Secure-Boot-Zertifikate

Prüfe, ob deine Windows-Geräte die Secure-Boot-Zertifikate von 2023 erhalten haben, bevor die CAs von 2011 ablaufen.

Der Check Secure-Boot-Zertifikate prüft auf Windows-Geräten (x64 und Arm64), ob die Umstellung von den ablaufenden Microsoft-Secure-Boot-Zertifikaten von 2011 auf die Zertifizierungsstellen (CAs) von 2023 angekommen ist. Er liest die UEFI-Variablen KEK und DB direkt auf dem Gerät aus und prüft zusätzlich den Deployment-Status, den Windows in der Registrierung meldet. Er läuft standardmäßig alle 60 Minuten.

Geräte ohne die 2023-Zertifikate booten weiter, erhalten aber keine DB/DBX-Updates, Bootkit-Sperren oder Boot-Manager-Updates mehr.

Schritte

Gehe zu Geräte und öffne das Gerät.
Klicke im Tab Checks auf Check hinzufügen → Secure-Boot-Zertifikate.
Passe die Einstellungen bei Bedarf an.
Klicke auf Check hinzufügen.

Für viele Geräte weist du den Check über ein Konfigurationspaket zu.

Einstellungen

Feld	Typ	Erforderlich	Standard	Beschreibung
Third-Party CA 2023 verpflichtend	Boolean	Nein	Aus	Eine fehlende „Microsoft UEFI CA 2023“ (Third-Party-Bootloader, z. B. Linux-Shim) als kritisch werten. Ohne diese Option ist sie nur eine Warnung, und zwar nur dann, wenn die Third-Party-CA von 2011 vorhanden ist.
Option ROM CA 2023 verpflichtend	Boolean	Nein	Aus	Eine fehlende „Microsoft Option ROM UEFI CA 2023“ als kritisch werten. Ohne diese Option wird sie nicht bewertet.
Deaktiviertes Secure Boot ignorieren	Boolean	Nein	Aus	Keine Warnung melden, wenn Secure Boot in der Firmware deaktiviert ist.

Ergebnisse

Das Gesamtergebnis ist der schlechteste Schweregrad aller Befunde.

Befund	Ergebnis
„Microsoft Corporation KEK 2K CA 2023“ fehlt im KEK	Kritisch
„Windows UEFI CA 2023“ fehlt in der DB	Kritisch
Das Deployment der 2023-Zertifikate meldet einen Fehlercode	Kritisch
„Microsoft UEFI CA 2023“ fehlt in der DB	Kritisch, wenn Third-Party CA 2023 verpflichtend aktiv ist; sonst Warnung, sofern die Third-Party-CA von 2011 vorhanden ist, andernfalls kein Befund
„Microsoft Option ROM UEFI CA 2023“ fehlt in der DB	Kritisch, wenn Option ROM CA 2023 verpflichtend aktiv ist; sonst kein Befund
„Windows UEFI CA 2023“ ist in der DB, aber der Boot Manager startet noch mit PCA 2011 signiert (Neustart oder Wartungsaufgabe ausstehend)	Warnung
Secure Boot ist in der Firmware deaktiviert	Warnung, außer Deaktiviertes Secure Boot ignorieren ist aktiv
Gerät startet mit Legacy-BIOS statt UEFI	OK – die Zertifikatsmigration ist dort nicht anwendbar
Die UEFI-Variablen KEK/DB können nicht gelesen werden, die Abfrage liefert keine Ausgabe oder überschreitet das Zeitlimit	Fehlgeschlagen

Fehlt ein 2023-Zertifikat, zeigt die Detailansicht zusätzlich, bis wann die entsprechende CA von 2011 gültig ist oder dass sie bereits abgelaufen ist.

Eine lokale Abfrage darf höchstens 60 Sekunden dauern; danach meldet der Check Fehlgeschlagen.
Ein deaktiviertes Secure Boot verhindert die Prüfung der Zertifikate nicht: Der Check wertet KEK und DB trotzdem aus.
Wurde das Deployment noch nicht gestartet und fehlt die KEK 2K CA 2023, blendet die Detailansicht einen Hinweis ein, wie du das Windows-Deployment anstößt: den Registrierungswert AvailableUpdates auf 0x5944 setzen und die geplante Aufgabe \Microsoft\Windows\PI\Secure-Boot-Update auslösen.

Der Check erfasst:

Ob Secure Boot aktiviert ist und ob das Gerät mit UEFI startet
Vorhandensein von KEK 2K CA 2023 (KEK), Windows UEFI CA 2023 (DB), Microsoft UEFI CA 2023 (Third-Party, DB) und Option ROM UEFI CA 2023 (DB)
Ob der Boot Manager bereits mit dem 2023-Zertifikat signiert startet
Deployment-Status (Nicht gestartet, Läuft, Abgeschlossen) und der Registrierungswert AvailableUpdates

Siehe auch: Alarmierung für einen Check einrichten

War dies hilfreich?

Brauchen Sie noch Hilfe? Team fragen