Seit der Umstellung auf strengere Sicherheitsvorgaben ist ein bestimmter Firmware-Pfad für viele Windows-Systeme relevant geworden. Entscheidend ist dabei nicht nur, ob der Rechner im UEFI-Modus startet, sondern auch, ob die dafür nötigen Zertifikate und Startketten sauber hinterlegt sind. Genau das lässt sich mit wenigen Werkzeugen nachvollziehen.
In diesem Beitrag erfährst du, wie du den Status deines Systems überprüfst, woran du problematische Konfigurationen erkennst und wie du die üblichen Stolpersteine selbst behebst. Die Anleitung richtet sich an normale Desktop-PCs, Notebooks und Selbstbau-Systeme mit Windows 10 oder Windows 11.
Worum es bei der Zertifikatsprüfung geht
Viele moderne Rechner starten Windows nicht einfach direkt von der Festplatte, sondern über eine geschützte UEFI-Kette. Dabei spielen signierte Bootloader, das Firmware-Setup und die in der Plattform gespeicherten Schlüssel eine zentrale Rolle. Ist einer dieser Bausteine veraltet, fehlen passende Einträge oder wurde ein älteres BIOS-Profil übernommen, kann das System bei Sicherheitsänderungen später unvorhersehbar reagieren.
Für dich ist vor allem wichtig, drei Dinge auseinanderzuhalten:
- Der Startmodus des PCs: UEFI statt klassischem Legacy-Boot.
- Der Partitionsstil des Systemlaufwerks: GPT statt MBR.
- Die Aktualität der Sicherheits- und Zertifikatseinträge in Firmware und Windows.
Erst wenn diese Punkte zusammenpassen, ist der Rechner in der Regel für die aktuelle Signatur- und Vertrauenskette gerüstet.
Erste Prüfung in Windows
Die schnellste Kontrolle gelingt direkt im laufenden System. Öffne dazu die Systeminformationen oder das Startfenster für das Diagnosewerkzeug.
- Drücke die Windows-Taste, tippe msinfo32 ein und öffne die Systeminformationen.
- Suche nach dem Eintrag BIOS-Modus.
- Steht dort UEFI, ist der Rechner grundsätzlich auf dem richtigen Startpfad unterwegs.
- Steht dort Vorgängerversion oder Legacy, läuft das System noch im alten Modus.
Zusätzlich lohnt sich ein Blick auf Sicherer Startzustand. Dieser Eintrag zeigt, ob Secure Boot aktiv ist. Ist er deaktiviert, fehlt eine wichtige Schutzschicht, auch wenn das Gerät technisch im UEFI-Modus startet.
Datenträger auf den passenden Partitionsstil kontrollieren
Ein Rechner kann nur dann sauber über UEFI starten, wenn die Systemfestplatte in der Regel mit GPT eingerichtet ist. MBR ist für viele ältere Installationen noch vorhanden, passt aber nicht zu einem modernen, vollständig abgesicherten Bootpfad.
So prüfst du das:
- Klicke mit der rechten Maustaste auf das Windows-Symbol und öffne Datenträgerverwaltung.
- Suche den Datenträger, auf dem Windows installiert ist.
- Öffne über die Datenträgernummer die Eigenschaften.
- Wechsle zum Tab Volumes.
- Bei Partitionsstil sollte GUID-Partitionstabelle (GPT) angezeigt werden.
Falls dort MBR steht, ist das kein automatisches Problem, aber ein Hinweis darauf, dass die Installation noch aus einer älteren Konfiguration stammt. In diesem Fall brauchst du entweder eine Umstellung der bestehenden Installation oder eine Neuinstallation im UEFI-Modus.
Firmware-Einstellungen im UEFI-Setup ansehen
Die eigentliche Ursache liegt oft nicht in Windows, sondern im Firmware-Menü des Mainboards. Dort findest du die Optionen, die das Startverhalten und die Sicherheitskette beeinflussen.
Rufe das Setup beim Start des Rechners auf. Häufig geht das über Entf, F2 oder seltener F10 beziehungsweise F12. Die genaue Taste hängt vom Hersteller ab.
Im UEFI-Menü solltest du auf diese Punkte achten:
- Boot Mode: muss auf UEFI oder UEFI Only stehen.
- CSM oder Legacy Support: sollte deaktiviert sein, wenn möglich.
- Secure Boot: sollte aktiviert sein.
- OS Type oder Windows UEFI Mode: muss passend zum installierten Betriebssystem gesetzt sein.
- Factory Keys oder Default Secure Boot Keys: können erforderlich sein, wenn die Schlüsselbank zurückgesetzt wurde.
Je nach Hersteller heißen die Menüpunkte anders. Inhaltlich geht es aber immer um denselben Zusammenhang: Der Rechner soll nur signierte Startkomponenten akzeptieren und nicht auf alte Kompatibilitätsroutinen ausweichen.
So gehst du vor, wenn Secure Boot deaktiviert bleibt
Manchmal lässt sich die Funktion nicht einfach einschalten. Das passiert häufig nach BIOS-Resets, bei älteren Grafikkartenoptionen oder wenn ein Installationsprofil noch für Legacy-Boot eingerichtet wurde.
Arbeite diese Reihenfolge ab:
- Aktualisiere das BIOS oder UEFI auf die neueste stabile Version des Mainboard-Herstellers.
- Setze im Setup die Standardwerte zurück.
- Aktiviere UEFI-Boot und deaktiviere CSM.
- Wähle danach Secure Boot aus und lade die Standard-Schlüssel, falls das Menü diesen Schritt anbietet.
- Speichere die Einstellungen und starte neu.
Wenn das System danach nicht mehr bootet, liegt meist ein Wechselproblem zwischen altem und neuem Startpfad vor. Dann musst du prüfen, ob Windows noch auf einer MBR-Installation basiert oder ob ein externer Boot-Eintrag das Laden blockiert.
Windows-Installation auf UEFI umstellen
Ist das System noch im Legacy-Modus installiert, kann ein Umstieg auf UEFI möglich sein, ohne alles neu aufzusetzen. Voraussetzung ist, dass das Laufwerk genug freien Platz für die EFI-Systempartition bietet und keine schwerwiegenden Partitionsfehler vorliegen.
Ein typisches Vorgehen sieht so aus:
- Sichere zunächst alle wichtigen Daten.
- Öffne eine Eingabeaufforderung mit Administratorrechten.
- Prüfe die Festplatte mit mbr2gpt auf Konvertierbarkeit.
- Führe bei erfolgreicher Prüfung die Konvertierung aus.
- Wechsle danach im UEFI-Menü von Legacy oder CSM auf UEFI.
Nach dem Neustart sollte Windows wieder starten, diesmal über den neuen Bootpfad. Danach lohnt sich erneut die Kontrolle von BIOS-Modus, Secure Boot und Partitionsstil.
Typische Hinweise auf eine veraltete Startkette
Auch ohne tiefe Diagnose gibt es Anzeichen, die auf eine nicht passende Konfiguration hindeuten. Dazu gehören ungewöhnliche Bootschleifen, Fehlermeldungen nach einem Firmware-Update oder ein Windows-System, das im UEFI-Menü auftaucht, aber nicht zuverlässig über Secure Boot startet.
Prüfe in solchen Fällen besonders diese Punkte:
- Wurde kürzlich das BIOS zurückgesetzt?
- Wurde der Rechner von einer alten Installation übernommen?
- Wurden mehrere Festplatten angeschlossen, auf denen Bootloader liegen?
- Ist ein externer USB-Stick beim Start eingesteckt?
- Wird im Bootmenü tatsächlich der Windows-Eintrag über den UEFI-Pfad gewählt?
Gerade der letzte Punkt wird oft übersehen. Manche Systeme bieten parallel einen alten und einen neuen Startpfad an. Dann muss der passende Eintrag manuell priorisiert werden.
Reihenfolge für eine saubere Überprüfung
Wenn du den Zustand ohne Umwege klären willst, arbeite in genau dieser Reihenfolge:
- Windows-Informationen öffnen und BIOS-Modus prüfen.
- Datenträgerverwaltung auf GPT kontrollieren.
- Im UEFI-Setup Secure Boot und CSM ansehen.
- Firmware-Version mit der Herstellerseite vergleichen.
- Bei Bedarf BIOS aktualisieren und Standard-Schlüssel laden.
- Nach Änderungen erneut in Windows gegenprüfen.
Diese Abfolge deckt sowohl die Software- als auch die Firmware-Seite ab. Du musst also nicht raten, sondern kannst den Status Schritt für Schritt eingrenzen.
Was nach einem Firmware-Update sinnvoll ist
Nach einem BIOS- oder UEFI-Update ändern sich gelegentlich Standardwerte. Das betrifft vor allem Secure-Boot-Schlüssel, Boot-Reihenfolgen und Kompatibilitätsmodi. Ein System, das zuvor einwandfrei lief, kann dadurch wieder auf unsichere oder inkompatible Voreinstellungen fallen.
Kontrolliere deshalb immer nach einem Update:
- ob UEFI weiterhin aktiv ist,
- ob der Start im richtigen Laufwerkseintrag erfolgt,
- ob Secure Boot eingeschaltet ist,
- ob Uhrzeit und Datum korrekt sind,
- ob das Mainboard neue Optionen für die Schlüsselverwaltung eingeblendet hat.
Mit dieser Nachprüfung stellst du sicher, dass nicht nur das Update erfolgreich war, sondern auch die Sicherheitskonfiguration erhalten bleibt.
Im nächsten Abschnitt geht es um häufige Fragen rund um Fehlermeldungen, Umstellungen und den sicheren Wechsel zwischen alten und neuen Boot-Einstellungen.
Kompatibilität sauber einordnen
Bevor du einzelne Menüs prüfst, lohnt sich ein Blick auf die technische Ausgangslage des Rechners. Entscheidend ist nicht nur, ob Windows startet, sondern ob Mainboard, Firmware, Datenträger und Startmodus zusammenpassen. Ein System kann äußerlich einwandfrei wirken und trotzdem noch im alten Startschema laufen, während die Einstellungen bereits auf moderne UEFI-Funktionen ausgelegt sind.
Für die Beurteilung sind vor allem drei Punkte wichtig: die Firmware muss UEFI unterstützen, der Datenträger sollte im GPT-Layout vorliegen und Windows muss im UEFI-Modus installiert sein. Erst wenn diese Ebenen zusammenpassen, ist der Rechner für aktuelle Secure-Boot-Anforderungen vorbereitet. Wer nur einen Punkt kontrolliert, übersieht oft die eigentliche Ursache.
Praktisch hilft folgende Einordnung:
- UEFI vorhanden, aber Windows im Legacy-Modus installiert: Umstellung nötig.
- UEFI vorhanden, GPT aktiv, Secure Boot aus: meist nur eine Firmware-Einstellung zu korrigieren.
- UEFI fehlt vollständig: bei sehr alten Geräten sind Einschränkungen möglich.
- Firmware unterstützt UEFI, bootet aber noch über CSM: Startkette prüfen und gegebenenfalls anpassen.
Systeminformationen lesen und richtig deuten
Der schnellste technische Abgleich erfolgt über die Windows-Systeminformationen. Öffne das Startmenü, tippe msinfo32 ein und starte die App „Systeminformationen“. Dort findest du den Eintrag BIOS-Modus. Steht dort UEFI, nutzt das Betriebssystem bereits den modernen Startpfad. Steht dort Vorgängerversion oder Legacy, läuft der Rechner noch im alten Modus.
Daneben ist die Sicherer Startzustand-Anzeige hilfreich. Sie zeigt, ob Secure Boot aktiv ist, deaktiviert wurde oder vom System nicht unterstützt wird. Wichtig ist die Kombination beider Angaben, denn ein UEFI-System ohne aktivierten sicheren Start ist technisch etwas anderes als ein Legacy-System mit abgeschalteten Schutzfunktionen.
Für eine belastbare Einschätzung solltest du außerdem die Geräteherstellerangaben prüfen. Manche Mainboards bieten UEFI erst ab einer bestimmten BIOS-Version oder schalten einzelne Schutzmechanismen nur frei, wenn ein aktuelles Firmware-Update installiert ist. Gerade bei älteren Business-PCs kann die Oberfläche UEFI anzeigen, obwohl wichtige Boot-Optionen erst nach einem Update vollständig nutzbar werden.
Worauf du in Windows zusätzlich achten solltest
- Datenträgerverwaltung: Erkennbare EFI-Systempartitionen deuten auf UEFI hin.
- Task-Manager oder Geräte-Manager liefern dazu keine sichere Aussage, sind aber nützlich für die Hardwareprüfung.
- BitLocker kann die Prüfung beeinflussen, wenn Firmware- oder Startoptionen verändert werden.
- Adminrechte sind bei einigen Diagnosewegen erforderlich.
Startreihenfolge und Boot-Einträge im UEFI kontrollieren
Ein häufiger Stolperstein liegt in der Boot-Reihenfolge. Selbst wenn UEFI aktiv ist, kann der Rechner über einen alten Eintrag starten, sofern im Firmware-Menü noch ein Legacy- oder CSM-Eintrag bevorzugt wird. Öffne das UEFI-Setup über die herstellerspezifische Taste beim Start, meist Entf, F2, F10 oder F12. Im Bereich Boot oder Startup sollten Einträge wie Windows Boot Manager sichtbar sein. Genau dieser Eintrag ist bei einem korrekt installierten UEFI-System relevant.
Fehlt der Windows Boot Manager, ist das ein Hinweis auf eine fehlende EFI-Startstruktur oder auf eine Installation im falschen Modus. In diesem Fall reicht ein bloßes Aktivieren von Secure Boot oft nicht aus. Dann muss die Startumgebung überprüft und gegebenenfalls neu aufgebaut werden.
In manchen Firmwares tauchen zusätzliche Optionen wie CSM, Legacy Boot oder Compatibility Support Module auf. Diese Funktionen sind für alte Betriebssysteme gedacht und sollten für ein sauberes UEFI-Setup möglichst deaktiviert bleiben, sofern keine Sonderhardware davon abhängt. Auch hier gilt: Nach Änderungen immer speichern, neu starten und das Ergebnis erneut kontrollieren.
Typische Stellen im Firmware-Menü
- Boot Order oder Boot Priority: Reihenfolge der Startgeräte
- Secure Boot: Aktivierung der Signaturprüfung
- CSM/Legacy Support: Altmodus für frühere Installationen
- OS Type: Auswahl zwischen Windows- und Other-Mode
- Fast Boot: kann den Zugriff auf einzelne Prüfungen erschweren
EFI-Partition, Wiederherstellung und Startdateien überprüfen
Ein vollständiger Test endet nicht beim Modus selbst. Damit die Maschine wirklich vorbereitet ist, muss die EFI-Systempartition vorhanden und korrekt eingebunden sein. Öffne dazu die Datenträgerverwaltung mit diskmgmt.msc. Auf dem Systemlaufwerk sollte eine kleine EFI-Partition erscheinen, meist mit wenigen hundert Megabyte. Zusätzlich finden sich oft eine Microsoft-Reserviert-Partition und eine Wiederherstellungspartition.
Fehlt die EFI-Partition, war die Installation wahrscheinlich nicht im UEFI-Modus oder die Startstruktur wurde verändert. In diesem Fall kann Windows zwar noch funktionieren, aber die Grundlage für sicheren UEFI-Start ist unvollständig. Dann solltest du die Startdateien mit den Bordmitteln prüfen und bei Bedarf neu schreiben lassen.
Für die Reparatur kann die Eingabeaufforderung mit Administratorrechten verwendet werden. Der Befehl bcdboot C:Windows /f UEFI legt die UEFI-Startdateien neu an, sofern das Systemlaufwerk korrekt erkannt wird. Danach sollte der Rechner im Firmware-Menü wieder einen gültigen Windows-Boot-Eintrag zeigen. Falls der Datenträger nicht GPT-formatiert ist, muss dieser Schritt vorher geklärt werden, weil UEFI und MBR nur eingeschränkt zusammenarbeiten.
Prüfpunkte für die Startstruktur
- EFI-Systempartition vorhanden und nicht beschädigt
- Windows Boot Manager im Firmware-Menü sichtbar
- Systemlaufwerk als GPT eingerichtet
- Secure Boot lässt sich einschalten, ohne dass der Start scheitert
Treiber, Firmware und Schutzfunktionen zusammen betrachten
Ein Rechner kann UEFI technisch unterstützen und trotzdem bei der Vorbereitung hängen bleiben, weil nicht alle Komponenten zusammenpassen. Besonders bei älteren Grafikkarten, Netzwerkkarten oder Zusatzcontrollern ist wichtig, dass die Firmware der Karte UEFI-kompatible Startoptionen anbietet. Andernfalls erscheint beim Einschalten zwar das Herstellersymbol, anschließend springt das System aber in eine unsaubere Startkette oder blockiert bestimmte Sicherheitsfunktionen.
Auch die Mainboard-Firmware selbst spielt eine zentrale Rolle. Ein Update kann nicht nur Stabilität bringen, sondern auch neue Optionen wie verbesserte Secure-Boot-Verwaltung, feinere CSM-Steuerung oder eine klarere Anzeige des aktuellen Boot-Status. Vor einem Update sollte allerdings das bestehende Setup dokumentiert werden. Notiere, welche Boot-Einträge aktiv sind, ob BitLocker eingeschaltet ist und ob ein Wiederherstellungsschlüssel vorliegt.
Nach einem Firmware-Update gehören drei Nacharbeiten dazu: Boot-Reihenfolge kontrollieren, Secure Boot wieder aktivieren und die Windows-Startprüfung erneut durchführen. Manche Mainboards setzen nach einem Update bestimmte Einstellungen auf Standard zurück. Dann ist UEFI zwar weiterhin vorhanden, aber nicht automatisch so konfiguriert, dass der sichere Start direkt funktioniert.
Saubere Reihenfolge nach einer Umstellung
- Wichtige Daten sichern und Wiederherstellungsschlüssel bereithalten.
- Im UEFI-Menü CSM oder Legacy-Optionen prüfen.
- Boot-Eintrag „Windows Boot Manager“ nach oben setzen.
- Secure Boot aktivieren und speichern.
- Windows starten und in den Systeminformationen den Status abgleichen.
- Bei Abweichungen die Startdateien und die Partitionsstruktur nochmals kontrollieren.
Wer diese Schritte in der richtigen Reihenfolge abarbeitet, verhindert unnötige Neustarts und erkennt schneller, wo die eigentliche Ursache liegt. So lässt sich nicht nur feststellen, ob die Maschine bereit ist, sondern auch die Konfiguration auf einen belastbaren Zustand bringen.
FAQ
Woran erkenne ich zuerst, ob mein System für die neue Zertifikatsprüfung vorbereitet ist?
Am schnellsten prüfst du, ob Windows im UEFI-Modus startet und Secure Boot aktiv werden kann. Zusätzlich sollte die Systemfestplatte im GPT-Format eingerichtet sein, weil ältere Startstrukturen den Wechsel oft blockieren.
Wo finde ich den UEFI-Startmodus in Windows?
Öffne die Systeminformationen und suche nach dem Eintrag „BIOS-Modus“. Steht dort „UEFI“, ist die Startumgebung bereits passend; steht dort „Vorgängerversion“ oder „Legacy“, musst du den Start später umstellen.
Wie prüfe ich, ob Secure Boot bereits eingeschaltet ist?
Rufe in Windows die Funktion „Systeminformationen“ auf und prüfe den Status bei „Sicherer Startzustand“. Ist der Wert „Ein“, ist die Voraussetzung erfüllt; ist er „Aus“, solltest du ins UEFI-Setup wechseln und die Option dort aktivieren.
Was mache ich, wenn Secure Boot im UEFI gar nicht auswählbar ist?
Dann liegt meist noch ein kompatibler Altmodus vor oder das System bootet nicht im reinen UEFI-Betrieb. Stelle im Firmware-Menü zunächst den UEFI-Start ohne CSM oder Legacy ein und speichere die Änderung, bevor du Secure Boot erneut aktivierst.
Warum ist das Partitionsformat der Systemplatte wichtig?
Der UEFI-Start erwartet in der Regel eine GPT-Datenträgerstruktur. Bei einer MBR-Installation ist oft nur ein älterer Startpfad vorhanden, und genau das verhindert später die Umstellung oder die saubere Aktivierung der Sicherheitsfunktionen.
Kann ich die vorhandene Windows-Installation ohne Neuinstallation umstellen?
Ja, in vielen Fällen geht das mit einer Umwandlung von MBR zu GPT und einer anschließenden Umstellung der Firmware auf UEFI. Vorher solltest du ein vollständiges Backup anlegen und prüfen, ob BitLocker oder andere Schutzfunktionen den Startvorgang beeinflussen.
Welche Einstellungen im Firmware-Menü sind besonders wichtig?
Suche nach Einträgen wie „Boot Mode“, „CSM“, „Legacy Support“, „Secure Boot“ und „OS Type“. Für einen sauberen UEFI-Start muss der Legacy-Anteil meist deaktiviert werden, damit die Sicherheitsprüfung vollständig greifen kann.
Was ist nach einem Firmware-Update zu kontrollieren?
Nach einem Update setzen manche Hersteller Startoptionen auf Standardwerte zurück. Prüfe deshalb erneut UEFI-Modus, Secure Boot, Boot-Reihenfolge und gegebenenfalls TPM, damit das System nach dem Update nicht in einen unsicheren Startpfad zurückfällt.
Wie gehe ich vor, wenn das System nach der Umstellung nicht mehr startet?
Dann solltest du zuerst im UEFI die alte Startreihenfolge prüfen und nötigenfalls auf die Windows-Startpartition verweisen. Falls das nicht hilft, kann eine Reparatur des Startdatensatzes oder die Rückkehr zu den vorherigen Firmware-Einstellungen erforderlich sein.
Welche Rolle spielt TPM bei der Vorbereitung?
TPM ist nicht in jedem Einzelfall zwingend, unterstützt aber moderne Sicherheitsanforderungen und wird in vielen aktuellen Systemkonfigurationen erwartet. Im UEFI-Menü findest du es oft unter „Security“, „Trusted Computing“ oder einer ähnlichen Bezeichnung.
Welche Schritte sind sinnvoll, bevor ich Änderungen im UEFI vornehme?
Notiere die aktuellen Werte, sichere wichtige Daten und prüfe, ob Verschlüsselung oder Sondertreiber im System aktiv sind. So kannst du die Änderungen nachvollziehen und bei Bedarf ohne Umwege zum vorherigen Zustand zurückkehren.
Fazit
Die Prüfung ist im Kern eine Kombination aus Windows-Analyse, Datenträgerkontrolle und Firmware-Abgleich. Wer diese Punkte sauber durchgeht, erkennt schnell, ob der Rechner die aktuellen Anforderungen erfüllt oder ob noch eine Umstellung nötig ist. Besonders wichtig ist dabei, UEFI, GPT und Secure Boot gemeinsam zu betrachten, statt nur einen einzelnen Punkt zu prüfen.
