Secure Boot Zertifikat überprüfung mehrdeutig?

[Eckensteher]

Moin,
ich habe erst im Mai gemerkt, dass das Senden von Diagnosedaten nicht aktiviert war. Dies scheint ja nötig zu sein, das man die neuen Zertifikate bekommt. Also alles aktiviert. Bis gestern habe ich aber bei der Zertifikatspüfung mit der Powershell immer ein "false" bekommen.
Deshalb habe ich das Bios meines MB Gigabyte Z690 auf den neuesten Stand gebracht.
Nach erneuter Zertifikatspüfung mit der Powershell bekomme ich nun ein "true".
Wenn ich aber unter Gerätesicherheit unter Windows Sicherheit schaue wird mir dies angezeigt.

Nach Windows Auskunft bedeutet es das:
Stellen Sie sicher, dass auf Ihrem Gerät die neuesten Windows-Updates installiert sind. Starten Sie einen Neustart, wenn Sie dazu aufgefordert werden.

Windows Update zeigt das alles auf dem neusten Stand ist.
Muss ich jetzt noch was machen oder ist es so ok?

Gruß Ecke

 

[Micha-]

Lade diese ZIP
https://ftp.heise.de/ct/listings/2026/13/ct_ueficertinfo.zip
Entpacken und die bat als Administrator ausführen

Dito hiermit
https://ftp.heise.de/ct/listings/2026/13/ct_uefiloaderinfo.zip

Dann zeig hier mal die Ergebnisse

 

[Chris_75]

Steht in der Registry
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing
UEFICA2023Status auf Updated
dann ist alles ok.

 

[Eckensteher]

Dann zeig hier mal die Ergebnisse

Hallo Micha, danke für deine schnelle Antwort! bin jetzt gerade weg vom Computer, mache ich heute nachmittag. Ich melde mich dann.
danke schön

 

[SSD960]

Zur Not secure Boot ausschalten. Steht auch in dem genannten CT Artikel. Für mich persönlich ist Secure Boot keine Sicherheitslösung sondern ein Disaster....

 

[Micha-]

Notfalls. Aber erstmal schauen was Sache ist, dann kann man eine fundierte Entscheidung treffen.

Hier noch der link zum Artikel
https://www.heise.de/ratgeber/Secure-Boot-und-seine-Probleme-11293264.html

 

[SSD960]

fundierte Entscheidung treffen.

Habe ich: Abgeschaltet

 

[Tsu]

Kurzer Hinweis für uns Linuxer: die Microsoft Zertifikate können, zusammen mit anderer Firmware, bequem automatisch per fwupd aktualisiert werden bzw. werden es, wenn man den Dienst ohnehin laufen hat. – Unabhängig von BIOS/UEFI.

 

[AAS]

Zur Not secure Boot ausschalten. Steht auch in dem genannten CT Artikel. Für mich persönlich ist Secure Boot keine Sicherheitslösung sondern ein Disaster....

Man kann auch ohne Airbag fahren, machen würde ich es trotzdem nicht.

 

[Matthias80]

Updated

Na offensichtlich nicht.

 

[neofelis]

Zur Not secure Boot ausschalten. Steht auch in dem genannten CT Artikel. Für mich persönlich ist Secure Boot keine Sicherheitslösung sondern ein Disaster....

Ich mag Secure Boot auch überhaupt nicht.
Leider laufen einige Multiplayer-Games mit Online-Basis ohne Secure Boot nicht mehr, z.B. Valorant oder BF 2042.

Man kann auch ohne Airbag fahren, machen würde ich es trotzdem nicht.

Wenn meine Airbags im Auto so schlecht umgesetzt wären, wie Secure Boot, hätte ich die auch deaktiviert, weil lebensgefährlich.

Edit: Die C't 16/26 hat einen wirklich tollen Artikel über das Thema Secure Boot Desaster geschrieben.

 

[SSD960]

Man kann auch ohne Airbag fahren, machen würde ich es trotzdem nicht.

Hast du den verlinkten Beitrag gelesen? Du fährst jetzt schon ohne Airbag.

Ergänzung (Mittwoch um 13:53)

Leider laufen einige Multiplayer-Games mit Online-Basis ohne Secure Boot nicht mehr, z.B. Valorant oder BF 2042.

Stimmt. Daran habe ich nicht gedacht. Zum Glück habe ich ein solches Spiel nicht.

 

[Micha-]

Hast du den verlinkten Beitrag gelesen? Du fährst jetzt schon ohne Airbag.

Dann hast du den Artikel nicht richtig gelesen.

 

[AAS]

Hast du den verlinkten Beitrag gelesen? Du fährst jetzt schon ohne Airbag.

Du hast ihn nicht richtig gelesen und meinen auch nicht, wie soll ich folgendes umsetzen ohne Secure Boot?

• Intune Compliance
• Conditional Access
• BitLocker
• Defender for Endpoint / Security Baseline
• Credential Guard / VBS / HVCI
• Measured Boot / Device Health Attestation

Klar kann Windows irgendwie auch ohne Secure Boot starten. Darum geht es aber nicht.
Die Frage ist: Wie soll ich moderne Microsoft-Sicherheitsfunktionen glaubwürdig erzwingen, wenn schon der Startvorgang nicht abgesichert ist?

 

[Eckensteher]

Steht in der Registry
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing
UEFICA2023Status auf Updated
dann ist alles ok.

nein, da steht NotStarted

 

[AAS]

Edit: Die C't 16/26 hat einen wirklich tollen Artikel über das Thema Secure Boot Desaster geschrieben.

Den Artikel habe ich auch gelesen, ich interpretiere ihn anders:
Wer seine Zertifikate, UEFI, Bitlockerkeys nicht im Griff hat, fällt bös gesagt auf die Fresse.
Alle anderen Sysadmin, welche sich um Systeme richtig kümmern, haben keine Probleme.

 

[Eckensteher]

https://ftp.heise.de/ct/listings/2026/13/ct_ueficertinfo.zip
Entpacken und die bat als Administrator ausführen

Dito hiermit
https://ftp.heise.de/ct/listings/2026/13/ct_uefiloaderinfo.zip

zu 1

zu 2

scheint ja nicht alles auf dem neuesten stand zu sein

und ja, ich brauche secure boot für Battlefield

 

[Micha-]

OK, dein BIOS ist schon mal auf aktuellem Stand. Selbst nach einem BIOS Werksreset bekommst du keinen Streß.
ABER dein Bootmanager ist noch auf dem alten Stand. (2) Dort muss 2023 in der Zertifikatbezeichnugn stehen.
Das sollte übers Windows-Update eigentlich automatisch passiert sein. Sind bei Dir alle Updates eingespielt?

Da dein BIOS die alte und die neue Version kennt, sollte der Rechner aber weiterhin booten. Sicherer wäre es die Bootmanager auszutauschen. Ggf. manuell:
https://www.heise.de/ratgeber/Secur...en-11293302.html?seite=all#nav_bootmanager__4

 

[Eckensteher]

Sind bei Dir alle Updates eingespielt?

Laut Win auf neustem Stand und kann im Updateverlauf nichts sehen was nicht installiert wurde.
ich habe erst im Mai gemerkt, dass das Senden von Diagnosedaten nicht aktiviert war. Dies scheint ja nötig zu sein, das man die neuen Zertifikate bekommt. Also alles aktiviert.
vieleicht liegt es daran, das da nicht kam

Sicherer wäre es die Bootmanager auszutauschen. Ggf. manuell:

da schau ich mal rein und melde mich später

Ergänzung (Mittwoch um 17:06)

Da dein BIOS die alte und die neue Version kennt, sollte der Rechner aber weiterhin booten. Sicherer wäre es die Bootmanager auszutauschen. Ggf. manuell:
https://www.heise.de/ratgeber/Secur...en-11293302.html?seite=all#nav_bootmanager__4

liegt hinter Paywall konnte ich nicht lesen, habe aber jetzt mal nach meiner winversion geschaut, da scheint mir doch was zu fehlen?

 

[Micha-]

Oh

Da bekommst du auch keine Updates mehr. Wieso hast du kein 25H2?
Hast du getrickst um auf Win11 zu kommen?