Wie der Konzern still und heimlich über Secure Boot bestimmt, welche Software auf DEINER Hardware laufen darf
...aber Microsoft entscheidet, welche Software darauf laufen darf. Secure Boot kontrolliert jeden Start.
Linux startet nur über einen von Microsoft signierten "Shim" - eine Notlösung, die jederzeit gesperrt werden kann.
Du hast den PC gekauft und bezahlt - aber Microsoft bestimmt die Spielregeln. Willkommen im digitalen Feudalismus!
August 2024: Microsoft hat mit einem Windows-Update versehentlich mehrere Linux-Bootloader gesperrt. Resultat: Tausende Dual-Boot-Systeme waren plötzlich unbrauchbar. Microsoft hat 9 Monate gebraucht, um den Fehler zu beheben.
| Situation | Du kaufst ein Auto | Du kaufst einen PC |
|---|---|---|
| Eigentum | Dir gehört das Auto komplett | Dir gehört die Hardware... theoretisch |
| Kontrolle | Du entscheidest, was reinkommt | Microsoft entscheidet, was startet |
| Alternativen | Shell, Aral, egal - deine Wahl | Nur mit Microsoft-Genehmigung |
| Realität | So funktioniert's | So sollte es sein... |
Fast jeder moderne PC hat UEFI statt BIOS. Im UEFI steckt Secure Boot - klingt gut, oder? Das Problem: Microsoft bestimmt, wessen Zertifikaten vertraut wird.
PC-Hersteller MÜSSEN Microsofts Zertifikat einbauen, wenn sie das Windows-Logo nutzen wollen. Für andere Betriebssysteme? Optional. Die meisten lassen es weg.
Linux startet nur über "Shim" - einen Mini-Bootloader, der von Microsoft signiert wurde. Ein Notkonstrukt. Microsoft kann diese Signatur jederzeit zurückziehen.
Seit Windows 10 (2015) müssen Hersteller KEINE Abschalt-Option mehr anbieten. Manche PCs lassen Secure Boot gar nicht mehr deaktivieren.
Die neueste Eskalation: "Secured-Core-PCs" booten NUR noch Windows. Kein Linux, kein BSD, nichts. Wie bei Apple - komplett zugenagelt.
Offizielles Ziel: Bootkits und Rootkits verhindern. Klingt gut, wird aber von Microsoft für Marktmacht missbraucht.
Microsoft verlangt erstmals Secure Boot für alle PCs mit Windows-Logo. Kritiker warnen vor Monopolmissbrauch. Selbst das deutsche Innenministerium äußert Bedenken!
Das Wirtschaftsministerium sieht "Vertraulichkeit und Integrität nicht gewährleistet". Microsoft klagt gegen kritische Berichterstattung.
9 UEFI-Signaturen müssen zurückgezogen werden - sie erfüllten nie Microsofts eigene Sicherheitsstandards. Peinlich!
Hersteller müssen Secure Boot nicht mehr abschaltbar machen. Der letzte Strohhalm ist Geschichte.
Neue PC-Kategorie startet NUR noch Windows. Linux-Zertifikat ist standardmäßig deaktiviert. Lenovo sperrt gleich auch Drittanbieter-Akkus.
Microsoft sperrt versehentlich Linux-Bootloader. 9 Monate lang kaputte Dual-Boot-Systeme. Interesse an Schadensbegrenzung? Fehlanzeige.
Fazit: Microsoft verlangt Vertrauen, verdient es aber nicht.
Windows 8 wurde auf Behörden-PCs verboten. Grund: Sicherheitsbedenken und Unabhängigkeit.
2013 noch kritisch, 2024 still. Die Warnungen waren berechtigt - passiert ist nichts.
Microsoft geht es um Marktmacht, nicht um Sicherheit. Die Zahlen sprechen für sich.
Meide "Secured-Core-PCs". Achte darauf, dass Secure Boot abschaltbar ist. Frag im Zweifel beim Händler nach!
Beim Boot F2, F10 oder DEL drücken → ins UEFI → Security → Secure Boot auf "Disabled". Fertig!
Ohne Secure Boot läuft Linux perfekt. Keine Microsoft-Kontrolle mehr. Dein PC, deine Regeln.
Für Fortgeschrittene: Erstelle deine eigenen UEFI-Zertifikate. Dann entscheidest DU, was startet - nicht Microsoft.
Open Source: Kein versteckter Code, keine Hintertüren
Unabhängig: Keine US-Konzernkontrolle
Kostenlos: Keine Lizenzen, keine Abos
Zukunftssicher: Läuft auch auf alter Hardware
Linux braucht kein Secure Boot für Sicherheit. Updates sind transparent, keine Zwangs-Patches.
Installiere was du willst, wann du willst. Keine Genehmigung nötig.
Keine Abhängigkeit von US-Konzernen. Deine Daten bleiben wo sie hingehören: Bei dir!
Die Secure Boot-Zertifikate von 2011 laufen ab. KEK und UEFI CA am 27. Juni, das Windows Production-Zertifikat im Oktober 2026.
Dein PC startet weiter. Nur kann er ab diesem Datum keine Boot-Sicherheits-Updates mehr empfangen. Jeden Tag unsicherer als am Tag zuvor.
Das Update kommt nur, wenn Microsoft, dein PC-Hersteller UND dein Mainboard-Hersteller mitspielen. Fällt einer aus — kein Update.
Im März 2023 entdeckten Sicherheitsforscher bei ESET eine 80 Kilobyte kleine Malware namens Black Lotus — aktiv verkauft im Darknet für 5.000 Euro, Updates inklusive für 200 Euro extra.
Was sie kann: Secure Boot auf vollständig gepatchten Windows 11-Systemen umgehen. BitLocker deaktivieren. Windows Defender ausschalten. Und das alles bevor Windows überhaupt geladen wird.
Das Perfide: Microsoft hatte den Patch schon im Januar 2022 veröffentlicht — aber die alten, anfälligen Bootloader-Versionen nie auf die Sperrliste gesetzt. Black Lotus hat einfach die alten Versionen mitgebracht. Secure Boot hat sie als vertrauenswürdig eingestuft. Game over.
Ohne aktuelle Zertifikate kann Microsoft solche Sperrlisten nicht mehr verteilen. Das Zeitfenster für Angriffe dieser Art wächst.
Microsoft rollt die neuen Zertifikate schrittweise aus. Wer regelmäßig updated, bekommt sie irgendwann. "Irgendwann" und "vor dem 27. Juni" sind aber nicht dasselbe.
Das Zertifikats-Update braucht ein UEFI-Firmware-Update vom Mainboard-Hersteller. Hersteller, die Support eingestellt haben, liefern nichts mehr. Dein PC steht am Ende der Warteschlange — oder gar nicht drauf.
Windows 10 Support endete Oktober 2025. Wer kein teures ESU-Abonnement zahlt, bekommt das Zertifikats-Update schlicht nicht. Microsoft hätte es auch ohne ESU ausrollen können. Hat sich dagegen entschieden.
Wer Secure Boot zwischendurch deaktiviert hat (z.B. für Linux), muss es wieder aktivieren damit der PowerShell-Check korrekte Ergebnisse liefert. Sonst glaubst du geschützt zu sein, bist es aber nicht.
PowerShell als Administrator öffnen (Suchleiste → PowerShell → Rechtsklick → Als Administrator ausführen), dann eingeben:
✅ Neues Zertifikat ist drauf. Du bist versorgt.
⚠️ Altes Zertifikat von 2011. Kein Boot-Sicherheits-Update mehr ab 27. Juni.
False-Ergebnis: Windows Update manuell erzwingen und zweimal neu starten. Microsoft selbst betont: Der zweite Neustart ist Pflicht — sonst denkst du du bist geschützt, bist es aber nicht.
Unter Linux hängt die Boot-Sicherheit von den Signaturschlüsseln deiner Distribution ab — nicht von Microsofts Update-Pipeline, nicht vom OEM-Zeitplan, nicht vom Mainboard-Hersteller. Du kannst Secure Boot auch komplett deaktivieren und auf andere Schutzmechanismen setzen.
Unter Windows hängt die grundlegende Sicherheit deines PCs von einer Kette ab, auf die du keinen Einfluss hast. Fällt ein Glied aus — bist du draußen.
Und das ist nicht die letzte Frist. Windows 10 ESU läuft Oktober 2026 aus. Weitere Zertifikatswechsel kommen. Das Muster zeigt immer in dieselbe Richtung: neuere Hardware, mehr Abhängigkeit, mehr Kontrolle durch Microsoft.
Die Theorie: Ja, Secure Boot soll Bootkits verhindern. Die Praxis: Solche Angriffe sind extrem selten. Dafür schafft Secure Boot ein Monopol-Problem: Microsoft kontrolliert, was auf DEINEM PC läuft. Das ist gefährlicher als die theoretische Bootkit-Gefahr.
Alternative: Linux-Sicherheit basiert auf offener Prüfbarkeit, nicht auf Vertrauen in einen Konzern.
Kommt drauf an. Bei vielen PCs lässt sich Secure Boot deaktivieren - dann kein Problem. Bei "Secured-Core-PCs" und manchen neueren Geräten ist das schwieriger oder unmöglich. Deshalb: Beim Kauf drauf achten!
Tipp: Schau in unseren Kaufberatungs-Artikel - da steht genau, worauf du achten musst.
Schwer zu beweisen, aber die Indizien sprechen Bände:
Klingt nach einer verdammt gut durchdachten "Sicherheitsfunktion", oder?
Funktioniert - ABER: Microsoft hat schon zweimal mit Updates Dual-Boot-Systeme zerstört (2024: 9 Monate kaputt!). Das Risiko liegt bei dir.
Sicherer: Entweder ganz Linux oder zwei getrennte PCs/Festplatten.
Nein. Bootkit-Angriffe sind in freier Wildbahn extrem selten. Linux hat Jahrzehnte ohne Secure Boot sicher funktioniert. Die meisten Sicherheitsprobleme passieren auf Betriebssystem-Ebene, nicht beim Booten.
Reality-Check: Deine größten Risiken sind Phishing, schwache Passwörter und ungepatchte Software - nicht Bootkits.
Drei Optionen:
Hol dir die Kontrolle über deine Hardware zurück - mit Linux Mint!
Video & Artikel von: DMW007 (U-Labs)
🎥 Video: Kontrollieren deinen PC: Microsofts Geheimnis hinter Secure Boot
📄 Artikel: u-labs.de/portal/ms-secure-boot-kontrolle/
Weiterführende Links:
Einfach gut zu wissen
Was Windows 11 täglich über dich sammelt
Einmalig: kostenloser Umstieg — deine Daten bleiben bei dir.
Einfach gut zu wissen
Was deine Cyberversicherung nicht zahlt
Beispiel: Handwerksbetrieb 10 Mitarbeiter.
Hardware einmalig ~600 € extra.
15,99 €
43,88 €
64,91 €
