Ablauf der Secure Boot Zertifikate Juni 2026

Aus ThinkPad-Wiki
Version vom 11. März 2026, 20:36 Uhr von Mornsgrans (Diskussion | Beiträge) (→Prüfung der Zertifikate unter Windows)
(Unterschied) ← Nächstältere Version | Aktuelle Version (Unterschied) | Nächstjüngere Version → (Unterschied)

Im Juni 2026 laufen die Secure Boot-Zertifikate für alle Computer ab.

Lenovo Dokumente zur Aktualisierung der Secure Boot Zertifikate

Lenovo hat hier zusätzliche Informationen veröffentlicht, wie man die neuen Zertifikate via BIOS-Update erhalten und aktivieren kann.

Die englische Original-Version der Seite enthält zusätzlich eine Liste aller Lenovo-Modelle, zu denen es ein entsprechendes BIOS-Update gibt. Aufgeführt sind nur solche, die seitens Lenovo offiziell mit Windows 11 unterstützt werden.

Unterstützte Modelle

  • Bei ThinkPads sind die Modelle ab Generation T480.
  • Bei den in der Liste angegebenen BIOS-Versionen handelt es sich um die älteste, die mit den neuen Secure Boot-Zertifikaten ausgeliefert wurden
  • In der README zu den jeweiligen BIOS-Updates erkennt man im Abschnitt "Version History" am Eintrag
- [Important] Enhancement to address security vulnerability,..., CVE-2023-24932
dass diese BIOS-Updates das betreffende Boot-Zertifikat enthalten. - Mehrfache Auflistungen bei unterschiedlichen BIOS-Versionen sind hierbei möglich (z.B. bei T16 Gen 1).

Vorgehensweise

Wurde das BIOS aktualisiert, werden im BIOS unter "Security" - "Secure Boot" - "Key Management" weiterhin ausschließlich die alten Zertifikate angezeigt: Alte Secure Boot Zertifikate

Aktivierung der Zertifikate

Die neuen Zertifikate müssen erst manuell aktiviert werden.

Lenovo schreibt hierzu:

  • Nach der Anwendung des Lenovo BIOS-Updates für die Zertifikate von 2023:
    • Bitte beachten Sie, dass diese Maßnahmen ein BitLocker-Wiederherstellungsszenario verursachen können, und stellen Sie sicher, dass der BitLocker-Wiederherstellungsschlüssel verfügbar ist, wenn BitLocker aktiviert ist.
    • Für weitere Informationen zu Ihrem BitLocker-Wiederherstellungsschlüssel lesen Sie bitte diesen Microsoft-Supportartikel: Finden Sie Ihren BitLocker-Wiederherstellungsschlüssel
  • Führen Sie den Befehl "Auf Werkseinstellungen zurücksetzen" in der BIOS-Konfiguration aus
Daran denken: Vor Ausführen zuerst die Änderungen der BIOS-Einstellungen, die in der Vergangenheit vorgenommen worden waren, notieren und nach ausführen der nächsten Anweisung wieder vornehmen.
  • Führen Sie den Befehl "Werksschlüssel wiederherstellen" im Secure Boot-Menü der BIOS-Konfiguration aus

Neue Secure Boot Zertifikate

Das neue Secure Boot-Zertifikat ist nun aktiv.

Prüfung der Zertifikate unter Windows

Zur Prüfung, ob unter Windows die Zertifikate erkannt werden, geht man gem. dieser Anleitung (bei tech-support.koeln) vor.

Das Ergebnis kann etwa so aussehen:

Testergebnis der Boot-Zertifikate

Laut diesem Beitrag (im Thinkpad-Forum) sind diese Fehlermeldungen "in Ordnung": 

Windows ist mit den Einstellungen zufrieden, die CA 2023 Einträge zum booten sind aktiv. Booten mit CA 2023 ist möglich.
Microsoft Option ROM UEFI CA 2023:
Lenovo fügte das Zertifikat nicht hinzu, da keine damit signierte Firmware vorhanden ist.
Windows fügte das nicht zur Current DB hinzu, wird bei dem System nicht benötigt.


Nachtrag 11.03.2025 (im ThinkPad-Forum):

Mit dem Windows 11 März 2026 Update wurde 'Get-SecureBootUEFI -decode' ergänzt, die Ausgabe wird im Klartext dargestellt.
Für einen Eindruck sind keine externe scripte notwendig.
Code (für Powershell): 

Get-SecureBootUEFI -name KEK -decode
Get-SecureBootUEFI -name DB -decode

Die CA 2023 Umsetzung ist weiter im Gange, es werden kleine Schritte gemacht.

Hier Infos zur HighConfidenceBucket Einstufung.

26821 'Thinkpad' Einträge in den HighConfidenceBuckets_*.csv Dateien, 16 Einträge für 'Thinkpad T530'. Und 0 Einträge für 'Thinkpad T520', o.k. das passt, damals gab es SecureBoot noch nicht. Es spricht viel dafür, dass Thinkpads KEK und DB updates automatisch über Windows Update erhalten.

Zusätzliche Informationen

Für weitere Informationen besuchen Sie bitte die Support- und Blogbeiträge von Microsoft zu diesem Thema:

Weblinks

Abgerufen von „https://thinkwiki.de/index.php?title=Ablauf_der_Secure_Boot_Zertifikate_Juni_2026&oldid=33800“