Bild 30.07.2026, 15:52: Bei Current PK wird ein grüner Haken ohne Bezeichnung angezeigt, das ist seltsam.
Das kann ein korrupter Eintrag sein. Mit korruptem PK lässt sich kein KEK hinzufügen.

Als Versuch kann ein KEK Update angefragt werden und das Verhalten betrachtet werden.
reg add HKEY_LOCAL ...

Hier waren die 2023 Key in den Default Tabelle.
Die bestehenden Current Tabelle einer bestehenden virtuellen Maschine wurden nicht aktualisiert.
Das enstpricht dem Verhalten eines BIOS Updates, bestehende Current Tabellen werden beibehalten.
Die Current Tabelle einer alten bestehenden virtuellen ...

VMware® Workstation Pro 26H1 / Windows 11 Pro Gerätesicherheit Sicherer Start ist aktiviert, das autom. Update Zertifikat nicht unterstützt.
Secure Boot Certificate Expirations and Update Failures in VMware Virtual Machines
https://knowledge.broadcom.com/external/article/423893/secure-boot ...

Kann man die Zertifikate downloaden, inkl. einer Anleitung.
Da kommen wir aber einen Punkt, wo es bei mir hapert. Ich hab so tief ins BIOS/UEFI noch nie eingegriffen.
Das von dir gefundene Beispiel bezieht sich auf insyde H20-BIOS. Das passt doch ganz gut.

Es gibt ja nen Grund , warum das Update ...

Am 24.6.26 wurde Microsoft Corporation KEK CA 2011 ungültig. Warum wird sie nicht auf revoked True gesetzt? Das Datum bezieht sich auf neu zu zertifizierende Dateien.
Bestehende signierte KEK CA 2011 Dateien bleiben gültig, bestehende DB, DBX Dateien können von der Betriebssystemebene eingespielt ...

Die Windows CDBoot SVN ist mir unklar.

Ein Fall: NVRAM:
Windows BootMgr SVN : 8.0
Windows CDBoot SVN : 3.0

Eine SVN 7.0 DVD gebootet:
Secure boot version check failed.
Current Version 7.0 - Minimum allowed Version 8.0
Die Windows BootMgr SVN wird angemeckert, nicht die Windows CDBoot SVN.



Ein ...

Die ESD Dateien sind noch auf dem Stand Mai 2026, SVN 8.0
https://www.deskmodder.de/blog/2025/06/28/windows-11-25h2-26200-iso-esd-deutsch-english/

Windows Media Creation Tool erstellt einen USB Stick mit den Mai 2026 ESD Dateien als Grundlage.
Mit Make2023BootableMedia.ps1 ergibt das ein CA 2023 ...

Im UEFI finde ich keine Option die Secure Boot Einträge zu löschen. Wahrscheinlich müsste ich erst die Standard Schlüssel installieren, danach gab es glaub die Möglichkeit sie zu löschen. Die Standard Schlüssel sind Bestandteil vom BIOS, nicht änderbar. Bei einem BIOS Reset werden die Einträge in ...

Gigabyte Z97M-D3H mit i3-4130 / Win11 25H2 Build: 26200.8457

Kann ich als "Laie" da groß was machen oder muss ich auf ein zukünftiges Microsoft Sicherheits Update hoffen?
PK By OEM 'TestSub' zeigt einen Testschlüssel, dazu gibt es keinen signierten KEK CA 2023 Eintrag.
Windows Update kann da ...

Willi11 hat geschrieben: 03.06.2026, 19:51hp Prob mit UEFI DB CA 2023 ?

Vorhanden sind KEK CA 2023, DB, CA 2023, DBX CA 2011 und SVN 8: Für single boot Windows 11 alles klar, keine Probleme

Aktualisiere zusätzlich eventuell vorhandene Bootmedien.

"Windows UEFI CA 2023" vorhanden, 3P Third Party Key fehlt klingt erst mal brauchbar.
Knappe NVRAM-Resourcen hört sich nicht so gut an.
Da ist unklar, was in der Zukunft DB und DBX noch gepfegt werden kann. Die CA 2011 ist mittelflistrig in der DBX zu sperren und die SVN zu pflegen.

Starte das ...

die wahrscheinlich auch bei vielen anderen älteren Geräten funktioniert,
Danke, der Ansatz funktioniert auf Geräten, für die ein HP KEK CA 2023 existiert.

Gibt es die
(Get-SecureBootUEFI -Name PK -Decode).SerialNumber
ohne eventuell führende Nullen auf
https://github.com/microsoft/secureboot ...

bei meinem Laptop Acer Travelmate P614-52 steht aktuell noch, dass das automatische Update des Zertifikates für sicheres Starten aufgrund Hardware- oder Firmwareeinschränkungen nicht unterstützt wird. Das neueste BIOS ist auf alle Fälle installiert. Für den TravelMate TMP614-52P ist ein BIOS Update ...

@Halex
Der CA2023 KEK Eintrag fehlt. Nicht schön, aber erst mal kein Beinbruch.
Der Microsoft Corporation KEK CA 2011 läuft am 24.06.2026 aus.
Wenn ich das richtig verstehe, werden danach mit CA 2023 signierte dbx Einträge nicht hinzugefügt, das schlägt fehl.
Get-SecureBootSVN bleibt auf dem ...

In der Tat blockiert HP mit fehlendem SBKPFV3 die Installation der Zertifikate aus Windows heraus und das Bios selbst kennt sie nicht. ABER: eine EFI-Datei darf die neuen Zertifikate einspielen.
Gratulation.

Was passierte mit der KEK Tabelle?
In der KEKdefault HP ProBook 470 G5 mit BIOS 01.31 ...