[Business-PC] Ankündigung zum Update des Windows Secure Boot-Zertifikats

2.1 Nicht betroffen (Neues Zertifikat standardmäßig unterstützt)

Alle Business-PCs, die ab 2024 ausgeliefert wurden, sowie alle zukünftigen neuen Modelle verfügen über das neue Secure Boot-Zertifikat als Voreinstellung. Ein manuelles Update ist nicht erforderlich.

Laptops (NB): Die folgenden Modelle sowie alle Serien, die nach 2024 eingeführt wurden.

Desktops: Die folgenden Modelle sowie alle Serien, die nach 2024 auf den Markt kommen.

All-in-One (AIO): Die folgenden Modelle sowie alle Serien, die nach 2024 herausgebracht wurden.

2.2 Modelle, die ein Update benötigen

Wenn Ihr Modell oben nicht aufgeführt ist, bedeutet dies, dass das Gerät derzeit das ältere Zertifikat verwendet und aktualisiert werden muss.

Wie erhalte ich das Update?

Für betroffene Modelle hat ASUS die Einreichung des neuen Zertifikats abgeschlossen. Das Update wird automatisch von Microsoft über Windows Update bereitgestellt.

Empfohlene Aktion: Gehen Sie zu Einstellungen > Windows Update und stellen Sie sicher, dass automatische Updates aktiviert sind.

Automatische Installation: Das System lädt und installiert das neueste Sicherheitszertifikat automatisch – keine manuellen Tools oder Downloads sind erforderlich.

Dieser Abschnitt erklärt Microsoft Drittanbieter Secure Boot Zertifikate. Wenn Ihr Gerät nicht-Windows-Umgebungen (z.B. Linux) oder Drittanbieter-Hardware (z.B. externe GPUs) ausführen muss, lesen Sie bitte das Folgende.

3.1 Übersicht Microsoft Drittanbieter-Zertifikat

3.2 Falls Microsoft 3rd Party-Zertifikate erforderlich sind, beachten Sie bitte die folgenden Anweisungen

Hinweis: Wenn Ihr Firmencomputer Windows BitLocker aktiviert hat, setzen Sie es bitte im Voraus gemäß den nachstehenden Anweisungen aus, bevor Sie Secure Boot-Operationen durchführen.

Geräte, die im Jahr 2026 ausgeliefert werden, enthalten diese Zertifikate bereits. Sie können das BIOS-Setup aufrufen (drücken Sie F2 während des Starts), um die Optionen für Drittanbieterzertifikate zu überprüfen oder zu konfigurieren.

Darüber hinaus können Sie Abschnitt 8.3 zurate ziehen, um zu überprüfen, ob die Drittanbieterzertifikate vorhanden sind. Falls sie nicht enthalten sind, aktualisieren Sie bitte das BIOS auf die neueste Version und folgen Sie Abschnitt 5. SOP 1: Secure Boot-Zertifikate aktualisieren.

Falls die erforderlichen Drittanbieterzertifikate weiterhin nicht erscheinen, fahren Sie bitte fort mit Abschnitt 6. SOP 2: Secure Boot-Zertifikate hinzufügen.

Falls das Zurücksetzen der Secure Boot-Schlüssel dazu führt, dass beim Starten von Windows der folgende Bildschirm erscheint, folgen Sie bitte Abschnitt 7. SOP 3: Secure Boot-Zertifikate wiederherstellen.

Referenzen

1. https://learn.microsoft.com/en-us/windows-hardware/manufacture/desktop/windows-secure-boot-key-creation-and-management-guidance?view=windows-11
2. https://support.microsoft.com/en-us/topic/windows-secure-boot-certificate-expiration-and-ca-updates-7ff40d33-95dc-4c3c-8725-a9b95457578e

Hinweise vor der Ausführung:

1. Es wird dringend empfohlen, alle Daten auf Ihrem Computer im Voraus zu sichern, um potenziellen Datenverlust während des manuellen Updatevorgangs zu vermeiden.
2. Wenn BitLocker aktiviert ist, stellen Sie bitte sicher, dass es vor den folgenden Schritten ausgesetzt wird. Nach Abschluss des Vorgangs kann BitLocker wieder aktiviert werden.
3. Wenn BitLocker nicht ausgesetzt wird, kann es zu einer Sperre kommen. In Fällen, in denen BitLocker das verschlüsselte Windows-Laufwerk nicht automatisch entsperren kann, wird ein Wiederherstellungsschlüssel benötigt. Dieser Schlüssel ist ein 48-stelliger numerischer Code, mit dem Sie wieder Zugriff auf Ihre Festplatte erhalten. Sollten Sie mit den unten aufgeführten Verfahren nicht vertraut sein, kontaktieren Sie uns bitte für Unterstützung.

Wenn Sie Ihren BitLocker-Wiederherstellungsschlüssel abrufen müssen, lesen Sie bitte den Artikel: So rufen Sie Ihren BitLocker-Wiederherstellungsschlüssel ab.

Vorgehensweise

1. Schalten Sie das System ein oder starten Sie es neu und drücken Sie dann F2, um das BIOS-Setup zu öffnen.    
   Drücken Sie F7, um in den Erweiterten Modus zu wechseln, und navigieren Sie zu Sicherheit > Secure Boot (oder direkt Sicherheit > Secure Boot).   
   
2. Wählen Sie Schlüsselverwaltung.   
   
3. Wählen Sie Authorisierte Signaturen (db).   
   
4. Wählen Sie Aktualisieren.   
   
5. Wählen Sie Ja.   
     
   Hinweis: Die Auswahl von „Ja“ stellt die entsprechenden Zertifikate auf die Werkseinstellungen zurück. Alle zuvor vom System oder Benutzer hinzugefügten Zertifikate werden entfernt.
6. Wählen Sie Details, um zu überprüfen, dass die Authorized Signatures (db)-Zertifikate erfolgreich aktualisiert wurden.   
   
7. Drücken Sie F10, um zu speichern und zu beenden.
8. Falls BitLocker zuvor ausgesetzt wurde, stellen Sie bitte sicher, dass es wieder aktiviert wird.

1. Laden Sie Windows UEFI CA 2023 herunter: https://go.microsoft.com/fwlink/?linkid=2239776 und speichern Sie es im Stammverzeichnis eines USB-Laufwerks (z. B. „D:\windows uefi ca 2023.crt”).
2. Schalten Sie das System ein oder starten Sie es neu, dann drücken Sie F2, um das BIOS-Setup aufzurufen.   
   Drücken Sie F7, um in den erweiterten Modus zu wechseln, und navigieren Sie dann zu Sicherheit > Secure Boot (oder direkt Sicherheit > Secure Boot).   
   
3. Wählen Sie Key Management aus.   
   
4. Wählen Sie Autorisierte Signaturen (db).   
   
5. Wählen Sie Anhängen.   
   
6. Wählen Sie Nein.   
   
7. Wählen Sie das USB-Laufwerk aus.
8. Suchen und wählen Sie die Datei im Stammverzeichnis: „windows uefi ca 2023.crt”.
9. Wählen Sie Public Key Certificate aus und drücken Sie dann Enter auf dem GUID-Bestätigungsbildschirm.   
   
10. Wählen Sie Ja aus.   
    
11. Überprüfen Sie, ob Windows UEFI CA 2023 nun unter Authorized Signatures (db) aufgelistet ist.   
    
12. Drücken Sie F10, um zu speichern & zu beenden.
13. Wenn BitLocker aktiviert ist, stellen Sie sicher, dass Sie Ihren BitLocker-Wiederherstellungsschlüssel griffbereit haben.

Wie überprüft man den Status des UEFI Secure Boot Key? Die folgenden Verfahren beeinflussen nicht den Status von Windows BitLocker.

8.1 Vorbereitende Schritte

Geben Sie PowerShell in die Windows-Suchleiste ein.

Klicken Sie in den Suchergebnissen mit der rechten Maustaste auf Windows PowerShell und wählen Sie Als Administrator ausführen.

8.2 Überprüfung der Microsoft Windows Secure Boot-Zertifikate

1. Bestätigen Sie, dass der Key Exchange Key (KEK) \„Microsoft Corporation KEK 2K CA 2023” enthält.  
   Ausführen: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI KEK).bytes) -match 'Microsoft Corporation KEK 2K CA 2023'  
   Ein Ergebnis von True zeigt an, dass das Zertifikat „Microsoft Corporation KEK 2K CA 2023“ vorhanden ist.  
   
2. Bestätigen Sie, dass die Signature Databases (DB) „Windows UEFI CA 2023“ enthalten.  
   Ausführen: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'  
   Ein Ergebnis von True zeigt an, dass das Zertifikat „Windows UEFI CA 2023“ vorhanden ist.  
   

8.3 Überprüfung der Microsoft 3rd Party Secure Boot-Zertifikate

1. Bestätigen Sie, dass die Signature Databases (DB) „Microsoft UEFI CA 2023“ enthalten.  
   Ausführen: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Microsoft UEFI CA 2023'  
   Ein Ergebnis von True zeigt an, dass das Zertifikat „Microsoft UEFI CA 2023“ vorhanden ist.  
   
2. Bestätigen Sie, dass die Signaturdatenbanken (DB) „Microsoft Option ROM UEFI CA 2023“ enthalten.  
   Ausführen: [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match ‘Microsoft Option ROM UEFI CA 2023'  
   Ein Ergebnis von Wahr zeigt an, dass das Zertifikat „Microsoft Option ROM UEFI CA 2023“ vorhanden ist.