Einstellungen für die Zertifikataktualisierung für den sicheren Start mithilfe modellbasierter Zielgruppenadressierung in Microsoft Intune anwenden

Gilt für
Windows 10 ESU Windows 10 Enterprise LTSC 2021 Windows 11 Home and Pro, version 21H2 Windows 11 Enterprise Multi-Session, version 21H2 Windows 11 Enterprise and Education, version 21H2 Windows 11 IoT Enterprise, version 21H2 Windows 11 Home and Pro, version 22H2 Windows 11 Enterprise Multi-Session, version 22H2 Windows 11 Enterprise and Education, version 22H2 Windows 11 IoT Enterprise, version 22H2 Windows 11 SE, version 23H2 Windows 11 Home and Pro, version 23H2 Windows 11 Enterprise and Education, version 23H2 Windows 11 Enterprise Multi-Session, version 23H2 Windows 11 SE, version 24H2 Windows 11 Enterprise and Education, version 24H2 Windows 11 Enterprise Multi-Session, version 24H2 Windows 11 Home and Pro, version 24H2 Windows 11 IoT Enterprise, version 24H2 Windows 11 version 25H2, all editions

Hinweis

  • Ursprüngliches Veröffentlichungsdatum: Dienstag, 10. März 2026
  • KB-ID: 5084490

Dieser Artikel enthält Anleitungen für

  • IT-Profis und Intune-Administratoren, die Windows-Geräte verwalten, Updatesteuerelemente für Secure Boot-Zertifikate über Einstellungskatalogrichtlinien bereitstellen und Updateworkflows überwachen.
  • Teams, die Bereitstellungen für bestimmte Hardwaremodelle mithilfe von Zuweisungsfiltern ausrichten müssen.

Inhalt dieses Artikels:

Einführung

Dieser Leitfaden hilft IT-Administratoren, den Prozess der Aktualisierung des Zertifikats für den sicheren Start mithilfe von Microsoft Intune Einstellungskatalogrichtlinien zu aktivieren. Es wird beschrieben, wie Sie die Einstellung für den sicheren Start konfigurieren, die den Zertifikatupdateprozess aktiviert, und wie Sie diese Konfiguration bereitstellen. Außerdem wird hervorgehoben, wie modellbasierte Zuweisungsfilter verwendet werden, um kontrollierte, gestaffelte Rollouts auf Hardware zu unterstützen, die bereits für die erfolgreiche Handhabung des Updates validiert wurde.

Voraussetzungen

Die Berechtigung zum Update des Zertifikats für den sicheren Start wird durch denCSP der Richtlinie für den sicheren Start und die  Gerätefirmware bestimmt. Dieser Bereich stimmt nicht immer mit den Zeitplänen für Windows-Wartung (d. h. Updates) oder Intune-Registrierungsanforderungen überein.

Intune- und Richtlinienvoraussetzungen

  • Melden Sie sich mit einem Konto an, das über Berechtigungen zum Erstellen von Filtern und zum Erstellen/Zuweisen von Richtlinien für den Einstellungskatalog verfügt.
  • Geräte müssen in Intune registriert sein (Zuweisungsfilter gelten nur für verwaltete Geräte).

Voraussetzungen für die Berechtigung zum sicheren Start

Schritt 1: Konfigurieren der Einstellungen für das Update von Zertifikaten für den sicheren Start in Intune (Einstellungskatalog)

In diesem Schritt erstellen Sie ein Gerätekonfigurationsprofil für den Windows-Einstellungskatalog in Microsoft Intune. Außerdem konfigurieren Sie die Einstellungen für den sicheren Start, die den Aktualisierungsprozess des Zertifikats für den sicheren Start aktivieren.

Was Sie erstellen werden

Ein Gerätekonfigurationsprofil für den Windows-Einstellungenkatalog, das die Aktivierung von Zertifikat-Updates für den sicheren Start aktiviert:

Erstellen des Katalogprofils für Einstellungen

  1. Melden Sie sich beim Microsoft Intune Admin Center an.

  2. Wechseln Sie zu Geräte>verwalten>Gerätekonfiguration.

  3. Wählen Sie "Neue Richtlinieerstellen>" aus.

  4. In Profil erstellen:

  5. Plattform: Windows 10 und höher

  6. Profiltyp: Einstellungskatalog

  7. Wählen Sie Erstellen aus.

  8. Benennen Sie das Profil (z. B. Secure Boot Certificate Update), fügen Sie eine optionale Beschreibung hinzu, und wählen Sie Weiter aus.

  9. Wählen Sie unter Konfigurationseinstellungendie Option Einstellungen hinzufügen aus.

  10. Suchen Sie in der Einstellungsauswahl nach "Sicherer Start ", und wählen Sie ihn unter "Nach Kategorie durchsuchen" aus.

  11. Fügen Sie dem Profil die Einstellung "Updates für Zertifikate für den sicheren Start aktivieren" aus den drei in der Kategorie "Sicherer Start" angezeigten Einstellung hinzu.

    Hinweis

    Sie können die anderen Einstellungen für den sicheren Start in dieser Kategorie auf die gleiche Weise konfigurieren, wenn Ihr Bereitstellungsszenario dies erfordert.

  12. Legen Sie den Wert für die Einstellung auf "Aktiviert" fest.

  13. Wählen Sie "Weiter " aus, um mit den Aufgaben fortzufahren. (In Schritt 3 wenden Sie einen Filter an.)

Schritt 2 – Erstellen eines Aufgabenfilters für modellbasiertes Targeting

Als Nächstes erstellen Sie einen Intune-Zuweisungsfilter, der auf bestimmte Gerätemodelle ausgerichtet ist. Die modellbasierte Zielgruppenadressierung ermöglicht es Ihnen, Zertifikatupdates für den sicheren Start auf ausgewählte Hardwaremodelle einzugrenzen. Für diese kontrollierte und gestaffelte Bereitstellung sind keine zusätzlichen Microsoft Entra ID-Gruppen erforderlich.

Warum modellbasiertes Zielgruppen-Targeting für die Bereitstellung von Zertifikaten für den sicheren Start empfohlen wird

  • Firmwarevariabilität – OEMs implementieren den sicheren Start unterschiedlich, sodass die Bereichsdefinition auf Modellebene unerwartetes Verhalten reduziert.
  • Vorherige Validierung : Sie können Zertifikatupdates vor dem allgemeinen Rollout auf einem als funktionierend bekannten Hardwaresatz überprüfen.

Was Sie erstellen werden

Einen Zuweisungsfilter für verwaltete Geräte , der auf bestimmte Gerätemodelle abzielt (oder diese ausschließt).

Erstellen des Aufgabenfilters

  1. Melden Sie sich beim Microsoft Intune Admin Center an.

  2. Gehen Sie zu Mandantenverwaltung>Zuweisungsfilter>erstellen.

  3. Wählen Sie Verwaltete Geräte aus.

  4. Legen Sie in den Grundlagen Folgendes fest:

    • Filtername (beschreibend).
    • Beschreibung (optional, aber empfohlen).
    • Plattform: Windows 10 und höher.

  5. Wählen Sie Weiter aus.

  6. Wählen Sie unter Regeln einen Ansatz:

    • Regel-Generator (für die meisten Administratoren empfohlen)
    • Regelsyntax (manuelle Ausdrucksbearbeitung)

Erstellen einer modellbasierten Regel (Regel-Generator)

  1. Wählen Sie im Regel-Generator die Modelleigenschaft aus.
  2. Wählen Sie einen Anbieter aus.
  3. Geben Sie die Modellzeichenfolgen ein, die Sie abgleichen möchten.
  4. Wählen Sie Ausdruck hinzufügen aus, um ihn der Regel hinzuzufügen.
  5. Verwenden Sie bei Bedarf Und/Oder , um die Regel auf zusätzliche Modelle zu erweitern oder zusätzliche Kriterien basierend auf anderen möglichen filterbaren Eigenschaften hinzuzufügen.

Tipp

Verwenden Sie Vorschaugeräte , um zu überprüfen, ob der Filter mit dem beabsichtigten Satz übereinstimmt. Die Vorschauliste unterstützt die Suche nach Gerätename, Betriebssystemversion, Gerätemodell und Gerätehersteller.

Anzeigen einer Vorschau und Erstellen des Filters

  1. Wählen Sie Vorschaugeräte aus, um zu bestätigen, welche registrierten Geräte übereinstimmen.
  2. Wählen Sie Weiter aus.
  3. (Optional) Weisen Sie Bereichstags zu, falls Sie diese verwenden.
  4. Wählen Sie Weiter aus.
  5. Wählen Sie unter Überprüfen + Erstellen die Option Erstellen aus.

Schritt 3: Zuweisen der Richtlinie mithilfe des Zuweisungsfilters

Schließlich weisen Sie das Katalogprofil Einstellungen einem Gerät oder einer Benutzergruppe zu und wenden den Zuweisungsfilter an. Dadurch wird bestimmt, welche registrierten Geräte die Updateeinstellungen für das Secure Boot-Zertifikat während der Richtlinienauswertung erhalten und verarbeiten.

Was Sie tun werden

Sie weisen das Katalogprofil der Einstellungen für den sicheren Start aus Schritt 1 einer Gruppe zu und wenden dann den Filter aus Schritt 2 im Ein - oder Ausschlussmodus an.

Anwenden des Aufgabenfilters

  1. Navigieren Sie im Microsoft Intune Admin Center zu Geräteverwaltung>>und -konfiguration.

  2. Wählen Sie das Einstellungskatalogprofil aus, das Sie in Schritt 1 oben erstellt haben.

  3. Öffnen SieEigenschaftenzuweisungen>>Bearbeiten.

  4. Weisen Sie das Profil der entsprechenden Benutzergruppe oder Gerätegruppe zu.

    Tipp

    Wenn Sie keine anderen Kriterien zum Einschränken der Zielgruppenadressierung haben, weisen Sie diese Richtlinie der virtuellen Gruppe Alle Geräte zu. Verwenden Sie den Gerätemodellzuweisungsfilter aus Schritt 2, um den Umfang der Zuweisung festzulegen. Diese Kombination ist für die meisten Bereitstellungen ausreichend. Die virtuelle Gruppe Alle Geräte ist integriert, erfordert keine Gruppenwartung und ist für die Skalierung optimiert. Anschließend schränkt der Zuweisungsfilter die Anwendbarkeit beim Geräte-Check-in basierend auf Geräteeigenschaften ein, ohne dass zusätzliche Microsoft Entra-Gruppen erforderlich sind.

  5. Wählen Sie Filter bearbeiten aus.

  6. Wählen Sie eine der folgenden Optionen aus:

    • Gefilterte Geräte in Zuweisung einschließen: Nur Geräte, die dem Filter entsprechen, erhalten die Richtlinie.
    • Gefilterte Geräte in Zuweisung ausschließen: Geräte, die dem Filter entsprechen, erhalten die Richtlinie nicht.

  7. Wählen Sie Ihren vorhandenen Aufgabenfilter aus Schritt 2 und dann Auswählen aus.

  8. Wählen Sie Überprüfen + speichern> Wählen SieSpeichern aus.

Grundlegendes zum Geräteverhalten

  • Intune wertet den Filter bei der Registrierung des Geräts, bei jedem Einchecken und bei jeder erneuten Auswertung der zugewiesenen Richtlinie aus.
  • Das Aktivieren der Einstellung für den sicheren Start garantiert nicht die sofortige Zertifikatanwendung. Für die Einstellung "Sicherer Start", die den Updateprozess auslöst, wird die Aufgabe für den sicheren Start von Windows alle 12 Stunden ausgeführt. Einige Updates können einen Neustart erfordern.

Häufig gestellte Fragen

Wie oft verarbeiten Geräte die Einstellung "Zertifikat für den sicheren Start aktivieren Updates"?

Der Windows Secure Boot-Task, der die Einstellung verarbeitet, wird alle 12 Stunden ausgeführt.

Muss ich mit Neustarts rechnen?

Das Initiieren des Updates über Intune führt nicht zu einem Neustart, obwohl möglicherweise ein Neustart erforderlich ist, um das Update abzuschließen.

Kann ich die neuen Zertifikate zurücksetzen oder entfernen, nachdem sie angewendet wurden?

Nachdem Zertifikate auf die Firmware angewendet wurden, kann Windows sie nicht entfernen. Das Löschen von Zertifikaten muss über die Firmwareschnittstelle erfolgen.

Warum sollte ich dies vor Juni 2026 tun?

Ältere Zertifikate laufen ab Juni 2026 ab. Geräte, die die neueren 2023-Zertifikate nicht erhalten haben, verlieren die Möglichkeit, neue Sicherheitsvorkehrungen für den frühen Start (z. B. Datenbank- und Sperrupdates für den sicheren Start) zu erhalten.

Ressourcen