Secure Boot in Windows 11 aktivieren (prüfen, beheben, verifizieren)

Von Mirko Peters · 2026-11-12

So aktivieren Sie Secure Boot in Windows 11: Prüfen Sie den aktuellen Status, öffnen Sie die UEFI-Einstellungen, wechseln Sie vom Legacy-Modus, konvertieren Sie MBR in GPT und überprüfen Sie das Ergebnis in Intune.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Um Secure Boot in Windows 11 zu aktivieren, starten Sie in die UEFI-Firmwareeinstellungen neu (Einstellungen, System, Wiederherstellung, Erweiterter Start, Jetzt neu starten, danach Problembehandlung, Erweiterte Optionen, UEFI-Firmwareeinstellungen). Stellen Sie sicher, dass der Startmodus auf UEFI statt Legacy oder CSM steht, und aktivieren Sie Secure Boot auf der Registerkarte Boot oder Sicherheit. Bestätigen Sie die Aktivierung anschließend unter Windows. Dieser Artikel richtet sich an IT-Administratoren, die einen PC oder eine Flotte haben, auf der Secure Boot deaktiviert ist oder auf der Windows 11 meldet, dass der PC es nicht ausführen kann. Er zeigt, wie Sie den aktuellen Status prüfen, die Einstellung aktivieren, einen Datenträger von MBR in GPT konvertieren, wenn die Firmware im Legacy-Modus hängen bleibt, und das Ergebnis in Intune überprüfen.

Das Wichtigste in Kürze

• Secure Boot ist eine UEFI-Firmwareeinstellung. Sie aktivieren es daher im Firmware-Setup und nicht in Windows. Öffnen Sie es über Einstellungen, System, Wiederherstellung, Erweiterter Start.
• Secure Boot setzt voraus, dass die Firmware im UEFI-Modus läuft. Läuft der PC im Legacy- oder CSM-Modus, wechseln Sie zuerst auf UEFI. Die Menübezeichnungen hängen vom Hersteller ab.
• Eine Installation im BIOS-Modus auf einem MBR-Datenträger muss in der Regel mit MBR2GPT in GPT konvertiert werden, bevor die Firmware den UEFI-Modus nutzen kann. Die Konvertierung lässt sich nicht rückgängig machen. Erstellen Sie deshalb vorher ein Backup.
• Überprüfen Sie das Ergebnis mit Confirm-SecureBootUEFI in PowerShell als Administrator. True bedeutet, dass Secure Boot aktiviert ist.
• In Intune hängt die Compliance-Einstellung Secure Boot erforderlich von der Gerätezustandsattestierung und TPM 2.0 ab. Ein Gerät ohne TPM 2.0 wird als nicht konform angezeigt.

Was Secure Boot leistet und warum Windows 11 es verlangt

Microsoft beschreibt Secure Boot als Sicherheitsfunktion, die verhindert, dass beim Start Ihres PCs nicht autorisierte Software geladen wird. Ist die Funktion aktiviert, prüft die Firmware vor dem Start, ob der Bootloader von einem vertrauenswürdigen Zertifikat signiert ist. Windows setzt die Vertrauenskette danach fort. Details finden Sie auf Microsoft Learn unter Secure the Windows boot process.

Für Windows 11 sind die relevanten Angaben in den Hardwareanforderungen zu finden: Die Systemfirmware muss UEFI sein und Secure Boot unterstützen, und der PC benötigt TPM 2.0. Das Wort „unterstützt“ führt häufig zu Missverständnissen. Ein PC kann Secure Boot unterstützen und es dennoch deaktiviert haben, oder er läuft in einem Legacy-Modus, in dem es gar nicht nutzbar ist. Die Microsoft-Seite zu Secure Boot für Windows 11 ergänzt, dass Sie zur Aktivierung den Startmodus von Legacy (auch CSM-Modus genannt) auf UEFI umstellen. Bietet die Firmware beide Optionen an, sollte UEFI die erste oder einzige Option sein.

Zuerst den aktuellen Status prüfen

Bevor Sie die Firmware anfassen, sollten Sie wissen, was Sie vorliegen haben. Das dauert eine Minute und erspart einen Neustart.

1. Öffnen Sie PowerShell als Administrator.
2. Führen Sie Confirm-SecureBootUEFI aus.

Microsoft Learn dokumentiert das Ergebnis: True, wenn der Computer Secure Boot unterstützt und es aktiviert ist, False, wenn es unterstützt, aber deaktiviert ist. Unterstützt der Computer Secure Boot nicht oder handelt es sich um einen BIOS-Rechner (ohne UEFI), meldet das Cmdlet, dass dies auf dieser Plattform nicht unterstützt wird. Das Cmdlet benötigt eine Eingabeaufforderung mit Administratorrechten, andernfalls erhalten Sie eine Meldung über verweigerten Zugriff.

Sie können auch msinfo32 ausführen und die Zeile Systemübersicht prüfen. Die Zeile BIOS-Modus sollte UEFI anzeigen. Der Artikel zur Fehlerbehebung bei Intune von Microsoft verwendet dasselbe Tool, um den BIOS-Modus und die PCR7-Konfiguration zu prüfen. Die Systeminformationen enthalten außerdem eine Zeile Status von Secure Boot, die On, Off oder Unsupported anzeigt. Diese Zeile wird auf den Microsoft-Seiten, die ich verwendet habe, nicht beschrieben. Vertrauen Sie daher zuerst dem Ergebnis aus PowerShell.

Nach der Änderung bietet der Aktivierungsleitfaden von Microsoft eine weitere Prüfung: Öffnen Sie Einstellungen, Sicherheit, Integritätsschutz und vergewissern Sie sich, dass Secure Boot Ein anzeigt. Die Bezeichnung kann je nach Windows-Build abweichen.

Meldet Confirm-SecureBootUEFI, dass die Plattform nicht unterstützt wird, liegt genau der Fall vor, um den es in diesem Artikel größtenteils geht: Der PC startet im Legacy-Modus.

Secure Boot in den UEFI-Einstellungen aktivieren

Die Einstellung befindet sich in der Firmware, daher müssen Sie diese öffnen. Die folgenden Schritte stammen aus dem Aktivierungsleitfaden für Secure Boot von Microsoft.

1. Speichern Sie Ihre Arbeit. Öffnen Sie Einstellungen, dann System, dann Wiederherstellung.
2. Wählen Sie neben Erweiterter Start die Option Jetzt neu starten aus.
3. Wählen Sie auf dem Bildschirm Option auswählen die Option Problembehandlung und dann Erweiterte Optionen.
4. Wählen Sie UEFI-Firmwareeinstellungen und dann Neu starten.
5. Suchen Sie in der Firmware die Einstellung für Secure Boot. Sie befindet sich meist auf der Registerkarte Boot oder Sicherheit. Ist der Startmodus auf Legacy oder CSM gesetzt, stellen Sie ihn zuerst auf UEFI um.
6. Aktivieren Sie Secure Boot, speichern Sie und beenden Sie die Firmware.

Menüs und Bezeichnungen unterscheiden sich je nach Hersteller, und Microsoft gibt keinen allgemeingültigen Pfad vor. Der Leitfaden verlinkt auf die Anleitungen der Hersteller für Surface, Acer, ASRock, ASUS, BIOSTAR, Colorful, Dell oder Alienware, GIGABYTE oder AORUS, HP oder OMEN, Lenovo und MSI. Haben Sie den PC selbst zusammengebaut, verwenden Sie den Leitfaden des Mainboard-Herstellers. Bei Surface finden Sie die Schritte in der Surface-UEFI: Wählen Sie Sicherheit, dann unter Secure Boot die Option Konfiguration ändern, wählen Sie in der Zertifikatliste Nur Microsoft und bestätigen Sie mit OK. Anschließend wählen Sie Beenden und Jetzt neu starten.

Die Warnung von Microsoft gilt für alle Hersteller: Falsch geänderte Firmwareeinstellungen können die Sicherheit Ihres PCs beeinträchtigen oder verhindern, dass er ordnungsgemäß startet. Ändern Sie nur die Secure-Boot-Einstellungen, die Ihr Hersteller beschreibt. Startet der PC danach nicht mehr, rufen Sie die Firmware erneut auf und machen Sie Ihre letzte Änderung rückgängig.

Wenn der PC im Legacy-Modus auf einem MBR-Datenträger läuft

Dies ist der hartnäckige Fall. Die Firmware kann den UEFI-Modus anbieten, Windows wurde jedoch im Legacy-Modus auf einem MBR-Datenträger installiert. Deshalb startet der PC nach dem Umstellen auf UEFI nicht mehr. Die Lösung besteht darin, den Datenträger in GPT umzuwandeln. Das Tool MBR2GPT von Microsoft erledigt das, ohne Daten auf dem Datenträger zu ändern oder zu löschen.

Prüfen Sie zunächst den Partitionsstil. Führen Sie in PowerShell Get-Disk | ft -Auto aus und lesen Sie die Spalte Partitionsstil ab, die MBR oder GPT anzeigt. In der Datenträgerverwaltung (diskmgmt.msc) öffnen Sie die Eigenschaften des Datenträgers und sehen auf der Registerkarte Volumes unter Partitionsstil nach.

Gehen Sie danach die Voraussetzungen von Microsoft durch. Das Gerät muss UEFI unterstützen, der Datenträger muss der Systemdatenträger sein, und er benötigt Platz für die GPT-Strukturen. Es dürfen höchstens drei primäre Partitionen vorhanden sein, erweiterte oder logische Partitionen sind nicht zulässig. Ist ein Volume mit BitLocker verschlüsselt, müssen Sie den Schutz zuerst anhalten.

1. Sichern Sie den PC. Die Ausgabe des Tools selbst warnt, dass die Änderungen nicht rückgängig gemacht werden können.
2. Halten Sie BitLocker an, falls es aktiviert ist.
3. Überprüfen: MBR2GPT /validate /allowFullOS (oder /disk:0 aus Windows PE).
4. Konvertieren: MBR2GPT /convert /allowFullOS.
5. Starten Sie in die Firmware neu und stellen Sie den Startmodus auf UEFI um. Microsoft ist hier eindeutig: Danach kann die Festplatte nur im GPT-Modus starten, und das System startet erst dann korrekt, wenn die Firmware auf UEFI umgestellt ist.
6. Aktivieren Sie Secure Boot wie oben beschrieben und setzen Sie BitLocker fort.

Standardmäßig läuft das Tool über eine Windows-PE-Eingabeaufforderung. Mit der Option /allowFullOS läuft es im vollständigen Betriebssystem. In diesem Fall erstellt es eine neue EFI-Systempartition, indem es die Betriebssystempartition verkleinert. Der Rückgabecode 0 bedeutet Erfolg. Code 100 bedeutet, dass die Konvertierung erfolgreich war, aber einige BCD-Einträge nicht wiederhergestellt werden konnten. Details finden Sie in setupact.log und setuperr.log. Laut Microsoft werden Windows 10 und Windows 11 unterstützt.

Prüfen Sie außerdem TPM 2.0

Windows 11 setzt Secure Boot und TPM 2.0 gemeinsam voraus. Eine Secure-Boot-Prüfung in Verwaltungstools hängt meist vom TPM ab. Zur Prüfung drücken Sie Windows-Taste + R, geben tpm.msc ein und lesen unter TPM-Herstellerinformationen die Spezifikationsversion ab. Wenn Sie die Meldung „Kompatibles TPM kann nicht gefunden werden“ sehen, ist das TPM in der Firmware möglicherweise deaktiviert.

Laut Microsoft-Seite zur Aktivierung von TPM 2.0 suchen Sie in einem Untermenü mit der Bezeichnung Erweitert, Sicherheit oder Vertrauenswürdige Datenverarbeitung. Die Einstellung kann Security Device oder Security Device Support, TPM State, AMD fTPM oder Intel PTT heißen. Ein TPM unter Version 2.0 lässt sich durch Einschalten nicht beheben, weil das Gerät die Anforderungen von Windows 11 nicht erfüllt.

Für Administratoren: Secure Boot in Intune und Autopilot überprüfen

In Microsoft Intune hat die Windows-Compliance-Einstellung Für das Gerät muss Secure Boot aktiviert sein zwei Optionen: Nicht konfiguriert und Erforderlich. Microsoft beschreibt sie so, dass das Gerät in einem werkseitig vertrauenswürdigen Zustand starten muss, wobei die zentralen Startkomponenten durch die UEFI-Firmware überprüft werden. Der Haken steht im Fehlerbehebungsartikel: Die Prüfung hängt von der Geräteintegritätsbestätigung ab, die TPM 2.0 oder höher voraussetzt. Ein Gerät ohne TPM 2.0 wird als Nicht konform angezeigt, selbst wenn Secure Boot aktiviert ist, und TPM 2.0 setzt seinerseits UEFI-Firmware voraus.

Wenn ein Gerät mit Secure Boot als nicht konform angezeigt wird, sind folgende Prüfungen von Microsoft vorgesehen:

1. Führen Sie tpm.msc aus und prüfen Sie die Spezifikationsversion.
2. Führen Sie msinfo32 aus und bestätigen Sie, dass BIOS-Modus auf UEFI und PCR7-Konfiguration auf Gebunden steht.
3. Führen Sie Confirm-SecureBootUEFI in einer als Administrator gestarteten Eingabeaufforderung aus und erwarten Sie den Wert True.
4. Führen Sie manage-bde -protectors -get $env:systemdrive aus und prüfen Sie, ob das Laufwerk durch PCR 7 geschützt ist.

Wenn das Gerät einen dieser Schritte nicht besteht, ist der Status Nicht konform erwartbar, und die Lösung liegt auf Hardware- oder Firmware-Seite, nicht in der Richtlinie. Die Microsoft-Referenz zur Windows-Compliance nennt für Windows-10-Geräte die Geräteintegritätsbestätigung (Device Health Attestation). Prüfen Sie für Details zu Windows 11 daher die aktuelle Dokumentation.

Bei Bereitstellungen mit Windows Autopilot gehört eine Firmware-Prüfung zur Vorbereitung der Hardware. Der Modus für Selbstbereitstellung setzt TPM 2.0 und die TPM-Geräteattestierung voraus. Ein Gerät ohne beides kann diesen Modus nicht nutzen.

Secure-Boot-Zertifikate und das Datum Juni 2026

Microsoft aktualisiert die Secure-Boot-Zertifikate, die ursprünglich 2011 ausgestellt wurden. Sie beginnen im Juni 2026 abzulaufen. Laut Microsoft erfolgt die Aktualisierung auf unterstützten Windows-Versionen automatisch. Für Ihre Geräteflotte ist das ein Grund, Secure Boot aktiviert zu halten und Windows aktuell zu halten, nicht aber, die Firmware von Hand anzufassen. Microsoft verweist auf eine separate Anleitung zur von Microsoft verwalteten Aktualisierung. Lesen Sie sie, bevor Sie manuelle Arbeiten planen.

Häufige Fehler

• Die Einstellung finden Sie nicht in Windows. Es handelt sich um eine Firmware-Einstellung, und Windows kann lediglich darüber berichten.
• Umstellung auf UEFI bei einer MBR-Installation. Der PC startet nicht, bis der Datenträger konvertiert oder Windows im UEFI-Modus neu installiert wurde.
• Konvertierung eines Datenträgers mit aktivem BitLocker-Schutz. Setzen Sie BitLocker vorher aus.
• Sicherung vor MBR2GPT auslassen. Die Konvertierung lässt sich nicht rückgängig machen.
• Ein Nicht-konform-Ergebnis in Intune als Secure-Boot-Problem deuten, obwohl die Ursache ein fehlendes TPM 2.0 ist.
• Secure Boot nach der Fehlerbehebung deaktiviert lassen. Microsoft empfiehlt, es nach Lösung des Problems wieder einzuschalten.

Verwandte Themen zum Vertiefen

• Wie komme ich ins Firmware-Menü, wenn Windows nicht startet? Der Artikel zum Öffnen des BIOS unter Windows 11 erklärt den Wiederherstellungsweg.
• Was tun, wenn Secure Boot meinen USB-Stick blockiert? Microsoft weist darauf hin, dass Sie es für manche Startmedien vorübergehend deaktivieren müssen. Siehe den Artikel zu bootfähigen USB-Datenträgern für Windows 11.
• Welches TPM hat mein PC? Verwenden Sie tpm.msc und vergleichen Sie das Ergebnis mit den Anforderungen für Windows 11.
• Wie setze ich das auf vielen PCs durch? Kombinieren Sie eine Intune-Compliance-Richtlinie mit einer Hardwareprüfung in Ihrem Bereitstellungsprozess.

Nächster Schritt

Führen Sie Confirm-SecureBootUEFI heute auf einem PC aus und notieren Sie das Ergebnis. Schlägt die Prüfung fehl, kontrollieren Sie anschließend den Partitionsstil des Datenträgers. Sobald Sie wissen, ob der PC im UEFI-Modus läuft, ist die Aktivierung von Secure Boot unter Windows 11 eine kurze Liste von Firmware-Änderungen statt Ratearbeit.