Secure Boot enabled bootet nicht mehr in Windows

[qiller]

Ich glaube nicht mal an einen Sicherheitsgewinn!

Es geht halt um die Manipulation des Bootloaders. Das war früher durchaus ein größeres Thema, wo dann Bootviren sich in den Loader schrieben. Später kamen dann halt noch die Bootkits dazu, die sich dann komplett vor dem OS verstecken konnten. Mit einer korrekten Secureboot-Implementation ist eine Manipulation nur bedingt möglich. Es ist halt eine weitere Hürde im Security-Hürdenlauf, die aber auch umfallen kann - siehe Black-Lotus Bootkit oder das hier letztes Jahr. Das gute an Secureboot: Es hat im Gegensatz zu anderen Security Maßnahmen (wie z.B. Antivirenprogramme oder virtualisierungsbasierte Sicherheit) keine negativen Performance-Auswirkungen.

 

[SSD960]

Stimmt. Aber andere Systeme, wenn Aktiv, nicht mehr....

 

[tollertyp]

Ich glaube nicht mal an einen Sicherheitsgewinn!

Nachvollziehbar. Ich eigentlich auch nicht, und zugegeben, es nervt eher wenn man mit Dingen wie du mit Linux oder ich wie Ventoy rummacht...

 

[Cheater7694]

@qiller Das kommt bei mir aus, wie kann ich denn die Zertifikate erneuern wenn Secure Boot sich nicht aktivieren lässt?

habe übrigens die cmos batterie grade getauscht, selbes Problem bleibt bestehen.

 

[qiller]

Bitte mal noch "Check Windows state.cmd" ausführen, falls das ohne SB geht. Manchmal musst du das Script 2x ausführen (beim ersten Mal kommen manchmal lauter Fehlermeldungen).

Was schonmal klar ist: Dir fehlen die 2023er Zertifikate im UEFI und auch im CMOS-Speicher. Das ist mit dem alten BIOS und dem CMOS-Reset nicht anders zu erwarten. Was mich stutzig macht, sind vor allem die Fehler bei der UEFI DBX. Da kannst du mal testen, ob das Script "Apply DBX update.cmd" da evt. Abhilfe schafft.

 

[Cheater7694]

@qiller Ist das Bild drunter, hab ich im Nachhinein angehängt oder meinst du nochmal ausführen?

Hab das Apply DBX update ausgeführt, da stand es lief successful, im Anhang nochmal Check Uefi PK etc. nach dem DBX update

Ergänzung (13. April 2026)

Habe auch gestern nochmal das BIOS geflashed auf die neueste Version, hat auch nix geholfen nur als Info

 

[qiller]

nach dem DBX update

inkl. Reboot? Ansonsten mach den mal und lass nochmal den Check laufen.

 

[Cheater7694]

Nach Reboot, im cmd fenster heißt es auch starting secure boot update, danach kommt aber nixmehr ich weiß nicht ob das damit schon abgeschlossen ist?

 

[qiller]

Ich denke halt, dass genau das hier bei dir das Problem ist:

Re-applying the Secure Boot DBX updates

If the Secure Boot variables were accidentally reset to default in the UEFI/BIOS settings for example, it is possible to make Windows re-apply the DBX updates that Windows had previously applied. Right-click Apply DBX update.cmd and Run as administrator. Wait for awhile. The DBX updates should be applied after that.

Was du auch probieren kannst: Mit "Apply 2023 KEK, DB and bootmgfw update.cmd" auf die 2023er Zertfikate upzugraden. Vlt. behebt das das Problem auch.

 

[Cheater7694]

Ich reboote mal eben vllt hat das DBX Update ja gezaubert, danach probiere ich mal die 2023er zertifikate

Ergänzung (13. April 2026)

Leider beides nix geholfen. Ich häng mal an wies bei mir aussieht, is leider schlechte Quali stelle nur Secure Boot auf enabled. Beim starten kommt dann wieder kurz das Logo und danach nur noch schwarz bis ich Ausschaltknopf drücke. Wenn irgendwelche Settings im Bios helfen bei der Lösungssuche kann ich das auch alles schicken, aber spielt wie gesagt keine Rolle ob es alles optimized defaults ist oder nicht, ob Fast boot an/aus auch egal. Alles schon probiert. Secure Boot mode muss ich auf custom stellen um die Factory Keys zu enrollen, sonst lässt sich secure boot nicht enablen

Ergänzung (13. April 2026)

Hier noch die BIOS Sachen

 

[qiller]

Könnte sein, dass du die SB-Zertifkats-/DBX-Updates dann manuell machen musst. Das hab ich aber noch nie machen müssen.

Aber eine Idee hab ich noch: Falls du TPM/fTPM/VT-x aktiviert hast, deaktivier das mal. Und falls es deaktiviert ist, aktivier es mal.

 

[Cheater7694]

@qiller Ist aktiviert, brauche ich auch für die Anti Cheat Software, ich deaktiviers mal vllt kann ich dann ja Secure Boot starten

 

[qiller]

ich deaktiviers mal vllt kann ich dann ja Secure Boot starten

Ja, genau darums gings mir ja. Falls das dann nämlich wieder mit SB läuft, kannst du TPM/VT-x ja wieder aktivieren.

Edit: Ach mist, vergessen auf Bitlocker hinzuweisen, hoffentlich hängst du jetzt nicht bei der Eingabe des Recovery-Keys :x.

 

[Cheater7694]

@qiller Ne funktioniert leider auch nicht. Vllt sollte ich die alte Platte einfach mal ausm Fenster hauen, das MB macht nur Probleme seit fast 10 Jahren. i9 9900k läuft auch schon nur wenn ich die Ghz festlege weil die VRMs den sonst nicht schaffen

 

[qiller]

das MB macht nur Probleme seit fast 10 Jahren.

Ja, ich finds auch komisch, dass da bei der DBX Datenbank lauter Fehler gemeldet werden. Das hatte ich bisher noch bei keinem Rechner gehabt.

 

[Cheater7694]

Edit: Ach mist, vergessen auf Bitlocker hinzuweisen, hoffentlich hängst du jetzt nicht bei der Eingabe des Recovery-Keys :x.

Bitlocker hab ich mittlerweile schon deaktiviert so oft wie ich die 50 Zahlen Abtippen musste

Ergänzung (13. April 2026)

Gibts irgendeinen Narrensicheren Hardreset nach dem es funktionieren muss?
Habe nix mehr an wichtigen Daten hier, Kann theoretisch alles platt machen von BIOS bis hin zu den Platten und notfalls auch Windows von nem Installationsmedium nochmal neu falls das nen großen Unterschied zur Cloud Neuinstallation bei PC zurücksetzen macht

 

[SPB]

Schau mal in der Aufgabenplanung in \Microsoft\Windows\PI\ nach dem Status von Secure-Boot-Update (Bereit oder Deaktiviert?).

 

[Cheater7694]

@SPB

 

[SPB]

Ok, war nur ein Verdacht von mir, daß die Aufgabe vielleicht deaktiviert war.
Ist aber eben vor 12 Min zuletzt durchgelaufen. Dann klinke ich mich wieder aus.

 

[Cheater7694]

Hab auch mal HDMI statt Display Port beim Boot probiert, geht auch nicht