{"id":2494,"date":"2025-10-20T23:40:13","date_gmt":"2025-10-20T21:40:13","guid":{"rendered":"https:\/\/hitco.at\/blog\/?p=2494"},"modified":"2026-02-13T07:46:40","modified_gmt":"2026-02-13T06:46:40","slug":"uefi-secureboot-db-update-installieren","status":"publish","type":"post","link":"https:\/\/hitco.at\/blog\/uefi-secureboot-db-update-installieren\/","title":{"rendered":"UEFI SecureBoot DB Update: Microsoft 2023er CAs installieren"},"content":{"rendered":"\n

Die SecureBoot-Zertifikate (KEK und DB) von Microsoft stammen aus dem Jahr 2011 und laufen im Jahr 2026 ab.<\/p>\n\n\n\n

\"UEFI<\/a><\/figure>\n\n\n\n
\n
Bisheriges Zertifikat<\/th>Neues Zertifikat<\/th><\/tr><\/thead>
Microsoft Corporation KEK CA 2011<\/strong>
Ablauf: Juni 2026
Key Exchange Key
Hiermit werden DB und DBX Updates signiert<\/td>		Microsoft Corporation KEK 2K CA 2023<\/strong>


<\/td><\/tr>
Microsoft Windows Production PCA 2011<\/strong>
Ablauf: Oktober 2026
Signature Database (DB)
Hiermit wird der Windows Boot-Loader signiert<\/td>		Windows UEFI CA 2023<\/strong>


<\/td><\/tr>
Microsoft UEFI CA 2011<\/strong>
Ablauf: Juni 2026
Signature Database (DB)
Hiermit werden 3rd Party Bootloader signiert<\/td>		Microsoft UEFI CA 2023<\/strong>


<\/td><\/tr>
Option-ROMs wurden bisher ebenfalls mit der Microsoft UEFI CA 2011 signiert<\/td>Microsoft Option ROM UEFI CA 2023<\/strong>
<\/td><\/tr><\/tbody><\/table><\/figure>\n<\/div><\/div>\n\n\n\n

Nachfolgendes How-To erl\u00e4utert in Kurzfassung, wie diese mittels PowerShell gepr\u00fcft und mittels in Windows 11 enthaltener Update-Funktionalit\u00e4t gezielt appliziert werden k\u00f6nnen.<\/p>\n\n\n\n

Pr\u00fcfen der SecureBoot DB und KEK Zertifikate<\/h3>\n\n\n\n

Das PowerShell-Modul UEFIv2<\/a> von Mike Niehaus<\/a> installieren und die Ausf\u00fchrung von RemoteSigned Scripts zulassen:<\/p>\n\n\n

\nSet-ExecutionPolicy -ExecutionPolicy RemoteSigned -Force\nInstall-PackageProvider -Name NuGet -Force -Confirm:$False\nInstall-Module -Name UEFIv2 -Force -Confirm:$False\n<\/pre><\/div>\n\n\n
Alternativ auf Ger\u00e4ten ohne Internet-Zugang das UEFIv2 PowerShell-Modul<\/a> unter „Manual Download“ das „raw nupgk File“ herunterladen, es handelt sich um eine Datei im ZIP-Format, diese extrahieren. Darin findet sich das zu ladende Modul das wie folgt importiert wird:<\/p>\n\n\n
\nSet-ExecutionPolicy -ExecutionPolicy RemoteSigned -Force\nImport-Module .\\UEFIv2.psm1\n<\/pre><\/div>\n\n\n
Damit nun den aktuellen Zustand der SecureBoot-Zertifikate abfragen:<\/p>\n\n\n
\nGet-UEFISecureBootCerts -Variable kek | Format-List -Property SignatureSubject\n\nSignatureSubject : CN=Microsoft Corporation KEK CA 2011, O=Microsoft Corporation, L=Redmond, S=Washington, C=US\n\nGet-UEFISecureBootCerts -Variable db | Format-List -Property SignatureSubject\n\nSignatureSubject : CN=Microsoft Windows Production PCA 2011, O=Microsoft Corporation, L=Redmond, S=Washington, C=US\n<\/pre><\/div>\n\n\n
Dieses typische Beispiel zeigt, dass am System lediglich ein SecureBoot DB-Zertifikat von Microsoft aus 2011 vorhanden ist, welches im Jahr 2026 abl\u00e4uft.<\/p>\n\n\n\n
Welche Updates sind in Windows 11 enthalten?<\/h3>\n\n\n\n
Die mittels Windows-Updates gepflegten SecureBootUpdates finden sich hier:<\/p>\n\n\n
\ndir C:\\Windows\\system32\\SecureBootUpdates\n\nMode                 LastWriteTime         Length Name\n----                 -------------         ------ ----\n-a----        14.10.2025     20:25          10542 BucketConfidenceData.cab\n-a----        07.12.2019     10:09              3 dbupdate.bin\n-a----        05.05.2025     22:41           4832 dbupdate2024.bin\n-a----        13.10.2025     22:08           4829 DBUpdate3P2023.bin\n-a----        13.10.2025     22:08           4840 DBUpdateOROM2023.bin\n-a----        14.10.2025     20:25          24053 dbxupdate.bin\n-a----        05.05.2025     22:41           5052 DBXUpdate2024.bin\n-a----        13.10.2025     22:08           3509 DBXUpdateSVN.bin\n-a----        13.10.2025     22:08         716120 KEKUpdateCombined.bin\n-a----        05.05.2025     22:41             45 SbatLevel.txt\n-a----        14.10.2025     20:25           6544 SKUSiPolicy.P7b\n<\/pre><\/div>\n\n\n
Auswahl: Welche Updates m\u00f6chten wir applizieren<\/h3>\n\n\n\n
Wir pr\u00fcfen vor dem Update, ob ein Update nicht bereits angesto\u00dfen wurde (Ergebnis >0):<\/p>\n\n\n
\n$RegSecureBoot = Get-ItemProperty -Path "HKLM:\\SYSTEM\\CurrentControlSet\\Control\\SecureBoot"\nWrite-Host "AvailableUpdates hat derzeit den Wert: 0x$($RegSecureBoot.AvailableUpdates.ToString("X"))"\n\nAvailableUpdates hat derzeit den Wert: 0x0\n<\/pre><\/div>\n\n\n
Nun konfigurieren wir, welche Updates konkret umgesetzt werden sollen gem\u00e4\u00df dieser Dokumentation<\/a>.<\/p>\n\n\n
\n$RegValue = 0x0\n$RegValue += 0x0040 # add the Windows UEFI CA 2023 certificate to the Secure Boot DB.\n$RegValue += 0x0800 # apply the Microsoft Option ROM UEFI CA 2023 to the DB\n$RegValue += 0x1000 # apply the Microsoft UEFI CA 2023 to the DB\n$RegValue += 0x0004 # look for a Key Exchange Key signed by the device\u2019s Platform Key (PK)\nWrite-Host "Setze AvailableUpdates auf: 0x$($RegValue.ToString("X"))"\n\nSetze AvailableUpdates auf: 0x1844\n<\/pre><\/div>\n\n\n
Hinweis: 0x4000 nutze ich in diesem Fall nicht, w\u00fcrde bedeuten: only apply the Microsoft UEFI CA 2023 and Microsoft Option ROM CA 2023 if the DB already has the Microsoft Corporation UEFI CA 2011<\/em>.<\/p>\n\n\n\n
Starten des SecureBoot Zertifikats-Updates<\/h3>\n\n\n\n
Nun die Durchf\u00fchrung starten, zuvor allerdings den Start-Zeitstempel merken um danach alle seit diesem Zeitpunkt aufgetretenen TPM-WMI Events abzufragen:<\/p>\n\n\n
\nSet-ItemProperty -Path "HKLM:\\SYSTEM\\CurrentControlSet\\Control\\SecureBoot" -Name "AvailableUpdates" -Value $RegValue\n\n$StartTimeStamp = (Get-Date).AddSeconds(-1)\nStart-ScheduledTask -TaskName "\\Microsoft\\Windows\\PI\\Secure-Boot-Update"\nStart-Sleep -Seconds 10\n\nGet-WinEvent -FilterHashtable @{ProviderName='microsoft-windows-tpm-wmi'; StartTime=$StartTimeStamp } -ErrorAction SilentlyContinue | Format-Table -Wrap -AutoSize\n\n   ProviderName: Microsoft-Windows-TPM-WMI\n\nTimeCreated           Id LevelDisplayName Message\n-----------           -- ---------------- -------\n20.10.2025 22:23:18 1795 Fehler           Die Systemfirmware hat beim Versuch, eine Variable f\u00fcr den sicheren Start 4 zu aktualisieren, den Fehler Das Medium ist schreibgesch\u00fctzt.\n                                          zur\u00fcckgegeben. Diese Ger\u00e4tesignaturinformationen sind hier enthalten.\n                                          DeviceAttributes: FirmwareManufacturer:Microsoft Corporation;FirmwareVersion:Hyper-V UEFI Release v4.1;OEMModelNumber:Virtual\n                                          Machine;OEMManufacturerName:Microsoft Corporation;OSArchitecture:amd64;\n                                          BucketId: 4e22d051e8c143d2875b9d16ef2241c7ec548985a21e5073126d3c1f9bf53bb2\n                                          BucketConfidenceLevel: .\n                                          Weitere Informationen finden Sie unter https:\/\/go.microsoft.com\/fwlink\/?linkid=2169931\n20.10.2025 22:20:25 1045 Informationen    Update der Datenbank f\u00fcr sicheres Starten zur Installation des Microsoft UEFI CA 2023-Zertifikats wurde erfolgreich angewendet\n20.10.2025 22:19:58 1044 Informationen    Update der Datenbank f\u00fcr sicheres Starten zur Installation des Microsoft Option ROM-UEFI CA 2023-Zertifikats wurde erfolgreich angewendet\n20.10.2025 22:15:57 1036 Informationen    Das Update f\u00fcr den sicheren Start von Db wurde erfolgreich angewendet\n20.10.2025 22:15:57 1801 Fehler           Die Zertifizierungsstelle\/Schl\u00fcssel f\u00fcr den sicheren Start m\u00fcssen aktualisiert werden. Diese Ger\u00e4tesignaturinformationen sind hier enthalten.\n                                          DeviceAttributes: FirmwareManufacturer:Microsoft Corporation;FirmwareVersion:Hyper-V UEFI Release v4.1;OEMModelNumber:Virtual\n                                          Machine;OEMManufacturerName:Microsoft Corporation;OSArchitecture:amd64;\n                                          BucketId: 4e22d051e8c143d2875b9d16ef2241c7ec548985a21e5073126d3c1f9bf53bb2\n                                          BucketConfidenceLevel:\n                                          UpdateType: 0\n                                          HResult: Der Vorgang wurde erfolgreich beendet.\n<\/pre><\/div>\n\n\n
Der Scheduled-Task wird \u00fcber den COM-Server {5014B7C8-934E-4262-9816-887FA745A6C4} ausgef\u00fchrt, nennt sich „TPM Maintenance Task Handler“ und wird implementiert in %systemroot%\\system32\\TpmTasks.dll<\/p>\n\n\n\n
Der Fehler betreffend „… Das Medium ist schreibgesch\u00fctzt.<\/em>“ bezieht sich in diesem Fall auf den KEK welcher sich auf dieser Hardware nicht tauschen lie\u00df (entweder, weil seitens Firmware nicht vorgesehen oder weil kein mittels Platform-Key PK signierter neuer 2023er KEK im Windows-Update f\u00fcr diese Plattform hinterlegt wurde).<\/p>\n\n\n\n
Pr\u00fcfung nach der Update-Durchf\u00fchrung<\/h3>\n\n\n\n
Der KEK ist somit unver\u00e4ndert, kein neuer 2023er KEK (Key-Exchange-Key) hinzugekommen:<\/p>\n\n\n
\nGet-UEFISecureBootCerts -Variable kek | Format-List -Property SignatureSubject\n\nSignatureSubject : CN=Microsoft Corporation KEK CA 2011, O=Microsoft Corporation, L=Redmond, S=Washington, C=US\n<\/pre><\/div>\n\n\n
Die drei neuen 2023er SecureBoot-Zertifikate sind nun aber verf\u00fcgbar:<\/p>\n\n\n
\nGet-UEFISecureBootCerts -Variable db | Format-List -Property SignatureSubject\n\nSignatureSubject : CN=Microsoft Windows Production PCA 2011, O=Microsoft Corporation, L=Redmond, S=Washington, C=US\n\nSignatureSubject : CN=Windows UEFI CA 2023, O=Microsoft Corporation, C=US\n\nSignatureSubject : CN=Microsoft Option ROM UEFI CA 2023, O=Microsoft Corporation, C=US\n\nSignatureSubject : CN=Microsoft UEFI CA 2023, O=Microsoft Corporation, C=US\n<\/pre><\/div>\n\n\n
Das System zum Abschluss neu starten!
Nach dem Neustart: Eventuell zuvor deaktivierten BitLocker mit TPM wieder aktivieren!<\/p>\n\n\n\n
\"SecureBootCerts\"<\/a><\/figure>\n\n\n\n
Fehlgeschlagene Update-Jobs deaktivieren<\/h3>\n\n\n\n
Da das KEK Update fehlgeschlagen ist, bleibt der Zustand von AvailableUpdates im Zustand 0x4 = look for a Key Exchange Key signed by the device\u2019s Platform Key (PK)<\/em> zur\u00fcck:<\/p>\n\n\n
\n$RegSecureBoot = Get-ItemProperty -Path "HKLM:\\SYSTEM\\CurrentControlSet\\Control\\SecureBoot"\nWrite-Host "AvailableUpdates hat derzeit den Wert: 0x$($RegSecureBoot.AvailableUpdates.ToString("X"))"\n\nAvailableUpdates hat derzeit den Wert: 0x4\n<\/pre><\/div>\n\n\n
Der Taskplaner-Job l\u00e4uft periodisch und versucht dieses Update erneut, so lange sich an den Rahmenbedingungen aber nichts \u00e4ndert, wird dieses Update auch weiterhin nicht gelingen. Es empfiehlt sich daher dies zu beenden, indem wieder 0x0 konfiguriert wird:<\/p>\n\n\n
\nSet-ItemProperty -Path "HKLM:\\SYSTEM\\CurrentControlSet\\Control\\SecureBoot" -Name "AvailableUpdates" -Value 0x0\n<\/pre><\/div>\n\n\n
Pr\u00fcfung ob ein OEM-signed KEK f\u00fcr das Ger\u00e4t verf\u00fcgbar ist<\/h2>\n\n\n\n
Zum Suchen, ob f\u00fcr den Platform-Key ein mit diesem signierter KEK verf\u00fcgbar ist wie folgt vorgehen:<\/p>\n\n\n
\n$PK_Sig=(Get-UEFISecureBootCerts -Variable pk).Signature\nWrite-Host "issued_to: $($PK_Sig.Subject) \/ issued_by: $($PK_Sig.Issuer)"\nissued_to: CN=Ideapad Products \/ issued_by: CN=Trust - Lenovo Certificate\nWrite-Host "serial_number: HEX $($PK_Sig.SerialNumber) = Dezimal: $([System.Numerics.BigInteger]::Parse("0$($PK_Sig.SerialNumber)", 'HexNumber'))"\nserial_number: HEX 994F8B12DB0C8DB2496ED70FFB2DD913 = Dezimal: 203784895555750606179079273201565292819\n<\/pre><\/div>\n\n\n
Die an Microsoft \u00fcbermittelten OEM-signierten KEK-Zertifikats-Updates sind hier einsehbar (JSON): https:\/\/github.com\/microsoft\/secureboot_objects\/blob\/main\/PostSignedObjects\/KEK\/kek_update_map.json<\/a> => Mit diesen ermittelten Angaben im JSON-String auf GitHub suchen, im vorliegenden Beispiel wird man f\u00fcndig:<\/p>\n\n\n
\n    "5f11eeccb10336e653088cba0abc62f2533271a6": {\n        "KEKUpdate": "Lenovo\\\\KEKUpdate_Lenovo_PK255.bin",\n        "Certificate": {\n            "serial_number": 203784895555750606179079273201565292819,\n            "issued_to": "CN=Ideapad Products",\n            "issued_by": "CN=Trust - Lenovo Certificate"\n        }\n    },\n<\/pre><\/div>\n\n\n
Weitere Informationen & Follow-Up<\/h2>\n\n\n\n
Wertvolle Grundlagen-Informationen:<\/p>\n\n\n\n