So überprüfen Sie die Secure-Boot-Zertifikate

Betroffene Betriebssysteme:

• Windows 11
• Windows 10

Die Secure-Boot-Zertifikate können über PowerShell mithilfe eines Cmdlets überprüft werden. Sie müssen PowerShell als Administrator ausführen, um Zugriffsprobleme zu vermeiden.

Es gibt zwei Methoden:

• Methode 1
  • Überprüfen der aktiven DB:
    • Geben Sie Folgendes ein: ([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023')
      Hinweis: Die aktive DB wird verwendet, um den Computer zu starten.
    Dies sind die Zertifikate, die vom Betriebssystem für den sicheren Start des Computers verwendet werden.
    Dieses Beispiel zeigt, dass das Windows-UEFI-CA-2023-Zertifikat (CA) nicht in der aktiven DB vorhanden ist:
    

• • Überprüfen der Standard-DB:
    • Geben Sie Folgendes ein: ([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI dbdefault).bytes) -match 'Windows UEFI CA 2023')
    Dieses Beispiel zeigt, dass das Windows-UEFI-CA-2023-Zertifikat (CA) in der Standard-DB vorhanden ist:
    
• Methode 2
  Hinweis: Für die Installation des PowerShell-Moduls ist eine Internetverbindung erforderlich.
  • Installieren des PowerShell-Moduls
    • Geben Sie Folgendes ein: Install-Module -Name UEFIv2
      • Geben Sie Y (für ja) auf die Fragen zur Installation des NuGet-Anbieters und zur Installation über PSGallery ein.
    • Geben Sie Folgendes ein: Set-ExecutionPolicy -ExecutionPolicy RemoteSigned
    • Geben Sie Folgendes ein: Import-Module -Name UEFIv2
  • Überprüfen der aktiven DB:
    • Geben Sie Folgendes ein: (Get-UEFISecureBootCerts db).signature
      Hinweis: Die aktive DB wird verwendet, um den Computer zu starten. Dies sind die Zertifikate, die vom Betriebssystem für den sicheren Start des Computers verwendet werden.
    Dieses Beispiel zeigt nur die 2011-Zertifikate (CAs) in der aktiven DB:
    
  • Überprüfen der Standard-DB:
    • Geben Sie Folgendes ein: (Get-UEFISecureBootCerts dbdefault).signature
      Hinweis: Die Standard-DB ist eine Sicherungskopie der Secure-Boot-DB. Dies sind die Zertifikate, die verwendet werden, um die aktive DB zu überschreiben, wenn dies vom BIOS angefordert wird (entweder über den „Expert Key Mode“ oder BIOS-Resets). Weitere Informationen finden Sie unter Aktualisieren der aktiven Secure-Boot-Datenbank über das BIOS.
    Dieses Beispiel zeigt sowohl die 2011- als auch die 2023-Zertifikate (CAs) in der Standard-DB:
    

  Secure-Boot-Zertifikate:

  2011-Zertifikate (CAs)	2023-Zertifikate (CAs)
  Microsoft Corporation KEK CA 2011	Microsoft Corporation KEK 2K CA 2023
  Microsoft Windows Production PCA 2011	Windows UEFI CA 2023
  Microsoft Corporation UEFI CA 2011	Microsoft UEFI CA 2023
  	Microsoft Option ROM UEFI CA 2023

  Hinweis: Nicht alle Zertifikate werden auf jedem Zertifikat angezeigt. Die wichtigsten Zertifikate für das Starten von Windows sind Microsoft Windows Production PCA 2011 und Windows UEFI CA 2023.

  Weitere Informationen zur Aktualisierung des Secure-Boot-Zertifikats auf Dell Computern finden Sie unter Ablauf des Microsoft-2011-Secure-Boot-Zertifikats.