Was Secure Boot wirklich tut — und warum es 2025 noch zählt

Ein Türsteher, der arbeitet, bevor Windows existiert

Secure Boot steckt in der UEFI-Firmware und arbeitet wie ein Türsteher mit Gästeliste. Die Firmware verwaltet Zertifikatsdatenbanken — db mit vertrauenswürdigen Signaturschlüsseln und dbx mit explizit gesperrten —, und jede Komponente der Startkette, angefangen beim Windows-Boot-Manager, muss ihre Signatur gegen diese Listen prüfen lassen, bevor sie ausgeführt wird. Unsignierter oder gesperrter Code wird abgewiesen, bevor der erste Pixel von Windows erscheint.

Das ist wichtig, weil die Startkette der einzige Ort ist, den kein Antivirus verteidigen kann. Ein Bootkit lädt vor dem Betriebssystem, vor Defender, vor jedem Treiber — ein kompromittierter Bootloader bedeutet, dass die Malware alles Weitere besitzt. Windows 11 hat Secure Boot nicht grundlos zur Pflicht gemacht, und im Betrieb kostet das Feature nichts: Signaturprüfungen addieren Millisekunden zu einem Start, der ohnehin zehn Sekunden dauert.

• Blockiert Bootkits — die Startkette ist das einzige Malware-Territorium, das kein Antivirus erreicht
• Kostet keine Leistung: die Prüfung läuft einmal pro Start und dauert Millisekunden
• Prüft Codesignaturen, nicht Ihre Aktivität — es ist keine Überwachung und telefoniert von selbst nirgendwo hin
• Greift mit BitLocker ineinander: das Measured-Boot-Log speist Windows' eigene Manipulationsprüfungen
• Stoppt Rollback-Angriffe — ein alter, signierter, aber verwundbarer Bootloader lässt sich per dbx-Update sperren
• Lässt sich von Malware im laufenden Windows nicht abschalten — die Einstellung lebt in der Firmware

Status prüfen — und die BitLocker-Falle

Win+R drücken, msinfo32 ausführen und zwei Zeilen suchen: Beim BIOS-Modus sollte UEFI stehen, beim Secure-Boot-Status Ein. Ein Rechner im alten CSM-Modus hat überhaupt kein Secure Boot — allein das ist ein Grund, die Platte per mbr2gpt von MBR nach GPT umzuwandeln und auf ein modernes Startverfahren umzustellen, sofern die Hardware es hergibt. Die Umstellung dauert unter einer Stunde und schaltet zugleich TPM-abhängige Funktionen wie BitLocker und die Windows-11-Upgrade-Berechtigung frei.

Eine Warnung, bevor Sie je an den Schalter gehen: Ist die Platte mit BitLocker verschlüsselt, ändert das Abschalten von Secure Boot den gemessenen Startzustand, und der nächste Start verlangt den 48-stelligen Wiederherstellungsschlüssel. Sichern Sie ihn vorher über aka.ms/myrecoverykey oder Ihre Microsoft-Kontoseite. Dieselbe Vorsicht gilt für Experimente mit den TPM-Einstellungen — fTPM bei AMD, PTT bei Intel.

Die schmalen Fälle, in denen Abschalten okay ist

Legitime Gründe, Secure Boot zu deaktivieren, sind selten, aber real: eine uralte Grafikkarte, deren Option-ROM aus der Zeit vor UEFI-Signaturen stammt, manche Aufnahmekarten der Windows-10-Ära oder ein Nischen-Linux mit eigenem Kernel, den niemand signiert hat. Die großen Distributionen starten mit aktivem Secure Boot problemlos, denn ihr Shim-Bootloader ist von Microsoft signiert. Alles andere auf der Liste der genannten Gründe — Lüftersteuerung, schnellerer Start, alte Spiele — ist Folklore.

Nicht legitim ist das Abschalten als Wundermittel gegen langsame Starts, Update-Fehler oder vage Instabilität — an all dem ist Secure Boot unschuldig, und die Internet-Angewohnheit, es vorsorglich zu deaktivieren, endet regelmäßig mit einem nicht startenden PC und einem verlorenen Wiederherstellungsschlüssel. Bittet ein Hersteller, Secure Boot für die Installation seines Tools auszuschalten, fragen Sie nach, was genau die Signaturprüfung nicht besteht. Manchmal ist die ehrliche Antwort das Installationsprogramm selbst.

Fragen und Antworten

Weiterlesen