Leidiges Thema Secure Boot Zertifikate [Hilfe]

[Grobi847]

Schade das keiner von den Fachleuten eine Erklärung zu meinem Problem hat. Egal, man kann ja nicht Alles wissen.
Gruß Grobi847

[Tante Google]

[Juxtopose]

Mahlzeit.

Ich möchte (muss) mich hier nun auch mal zu Wort melden.
Bei einem Laptop aus 2021 werden die neuen Zertifikate nicht eingespielt (gelbes Ausrufezeichen beim Defender).
Mit dem "Sioni Secure Boot Zertifikat-Prüfer" aus diesem Thread

https://www.deskmodder.de/blog/2026/04/ ... /#comments

konnte ich folgende Fehler ID's ausmachen: 1795, 1797, 1801 & 1802

Nun findet man u.a. bei der 1802 ID die Info, dass das Update blockiert wird, wenn eine Insyde Firmware (also der Hersteller des BIOS, welches aber durch Medion verkauft wurde) am Start ist.

Ich habe auch schon die bekannten Befehle benutzt, um zu prüfen ob der secure boot aktiv ist (ist er), den reg Wert einfügen lassen, den Update Prozess manuell getriggert und mehrfach neugestartet.
Aber es rührt sich nichts.

Leider finde ich zu dem Laptop kein BIOS Update.

Was kann ich nun tun? Irgendwas blockiert ja offensichtlich das ganze Unterfangen.

1802 Windows has blocked updates due to known HW or FW issue – check with manufacturer for KEK update

Ereigniskennung

1802 - Das Update für den sicheren Start <Ereignistyp> wurde aufgrund eines bekannten Firmwareproblems auf dem Gerät blockiert. Wenden Sie sich an Ihren Gerätehersteller, um ein Firmwareupdate zu erhalten, das das Problem behebt.
Die Signaturinformationen dieses Geräts sind hier aufgeführt.

KI_4: Insyde Firmware
Bei Geräten, bei denen Insyde-basierte Firmware verwendet wird, treten bei Updates für den sicheren Start möglicherweise bekannte Kompatibilitätsprobleme auf. Das Anwenden von Updates auf diesen Systemen kann zu Startfehlern oder Firmwarebeschädigungen führen, sodass das Update übersprungen wird, um die Stabilität aufrechtzuerhalten. Kunden können sich beim Gerätehersteller erkundigen, ob aktualisierte Firmware verfügbar ist, die dieses Problem behebt und das Update für den sicheren Start ermöglicht.

DeviceAttributes:
BaseBoardManufacturer:MEDION;
FirmwareManufacturer:INSYDE Corp.;
FirmwareVersion:1.07.02RME1_00005;
OEMModelNumber:DEFENDER P10;
OEMModelBaseBoard:NH77Dx;
OEMModelSystemFamily:Erazer;
OEMManufacturerName:MEDION;
OEMModelSKU:ML-210009 30031534;
OSArchitecture:amd64;
BucketId: 98bf3cdfae9c0277dac1cab57bc43acf279dcec6b4

Vielleicht kann ja jemand heflen.
Grüße Jux

[Grobi847]

Moin Juxtopose,
eventuell findest du ja auf dieser Seite das passende BIOS.
https://www1.medion.de/downloads/?op=se ... &type=TEXT

Gruß Grobi847

[Juxtopose]

Moin Juxtopose,
eventuell findest du ja auf dieser Seite das passende BIOS.
https://www1.medion.de/downloads/?op=se ... &type=TEXT

Gruß Grobi847

Danke für den Hinweis. Diese Seite hatte ich bei meiner Recherche auch schon gefunden, aber keiner der Einträge für den Erazer Defender P10 liest sich wie ein BIOS/UEFI Update. Leider.
Selbst wenn ich die MSN Nummer bei Medion direkt eingebe, wird mir nix passendes angezeigt.

Grüße Jux

[Grobi847]

Probleme mit älteren Systemen: Microsoft stoppt teils Rollout von Secure-Boot-Zertifikaten
https://www.computerbase.de/news/betrie ... ten.98330/

Gruß Grobi847

[moinmoin]

Das ist ein falsch interpretierter Beitrag von Computerbase. Microsoft stoppt nichts.
Wir hatten das Thema hier schon Ende Juni.
https://www.deskmodder.de/blog/2026/06/ ... klaert-es/

[Juxtopose]

Das ist ein falsch interpretierter Beitrag von Computerbase. Microsoft stoppt nichts.
Wir hatten das Thema hier schon Ende Juni.
https://www.deskmodder.de/blog/2026/06/ ... klaert-es/

Jo, diesen Blogpost hier auf deskmodder hatte ich auch bereits gefunden ^^ (und meinen Kummer kund getan)

Mittlerweile hab ich fast resigniert und möchte einfach nur noch wissen, ob ICH was tun kann, außer (ab)warten ob/wann die Blockade gelöst wird.

(Ich bin sehr froh über die Blogeinträge! Haben mir schon manches mal geholfen)

Grüße Jux

[moinmoin]

Wenn kein BIOS Update zur Verfügung steht und auch sonst nichts, kannst du wohl nur abwarten.

[bodu]

Am 24.6.26 wurde Microsoft Corporation KEK CA 2011 ungültig. Warum wird sie nicht auf revoked True gesetzt?

Das Datum bezieht sich auf neu zu zertifizierende Dateien.
Bestehende signierte KEK CA 2011 Dateien bleiben gültig, bestehende DB, DBX Dateien können von der Betriebssystemebene eingespielt werden.
Neue DB, DBX mit KEK CA 2011 signierte Dateien wird es nicht geben.
Ein SVN11 bootloader kann in der Zukunft mit neuer KEK CA 2011 DBX nicht gesperrt werden. Das ist heute kein Problem.

Ein aktiver DB CA 2011 ist ein anderes Thema. Da steht die Ankündigung der automatisierten Sperrung noch aus.
Bisher wird dazu eine 6 Monatige Vorwarnzeit genannt, wird wohl nicht mehr dieses Jahr automatisert gesperrt.
Manuell kann DB CA 2011 über die DBX geperrt werden, die daraus resultierenden Anpassungen (neue Bootmedien) sind dann vom Endanweder zu pflegen. Z.B. das Media Creation Tool ist noch nicht so weit.

Die DBX CA 2011 sperre ist aktuell mit KEK CA 2011 signiert.
Aktuell ist ein KEK CA 2011 sinnvoll. Eine Sperre ist nicht angedacht, es gibt keine Andeutung dazu.
2027/2028 oder später kann es eine Änderung geben.

Mittlerweile hab ich fast resigniert und möchte einfach nur noch wissen, ob ICH was tun kann, außer (ab)warten ob/wann die Blockade gelöst wird.

Die Einträge werden auf UEFI Ebene gespeichert, nur das UEFI kann schreiben. Das Betriebssystem kann Anfragen an das UEFI stellen.
Das UEFI blockiert den Zugriff, eine Änderung ist vom Betriebssystem aus nicht möglich.
Es ist fraglich, ob es ein UEFI Update vom Laptophersteller geben wird.

Ein manueller Eingriff in das UEFI ist ein Ansatz, dazu gibt es verschiedene Wege je nach vorhandenem Rechner.
Da wäre eine Anleitung von Medion für den Laptop angebracht. Aus der Ferne ist das Rätselraten.
Möglicherweise gib es eine UEFI einen Punkt die Blockade zu lösen, dann werden Anfragen vom Betriebsystem verarbeitet.
Möglicherweise gibt es im UEFI einen Punkt Administer Secure Boot, KEK Zertifikat laden. Das KEK CA 2023 Zertifikat wäre da von vom Endanwender einzuspielen.
Oder das UEFI lässt sich in den Secure Boot Setup Mode (Endanwender darf die Zertifikate schreiben) schalten.
Im ersten Schritt ist die Bitlockerzustand zu prüfen, evtl der Wiederherstellungsschlüssel griffbereit zu halten.