Secure Boot aktivieren in Windows 11 – Schritt für Schritt

Secure Boot aktivieren unter Windows 11 ist meist schnell erledigt, wenn dein PC bereits im UEFI-Modus startet. Trotzdem sorgt die Einstellung regelmäßig für Verwirrung. Windows zeigt beispielsweise „Sicherer Startzustand: Aus“ an, obwohl der Rechner relativ neu ist. Bei anderen PCs fehlt die Option im UEFI komplett oder lässt sich nicht einschalten.

Secure Boot heißt in der deutschen Windows-Oberfläche „Sicherer Start“. Im UEFI beziehungsweise BIOS findest du dagegen fast immer die englische Bezeichnung „Secure Boot“. Gemeint ist dieselbe Sicherheitsfunktion.

Bevor du Einstellungen in der Firmware veränderst, solltest du deshalb zuerst prüfen, wie dein Rechner aktuell startet. Besonders der Unterschied zwischen UEFI und dem älteren Legacy- beziehungsweise CSM-Modus ist entscheidend. Wer hier einfach Einstellungen umschaltet, riskiert im ungünstigsten Fall, dass Windows anschließend nicht mehr startet.

Mit den richtigen Vorprüfungen lässt sich das vermeiden. Du kannst bereits unter Windows feststellen, ob Secure Boot aktiv ist und ob dein System die notwendigen Voraussetzungen erfüllt.

Secure Boot unter Windows 11 prüfen

Bevor du Secure Boot aktivierst, solltest du kontrollieren, ob die Funktion vielleicht schon eingeschaltet ist. Dafür brauchst du kein zusätzliches Programm.

Drücke die Windows-Taste + R, gib

msinfo32

ein und bestätige mit der Eingabetaste. Windows öffnet daraufhin die Systeminformationen.

Bleibe links bei Systemübersicht und suche rechts nach diesen beiden Einträgen:

• BIOS-Modus
• Sicherer Startzustand

Beim BIOS-Modus sollte UEFI stehen. Beim sicheren Start sind mehrere Anzeigen möglich.

Anzeige	Bedeutung
UEFI / Sicherer Startzustand: Ein	Secure Boot ist bereits aktiv
UEFI / Sicherer Startzustand: Aus	Secure Boot wird grundsätzlich unterstützt, ist aber deaktiviert
Legacy oder Vorgängerversion	Windows startet nicht im benötigten UEFI-Modus
Sicherer Startzustand: Nicht unterstützt	Häufig verhindert die aktuelle Firmware- oder Boot-Konfiguration die Nutzung

Steht bei dir bereits Ein, musst du nichts weiter verändern. Secure Boot funktioniert auf deinem Rechner.

Findest du bei BIOS-Modus den Eintrag UEFI und bei Sicherer Startzustand den Wert Aus, hast du die beste Ausgangslage. In diesem Fall lässt sich Secure Boot normalerweise direkt in der Firmware einschalten.

Falls dir die Begriffe BIOS und UEFI noch nicht ganz klar sind, findest du in meinem Beitrag UEFI vs. BIOS: Unterschiede einfach erklärt eine ausführlichere Erklärung.

Secure Boot aktivieren unter Windows 11: Schritt für Schritt

Windows 11 kann dich direkt in die Firmware-Einstellungen deines Rechners führen. Das ist meist angenehmer, als beim Einschalten im richtigen Moment eine herstellerabhängige Taste drücken zu müssen.

Speichere zuerst geöffnete Dokumente und schließe laufende Programme. Der Computer wird während der folgenden Schritte neu gestartet.

1. Erweiterten Start von Windows 11 öffnen

Öffne die Einstellungen von Windows 11 und gehe zu:

System > Wiederherstellung

Suche dort den Bereich Wiederherstellungsoptionen. Neben Erweiterter Start klickst du auf Jetzt neu starten.

Windows fragt möglicherweise noch einmal nach einer Bestätigung. Anschließend startet der Rechner in die Windows-Wiederherstellungsumgebung.

2. UEFI-Firmwareeinstellungen aufrufen

Wähle im blauen Auswahlmenü nacheinander:

Problembehandlung > Erweiterte Optionen > UEFI-Firmwareeinstellungen

Klicke anschließend auf Neu starten.

Der Computer startet nun neu und öffnet die UEFI-Firmware. Die Oberfläche sieht je nach Hersteller und Mainboard völlig unterschiedlich aus. Manche Systeme zeigen ein grafisches Menü mit Mausbedienung, andere erinnern optisch noch stark an ein klassisches BIOS.

3. Secure Boot im UEFI suchen

Suche nun nach einer Einstellung mit der Bezeichnung:

• Secure Boot
• Secure Boot Control
• Secure Boot Configuration

Wo sich der Punkt befindet, hängt vom Hersteller ab. Typische Bereiche heißen Boot, Security, Authentication oder ähnlich.

Bei manchen Mainboards musst du zuerst einen erweiterten Modus der UEFI-Oberfläche öffnen, bevor alle Einstellungen sichtbar werden. Ändere dabei keine anderen Optionen, deren Funktion du nicht kennst.

4. Secure Boot einschalten

Stelle Secure Boot auf Enabled beziehungsweise Aktiviert.

Falls zusätzlich ein Secure-Boot-Modus angeboten wird, ist Standard für einen normalen Windows-PC in der Regel die passende Einstellung. Einen benutzerdefinierten Modus für eigene Schlüssel brauchst du als Privatanwender normalerweise nicht.

Kontrolliere bei dieser Gelegenheit auch, ob der Startmodus auf UEFI steht. Ein aktivierter Legacy- oder CSM-Modus kann verhindern, dass Secure Boot tatsächlich verwendet wird.

5. Einstellungen speichern und neu starten

Öffne im UEFI den Bereich Save & Exit oder die entsprechende Funktion zum Speichern und Beenden.

Bestätige die Änderungen. Der Rechner startet anschließend neu und sollte Windows 11 wie gewohnt laden.

Damit ist die eigentliche Aktivierung abgeschlossen. Verlassen solltest du dich trotzdem nicht allein auf die Anzeige im UEFI. Windows kann dir direkt bestätigen, ob Secure Boot wirklich aktiv ist.

Nach dem Neustart prüfen, ob Secure Boot aktiv ist

Öffne nach dem Start von Windows erneut die Systeminformationen:

1. Drücke Windows-Taste + R.
2. Gib msinfo32 ein.
3. Bestätige mit der Eingabetaste.
4. Öffne die Systemübersicht.
5. Suche nach Sicherer Startzustand.

Dort sollte jetzt Ein stehen.

Kontrolliere gleichzeitig noch einmal den BIOS-Modus. Dort sollte UEFI angezeigt werden.

Damit weißt du, dass Windows tatsächlich mit aktiviertem Secure Boot gestartet wurde. Eine Einstellung im UEFI kann zwar auf „Enabled“ stehen, ohne dass Secure Boot am Ende wirksam ist. Deshalb ist diese Kontrolle sinnvoll.

UEFI-Firmwareeinstellungen werden in Windows 11 nicht angezeigt

Nicht auf jedem Rechner erscheint unter den erweiterten Startoptionen der Punkt UEFI-Firmwareeinstellungen. Das bedeutet noch nicht automatisch, dass dein Computer kein UEFI besitzt.

Du kannst die Firmware dann direkt beim Einschalten des PCs öffnen. Welche Taste dafür vorgesehen ist, hängt vom Hersteller des Computers oder Mainboards ab. Sie wird häufig kurz beim Start eingeblendet und steht normalerweise auch im Handbuch beziehungsweise in der Dokumentation des Geräts.

Bei einem selbst zusammengestellten Desktop-PC orientierst du dich am Hersteller des Mainboards. Bei einem Notebook oder Komplett-PC ist der Gerätehersteller zuständig.

Falls Windows laut msinfo32 bereits im UEFI-Modus läuft, kannst du Secure Boot anschließend genauso suchen und aktivieren wie beschrieben.

Zeigt msinfo32 dagegen Legacy oder Vorgängerversion, solltest du nicht einfach im Firmware-Menü auf UEFI umstellen. In diesem Fall muss zuerst die vorhandene Windows-Installation geprüft werden.

Secure Boot lässt sich nicht aktivieren: Die häufigsten Ursachen

Bei manchen Rechnern reicht es nicht, einen einzigen Schalter umzulegen. Secure Boot hängt eng mit dem Startmodus, dem Partitionsstil des Systemlaufwerks und den im UEFI gespeicherten Schlüsseln zusammen.

Welche Ursache vorliegt, lässt sich meist recht gut eingrenzen.

Windows startet noch im Legacy- oder CSM-Modus

Secure Boot gehört zum UEFI-Standard. Ein klassischer Legacy-BIOS-Start unterstützt diese Funktion nicht.

Öffne deshalb erneut msinfo32 und kontrolliere BIOS-Modus. Steht dort Legacy oder Vorgängerversion, muss das System zuerst auf einen echten UEFI-Start umgestellt werden.

Viele UEFI-Oberflächen besitzen dafür Einstellungen wie Legacy Support, CSM oder Compatibility Support Module. Das bloße Abschalten dieser Option reicht bei einer bestehenden Windows-Installation aber nicht immer aus.

Windows muss selbst so eingerichtet sein, dass es anschließend im UEFI-Modus starten kann. Genau deshalb solltest du den aktuellen Partitionsstil des Systemlaufwerks prüfen, bevor du CSM oder Legacy deaktivierst.

Der Windows-Datenträger verwendet noch MBR

Moderne Windows-Systeme mit UEFI verwenden normalerweise den Partitionsstil GPT. Ältere Installationen können dagegen noch mit MBR eingerichtet sein.

Du kannst den Partitionsstil über die Datenträgerverwaltung kontrollieren:

1. Klicke mit der rechten Maustaste auf das Windows-Logo.
2. Öffne die Datenträgerverwaltung.
3. Suche den Datenträger, auf dem sich deine Windows-Partition C: befindet.
4. Klicke mit der rechten Maustaste auf die Bezeichnung Datenträger X auf der linken Seite.
5. Öffne Eigenschaften.
6. Wechsle zur Registerkarte Volumes.
7. Prüfe den Eintrag Partitionsstil.

Steht dort GUID-Partitionstabelle (GPT), passt der Datenträger grundsätzlich zu einer modernen UEFI-Konfiguration.

Bei Master Boot Record (MBR) solltest du nicht einfach den Startmodus im UEFI ändern. Windows könnte danach nicht mehr booten.

Windows besitzt zwar mit MBR2GPT ein Werkzeug, mit dem sich geeignete Systemdatenträger von MBR auf GPT umstellen lassen. Die Microsoft-Dokumentation zu MBR2GPT beschreibt die Voraussetzungen, Befehle und mögliche Fehler ausführlich. Eine solche Konvertierung verändert jedoch die Startkonfiguration des Rechners und sollte mit Datensicherung und etwas Vorbereitung erfolgen.

Die Unterschiede zwischen beiden Varianten und die Möglichkeiten zur Umstellung erkläre ich ausführlicher unter MBR oder GPT: Welche Variante ist die richtige?.

Secure Boot ist aktiviert, aber Windows zeigt weiterhin „Aus“

Eine besonders verwirrende Situation entsteht, wenn im UEFI Secure Boot: Enabled steht, msinfo32 aber weiterhin Sicherer Startzustand: Aus meldet.

Prüfe zuerst den BIOS-Modus. Er muss auf UEFI stehen. Ist parallel noch CSM oder Legacy Support aktiv, kann die Secure-Boot-Einstellung wirkungslos bleiben.

Manche Firmware unterscheidet zusätzlich zwischen verschiedenen Betriebssystem-Modi. Dort können Bezeichnungen auftauchen, die sinngemäß zwischen einem Windows-UEFI-Modus und einem Modus für andere Betriebssysteme unterscheiden. Welche Einstellung korrekt ist, hängt vom Mainboard beziehungsweise PC-Hersteller ab.

Ein weiterer Grund können fehlende Secure-Boot-Schlüssel sein. Secure Boot benötigt in der Firmware hinterlegte vertrauenswürdige Schlüssel und Zertifikate, damit signierte Startkomponenten geprüft werden können.

Einige UEFI-Versionen bieten dafür Funktionen wie Install Default Secure Boot Keys, Restore Factory Keys oder ähnlich. Solche Optionen solltest du nur verwenden, wenn dein Hersteller sie für die normale Secure-Boot-Einrichtung vorsieht. Lösche vorhandene Schlüssel nicht auf Verdacht.

Speichere Änderungen immer vollständig und starte den Rechner neu. Erst danach solltest du den Status erneut mit msinfo32 kontrollieren.

Secure Boot ist ausgegraut oder lässt sich nicht auswählen

Eine ausgegraute Secure-Boot-Option deutet häufig darauf hin, dass eine andere Firmware-Einstellung noch nicht passt.

Kontrolliere zuerst:

• Startet der PC wirklich im UEFI-Modus?
• Ist Legacy Boot oder CSM noch aktiviert?
• Sind die standardmäßigen Secure-Boot-Schlüssel vorhanden?
• Wurde die Änderung im UEFI gespeichert?
• Gibt es für das Mainboard beziehungsweise den PC eine neuere Firmware?

Die genaue Abhängigkeit unterscheidet sich stark zwischen Herstellern. Bei einem Notebook kann das Menü völlig anders aufgebaut sein als auf einem Desktop-Mainboard.

Ich würde deshalb keine beliebigen BIOS-Einstellungen ausprobieren, nur um den Secure-Boot-Schalter freizuschalten. Ändere gezielt die Optionen, deren Zusammenhang mit UEFI und Secure Boot eindeutig ist.

„Sicherer Startzustand: Nicht unterstützt“ trotz modernem PC

Die Meldung Nicht unterstützt wirkt zunächst so, als wäre der Rechner zu alt für Secure Boot. Das muss nicht stimmen.

Eine mögliche Ursache ist, dass Windows im Legacy-Modus gestartet wurde. Dadurch kann Secure Boot für das laufende System nicht verwendet werden, obwohl die Firmware des Mainboards die Technik grundsätzlich beherrscht.

Prüfe deshalb zuerst wieder den BIOS-Modus in msinfo32.

Steht dort UEFI, lohnt sich ein Blick in die Firmware. Suche nach Secure Boot und kontrolliere, ob die Funktion vorhanden ist und ob CSM beziehungsweise Legacy Support deaktiviert werden kann.

Fehlt Secure Boot auch dort vollständig, solltest du anhand des exakten PC- oder Mainboard-Modells prüfen, ob die Firmware diese Funktion unterstützt. Bei sehr alten Geräten kann Secure Boot tatsächlich fehlen.

Bei einem neueren Mainboard kann auch ein Firmware-Update zusätzliche Optionen oder Fehlerkorrekturen bringen. Ein BIOS- beziehungsweise UEFI-Update solltest du allerdings nur mit der passenden Datei für dein exaktes Modell durchführen.

Vor Änderungen am UEFI den BitLocker-Schlüssel sichern

Auf manchen Windows-11-PCs ist das Systemlaufwerk mit BitLocker oder der Windows-Geräteverschlüsselung geschützt. Veränderungen an der Startumgebung können dann dazu führen, dass Windows beim nächsten Start den Wiederherstellungsschlüssel verlangt.

Secure Boot einzuschalten bedeutet nicht automatisch, dass diese Abfrage erscheint. Trotzdem würde ich den Wiederherstellungsschlüssel vorher griffbereit halten, wenn dein Laufwerk verschlüsselt ist.

Das gilt besonders dann, wenn du mehrere Dinge gleichzeitig ändern musst, etwa:

• Legacy oder CSM deaktivieren
• auf UEFI umstellen
• Secure-Boot-Schlüssel verändern
• ein BIOS- oder UEFI-Update installieren
• die Startkonfiguration des Datenträgers ändern

Ohne vorhandenen Wiederherstellungsschlüssel kann eine BitLocker-Abfrage sehr unangenehm werden. Prüfe deshalb die Verschlüsselung, bevor du größere Änderungen an der Firmware vornimmst.

Eine normale Aktivierung von Secure Boot auf einem bereits sauber eingerichteten UEFI-System ist dagegen deutlich unkomplizierter.

Secure Boot bei Dual Boot und älteren Startmedien

Wenn auf deinem PC ausschließlich ein normales Windows 11 läuft, spricht normalerweise wenig gegen aktiviertes Secure Boot.

Mehr Aufmerksamkeit braucht ein Rechner, auf dem mehrere Betriebssysteme installiert sind. Ein Bootloader oder Kernel-Modul muss zur Secure-Boot-Konfiguration passen, damit die Firmware den Start akzeptiert.

Ähnliches gilt für ältere Rettungsmedien, Diagnoseprogramme und spezielle bootfähige USB-Sticks. Wurden deren Startkomponenten nicht passend signiert, kann Secure Boot den Start blockieren.

Das ist kein Fehler der Sicherheitsfunktion. Secure Boot erfüllt in diesem Fall genau seine Aufgabe und verhindert, dass nicht vertrauenswürdig eingestufter Code bereits vor Windows ausgeführt wird.

Wenn du solche Werkzeuge regelmäßig verwendest, solltest du vor der Aktivierung prüfen, ob sie Secure Boot unterstützen.

Warum Secure Boot unter Windows 11 sinnvoll ist

Secure Boot kontrolliert sehr früh im Startvorgang, welche Software ausgeführt werden darf. Die Firmware prüft dafür digitale Signaturen von Komponenten, die am Bootprozess beteiligt sind.

Das erschwert Schadsoftware den Angriff auf den Rechner, bevor Windows und dessen normale Schutzmechanismen vollständig gestartet sind. Besonders problematisch sind Angriffe auf den Bootprozess, weil sie sich tief im System einnisten können.

Secure Boot ersetzt deshalb weder den Microsoft Defender noch Windows Update oder andere Sicherheitsmaßnahmen. Die Funktion schützt einen anderen Bereich: die Vertrauenskette beim Start des Computers.

Wenn du mehr über die Sicherheitsfunktionen des Betriebssystems wissen möchtest, findest du einen Überblick in meinem Beitrag Windows-Sicherheit: So gut schützt dich Windows wirklich.

Secure Boot arbeitet dabei auf Firmware-Ebene. Der Windows-Ordner C:\Windows\SecureBoot, der auf manchen PCs vorhanden ist, schaltet die Funktion weder ein noch aus. Was hinter diesem Verzeichnis steckt, erkläre ich unter C:\Windows\SecureBoot: Bedeutung des Ordners erklärt.

Weitere technische Hintergründe zur Funktionsweise und Aktivierung findest du auf der Microsoft-Supportseite zu Windows 11 und sicherem Start.

Muss Secure Boot für Windows 11 aktiviert sein?

Bei den Systemanforderungen von Windows 11 taucht Secure Boot regelmäßig auf. Dabei lohnt sich eine genaue Unterscheidung.

Der PC muss für Windows 11 über UEFI und Secure-Boot-Fähigkeit verfügen. Ein vorhandenes Windows 11 kann trotzdem auf einem Rechner laufen, bei dem Secure Boot aktuell ausgeschaltet ist.

Das erklärt, warum du Windows 11 verwenden kannst und msinfo32 gleichzeitig Sicherer Startzustand: Aus meldet.

Für die Sicherheit des Rechners ist es sinnvoll, Secure Boot auf kompatiblen Systemen einzuschalten. Vorher sollte allerdings geklärt sein, dass Windows bereits korrekt im UEFI-Modus startet.

Die übrigen Voraussetzungen für Windows 11 findest du in meinem Ratgeber zu den Windows-11-Systemanforderungen.

Secure Boot und TPM 2.0 sind nicht dasselbe

Secure Boot wird häufig zusammen mit TPM 2.0 genannt. Beide Techniken gehören zu den Sicherheitsanforderungen moderner Windows-PCs, erfüllen aber unterschiedliche Aufgaben.

Secure Boot überwacht die Vertrauenswürdigkeit der Startkomponenten. Das Trusted Platform Module, kurz TPM, ist dagegen ein Sicherheitsbaustein für kryptografische Funktionen und geschützte Schlüssel.

Du kannst deshalb TPM 2.0 aktiviert haben, während Secure Boot ausgeschaltet ist. Umgekehrt bedeutet eingeschaltetes Secure Boot nicht automatisch, dass TPM 2.0 korrekt eingerichtet wurde.

Wenn eine Windows-11-Kompatibilitätsprüfung mehrere Probleme meldet, solltest du beide Funktionen getrennt überprüfen. Mein Beitrag TPM und Computersicherheit erklärt den TPM-Teil ausführlicher.

Fazit: Secure Boot zuerst prüfen und dann gezielt aktivieren

Secure Boot lässt sich unter Windows 11 auf einem korrekt eingerichteten UEFI-System meist mit wenigen Einstellungen aktivieren. Der sicherste Weg beginnt für mich trotzdem nicht im BIOS, sondern mit msinfo32.

Zeigt Windows dort BIOS-Modus: UEFI und Sicherer Startzustand: Aus, kannst du über den erweiterten Start die UEFI-Firmware öffnen und Secure Boot aktivieren. Danach kontrollierst du den Status erneut unter Windows.

Mehr Vorsicht ist nötig, wenn der Rechner noch im Legacy- oder CSM-Modus startet. Dann können MBR, GPT und die vorhandene Startkonfiguration ins Spiel kommen. Einfach CSM abzuschalten und auf UEFI umzuschalten, ist in dieser Situation keine gute Idee.

Mit einer kurzen Prüfung vorab vermeidest du genau diese Probleme. Auf einem modernen Windows-11-PC würde ich Secure Boot aktiviert lassen, solange keine spezielle Software oder ein bestimmtes Startmedium einen nachvollziehbaren Grund dagegen liefert.