Zertifikatupdates für den sicheren Start: Leitfaden für IT-Experten und Organisationen

Änderungsprotokoll

Datum ändern	Beschreibung ändern
Dienstag, 5. Mai 2026	Der Inhalt im Abschnitt "Problembehandlung" wurde durch einen Link zum Artikel "Problembehandlung" ersetzt. Die Abschnitte "Ablauf des Zertifikats für den sicheren Start", "Was ändert sich" und "Ressourcen des Microsoft-Kundensupports" wurden entfernt, da sie allgemeine Informationen aus verwandten Artikeln duplizieren, z. B. Ablauf des Windows Secure Boot-Zertifikats und CA-Updates.
Dienstag, 30. März 2026	Das bekannte Problem "Updates von Zertifikaten für den sicheren Start können auf virtuellen Hyper-V-Computern mit der Ereignis-ID 1795 fehlschlagen" wurde behoben.
Dienstag, 24. März 2026	Das bekannte Problem "Updates von Zertifikaten für den sicheren Start können auf virtuellen Hyper-V-Computern mit der Ereignis-ID 1795 fehlschlagen" wurde aktualisiert.
Dienstag, 16. März 2026	Der Abschnitt "Beispielkonfidenzdaten" unter "Beispielskript für die Sammlung von Bestandsdaten für den sicheren Start" wurde entfernt, da er veraltet ist.
Dienstag, 3. März 2026	Die Beispielausgabe im Abschnitt "Vorbereitung" wurde neu formatiert, sodass sie in der Box bleibt.
24. Februar 2026	Der Inhalt für "Beispiel für ein Skript zur Sammlung von Bestandsdaten für den sicheren Start" im Abschnitt " Vorbereitung" wurde aktualisiert. Ein neuer Abschnitt "Beispielausgabe" wurde im Abschnitt "Vorbereitung" hinzugefügt.
Donnerstag, 23. Februar 2026	Der Inhalt für "Beispiel für ein Skript zur Sammlung von Bestandsdaten für den sicheren Start" im Abschnitt " Vorbereitung" wurde aktualisiert.
13. Februar 2026	Die Elemente "Stichprobenkonfidenzdaten" wurden dem Abschnitt " Vorbereitung" hinzugefügt. Das "Sammlungsskript für die anstehenden Ereignisse 1801 und 1808" wurde aus dem Abschnitt "Vorbereitung" entfernt, da es nicht mehr benötigt wird.
3. Februar 2026	Allgemeine Probleme im Abschnitt "Problembehandlung" wurden verschoben und neu formatiert. Es wurde ein neues häufiges Problem hinzugefügt: "Zertifikatupdates für den sicheren Start können auf virtuellen Hyper-V-Computern mit der Ereignis-ID 1795 fehlschlagen".
Donnerstag, 26. Januar 2026	Der Text unter "Assistent für die automatische Bereitstellung" wurde von " Beide Assistenten erfordern Diagnosedaten." in " Nur der Assistent für das gesteuerte Featurerollout erfordert Diagnosedaten" aktualisiert.
Dienstag, 11. November 2025	Zwei Tippfehler unter "Unterstützung der Bereitstellung von Zertifikaten für den sicheren Start" wurden behoben. 0x0800 – Der Zertifikatname wurde von "Microsoft UEFI CA 2023" in "Microsoft Option ROM UEFI CA 2023" geändert. 0x1000 – "Microsoft Option ROM CA 2023" wurde in "Microsoft UEFI CA 2023" geändert.
Dienstag, 10. November 2025	Zwei Tippfehler unter "Neues Zertifikat" wurden korrigiert: von " Microsoft Corporation KEK CA 2023" zu " Microsoft Corporation KEK 2K CA 2023" und von " Microsoft Option ROM CA 2023" zu " Microsoft Option ROM UEFI CA 2023". Neue PowerShell-Skripte wurden unter den Überschriften "Verifizierung des Secure Boot-Status in Ihrer Flotte: Ist Secure Boot aktiviert?" und "Vorbereitung" hinzugefügt.

Inhalt dieses Artikels:

• Übersicht

• Bereitstellungshandbuch für IT-Experten

  • Überprüfung des Secure Boot-Status in Ihrer Flotte: Ist Secure Boot aktiviert?
  • Bereitstellen von Updates
  • Schritte zur Bereitstellung
  • Vorbereitung
  • Überlegungen zur Firmware
  • Windows in virtualisierten Umgebungen
  • Überwachung und Bereitstellung
  • Unterstützung bei der automatisierten Bereitstellung
  • Bereitstellungsmethoden, die nicht von automatisierten Assists abgedeckt werden
  • Überwachen von Ereignisprotokollen
  • Bereitstellungsstrategien

• Häufig gestellte Fragen (FAQ)

• Problembehandlung

• Zusätzliche Ressourcen

Übersicht

Dieser Artikel richtet sich an Organisationen mit engagierten IT-Experten, die Updates für ihre gesamte Geräteflotte aktiv verwalten. Der größte Teil dieses Artikels konzentriert sich auf die Aktivitäten, die für die IT-Abteilung einer Organization erforderlich sind, um die neuen Secure Boot-Zertifikate erfolgreich bereitzustellen. Zu diesen Aktivitäten gehören das Testen der Firmware, das Überwachen von Geräteupdates, das Initiieren der Bereitstellung und das Diagnostizieren auftretender Probleme. Es werden mehrere Methoden für die Bereitstellung und Überwachung vorgestellt. Zusätzlich zu diesen Kernaktivitäten bieten wir mehrere Bereitstellungshilfen an, einschließlich der Möglichkeit, Clientgeräte für die Teilnahme an einem kontrollierten Featurerollout (Controlled Feature Rollout, CFR) speziell für die Zertifikatbereitstellung zu registrieren.

Bereitstellungshandbuch für IT-Experten

Planen und durchführen Sie Updates von Zertifikaten für den sicheren Start für Ihre gesamte Geräteflotte durch Vorbereitung, Überwachung, Bereitstellung und Wartung.

Überprüfung des Secure Boot-Status in Ihrer Flotte: Ist Secure Boot aktiviert?

Die meisten seit 2012 hergestellten Geräte unterstützen den sicheren Start und werden mit aktiviertem sicheren Start ausgeliefert. Führen Sie einen der folgenden Schritte aus, um zu überprüfen, ob der sichere Start auf einem Gerät aktiviert ist:

• GUI-Methode: Wechseln Sie zu Start>, Einstellungen>, Datenschutz & Sicherheit>Windows-Sicherheit>Gerätesicherheit. Unter "Gerätesicherheit" sollte im Abschnitt "Sicherer Start " angezeigt werden, dass der sichere Start aktiviert ist.
• Befehlszeilenmethode: Geben Sie an einer Eingabeaufforderung mit erhöhten Rechten in PowerShell Confirm-SecureBootUEFI ein, und drücken Sie dann die EINGABETASTE. Der Befehl sollte "True" zurückgeben, was anzeigt, dass der sichere Start aktiviert ist.

Bei umfangreichen Bereitstellungen für eine Flotte von Geräten muss die von IT-Experten verwendete Verwaltungssoftware eine Überprüfung auf die Aktivierung des sicheren Starts bereitstellen.

Die Methode zum Überprüfen des Status des sicheren Starts auf von Microsoft Intune verwalteten Geräten besteht beispielsweise darin, ein benutzerdefiniertes Intune-Konformitätsskript zu erstellen und bereitzustellen. Intune-Konformitätseinstellungen werden unter Verwenden von benutzerdefinierten Konformitätseinstellungen für Linux- und Windows-Geräte mit Microsoft Intune behandelt.

Wenn Secure Boot nicht aktiviert ist, können Sie die folgenden Updateschritte überspringen, da sie nicht anwendbar sind.

Bereitstellen von Updates

Es gibt mehrere Möglichkeiten, Geräte für die Updates von Zertifikaten für den sicheren Start als Ziel zu verwenden. Bereitstellungsdetails, einschließlich Einstellungen und Ereignissen, werden später in diesem Dokument behandelt. Wenn Sie ein Gerät für Updates als Ziel festlegen, wird auf dem Gerät festgelegt, dass das Gerät mit der Anwendung der neuen Zertifikate beginnen soll. Eine geplante Aufgabe wird alle 12 Stunden auf dem Gerät ausgeführt und erkennt, dass das Gerät für die Updates vorgesehen ist. Eine Übersicht über die Aufgabe lautet wie folgt:

1. Windows UEFI CA 2023 wird auf die Datenbank angewendet.
2. Wenn das Gerät die Microsoft Corporation UEFI CA 2011 in der Datenbank hat, wendet die Aufgabe die Microsoft Option ROM UEFI CA 2023 und die Microsoft UEFI CA 2023 auf die Datenbank an.
3. Die Aufgabe fügt dann die Microsoft Corporation KEK 2K CA 2023 hinzu.
4. Schließlich aktualisiert die geplante Aufgabe den Windows-Start-Manager auf den von der Windows UEFI CA 2023 signierten. Windows erkennt, dass ein Neustart erforderlich ist, bevor der Start-Manager angewendet werden kann. Das Start-Manager-Update wird so lange verzögert, bis der Neustart natürlich erfolgt (z. B. wenn monatliche Updates angewendet werden), und dann versucht Windows erneut, das Start-Manager-Update anzuwenden.

Jeder der oben genannten Schritte muss erfolgreich abgeschlossen werden, bevor die geplante Aufgabe zum nächsten Schritt übergeht. Während dieses Vorgangs stehen Ereignisprotokolle und andere Status zur Verfügung, die die Überwachung der Bereitstellung unterstützen. Weitere Informationen zu Überwachung und Ereignisprotokollen finden Sie weiter unten.

Das Aktualisieren der Zertifikate für den sicheren Start ermöglicht ein zukünftiges Update auf den 2023-Start-Manager, der sicherer ist. Bestimmte Updates für den Start-Manager werden in zukünftigen Versionen enthalten sein.

Schritte zur Bereitstellung

• Vorbereitung: Inventarisierung und Testgeräte.
• Überlegungen zur Firmware
• Überwachung: Überprüfen Sie, ob die Überwachung funktioniert, und legen Sie die Baseline Ihrer Flotte fest.
• Bereitstellung: Richten Sie Updates für Geräte aus, beginnend mit kleinen Teilmengen und basierend auf erfolgreichen Tests erweiternd.
• Behebung: Untersuchen und beheben Sie alle Probleme mithilfe von Protokollen und Anbieterunterstützung.

Vorbereitung

Inventarisieren Sie Hardware und Firmware. Erstellen Sie eine repräsentative Stichprobe von Geräten basierend auf Systemhersteller, Systemmodell, BIOS-Version/-Datum, BaseBoard-Produktversion usw., und testen Sie Updates auf diesen Geräten vor der allgemeinen Bereitstellung.  Diese Parameter sind üblicherweise in Systeminformationen (MSINFO32) verfügbar. Verwenden Sie die enthaltenen PowerShell-Beispielbefehle, um den Status der Secure Boot-Aktualisierung zu überprüfen und Geräte in Ihrer gesamten organization zu inventarisieren.

Beispiel für ein Skript für die Sammlung von Inventurdaten für den sicheren Start

Kopieren Sie dieses Beispielskript, fügen Sie es ein, und ändern Sie es nach Bedarf für Ihre Umgebung: Das Beispielskript für die Bestandsdatensammlung für den sicheren Start.

Secure Boot Confidence Levels

Konfidenzniveau	Bedeutung	Aktion erforderlich
Hohe Zuverlässigkeit	Microsoft hat überprüft, ob diese Geräteklasse sicher für Updates ist	Sichere Bereitstellung von Zertifikatupdates
Unter Beobachtung - mehr Daten benötigt	Microsoft sammelt weiterhin Diagnosedaten zum Bereitstellen von Diagnosedaten für den sicheren Start zu diesen Geräten	Warten auf Microsoft-Klassifizierung
Keine Daten beobachtet – Aktion erforderlich	Die Geräteklasse ist Microsoft nicht bekannt	Unternehmen muss den Rollout testen und planen
Vorübergehend angehalten	Bekannte Kompatibilitätsprobleme	Suchen Sie nach OEM-BIOS-Updates. Warten Sie, bis Microsoft den Vorgang behoben hat
Nicht unterstützt – bekannte Einschränkung	Plattform- oder Hardwarebeschränkungen	Dokument als Ausnahme

Wenn der sichere Start aktiviert ist, prüfen Sie zunächst, ob ausstehende Ereignisse vorhanden sind, die kürzlich aktualisiert wurden oder gerade aktualisiert werden. Von besonderem Interesse sind die jüngsten Ereignisse in den Jahren 1801 und 1808. Diese Ereignisse werden unter Ereignisse zum Aktualisieren von DB- und DBX-Variablen für den sicheren Start ausführlich beschrieben. Weitere Informationen dazu, wie die Ereignisse den Status ausstehender Updates anzeigen können, finden Sie im Abschnitt Überwachung und Bereitstellung.

Der nächste Schritt besteht darin, Geräte in Ihrer gesamten organization zu inventarisieren. Sammeln Sie die folgenden Details mithilfe von PowerShell-Befehlen, um eine repräsentative Stichprobe zu erstellen:

Überlegungen zur Firmware

Die Bereitstellung der neuen Secure Boot-Zertifikate für Ihre Geräteflotte erfordert, dass die Gerätefirmware eine Rolle beim Abschluss des Updates spielt. Microsoft geht zwar davon aus, dass die meisten Geräte-Firmware wie erwartet funktioniert, aber vor der Bereitstellung der neuen Zertifikate sind sorgfältige Tests erforderlich.

Überprüfen Sie Ihren Hardwarebestand, und erstellen Sie eine kleine, repräsentative Stichprobe von Geräten basierend auf den folgenden eindeutigen Kriterien, z. B.:

• Manufacturer
• Modellnummer
• Firmwareversion
• OEM Motherboard-Version usw.

Bevor Sie Geräte in Ihrer Flotte auf breiter Basis bereitstellen, empfehlen wir, dass Sie die Zertifikatupdates auf repräsentativen Beispielgeräten (wie durch Faktoren wie Hersteller, Modell und Firmwareversion definiert) testen, um sicherzustellen, dass die Updates erfolgreich verarbeitet werden. Die empfohlene Richtwerte für die Anzahl der zu testenden Beispielgeräte für jede eindeutige Kategorie beträgt 4 oder mehr.

Dies wird dazu beitragen, Vertrauen in Ihren Bereitstellungsprozess aufzubauen und unvorhergesehene Auswirkungen auf Ihre breitere Flotte zu vermeiden.

In einigen Fällen ist möglicherweise ein Firmwareupdate erforderlich, um die Zertifikate für den sicheren Start erfolgreich zu aktualisieren. In diesen Fällen sollten Sie sich beim Geräte-OEM erkundigen, ob aktualisierte Firmware verfügbar ist.

Windows in virtualisierten Umgebungen

Für Windows, das in einer virtuellen Umgebung ausgeführt wird, gibt es zwei Methoden zum Hinzufügen der neuen Zertifikate zu den Firmwarevariablen für den sicheren Start:

• Der Ersteller der virtuellen Umgebung (AWS, Azure, Hyper-V, VMware usw.) kann ein Update für die Umgebung bereitstellen und die neuen Zertifikate in die virtualisierte Firmware aufnehmen. Dies funktioniert für neue virtualisierte Geräte.
• Für Windows, das langfristig in einer VM ausgeführt wird, können die Updates wie alle anderen Geräte über Windows angewendet werden, sofern die virtualisierte Firmware Secure Boot-Updates unterstützt.

Überwachung und Bereitstellung

Es wird empfohlen, mit der Geräteüberwachung vor der Bereitstellung zu beginnen, um sicherzustellen, dass die Überwachung ordnungsgemäß funktioniert und Sie im Voraus ein gutes Gefühl für den Zustand der Flotte haben. Die Überwachungsoptionen werden nachstehend erläutert.

Microsoft bietet mehrere Methoden zum Bereitstellen und Überwachen der Updates für Zertifikate für den sicheren Start.

Unterstützung bei der automatisierten Bereitstellung

Microsoft stellt zwei Bereitstellungshilfen bereit. Diese Hilfen können sich als nützlich erweisen, um die Bereitstellung der neuen Zertifikate in Ihrer Flotte zu unterstützen. Nur der Rollout-Assistent für gesteuerte Features erfordert Diagnosedaten.

• Option für kumulative Updates mit Konfidenzbuckets: Microsoft kann automatisch Gerätegruppen mit hoher Zuverlässigkeit in monatliche Updates aufnehmen, die auf den bisher freigegebenen Diagnosedaten basieren, um Systeme und Organisationen zu unterstützen, die keine Diagnosedaten freigeben können. Für diesen Schritt müssen keine Diagnosedaten aktiviert sein.

  • Organisationen und Systeme, die Diagnosedaten austauschen können, erhalten von Microsoft die Transparenz und das Vertrauen, dass Geräte die Zertifikate erfolgreich bereitstellen können. Weitere Informationen zum Aktivieren von Diagnosedaten finden Sie unter: Konfigurieren von Windows-Diagnosedaten in Ihrer organization. Wir erstellen "Buckets" für jedes eindeutige Gerät (definiert durch Attribute wie Hersteller, Hauptplatinenversion, Firmwarehersteller, Firmwareversion und zusätzliche Datenpunkte). Für jeden Bucket überwachen wir den Erfolgsnachweis über mehrere Geräte hinweg. Sobald wir genügend erfolgreiche Updates und keine Misserfolge gesehen haben, werden wir den Bucket "high-confidence" betrachten und diese Daten in die monatlichen kumulativen Updates aufnehmen. Wenn monatliche Updates auf ein Gerät in einem Bucket mit hoher Zuverlässigkeit angewendet werden, wendet Windows die Zertifikate automatisch auf die UEFI-Variablen für den sicheren Start in der Firmware an.
  • Buckets mit hoher Zuverlässigkeit enthalten Geräte, die die Updates ordnungsgemäß verarbeiten. Natürlich stellen nicht alle Geräte Diagnosedaten zur Verfügung, und dies kann das Vertrauen von Microsoft in die Fähigkeit eines Geräts zur ordnungsgemäßen Verarbeitung der Updates einschränken.
  • Dieser Assistent ist für Geräte mit hoher Zuverlässigkeit standardmäßig aktiviert und kann mit einer gerätespezifischen Einstellung deaktiviert werden. Weitere Informationen werden in zukünftigen Windows-Versionen veröffentlicht.

• Kontrolliertes Featurerollout (CFR): Aktivieren Sie Geräte für die von Microsoft verwaltete Bereitstellung, wenn Diagnosedaten aktiviert sind.

  • Controlled Feature Rollout (CFR) kann mit Clientgeräten in organization fleets verwendet werden. Dies erfordert, dass Geräte die erforderlichen Diagnosedaten an Microsoft senden und signalisiert haben, dass das Gerät CFR auf dem Gerät zulässt. Einzelheiten zum Opt-in finden Sie unten.

  • Microsoft verwaltet den Updateprozess für diese neuen Zertifikate auf Windows-Geräten, auf denen Diagnosedaten verfügbar sind und die Geräte am kontrollierten Featurerollout (Controlled Feature Rollout, CFR) teilnehmen. Während CFR bei der Bereitstellung der neuen Zertifikate helfen kann, können sich Unternehmen nicht auf CFR verlassen, um ihre Flotten zu korrigieren – es müssen die Schritte befolgt werden, die in diesem Dokument im Abschnitt " Bereitstellungsmethoden, die nicht durch automatisierte Assists abgedeckt sind" beschrieben sind.

  • Einschränkungen: Es gibt einige Gründe, warum CFR in Ihrer Umgebung möglicherweise nicht funktioniert. Beispiel:

    • Es sind keine Diagnosedaten verfügbar, oder die Diagnosedaten können im Rahmen der CFR-Bereitstellung nicht verwendet werden.
    • Die Geräte verwenden keine unterstützten Clientversionen von Windows 11 und Windows 10 mit erweiterten Sicherheitsupdates (ESU).

Bereitstellungsmethoden, die nicht von automatisierten Assists abgedeckt werden

Wählen Sie die Methode, die zu Ihrer Umgebung passt. Vermeiden Sie das Mischen von Methoden auf demselben Gerät:

• Registrierungsschlüssel: Steuern Sie die Bereitstellung, und überwachen Sie die Ergebnisse.
  Es stehen mehrere Registrierungsschlüssel zur Verfügung, mit denen Sie das Verhalten der Bereitstellung der Zertifikate steuern und die Ergebnisse überwachen können. Darüber hinaus gibt es zwei Schlüssel zum Aktivieren und Deaktivieren der oben beschriebenen Bereitstellungshilfen. Weitere Informationen zu den Registrierungsschlüsseln finden Sie unter Registrierungsschlüssel-Updates für Secure Boot – Windows-Geräte mit IT-verwalteten Updates.

• Gruppenrichtlinienobjekte (GPO): Verwalten von Einstellungen, Überwachen über Registrierungs- und Ereignisprotokolle.
  Microsoft wird in einem zukünftigen Update Unterstützung für die Verwaltung der Updates für den sicheren Start mithilfe von Gruppenrichtlinien bereitstellen. Beachten Sie, dass die Überwachung des Gerätestatus mit alternativen Methoden erfolgen muss, einschließlich der Überwachung von Registrierungsschlüsseln und Ereignisprotokolleinträgen, da die Gruppenrichtlinie für Einstellungen vorgesehen ist.

• WinCS (Windows-Konfigurationssystem) CLI: Verwenden Sie Befehlszeilentools für Clients, die einer Domäne angehören.
  Domänenadministratoren können alternativ das in den Windows-Betriebssystemupdates enthaltene Windows-Konfigurationssystem (WinCS) verwenden, um die Updates für den sicheren Start auf domänengebundenen Windows-Clients und -Servern bereitzustellen. Es besteht aus einer Reihe von Befehlszeilenhilfsprogrammen (sowohl ein herkömmliches ausführbares Programm als auch ein PowerShell-Modul), mit denen Konfigurationen für den sicheren Start lokal auf einem Computer abgefragt und angewendet werden können. Weitere Informationen finden Sie in den folgenden Artikeln:

  • Windows-Konfigurationssystem (WinCS)-APIs für den sicheren Start
  • Beispielhafter Leitfaden zur E2E-Automatisierung für sicheren Start

• Microsoft Intune/Konfigurations-Manager: Bereitstellen von PowerShell-Skripts. In einem zukünftigen Update wird ein Konfigurationsdienstanbieter (Configuration Service Provider, CSP) bereitgestellt, um die Bereitstellung mithilfe von Intune zu ermöglichen.

Überwachen von Ereignisprotokollen

Zwei neue Ereignisse werden bereitgestellt, um die Bereitstellung der Zertifikatupdates für den sicheren Start zu unterstützen. Diese Ereignisse werden in Ereignisse zum Aktualisieren von DB- und DBX-Variablen für den sicheren Start ausführlich beschrieben:

• Ereignis-ID: 1801
  Dieses Ereignis ist ein Fehlerereignis, das angibt, dass die aktualisierten Zertifikate nicht auf das Gerät angewendet wurden. Dieses Ereignis enthält einige gerätespezifische Details, einschließlich Geräteattributen, die bei der Korrelation helfen, welche Geräte noch aktualisiert werden müssen.
• Ereignis-ID: 1808
  Dieses Ereignis ist ein Informationsereignis, das angibt, dass auf dem Gerät die erforderlichen neuen Zertifikate für den sicheren Start auf die Firmware des Geräts angewendet wurden.

Bereitstellungsstrategien

Stellen Sie zur Risikominimierung die Updates für den sicheren Start nicht alle auf einmal, sondern phasenweise bereit. Beginnen Sie mit einer kleinen Teilmenge von Geräten, überprüfen Sie die Ergebnisse, und erweitern Sie sie dann auf weitere Gruppen. Es wird empfohlen, mit Teilmengen von Geräten zu beginnen und, wenn Sie Vertrauen in diese Bereitstellungen gewinnen, weitere Teilmengen von Geräten hinzuzufügen. Mehrere Faktoren können verwendet werden, um zu bestimmen, was in eine Teilmenge aufgenommen wird, einschließlich Testergebnisse auf Beispielgeräten und der organization structure usw.

Die Entscheidung, welche Geräte Sie bereitstellen, liegt bei Ihnen. Einige mögliche Strategien sind hier aufgelistet.

• Große Geräteflotte: Beginnen Sie damit, die oben beschriebenen Hilfen für die gängigsten Geräte zu nutzen, die Sie verwalten. Konzentrieren Sie sich parallel dazu auf die weniger verbreiteten Geräte, die von Ihrer organization verwaltet werden. Testen Sie kleine Beispielgeräte, und wenn der Test erfolgreich war, stellen Sie sie auf den restlichen Geräten desselben Typs bereit. Wenn die Tests zu Problemen führen, untersuchen Sie die Ursache des Problems und legen Sie Korrekturschritte fest. Sie können auch Geräteklassen in Betracht ziehen, die in Ihrer Flotte einen höheren Wert haben, und mit dem Testen und Bereitstellen beginnen, um sicherzustellen, dass diese Geräte frühzeitig über aktualisierten Schutz verfügen.
• Kleiner Fuhrpark, große Vielfalt: Wenn die von Ihnen verwaltete Flotte eine Vielzahl von Maschinen enthält, bei denen das Testen einzelner Geräte unerschwinglich wäre, sollten Sie sich stark auf die beiden oben beschriebenen Hilfsmittel verlassen, insbesondere für Geräte, die wahrscheinlich gängige Geräte auf dem Markt sind. Konzentrieren Sie sich zunächst auf Geräte, die für den täglichen Betrieb wichtig sind, testen Sie diese und stellen Sie sie dann bereit. Bewegen Sie sich in der Liste der Geräte mit hoher Priorität weiter nach unten, testen und implementieren Sie sie, während Sie die Flotte überwachen, um zu bestätigen, dass die Assists bei den restlichen Geräten helfen.

Hinweise

• Achten Sie auf ältere Geräte, insbesondere Geräte, die vom Hersteller nicht mehr unterstützt werden. Während die Firmware die Updatevorgänge ordnungsgemäß ausführen sollte, ist dies bei einigen Personen möglicherweise nicht der Fall. In Fällen, in denen die Firmware nicht ordnungsgemäß funktioniert und das Gerät nicht mehr unterstützt wird, sollten Sie einen Austausch des Geräts in Betracht ziehen, um den Schutz des sicheren Starts in Ihrer gesamten Flotte zu gewährleisten.
• Bei neuen Geräten, die in den letzten 1 bis 2 Jahren hergestellt wurden, sind möglicherweise bereits die aktualisierten Zertifikate vorhanden, aber möglicherweise wird der Windows UEFI CA 2023 signierte Startmanager nicht auf das System angewendet. Das Anwenden dieses Start-Managers ist ein wichtiger letzter Schritt in der Bereitstellung für jedes Gerät.
• Sobald ein Gerät für Updates ausgewählt wurde, kann es einige Zeit dauern, bis die Updates abgeschlossen sind. Rechnen Sie mit 48 Stunden und mindestens einem Neustart, damit die Zertifikate angewendet werden.

Häufig gestellte Fragen (FAQ)

Häufig gestellte Fragen finden Sie im Artikel Häufig gestellte Fragen zum sicheren Start .

Problembehandlung

Weitere Details finden Sie im Dokument zur Problembehandlung .

Zusätzliche Ressourcen

• Angebotsseite für das Rollout von Zertifikaten für den sicheren Start
• Häufig gestellte Fragen zum sicheren Start
• Windows-Geräte für Unternehmen und Organisationen mit IT-verwalteten Updates
• Windows-Geräte für Privatanwender, Unternehmen und Schulen mit von Microsoft verwalteten Updates
• Windows 11 und sicherer Start
• Ereignisse zum Aktualisieren der Variablen „Secure Boot DB“ und „DBX“
• Anleitung zum Erstellen und Verwalten von Schlüsseln für den sicheren Start
• Sicherer Start
• Aktualisieren von Schlüsseln für den sicheren Start
• Leitfaden zur Unternehmensbereitstellung für CVE-2023-24932
• Verwalten der Windows-Start-Manager-Sperrungen für Secure Boot-Änderungen im Zusammenhang mit CVE-2023-24932