(Update 12. Juni 2026): Mit dem MediaCreationTool (MCT) wird jetzt die Windows 11 25H2 26200.8653 heruntergeladen. Also Stand Sicherheitsupdate Juni 2026 (KB5094126 Hier aber Build 26200.8655). Das MediaCreationTool (MCT) selbst bleibt bei der Version 10.0.26100.7019.
Solltet ihr die ESD der Windows 11 25H2 26200.8653 alleine benötigen, dann könnt ihr diese wie immer hier herunterladen. Die ESDs haben wir schon auf den neuen Stand aktualisiert. Microsoft hat wirklich gelernt. Man stellt nicht nur monatlich die ISOs mit den neuen Sicherheitsupdates bereit, sondern auch die jeweils aktuellen ISOs für die Insider. Und nicht irgendwann nach paar Monaten mal eine neue.
Als Hinweis: Wer eine ISO auf Stick oder externer Festplatte liegen hat, sollte darüber nachdenken, diese zu aktualisieren. Hintergrund ist die Aktualisierung der Secure-Boot-Zertifikate. Mit dem Juni-Sicherheitsupdate wurde SVN 9.0 integriert. Einzige Abhilfe für alte Medien: Secure Boot deaktivieren. DK2000 hat es hier etwas ausführlicher erklärt
Mit dem MCT kann man dann Windows 11 25H2 auf einen 8 GB Stick kopieren lassen. Somit hat man immer eine Möglichkeit, nicht nur Windows 11 neu zu installieren, sondern auch die erweiterten Startoptionen aufzurufen, wenn man Windows mal reparieren muss.
Windows 11 25H2 Installationsassistenten
Wer gleich auf die neue Windows 11 25H2 aktualisieren möchte, kann auch den Installationsassistenten benutzen. Dieser startet dann ein Inplace Upgrade von der derzeitigen Windows 10 oder 11 Version auf die 25H2. Aber ein Stick mit Windows 11 25H2 in der Schublade zu haben ist doch etwas beruhigender. Somit spart man sich auch ein Wiederherstellungslaufwerk zu erstellen.
Hier die Links:
- MediaCreationTool go.microsoft.com/2156295
- Windows 11-Installationsassistent go.microsoft.com/2171764
Windows 11 Tutorials und Hilfe
- In unserem Windows 11 Wiki findet ihr sehr viele hilfreiche Tipps und Tricks.
- Falls ihr Fragen habt, dann stellt diese ganz einfach bei uns im Forum.
- Installationsmedien: Aktuelle Windows 11 ISOs findet ihr hier: 25H2 26200. Ansonsten immer in der rechten Sidebar.
- Windows 11 neu clean installieren Tipps und Tricks.
- Windows 11 auch ohne TPM und Secure Boot installieren.
- Windows 11 mit lokalem Konto auch Offline installieren.
- Windows 11 Inplace Upgrade Reparatur oder Feature Update.
- Automatisch anmelden Pin entfernen Windows 11.
- Alle Beiträge zu Windows 11 im Blog findet ihr über diese Seite. Wobei auch alle anderen Artikel interessant sein können.
Dann kann es ja los gehen…
Super! Aber warum nicht Build: 26100.1882? Bei Apple funktioniert es viel besser. Man kann sofort die aktuelle Version herunterladen.
Weil die 1882 ein optionales Update ist. Also ein ganz normaler Vorgang
Warum nicht die 26.200-6725 die habe ich hier bei Deskmodder geladen und da kam am patchday auch ein Enablingpack und winver zeigt an dass es die 25H2 ist .was ist dann die 26200.6584 .Etwa ne Version die quasi RTM geworden ist aber ohne die bereits erfolgten Updates . 26100-XXX wird wohl die 24H2 sein während die 27.100 wohl schon die 26H2 sein könnte bzw Windows 12 welches jetzt doch nicht unter diesem namen erscheint .den nach 27.100 oder 27.200 kommt dann 28.100 usw und nix win12 . Sprich man hat ein Betriebsssystem und bekommt Update jeden Monat und damit man nicht irgendwann haufenweise Updates hat weil die Version zu alt ist gibt es jedes jahr eine Buildterhöhung als iso 25H2,26H2,27H2, 28H2 …. bis zum Nimmerleinstag . Vorteil ist natürlich das wenn es so weiter geht der ursprünglich erworbene Produktkey ( kann scchon mit Rechnerkauf über das Bios geschehen sein) lebenslang gültig.
hab mal die explorer.exe aus dem paket extrahiert. es wird immernoch 26100.xxxx angezeigt.
ich hab das iso noch nicht installiert um zu prüfen ob es eine neue 24H2 oder doch schon 25H2 ist.
es ist schwierig herauszufinden welche version das ist, ohne es zu installieren…
Die explorer.exe wird auch weiterhin als 26100.xxx bleiben.
hmmm aber wieso ist es dann buggy wenn es der gleiche ist? jedenfalls hab ich 1 ordner wo der explorer ( die ordner anzeige) ziemlich spinnt. vor der neuinstallation war das nie. ich mach immer Extra große symbole und der switch immer von normal oder groß aber nie Extra groß… und auch bei den unterordnern klappt das nicht bei dem Download ordner auf G:\\ X.X
Fast alle Komponenten verbleiben bei 26100, weil das nun mal die Basis der 25H2 ist. Das Enablement Package sorgt nur dafür, dass die Anzeige von 26100 auf 26200 und von 24H2 auf 25H2 wechselt. Intern bleibt es aber auf 26100. Daher können auch die 24H2 und 25H2 dieselben Updates bekommen.
das hat MS schon mit Win10 behauptet… die letzte Windowsversion zu sein und nur ständig geupdatet zu werden… was dann kam ist bekannt. Also NEIN Win11 wird nicht die letzte Version sein!
Blödsinn.
Siehe auch https://itwelt.at/knowhow/warum-gibt-es-windows-11-wenn-windows-10-das-letzte-windows-ist/
Welche Version erzeugt das Tool?
Steht sogar in der Überschrift
Es sind die letzten beiden Absätze des Artikels, die da etwas verwirrend sind….
Die letzten beiden Absätze sind vom originalen Beitrag. Sollte man schon auseinanderhalten können. Ich habs jetzt aber mal angepasst, da die 24H2 nicht mehr geladen wird.
Es war manchmal scho ein Iso Tool verlinkt, was dann schlußendlich dann doch eine alte Version geladen hat. Deshalb fragte ich.
Muss ich erst noch eintragen
Kann ich von meiner Windows 11 Beta 22635.4291 auch ein Inplace Upgrade mit dem Media Tool machen oder muss ich was bestimmtes beachten, wenn ich den Beta Kanal zu 23H2 verlasse?
Beta Kanal verlassen und das Enablement Package deinstallieren. Dann kannst du auf die 24H2 updaten
Eben wurde mir die 24H2 einfach so via Windows Update angeboten. Kann ich dann vielleicht doch einfach so upgraden? Ich war in keinem Beta Kanal und habe die Beta Updates immer händisch von eurer Seite installiert.
Dann kannst du. Ist ja ein Wechsel von 226xx auf 261xx
So Windows mit neuer Iso mal Clean installiert und es läuft. Sogar meine Widgets, die im Insider komplett verbuggt waren, funktionieren wieder aber in 2 Spalten Ansicht.
Mittlerweile sind es wieder 3 Spalten in den Widgets und sie laufen immer noch ohne WinUi 3. Erkennt man daran das die Graphen bei den Dev Home Widgets fehlen.
Ich habe die ISO mit Rufus auf einen USB-Stick kopiert und dabei die Haken für „die nicht unterstützte Hardware, TPM, etc.“ gesetzt, da meine Hardware nicht komplett unterstützt ist. Dann habe ich versucht, via Inplace Update mein 23H2 zu updaten. Die Setup-Routine startet, und dann kommt nach kurzer Zeit die Fehlermeldung, dass der Prozessor nicht unterstützt ist. Mir ist bekannt, dass die CPU „POPCNT“ unterstützen muss, das ist IMHO aber gegeben, wenn die CPU „SSE4.2“ unterstützt. Laut CPU-Z hat mein i-7 diese Unterstützung. Hat jemand eine Idee, woran das liegen kann?
Du könntest es mit der Zero ISO probieren.
https://www.deskmodder.de/phpBB3/viewtopic.php?t=26028
Das habe ich gemacht, ich habe die erste ISO im Link mit „Download Windows 11 26100.xxx – 24H2 Release Preview / Retail:“ beschrieben, heruntergeladen. Diese ISO will aber einen Windows Server und nicht Windows 11 installieren. Was mache ich falsch?
Hallo,
Du machst nichts falsch.
Die Bezeichnung „Server“stand da schon immer, es ist aber Windows 11.
Für Inplace-Upgrade einfach im Stammverzeichnis die
Inplace.cmd starten oder die setupprep.exe im Ordner \sources\
Beide Varianten bitte OHNE Adminrechte! ausführen!
cmd als admin starten .
Iso bereitstellen und dann auf das Virtuelle DVD laufwerk gehen
hier nun setup.exe /product server eingeben und enter drücken
Es wird eine serverinstallation vorgegaukelt deshalb steht da willkomen zur Installation von Win11 SERVER.
Aber da die Boot und Image.wim keine Serverversion sondern pro oder home enthält wird natürlich eine davon installiert und kein Server . Diese Methode nutzt eben die tatsache,dass bei servern keine Überprüfung statt findet
und sogar richtig alte kisten Win 11 installiert bekommen.
Gilt die Option in Rufus nicht sowieso nur für die Windows Setup-Verwendung im integrierten Windows PE? Für Installationen im laufenden Windows-Betrieb gelten doch andere Modifikationen.
Gruß von Cin-Hoo
Bei mir läuft das Update bis 48%, bliebt lange stehen und springt dann schnell zu 75%. Ab da wird dann ein Rollback gemacht. Hat noch jemand das Problem? AMD x570s MSI Board, AMD 5700x und NVidia 4070TI mit 64GB DDR4
Hallo Rick,
ja erstmals, allerdings komme ich bis ~87 %, dann erfolgt Neustart und Rollback.
Ich versuche ein InplaceUpgrade auf frischem 11’er.
Drei Versuche, Drei Mal abgebrochen nach ~ 45 Minuten.
An sich alle Treiber von Lenovo Webseite aktuell, nur Defender installiert.
Uhrzeit, UEFI alles aktuell, bin etwas ratlos.
Identische Fehlermeldung bei allen Versuchen:
“ Windows 11 die Installation war nicht erfolgreich in der Phase Safe OS ist
während des Vorgangs prepare Rollback ein Fehler aufgetragen 0x80070002-020009 “
Er scheint nach dem Reboot etwas nicht zu finden ( reine Vermutung).
Das Gerät hat einen i7, leider eine Generation zu alt.
Ich habe sowohl die ISO direkt, wie auch USB Stick, mit Rufus erstellt
versucht.
Genutztes ISO:
„Download Windows 11 26100.xxx – 24H2 Release Preview / Retail:
26100.1882.-X64-DE-XXXL-ZERO-LIMIT-24H2-GE-RELEASE.V16.ISO ] https://t1p.de/yi95k
SSE4.2 ist Voraussetzung!“
Was ich nicht verstehe, wenn man sich auf den Desktop die Versionsnummer anzeigen lässt, nach den Update. Steht da immer noch, Windows 11 Pro Inside Preview. Build 26100.ge_release240331-1435.
Wieso steht da Inside? Wenn es doch die Retailversion ist!
https://www.deskmodder.de/blog/2024/10/01/windows-11-24h2-microsoft-hat-die-ersten-offiziellen-retail-isos-auf-die-server-gelegt/#comment-285703
Evtl passt jetzt auch die Übersetzung bei der Installation.
(Diese war teilweise unvollständig)
Ich hab eine blöde Frage.
MCT lädt 2033.
Ist die 2033 jetzt das Checkpoint Update oder noch die 1742?
Immer noch die 1742
Danke👍
Kleiner Fehler beim „Update 10.09.2024“
Wir haben ja den 10.10.2024 und nicht mehr den 10.09.2024 😂👍 aber alles gut 👍
Wollte euch drauf hinweisen
gepostet mit der Deskmodder.de-App für Android
Ach, doch schon.
Hab doch glatt vergessen, meinen Kalender umzuklappen.
Hehe… 😂 Kann jeden Passieren 😀
Das Gute ist bei mir ist mein Kalender Digital 😉 (Handy und co)
gepostet mit der Deskmodder.de-App für Android
Ich bekomme es mit der 24H2 einfach nicht hin die RSAT Tools in der Domain zum installieren auf Clients
Gibts beim MCT keine Home, Pro usw. Versionen?
Das MCT enthält immer alle Versionen. Es wird aufgrund des ausgelesenen Keys automatisch die richtige Version installiert. Wird kein Key gefunden, fragt das Tool welche Version installiert werden soll.
ISO wurde auch Aktualisiert?
Bescheidene Frage am Rande, wo finde ich diese products.xml
https://www.deskmodder.de/blog/wp-content/uploads/2024/10/mediacreationtool-mct-windows-11-24h2-500×302.jpg
Wenn du das MCT gestartet hast, unter C:\$Windows.~WS
Ich habe heute bei einem Kumpel einen Windows 11 24h2 clean install (USB Stick über das aktuelle MCT erstellt) gemacht.
Die Windows Updates durchlaufen lassen.
Und unter C: ist ein Ordner „Windows.old“.
Ist das normal?
Wie gesagt es war ein kompletter clean install kein Upgrade.
Habe bei der nvme SSD alle vorhandenen partitionen gelöscht sodass diese komplett leer war.
Ja ist normal.
in der rechten seitenleiste steht noch „MediaCreationTool 26100.1742“
ms1958
Erledigt, danke
Hat noch jemand das Problem, dass diverse Hardware wie z.B. die Intel I219-LM Netzwerkkarte beim Setup nicht erkannt wird und ein Treiber nachgeladen werden muss? Ich bilde mir ein das ging mit 24H2 ohne einen Treiber laden zu müssen…
das MediaCreationTool läd die 26100.6584 runter.
warum nicht direckt die 26200 als neuer Anfang ?
Darf man fragen wie Du darauf kommst?
https://imgur.com/mNtYl9e
Gerade mit dem MCT heruntergeladen.
Wie man sieht ist 25h2 enthalten.
in der boot.wim xml datei steht 26100.6584
in der install.wim xml datei steht 26200.6584
Das ist doch auch richtig so.
In der Boot.wim integriert man ja auch nicht das Enablement Package Update.
So wie es in der Install.wim wiederum enthalten ist.
Das solltest Du dann auch Microsoft mitteilen. In der aktuellen ISO mit der 26200.6584 ist das Enablement Package (KB5054156) sowohl in der Boot.wim als auch in der WinRE.wim integriert. Es ist zwar noch die alte Version, aber integriert. Bin ich auch erst letztens drüber gestolpert.
hat das denn irgendwelche Auswirkungen, ob das Enablement Package nun in der boot.wim enthalten ist oder nicht?
Kann ich Dir nicht sagen. Microsoft hat es halt integriert. Eventuell hat das wirklich einen bestimmten Grund, welchen ich aber nicht kenne.
eben
deswegen war ich Beunruhigt, wegen dem Unterschied
in der Boot und Install.
Zitat: „Es wird jetzt eine ISO inklusive Oktober Sicherheitsupdate 26200.6899 heruntergeladen“
Inkl. fehlerhafter WinRe?
Unter Windows 10 funktioniert das MCT immer noch nicht.
Zumindest bei mir.
Gehe ich mal von aus, dass auch hier die WinRe kein USB mag. Oder sie haben sie nicht aktualisiert, was ich aber nicht glaube.
Habe mal nachgeschaut.
Ist inkl. des fehlerhaften SafeOS Updates.
Wäre auch ein Wunder, wenn nicht.
Dat stimmt wohl.
Hallo,
ist es sicher, dass mit dem MCT die WinRE USB Maus/Tastatur-Probleme nicht gefixt sind?
Das jetzige MCT soll doch zur 26200.7171 führen.
Wogegen die KB5070773 vom 20. Oktober 2025 als Out-of-Band, das u. a. den WinRE USB Fix enhält, nur zur 26200.6901 und 26100.6901 führt.
Also ist der Build 26200.7171 des MCT jetzt höher, als der Build 26200.6901 des WinRE Fixes.
Ich muss aber zugeben, dass ich mich nicht tiefer damit befasst habe, ob das Out-of-Band nach den MS Regeln inkludiert sein müsste oder nicht.
jedoch …
26200-7171
https://support.microsoft.com/de-de/topic/11-november-2025-kb5068861-betriebssystembuilds-26200-7171-und-26100-7171-2e0512e4-3ad4-4da6-958c-a468a1af949e
… schreibt MS hier: Microsoft sind zurzeit keine Probleme mit diesem Update bekannt (Was suggeriert, dass das WinRE Problem damit behoben ist?)
26200-6901 Out-of-Band
https://support.microsoft.com/de-de/topic/20-oktober-2025-kb5070773-betriebssystembuilds-26200-6901-und-26100-6901-out-of-band-0f533ed7-949a-4b89-8d0f-6ee751adfcd4
Keine Sorge, in der *.7171 ist das alles korrigiert.
MediaCreationTool (MCT) Windows 11 25H2 (aktuell 26200.6899) bei mir noch 26200.6584.
Für was soll das gut sein ? Rufus und fertig – alles GUT auf. Dauer
Nicht jeder kennt Rufus.
Wozu Rufus wenn man sowieso nur die offizielle Iso ohne Anpassungen runterlädt oder sich einen Stick zurecht macht? Dafür reicht das Tool von Microsoft.
Bei mir bleibt der Status beim Download bei 0%.
MediaCreationTool ist viel zu langsam, da haben ihr ja bei Deskmodder sicher schon 100 updates eingepflegt
Jep dass stimmt! Habe gerade USB Stick vorbereitet laut cmd version:
Version: 10.0.26200
Service Pack-Build: 6899
Service Pack-Nummer: 0
Edition: Professional
Morgen werde ich mein Gaming Rechner frisch instalieren. Danke für die info!
Muss man nicht, einfach setup von Windows aus und Upgrade.
Läuft natürlich schneller wenn neu aber wenn den wider alles so läuft ein tag weg.
Und wenn wider alles so ist den merkt man auch nichts mehr vom neu
Ich mach eigentlich nur neu wenn neue Windows version kommt von win 10 nach win 11 nach win 12, sonst eigentlich nur Image wo draufkommt
Und bei neuen PC neue installation.
Leute welche version wird derzeit mit MCT Heruntergeladen? Version 10,0.26100.(7019.) oder alte: 26200.(6899) habe ich nicht genau verstanden.
Dafür ist ein extra Absatz im Beitrag enthalten.
Also doch die alte: (aktuell 26200.6899). Schade… Wann werden die ISOs auf msdn aktualisieren?
Meinst du jetzt die MVS ISOs? Immer am 3. Dienstag im Monat
Ja genau! Na dann warte ich bis frische ISOs MVS/msdn direkt von microsoft gepostet werden. Schade das die tool von microsoft ladet alte versionen… Bei Apple funtioniert bestens mit macOS oder iOS. Sobald gibt es neueste version kann mann sofort herunterladen. Andere frage, warum gibt es hier keine macOS themen? Ich benutze beide systeme und wünsche im zukunft das hier auch aktuelle news zu macOS gibt.
Jede Firma handhabt es anders. Die aktuellen sind in unseren ISO-Beiträgen.
Zur anderen Frage: Dazu müssten wir auch Leute haben, die es einmal nutzen, bzw. sich dafür interessieren, um hier tägliche News zu posten.
Das passt schon. Die aktuelle ISO von Microsoft ist immer die mit dem Sicherheitsupdate vom monatlichen Patchday. Optionale oder Out-of-Band Updates werden hier nicht berücksichtigt. Die nächste MVS ISO kommt dann im November mit dem Sicherheitsupdate vom November. Ob der Download vom MCT dann auch aktualisiert wird, muss man abwarten. Das wird von Microsoft eher unregelmäßig aktualisiert.
Wie kann mann: products.xml anschauen auf den usb stick?
https://www.deskmodder.de/wiki/index.php?title=MediaCreationTool_Welche_Version_wird_heruntergeladen_Windows_10
Ist auch für Windows 11
Früher gab es sehr sehr selten neue Versionen vom MCT und jetzt plötzlich gefühlt jeden Monat nach dem P-Day
die welt steht nicht still und die entwicklung und angriffe auch nicht.
das konnt man mit win 7 noch machen wo der Normalo user Win 7 installierte und den 3 stunden updat terror bis alles aktuell war.
heute läht man das mct runter und installiert immer die neuste version von win 11 ohne nachher noch öfters Win uipdates klicken oder ne 10 meter lange Liste in Updater.
Ja Win 7 / 8.1 waren echt mühsam, aber auch bei Win 10/11 war es früher immer nur vom letzten Feature Update oder so. Immerhin muss dort nur 1x das monatliche Update drauf und alles up to date
Win 7 war mühsam ????
Bis vor kurzem gab es da an jedem 12. eins Monats zwei updates die man recht schnell herunterladen konnte und installieren und, das wars dann auch. Da sie kumulativ waren, konnte man sogar mal eins auslassen…
Ja im installierten Moment ja
Aber wenn jetzt von einer win 7 CD/stick installiert, wo ja meistens nicht wie heute schnell bei Deskmodder das neuste Update iso geladen hast. Da zuerst 80 plusminus Updates installiern mußte bis aktuell
Zitat: Bei den Problemen mit ARM-Geräten hatte das optionale Update KB5067036 schon nachgeholfen.
Dann kann ja dieser Hinweis:
Als Hinweis: Derzeit funktioniert das MCT unter ARM nicht. Als Workaround bietet Microsoft nur an, das MCT auf einem x64-PC zu nutzen.
bei den Links zum MCT entfernt werden.
Gruß
Ich hatte schon aufgeräumt. Blieb also doch noch was übrig.
Danke Tekkie, ist raus.
How to check inside the ISO if that build downloaded is as mentioned? Which file to check its version?
https://www.deskmodder.de/wiki/index.php?title=Windows_ISO_Informationen_herausfinden
Ich benutze ventoy
Also ich lade das MCT immer nur zum Release der xxH2 Version. Damit aktualisiere ich dann meinen USB Stick und speichere mir eine ISO. Für Inplace Upgrade oder Neuinstallation reicht mir das auch wenn dann erstmal Updates nachinstalliert werden müssen. Da ich nur alle 2 – 3 Jahre mal den Stick oder ne Iso brauche ist es den Aufwand nicht wert jeden Monat zu aktualisieren.
Betrifft mich nicht. Ich habe die 25h2 Version schon am 14.10 auf meinen Rechnern installiert nach dem es mit Windows 10 zu Ende ging, und ich hatte keine Lust aufs esu für Windows 10. Nach so langer Windows 10 Zeit wird es auch mal Zeit für was neues.
Ganz ohne Rufus. Und umgehen der systemaforderungen. 😀👍
Gestern das ISO von dort geladen und das war schon die Windows 11 25H2 26200.7623
Funktioniert der Befehl „start ms-cxh:localonly“ damit noch?
Da hat sich nichts geändert
Besten Dank!
Ich habe durch die Glaskugel gelesen:
Jetzt gibt es monatlich
ein 4 GIG Update, umgehend
das 4 GIG Korrekturupdate und folglich dann
das MCT Tool für
den 4 GIG Iso Download.
Kann das jemand bestätigen ?
Man kann sich ja gar nicht vorstellen, was man alles runterladen müsste,
wenn Redmont nicht so besonders auf den effektiven Fehlerbereinigungsvorgang setzte.
Nicht nur jetzt, das war auch vorher schon so.
Aber die 4 GB sind das komplette Update, nicht nur die Korrekturen. Also keine Änderung gegenüber vorher.
Hmm also der Deskmodder iso Service ist 100x besser und aktueller und schneller.
Danke an das Deskmodder und das Iso zusammenstell Team. 👍👍👍👍👍😎😎😎😎
Das MCT-Setup verhält sich anders als bisher, wenn ich wie sonst eine pid.txt mit in den Setup-Ordner (WWS\Sources) lege, wird die nun nicht mehr automatisch mit auf den USB-Stick kopiert! Drvs dito!
ich nemen ein Deskmodder iso und lade die iso mit ultraiso mit der iso und die pid.txt reinlegen und speichern.
hab schön alle Pid.txt für Win 11 und 10, winserver 2025 in einem desktop ortner.^^
MediaCreationTool das hab ich zwischen durch mit win 10 Gebraucht, aber win 11 nie mehr, da musste ich ja leider noch die RP version haben, betas/dev gabs ja nur zwischendurch. ^^
25H2 26200.8246 heruntergeladen mit dem aktuellen MediaCreationTool und hat 26200.8246 installiert, nun wird schon zum 3. mal das Update 2026-04 Sicherheitsupdate (KB5083769) (26200.8246) heruntergeladen und installiert!
Könnte durchaus sein, dass es ausreicht den Update Cache zu leeren.
https://www.deskmodder.de/wiki/index.php?title=Windows_11_Update_reparieren_Cache_leeren_die_verschiedenen_Lösungen
Ja das war erfolgreich, noch eine Frage zum MediaCreationTool (MCT) Windows 11 25H2 (aktuell 26200.8457) herunterladen und auf Stick speichern, ist das dann ein „2023er“ Stick oder noch ein „2011er“ weil SB2011 ist bei uns schon alles geblockt und 2011er starten nicht mehr von USB.
Bin ich überfragt. Aber wohl 2011.
The Installation Process: When you use the Media Creation Tool (MCT) to create bootable media, the installer automatically applies the correct boot manager (CA 2011 or CA 2023) depending on whether your motherboard’s UEFI firmware has already been updated to support the 2023 certificates.
laut NTLITE Threats
Ob das noch so stimmt?
Scheint nicht zu klappen. Gerade mal mit dem aktuellen MCT (26200.8457) getestet. Obwohl das „Windows UEFI CA 2023“ im UEFI vorhanden ist und von Windows auch so weit verwendet wird, wird der Stick nur mit dem alten CA 2011 erstellt. Den muss man im Anschluss selber mittels bcdboot auf CA 2023 aktualisieren. Aber solange das CA 2011 nicht widerrufen wurde, ist da noch nicht so wichtig.
Hat Microsoft irgendwas geändert mit Boot Zertifikaten oder sonst was?
Wir installieren viele Geräte für Kunden auf der Arbeit vor.
Keiner meiner Windows Sticks wird mehr genommen.
Egal ob mit Rufus oder mit dem Media Creation Tool erstellte.
Auch Windows 10 Sticks funktionieren nicht mehr.
Was ist da los?
Habs mit mehreren Sticks auf mehreren Geräten probiert.
Nichts geht mehr.
Die CA 2011 wurde noch nicht widerrufen. Es sei denn, du hast da etwas geändert und die CA 2011 wird jetzt blockiert. Dann kommt es dazu dass die Sticks nicht gehen.
Es war tatsächlich Secure Boot.
Ausgeschaltet und die Geräte nehmen die Sticks auf einmal wieder.
Im Moment muss ich es also ausschalten, installieren und dann wieder aktivieren.
Microsoft müsste dringend sind Images und das MCT überarbeiten.
Selbst damit ganz frisch erstellte Sticks nehmen die Geräte nicht an.
Wie verhält es sich dann mit den aktuellen MCT Downloads?
Muss dieses Prozedere (Deskmodder-Link) beim aktuellen MCT Download dann noch durchgeführt werden?
https://www.deskmodder.de/blog/2025/02/04/mit-einem-powershell-skript-windows-bootmedien-fuer-das-windows-uefi-ca-2023-zertifikat-aktualisieren/
Nein, das sollte jetzt alles auf dem aktuellen Stand sein.
DANKE
Noch eine Frage…
…mus bei der Erstellung eines USB-Sticks mit Rufus die Option:
„Den „Windows CA 2023″ signierten Bootloader verwenden. Ein kompatibler Computer ist erforderlich!“
angehakt werden? Oder ist dies bereits der Fall, wenn ich die ISO auch ohne gewählte Option auf einen USB-Stick spiele?
Solange Microsoft beide Zertifikate nutzt, muss der Haken nicht gesetzt werden.
Ansonsten kann die ISO auf einem älteren PC nicht verwendet werden.
Ebenso DANKE, was im nachhinein auch logisch klingt.
Ich habe jedoch neue BIOS’e für meine Notebooks bekommen, in denen das CA 2023 hinterlegt ist, was für mich keine Einschränkung bedeuten würde. Jedoch schließt es natürlich nicht aus, dass ich diesen Stick auch mal an ein Notebook hänge, bei dem die Bootloader nicht aktualisiert sind! Daher vielleicht wirklich der bessere Weg!
WIN11 25H2 26200.8653 ???
Ich dachte wir wären bei 26200.8655 ??!!
https://support.microsoft.com/de-de/topic/updateverlauf-von-windows-11-version-25h2-99c7f493-df2a-4832-bd2d-6706baa0dec0
was ist denn die .8653 ?
Die .8653 ist die ESD-Version für diesen Monat. Frag mich nicht warum, aber die stand intern auch zur Verfügung.
umsonst geladen…
.8653 funktioniert hier nicht, (kein Booten möglich) die .8655 dagegen schon?!
Hat das evtl. was mit SVN 9.0 zu tun?
Ich teste gerade. Ich habe mir da diesbezüglich auch schon Gedanken gemacht.
@DK2000
Hallo,
du schriebst „wo alle CA 2023 Zertifikate installiert sind, SVN 9.0 und CA 2011 noch nicht widerrufen wurde“.
.
Wenn also SVN 9.0 widerrufen wurde, dann sollte das ja ein (demnächst?) ablaufendes Zertifikat sein.
.
Wie lautet der Zertifikatsname des SVN 9.0 und wie lautet der Zertifikatsname des 10.0 ?
.
Ich schau mir das seit paar Wochen an und habe inkl. KEK faktisch alle neuen 2023er Zertifikate in den diversen UEFI DBs auf dem aktuellsten Stand. Aber einen Zertifikatsname der einen Hinweis auf SVN oder auf SVN #.0 aufzeigt, ist mir bisher noch nicht aufgefallen.
Danke
CA 2023 mit SVN 9.0 ist aktuell. Das kam ja gerade erst am Patchday. Die MCT ISO bootet hier bei mir, jedenfalls in der VM, wo das CA 2011 noch aktiv ist. In der VM, wo CA 2011 widerrufen wurde, natürlich nicht. Hier muss der Bootmanager aktualisiert werden. Beide VMs haben aber SVN 9.0.
Das SVN ist nur ein Hash für die DBX, welches eigenständig eingespielt wird. Das ist kein Zertifikat im eigentlichen Sinn.
Also SVN 9.0 passt. Das muss bei Dir einen anderen Grund haben. Wurde bei Dir schon das CA 2011 widerrufen? Das Image verwendet zum Booten noch das alte Zertifikat.
Ja, (2011er) von hp schon widerrufen -mit dem Mai Updates -auf allen PC.
Nur die .8655 „geht noch“, ältere booten hier nicht mehr.
Frage, wenn Boot Probleme wie kann das CA 2011 ggf. wieder aktiviert werden ? Bei mir ist das so:
PS C:\Windows\System32> [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbx).bytes) -match ‚Microsoft Windows Production PCA 2011‘
False
PS C:\Windows\System32> [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match ‚Windows UEFI CA 2023‘
True
PS C:\Windows\System32>
Wurde es einmal widerrufen, kann man es nicht wieder aktivieren.
Hm, das sehe ich anders.
A) Wenn ein aktuelles UEFI/BIOS update des Herstellers keine 2023er Zertifkate enthält, aber durch das Windows Update mit den 2023er Zertifkate angereichert wurde, dann kann im UEFI unter secure boot bei den secure boot DBs durch reset to factory default der Zustand mit den 2011er zertifikaten wieder hergestellt werden, wobei die 2023er aber auch entfernt werden. Die DBx, sprich die Datenbank für die widerrufenen Zertifikate muss dann evtl. auch gelöscht/resetet werden, falls dort die Hashwerte der wirderrufenen 2011er Zertifikate gelistet sind. Normal lassen sich dort die einzelnen Hashwerte löschen. Ist halt nur mühsam aus den unsortierten Hashwerten die Hashwarte der alten 2011er zu suchen, Zudem muss man erstmal die Hashwerte der 2011er Zertifikate parat haben.
B) Wenn ein aktuelles UEFI/BIOS update des Herstellers jedoch die 2023er Zertifikate inkludiert, dann kann mit einem DOWNGRADE auf eine ältere UEFI/BIOS Version, die die neuen Zertifikate noch nicht inkludiert, ebenso erreicht werden. Da ein UEFI/BIOS downgrade aber die Inhalte der diversen Secure boot DBs im Regelfall nicht ändert, müssen diese DBs nach dem UEFI/BIOS downgrade wie unter A) benannt resetet werden und ggf. die DBx.
Hinweis: reset to factory default o.s.ä. bezieht sich hier nur auf die Secure Boot DBs. Es gibt im UEFI/BIOS auch einen weiteren Reset, der sich auf alle anderen Einstellungen – aber nicht auf die Secure Boot DBs – bezieht.
Ja, der Reset bezieht sich nur auch die „Current“. Hier werden dann die „Defauts“ wiederhergestellt. Wenn das CA 2011 in den „Defaults“ als Widerrufen drinsteht, dann kann man das nicht mehr rückgängig machen. Und ob ein Downgrade geht, müsste man testen. Nicht jedes UEFI lässt das zu.
Am Besten mal dieses Paket herunterladen:
https://github.com/cjee21/Check-UEFISecureBootVariables
Hier dann die „Check UEFI PK, KEK, DB and DBX.cmd“ ausführen. Da siehst Du dann genau, was in Current und Default eingetragen ist und ob das CA 2011 noch gültig ist oder nicht.
Zum Abfragen der Inhalte der DBs des UEFI unter Windoiws finde ich das folgende besser:
cmd (as admin)
powershell
—
in der Powershell vorbereitend:
Set-ExecutionPolicy -ExecutionPolicy RemoteSigned
—
Install-Module -Name UEFIv2 -Force
(damit die Installation klappt, meldet Powershell:)
Der NuGet-Anbieter ist erforderlich, um den Vorgang fortzusetzen.
PowerShellGet erfordert die NuGet-Anbieterversion 2.8.5.201 oder höher ….
….
Möchten Sie den NuGet-Anbieter jetzt durch PowerShellGet installieren und importieren lassen?
[J] Ja [N] Nein [H]
-> press [J] Ja
—
danach einzeln auslesen
.
(get-uefisecurebootcerts PK).signature
(get-uefisecurebootcerts KEK).signature
(get-uefisecurebootcerts DB).signature
(get-uefisecurebootcerts DBx).signature
.
also wäre vor einem reset factory default die Abfragen der Inhalte der default DBs angebracht
.
das gelingt so ( Zeilen einzeln abarbeiten):
.
(get-uefisecurebootcerts PKDefault).signature
(get-uefisecurebootcerts KEKDefault).signature
(get-uefisecurebootcerts DBDefault).signature
(get-uefisecurebootcerts DBxDefault).signature
Die DBx Abfrage liefert die einzelnen Hashwerte, welche durchaus mehr als 400 sein können. Die DBx abzufragen macht wohl nur dann Sinn, wenn es um Identifikation widerrufener 2011er cer geht. Den Output der DBX kann man dann den Hashwerten der 2011er cer gegenüberstellen. Auf meinen PCs kann man einzelne Hashwerte es der DBx löschen, somit wären bei mir gesperrte 2011er aus der DBx löschbar.
Wenn die Default DBs keine 2011er Cer enthalten, dann wäre UEFI/BIOS downgrade denkbar, sofern man die 2011er nochmal brauchen würde.
btw: Auf meinen PCs kann man einzelne Hashwerte es der DBx löschen…
Darf ich dich mal nach deiner Hardware und Bios-Version fragen?
z.B.Fujitsu Esprimo Workstation
lol, alles klar dachte schon gleich an so eine „Museale Hardware“
Alle Geräte sind 3 Jahre alt, haben i12 und erfüllen alle Voraussetzungen für Win 11. UEFI/Bios ist vom Frühjahr 2026. Obwohl Fujitsu restriktiv unterwegs war, ist die DBx wie benannt editierbar.
Ja, das geht auch. Aber das Skript zeigt das schön übersichtlich dar. Und zeigt auch die SVN an. Ist aber letztendlich auch nur PowerShell.
Und DBX schwankt gerade etwas. Werden dann wohl demnächst seitens Microsoft 442 Einträge bzw. 443, je nachdem, ob CA 2011 widerrufen ist oder nicht.
Mit SVN bin ich hier und heute das erste mal konfrontiert. Deiner vorherigen Antwort meine ich zu entnehmen, dass es dabei wohl doch nur um die Existenz der Hashwerte der 2011er cer in der DBx gehen könnte? Also würd ich auf Anhieb interpretieren, dass deine cmd/scripte wohl auch nur nach den 2011er Hashwerten in der DBx suchen?
.
Meinst du wirklich, dass nur „ein“ 2011er Zertifikat pesperrt wird? Von den 2011ern gibts doch vier …
.
Könntest Du mal die zum SVN zugehörigen Zeilen aus dem srcipt posten?
Funkt bald vieles nicht mehr.
1. DOWNGRADE ist z.B. bei hp nur über den Support möglich, dann auch nur wenn die zustimmen und dir das nötige senden, wird bald fast überall (cn/tw/us/EU-Hersteller) so sein.
2. reset to factory default: wenn auf 2023 umgestellt (per Bios vom Hersteller) dann bei (Reset) bleibt es auf 2023 ist doch logisch und nachvollziehbar.
3. Security Chips auf HW, usw. wird das ganze noch auf eine neue Stufe heben.
4. neue Win-Versionen läufen bald nicht mehr auf zu alter Hardware.
usw.