird Geerbt/CSMSie müssen auf UEFI umstellen, bevor Sie Secure Boot verwenden können.
MBR vs. GPT: Konvertieren Sie die Systemfestplatte gegebenenfalls.
Damit Secure Boot funktioniert, muss Ihre Windows-Installation auf einer Festplatte mit GPT-Partitionierung (GUID-Partitionstabelle) liegen. Wenn Ihre Systemfestplatte im MBR-Format partitioniert ist, sollten Sie sie mithilfe des integrierten Microsoft-Tools in GPT konvertieren. Sichern Sie vorher unbedingt Ihre wichtigen Daten.
Überprüfen Sie den Partitionsstil in der Datenträgerverwaltung: Drücken Sie Windows + X, öffnen Sie die Datenträgerverwaltung, klicken Sie mit der rechten Maustaste auf die Systemfestplatte (nicht nur auf Laufwerk C:) und wählen Sie Eigenschaften > Volumes. Unter Partitionsstil sehen Sie, ob es sich um GPT oder MBR handelt.
Falls Sie eine Konvertierung benötigen, öffnen Sie die Eingabeaufforderung als Verwalter (Stellen Sie sicher, dass das Fenster diese Berechtigungsstufe anzeigt) und bestätigen Sie mit mbr2gpt /validate /disk:0 /allowFullOS (Ersetzen Sie 0 durch die korrekte Datenträgernummer, falls diese nicht übereinstimmt.) Wenn alles korrekt ist, führen Sie das Programm aus. mbr2gpt /convert /disk:0 /allowFullOSNach der Umrüstung kann es erforderlich sein Ändern Sie den Boot-Modus in der Firmware auf UEFI..
Die Vorvalidierung ist entscheidend, da sie unter anderem prüft, ob genügend Speicherplatz für die GPT-Tabellen vorhanden ist und die Partitionsstruktur kompatibel ist. Obwohl das Tool für die direkte Konvertierung konzipiert ist, birgt jede Partitionierungsänderung Risiken. Daher wird empfohlen, vorher eine Datensicherung durchzuführen.
TPM 2.0 und Windows 11: Kurzer Vergleich
Obwohl TPM 2.0 für Secure Boot nicht erforderlich ist, wird es für Windows 11 benötigt. Wenn Sie Windows 11 verwenden, sollten Sie überprüfen, ob der Chip vorhanden und aktiviert ist. Führen Sie tpm.msc aus und prüfen Sie den Status: Wenn dort „Bereit zur Verwendung“ angezeigt wird, ist alles in Ordnung. Andernfalls aktivieren Sie TPM 2.0 im BIOS/UEFI (suchen Sie je nach Hersteller nach TPM, fTPM oder PTT, üblicherweise unter „Sicherheit“ oder „Erweiterte Optionen“).
Bei vielen modernen Geräten ist TPM standardmäßig aktiviert, kann aber nach einem Firmware-Update oder einem Systemreset deaktiviert werden. In der Regel geht man dazu zu Sicherheit > TPM/fTPM/PTT, wählt „ Aktiviert“ und speichert die Änderungen mit F10, bevor man das Menü verlässt, damit die Aktivierung wirksam wird.
So gelangen Sie unter Windows ins BIOS/UEFI: Tasten und Pfad
Um Secure Boot zu aktivieren, müssen Sie auf die Firmware zugreifen. Am häufigsten geschieht dies durch einen Neustart des Computers und wiederholtes Drücken einer Taste während des POST-Vorgangs. Die gängigsten Tasten sind Entf, F2, F10, F12 oder Esc , wobei dies vom Hersteller abhängen kann.
Wenn Sie dies lieber direkt im System durchführen möchten, verwenden Sie die erweiterten Startoptionen. Unter Windows 10 navigieren Sie zu Einstellungen > Update und Sicherheit > Wiederherstellung und klicken unter Erweiterte Startoptionen auf „Jetzt neu starten “. Unter Windows 11 gehen Sie zu Einstellungen > Windows Update > Erweiterte Optionen > Wiederherstellung und wählen unter Erweiterte Startoptionen ebenfalls „Jetzt neu starten“. Nach dem Neustart gehen Sie zu Problembehandlung > Erweiterte Optionen > UEFI-Firmwareeinstellungen und bestätigen die Auswahl.
Bei manchen Laptops (insbesondere Gaming-Laptops) ist es üblich, beim Einschalten nach dem Ausschalten die F2-Taste gedrückt zu halten . Bei manchen Gaming-Laptops kann dies bedeuten, die Leiser-Taste gedrückt zu halten und gleichzeitig den Ein-/Ausschalter zu drücken. Sollte der Laptop beim ersten Startversuch nicht starten, konsultieren Sie bitte das Handbuch Ihres Modells .
Wo sich Secure Boot in der Firmware befindet und was Sie deaktivieren müssen.
Sobald Sie sich im BIOS/UEFI befinden, suchen Sie nach der Option „Secure Boot“. Diese befindet sich möglicherweise in Registerkarten wie „Sicherheit“, „Boot“, „Erweitert“ oder „Authentifizierung “, je nachdem, ob es sich um eine klassische UEFI-Oberfläche, „MyASUS in UEFI“ oder eine Oberfläche eines anderen Herstellers handelt.
Bevor Sie Secure Boot aktivieren, deaktivieren Sie das Kompatibilitätsunterstützungsmodul (CSM) oder den Legacy-Modus. Secure Boot funktioniert nur in reinem UEFI. Wenn CSM aktiviert ist, deaktivieren Sie es. Überprüfen Sie anschließend die Option „Betriebssystemtyp“. Viele Firmwares zeigen „Windows UEFI-Modus“ anstelle von „Anderes Betriebssystem“ an. Um Secure Boot zu aktivieren, wählen Sie „Windows UEFI“.
Wenn CSM deaktiviert und der richtige Betriebssystemtyp ausgewählt ist, suchen Sie den Schalter für Secure Boot (er kann als Secure Boot Control bezeichnet werden). Stellen Sie ihn von „Deaktiviert“ auf „Aktiviert“. Falls die Firmware Sie zur Schlüsselverwaltung auffordert, installieren Sie die Werkseinstellungen oder stellen Sie die Standardschlüssel wieder her. Diese Datenbank ermöglicht die Validierung von Microsoft-signierten Bootloadern.
Änderungen speichern, beenden und unter Windows überprüfen.
Wenn Sie fertig sind, speichern und beenden Sie das Programm. Dies geschieht üblicherweise durch Drücken von F10 und Bestätigen (OK/Akzeptieren/Bestätigen) oder indem Sie im Menü „Speichern und Beenden“ die Option „Änderungen speichern und beenden“ auswählen. Der Computer wird mit den neuen Einstellungen neu gestartet.
Führen Sie unter Windows erneut die msinfo32- Abfrage aus , um zu überprüfen, ob der Secure-Boot-Status nun als „Aktiviert“ angezeigt wird. Sollte weiterhin „Nicht aktiv“ oder „Deaktiviert“ angezeigt werden, fehlen möglicherweise Schlüssel oder CSM ist in der Firmware noch irgendwo aktiviert.
Was zu tun ist, wenn „Nicht aktiv“ angezeigt wird: Tasten zurücksetzen und den entsprechenden Modus erzwingen.
Es gibt Fälle, in denen trotz aktiviertem UEFI und Secure Boot der Status „Nicht aktiv “ anzeigt. Bei modernen Motherboards besteht die typische Lösung darin, Secure Boot zu aktivieren, die Werkseinstellungen wiederherzustellen und die Änderungen anschließend zu speichern.
Auf Laptops, All-in-One-PCs oder Spielekonsolen mit klassischem UEFI: Gehen Sie zu Sicherheit > Sicherer Start und aktivieren Sie die Option „Sicherer Start “. Gehen Sie anschließend zur Schlüsselverwaltung. Verwenden Sie zunächst „Auf Setup-Modus zurücksetzen“, um die Datenbanken zu löschen, bestätigen Sie mit „Ja“ und wählen Sie dann „ Werksschlüssel wiederherstellen “. Speichern Sie die Änderungen (F10) und starten Sie das Gerät neu.
Bei Geräten mit „MyASUS in UEFI“ ist der Vorgang ähnlich: Aktivieren Sie Secure Boot, rufen Sie die Schlüsselverwaltung auf, setzen Sie das Gerät in den Setup-Modus zurück und stellen Sie dann die Schlüssel mit „Werksschlüssel wiederherstellen“ wieder her. Speichern Sie abschließend die Änderungen und starten Sie das Gerät neu, damit der Status aktualisiert wird.
Bei manchen Desktop-Computern muss der Secure-Boot-Modus für die Schlüsselverwaltung auf „Benutzerdefiniert “ umgestellt werden : Öffnen Sie die Schlüsselverwaltung, führen Sie „Secure-Boot-Schlüssel löschen“ aus, bestätigen Sie und wählen Sie anschließend „Standard-Secure-Boot-Schlüssel installieren“. Vergessen Sie nicht, das Fenster mit F10 oder „Änderungen speichern und beenden“ zu schließen, damit der Status gegebenenfalls auf „Benutzer/Aktiv“ wechselt.
Viele UEFI-BIOS-Systeme verfügen über einen Basismodus und einen erweiterten Modus. Falls die oben genannten Optionen nicht angezeigt werden, drücken Sie F7, um in den erweiterten Modus zu gelangen, und überprüfen Sie anschließend erneut die Registerkarten „Sicherheit“ und „Start“. Die Navigation erfolgt je nach System mit den Pfeiltasten und der Eingabetaste oder mit Maus oder Touchpad.
Die Benutzeroberfläche kann je nach Modell und Firmware-Version leicht variieren. Es ist nicht ungewöhnlich, den Pfad unter „Sicherheit > Sicherer Start > Steuerung des sicheren Starts“ oder „ Start > Sicherer Start > Betriebssystemtyp“ zu finden . Das Ziel ist jedoch immer dasselbe: CSM deaktivieren, Windows UEFI auswählen und sicherstellen, dass die Schlüssel für den sicheren Start geladen sind.
BitLocker und Geräteverschlüsselung: Vermeiden Sie Überraschungen beim Neustart
Wenn Sie BitLocker oder Geräteverschlüsselung verwenden, kann die Änderung wichtiger Startparameter (CSM, Secure Boot, TPM) dazu führen, dass Windows beim nächsten Start Ihren Wiederherstellungsschlüssel anfordert . Halten Sie diesen bereit, bevor Sie Änderungen am BIOS/UEFI vornehmen, um eine Aussperrung zu vermeiden.
Wenn Sie die Verschlüsselung vorübergehend deaktivieren möchten, konsultieren Sie bitte zuerst die offiziellen Richtlinien von Microsoft, um Datenverlust zu vermeiden. Auf Firmenrechnern empfiehlt es sich, diese Änderungen mit der IT-Abteilung abzustimmen , um die Richtlinien einzuhalten und die Sicherheit zu gewährleisten.
Alternativer Weg zur Aktivierung von UEFI und zur Konvertierung von Partitionen ohne Neuinstallation
Wenn Sie aus dem Legacy/CSM-Modus kommen und Ihre Festplatte als MBR formatiert ist, ist die sauberste Methode die Konvertierung in GPT mithilfe des entsprechenden Dienstprogramms. mbr2gpt und wechseln Sie dann im BIOS zu UEFI. Vergessen Sie nicht, vorher die Verbindung zu überprüfen. mbr2gpt /validate und dann führe es aus mbr2gpt /convert mit der korrekten Datenträgerkennung.
Ein oft übersehenes Detail: Im Eingabeaufforderungsfenster muss „Administrator“ angezeigt werden . Wenn Sie die Konsole nicht mit erhöhten Rechten ausführen, schlagen die Befehle möglicherweise ohne eindeutige Fehlermeldung fehl, sodass Sie die Schritte wiederholen müssen.
Wann Secure Boot vorübergehend deaktiviert werden sollte
Einige Diagnosetools, Wartungsabbilder und Betriebssysteme funktionieren nicht, wenn die Signaturprüfung aktiviert ist. In diesen Fällen können Sie Secure Boot vorübergehend deaktivieren, die benötigten Anwendungen nutzen und es anschließend wieder aktivieren.
Wenn Sie Linux installieren und im BIOS „Anderes Betriebssystem“ ausgewählt haben, treten häufig Meldungen oder Fehler im Zusammenhang mit dem älteren UEFI auf. Die Lösung besteht in der Regel darin, den UEFI-Modus zu konfigurieren, CSM deaktiviert zu lassen und, falls Sie Windows weiterhin verwenden, zu überprüfen, ob Ihre Systemfestplatte als GPT formatiert ist und die Secure-Boot-Schlüssel geladen sind. In manchen Linux-Szenarien sind signierte Bootloader erforderlich; andernfalls besteht Ihre vorübergehende Lösung darin, mit deaktiviertem Secure Boot zu starten.
Laptops und All-in-One-PCs: Schalten Sie den Computer aus und halten Sie beim Einschalten die Taste F2 gedrückt, um das System-Setup aufzurufen. Wechseln Sie dort mit F7 in den erweiterten Modus , gehen Sie zu Sicherheit > Sicherer Start und passen Sie die Option „Sicherer Start“ an. Falls diese Option nicht angezeigt wird, überprüfen Sie auch den Reiter „Start“, insbesondere den Betriebssystemtyp (Windows UEFI vs. Anderes Betriebssystem).
MyASUS im UEFI: Die Navigation ist sehr ähnlich, nur die Darstellung ändert sich. Gehen Sie zu Erweiterte Einstellungen, dann zu Sicherheit > Sicherer Start und aktivieren Sie die Option „Schlüssel steuern und verwalten“ unter Schlüsselverwaltung, falls der Status weiterhin „Nicht aktiv“ lautet. Speichern Sie die Einstellungen anschließend mit F10.
Desktop-Computer: Bei einigen Modellen drücken Sie die Entf-Taste . Gehen Sie zu „Start“ > „Sicherer Start“ und stellen Sie, falls die Schlüsselverwaltung aktiviert ist, den Modus auf „Benutzerdefiniert“ ein, um die Standardschlüssel zu löschen und neu zu installieren (Standard-Sicherer-Start-Schlüssel installieren). Prüfen Sie außerdem, ob CSM deaktiviert ist, damit es aktiviert wird.
Abschließende Überprüfung und Fehlerbehebung
Nach jeder BIOS-Änderung speichern und neu starten. Unter Windows msinfo32 erneut öffnen , um zu überprüfen, ob der BIOS-Modus auf UEFI und der Secure-Boot-Status auf „Aktiviert“ eingestellt ist. Falls Probleme auftreten und der Computer nicht startet, die Firmware wiederherstellen und Secure Boot vorübergehend deaktivieren oder die letzte Einstellung rückgängig machen, um die Funktionalität wiederherzustellen.
Typische Fehler, die auf das Problem hinweisen: Wenn die Meldung „Nicht aktiv“ weiterhin angezeigt wird, fehlen Schlüssel. Wenn der Schalter für Secure Boot nicht angezeigt wird, befinden Sie sich in der Basisansicht und müssen in den erweiterten Modus wechseln. Startet Windows nach der Konvertierung zu GPT nicht, befindet sich die Firmware möglicherweise noch im CSM/Legacy-Modus anstatt im UEFI-Modus. Die Behebung dieser drei Punkte löst das Problem fast immer.
Konsultieren Sie stets die Dokumentation des Herstellers. Obwohl das Ziel bei allen Marken dasselbe ist, variieren die Bezeichnungen und die genaue Vorgehensweise. Häufig wird Secure Boot über die Option „Betriebssystemtyp“ aktiviert oder deaktiviert (Windows UEFI = aktiv, anderes Betriebssystem = inaktiv).
• Überprüfen Sie in msinfo32, ob Sie sich im UEFI-Modus befinden und ob Secure Boot aktiviert ist. Falls Sie sich im Legacy-Modus befinden, konvertieren Sie zu GPT und stellen Sie die Firmware auf UEFI um.
• Deaktivieren Sie CSM im BIOS. Stellen Sie den Betriebssystemtyp auf Windows UEFI ein und aktivieren Sie Secure Boot. Installieren Sie bei Aufforderung die Standard-Schlüssel oder stellen Sie diese über die Schlüsselverwaltung wieder her.
• Falls der Status „Nicht aktiv“ anzeigt, setzen Sie die Einstellungen im Setup-Modus zurück und installieren Sie die Werksschlüssel neu. Auf Desktop-Computern müssen Sie möglicherweise in den benutzerdefinierten Modus wechseln, um die Schlüssel zu verwalten. Speichern Sie die Einstellungen anschließend mit F10.
• Verwenden Sie TPM 2.0 unter Windows 11 und beachten Sie BitLocker: Notieren Sie sich den Wiederherstellungsschlüssel, bevor Sie Änderungen an der Firmware vornehmen. Sollte etwas schiefgehen, machen Sie die letzte Änderung rückgängig und versuchen Sie es erneut.
Wenn UEFI, GPT und CSM deaktiviert und die Werksschlüssel geladen sind, ist Secure Boot aktiv und Ihr Computer startet nur vertrauenswürdige Software. Diese Einstellung sollte insbesondere nach einem BIOS-Update überprüft werden, da solche Änderungen manchmal die Startparameter zurücksetzen oder die Schlüsseldatenbank löschen. Sobald Sie den Vorgang verstanden haben (msinfo32 für die Diagnose, ggf. mbr2gpt, Einstellungen unter Sicherheit/Start und Schlüsselverwaltung), lässt sich Secure Boot in wenigen Minuten wieder aktivieren und bietet zusätzliche Sicherheit ohne Leistungseinbußen.
