Secure Boot
UEFI-Sicherheitsstandard gegen Bootkits und Rootkits
Secure Boot
Secure Boot ist ein Sicherheitsstandard der UEFI-Spezifikation, der sicherstellt, dass während des Systemstarts nur signierte und vertrauenswürdige Software ausgeführt wird. Es verhindert Bootkits und Rootkits, die sich vor dem Betriebssystem laden.
1. Was ist Secure Boot?
Definition
Secure Boot ist ein Teil der UEFI-Spezifikation (Unified Extensible Firmware Interface). Es stellt sicher, dass der Computer nur mit Software bootet, die vom Hersteller vertraut wird.
Wird ein nicht autorisierter Bootloader oder Treiber erkannt, wird der Bootvorgang abgebrochen. Das verhindert, dass sich Schadsoftware vor dem Betriebssystem einnistet.
Schutz vor
- Bootkits: Schadsoftware, die den Bootvorgang manipuliert
- Rootkits: Versteckte Schadsoftware im System
- Bootloader-Angriffe: Austausch des Bootloaders
- Pre-Boot-Malware: Code, der vor dem OS startet
Geschichte
- 2011: Einführung mit UEFI 2.3.1
- 2012: Windows 8 verlangt Secure Boot für Zertifizierung
- 2021: Windows 11 macht Secure Boot zur Pflicht
2. Wie funktioniert Secure Boot?
Secure Boot verwendet digitale Signaturen und eine Kette von Vertrauensstellungen (Trust Chain), um die Integrität des Bootvorgangs zu gewährleisten.
Ablauf beim Booten
3. Die Schlüsseldatenbank von Secure Boot
Secure Boot verwendet vier verschiedene Schlüsseldatenbanken, die im UEFI-Flash gespeichert sind.
| Datenbank | Abkürzung | Bedeutung | Inhalt |
|---|---|---|---|
| Platform Key | PK | Der Besitzer des Systems (OEM oder Benutzer) | Öffentlicher Schlüssel des Systembesitzers |
| Key Exchange Key | KEK | Vertrauenswürdige Stellen für Signaturen | Öffentliche Schlüssel von Microsoft u.a. |
| Signature Database | db | Vertrauenswürdige Bootloader und Treiber | Zertifikate und Hashes von erlaubter Software |
| Forbidden Signatures | dbx | Gesperrte Bootloader (z.B. bei Sicherheitslücken) | Zertifikate und Hashes von verbotener Software |
Wichtig zu verstehen
Die Schlüssel sind hierarchisch aufgebaut:
- PK signiert Änderungen an KEK
- KEK signiert Änderungen an db und dbx
- db enthält die erlaubten Signaturen
- dbx enthält die gesperrten Signaturen (Blacklist)
4. Trust Chain – Die Vertrauenskette
Secure Boot baut auf einer Kette von Vertrauensstellungen auf, die von der Hardware bis zum Betriebssystem reicht.
5. UEFI mit Secure Boot vs. klassisches BIOS
| Merkmal | Klassisches BIOS | UEFI mit Secure Boot |
|---|---|---|
| Schutz vor Bootkits | ❌ Kein Schutz | ✅ Signaturprüfung |
| Bootlaufwerk | MBR (≤2TB) | GPT (>2TB) |
| Startgeschwindigkeit | Langsamer | Schneller (Fast Boot) |
| Treiber | 16-Bit-Modus | 32/64-Bit-Modus, Netzwerkfähig |
| Bedienung | Textbasiert (Pfeiltasten) | Grafisch (Maus möglich) |
| Secure Boot | ❌ Nicht vorhanden | ✅ Aktivierbar |
6. Windows 11 und Secure Boot
Microsoft hat Secure Boot zur Pflicht für Windows 11 gemacht – zusammen mit TPM 2.0.
Voraussetzungen
- UEFI-Firmware (kein Legacy BIOS)
- Secure Boot aktiviert
- TPM 2.0 (Trusted Platform Module)
- 64-Bit-Prozessor
- 4 GB RAM, 64 GB Speicher
Prüfen unter Windows
Systeminformationen:
Punkt "Sicherer Start" = "Ein"
PowerShell:
Aktivieren
- Ins BIOS/UEFI booten (F2, F10, Entf)
- Boot-Menü suchen
- "Secure Boot" auf "Enabled" stellen
- CSM/Legacy Boot deaktivieren
- Speichern und neu starten
7. Secure Boot verwalten und konfigurieren
In modernen UEFI-BIOS können Sie Secure Boot detailliert verwalten – oft ist das aber nur im "Advanced Mode" möglich.
Eigene Schlüssel einspielen
Für eigene Betriebssysteme (Linux mit eigenem Bootloader) müssen Sie oft eigene Schlüssel einspielen:
- Im UEFI "Secure Boot" auf "Custom" stellen
- Platform Key (PK) löschen oder ersetzen
- Eigene Schlüssel (KEK, db) einspielen
- Neuen PK setzen
Vorsicht: Fehler können das System unbootbar machen!
Linux und Secure Boot
Die meisten Linux-Distributionen nutzen einen signierten "shim"-Bootloader, der von Microsoft signiert wurde. Er prüft dann den GRUB2-Bootloader.
Ubuntu / Fedora: Funktioniert out-of-the-box
Eigener Kernel: Muss selbst signiert werden
Secure Boot deaktivieren
Manchmal nötig für ältere Hardware oder bestimmte Treiber:
- Ins UEFI booten
- Secure Boot auf "Disabled" stellen
- Speichern und neu starten
Hinweis: Windows 11 verlangt Secure Boot – Deaktivieren kann die Windows-Installation verhindern.
8. Häufige Probleme und Lösungen
"Secure Boot Violation"
Symptom: Der Computer zeigt eine Fehlermeldung "Secure Boot Violation" und bootet nicht.
Ursache: Ein nicht signierter Bootloader oder Treiber wurde gefunden.
Lösungen:
- Secure Boot im UEFI deaktivieren (temporär)
- Betriebssystem neu installieren, das Secure Boot unterstützt
- Bootloader signieren (für Experten)
"Windows kann nicht installiert werden"
Symptom: Windows 11 Installation bricht ab mit "Dieser PC kann Windows 11 nicht ausführen".
Ursache: Secure Boot ist deaktiviert oder nicht verfügbar.
Lösungen:
- Im UEFI Secure Boot aktivieren
- CSM/Legacy-Boot deaktivieren
- TPM 2.0 aktivieren
Secure Boot im UEFI finden
Die Bezeichnung variiert je nach Hersteller:
- ASUS: "Boot" → "Secure Boot"
- Gigabyte: "BIOS Features" → "Secure Boot"
- MSI: "Settings" → "Security" → "Secure Boot"
- Lenovo: "Security" → "Secure Boot"
- Dell: "Secure Boot" → "Secure Boot Enable"
Praxisaufgabe: Secure Boot überprüfen
Führen Sie folgende Schritte auf Ihrem Windows-Computer durch (wenn möglich):
- Öffnen Sie "Systeminformationen" (msinfo32.exe)
- Suchen Sie den Eintrag "Sicherer Start" – ist er "Ein"?
- Öffnen Sie PowerShell als Administrator und geben Sie ein:
Confirm-SecureBootUEFI - Was zeigt der Befehl an? (True/False)
- Starten Sie neu und drücken Sie die entsprechende Taste (F2, F10, Entf), um ins UEFI zu gelangen. Finden Sie die Secure-Boot-Einstellungen.
Weiterführende Themen
Der Sicherheitschip auf dem Mainboard – eng verwandt mit Secure Boot.
Zu TPM 2.0Der Nachfolger des klassischen BIOS – Grundlage für Secure Boot.
Zu UEFIVerschlüsselte Verbindungen im Internet.
Zu HTTPS