Windows Secure Boot-Zertifikate

[oli88]

@ DK2000: vielen Dank für deine Unterstützung aber leider finde ich auf meinem PC
weder "Show UEFI PK, KEK, DB and DBX.cmd" noch "Check UEFI PK, KEK, DB and DBX.cmd",
das du mir in deinem zweiten Screenshot aufzeigst.
Du musst mir jetzt nochmals genau sagen, wo und was ich eingeben soll? Oder muss ich da noch etwas downloaden?
Oder wie komme ich nun zu dieser Ausgabe wo auch van Neel im vorherigen Beitrag gezeigt hat.
Danke nochmals.

[Tante Google]

[DK2000]

Das gibt es hier:

https://github.com/cjee21/Check-UEFISecureBootVariables

Sind ein paar Skripte für die PowerShell mit ein wenig Aufbereitung der Ergebnisse. Dachte, dass hattest Du schon heruntergeladen, weil Du es ja selbst verlinkt hattest.

Auf der Seite auf das grüne "Code" gehen und hier dann auf "Download ZIP".

[van Neel]

(editiert)

Noch drei evtl dumme Fragen:

- Auf einem PC, der Secure Boot laut Check UEFI KEK, DB and DBX.cmd gar nicht aktiviert hat (enabled im UEFI, aber mit "anderes Betriebssystem" anstatt "WindowsUEFIModus" ) funtionieren diese Befehle vermutlich nicht?

- Kann man das bedenkenlos Umstellen im UEFI (also auf WindowsUEFI). Auf dem Rechner läuft Win11 26100.4946

- kann man Schlüssel "AvailableUpdates" wieder bedenkenlos löschen wenn alles getan ist, oder gab es den schon vorher nur mit einem anderen Wert?

[oli88]

Hallo DK2000,
danke nochmals für deine Rückmeldung.
Ich habe das nun über github heruntergeladen. Ich habe nun das Windows-Befehlsskript "Check UEFI KEK, DB and DBX" als Administrator ausgeführt und siehe da, es hat funktioniert.
Obwohl ich bei PC und Notebook mit der gleichen Anleitung vorgegangen bin, habe ich nun zwei verschiedene Ergebnisse erhalten, die auch zu deinem Screenshot (Seite 3 / Eintrag vom 13.08.2025, 18:44) abweichen. (bei mir sind weniger grüne Haken als bei dir)
Kannst Du dir das bitte nochmals anschauen? Was meinst Du dazu?
Passt das nun mit den neuen Zertifikaten oder muss ich nochmals eingreifen?
DANKE DIR schon mal für deine weitere Unterstüzung.

Notebook:
Ausgabe am Notebook:
Checking for Administrator permission...
Running as administrator - continuing execution...

15 August 2025 Manufacturer: Acer Model: Aspire VX5-591G BIOS: Insyde Corp., V1.08, V1.08, ACRSYS - 0 Windows version: 24H2 (Build 26100.4946)

Secure Boot status: Enabled

Current UEFI KEK
√ Microsoft Corporation KEK CA 2011 (revoked: False)
X Microsoft Corporation KEK 2K CA 2023

Default UEFI KEK
√ Microsoft Corporation KEK CA 2011 (revoked: False)
X Microsoft Corporation KEK 2K CA 2023

Current UEFI DB
√ Microsoft Windows Production PCA 2011 (revoked: True)
√ Microsoft Corporation UEFI CA 2011 (revoked: False)
√ Windows UEFI CA 2023 (revoked: False)
X Microsoft UEFI CA 2023
X Microsoft Option ROM UEFI CA 2023

Default UEFI DB
√ Microsoft Windows Production PCA 2011 (revoked: True)
√ Microsoft Corporation UEFI CA 2011 (revoked: False)
X Windows UEFI CA 2023
X Microsoft UEFI CA 2023
X Microsoft Option ROM UEFI CA 2023

Current UEFI DBX (only the latest one is needed to be secure)
2023-03-14 : FAIL: 193 failures, 27 successes detected
2023-05-09 : FAIL: 344 failures, 27 successes detected
2025-01-14 (v1.3.1) : FAIL: 234 failures, 11 successes detected
2025-06-11 (v1.5.1) : FAIL: 403 failures, 27 successes detected

Ausgabe am PC:
Checking for Administrator permission...
Running as administrator - continuing execution...

15 August 2025
Manufacturer: Acer
Model: Aspire TC-603
BIOS: American Megatrends Inc., P11-A0, P11-A0, ACRSYS - 1072009
Windows version: 22H2 (Build 19045.6216)

Secure Boot status: Enabled

Current UEFI KEK
√ Microsoft Corporation KEK CA 2011 (revoked: False)
X Microsoft Corporation KEK 2K CA 2023

Default UEFI KEK
WARNUNG: Failed to query UEFI variable 'KEKDefault' for cert 'Microsoft Corporation KEK CA 2011'
WARNUNG: Failed to query UEFI variable 'KEKDefault' for cert 'Microsoft Corporation KEK 2K CA 2023'

Current UEFI DB
√ Microsoft Windows Production PCA 2011 (revoked: True)
√ Microsoft Corporation UEFI CA 2011 (revoked: False)
√ Windows UEFI CA 2023 (revoked: False)
X Microsoft UEFI CA 2023
X Microsoft Option ROM UEFI CA 2023

Default UEFI DB
WARNUNG: Failed to query UEFI variable 'dbDefault' for cert 'Microsoft Windows Production PCA 2011'
WARNUNG: Failed to query UEFI variable 'dbDefault' for cert 'Microsoft Corporation UEFI CA 2011'
WARNUNG: Failed to query UEFI variable 'dbDefault' for cert 'Windows UEFI CA 2023'
WARNUNG: Failed to query UEFI variable 'dbDefault' for cert 'Microsoft UEFI CA 2023'
WARNUNG: Failed to query UEFI variable 'dbDefault' for cert 'Microsoft Option ROM UEFI CA 2023'

Current UEFI DBX (only the latest one is needed to be secure)
2023-03-14 : SUCCESS: 220 successes detected
2023-05-09 : SUCCESS: 371 successes detected
2025-01-14 (v1.3.1) : SUCCESS: 245 successes detected
2025-06-11 (v1.5.1) : SUCCESS: 430 successes detected

[DK2000]

Das sieht zwar soweit erst einmal gut aus, nur dass hätte ich derzeit noch nicht gemacht:

Microsoft Windows Production PCA 2011 (revoked: True)

Das hat jetzt zu Folge, dass bei Dir ausschließlich nur noch Datenträger sich starten lassen, welche das neue Zertifikat für die Bootdateien verwendet. Alle anderen Datenträger werden am Booten gehindert. Um das zu umgehen, müsste man jedes Mal Secureboot ausschalten und danach wieder einschalten.

[DK2000]

- Kann man das bedenkenlos Umstellen im UEFI (also auf WindowsUEFI). Auf dem Rechner läuft Win11 26100.4946

Das kann ich Dir nicht beantworten. Ausprobieren. Aber hatten da neulich schon so einen Thread mit "Other OS" ("anderes Betriebssystem") und da hat das auch nicht geklappt. Der Nutzer hatte dann irgendwann eine Neuinstallation vorgenommen und dann lief es. Keine Ahnung, wie sich das bei Dir verhallt.

Und die Keys in der Registry löschen, sollte gehen. Aber genau kann ich es Dir nicht sagen. Bei mir wurden die automatisch über die kumulativen Updates geschrieben.

[oli88]

@ DK2000: also du meinst, ich habe nun alles richtig gemacht und brauche mir keine Sorgen zu machen,
dass mein PC im kommenden Jahr (Juni/Oktober) nicht mehr läuft?
Microsoft Windows Production PCA 2011 (revoked: True) => sollte m.E. kein Problem sein, ich starte den PC immer mit dem gleichen Datenträger oder wie meinst du das?
Eine neue Sicherung mache ich noch ... da habe ich bisher immer den AOMEI Backupper benutzt,
von Windows gibt es da aber auch eine Möglichkeit.
Systemsteuerung -> Sichern und Wiederherstellen (Windows 7) -> Systemabbild erstellen -> auf externe Festplatte
Korrekt oder?
Oder bekomme ich mit dieser externen Festplatte nun ein Problem?

[oli88]

... und was meint Ihr?
Passt mein Vorgehen?

[oli88]

... da ich leider nichts mehr von Euch gehört habe, weder positives noch negatives,
gehe ich davon aus, alles richtig gemacht zu haben und das es passt.
Somit sollte es für's erste gewesen sein, mal sehen was 2026 noch so bringt.

[Grobi847]

Wer einmal genau wissen will, was in der EFI-Partion genau steht, kann das folgendermaßen überprüfen. Aber VORSICHT, macht man einen Fehler, dann bootet das System nicht mehr. Es ist ratsam ein Image von seinem System zu haben.
So geht man vor:
1. Mit dem Programm `MiniTool Partition Wizard` gibt man der EFI-Partition einen Laufwerksbuchstaben z.B. x, dass Übernehmen nicht vergessen.
2. Mit dem Programm Explorer++ (als Admin starten), kopiert man das gesamte EFI-Verzeichnis an eine Ort seiner Wahl.
3. Mit dem Programm `MiniTool Partition Wizard` den Laufwerksbuchstaben wieder wegnehmen (Kein).

Jetzt kann man in Ruhe die EFI-Partition begutachten.

[Robbi]

Hallo,
ich habe versehentlich in meinem Asrock UEFI die Secure Boot Zertifikate gelöscht und dann neu intalliert aber nun startet mein Windows 11 25h2 nicht mehr wenn ich secure boot aktiviere.
Was kann ich tun?

[DK2000]

Was kommt denn für ein Fehler seiten das UEFI?

Ich vermute einfach mal, dass das 'Windows UEFI CA 2023' Zertifikat nicht in der DB installier ist, aber der Boot Manger passend dazu. Oder der Boot Manager mit dem alten Zertifikat wird verwendet und das CA 2011 ist zurückgezogen.

Bräuchte man jetzt mehr Informationen über den Istzustand.

[Robbi]

Es kommt kein fehler es wird nur immer wieder uefi gestartet.
In den Uefi Zertifikaten ist nur CA 2011 der Bootmanager dagegen hat CA 2023.
Wie bekomme ich das gelöst?

wenn ich

Code: Alles auswählen

mountvol s: /s
copy S:\EFI\Microsoft\Boot\bootmgfw.efi c:\bootmgfw_2023.efi
mountvol s: /d

und in den Eigenschaften-Zertifikate schaue steht da

Code: Alles auswählen

CN = Windows UEFI CA 2023
O = Microsoft Corporation
C = US

Edit

Ich vermute einfach mal, dass das 'Windows UEFI CA 2023' Zertifikat nicht in der DB installier ist, aber der Boot Manger passend dazu. Oder der Boot Manager mit dem alten Zertifikat wird verwendet und das CA 2011 ist zurückgezogen.

Das gab mir zu denken und ich habe es geschafft mit Hilfe von Microsoft selbst https://support.microsoft.com/de-de/top ... 5-MVP-6771
Wiederherstellungsverfahren

Code: Alles auswählen

CMD als Administrator ausführen
Mountvol s: /s
del s:\*.* /f /s /q
bcdboot %systemroot% /s S:

das hat geholfen und Windows bootet wieder mit dem CA 2011 aus dem Uefi.
Danke @DK2000

[Robbi]

Aber dennoch scheint nur die Current UEFI DB aktualisiert zu sein alle anderen sind noch auf 2011.
Woran kann das liegen?

Code: Alles auswählen

Secure Boot status: Enabled
Current UEFI KEK
√ Microsoft Corporation KEK CA 2011 (revoked: False)
X Microsoft Corporation KEK 2K CA 2023  

Default UEFI KEK
√ Microsoft Corporation KEK CA 2011 (revoked: False)
X Microsoft Corporation KEK 2K CA 2023

Current UEFI DB
√ Microsoft Windows Production PCA 2011 (revoked: False)
√ Microsoft Corporation UEFI CA 2011 (revoked: False)
√ Windows UEFI CA 2023 (revoked: False)
X Microsoft UEFI CA 2023
X Microsoft Option ROM UEFI CA 2023

Default UEFI DB
√ Microsoft Windows Production PCA 2011 (revoked: False)
√ Microsoft Corporation UEFI CA 2011 (revoked: False)
X Windows UEFI CA 2023
X Microsoft UEFI CA 2023
X Microsoft Option ROM UEFI CA 2023

Current UEFI DBX (only the latest one is needed to be secure)
2023-03-14          : SUCCESS: 220 successes detected
2023-05-09          : SUCCESS: 371 successes detected
2025-01-14 (v1.3.1) : SUCCESS: 245 successes detected
2025-06-11 (v1.5.1) : SUCCESS: 430 successes detected

Wenn Ich die Show Secure Boot update events.cmd ausführe kommen auch nur Fehler

Code: Alles auswählen

13.11.2025 14:47:30            1801 Fehler           Secure Boot CA/keys need to be updated. This device signature i...
13.11.2025 14:40:41            1034 Informationen    Das Update für den sicheren Start von Dbx wurde erfolgreich ang...
13.11.2025 14:40:41            1801 Fehler           Secure Boot CA/keys need to be updated. This device signature i...
13.11.2025 14:39:08            1801 Fehler           Secure Boot CA/keys need to be updated. This device signature i...

[DK2000]

"Default UEFI DB" wird vom OEM über ein UEFI-Update aktualisiert. Das sind die Standardwerte, wenn man im Menü auf den entsprechenden Punkt geht, sofern vorhanden (z.b. Werkseinstellungen oder Standard). Die kann man so nicht ändern. KEK ist da so ein Zwischending. Den kann Microsoft theoretisch aktuelleren, sofern der OEM ein passendes Zertifikat für das Gerät bereitstellen und an Microsoft sendet. Der muss zum PK passen. Ansonsten muss der auch über ein UEFI-Update erfolgen.

Die 2011 Zertifikate bleiben erhalten. Werden nur zu gegebener Zeit gesperrt (revoked).

Außerdem ist jetzt wohl auch wieder das 'Windows UEFI CA 2023' in der "Current UEFI DB". Wurde wohl schon wieder aktualisiert. Vermutlich dann auch der Boot Manager.

Ich würde da Ganze jetzt zufriedenlassen und die Ereignisanzeige ignorieren.

Und das Skript müsste auch mal wieder aktualisiert werden.

"Current UEFI DBX" -> "2025-10-16 (v1.6.0)" -> 431 Einträge

Ah, sehe gerade. Hat er ja schon vor 2 Tagen gemacht.

---

Die einzige VM, wo alles funktioniert hat, wie es soll:

Screenshot 2025-11-13 161335.png

Und in der Ereignisanzeige steht auch anstelle des 1801 jetzt der 1808:

Screenshot 2025-11-13 162037.png

Aber warum das in genau dieser einen VM alles geklappt hat, ist mir immer noch ein Rätsel.