6.5 KiB
Secure Boot und Firmware-Passwort: Geräte vor fremden Startmedien schützen
Stand: 26.10.2026
Wer ein Gerät von einem eigenen USB-Stick startet, kommt an alles, was auf der Festplatte liegt. Zwei Einstellungen in der Firmware (früher „BIOS“) machen das schwerer:
- Secure Boot startet nur signierte Systeme. Das verhindert, dass jemand einen veränderten Startvorgang unterschiebt. Gängige Live-Systeme (Ubuntu, Mint, Debian) sind aber auch signiert und starten trotzdem.
- Firmware-Passwort mit gesperrtem USB-Start verhindert, dass überhaupt von einem Stick gestartet wird.
Beides zusammen ist der beste Schutz, den ein Gerät ohne verschlüsselte Festplatte bieten kann. Gegen eine ausgebaute Festplatte hilft beides nicht.
Tuxflotte-Geräte starten mit und ohne Secure Boot. Du kannst es jederzeit einschalten, eine Neuinstallation ist dafür nur im alten BIOS-Modus nötig (siehe unten).
Wo du den Stand siehst
- Geräte: Steht beim Gerät „🔓 Secure Boot aus“, ist Secure Boot nicht eingeschaltet. Über der Liste steht, wie viele Geräte das betrifft.
- Geräte → Aktionen → Hardware-Informationen, Abschnitt „Schutz vor fremden Startmedien“: was auf diesem Gerät zu tun ist. Der Stand aktualisiert sich bei jedem Check-in des Geräts.
Was der Hinweis bedeutet
| Hinweis | Was zu tun ist |
|---|---|
| ✅ Secure Boot ist eingeschaltet | Nichts. |
| Secure Boot ist aus, lässt sich aber einschalten | Im Firmware-Setup Secure Boot einschalten. |
| Secure Boot ist aus, der Firmware fehlen dafür Schlüssel | Im Firmware-Setup die Werksschlüssel wiederherstellen und die Microsoft-CA für Drittanbieter erlauben, dann Secure Boot einschalten. |
| Secure Boot ist so nicht möglich (BIOS-Modus) | Auf UEFI umstellen und das Gerät neu installieren, oder nur das Firmware-Passwort setzen. |
| Secure Boot ist aus, mehr ist noch nicht bekannt | Nach dem nächsten Update des Geräts steht hier mehr. |
Secure Boot einschalten
- Gerät neu starten und beim Start die Taste für das Firmware-Setup drücken. Je nach Hersteller F1 (Lenovo), F2 (Dell, Acer, ASUS), F10 (HP) oder Entf.
- Den Punkt Secure Boot suchen, meist unter „Security“ oder „Boot“.
- Fehlen die Schlüssel: Restore Factory Keys (oder ähnlich) wählen.
- Gibt es die Option „Allow Microsoft 3rd Party UEFI CA“ (bei Lenovo häufig): einschalten. Ohne sie startet kein Linux mit Secure Boot.
- Secure Boot auf Enabled stellen, speichern und neu starten.
Das Gerät startet wie gewohnt. Nach dem nächsten Check-in zeigt das Portal „✅ Secure Boot ist eingeschaltet“.
Wenn es mit Secure Boot nicht klappt
Mit Secure Boot verweigert die Firmware alles, was sie nicht als signiert erkennt. Einen automatischen Ausweichweg gibt es nicht, sonst wäre Secure Boot wirkungslos. Das gilt für jedes Linux und Windows gleichermaßen, nicht nur für Tuxflotte.
Das Installationsmedium startet nicht (Meldung wie „Security violation“, „Secure Boot Violation“ oder „prohibited by secure boot policy“, oder das Gerät startet den Stick einfach nicht):
- Meist ist in der Firmware die „Microsoft 3rd Party UEFI CA“ nicht erlaubt oder die Schlüssel fehlen. Schritte 3 und 4 unter „Secure Boot einschalten“ erledigen das.
- Am Gerät ändert sich dabei nichts, die Installation hat noch nicht begonnen.
Die Installation bricht mit dem Hinweis auf Secure Boot ab: Für deine Organisation ist eingestellt, dass nur mit Secure Boot installiert wird (siehe unten). Die Festplatte ist unverändert. Secure Boot einschalten und das Medium neu starten.
Ein installiertes Gerät startet plötzlich nicht mehr (gleiche Meldungen wie oben). Mögliche Ursachen sind ein Firmware-Update, das die Schlüssel zurückgesetzt hat, oder eine Sperrliste in der Firmware, die eine alte Startdatei nicht mehr zulässt.
- Im Firmware-Setup Secure Boot ausschalten. Das Gerät startet dann wie gewohnt, Daten gehen nicht verloren.
- Das Gerät einmal mit Netzwerk laufen lassen, damit es Updates holt.
- Stehen in der Firmware die Werksschlüssel (bei Bedarf Restore Factory Keys) und ist die Drittanbieter-CA erlaubt, Secure Boot wieder einschalten.
- Startet es dann immer noch nicht: Secure Boot wieder aus und uns Bescheid geben.
Das Gerät startet, aber ein Gerät oder Treiber fehlt (zum Beispiel kein WLAN oder nur eine einfache Grafik): Manche Treiber stammen nicht aus dem Kernel der Distribution und werden nachträglich gebaut, etwa für ältere Broadcom-WLAN-Chips oder NVIDIA-Grafikkarten. Mit Secure Boot lädt der Kernel sie nicht, weil sie nicht signiert sind. Abhilfe:
- Secure Boot auf diesem Gerät ausgeschaltet lassen und nur das Firmware-Passwort setzen (siehe unten), oder
- einen anderen Netzwerkzugang nutzen (Kabel, USB-WLAN-Stick mit unterstütztem Chip).
Ohne WLAN meldet sich das Gerät nicht beim Portal. Bleibt der letzte Check-in eines Geräts nach dem Einschalten von Secure Boot stehen, ist das ein Hinweis darauf.
Gerät im alten BIOS-Modus
Manche Geräte sind im alten BIOS-Modus installiert (in der Firmware „Legacy“, „CSM“ oder „Legacy Boot“). Dort gibt es kein Secure Boot.
- Im Firmware-Setup den Startmodus auf UEFI stellen und Legacy/CSM abschalten.
- Secure Boot einschalten (siehe oben).
- Das Gerät mit dem Installationsmedium neu installieren. Im BIOS-Modus installierte Geräte starten nach der Umstellung nicht mehr, bis sie neu installiert sind.
Sehr alte Geräte können nur den BIOS-Modus. Dort bleibt das Firmware-Passwort.
Firmware-Passwort setzen und USB-Start sperren
- Im Firmware-Setup ein Administrator- bzw. Supervisor-Passwort setzen (nicht das Passwort für jeden Start).
- Den Start von USB abschalten oder so einstellen, dass das Startmenü (F12) nur mit Passwort erreichbar ist.
- Die Festplatte als erstes Startgerät lassen.
- Das Passwort sicher aufbewahren. Ohne es lässt sich das Gerät nicht mehr vom Installationsmedium starten, auch nicht für eine Neuinstallation.
Willst du ein Gerät später neu installieren, gib im Startmenü das Passwort ein oder schalte den USB-Start vorübergehend wieder frei.
Neue Geräte nur mit Secure Boot installieren
Auf Wunsch stellt Tuxflotte die Installation so ein, dass sie ohne Secure Boot gar nicht erst beginnt. Das Gerät zeigt dann vor jeder Änderung an der Festplatte, was in der Firmware einzustellen ist. Sprich uns an, wenn du das für deine Organisation möchtest.