Eine ungültige digitale Signatur während der Windows-11-Installation spricht meist für eine beschädigte, unvollständig übertragene oder nachträglich veränderte Setup-Datei. Brich die Installation zunächst ab, lösche nicht wahllos Sicherheitsfunktionen und beziehe das Installationsabbild erneut über Microsoft. Vor dem erneuten Start kannst du die Signatur der betroffenen Datei sowie den SHA-256-Hash des ISO-Abbilds prüfen. Tritt der Fehler auch mit einem frisch erstellten Installationsmedium auf, kommen der USB-Stick, Arbeitsspeicher, Datenträger oder eine fehlerhafte Systemzeit als nächste Prüfstellen infrage.
Was die Signaturmeldung beim Setup tatsächlich bedeutet
Eine digitale Signatur verbindet eine Datei kryptografisch mit dem Herausgeber und macht nachträgliche Änderungen erkennbar. Windows prüft dazu unter anderem, ob die Datei seit der Signierung verändert wurde und ob die zugehörige Zertifikatskette vertrauenswürdig verarbeitet werden kann. Scheitert diese Prüfung, ist das nicht automatisch ein Beweis für Schadsoftware. Die Datei darf aber auch nicht ungeprüft weiterverwendet werden.
Für die Diagnose ist entscheidend, an welcher Stelle die Meldung erscheint:
- Erscheint sie beim Öffnen einer heruntergeladenen EXE-Datei, betrifft die Prüfung wahrscheinlich genau diese Datei oder deren Herausgeberzertifikat.
- Bricht ein Upgrade aus dem laufenden Windows heraus ab, können beschädigte Dateien im ISO-Abbild, im temporären Setup-Verzeichnis oder auf dem Systemlaufwerk beteiligt sein.
- Tritt der Fehler erst nach dem Start vom USB-Stick auf, muss das gesamte Installationsmedium geprüft und neu erstellt werden.
- Verweist die Meldung auf einen Treiber, ist nicht automatisch das Windows-Abbild defekt. Dann kann ein unsignierter, beschädigter oder für diese Systemarchitektur ungeeigneter Treiber die Ursache sein.
Notiere vor weiteren Änderungen den vollständigen Wortlaut und – falls angezeigt – den Namen oder Pfad der beanstandeten Datei. Begriffe wie Signatur konnte nicht überprüft werden, Herausgeber konnte nicht verifiziert werden und ungültige digitale Signatur beschreiben verwandte, aber nicht zwingend identische Prüfungen.
Die Herkunft der Installationsdatei zuerst absichern
Ein Windows-11-Abbild, der Installationsassistent oder das Media Creation Tool sollte direkt aus dem offiziellen Microsoft-Bereich zum Herunterladen von Windows 11 stammen. Dateien aus Download-Portalen, Tauschbörsen, Cloud-Freigaben oder inoffiziell angepasste Abbilder sind für eine Reparatur ungeeignet. Das gilt auch dann, wenn Dateiname und Größe plausibel aussehen.
Wurde eine ISO-Datei über einen Download-Manager, einen instabilen Internetzugang oder auf einen externen Datenträger geladen, verschiebe die vorhandene Datei nicht einfach weiter. Lösche sie, lade sie erneut und speichere sie zunächst auf einem lokalen Laufwerk mit genügend freiem Speicherplatz. Ein zweiter Download an denselben beschädigten Speicherort schließt einen Laufwerksfehler allerdings nicht aus.
Auf einem Firmen-PC können Sicherheitssoftware, Anwendungssteuerung oder Richtlinien den Start von Installationsprogrammen blockieren. In diesem Fall ist eine Meldung über den Herausgeber nicht durch das Abschalten von Schutzfunktionen zu umgehen. Die zuständige IT muss das Installationspaket und die geltenden Richtlinien prüfen.
Digitale Signatur der Setup-Datei in Windows kontrollieren
Liegt eine einzelne ausführbare Installationsdatei vor, kannst du deren Signatur zuerst über die Dateieigenschaften ansehen. Klicke die Datei mit der rechten Maustaste an, öffne Eigenschaften und suche nach der Registerkarte Digitale Signaturen. Wähle den vorhandenen Eintrag aus und öffne die Details. Ein gültiger Signaturstatus und ein plausibler Microsoft-Herausgeber sind gute Zeichen, ersetzen aber nicht die Prüfung der Herkunft.
Fehlt die Registerkarte, darf daraus allein kein endgültiges Urteil abgeleitet werden. Nicht jeder Dateityp stellt Signaturen dort dar. Bei einer ausführbaren Windows-Setup-Datei ist ein fehlender oder ungültiger Eintrag jedoch ein Grund, die Datei nicht zu starten und sie aus offizieller Quelle neu zu beziehen.
Authenticode-Status mit PowerShell auslesen
PowerShell kann den Signaturstatus auslesen, ohne die Installationsdatei auszuführen oder zu verändern. Öffne PowerShell beziehungsweise Windows Terminal und ersetze im folgenden Befehl den Beispielpfad durch den tatsächlichen Pfad zur Datei:
Get-AuthenticodeSignature -FilePath "C:\Users\DEINNAME\Downloads\setup.exe" | Format-List Status,StatusMessage,SignerCertificate,TimeStamperCertificateDer Status Valid bedeutet, dass Windows die Authenticode-Signatur erfolgreich validiert hat. HashMismatch weist darauf hin, dass der berechnete Datei-Hash nicht zur Signatur passt; die Datei kann beschädigt oder verändert worden sein. NotSigned bedeutet, dass PowerShell keine eingebettete Authenticode-Signatur gefunden hat. Andere Ergebnisse können unter anderem mit einer nicht vertrauenswürdigen Zertifikatskette oder einer nicht verarbeitbaren Datei zusammenhängen.
Der Befehl bewertet nur die angegebene Datei. Ein gültig signiertes Startprogramm beweist nicht, dass jede weitere Datei auf einem USB-Stick oder innerhalb eines entpackten Abbilds fehlerfrei ist. Meldet das eigentliche Windows-Setup später einen anderen Dateinamen, muss dieser Befund getrennt betrachtet werden.
Den SHA-256-Hash des ISO-Abbilds berechnen
Ein kryptografischer Hash ist ein digitaler Fingerabdruck der gesamten Datei. Bereits eine kleine Änderung am ISO-Abbild erzeugt normalerweise einen anderen SHA-256-Wert. Die Berechnung verändert die ISO-Datei nicht.
Öffne eine Eingabeaufforderung oder ein Terminal und führe den folgenden Befehl mit dem tatsächlichen Dateipfad aus:
certutil -hashfile "C:\Users\DEINNAME\Downloads\Win11.iso" SHA256Alternativ funktioniert PowerShell:
Get-FileHash -Algorithm SHA256 -Path "C:\Users\DEINNAME\Downloads\Win11.iso"Der ausgegebene Wert ist nur dann aussagekräftig, wenn du ihn mit einem vertrauenswürdigen Referenzwert für exakt dieselbe ISO-Variante vergleichen kannst. Sprache, Architektur, Ausgabe und Erstellungsstand beeinflussen den Hash. Ein Wert aus einem beliebigen Forum oder von einer anders bezeichneten ISO-Datei ist keine brauchbare Referenz.
Steht für das betreffende Abbild kein offizieller Vergleichswert bereit, kannst du zwei unabhängig durchgeführte Downloads vergleichen. Identische Hashes sprechen dafür, dass beide Dateien bytegleich sind. Das bestätigt jedoch nicht eigenständig die Echtheit der Quelle. Der sichere Weg bleibt der erneute Bezug aus dem offiziellen Windows-11-Downloadbereich.
Installations-USB-Stick vollständig neu erstellen
Ein intaktes ISO-Abbild kann auf dem Weg zum USB-Stick beschädigt werden. Kopierfehler, ein verschlissener Stick oder ein vorzeitig abgezogener Datenträger reichen aus. Formatiere in diesem Fall nicht nur einzelne Ordner nach, sondern erstelle das Installationsmedium vollständig neu.
- Sichere alle benötigten Dateien vom USB-Stick, weil seine vorhandenen Inhalte beim Neuerstellen gelöscht werden können.
- Lade das Media Creation Tool aus dem offiziellen Windows-11-Downloadbereich oder verwende ein frisch bezogenes ISO-Abbild.
- Nutze nach Möglichkeit einen anderen USB-Stick mit ausreichender Kapazität und schließe ihn direkt am PC an, nicht über einen instabilen Hub.
- Lass das Werkzeug den Vorgang vollständig abschließen und wirf den Stick anschließend über Windows aus.
- Starte das Setup erneut. Beim Upgrade aus dem laufenden Windows kannst du zunächst das ISO-Abbild einbinden und
setup.exedaraus öffnen; für eine Neuinstallation startest du vom neu erstellten Medium.
Verschwindet der Signaturfehler mit dem zweiten Stick, lag der Verdacht auf dem ursprünglichen Medium oder dessen Erstellung. Bleibt der Wortlaut unverändert, solltest du nicht mehrfach dieselbe Installation erzwingen, sondern die folgenden Systemprüfungen durchführen.
Systemzeit und Zertifikatsprüfung richtig einordnen
Eine deutlich falsche Uhrzeit oder ein falsches Datum kann Zertifikatsprüfungen beeinträchtigen. Kontrolliere Datum, Uhrzeit und Zeitzone in den Windows-Einstellungen unter Zeit und Sprache sowie Datum und Uhrzeit. Aktiviere die automatische Zeiteinstellung, sofern sie in deiner Umgebung verfügbar und nicht administrativ vorgegeben ist, und synchronisiere die Uhr.
Wichtig ist die Unterscheidung zwischen einem abgelaufenen Zertifikat und einer nachträglich veränderten Datei. Ordnungsgemäß signierte Dateien können über einen vertrauenswürdigen Zeitstempel weiterhin gültig sein, obwohl das Signaturzertifikat später abläuft. Stelle das Datum daher nicht künstlich zurück, um eine Installation zu erzwingen. Bei einer Meldung wie HashMismatch löst eine korrigierte Uhr die beschädigte Datei ohnehin nicht.
Secure Boot nicht als erste Maßnahme abschalten
Secure Boot überprüft beim Start vertrauenswürdige Boot-Komponenten. Eine Meldung während des Öffnens einer EXE-Datei im laufenden Windows ist nicht automatisch ein Secure-Boot-Fehler. Das vorschnelle Deaktivieren senkt den Schutz und kann bei verschlüsselten oder verwalteten Systemen weitere Probleme auslösen.
Erscheint die Meldung bereits vor dem Start des Windows-Setups und nennt die Firmware ausdrücklich eine Sicherheitsverletzung oder eine nicht autorisierte Signatur, prüfe zuerst, ob der Rechner tatsächlich vom frisch erstellten offiziellen Installationsmedium startet. Kontrolliere außerdem im UEFI, ob ein normaler UEFI-Start statt eines alten Kompatibilitätsmodus verwendet wird. Firmware-Menüs unterscheiden sich je nach Hersteller; ändere dort keine Schlüsselverwaltung und setze keine Secure-Boot-Schlüssel zurück, wenn du deren Bedeutung nicht sicher beurteilen kannst.
Bei aktivem BitLocker oder Geräteverschlüsselung sollte der Wiederherstellungsschlüssel verfügbar sein, bevor du Einstellungen an Firmware, Startmodus oder Sicherheitsfunktionen änderst. Eine Änderung kann eine Wiederherstellungsabfrage auslösen.
Bleibt der Fehler bestehen, Hardware und Speicherpfad eingrenzen
Wiederholt sich die Meldung mit einer neu geladenen ISO-Datei und einem anderen USB-Stick, kann die Datei während des Lesens, Entpackens oder Schreibens beschädigt werden. Nun sind Arbeitsspeicher und Datenträger wichtiger als ein weiteres erneutes Herunterladen.
Arbeitsspeicher mit der Windows-Speicherdiagnose prüfen
Speicherfehler können beim Entpacken großer Installationsarchive wechselnde Prüffehler erzeugen. Öffne über die Windows-Suche die Windows-Speicherdiagnose und wähle den Neustart mit Prüfung. Speichere vorher alle Arbeiten. Zeigt die Diagnose Fehler, solltest du das Setup nicht fortsetzen, bevor RAM-Konfiguration und Speichermodule geprüft wurden.
Ein unauffälliger kurzer Test schließt seltene RAM-Fehler nicht vollständig aus. Verdächtig sind vor allem wechselnde Dateinamen, unterschiedliche Installationsabbrüche oder beschädigte Downloads trotz identischer Quelle. Bei mehreren Speichermodulen oder manuellen Übertaktungseinstellungen gehört die weitere Hardwarediagnose in erfahrene Hände.
Dateisystem des Systemlaufwerks kontrollieren
Die folgende Prüfung liest den Dateisystemstatus des Laufwerks C aus und führt keine Reparatur aus. Öffne Terminal oder Eingabeaufforderung mit Administratorrechten:
chkdsk C: /scanMeldet der Scan keine Probleme, ist das Dateisystem nicht als unmittelbare Ursache bestätigt. Werden Fehler gefunden, sichere wichtige Daten, bevor du eine Reparatur planst. Ein fehlerhaftes Dateisystem kann auch ein Anzeichen für ein Laufwerks- oder Verbindungsproblem sein; eine erzwungene Installation wäre dann der falsche nächste Schritt.
Virenschutz und Downloadfilter ohne Schutzlücke prüfen
Sicherheitssoftware kann Downloads blockieren, in Quarantäne verschieben oder den Start unbekannter Programme verhindern. Sie erzeugt aber nicht typischerweise eine gültige Microsoft-Signatur für eine beschädigte Datei. Deaktiviere Microsoft Defender oder einen anderen Virenscanner nicht pauschal, nur um die Warnung zu übergehen.
Öffne stattdessen den Schutzverlauf des verwendeten Sicherheitsprodukts und prüfe, ob eine Setup-Datei blockiert oder verändert wurde. Bei Microsoft Defender findest du den Schutzverlauf in der Windows-Sicherheit im Bereich Viren- und Bedrohungsschutz. Wenn ein Fund angezeigt wird, stelle die Datei nicht ungeprüft wieder her. Lade das Installationsmedium erneut aus dem offiziellen Microsoft-Bereich und untersuche den neu heruntergeladenen Datenträger.
Ein zusätzlicher Scan der gespeicherten ISO-Datei beziehungsweise des Downloadordners ist sinnvoll. Ergibt er keinen Fund, bleibt eine beschädigte Übertragung trotzdem möglich; Virenscan und Signaturprüfung beantworten unterschiedliche Fragen.
Entscheidungsroute für den nächsten Installationsversuch
- Ist die Datei nicht direkt von Microsoft bezogen worden, verwende sie nicht weiter und lade das Installationsmedium neu.
- Zeigt PowerShell
HashMismatch, lösche die betreffende Datei und erstelle den Download sowie das Medium neu. - Ist die Signatur gültig, nennt das Setup aber eine andere Datei, notiere deren Namen und erneuere das gesamte Installationsmedium statt nur die Startdatei.
- Tritt der Fehler nur mit einem bestimmten USB-Stick auf, ersetze diesen und verwende einen direkten USB-Anschluss.
- Bleibt der Fehler bei unabhängig neu erstellten Medien bestehen, kontrolliere Systemzeit, Arbeitsspeicher und Dateisystem.
- Wechseln Fehlermeldung oder beanstandete Datei bei jedem Versuch, brich die Installation ab und priorisiere die Hardwarediagnose.
Ein Installationsversuch ist erst wieder sinnvoll, wenn die Installationsdatei aus vertrauenswürdiger Quelle stammt, ihre Prüfung keinen Veränderungshinweis liefert und das Medium ohne Fehler neu erstellt wurde. Das Umgehen der Signaturkontrolle oder Abschalten von Secure Boot beseitigt eine beschädigte Datei nicht und kann den Rechner unnötig schwächen.
