[Commercial PC] Ankündigung zum Update des Windows Secure Boot-Zertifikats

2.1 Nicht betroffen (Neues Zertifikat standardmäßig unterstützt)

Alle Business-PCs, die ab 2024 ausgeliefert wurden, sowie alle zukünftigen neuen Modelle verfügen bereits über das neue Secure Boot-Zertifikat. Ein manuelles Update ist nicht erforderlich.

Laptops (NB): Die folgenden Modelle sowie alle Serien, die nach 2024 eingeführt wurden.

Desktops: Die folgenden Modelle sowie alle Serien, die nach 2024 erschienen sind.

All-in-One (AIO): Die folgenden Modelle sowie alle Serien, die nach 2024 auf den Markt gebracht wurden.

2.2 Modelle, die ein Update benötigen

Wenn Ihr Modell oben nicht aufgeführt ist, bedeutet das, dass das Gerät derzeit das ältere Zertifikat verwendet und aktualisiert werden muss.

Wie erhalte ich das Update?

Für betroffene Modelle hat ASUS die Einreichung des neuen Zertifikats abgeschlossen. Das Update wird automatisch von Microsoft über Windows Update bereitgestellt.

Empfohlene Maßnahme: Gehen Sie zu Einstellungen > Windows Update und stellen Sie sicher, dass automatische Updates aktiviert sind.

Automatische Installation: Das System lädt und installiert das neueste Sicherheitszertifikat automatisch – keine manuellen Tools oder Downloads sind erforderlich.

In diesem Abschnitt werden Microsoft Third-Party Secure Boot-Zertifikate erklärt. Wenn Ihr Gerät Nicht-Windows-Umgebungen (z. B. Linux) oder Drittanbieter-Hardware (z. B. externe GPUs) ausführen muss, lesen Sie bitte Folgendes.

3.1 Überblick über Microsoft Third-Party-Zertifikate

3.2 Falls Microsoft-Zertifikate von Drittanbietern erforderlich sind, beachten Sie bitte die folgenden Anweisungen

Hinweis: Wenn auf Ihrem Firmencomputer Windows BitLocker aktiviert ist, setzen Sie ihn bitte vorher gemäß den untenstehenden Anweisungen aus, bevor Sie Secure Boot-Vorgänge durchführen.

Geräte, die im Jahr 2026 ausgeliefert werden, enthalten diese Zertifikate bereits. Sie können das BIOS-Setup aufrufen (drücken Sie F2 während des Startvorgangs), um Optionen für Drittanbieterzertifikate zu überprüfen oder zu konfigurieren.

Außerdem können Sie Abschnitt 8.3 zu Rate ziehen, um zu überprüfen, ob die Drittanbieterzertifikate vorhanden sind. Falls sie nicht enthalten sind, aktualisieren Sie bitte das BIOS auf die neueste Version und befolgen Sie Abschnitt 5. SOP 1: Sichere Boot-Zertifikate aktualisieren.

Wenn die erforderlichen Drittanbieterzertifikate weiterhin nicht erscheinen, fahren Sie bitte fort mit Abschnitt 6. SOP 2: Sichere Boot-Zertifikate hinzufügen.

Sollte das Zurücksetzen der Secure Boot-Schlüssel dazu führen, dass beim Starten von Windows der folgende Bildschirm erscheint, folgen Sie bitte Abschnitt 7. SOP 3: Sichere Boot-Zertifikate wiederherstellen.

Referenzen

1. https://learn.microsoft.com/de-de/windows-hardware/manufacture/desktop/windows-secure-boot-key-creation-and-management-guidance?view=windows-11
2. https://support.microsoft.com/de-de/topic/windows-secure-boot-certificate-expiration-and-ca-updates-7ff40d33-95dc-4c3c-8725-a9b95457578e

Hinweise vor der Durchführung:

1. Es wird dringend empfohlen, im Voraus alle Daten auf Ihrem Computer zu sichern, um möglichen Datenverlust während des manuellen Updates zu verhindern.
2. Falls BitLocker aktiviert ist, stellen Sie bitte sicher, dass es vor Durchführung der folgenden Schritte ausgesetzt wird. Nach Abschluss des Vorgangs kann BitLocker wieder aktiviert werden.
3. Wenn BitLocker nicht ausgesetzt wird, kann dies zu einer Sperre führen. Sollte BitLocker das verschlüsselte Windows-Laufwerk nicht automatisch entsperren können, wird ein Wiederherstellungsschlüssel benötigt. Dieser Schlüssel ist ein 48-stelliger numerischer Code, mit dem Sie wieder Zugriff auf Ihre Festplatte erhalten. Sollten Sie mit den unten beschriebenen Verfahren nicht vertraut sein, kontaktieren Sie uns bitte für Unterstützung.

Falls Sie Ihren BitLocker-Wiederherstellungsschlüssel abrufen müssen, lesen Sie bitte den Artikel: Wie Sie Ihren BitLocker-Wiederherstellungsschlüssel abrufen.

Verfahrensschritte

1. Schalten Sie das System ein oder starten Sie es neu, dann drücken Sie F2, um das BIOS-Setup aufzurufen.   
   Drücken Sie F7, um in den Erweiterten Modus zu wechseln, und navigieren Sie dann zu Sicherheit > Secure Boot (oder direkt Sicherheit > Secure Boot).   
   
2. Wählen Sie Schlüsselverwaltung.   
   
3. Wählen Sie Autorisierte Signaturen (db).   
   
4. Wählen Sie Aktualisieren.   
   
5. Wählen Sie Ja.   
     
   Hinweis: Wenn Sie „Ja” auswählen, werden die entsprechenden Zertifikate auf die Werkseinstellungen zurückgesetzt. Alle zuvor vom System oder Benutzer hinzugefügten Zertifikate werden entfernt.
6. Wählen Sie Details, um zu überprüfen, dass die Zertifikate der Autorisierten Signaturen (db) erfolgreich aktualisiert wurden.   
   
7. Drücken Sie F10, um zu speichern & zu beenden.
8. Falls BitLocker zuvor ausgesetzt wurde, stellen Sie bitte sicher, dass es wieder aktiviert ist.

1. Laden Sie Windows UEFI CA 2023 herunter: https://go.microsoft.com/fwlink/?linkid=2239776 und speichern Sie es im Stammverzeichnis eines USB-Laufwerks (z.B. „D:\windows uefi ca 2023.crt”).
2. Schalten Sie das System ein oder starten Sie es neu, dann drücken Sie F2, um das BIOS-Setup aufzurufen.   
   Drücken Sie F7, um in den Erweiterten Modus zu wechseln, und navigieren Sie dann zu Sicherheit > Secure Boot (oder direkt Sicherheit > Secure Boot).   
   
3. Wählen Sie Schlüsselverwaltung aus.   
   
4. Wählen Sie Autorisierte Signaturen (db) aus.   
   
5. Wählen Sie Anhänge aus.   
   
6. Wählen Sie Nein aus.   
   
7. Wählen Sie das USB-Laufwerk aus.
8. Suchen und wählen Sie die Datei im Stammverzeichnis aus: „windows uefi ca 2023.crt”.
9. Wählen Sie Public Key Certificate aus und drücken Sie dann Enter auf dem GUID-Bestätigungsbildschirm.   
   
10. Wählen Sie Ja aus.   
    
11. Überprüfen Sie, ob Windows UEFI CA 2023 nun unter Autorisierte Signaturen (db) aufgeführt ist.   
    
12. Drücken Sie F10, um zu speichern & zu beenden.
13. Falls BitLocker aktiviert ist, stellen Sie sicher, dass Ihr BitLocker-Wiederherstellungsschlüssel zur Hand ist.

Wie überprüft man den Status des UEFI Secure Boot-Schlüssels? Die folgenden Verfahren beeinflussen nicht den Status vom Windows BitLocker.

8.1 Vorbereitende Schritte

Geben Sie PowerShell in die Windows-Suchleiste ein.

Klicken Sie in den Suchergebnissen mit der rechten Maustaste auf Windows PowerShell und wählen Sie Als Administrator ausführen.

8.2 Überprüfung der Microsoft Windows Secure Boot-Zertifikate

1. Bestätigen Sie, dass der Key Exchange Key (KEK) \„Microsoft Corporation KEK 2K CA 2023” enthält.  
   Führen Sie aus: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEK).bytes) -match 'Microsoft Corporation KEK 2K CA 2023'  
   Ein Ergebnis von Wahr zeigt an, dass das Zertifikat „Microsoft Corporation KEK 2K CA 2023“ vorhanden ist.  
   
2. Bestätigen Sie, dass die Signaturdatenbanken (DB) „Windows UEFI CA 2023“ enthalten.  
   Führen Sie aus: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'  
   Ein Ergebnis von Wahr zeigt an, dass das Zertifikat „Windows UEFI CA 2023“ vorhanden ist.  
   

8.3 Überprüfung der Microsoft Secure Boot-Zertifikate von Drittanbietern

1. Bestätigen Sie, dass die Signaturdatenbanken (DB) „Microsoft UEFI CA 2023“ enthalten.  
   Führen Sie aus: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft UEFI CA 2023'  
   Ein Ergebnis von Wahr zeigt an, dass das Zertifikat „Microsoft UEFI CA 2023“ vorhanden ist.  
   
2. Bestätigen Sie, dass die Signaturdatenbanken (DB) „Microsoft Option ROM UEFI CA 2023“ enthalten.  
   Führen Sie aus: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft Option ROM UEFI CA 2023'  
   Ein Ergebnis von Wahr zeigt an, dass das Zertifikat „Microsoft Option ROM UEFI CA 2023“ vorhanden ist.