@Bodu Danke Dir, Ich belasse das jetzt so.

[quote=Kulle9935 post_id=462829 time=1790928080 user_id=49566]Das Bios ist von 2022, ein neues gibt es nicht. Hat soweit alles geklappt. Nur habe ich im Checker noch Rote Hacken drin.[/quote]Die rote Hacken beziehen sich auf das alte BIOS, die Voreinstellung vom Hersteller hat keine CA2023 Einträge.
Die aktiven "current" sind grün, die aktiven Einträge passen. Belasse das so.

[quote]Load BIOS defaults bringt nichts da von 2022.[/quote]Load BIOS defaults mit secure boot reset würde wieder die alten CA 2011 Einträge aktiv setzten. Das gilt es zu meiden. Bzw. falls ein BIOS reset mit secure boot factory reset aus anderen Gründen angebracht ist, sind dann die CA2023 Einträge wieder zu setzten, C:\Windows\Boot\EFI\SecureBootRecovery.efi ist dann ein Ansatz.

[attachment=0]Zertifikate.jpeg[/attachment][attachment=1]Screenshot 2026-10-01 171504.png[/attachment]Hi All
Ich habe von meinem Kumpel auf Einen Huawei MateBook 16D Baujahr 2021 die Zertifikate Mit Windows 26H2 eingespielt.
Das Bios ist von 2022, ein neues gibt es nicht. Hat soweit alles geklappt. Nur habe ich im Checker noch Rote Hacken drin.
In dem SecureBootCertChecker ist aber alles Okay sie Screenshots. In der Registry steht ConfidenceLevel - HighConfidence.
Die 3 Apply,s Befehle hab ich aus geführt. Muss ich noch etwas tun? wie bekomme ich die Roten Hacken noch weg falls nötig?
Im BIOS kann ich nicht viel machen , sehr Spartanisch. Load BIOS defaults bringt nichts da von 2022.
Kann ich es so belassen? Danke Euch

https://ibb.co/FqWDfdk3

btw: Secure Boot Certs - Realtek Unified Extensible Firmware Interface 2011 und 2023 Links
[code]
https://ibb.co/FqWDfdk3
[/code]

@DK das hat den folgenden Grund:
https://support.hp.com/us-en/security-bulletins
8B4E AMI F30 Bios (Rev.4)

und nicht von der DE-Site
https://support.hp.com/de-de/security-bulletins
da kommt oft immer alles später rein.

17 Sep 2026
------------------------------------------------------------
HW : HP HP All-in-One Desktop 27-cr0xxx - HP 8B4E
FW : AMI - F.30 - 17 Mrz 2026
OS : Windows 11 - 26H2 (Build 26300.9457)

Detected AMD64/X64 UEFI architecture. Ensure that this is correct for valid DBX results.

Secure Boot status: Enabled

Current UEFI PK
√ HP UEFI Secure Boot PK 2017

Default UEFI PK
√ HP UEFI Secure Boot PK 2017

Current UEFI KEK
√ Microsoft Corporation KEK CA 2011 (revoked: false)
√ Microsoft Corporation KEK 2K CA 2023 (revoked: false)
√ HP UEFI Secure Boot KEK 2017 (revoked: false)

Default UEFI KEK
√ Microsoft Corporation KEK CA 2011 (revoked: false)
√ Microsoft Corporation KEK 2K CA 2023 (revoked: false)
√ HP UEFI Secure Boot KEK 2017 (revoked: false)

Current UEFI DB
√ Microsoft Windows Production PCA 2011 (revoked: true)
X Microsoft Corporation UEFI CA 2011 (revoked: false)
√ Windows UEFI CA 2023 (revoked: false)
√ Microsoft UEFI CA 2023 (revoked: false)
√ Microsoft Option ROM UEFI CA 2023 (revoked: false)
√ HP UEFI Secure Boot DB 2017 (revoked: false)

Default UEFI DB
√ Microsoft Windows Production PCA 2011 (revoked: true)
X Microsoft Corporation UEFI CA 2011 (revoked: false)
√ Windows UEFI CA 2023 (revoked: false)
√ Microsoft UEFI CA 2023 (revoked: false)
√ Microsoft Option ROM UEFI CA 2023 (revoked: false)
√ HP UEFI Secure Boot DB 2017 (revoked: false)

Current UEFI DBX
√ Microsoft Windows Production PCA 2011
2026-07-14 [AMD64]          : SUCCESS: 291 successes detected
Windows BootMgr SVN         : 11.0
Windows CDBoot SVN          : 3.0
Windows WDSMgFw SVN         : 3.0
Statistics                  : 483 SHA256 hashes, 1 X.509 certs, 4 SVNs

Size statistics (Bytes)
PK                          : 1228
KEK                         : 4296
db                          : 7268
dbx                         : 25059
SetupMode                   : 1
SecureBoot                  : 1
dbt                         : 0 or unable to determine
Total size                  : 37853
PKDefault                   : 1228
KEKDefault                  : 4296
dbDefault                   : 7268
dbxDefault                  : 11064
dbtDefault                  : 0 or unable to determine
Total default size          : 23856

Drücken Sie eine beliebige Taste . . .

[quote=DK2000 post_id=462391 time=1789296526 user_id=39966]
Jetzt ist das CA 2011 widerrufen. Jetzt booten nur noch ISOs/Sticks mit dem neuen Zertifikat.
[/quote]

Sicher?

[code]
17 Sep 2026
------------------------------------------------------------
HW : HP HP All-in-One Desktop 27-cr0xxx - HP 8B4E
FW : AMI - F.30 - 17 Mrz 2026
OS : Windows 11 - 26H2 (Build 26300.9457)

Detected AMD64/X64 UEFI architecture. Ensure that this is correct for valid DBX results.

Secure Boot status: Enabled

Current UEFI PK
√ HP UEFI Secure Boot PK 2017

Default UEFI PK
√ HP UEFI Secure Boot PK 2017

Current UEFI KEK
√ Microsoft Corporation KEK CA 2011 (revoked: false)
√ Microsoft Corporation KEK 2K CA 2023 (revoked: false)
√ HP UEFI Secure Boot KEK 2017 (revoked: false)

Default UEFI KEK
√ Microsoft Corporation KEK CA 2011 (revoked: false)
√ Microsoft Corporation KEK 2K CA 2023 (revoked: false)
√ HP UEFI Secure Boot KEK 2017 (revoked: false)

Current UEFI DB
√ Microsoft Windows Production PCA 2011 (revoked: true)
X Microsoft Corporation UEFI CA 2011 (revoked: false)
√ Windows UEFI CA 2023 (revoked: false)
√ Microsoft UEFI CA 2023 (revoked: false)
√ Microsoft Option ROM UEFI CA 2023 (revoked: false)
√ HP UEFI Secure Boot DB 2017 (revoked: false)

Default UEFI DB
√ Microsoft Windows Production PCA 2011 (revoked: true)
X Microsoft Corporation UEFI CA 2011 (revoked: false)
√ Windows UEFI CA 2023 (revoked: false)
√ Microsoft UEFI CA 2023 (revoked: false)
√ Microsoft Option ROM UEFI CA 2023 (revoked: false)
√ HP UEFI Secure Boot DB 2017 (revoked: false)

Current UEFI DBX
√ Microsoft Windows Production PCA 2011
2026-07-14 [AMD64] : SUCCESS: 291 successes detected
Windows BootMgr SVN : 11.0
Windows CDBoot SVN : 3.0
Windows WDSMgFw SVN : 3.0
Statistics : 483 SHA256 hashes, 1 X.509 certs, 4 SVNs

Size statistics (Bytes)
PK : 1228
KEK : 4296
db : 7268
dbx : 25059
SetupMode : 1
SecureBoot : 1
dbt : 0 or unable to determine
Total size : 37853
PKDefault : 1228
KEKDefault : 4296
dbDefault : 7268
dbxDefault : 11064
dbtDefault : 0 or unable to determine
Total default size : 23856

Drücken Sie eine beliebige Taste . . .
[/code]

Jetzt ist das CA 2011 widerrufen. Jetzt booten nur noch ISOs/Sticks mit dem neuen Zertifikat.

Okay DK2000
Habe die 3 Apply.. CMD,s nochmal ausgeführt.
Jetzt schaut es so aus, Haken ist wieder grün.
So lassen ? Und danke für deine Hilfe.
[attachment=1]4.png[/attachment]
[attachment=0]5.png[/attachment]

Unter "C:\Windows\system32\SecureBootUpdates" kann jeder nachschauen,welche Securebootupdates,
am letzten Patchday von MS aktualisiert wurden.
Einfach die 3 "Apply....cmd`s" aus dem Githubscript nachmal ausführen.Die drei Aufgaben werden nach einen Neustart ausgeführt.
Bei Microsoft Windows Production PCA 2011 steht jetzt bei mir (revoked: true).
SVN war vor der Aktualisierung noch 8.0,jetzt 11.0.

Hab nur das noch gefunden
Ereignisanzeige TPM-WMI 1808
[attachment=0]3.png[/attachment]

Nein, das ist ein Missverständnis mit dem CA 2011.

Es ist bei Dir immer noch Grün, aber in der DB.

Der untere Teil, wo es jetzt Rot markiert ist, das ist die DBX. Hier kommt es rein, wenn es widerrufen wurde und somit gesperrt ist.

Bei Dir ist das aber noch nicht der Fall.

Danke DK2000
Da werde ich mich mal überraschen lassen müssen.
Einen Bootstick für SVN 11 habe ich erstellt. Das Microsoft Windows Production PCA 2011 war aber
vorher drin, also Grün, Seltsam. Kann doch eigentlich nicht sein das es bei jeder Aktualisierung so ein Theater gib.

Jetzt hab ich ein Rotes X bei Microsoft Windows Production PCA 2011

[code]Jetzt hab ich ein Rotes X bei Microsoft Windows Production PCA 2011[/code]

Das bedeutet hier nur, dass es noch nicht in der DBX eingetragen wurde und nach wie vor gültig ist.

Das passt alles soweit bei Dir.

Und warum bei Dir jetzt "No Data Observed - Action Required" steht, keine Ahnung. Aber würde da nichts weiter machen.

[attachment=0]2.png[/attachment][attachment=1]1.png[/attachment]Guten Morgen
Muss mich zu dem Thema nochmal melden.
Habe das neuste BIOS von Asus Version 3644 vom 2026/08/27 und den
SVN Zähler mit 0x0200 aktualisiert Win11 215H2 26200.9445.
Jetzt hab ich ein Rotes X bei Microsoft Windows Production PCA 2011
sowie SecureBoot\Servicing den Eintrag ConfidenceLevel - No Data Observed - Action Required
was übersetzt heißt Handlungsbedarf erforderlich.
Was soll ich da machen, vorher war alles Okay und high Confidence.
Bräuchte bitte eure Unterstützung, danke

Du musst natürlich jetzt ggf. auch Deine Boot Sticks aktualisieren. Die benötigen jetzt auch den Bootmanager mit SVN 9.0 oder neuer. Altere Sticks booten dann nicht mehr.