Deskmodder.de

Schade das keiner von den Fachleuten eine Erklärung zu meinem Problem hat. Egal, man kann ja nicht Alles wissen.
Gruß Grobi847

Mahlzeit.

Ich möchte (muss) mich hier nun auch mal zu Wort melden.
Bei einem Laptop aus 2021 werden die neuen Zertifikate nicht eingespielt (gelbes Ausrufezeichen beim Defender).
Mit dem "Sioni Secure Boot Zertifikat-Prüfer" aus diesem Thread

https://www.deskmodder.de/blog/2026/04/ ... /#comments

konnte ich folgende Fehler ID's ausmachen: 1795, 1797, 1801 & 1802

Nun findet man u.a. bei der 1802 ID die Info, dass das Update blockiert wird, wenn eine Insyde Firmware (also der Hersteller des BIOS, welches aber durch Medion verkauft wurde) am Start ist.

Ich habe auch schon die bekannten Befehle benutzt, um zu prüfen ob der secure boot aktiv ist (ist er), den reg Wert einfügen lassen, den Update Prozess manuell getriggert und mehrfach neugestartet.
Aber es rührt sich nichts.

Leider finde ich zu dem Laptop kein BIOS Update.

Was kann ich nun tun? Irgendwas blockiert ja offensichtlich das ganze Unterfangen.

1802 Windows has blocked updates due to known HW or FW issue – check with manufacturer for KEK update

Ereigniskennung

1802 - Das Update für den sicheren Start <Ereignistyp> wurde aufgrund eines bekannten Firmwareproblems auf dem Gerät blockiert. Wenden Sie sich an Ihren Gerätehersteller, um ein Firmwareupdate zu erhalten, das das Problem behebt.
Die Signaturinformationen dieses Geräts sind hier aufgeführt.

KI_4: Insyde Firmware
Bei Geräten, bei denen Insyde-basierte Firmware verwendet wird, treten bei Updates für den sicheren Start möglicherweise bekannte Kompatibilitätsprobleme auf. Das Anwenden von Updates auf diesen Systemen kann zu Startfehlern oder Firmwarebeschädigungen führen, sodass das Update übersprungen wird, um die Stabilität aufrechtzuerhalten. Kunden können sich beim Gerätehersteller erkundigen, ob aktualisierte Firmware verfügbar ist, die dieses Problem behebt und das Update für den sicheren Start ermöglicht.

DeviceAttributes:
BaseBoardManufacturer:MEDION;
FirmwareManufacturer:INSYDE Corp.;
FirmwareVersion:1.07.02RME1_00005;
OEMModelNumber:DEFENDER P10;
OEMModelBaseBoard:NH77Dx;
OEMModelSystemFamily:Erazer;
OEMManufacturerName:MEDION;
OEMModelSKU:ML-210009 30031534;
OSArchitecture:amd64;
BucketId: 98bf3cdfae9c0277dac1cab57bc43acf279dcec6b4

Vielleicht kann ja jemand heflen.
Grüße Jux

Moin Juxtopose,
eventuell findest du ja auf dieser Seite das passende BIOS.
https://www1.medion.de/downloads/?op=se ... &type=TEXT

Gruß Grobi847

Grobi847 hat geschrieben: 09.07.2026, 20:43 Moin Juxtopose,
eventuell findest du ja auf dieser Seite das passende BIOS.
https://www1.medion.de/downloads/?op=se ... &type=TEXT

Gruß Grobi847

Danke für den Hinweis. Diese Seite hatte ich bei meiner Recherche auch schon gefunden, aber keiner der Einträge für den Erazer Defender P10 liest sich wie ein BIOS/UEFI Update. Leider.
Selbst wenn ich die MSN Nummer bei Medion direkt eingebe, wird mir nix passendes angezeigt.

Grüße Jux

Probleme mit älteren Systemen: Microsoft stoppt teils Rollout von Secure-Boot-Zertifikaten
https://www.computerbase.de/news/betrie ... ten.98330/

Gruß Grobi847

Das ist ein falsch interpretierter Beitrag von Computerbase. Microsoft stoppt nichts.
Wir hatten das Thema hier schon Ende Juni.
https://www.deskmodder.de/blog/2026/06/ ... klaert-es/

moinmoin hat geschrieben: 10.07.2026, 15:54 Das ist ein falsch interpretierter Beitrag von Computerbase. Microsoft stoppt nichts.
Wir hatten das Thema hier schon Ende Juni.
https://www.deskmodder.de/blog/2026/06/ ... klaert-es/

Jo, diesen Blogpost hier auf deskmodder hatte ich auch bereits gefunden ^^ (und meinen Kummer kund getan)

Mittlerweile hab ich fast resigniert und möchte einfach nur noch wissen, ob ICH was tun kann, außer (ab)warten ob/wann die Blockade gelöst wird.

(Ich bin sehr froh über die Blogeinträge! Haben mir schon manches mal geholfen)

Grüße Jux

Wenn kein BIOS Update zur Verfügung steht und auch sonst nichts, kannst du wohl nur abwarten.

Grobi847 hat geschrieben: 26.06.2026, 20:06Am 24.6.26 wurde Microsoft Corporation KEK CA 2011 ungültig. Warum wird sie nicht auf revoked True gesetzt?

Das Datum bezieht sich auf neu zu zertifizierende Dateien.
Bestehende signierte KEK CA 2011 Dateien bleiben gültig, bestehende DB, DBX Dateien können von der Betriebssystemebene eingespielt werden.
Neue DB, DBX mit KEK CA 2011 signierte Dateien wird es nicht geben.
Ein SVN11 bootloader kann in der Zukunft mit neuer KEK CA 2011 DBX nicht gesperrt werden. Das ist heute kein Problem.

Ein aktiver DB CA 2011 ist ein anderes Thema. Da steht die Ankündigung der automatisierten Sperrung noch aus.
Bisher wird dazu eine 6 Monatige Vorwarnzeit genannt, wird wohl nicht mehr dieses Jahr automatisert gesperrt.
Manuell kann DB CA 2011 über die DBX geperrt werden, die daraus resultierenden Anpassungen (neue Bootmedien) sind dann vom Endanweder zu pflegen. Z.B. das Media Creation Tool ist noch nicht so weit.

Die DBX CA 2011 sperre ist aktuell mit KEK CA 2011 signiert.
Aktuell ist ein KEK CA 2011 sinnvoll. Eine Sperre ist nicht angedacht, es gibt keine Andeutung dazu.
2027/2028 oder später kann es eine Änderung geben.

Juxtopose hat geschrieben: 10.07.2026, 17:17Mittlerweile hab ich fast resigniert und möchte einfach nur noch wissen, ob ICH was tun kann, außer (ab)warten ob/wann die Blockade gelöst wird.

Die Einträge werden auf UEFI Ebene gespeichert, nur das UEFI kann schreiben. Das Betriebssystem kann Anfragen an das UEFI stellen.
Das UEFI blockiert den Zugriff, eine Änderung ist vom Betriebssystem aus nicht möglich.
Es ist fraglich, ob es ein UEFI Update vom Laptophersteller geben wird.

Ein manueller Eingriff in das UEFI ist ein Ansatz, dazu gibt es verschiedene Wege je nach vorhandenem Rechner.
Da wäre eine Anleitung von Medion für den Laptop angebracht. Aus der Ferne ist das Rätselraten.
Möglicherweise gib es eine UEFI einen Punkt die Blockade zu lösen, dann werden Anfragen vom Betriebsystem verarbeitet.
Möglicherweise gibt es im UEFI einen Punkt Administer Secure Boot, KEK Zertifikat laden. Das KEK CA 2023 Zertifikat wäre da von vom Endanwender einzuspielen.
Oder das UEFI lässt sich in den Secure Boot Setup Mode (Endanwender darf die Zertifikate schreiben) schalten.
Im ersten Schritt ist die Bitlockerzustand zu prüfen, evtl der Wiederherstellungsschlüssel griffbereit zu halten.

bodu hat geschrieben: 10.07.2026, 20:44
Ein manueller Eingriff in das UEFI ist ein Ansatz, dazu gibt es verschiedene Wege je nach vorhandenem Rechner.
Da wäre eine Anleitung von Medion für den Laptop angebracht. Aus der Ferne ist das Rätselraten.

Da gibt es leider keine Anleitung. Bei der Googlesuche werden einem zwar Forenbeiträge aus diesem Jahr zu diesen Thema angezeigt, klickt man aber darauf exisitiert die Seite (das Community Forum) nicht mehr.

bodu hat geschrieben: 10.07.2026, 20:44 Möglicherweise gib es eine UEFI einen Punkt die Blockade zu lösen, dann werden Anfragen vom Betriebsystem verarbeitet.

Ich habe nichts dergleichen gesehen.

bodu hat geschrieben: 10.07.2026, 20:44 Oder das UEFI lässt sich in den Secure Boot Setup Mode (Endanwender darf die Zertifikate schreiben) schalten.

Glaube sowas gesehen zu haben, aber da bin ich raus. So tief stecke ich in der Materie nicht drin.

bodu hat geschrieben: 10.07.2026, 20:44 Im ersten Schritt ist die Bitlockerzustand zu prüfen, evtl der Wiederherstellungsschlüssel griffbereit zu halten.

Die Geräteverschlüsselung ist ausgeschaltet (Win 11 Home)

Und jetzt kommen wir zum wichtigsten Zitat!

bodu hat geschrieben: 10.07.2026, 20:44 Möglicherweise gibt es im UEFI einen Punkt Administer Secure Boot, KEK Zertifikat laden. Das KEK CA 2023 Zertifikat wäre da von vom Endanwender einzuspielen.

Tatsächlich gibt es diesen Punkt!
Und auf dieser Seite, wo übrigens Deskmodder unterhalb von Fazit erwähnt wird!

https://www.andysblog.de/secure-boot-ze ... ni-2026-ab

Kann man die Zertifikate downloaden, inkl. einer Anleitung.
Da kommen wir aber einen Punkt, wo es bei mir hapert. Ich hab so tief ins BIOS/UEFI noch nie eingegriffen.
Es gibt ja nen Grund, warum das Update blockiert wird (Kompatiblitätsprobleme, Hard- oder Firmwareeinschränkungen).

Was wenns mir danach alles zerschießt

Edit: meinte Fazit und nicht Zitate

Juxtopose hat geschrieben: 14.07.2026, 13:07Kann man die Zertifikate downloaden, inkl. einer Anleitung.
Da kommen wir aber einen Punkt, wo es bei mir hapert. Ich hab so tief ins BIOS/UEFI noch nie eingegriffen.

Das von dir gefundene Beispiel bezieht sich auf insyde H20-BIOS. Das passt doch ganz gut.

Es gibt ja nen Grund, warum das Update blockiert wird (Kompatiblitätsprobleme, Hard- oder Firmwareeinschränkungen).

Medion hat nicht die Hausaufgaben gemacht, hat weder ein BIOS Update gebracht, noch mit dem privaten Medion PK die Micorosft KEK Datei signiert. Auch kann das NVIDIA ROM ein enstprechendes Update erfordern.

Was wenns mir danach alles zerschießt

Dann hast du einen Ziegelstein, der mit externem BIOS Schreibgerät, zusätzlicher Hardware, wiederbelegt werden darf. Das ist extrem selten in dem Secure Boot Zusammenhang. Der Updatemechanismus ist abgesichert, nur das BIOS kann die entsprechende Bereiche schreiben, das Betriebsystem kann nur anfragen, für einen gracvierenden Fehler bedarf es eines Bug im BIOS. Bei Windows 11 kompatiblen Geräten wird das nochmal deutlich unwarscheinlicher.

Abwarten, die CA2011 Sperre für unterstützte Geräte abwarten, so frühestens nächstes Jahr ist ein Ansatz.
Auf dem vorhandenen Gerät mit CA2011 Bootmanager wird das nicht gesperrt, bleibt bootfähig mir veraltetem Bootloader.
Und dazu die nächsten Jahre die Sicherheitshinweise beachten, evtl gibt es zu CA2011 Geräten eine deutliche Empfehlung in der Zukunft.

Mir hat das GitHub Script jetzt immer bei den SVNs "not applied" angezeigt. Jetzt habe ich diese zwei Zeilen "Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot" -Name "AvailableUpdates" -Value 0x200 und
Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"" in Powershell ausgeführt, und nun passt es so, wie ich es mir seit Tagen gewünscht habe:

17 Jul 2026
------------------------------------------------------------
HW : ASRock B650E PG Riptide WiFi
FW : American Megatrends International, LLC. - 4.10 - 10 Feb 2026
OS : Windows 11 - 25H2 (Build 26200.8875)

Detected AMD64/X64 UEFI architecture. Ensure that this is correct for valid DBX results.

Secure Boot status: Enabled

Current UEFI PK
√ ASRock Inc.

Default UEFI PK
√ ASRock Inc.

Current UEFI KEK
√ Microsoft Corporation KEK CA 2011 (revoked: false)
√ Microsoft Corporation KEK 2K CA 2023 (revoked: false)

Default UEFI KEK
√ Microsoft Corporation KEK CA 2011 (revoked: false)
√ Microsoft Corporation KEK 2K CA 2023 (revoked: false)

Current UEFI DB
√ Microsoft Windows Production PCA 2011 (revoked: false)
√ Microsoft Corporation UEFI CA 2011 (revoked: false)
√ Windows UEFI CA 2023 (revoked: false)
√ Microsoft UEFI CA 2023 (revoked: false)
√ Microsoft Option ROM UEFI CA 2023 (revoked: false)

Default UEFI DB
√ Microsoft Windows Production PCA 2011 (revoked: false)
√ Microsoft Corporation UEFI CA 2011 (revoked: false)
√ Windows UEFI CA 2023 (revoked: false)
√ Microsoft UEFI CA 2023 (revoked: false)
√ Microsoft Option ROM UEFI CA 2023 (revoked: false)

Current UEFI DBX
2026-06-09 (v1.6.5) [AMD64] : SUCCESS: 443 successes detected
Windows BootMgr SVN : 9.0
Windows CDBoot SVN : 3.0
Windows WDSMgFw SVN : 3.0
Statistics : 445 SHA256 hashes, 0 X.509 certs, 3 SVNs

Size statistics (Bytes)
PK : 640
KEK : 3066
db : 7636
dbx : 21588
SetupMode : 1
SecureBoot : 1
dbt : 0 or unable to determine
Total size : 32932
PKDefault : 640
KEKDefault : 3066
dbDefault : 7636
dbxDefault : 20668
dbtDefault : 0 or unable to determine
Total default size : 32010

Du musst natürlich jetzt ggf. auch Deine Boot Sticks aktualisieren. Die benötigen jetzt auch den Bootmanager mit SVN 9.0 oder neuer. Altere Sticks booten dann nicht mehr.