Secure Boot (auf Deutsch „Sicherer Start“) ist eine Sicherheitsfunktion, die auf den meisten modernen PCs vorhanden ist. Sie greift bereits beim Einschalten des Geräts: Nur Startkomponenten mit einer Signatur, die von der UEFI-Firmware anerkannt wird, dürfen geladen werden. So lässt sich verhindern, dass bestimmte Schadsoftware – allen voran Bootkits und einige Rootkits – noch vor dem Betriebssystem ausgeführt wird. Secure Boot zählt außerdem zu den Voraussetzungen von Windows 11 – daher die vielen Fragen rund um seine Aktivierung. Dieser Leitfaden deckt alles ab: den Status prüfen, Secure Boot aktivieren, hartnäckige Fälle lösen und die Funktion deaktivieren, wenn es gerechtfertigt ist.
Was ist Secure Boot?
Secure Boot ist eine Sicherheitsfunktion des UEFI, die überprüft, ob die für den Start nötigen Softwarekomponenten über eine von der Firmware anerkannte Signatur verfügen. Nicht freigegebene Komponenten – insbesondere Bootkits und Rootkits – werden dadurch am Laden gehindert. Die offizielle deutsche Bezeichnung lautet „Sicherer Start“.
Das UEFI ist das grundlegende Programm, das auf Ihrem Gerät noch vor dem Betriebssystem ausgeführt wird. Es ist der Nachfolger des klassischen BIOS – beide Begriffe werden oft synonym verwendet, doch das UEFI ist die moderne Variante und macht Secure Boot überhaupt erst möglich. Innerhalb dieser UEFI-Oberfläche wird Secure Boot aktiviert, deaktiviert und konfiguriert.
So prüfen Sie, ob Secure Boot aktiviert ist
Bevor Sie etwas ändern, sollten Sie zunächst wissen, ob Secure Boot Ihren Rechner bereits schützt. Es gibt zwei Methoden – von der einfachsten bis zur technischeren Variante.
Die einfachste Methode in einer Minute
- Drücken Sie gleichzeitig Win + R, um das Ausführen-Fenster zu öffnen.
- Geben Sie
msinfo32ein und bestätigen Sie: Die Seite mit den Systeminformationen erscheint. - Suchen Sie die Zeile „Sicherer Startzustand“.
Drei Ergebnisse sind möglich:
- Ein: Die Funktion ist verfügbar und aktiv – Ihr Rechner ist geschützt.
- Aus: Die Funktion ist verfügbar, aber inaktiv (weiter unten erfahren Sie, wie Sie sie aktivieren).
- Nicht unterstützt: Die Funktion ist im aktuellen Zustand nicht verfügbar – die Ursache erläutert der Abschnitt „Secure Boot wird nicht unterstützt oder lässt sich nicht aktivieren“.
Für Nutzer, die mit der Kommandozeile vertraut sind
- Öffnen Sie PowerShell als Administrator (Rechtsklick auf das Startmenü → „Terminal (Administrator)“ bzw. „PowerShell (Administrator)“).
- Geben Sie folgenden Befehl ein:
Je nach Rückgabe:
$True: Secure Boot wird unterstützt und ist bereits aktiviert.$False: Die Funktion wird unterstützt, ist aber deaktiviert.cmdlet not supported on this platform: Secure Boot wird nicht unterstützt (Rechner im Legacy-/CSM-Modus, siehe weiter unten).
Warum Windows 11 Secure Boot voraussetzt
Für die Installation von Windows 11 verlangt Microsoft, dass das Gerät über eine UEFI-Firmware mit Secure-Boot-Unterstützung sowie über ein TPM-2.0-Modul verfügt. Das sind zwei unterschiedliche Anforderungen: Secure Boot ist eine Funktion der UEFI-Firmware, TPM 2.0 dagegen ein separates Hardwaremodul.
Beide ergänzen sich in ihrer Rolle:
- Secure Boot prüft beim Start die Vertrauenswürdigkeit jeder Softwarekomponente vor deren Ausführung.
- TPM 2.0 speichert Verschlüsselungsschlüssel sicher und misst die Integrität der Plattform.
Hinweis: Diese Anforderung betrifft Desktop-PCs und Laptops für Windows 11, nicht jedoch Server-Konfigurationen, für die andere Regeln gelten. In der Praxis muss Secure Boot aktiviert und der Datenträger als GPT (nicht als MBR) eingerichtet sein, um die Systemanforderungen zu erfüllen – wie Sie diese Punkte prüfen und korrigieren, zeigen wir weiter unten.
Secure Boot aktivieren (Windows 11)
Wie Sie Secure Boot unter Windows 11 aktivieren, hängt vom Hersteller Ihres Geräts ab: Die Zugriffstasten und einige Bestätigungsdialoge unterscheiden sich.
Bevor Sie Secure Boot aktivieren, kommt es vor allem darauf an, dass Windows im UEFI-Modus startet und Ihre Firmware Secure Boot unterstützt – das ist die eigentliche technische Voraussetzung. Für Windows 11 wird zusätzlich TPM 2.0 benötigt, das jedoch eine von Secure Boot getrennte Anforderung darstellt. Eine Windows-11-Installation im UEFI-Modus nutzt in der Regel einen als GPT eingerichteten Datenträger: Falls Ihre aktuelle Installation auf MBR basiert und im Legacy-Modus startet, müssen Sie sie meist erst in GPT umwandeln, bevor Sie auf einen UEFI-Start wechseln (siehe weiter unten).
Prüfen Sie zunächst, ob TPM 2.0 aktiv ist:
- Drücken Sie Win + R, um das Ausführen-Fenster zu öffnen.
- Geben Sie
tpm.mscein und klicken Sie auf „OK“ (oder drücken Sie die Eingabetaste).
- Überprüfen Sie den TPM-Status. Ist das Modul einsatzbereit, fahren Sie mit der Prüfung des Datenträgers fort. Andernfalls ist ein zusätzlicher Blick in das Handbuch Ihres Herstellers nötig.
Prüfen Sie nun die Konfiguration des Windows-Datenträgers:
- Drücken Sie auf dem Desktop Win + X und wählen Sie „Datenträgerverwaltung“.
- Suchen Sie den Datenträger, auf dem Windows installiert ist (in der Regel Laufwerk C), klicken Sie mit der rechten Maustaste darauf und wählen Sie „Eigenschaften“.
- Öffnen Sie die Registerkarte „Volumes“: Die Zeile „Partitionsstil“ zeigt entweder GUID-Partitionstabelle (GPT) – die erwartete Konfiguration für einen UEFI-Start – oder Master Boot Record (MBR) an.
Steht der Datenträger auf MBR, müssen Sie ihn vor dem Wechsel zu einem UEFI-Start in GPT umwandeln (siehe Abschnitt „Secure Boot wird nicht unterstützt oder lässt sich nicht aktivieren“).
Sobald Sie in der UEFI-Oberfläche sind, folgt die Aktivierung stets derselben Logik, unabhängig vom Hersteller:
- Starten Sie Ihren Rechner neu und rufen Sie die UEFI-Oberfläche auf, indem Sie direkt beim Start die zu Ihrer Marke passende Taste drücken (siehe Tabelle unten). Oft müssen Sie sie mehrmals hintereinander betätigen.
- Wechseln Sie zur Registerkarte Security (Sicherheit) oder Boot (Start).
- Suchen Sie die Option Secure Boot und stellen Sie sie auf „Enabled“ (Aktiviert).
- Wählen Sie „Save & Exit“ (Speichern und Beenden) – je nach Marke Ihres Geräts.
Der Computer startet daraufhin mit aktiviertem Secure Boot neu.
Zur Erinnerung die gängigsten UEFI-Zugriffstasten nach Hersteller:
| Hersteller | UEFI-Zugriffstaste |
|---|---|
| GEEKOM | Entf oder Esc |
| Asus | F2 oder Entf |
| Dell | F2 |
| HP | Esc oder F10 |
| Lenovo | F1 oder F2 |
| MSI | Entf |
| Acer | F2 |
Ist die Option Secure Boot ausgegraut oder gar nicht vorhanden, liegt das meist am Legacy-/CSM-Modus oder an einem MBR-Datenträger: siehe nächster Abschnitt.
Secure Boot wird nicht unterstützt oder lässt sich nicht aktivieren: die Ursachen
Zeigt msinfo32 „Nicht unterstützt“ an (bzw. „Secure Boot State: Unsupported“ auf einem englischsprachigen System) oder lässt sich die Option nicht aktivieren, bedeutet das in der Regel, dass Windows nicht im UEFI-Modus startet oder die Firmware Secure Boot nicht korrekt unterstützt. Die Ursache liegt fast immer bei einem der folgenden drei Punkte.
Legacy-/CSM-Modus aktiviert
Das CSM (Compatibility Support Module) betreibt das UEFI im „Legacy“-Modus, imitiert also ein altes BIOS. In diesem Modus ist Secure Boot bauartbedingt nicht verfügbar. Sie müssen das CSM daher in den UEFI-Einstellungen deaktivieren. Achtung: Wurde Ihr System im Legacy-Modus installiert, verhindert ein unvorbereiteter Wechsel zu UEFI, dass der Rechner startet – deshalb ist es wichtig, zuvor den Modus des Datenträgers zu prüfen (siehe unten).
Datenträger als MBR statt GPT
Ein Start im UEFI-Modus (Voraussetzung für Secure Boot) setzt in der Regel einen als GPT partitionierten Systemdatenträger voraus, während der Legacy-Modus auf MBR beruht. Ist Ihr Datenträger noch als MBR eingerichtet und startet im Legacy-Modus, müssen Sie ihn meist in GPT umwandeln, bevor Sie zu einem UEFI-Start wechseln.
Windows stellt dafür das Tool mbr2gpt bereit, das im vorgesehenen Betrieb den Datenträger umwandelt, ohne Daten zu löschen. So gehen Sie vor:
- Sichern Sie Ihre wichtigen Daten – jeder Eingriff in den Systemdatenträger birgt ein Risiko.
- Öffnen Sie eine Eingabeaufforderung als Administrator.
- Prüfen Sie, ob der Datenträger umwandelbar ist:
mbr2gpt /validateStarten Sie die Umwandlung:mbr2gpt /convert - Starten Sie neu, rufen Sie das UEFI auf, stellen Sie den Startmodus auf UEFI (statt Legacy) um und aktivieren Sie anschließend Secure Boot.
mbr2gpt /validate
bestätigt, dass der Datenträger geeignet ist.
Führen Sie das Tool direkt aus einer vollständigen Windows-Sitzung aus
(und nicht aus Windows PE), kann die Option
/allowFullOS
erforderlich sein:
mbr2gpt /validate /allowFullOS.
Eine erzwungene Umwandlung eines nicht konformen Datenträgers kann das System startunfähig machen.
Veraltete Firmware/veraltetes BIOS
Bleibt Secure Boot auch nach der Prüfung von Startmodus (UEFI) und Sicherheitseinstellungen nicht verfügbar, stellen Sie zunächst die Secure-Boot-Standardschlüssel im UEFI wieder her (die Option heißt oft „Restore Default Secure Boot Keys“). Reicht das nicht, prüfen Sie, ob für Ihr Modell ein Firmware-Update verfügbar ist: Auf manchen älteren Mainboards erscheint Secure Boot erst nach diesem Update. Als letzten Ausweg wenden Sie sich an den Support Ihres Herstellers.
Secure Boot deaktivieren
Secure Boot zu deaktivieren ist in einigen genau umrissenen Fällen sinnvoll: um eine Linux-Distribution mit unsigniertem Bootloader zu installieren, ein spezielles Dual-Boot einzurichten oder einen älteren, unsignierten Treiber bzw. eine solche Hardware zu nutzen.
Der Ablauf entspricht dem der Aktivierung:
- Rufen Sie das UEFI auf (siehe Tasten oben).
- Wechseln Sie zur Registerkarte Security (Sicherheit) oder Boot (Start).
- Stellen Sie Secure Boot auf „Disabled“ (Deaktiviert).
- Speichern und beenden Sie (Save & Exit).
Ein Kompromiss, den Sie kennen sollten: Secure Boot zu deaktivieren bedeutet, auf den Schutz vor Bootkits und Rootkits zu verzichten, die vor dem Betriebssystem ausgeführt werden. Tun Sie das nur bewusst und aktivieren Sie die Funktion so bald wie möglich wieder.
Wenn Ihr Ziel darin besteht, ein weiteres Betriebssystem zu installieren, denken Sie auch an die Dual-Boot-Lösung, mit der sich Secure Boot häufig aktiviert lassen kann.
Secure Boot und Linux: muss man es wirklich deaktivieren?
Die kurze Antwort: in den allermeisten Fällen nein – Sie müssen Secure Boot nicht deaktivieren, um Linux zu nutzen. Die gängigsten Distributionen funktionieren mit aktiviertem Secure Boot einwandfrei. Eine Deaktivierung ist nur in Sonderfällen nötig: bei einem unsignierten Treiber, einem eigenen Kernel oder einer speziellen Startkonfiguration. Kurz gesagt: Nicht Linux „verweigert“ Secure Boot – meist passt lediglich eine Signaturkette nicht zu Ihrem konkreten Einsatz.
Ubuntu und Linux Mint
Sowohl Ubuntu als auch Linux Mint starten mit aktiviertem Secure Boot, ohne zusätzliche Einstellung: Ihr Bootloader (Shim) ist signiert. Ein Zwischenschritt ist nur bei bestimmten Drittanbieter-Treibern (DKMS) nötig, die das Registrieren eines MOK-Schlüssels verlangen.
Debian
Debian unterstützt Secure Boot seit Version 10 und startet mit aktivierter Funktion normal. Eine Deaktivierung bleibt für spezielle Anforderungen möglich.
Fedora
Fedora unterstützt Secure Boot nativ und bindet es in seine Startkette ein. Nur bei bestimmten Drittanbieter-Modulen (unsignierte Treiber) kann ein zusätzlicher Schritt nötig sein: das Registrieren eines MOK-Schlüssels (Machine Owner Key).
Proxmox
Bei Proxmox liegt der Fall eher im Server-/Homelab-Bereich als beim Desktop: Secure Boot dient hier vor allem dazu, die Integrität des Boot-Vorgangs auf einer Maschine abzusichern, die VMs und Container hostet. Nutzen lässt es sich durchaus, doch je nach Bootloader und Speicher müssen Sie mitunter über proxmox-secure-boot-support und eine sorgfältigere UEFI-Konfiguration gehen; das ist nützlich, wenn Sie einen Host härten möchten, für ein kleines Lab aber nicht zwingend.
Eine Deaktivierung von Secure Boot ist vor allem dann sinnvoll, wenn Sie einen unsignierten DKMS- oder proprietären Treiber installieren, einen eigenen Kernel kompilieren oder Ihre Maschine einen eigentlich legitimen Bootloader wegen einer eigenwilligen Firmware blockiert. Kurz gesagt: Nicht Linux „verweigert“ Secure Boot, sondern häufig passt die Signaturkette nicht zu Ihrem Einsatz.
Zugriff auf Secure Boot bei einem GEEKOM Mini PC
Bei GEEKOM Mini-PCs gelangen Sie in die UEFI-Oberfläche, indem Sie direkt beim Start – gleich nach dem Einschalten – mehrmals die Taste Entf (oder Esc) drücken. Die Taste F7 öffnet dagegen das Startmenü (Auswahl des Boot-Geräts) – nicht zu verwechseln mit dem BIOS-Zugang. In der UEFI-Oberfläche finden Sie die Option Secure Boot in der Registerkarte Security (Sicherheit) oder Boot (Start).
FAQ
Ist es gefährlich, Secure Boot zu deaktivieren?
Der Rechner bleibt uneingeschränkt funktionsfähig, verliert aber einen Schutz vor Schadsoftware, die beim Start ausgeführt wird (Bootkits, Rootkits). Das ist keine unmittelbare Gefahr, aber eine reale Absenkung des Sicherheitsniveaus – aktivieren Sie die Funktion so bald wie möglich wieder.
Ist Secure Boot für Windows 11 Pflicht?
Windows 11 setzt einen PC mit einer UEFI-Firmware voraus, die Secure Boot unterstützt, sowie ein TPM 2.0. Secure Boot muss zum Installationszeitpunkt jedoch nicht zwingend aktiviert sein: Microsoft verlangt, dass das System mit dieser Funktion kompatibel ist. Um die Sicherheit des Startvorgangs zu erhöhen, empfiehlt es sich dennoch, Secure Boot nach Möglichkeit aktiviert zu lassen.
Was bedeutet „Sicherer Startzustand: Nicht unterstützt“?
Das bedeutet in der Regel, dass Windows nicht im UEFI-Modus gestartet ist oder die Firmware Secure Boot nicht korrekt unterstützt. Ein Start im Legacy-/CSM-Modus ist eine häufige Ursache. Ist der Systemdatenträger noch als MBR eingerichtet, kann zudem eine Umwandlung in GPT nötig sein, bevor Sie zu einem UEFI-Start wechseln. Siehe Abschnitt „Secure Boot wird nicht unterstützt oder lässt sich nicht aktivieren“.
Verlangsamt Secure Boot den Computer?
Nein, es gibt keinerlei Auswirkungen auf die Leistung. Es handelt sich um eine Prüfung, die ausschließlich beim Start erfolgt: Sie beschleunigt oder verlangsamt die tägliche Nutzung nicht.
