Gruppenrichtlinie Objects-Methode (GPO) des sicheren Starts für Windows-Geräte mit IT-verwalteten Updates
Gilt für
Ursprüngliches Veröffentlichungsdatum: 30. Oktober 2025
KB-ID: 5068198
|
Dieser Artikel enthält Anleitungen für:
Hinweis: Wenn Sie eine Person sind, die ein persönliches Windows-Gerät besitzt, lesen Sie den Artikel Windows-Geräte für Private Benutzer, Unternehmen und Schulen mit von Microsoft verwalteten Updates. |
|
Verfügbarkeit dieser Unterstützung
|
|
Datum ändern |
Beschreibung ändern |
|---|---|
|
11. November 2025 |
|
|
26. November 2025 |
|
In diesem Artikel:
Einführung
In diesem Dokument wird die Unterstützung für die Bereitstellung, Verwaltung und Überwachung der Zertifikatupdates für den sicheren Start mithilfe des Gruppenrichtlinie-Objekts beschrieben. Die Einstellungen bestehen aus:
-
Die Möglichkeit, die Bereitstellung auf einem Gerät auszulösen
-
Eine Einstellung zum Abonnieren/Deaktivieren von Buckets mit hoher Zuverlässigkeit
-
Eine Einstellung zum Abonnieren/Deaktivieren der Verwaltung von Updates durch Microsoft
konfigurationsmethode für Gruppenrichtlinie Object (GPO)
Diese Methode bietet eine einfache Einstellung für den sicheren Start Gruppenrichtlinie, die Domänenadministratoren festlegen können, um Updates für den sicheren Start auf allen in die Domäne eingebundenen Windows-Clients und -Servern bereitzustellen. Darüber hinaus können zwei Unterstützungsassistenten für den sicheren Start mit Den Einstellungen zum Aktivieren/Deaktivieren verwaltet werden.
Informationen zu den Updates, die die Richtlinie für die Bereitstellung von Zertifikatupdates für den sicheren Start enthalten, finden Sie weiter unten im Abschnitt Ressourcen.
Diese Richtlinie finden Sie unter dem folgenden Pfad in der benutzeroberfläche Gruppenrichtlinie:
Computerkonfiguration >Administrative Vorlagen >Windows-Komponenten >sicherer Start
Wichtig: Updates für den sicheren Start hängen von der Gerätefirmware ab, und bei einigen Geräten treten möglicherweise Kompatibilitätsprobleme auf. So stellen Sie einen sicheren Rollout sicher:
-
Überprüfen Sie die Updaterichtlinie auf mindestens einem repräsentativen Gerät für jeden Gerätetyp in Ihrem organization.
-
Vergewissern Sie sich, dass Zertifikate für den sicheren Start erfolgreich auf die UEFI-Datenbank und den KEK angewendet wurden. Ausführliche Schritte finden Sie unter Updates des Zertifikats für den sicheren Start: Leitfaden für IT-Experten und Organisationen.
-
Gruppieren Sie nach der Überprüfung Geräte nach Buckethash, und wenden Sie die Richtlinie für einen kontrollierten Rollout auf diese Geräte an.
Verfügbare Konfigurationseinstellungen
Die drei verfügbaren Einstellungen für die Bereitstellung von Zertifikaten für den sicheren Start werden hier beschrieben. Diese Einstellungen entsprechen den Registrierungsschlüsseln, die unter Registrierungsschlüsselupdates für den sicheren Start: Windows-Geräte mit von der IT verwalteten Updates beschrieben werden.
Aktivieren der Zertifikatbereitstellung für den sicheren Start
Gruppenrichtlinie Einstellungsname: Aktivieren der Zertifikatbereitstellung für den sicheren Start
Beschreibung: Diese Richtlinie steuert, ob Windows den Zertifikatbereitstellungsprozess für den sicheren Start auf Geräten initiiert.
-
Aktiviert: Windows beginnt automatisch mit der Bereitstellung aktualisierter Zertifikate für den sicheren Start, sobald der Task "Sicherer Start" ausgeführt wird.
-
Deaktiviert: Windows stellt Zertifikate nicht automatisch bereit.
-
Nicht konfiguriert: Es gilt das Standardverhalten (keine automatische Bereitstellung).
Hinweise:
-
Die Aufgabe, die diese Einstellung verarbeitet, wird alle 12 Stunden ausgeführt. Einige Updates erfordern möglicherweise einen Neustart, um sicher abgeschlossen zu werden.
-
Sobald Zertifikate auf Firmware angewendet wurden, können sie nicht aus Windows entfernt werden. Das Löschen von Zertifikaten muss über die Firmwareschnittstelle erfolgen.
-
Diese Einstellung wird als Präferenz betrachtet. Wenn das Gruppenrichtlinienobjekt entfernt wird, bleibt der Registrierungswert erhalten.
-
Entspricht dem Registrierungsschlüssel AvailableUpdates.
Automatische Zertifikatbereitstellung über Updates
Gruppenrichtlinie Einstellungsname: Automatische Zertifikatbereitstellung über Updates
Beschreibung: Diese Richtlinie steuert, ob Zertifikatupdates für den sicheren Start automatisch über monatliche Windows-Sicherheitsupdates und nicht sicherheitsrelevante Updates angewendet werden. Geräte, die von Microsoft für die Verarbeitung von Variablenupdates für den sicheren Start überprüft wurden, erhalten diese Updates im Rahmen der kumulativen Wartung und wenden sie automatisch an.
Hinweis: Wenn Sie diese Richtlinie aktivieren, wird die automatische Zertifikatbereitstellung über Updates deaktiviert. Dies entspricht dem Festlegen des Registrierungsschlüssels HighConfidenceOptOut auf 1.Wenn Sie diese Richtlinie deaktivieren, wird die automatische Zertifikatbereitstellung über Updates aktiviert. Dies entspricht dem Festlegen von HighConfidenceOptOut auf 0.
-
Aktiviert: Die automatische Bereitstellung ist blockiert. Updates müssen manuell verwaltet werden.
-
Deaktiviert: Geräte mit überprüften Updateergebnissen erhalten während der Wartung automatisch Zertifikatupdates.
-
Nicht konfiguriert: Die automatische Bereitstellung erfolgt standardmäßig.
Hinweise:
-
Die beabsichtigten Geräte haben bestätigt, dass Updates erfolgreich verarbeitet werden.
-
Konfigurieren Sie diese Richtlinie, um sich für die automatische Bereitstellung zu entscheiden.
-
Entspricht dem Registrierungsschlüssel HighConfidenceOptOut.
Zertifikatbereitstellung über kontrolliertes Featurerollout
Gruppenrichtlinie Einstellungsname: Zertifikatbereitstellung über kontrolliertes Featurerollout
Beschreibung: Diese Richtlinie ermöglicht Es Unternehmen, an einem kontrollierten Featurerollout des Von Microsoft verwalteten Zertifikatupdates für den sicheren Start teilzunehmen.
-
Aktiviert: Microsoft unterstützt Sie bei der Bereitstellung von Zertifikaten auf Geräten, die für den Rollout registriert sind.
-
Deaktiviert oder Nicht konfiguriert: Keine Teilnahme am kontrollierten Rollout.
Anforderungen:
-
Das Gerät muss die erforderlichen Diagnosedaten an Microsoft senden. Weitere Informationen finden Sie unter Konfigurieren von Windows-Diagnosedaten in Ihrem organization – Windows-Datenschutz | Microsoft Learn.
-
Entspricht dem Registrierungsschlüssel MicrosoftUpdateManagedOptIn.
Ressourcen
Weitere Informationen zu den Registrierungsschlüsseln UEFICA2023Status und UEFICA2023Fehler zum Überwachen der Geräteergebnisse finden Sie unter Registrierungsschlüsselupdates für den sicheren Start: Windows-Geräte mit IT-verwalteten Updates.
Informationen zu Ereignissen, die hilfreich sind, um die status von Geräten, Geräteattributen und Gerätebucket-IDs zu verstehen, finden Sie unter Updateereignisse für Sichere Startdatenbanken und DBX-Variablen. Achten Sie besonders auf die Ereignisse 1801 und 1808, die auf der Ereignisseite beschrieben sind.
Verwenden Sie für die Gruppenrichtlinie MSIs und die Referenztabelle für GP-Einstellungen die folgenden Links, oder stellen Sie sicher, dass die von Ihnen verwendeten administrativen Vorlagen zu oder nach den in der Tabelle aufgeführten Datumsangaben veröffentlicht werden.
|
Plattform |
Veröffentlichte MSI |
Referenztabelle für veröffentlichte GP-Einstellungen |
|---|---|---|
|
Client |
Veröffentlicht: 27.10.2025 |
Veröffentlicht: 02.10.2025 |
|
Server |
Veröffentlicht: 27.10.2025 |
Veröffentlicht: 27.10.2025 |
Benötigen Sie weitere Hilfe?
Möchten Sie weitere Optionen?
Erkunden Sie die Abonnementvorteile, durchsuchen Sie Trainingskurse, erfahren Sie, wie Sie Ihr Gerät schützen und vieles mehr.
In den Communities können Sie Fragen stellen und beantworten, Feedback geben und von Experten mit umfassendem Wissen hören.
