Secure Boot aktiviert, aber nicht aktiv: Was tun?

Im BIOS beziehungsweise UEFI ist Secure Boot aktiviert, Windows meldet aber „Aus“ oder die Firmware zeigt „Nicht aktiv“? Prüfen Sie UEFI-Startmodus, Systemdatenträger und Secure-Boot-Schlüssel getrennt. Wir führen Sie durch die Einordnung und die passenden Einstellungen. Sichern Sie vorher Daten und halten Sie den BitLocker-Wiederherstellungsschlüssel bereit.

Warum kann Secure Boot aktiviert, aber nicht aktiv sein?

Secure Boot prüft beim Start, ob die Startsoftware als vertrauenswürdig gilt. Ein eingeschalteter Firmware-Schalter beweist nicht, dass diese Prüfung beim aktuellen Windows-Start tatsächlich aktiv ist. Häufige Ursachen sind:

• Firmware oder Einstellungen: BIOS-/UEFI-Version, Konfiguration oder Vertrauensdatenbank müssen gegebenenfalls nach Herstellervorgaben aktualisiert werden.
• CSM beziehungsweise Legacy-Modus: Die ältere Kompatibilitätsfunktion passt normalerweise nicht zum sicheren UEFI-Start von Windows.
• Windows startet noch im Legacy-Modus: Bei einer MBR-Systeminstallation reicht es nicht, allein den Secure-Boot-Schalter zu aktivieren.
• Hardware- oder Schlüsselbedingungen: Das Gerät muss UEFI Secure Boot unterstützen und über passende Vertrauensschlüssel verfügen. Prüfen Sie Modell und aktuellen Zustand, statt alle Schlüssel ungeprüft zu löschen oder zurückzusetzen.

Secure-Boot-Status unter Windows 10 oder 11 prüfen

Zuerst klären: Eine übliche Windows-Installation benötigt für Secure Boot UEFI und einen GPT-Systemdatenträger. Bei Legacy/MBR planen Sie zuerst den Wechsel, damit das Abschalten von CSM nicht den Windows-Start verhindert.

Auch bei GPT müssen Sie den tatsächlich verwendeten Startmodus und den Secure-Boot-Zustand überprüfen.

So zeigen Sie den Zustand an:

1. Öffnen Sie mit Windows + R den Dialog Ausführen.

2. Geben Sie msinfo32 ein und bestätigen Sie mit der Eingabetaste oder OK.

3. Wählen Sie in den Systeminformationen links Systemübersicht.

4. Suchen Sie rechts diese Angaben:

• BIOS-Modus: Für diesen Ablauf muss UEFI angezeigt werden.
• Sicherer Startzustand: Bei aktivem Secure Boot steht hier Ein.

Ergebnis einordnen:

• Sicherer Startzustand ist „Aus“:
  • Prüfen Sie zunächst, ob der BIOS-Modus UEFI ist.
  • Ist UEFI aktiv, prüfen Sie Secure-Boot-Einstellung und Schlüsselstatus nach Geräteanleitung.
• Sicherer Startzustand ist „Nicht unterstützt“:
  • Prüfen Sie offizielle Gerätespezifikation, Mainboardhandbuch und derzeitigen Startmodus.
• BIOS-Modus ist „Vorgängerversion“ beziehungsweise Legacy:
  • Ermitteln Sie zuerst MBR oder GPT auf dem Systemdatenträger. Schalten Sie den bislang benötigten Legacy-Modus nicht ohne passenden UEFI-Startplan aus.

Bei MBR: Den Wechsel auf GPT planen

Eine Datenträgerumstellung ist nur zu prüfen, wenn Windows noch über Legacy/MBR startet. Bei UEFI/GPT kontrollieren Sie stattdessen die Secure-Boot-Einstellungen und Schlüssel weiter unten.

Erstellen Sie vorher eine Sicherung. Für geeignete Windows-Systemdatenträger bietet Microsoft MBR2GPT zunächst eine Validierung und anschließend die Konvertierung. Alternativ kann Wittytool Disk Clone beim Klonen oder Migrieren ein anderes Ziellaufwerk für GPT/UEFI einrichten. Dabei werden Zieldaten überschrieben; Quelle, Ziel und Sicherungen müssen vorher eindeutig sein.

Methode 1: Ein GPT-Ziel über einen Festplattenklon vorbereiten

Schritt 1: Öffnen Sie Festplattenklon, wählen Sie den Quellsystemdatenträger und prüfen Sie Modell sowie Kapazität. Wählen Sie Weiter.

Schritt 2: Wählen Sie das ausreichend große Ziel, dessen benötigte Daten bereits gesichert wurden. Aktivieren Sie die passende UEFI-Startoption und fahren Sie fort.

Schritt 3: Prüfen Sie Zielpartitionierung und Überschreibwarnung, bevor Sie klonen. Das Ziel wird in diesem Ablauf als GPT eingerichtet; der Firmwaremodus des Mainboards ändert sich dadurch nicht automatisch.

Schritt 4: Bewahren Sie nach Abschluss das Original auf und bereiten Sie einen unabhängigen Starttest vom Ziel vor.

Schritt 5: Öffnen Sie die Firmware über die vom Hersteller vorgesehene Taste. Häufig sind Del, F2, F12 oder Esc möglich, die genaue Taste hängt jedoch vom Gerät ab.

Schritt 6: Bestätigen Sie UEFI als Startmodus und öffnen Sie die Startreihenfolge.

Schritt 7: Wählen Sie den Windows Boot Manager des Ziels und speichern Sie. Prüfen Sie zunächst den unabhängigen Windows-Start, anschließend Secure Boot.

Methode 2: Ein GPT-Ziel über die OS-Migration vorbereiten

Schritt 1: Öffnen Sie die Betriebssystemmigration, um Windows mit den benötigten Systempartitionen zu übertragen.

Schritt 2: Wählen Sie den gesicherten Zieldatenträger, aktivieren Sie die passende UEFI-Startoption und fahren Sie fort.

Schritt 3: Kontrollieren Sie Layout und Datenlöschungswarnung, bevor Sie die Migration starten. Das Ziel erhält die vorgesehene GPT-Konfiguration; das Original bleibt zunächst erhalten.

Schritt 4: Bereiten Sie den unabhängigen Start vom Ziel vor, damit nicht weiterhin Startdateien des Originals verwendet werden.

Schritt 5: Öffnen Sie beim Neustart die UEFI-Einstellungen nach Geräteanleitung.

Schritt 6: Bestätigen Sie UEFI und setzen Sie den passenden Starteintrag des Ziels an die erste Stelle.

Schritt 7: Speichern Sie und prüfen Sie nach dem Neustart Windows, wichtige Dateien und Anwendungen.

GPT und ein erfolgreicher Start erfüllen nur die Vorbereitung. Secure Boot muss anschließend gesondert aktiviert und überprüft werden.

Secure Boot aktiviert, aber nicht aktiv: Schrittweise prüfen

Sichern Sie vor Firmwareänderungen Daten und BitLocker-Wiederherstellungsschlüssel und notieren Sie die bisherigen Einstellungen. Menünamen und Schlüsselverwaltung unterscheiden sich je nach Mainboard; folgen Sie der Geräteanleitung.

Methode 1: Secure Boot im UEFI prüfen

Sie erreichen die Firmware über den erweiterten Windows-Start oder die vom Hersteller vorgesehene Taste.

1. Öffnen Sie unter Windows 11 Einstellungen → System → Wiederherstellung und suchen Sie Erweiterter Start. Unter Windows 10 liegt die Wiederherstellung unter Update und Sicherheit.

2. Speichern Sie offene Arbeiten und wählen Sie Jetzt neu starten.

3. Wählen Sie Problembehandlung → Erweiterte Optionen → UEFI-Firmwareeinstellungen → Neu starten.

4. Die gerätespezifische Firmware öffnet sich. Positionen und Bezeichnungen unterscheiden sich etwa bei Dell, HP, Lenovo und ASUS.

5. Suchen Sie Secure Boot im Bereich Start, Sicherheit oder an der im Mainboardhandbuch beschriebenen Stelle.

6. Prüfen Sie, ob die Secure-Boot-Steuerung aktiviert ist. Ist sie nicht bearbeitbar, klären Sie die Voraussetzungen des Modells. Löschen Sie keine Schlüssel und setzen Sie kein unnötiges Firmwarekennwort.

7. Gibt es eine Betriebssystemauswahl, verwenden Sie nach Herstelleranleitung Windows-UEFI-Modus oder die entsprechende Option.

8. Speichern Sie die Änderung und verlassen Sie das UEFI. Kontrollieren Sie die Bestätigung, damit keine unbeteiligten Einstellungen geändert werden.

9. Prüfen Sie nach dem Windows-Start mit msinfo32 den tatsächlichen Zustand, nicht nur den Firmware-Schalter.

10. Ist Secure Boot weiter nicht aktiv, prüfen Sie CSM und die Schlüsselbedingungen.

Zeigt Windows Sicherer Startzustand: Ein, testen Sie die betroffene Anwendung beziehungsweise das Spiel erneut.

Methode 2: CSM und Legacy-Abhängigkeiten prüfen

CSM ermöglicht ältere Startverfahren. Deaktivieren Sie es erst, wenn Windows über UEFI starten kann und Datenträger sowie Geräte dafür geeignet sind.

1. UEFI öffnen: Verwenden Sie den zuvor beschriebenen Weg.
2. CSM oder Legacy-Unterstützung suchen: Häufig liegt die Option im Start- oder erweiterten Bereich.
3. Auf UEFI umstellen: Deaktivieren Sie CSM beziehungsweise wählen Sie nur UEFI nach Herstelleranleitung. Benötigt Windows noch Legacy/MBR, muss zunächst die Umstellung vorbereitet werden. CSM auszuschalten richtet nicht automatisch die Vertrauensschlüssel ein.

Methode 3: Plattformmodus und Secure-Boot-Schlüssel prüfen

Sind Startmodus und Schalter korrekt, prüfen Sie, ob die Plattform noch im Setup-Modus steht und der Plattformschlüssel registriert ist.

1. UEFI erneut öffnen: Notieren Sie Plattformmodus und Secure-Boot-Status.
2. Schlüsselverwaltung ansehen: Prüfen Sie Plattformschlüssel, Standardmodus und gegebenenfalls Benutzermodus anhand der Anleitung, statt nur den Betriebssystemtyp umzustellen.
3. Herstellervorgaben verwenden: Fehlt der Plattformschlüssel, kann der offizielle Ablauf das Installieren passender Standardschlüssel vorsehen. Bei eigenen Schlüsseln, mehreren Betriebssystemen oder verwalteten Geräten klären Sie dies zuerst mit der Administration. Löschen Sie nicht pauschal sämtliche Schlüssel.
4. Speichern und prüfen: Kontrollieren Sie den Windows-Zustand erneut. Bei Bedarf nutzen Sie kompatible Firmware- und Windows-Updates. Für ASUS beschreibt die Herstelleranleitung zu Secure Boot die modellspezifischen Schritte; andere Marken benötigen ihre eigenen Anweisungen.

Was sollten Spieler zusätzlich prüfen?

Einige Anti-Cheat-Systeme verlangen Secure Boot und TPM 2.0. Das sind zusätzliche Spielanforderungen; TPM und Secure Boot müssen getrennt überprüft werden.

Battlefield 6 und entsprechende Call-of-Duty-Titel

1. UEFI-Start: Windows benötigt eine passende UEFI-/GPT-Konfiguration für den sicheren Start.
2. TPM 2.0: Öffnen Sie mit Windows + R und tpm.msc die TPM-Verwaltung. Prüfen Sie Zustand und Spezifikationsversion, ohne das TPM zur Fehlersuche pauschal zu löschen.
3. Den konkreten Titel beachten: Für Battlefield 6 hilft die Secure-Boot-Anleitung von EA. Bei Call of Duty unterscheiden sich die Anforderungen je nach Spiel; prüfen Sie die Liste der betreffenden Titel bei Activision, statt sie auf alle älteren Spiele zu übertragen.

Prüfpunkte für VALORANT

Bei Vanguard-Meldungen zu Secure Boot oder TPM unter Windows 11 prüfen Sie zuerst den genauen Code. Die Riot-Übersicht der Vanguard-Fehlercodes führt zur passenden Anleitung.

1. Systemzustand:
   • Zeigt Windows Secure Boot als eingeschaltet an?
   • Ist TPM verfügbar und erfüllt seine Spezifikationsversion die Anforderung?
   • Startet Windows im UEFI-Modus von einem GPT-Systemdatenträger?
2. Vertrauen und Kompatibilität:
   • Behandeln Sie Schlüssel- oder Firmwareprobleme nach Mainboardanleitung. Standardschlüssel zurückzusetzen ist kein universeller Schritt für jede Konfiguration.
   • Prüfen Sie bei eigenen Bootmanagern oder angepassten Betriebssystemen zuerst deren Secure-Boot-Kompatibilität, bevor Sie sie ohne Rückweg deaktivieren oder entfernen.
3. Wenn der Spielfehler bleibt:
   • Notieren Sie den vollständigen Fehlercode und prüfen Sie Systeminformationen sowie TPM-Zustand nach einem Neustart.
   • Entscheiden Sie erst anhand der Riot-Anleitung über Reparatur oder Neuinstallation von Vanguard. Das ist kein pauschal notwendiger Schritt nach jeder Secure-Boot-Aktivierung.

Vor Änderungen eine nutzbare Sicherung anlegen

Vor Firmwareänderungen, Partitionsumstellungen oder einem Laufwerkswechsel erstellen und prüfen Sie eine unabhängige Sicherung. Wittytool Disk Clone kann Datenträger- oder Systemimages zum Erhalt der benötigten Inhalte anlegen.

• Datenträger- und Systemsicherung: Sichern Sie je nach Bedarf das ganze Laufwerk oder die Windows-bezogenen Partitionen.
• Wiederherstellung vorbereiten: Nutzen Sie einen unabhängigen Speicherort und bewahren Sie Windows-Rettungsmedium sowie Verschlüsselungsschlüssel auf.

Prüfen Sie Dateispeicherort und Nutzbarkeit, bevor Sie Änderungen beginnen. Eine Sicherung macht ungeeignete Firmwareeinstellungen nicht folgenlos.

Videoanleitung zur Sicherung mit Wittytool Disk Clone:

Schritt 1: Öffnen Sie den Sicherungsbereich und erstellen Sie eine neue Sicherung.

Schritt 2: Wählen Sie Daten beziehungsweise systembezogene Partitionen und starten Sie die Sicherung.

Schritt 3: Warten Sie auf den Abschluss und prüfen Sie Speicherort und Datei. Legen Sie die einzige Sicherung nicht auf dem Laufwerk ab, das Sie danach verändern oder überschreiben.

Zum Abschluss den tatsächlichen Zustand prüfen

Prüfen Sie UEFI/GPT, Secure-Boot-Steuerung, CSM und Plattformschlüssel nacheinander. Kontrollieren Sie das Ergebnis anschließend in Windows. Ändern Sie nur begründete Einstellungen und behalten Sie ursprüngliche Konfiguration sowie Sicherung als Rückweg.

Häufige Fragen zu Secure Boot

Diese Fragen helfen, verschiedene Einstellungen auseinanderzuhalten.

Warum ist Secure Boot im BIOS aktiviert und in Windows 11 trotzdem aus?

Windows startet möglicherweise noch über Legacy, CSM ist beteiligt oder Plattformschlüssel und Firmwarebedingungen fehlen. Prüfen Sie UEFI in den Systeminformationen und anschließend die gerätespezifischen Secure-Boot- und Schlüsseleinstellungen. Ein aktives TPM allein aktiviert Secure Boot nicht.

Warum finde ich Secure Boot nicht im BIOS?

Die Option kann je nach Startmodus, Firmwareversion oder Herstellerlayout verborgen sein; außerdem unterstützen manche Geräte sie nicht. Prüfen Sie das offizielle Handbuch des Modells. Das Baujahr allein ist keine verlässliche Aussage und rechtfertigt keinen ungeprüften Moduswechsel.

Kann ich Secure Boot ohne Zugriff auf BIOS oder UEFI aktivieren?

Bei einem üblichen persönlichen PC erfolgt die Aktivierung in den UEFI-Einstellungen. Der erweiterte Windows-Start kann dorthin führen. Verwaltete Geräte können Herstellerverfahren verwenden; gewöhnliche USB-Erstellungsprogramme setzen Secure Boot nicht einfach aus der Ferne zurück.

Was passiert beim Aktivieren von Secure Boot?

Die Firmware prüft Startsoftware anhand ihrer Vertrauenskonfiguration und schützt so den frühen Start. Das garantiert keinen schnelleren Start. Nicht vertrauenswürdige ältere Bootloader können ausgeschlossen werden; sichern Sie vorher BitLocker-Wiederherstellungsschlüssel und prüfen Sie die Kompatibilität.