Secure Boot inschakelen in Windows 11 (controleren, oplossen, verifiëren)

By Mirko Peters · 2026-11-12

Secure Boot inschakelen in Windows 11: controleer de huidige status, open de UEFI-instellingen, schakel over van legacymodus, zet MBR om naar GPT en verifieer het resultaat in Intune.

Automatically translated with AI from the original post. Read the English original

Om Secure Boot in Windows 11 in te schakelen, start je opnieuw op naar de UEFI-firmware-instellingen (Instellingen, Systeem, Herstel, Geavanceerd opstarten, Nu opnieuw opstarten, en vervolgens Problemen oplossen, Geavanceerde opties, UEFI-firmware-instellingen). Zorg dat de opstartmodus UEFI is in plaats van Legacy of CSM, en schakel Secure Boot in onder het tabblad Boot of Security. Bevestig het daarna in Windows. Dit artikel is bedoeld voor IT-beheerders met een pc of een vloot waarop Secure Boot is uitgeschakeld, of waarop Windows 11 meldt dat de pc het niet kan uitvoeren. Het laat zien hoe je de huidige status controleert, de instelling inschakelt, een schijf van MBR naar GPT converteert wanneer de firmware vastzit in de legacymodus, en het resultaat verifieert in Intune.

Belangrijkste punten

• Secure Boot is een UEFI-firmware-instelling, dus je schakelt het in via de firmware-setup en niet in Windows. Open deze via Instellingen, Systeem, Herstel, Geavanceerd opstarten.
• Secure Boot vereist dat de firmware in de UEFI-modus staat. Als de pc in de Legacy- of CSM-modus draait, schakel dan eerst over naar UEFI. De menunamen verschillen per fabrikant.
• Een installatie in BIOS-modus op een MBR-schijf moet meestal eerst met MBR2GPT naar GPT worden geconverteerd voordat de firmware de UEFI-modus kan gebruiken. De conversie kan niet ongedaan worden gemaakt, dus maak eerst een back-up.
• Controleer het resultaat met Confirm-SecureBootUEFI in PowerShell als beheerder. True betekent dat Secure Boot aan staat.
• In Intune hangt de compliance-instelling Secure Boot vereisen af van apparaatgezondheidsattestatie en TPM 2.0. Een apparaat zonder TPM 2.0 wordt als niet-compliant weergegeven.

Wat Secure Boot doet en waarom Windows 11 erom vraagt

Microsoft beschrijft Secure Boot als een beveiligingsfunctie die helpt voorkomen dat ongeautoriseerde software wordt geladen wanneer je pc start. Als het is ingeschakeld, controleert de firmware voordat deze start of de bootloader is ondertekend door een vertrouwd certificaat, waarna Windows de vertrouwensketen voortzet. De details staan op Microsoft Learn in Secure the Windows boot process.

Voor Windows 11 staan de relevante eisen in de hardwarevereisten: de systeemfirmware moet UEFI zijn en Secure Boot ondersteunen, en de pc heeft TPM 2.0 nodig. ‘Ondersteunt’ is het woord waar mensen over struikelen. Een pc kan Secure Boot ondersteunen en het toch uitgeschakeld hebben, of draaien in een legacymodus waarin het helemaal niet kan worden gebruikt. Op de Secure Boot-pagina van Microsoft voor Windows 11 staat daarnaast dat je de opstartmodus van Legacy (ook wel CSM-modus genoemd) naar UEFI moet zetten om het in te schakelen, en dat UEFI de eerste of enige optie moet zijn als de firmware beide aanbiedt.

Controleer eerst de huidige status

Voordat je aan de firmware zit, moet je weten waar je staat. Dat kost een minuut en bespaart een herstart.

1. Open PowerShell als beheerder.
2. Voer Confirm-SecureBootUEFI uit.

Microsoft Learn beschrijft het resultaat: True als de computer Secure Boot ondersteunt en het is ingeschakeld, False als het wordt ondersteund maar is uitgeschakeld. Als de computer Secure Boot niet ondersteunt of een BIOS-machine (niet-UEFI) is, meldt de cmdlet dat het op dit platform niet wordt ondersteund. De cmdlet moet worden uitgevoerd in een prompt die als beheerder is gestart, anders krijg je een melding dat de toegang is geweigerd.

Je kunt ook msinfo32 uitvoeren en kijken naar Systeemoverzicht. De rij BIOS-modus zou UEFI moeten tonen. Het Intune-artikel over probleemoplossing van Microsoft gebruikt dezelfde tool om de BIOS-modus en de PCR7-configuratie te controleren. Systeeminformatie heeft ook een rij Status van Secure Boot, die On, Off of Unsupported toont. Die rij wordt niet beschreven op de Microsoft-pagina's die ik heb gebruikt, dus vertrouw eerst op het PowerShell-resultaat.

Na de wijziging biedt de inschakelgids van Microsoft nog een controle: open Instellingen, Beveiliging, Integriteitsbescherming en controleer of Secure Boot Aan aangeeft. De benaming kan per Windows-build verschillen.

Als Confirm-SecureBootUEFI aangeeft dat het platform niet wordt ondersteund, heb je de situatie waar het grootste deel van dit artikel over gaat: de pc start in de verouderde modus.

Secure Boot inschakelen in de UEFI-instellingen

De instelling zit in de firmware, dus die moet je openen. De onderstaande stappen komen uit de inschakelgids voor Secure Boot van Microsoft.

1. Sla je werk op. Open Instellingen, ga naar Systeem en selecteer vervolgens Herstel.
2. Selecteer naast Geavanceerd opstarten de optie Nu opnieuw opstarten.
3. Selecteer op het scherm Een optie kiezen de optie Problemen oplossen en vervolgens Geavanceerde opties.
4. Selecteer UEFI-firmware-instellingen en daarna Opnieuw opstarten.
5. Zoek in de firmware naar de instelling voor Secure Boot. Die staat meestal op het tabblad Boot of Beveiliging. Als de opstartmodus Legacy of CSM is, zet je die eerst om naar UEFI.
6. Schakel Secure Boot in, sla op en sluit af.

Menu's en formuleringen verschillen per fabrikant, en Microsoft geeft geen algemene route. De gids verwijst naar instructies van de leveranciers voor Surface, Acer, ASRock, ASUS, BIOSTAR, Colorful, Dell of Alienware, GIGABYTE of AORUS, HP of OMEN, Lenovo en MSI. Als je de pc zelf hebt samengesteld, gebruik dan de gids van de fabrikant van je moederbord. Op Surface staan de stappen in Surface UEFI: selecteer Beveiliging, selecteer onder Secure Boot de optie Configuratie wijzigen, kies Alleen Microsoft in de lijst met certificaten en selecteer OK, en selecteer daarna Afsluiten en Nu opnieuw opstarten.

De waarschuwing van Microsoft geldt voor elke leverancier: firmware-instellingen onjuist wijzigen kan de beveiliging van je pc aantasten of ervoor zorgen dat de pc niet goed meer start. Wijzig alleen de Secure Boot-instellingen die je fabrikant beschrijft. Als de pc daarna niet meer start, ga dan terug naar de firmware en maak je laatste wijziging ongedaan.

Wanneer de pc in de verouderde modus draait op een MBR-schijf

Dit is het hardnekkige geval. De firmware kan de UEFI-modus aanbieden, maar Windows is geïnstalleerd in de verouderde modus op een MBR-schijf, dus overschakelen naar UEFI zorgt ervoor dat de pc niet meer opstart. De oplossing is de schijf converteren naar GPT. Met de MBR2GPT-tool van Microsoft doe je dat zonder gegevens op de schijf te wijzigen of te verwijderen.

Controleer eerst de partitiestijl. Voer in PowerShell Get-Disk | ft -Auto uit en lees de kolom Partition Style, die MBR of GPT toont. In Schijfbeheer (diskmgmt.msc) open je de Eigenschappen van de schijf en kijk je op het tabblad Volumes naar Partitiestijl.

Loop daarna de voorwaarden van Microsoft na. Het apparaat moet UEFI ondersteunen, de schijf moet de systeemschijf zijn en er moet ruimte zijn voor de GPT-structuren. Er mogen maximaal drie primaire partities zijn en geen uitgebreide of logische partities. Als een volume met BitLocker is versleuteld, moet je de beveiliging eerst onderbreken.

1. Maak een back-up van de pc. De eigen uitvoer van de tool waarschuwt dat de wijzigingen niet ongedaan gemaakt kunnen worden.
2. Onderbreek BitLocker als het ingeschakeld is.
3. Valideren: MBR2GPT /validate /allowFullOS (of /disk:0 vanuit Windows PE).
4. Converteren: MBR2GPT /convert /allowFullOS.
5. Start de computer opnieuw op naar de firmware en zet de opstartmodus op UEFI. Microsoft is hier duidelijk over: daarna kan de schijf alleen nog opstarten in GPT-modus, en het systeem start pas correct op als de firmware op UEFI staat.
6. Schakel Secure Boot in zoals hierboven beschreven en hervat BitLocker.

Standaard draait het hulpprogramma vanuit een opdrachtprompt in Windows PE. Met de optie /allowFullOS kan het in het volledige besturingssysteem draaien. In dat geval maakt het een nieuwe EFI-systeempartitie aan door de OS-partitie te verkleinen. Retourcode 0 betekent dat het gelukt is. Code 100 betekent dat de conversie is gelukt, maar dat sommige BCD-items niet hersteld konden worden. Raadpleeg setupact.log en setuperr.log voor details. Volgens de pagina van Microsoft worden Windows 10 en Windows 11 ondersteund.

Controleer ook TPM 2.0

Windows 11 vereist Secure Boot en TPM 2.0 samen, en een Secure Boot-controle in beheertools is meestal afhankelijk van de TPM. Om dit te controleren, druk je op Windows-toets + R, typ je tpm.msc en lees je onder TPM-fabrikantinformatie de Specificatieversie. Zie je de melding "Compatibele TPM kan niet worden gevonden", dan is de TPM mogelijk uitgeschakeld in de firmware.

De pagina van Microsoft over het inschakelen van TPM 2.0 zegt dat je moet zoeken in een submenu met de naam Advanced, Security of Trusted Computing. De instelling kan Security Device of Security Device Support, TPM State, AMD fTPM of Intel PTT heten. Een TPM onder versie 2.0 kun je niet repareren door hem in te schakelen, omdat het apparaat dan niet voldoet aan de Windows 11-vereisten.

Voor beheerders: controleer Secure Boot in Intune en Autopilot

In Microsoft Intune heeft de Windows-compliancinstelling Require Secure Boot to be enabled on the device twee keuzes: Not configured en Require. Microsoft omschrijft dit als vereisen dat het apparaat opstart in een vertrouwde fabrieksstatus, waarbij de kern van de opstartcomponenten door de UEFI-firmware is geverifieerd. Het addertje zit in het artikel over probleemoplossing: de controle is afhankelijk van device health attestation, en dat vereist TPM 2.0 of hoger. Een apparaat zonder TPM 2.0 krijgt de status Not Compliant, ook als Secure Boot aan staat, en TPM 2.0 zelf vereist UEFI-firmware.

Als een apparaat met Secure Boot de status niet-compliant krijgt, zijn dit de controles van Microsoft:

1. Voer tpm.msc uit en controleer de specificatieversie.
2. Voer msinfo32 uit en bevestig dat de BIOS-modus UEFI is en dat de PCR7-configuratie Bound is.
3. Voer Confirm-SecureBootUEFI uit in een prompt die als beheerder is gestart en verwacht de waarde True.
4. Voer manage-bde -protectors -get $env:systemdrive uit en controleer of de schijf beveiligd is met PCR 7.

Als het apparaat een van deze stappen niet doorstaat, is de status Not Compliant te verwachten en ligt de oplossing bij de hardware of firmware, niet in het beleid. De referentie van Microsoft over Windows-compliance noemt Device Health Attestation voor Windows 10-apparaten, dus controleer de actuele documentatie voor de details van Windows 11.

Voor implementaties met Windows Autopilot is een firmwarecontrole onderdeel van de voorbereiding van de hardware. De modus voor zelfimplementatie vereist TPM 2.0 en TPM-apparaatattestatie. Een apparaat zonder deze onderdelen kan die modus niet gebruiken.

Secure Boot-certificaten en de datum van juni 2026

Microsoft werkt de Secure Boot-certificaten bij die oorspronkelijk in 2011 zijn uitgegeven, en die beginnen in juni 2026 te verlopen. Volgens Microsoft gebeurt de update op ondersteunde Windows-versies automatisch. Voor je vloot is dit een reden om Secure Boot aan te hebben en Windows up-to-date te houden, niet om de firmware handmatig aan te passen. Microsoft verwijst naar een afzonderlijke handleiding voor de door Microsoft beheerde update, dus lees die voordat je handmatig werk plant.

Veelgemaakte fouten

• Je zoekt de instelling in Windows. Het is een firmware-instelling, en Windows kan er alleen over rapporteren.
• Overschakelen naar UEFI op een MBR-installatie. De pc start niet op totdat de schijf is geconverteerd of Windows opnieuw is geïnstalleerd in UEFI-modus.
• Een schijf converteren terwijl BitLocker-beveiliging nog actief is. Onderbreek deze eerst.
• De back-up overslaan vóór MBR2GPT. De conversie kan niet ongedaan worden gemaakt.
• Een Not Compliant-resultaat in Intune zien als een Secure Boot-probleem, terwijl de oorzaak een ontbrekende TPM 2.0 is.
• Secure Boot uitgeschakeld laten na het oplossen van problemen. Microsoft adviseert het weer in te schakelen zodra het probleem is opgelost.

Gerelateerde onderwerpen om te verkennen

• Hoe kom ik in de firmware als Windows niet opstart? Het artikel over het openen van BIOS in Windows 11 beschrijft de herstelroute.
• Wat als Secure Boot mijn USB-stick blokkeert? Microsoft zegt dat je het misschien tijdelijk moet uitschakelen om bepaalde media op te starten. Zie het artikel over opstartbare USB-sticks voor Windows 11.
• Welke TPM heeft mijn pc? Gebruik tpm.msc en vergelijk het resultaat met de systeemvereisten van Windows 11.
• Hoe dwing ik dit af op veel pc's? Combineer een Intune-nalevingsbeleid met een hardwarecontrole in je uitrolproces.

Volgende stap

Voer vandaag Confirm-SecureBootUEFI uit op één pc en noteer het resultaat. Controleer daarna de partitiestijl van de schijf als het mislukt. Zodra je weet of de pc in UEFI-modus draait, is de manier om Secure Boot in te schakelen in Windows 11 een korte lijst met firmwarewijzigingen in plaats van giswerk.