Windows Configuration System (WinCS)-APIs für den sicheren Start

Secure Boot CLI mit Windows Configuration System (WinCS)

Ziel: Domänenadministratoren können alternativ das Windows-Konfigurationssystem (Windows Configuration System, WinCS) verwenden, das mit Windows-Betriebssystemupdates veröffentlicht wurde, um die Updates für den sicheren Start auf allen in die Domäne eingebundenen Windows-Clients und -Servern bereitzustellen. Es besteht aus einem Befehlszeilenschnittstellen-Hilfsprogramm (CLI) zum lokalen Abfragen und Anwenden von Konfigurationen für den sicheren Start auf einem Computer.  

WinCS arbeitet mit einem Konfigurationsschlüssel, der mit dem Befehlszeilenprogramm verwendet werden kann, um den Konfigurationsstatus für den sicheren Start auf dem Computer zu ändern. Nach der Anwendung führt der nächste geplante sichere Start Aktionen gemäß dem Schlüssel aus. 

Überprüfen Sie zunächst, ob Zertifikate für den sicheren Start auf Ihrer Plattform aktualisiert werden. 

Sie können die status des sicheren Starts mithilfe des PowerShell-Befehls überprüfen:

(Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing' -Name 'UEFICA2023Status'). UEFICA2023Status

Wenn der Status "Aktualisiert" anzeigt, müssen Sie WinCS nicht ausführen und können die folgenden Schritte überspringen.

Wenn die Zertifikate nicht auf 2023-Versionen aktualisiert werden, gelten die folgenden zusätzlichen Schritte.

Von WinCS unterstützte Plattformen

Das WinCS-Befehlszeilenprogramm wird in Windows 10, Version 21H2, Windows 10, Version 22H2, Windows 10 1607, Windows Server 2022, Windows Server 2019, Windows Server 2016, unterstützt. Windows 11, Version 23H2, Windows 11, Version 24H2, Windows 11, Version 25H2.

Dieses Hilfsprogramm ist in den Windows-Updates verfügbar, die am und nach dem 28. Oktober 2025 für Windows 11 Version 24H2 und Windows 11 Version 23H2 veröffentlicht wurden.

Dieses Hilfsprogramm ist auch in den Windows-Updates verfügbar, die am und nach dem 11. November 2025 für Windows 10, Version 21H2, Windows 10, Version 22H2 und Windows Server 2022 veröffentlicht wurden.

Für Windows Server 2019 wird dieses Hilfsprogramm in den Windows-Updates ausgeliefert, die am und nach dem 13. Januar 2026 veröffentlicht wurden. 

Und für Windows Server 2016, Windows 10 1607, wird dieses Hilfsprogramm in den Windows-Updates ausgeliefert, die am und nach dem 10. Februar 2026 veröffentlicht wurden.

Hinweis: Wir arbeiten daran, diese WinCS-Unterstützung auf Windows 10 Plattformen zu bringen. Wir werden diesen Artikel aktualisieren, sobald der Support aktiviert ist. 

Hier ist der Featureschlüssel für die Konfiguration des sicheren Starts, den Domänenadministratoren abfragen und über WinCS auf Geräte anwenden. 

WinCS-Schlüsselwert: 

• F33E0C8E002 – Konfigurationsstatus "Sicherer Start" = Aktiviert

Abfragen der Konfiguration für den sicheren Start 

Die Konfiguration des sicheren Starts kann abgefragt werden, indem Sie eine Eingabeaufforderung als Administrator öffnen und den folgenden Befehl ausführen:

Dadurch werden die folgenden Informationen (auf einem sauber Computer) zurückgegeben: 

Beachten Sie, dass die aktuelle Konfiguration auf einem Gerät F33E0C8E001 ist, was bedeutet, dass sich der Schlüssel für den sicheren Start im Zustand Deaktiviert befindet.  

Anwenden der Konfiguration für den sicheren Start  

Die Konfiguration für den sicheren Start kann angewendet werden, indem Sie eine Eingabeaufforderung als Administrator öffnen und diesen Befehl ausführen:

Eine erfolgreiche Anwendung des Schlüssels sollte die folgenden Informationen zurückgeben: 

Überwachen der Konfiguration für den sicheren Start  

Um den Status der Konfiguration für den sicheren Start später zu ermitteln, können Sie den ersten Abfragebefehl erneut ausführen, indem Sie eine Eingabeaufforderung als Administrator öffnen:

Die zurückgegebenen Informationen ähneln den folgenden, je nach Status des Flags: 

Beachten Sie, dass der Status des Schlüssels jetzt Aktiviert ist und die aktuelle Konfiguration F33E0C8E002 ist. 

Sie können den Wartungstask für den sicheren Start auch manuell auslösen, indem Sie die folgenden Schritte ausführen: 

1. Öffnen Sie eine PowerShell-Eingabeaufforderung als Administrator, und führen Sie dann den folgenden Befehl aus:

   Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

2. Starten Sie das Gerät zweimal neu, nachdem Sie den Befehl ausgeführt haben, um zu bestätigen, dass das Gerät mit der aktualisierten Datenbank der vertrauenswürdigen Signaturen (DB) gestartet wird.

3. Um schnell zu überprüfen, ob das Update für die Datenbank für den sicheren Start erfolgreich war, öffnen Sie eine PowerShell-Eingabeaufforderung als Administrator, und führen Sie dann den folgenden Befehl aus: 

   [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

   

   Wenn der Befehl True zurückgibt, war das Update erfolgreich.
   
   Bei Fehlern beim Anwenden des Datenbankupdates finden Sie weitere Informationen im Artikel KB5016061: Behandeln von anfälligen und widerrufenen Start-Managern.

   Hinweis: Dadurch werden nur eine Zertifizierungsstelle und nicht alle Zertifizierungsstellen überprüft.

4. Um zu überprüfen, ob alle Zertifikate aktualisiert wurden, lesen Sie die Informationen unter Secure Boot Certificate Updates: Leitfaden für IT-Experten und Organisationen, und befolgen Sie die Anleitung im Abschnitt "Überwachungsereignisprotokolle". In diesem Abschnitt werden die Ereignis-ID: 1801 und die Ereignis-ID 1808 aufgelistet. Dies ist eine umfassendere Möglichkeit, die Aktualisierung der Zertifikate zu überwachen.