Hinweis
- Ursprüngliches Veröffentlichungsdatum: Dienstag, 10. März 2026
- KB-ID: 5084464
Inhalt dieses Artikels
Veröffentlichen der Datenbank mit hoher Zuverlässigkeit
- Zugreifen auf die Daten auf GitHub
- Daten mit hoher Zuverlässigkeit, die in Wartungsupdates enthalten sind
- Häufigere Datenbankupdates mit hoher Zuverlässigkeit erhalten
- Wiederverwendung von Daten mit hoher Zuverlässigkeit in allen Windows-Versionen
- Bereitstellen der Datenbank mit hoher Zuverlässigkeit in anderen Windows-Versionen
- Wie Windows Konfidenzdaten auswählt
Einführung und Geltungsbereich
Die Datenbank mit hoher Zuverlässigkeit unterstützt die Bereitstellung von Zertifikatupdates für den sicheren Start durch Windows, indem Geräte- und Firmwarekonfigurationen identifiziert werden, die auf der Grundlage von beobachteten Wartungs- und Zuverlässigkeitssignalen ein erfolgreiches Updateverhalten gezeigt haben.
In diesem Artikel wird erläutert, was die Datenbank mit hoher Zuverlässigkeit darstellt, wie die Zuverlässigkeit bestimmt wird und wie die Daten veröffentlicht und von Windows-Wartung verwendet werden. Er richtet sich an IT-Experten, Sicherheitsteams und Supporttechniker, die verstehen möchten, wie Konfidenzdaten Entscheidungen über das Update von Zertifikaten für den sicheren Start beeinflussen, einschließlich der Art und Weise, wie diese Daten durch kumulative Updates aufgetaucht und für Kunden veröffentlicht werden.
Bedeutung der Datenbank mit hoher Zuverlässigkeit
Die Datenbank mit hoher Zuverlässigkeit spiegelt die Einschätzung von Microsoft wider, welche Geräte- und Firmwarekonfigurationen basierend auf beobachteten Wartungs- und Zuverlässigkeitssignalen für Updates von Zertifikaten für den sicheren Start bereit sind.
Angesichts des Umfangs und der Vielfalt der Hardware- und Firmwarekombinationen im Windows-Ökosystem bietet die Datenbank eine praktische Möglichkeit, die Updatebereitschaft zu bewerten, indem Geräte mit ähnlichen Merkmalen gruppiert und die tatsächlichen Updateergebnisse gemessen werden. Diese Konfidenzdaten sind in kumulativen Updates enthalten, damit Windows Updates von Zertifikaten für den sicheren Start auf kontrollierte Weise bereitstellen kann, die erfolgreiche Ergebnisse priorisiert.
Einschränkungen und Überlegungen zur Abdeckung
Die Datenbank mit hoher Zuverlässigkeit gibt an, wo Microsoft über ausreichende beobachtete Wartungsdaten verfügt, um die Bereitschaft zur Aktualisierung des Secure Boot-Zertifikats zu beurteilen. Die meisten dieser Daten stammen von Windows-Clientgeräten, auf denen die Wartungssignale breit und konsistent sind. Dadurch sind Kundenplattformen stärker vertreten.
Andere Gerätetypen, z. B. Windows Server und Windows IoT, sind aufgrund unterschiedlicher Bereitstellungsmuster, Telemetrieverfügbarkeit und Updateworkflows weniger stark vertreten. Dies bedeutet nicht, dass der Support für diese Plattformen eingeschränkt ist. Dies spiegelt wider, dass weniger beobachtete Signale verfügbar sind, um Konfidenzbewertungen zu unterstützen. Kunden, die Updates von Zertifikaten für den sicheren Start in diesen Umgebungen bereitstellen, sollten Bereitstellungen mit zusätzlichem Fokus und Validierung planen, die auf ihr Bereitstellungsmodell und ihre betrieblichen Anforderungen abgestimmt sind.
Datenstruktur und -klassifizierung
Die Datenbank mit hoher Zuverlässigkeit ist in Gerätebuckets organisiert, die Geräte gruppieren, die gemeinsame Hardware-, Firmware- und Plattformattribute verwenden. Dieser Ansatz ermöglicht es Windows-Wartung, das Verhalten der Secure Boot-Aktualisierung auf Geräteklassenebene und nicht pro einzelnes System auszuwerten.
Jedem Bucket wird eine Konfidenzklassifizierung zugewiesen, die die aktuelle Bewertung der Bereitschaft zur Aktualisierung des Secure Boot-Zertifikats widerspiegelt. Diese Klassifizierungen werden durch Windows-Ereignisse angezeigt, einschließlich der Ereignisse 1801, 1802, 1803 und 1808. Weitere Informationen finden Sie unter Ereignisse zum Aktualisieren von DB- und DBX-Variablen für den sicheren Start. Die Konfidenzklassifizierung ist auch über den Registrierungsschlüssel ConfidenceLevel verfügbar. Weitere Informationen finden Sie unter Registrierungsschlüsselupdates für den sicheren Start: Windows-Geräte mit IT-verwalteten Updates .
Konfidenzklassifikationen
Die Datenbank mit hoher Konfidenz gruppiert Geräte in Konfidenzklassifizierungen, die die aktuelle Bewertung der Updatebereitschaft für Secure Boot-Zertifikate widerspiegeln und als Leitfaden für Bereitstellungsentscheidungen dienen.
- Hohe Zuverlässigkeit: Die Geräte in dieser Gruppe haben durch beobachtete Daten nachgewiesen, dass sie die Firmware mit den neuen Zertifikaten für den sicheren Start erfolgreich aktualisieren können.
- Vorübergehend angehalten: Geräte in dieser Gruppe sind von einem bekannten Problem betroffen. Um das Risiko zu verringern, werden Updates von Zertifikaten für den sicheren Start vorübergehend angehalten, während Microsoft und Partner an einer unterstützten Lösung arbeiten. Dies kann ein Firmwareupdate erfordern. Suchen Sie nach einem 1802-Ereignis für weitere Details.
- Nicht unterstützt – bekannte Einschränkung: Die Geräte in dieser Gruppe unterstützen den automatischen Updatepfad des Zertifikats für den sicheren Start aufgrund von Hardware- oder Firmwareeinschränkungen nicht. Für diese Konfiguration ist derzeit keine unterstützte automatische Auflösung verfügbar.
- Unter Beobachtung - weitere Daten erforderlich: Geräte in dieser Gruppe sind derzeit nicht blockiert, aber es liegen noch nicht genügend Daten vor, um sie als vertrauenswürdig einzustufen. Updates von Zertifikaten für den sicheren Start können zurückgestellt werden, bis ausreichende Daten verfügbar sind.
- Keine Daten beobachtet – Aktion erforderlich: Microsoft hat dieses Gerät in den Secure Boot-Updatedaten nicht beobachtet. Daher können automatische Zertifikatupdates für dieses Gerät nicht ausgewertet werden, und wahrscheinlich ist ein Eingreifen des Administrators erforderlich. Diese Klassifizierung ist nicht in der Datenbank mit hoher Zuverlässigkeit enthalten und wird von Windows ausgegeben, wenn das Gerät nicht in der Datenbank gefunden wird.
Veröffentlichen der Datenbank mit hoher Zuverlässigkeit
Die High Confidence Database wird über zwei komplementäre Mechanismen veröffentlicht. Eine unterstützt die automatische Wartung von Windows. Der andere bietet Einblick in Konfidenzdaten für Kunden und Partner.
Zugreifen auf die Daten auf GitHub
Microsoft veröffentlicht eine für Menschen lesbare Version der High Confidence Database auf GitHub, um Transparenz hinsichtlich der Daten zu bieten, die zur Bewertung der Bereitschaft für die Aktualisierung von Zertifikaten für den sicheren Start verwendet werden. Diese Version enthält die Geräteattribute, die zum Erstellen von Konfidenzbuckets verwendet werden, und ist für die Inspektion und Analyse durch Menschen vorgesehen. Er wird nicht direkt von der Windows-Wartung verwendet.
Die Daten sind im Microsoft Secure Boot Objects GitHub-Repository verfügbar und können für die folgenden Zielgruppen nützlich sein:
- IT-Administratoren und Sicherheitsteams: Bewerten Sie die Bereitstellungsbereitschaft für den sicheren Start, und verstehen Sie, welche Geräteklassen für Zertifikatupdates geeignet sind, die über kumulative Updates bereitgestellt werden.
- Gerätehersteller: Überprüfen Sie, wie Geräte- und Firmwarekonfigurationen im Windows-Ökosystem dargestellt werden.
- Andere Betriebssystemanbieter, einschließlich Linux-Distributionen: Verstehen, wie Geräte- und Firmwarekonfigurationen klassifiziert werden, und gegebenenfalls Anpassung an den stufenweisen Rolloutansatz von Microsoft.
Die Daten werden zweimal monatlich aktualisiert, abgestimmt mit monatlichen Sicherheitsupdates am zweiten Dienstag des Monats und optionalen nicht sicherheitsrelevanten Vorschauupdates am vierten Dienstag des Monats.
Daten mit hoher Zuverlässigkeit, die in Wartungsupdates enthalten sind
Eine signierte Version der Datenbank mit hoher Zuverlässigkeit ist in kumulativen Windows-Updates enthalten und wird direkt von der Windows-Wartung verwendet, um die Bereitschaft zur Aktualisierung von Zertifikaten für den sicheren Start zu bewerten. Diese Daten sind integritätsgeschützt und werden lokal ausgewertet, sodass auch dann Wartungsentscheidungen getroffen werden können, wenn ein Gerät für die Microsoft-Telemetrie nicht sichtbar ist.
Auf dem Gerät werden die Daten wie BucketConfidenceData.cab gespeichert unter:
Hinweis
%SystemRoot%\System32\SecureBootUpdates\
Diese wartungsintegrierte Version enthält eine kompakte, strukturierte Darstellung von Konfidenzbuckets. Sie enthält nur die Attribute, die zur Bestimmung der Bucket-Mitgliedschaft und der zugehörigen Konfidenzklassifizierung erforderlich sind. Versions- und Zeitstempel-Metadaten stellen sicher, dass die neuesten anwendbaren Daten verwendet werden. Diese Version ist im Hinblick auf Zuverlässigkeit, Größe und Sicherheit optimiert und nicht zur direkten Überprüfung oder Änderung vorgesehen.
Häufigere Datenbankupdates mit hoher Zuverlässigkeit erhalten
Geräte, auf denen Windows 11, Version 24H2 oder 25H2 ausgeführt wird, können Datenbankupdates mit hoher Zuverlässigkeit häufiger als die monatliche Kadenz der Sicherheitsupdates erhalten. Zusätzlich zu den monatlichen Sicherheitsupdates erhalten diese Versionen auch optionale, nicht sicherheitsrelevante Vorschauupdates, die neuere Zuverlässigkeitsdaten enthalten können. Durch die Installation dieser Updates können Kunden näher an den neuesten Konfidenzdaten bleiben, während sie die standardmäßige Windows-Wartung beibehalten.
Wiederverwendung von Daten mit hoher Zuverlässigkeit in allen Windows-Versionen
In einigen Umgebungen können Administratoren die Datenbank mit hoher Zuverlässigkeit für unterstützte Windows-Versionen bereitstellen, die älter als Windows 11, Version 24H2 oder 25H2 sind.
In diesem Szenario stammt die Datenbank aus Windows 11, Version 24H2 oder 25H2, die über optionale, nicht sicherheitsrelevante Vorschauupdates neuere Zuverlässigkeitsdaten erhalten. Durch die Bereitstellung dieser Datenbank können neuere Zuverlässigkeitsbewertungen für ältere unterstützte Windows-Versionen früher ausgewertet werden als nur durch monatliche Sicherheitsupdates. Dies ändert nichts daran, wie die Zuverlässigkeit berechnet oder wie Zertifikatupdates für den sicheren Start angewendet werden.
Bereitstellen der Datenbank mit hoher Zuverlässigkeit in anderen Windows-Versionen
Verwenden Sie zum Bereitstellen BucketConfidenceData.cabeinen Prozess, der auf die Bereitstellungstools und -methoden Ihres organization abgestimmt ist.
Beziehen Sie BucketConfidenceData.cab von einem Windows 11-, Version 24H2- oder 25H2-System, auf dem die neuesten nicht sicherheitsrelevanten Updates ausgeführt werden. Die Datei befindet sich unter:
Hinweis
%SystemRoot%\System32\SecureBootUpdates\
Erstellen Sie als Administrator auf Zielgeräten das folgende Verzeichnis, falls es noch nicht vorhanden ist:
Hinweis
%ProgramData%\Microsoft\Windows\SecureBootUpdates
Stellen Sie BucketConfidenceData.cab in diesem Verzeichnis bereit.
Wenn die geplante Aufgabe das nächste Mal ausgeführt wird, in der Regel innerhalb von 12 Stunden, verwendet Windows diese Datei, wenn sie neuer ist als die Version, die in den Wartungsupdates enthalten ist.
Wie Windows Konfidenzdaten auswählt
Ein Gerät kann mehrere Kopien der Datenbank mit hoher Zuverlässigkeit enthalten. Um ein konsistentes Verhalten sicherzustellen, wendet Windows beim Auswerten von Konfidenzdaten ein definiertes Prioritätsmodell an.
Wenn eine signierte Konfidenzdatendatei in einem kumulativen Update enthalten ist, wird diese Wartungskopie standardmäßig verwendet. Wenn mehrere Kopien vorhanden sind, wählt Windows die neueste anwendbare Version basierend auf Versions- und Zeitstempelmetadaten aus.