Secure Boot - Zertifikat fehlt

[Petsch28 0]

Hallo zusammen,

ich möchte meine Secure Boot Zertifikate aktualisieren und habe folgendes Problem bei Windows Server 2019 (aktueller Patchstand) unter VMware.

 

Ich habe den Regkey „HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x5944 /f„ gesetzt und den Server mehrfach neu gestartet.

Leider wird das Windows UEFI CA 2023 Zertifikat nicht in der DB gefunden.

Die hier zum Testen zur Verfügung gestellten Batch-Dateien bringen folgende Ausgabe.

 

 

"Check Windows state.cmd"

Checking for Administrator permission...

Running as administrator - continuing execution...

 

Windows version:  (Build 17763.8027)

 

UEFISecureBootEnabled    : 1

AvailableUpdates         : 0x0004

UEFICA2023Status         : InProgress

WindowsUEFICA2023Capable : Windows UEFI CA 2023 cert is not in DB

 

bootmgfw signature CA : Microsoft Windows Production PCA 2011

 

 

"Check UEFI PK, KEK, DB and DBX.cmd"
Checking for Administrator permission...
Running as administrator - continuing execution...

09 Dezember 2025
Manufacturer: VMware, Inc.
Model: VMware7,1
BIOS: VMware, Inc., VMW71.00V.24504846.B64.2501180334, VMW71.00V.24504846.B64.2501180334, INTEL  - 6040000
Windows version:  (Build 17763.8027)

Secure Boot status: Enabled

Current UEFI PK
√

Default UEFI PK
√

Current UEFI KEK
√ Microsoft Corporation KEK CA 2011 (revoked: False)
X Microsoft Corporation KEK 2K CA 2023

Default UEFI KEK
√ Microsoft Corporation KEK CA 2011 (revoked: False)
√ Microsoft Corporation KEK 2K CA 2023 (revoked: False)

Current UEFI DB
√ Microsoft Windows Production PCA 2011 (revoked: False)
√ Microsoft Corporation UEFI CA 2011 (revoked: False)
√ Windows UEFI CA 2023 (revoked: False)
√ Microsoft UEFI CA 2023 (revoked: False)
√ Microsoft Option ROM UEFI CA 2023 (revoked: False)
√  (revoked: True)

Default UEFI DB
√ Microsoft Windows Production PCA 2011 (revoked: False)
√ Microsoft Corporation UEFI CA 2011 (revoked: False)
√ Windows UEFI CA 2023 (revoked: False)
√ Microsoft UEFI CA 2023 (revoked: False)
X Microsoft Option ROM UEFI CA 2023
√  (revoked: True)
√ VMware Secure Boot Signing (revoked: False)

Current UEFI DBX (only the latest one is needed to be secure)
2025-06-11 (v1.5.1) : SUCCESS: 430 successes detected
2025-10-14 (v1.6.0) : SUCCESS: 431 successes detected

 

Im Eventlog finden sich folgende Einträge:

Event ID 180, TMP-WMI
Die Zertifizierungsstelle/Schlüssel für den sicheren Start müssen aktualisiert werden. Diese Gerätesignaturinformationen sind hier enthalten.

 

Event ID 1796,  TMP-WMI
Beim Update für den sicheren Start konnte eine Variable für den sicheren Start nicht aktualisiert werden. Fehler: Unzulässiger Zugriff auf einen Speicherbereich

 

hat jemand eine Idee, wie ich das fehlenden Zertifikat importieren kann?
 

[Petsch28 0]

Hat keiner eine Idee, warum die CA im Default UEFI KEK vorhanden ist aber im Current UEFI KEK angemeckert wird?
 

Current UEFI KEK
√ Microsoft Corporation KEK CA 2011 (revoked: False)
X Microsoft Corporation KEK 2K CA 2023

Default UEFI KEK
√ Microsoft Corporation KEK CA 2011 (revoked: False)
√ Microsoft Corporation KEK 2K CA 2023 (revoked: False)

 

bearbeitet 10. Dezember von Petsch28