Secure Boot

Kurz: Secure Boot ist eine UEFI-Funktion, die beim Start nur Software zulässt, die digital signiert und als vertrauenswürdig bekannt ist. Das verhindert, dass Schadcode (Bootkits) sich vor dem Betriebssystem einnistet.

Genauer: Die Firmware prüft vor jedem Startschritt die Signatur des nächsten Programms: Bootloader, Betriebssystem-Kern, Firmware-Treiber. Fehlt die Signatur oder wurde die Datei verändert, wird der Start verweigert.

Im Detail

Vertrauenskette (Chain of Trust):

UEFI-Firmware ──prüft──► Bootloader ──prüft──► Betriebssystem-Kern ──prüft──► Treiber
 (Schlüssel in der Firmware: PK, KEK, db, dbx)

• Schlüsseldatenbanken: PK (Platform Key, Besitzer), KEK (Key Exchange Keys), db (erlaubte Signaturen), dbx (gesperrte Signaturen/Hashes).
• Wer signiert: Microsoft signiert Windows und einen Shim-Lader, mit dem viele Linux-Distributionen (Ubuntu, Fedora) starten. Eigene Schlüssel kann man einbringen (MOK).
• Windows 11: Verlangt Secure Boot (zusammen mit UEFI und TPM 2.0).
• Nutzen: Schützt gegen Bootkits und manipulierte Bootloader, die ein Passwort oder die Festplattenverschlüsselung aushebeln wollen.
• Grenzen: Schützt nicht vor Schadsoftware, die erst im laufenden System startet, und nicht vor Fehlern in signierten Treibern. Gesperrte Signaturen müssen per Update in dbx nachgetragen werden (zum Beispiel nach der BlackLotus-Lücke).
• Ausschalten: Im UEFI-Menü möglich, nötig etwa für unsignierte Treiber oder manche Linux-Varianten. Dabei verliert man den Schutz.
• Status prüfen (Windows): msinfo32 → „Sicherer Startzustand”.
• Secure Boot ≠ Verschlüsselung: Es schützt die Integrität des Starts, nicht die Daten. Dafür gibt es BitLocker.

Siehe auch: UEFI, Bootloader, BitLocker, TPM und TPM 2.0