Microsoft Intune-Methode für Secure Boot bei Windows-Geräten mit IT-verwalteten Updates

Dieser Artikel enthält Anleitungen für:

• Organisationen mit eigener IT-Abteilung, die Windows-Geräte und -Updates verwaltet.

Hinweis: Wenn Sie eine Einzelperson sind, die ein persönliches Windows-Gerät besitzt, lesen Sie bitte den Artikel Windows-Geräte für Privatanwender, Unternehmen und Schulen mit von Microsoft verwalteten Updates.

Änderungsprotokoll

Datum ändern	Beschreibung ändern
Dienstag, 23. März 2026	Das bekannte Problem für den Microsoft Intune Fehlercode 65000 wurde aktualisiert.
Dienstag, 9. März 2026	Die nicht unterstützten Versionen von Windows 10 wurden aus dem Abschnitt "Gilt für" entfernt.
Dienstag, 4. März 2026	Windows 11, Version 25H2, wurde der Liste "Gilt für" hinzugefügt
4. Februar 2026	Bekanntes Problem behoben
Dienstag, 17. Dezember 2025	Abschnitt "Bekanntes Problem" hinzugefügt

Inhalt dieses Artikels:

• Einführung
• Konfigurationsmethode von Microsoft Intune
• Beschreibung der Einstellung
• Bekannte Probleme
• Ressourcen

Einführung

In diesem Dokument wird die Unterstützung für die Bereitstellung, Verwaltung und Überwachung der Updates von Zertifikaten für den sicheren Start mithilfe von Microsoft Intune beschrieben. Die Einstellungen bestehen aus:

• Die Möglichkeit, die Bereitstellung auf einem Gerät auszulösen
• Eine Einstellung zum Aktivieren oder Deaktivieren von Buckets mit hoher Zuverlässigkeit
• Eine Einstellung zum Abonnieren/Deaktivieren der Verwaltung von Updates durch Microsoft

Konfigurationsmethode von Microsoft Intune

Diese Methode bietet eine Einstellung für den sicheren Start mit Microsoft Intune, die Domänenadministratoren festlegen können, um Updates für den sicheren Start für alle in die Domäne eingebundenen Windows-Clients bereitzustellen. Darüber hinaus können zwei Assists für den sicheren Start mit Opt-in/Opt-out-Einstellungen verwaltet werden.

In Microsoft Intune:

1. Wählen Sie unter Geräte>verwalten die Option Konfiguration aus.

2. Wählen Sie "Erstellen" und dann "Neue Richtlinie" aus.

   • Gehen Sie im rechten Bereich zu Profil erstellen .
   • Füllen Sie Platform mit Windows 10 und höher aus.

3. Wählen Sie den Einstellungskatalog unter dem Profiltyp aus. 

   

4. Beginnen Sie mit der Erstellung eines Profils, indem Sie dem Profil einen Namen geben. In diesem Beispiel verwenden wir "sicherer Start" als Namen. Klicken Sie auf Weiter.
   

5. Wählen Sie unter Konfigurationseinstellungendie Option Einstellungen hinzufügen aus, und verwenden Sie die Auswahl Einstellungen, um die Einstellungen für den sicheren Start zu finden, indem Sie nach sicherer Start suchen. In der Kategorie "Sicherer Start" sollten drei Einstellungen angezeigt werden. Dies sind die gleichen Einstellungen, die in den Registrierungsschlüsselupdates für den sicheren Start beschrieben sind: Windows-Geräte mit IT-verwalteten Updates und die Methode der Gruppenrichtlinie (GPO) für den sicheren Start für Windows-Geräte mit IT-verwalteten Updates.

   • "Secureboot Certificate Updates aktivieren" ist standardmäßig ausgewählt und aktiviert.

   • Die unten beschriebenen Opt-in- und Opt-out-Einstellungen können entsprechend Ihren Umgebungs- und Bereitstellungsanforderungen konfiguriert werden. 

     

6. Stellen Sie das Profil für die Geräte fertig, die diese Einstellungen verwenden sollen.

Beschreibung der Einstellung

Konfigurieren von Microsoft Update Managed Opt-In

Name der Microsoft Intune-Einstellung: Konfigurieren von Microsoft Update Managed Opt-In

Beschreibung:
Mit dieser Richtlinie können Unternehmen an einem kontrollierten Featurerollout des von Microsoft verwalteten Secure Boot-Zertifikatupdates teilnehmen.

• Aktiviert: Microsoft unterstützt Sie bei der Bereitstellung von Zertifikaten für Geräte, die für das Rollout registriert sind.
• Deaktiviert (Standard): Keine Teilnahme am kontrollierten Rollout.

Voraussetzungen:

• Das Gerät muss die erforderlichen Diagnosedaten an Microsoft senden. Weitere Informationen finden Sie unter Konfigurieren von Windows-Diagnosedaten in Ihrer organization – Windows-Datenschutz | Microsoft Learn.
• Entspricht dem Registrierungsschlüssel "MicrosoftUpdateManagedOptIn".

Abmeldung mit hoher Zuverlässigkeit konfigurieren

Microsoft Intune Einstellungsname: Konfigurieren von Opt-Out mit hoher Zuverlässigkeit

Beschreibung:
Diese Richtlinie steuert, ob Updates von Zertifikaten für den sicheren Start automatisch über monatliche Windows-Sicherheitsupdates und nicht sicherheitsrelevante Updates angewendet werden. Geräte, die von Microsoft als fähig zur Verarbeitung von Variablenupdates für den sicheren Start überprüft wurden, erhalten diese Updates als Teil kumulativer monatlicher Updates und wenden sie automatisch an. Da nicht alle Hardware- und Firmwarekombinationen vollständig überprüft werden können, verlässt sich Microsoft auf gezielte Test- und Diagnosedaten, um die Gerätebereitschaft zu bestimmen. Nur Geräte mit ausreichenden Diagnosedaten können mit hoher Sicherheit betrachtet werden. Wenn Diagnosedaten für ein bestimmtes Produkt nicht verfügbar sind, können sie nicht mit hoher Sicherheit klassifiziert werden.

• Aktiviert: Die automatische Bereitstellung über monatliche Updates wird blockiert.
• Deaktiviert (Standard): Geräte, die ihre Updateergebnisse überprüft haben, erhalten automatisch Zertifikatsupdates als Teil der monatlichen Updates.

Hinweise:

• Die beabsichtigten Geräte werden für die erfolgreiche Verarbeitung von Updates bestätigt.
• Konfigurieren Sie diese Richtlinie, um die automatische Bereitstellung über monatliche Updates zu verwalten.
• Entspricht dem Registrierungsschlüssel HighConfidenceOptOut.

Aktivieren von Secureboot-Zertifikat-Updates

Microsoft Intune-Einstellungsname: Aktivieren von Updates von Zertifikaten für den sicheren Start

Beschreibung:
Diese Richtlinie steuert, ob Windows den Prozess der Bereitstellung von Zertifikaten für den sicheren Start auf Geräten initiiert.

• Aktiviert: Windows beginnt automatisch mit der Bereitstellung aktualisierter Secure Boot-Zertifikate.
• Deaktiviert (Standard): Windows stellt Zertifikate nicht automatisch bereit.

Hinweise:

• Die Aufgabe, die diese Einstellung verarbeitet, wird alle 12 Stunden ausgeführt. Einige Updates erfordern möglicherweise einen Neustart, um sicher abgeschlossen zu werden.
• Nachdem Zertifikate auf die Firmware angewendet wurden, können sie nicht mehr von Windows entfernt werden. Das Löschen von Zertifikaten muss über die Firmwareschnittstelle erfolgen.
• Entspricht dem Registrierungsschlüssel "AvailableUpdates".

Bekannte Probleme

Microsoft Intune Fehlercode 65000 unter Pro Editionen von Windows

Symptome

Konfigurationseinstellungen für den sicheren Start, die über Microsoft Intune Mobile Geräteverwaltung (MDM) bereitgestellt werden, sind derzeit in Pro-Editionen von Windows 10 und Windows 11 blockiert.

• Versuche, diese Richtlinien anzuwenden, führen zu Microsoft Intune Fehlercode 65000.
• Ereignisprotokolle zeichnen möglicherweise POLICYMANAGER_E_AREAPOLICY_NOTAPPLICABLEINEDITION auf, was darauf hinweist, dass das Feature in dieser Edition nicht verfügbar ist.

Lösung

Der Microsoft Intune-Lizenzierungsdienst wurde am 27. Januar 2026 aktualisiert, um die Bereitstellung der Konfigurationseinstellungen für den sicheren Start unter Pro-Editionen von Windows 10 und Windows 11 zu ermöglichen.

Hinweis

Der Microsoft Intune-Fehlercode 65000 kann weiterhin in Pro-Editionen von Windows 11, Version 23H2, auftreten. Eine Lösung für dieses Problem ist für ein zukünftiges Windows-Update geplant.

Geräte, die ihre Microsoft Intune-Lizenz vor diesem Datum erhalten haben, müssen ihre Lizenz erneuern, um dieses Problem zu beheben.  Lizenzen werden jeden Monat automatisch erneuert, daher wird dieses Problem für Geräte bis zum 27. Februar 2026 behoben (mit Ausnahme einiger Geräte mit Windows 11, Version 23H2, wie oben angegeben). Um die Lizenz auf Ihrem Gerät manuell zu erneuern, führen Sie die folgenden Befehle im Namen des Benutzers (im Kontext des Benutzers) aus:

• ClipDLS.exe RemoveSubscription
• ClipRenew.exe

Ressourcen

Weitere Informationen zu den Registrierungsschlüsseln UEFICA2023Status und UEFICA2023Error zur Überwachung der Geräteergebnisse finden Sie unter Registrierungsschlüsselupdates für den sicheren Start: Windows-Geräte mit IT-verwalteten Updates.

Unter Ereignisse zum Aktualisieren von DB- und DBX-Variablen für den sicheren Start finden Sie Ereignisse, die nützlich sind, um den Status von Geräten, Geräteattributen und Gerätebucket-IDs zu verstehen. Achten Sie besonders auf die Ereignisse 1801 und 1808, die auf der Ereignisseite beschrieben werden.