Secure Boot aktivieren: Status prüfen, CSM aus, Schlüssel laden – bei ASUS, MSI, Gigabyte und ASRock

Secure Boot ist eine Einstellung im UEFI des Mainboards, und auf den meisten Rechnern der letzten Jahre ist sie nur ausgeschaltet. Damit sie sich einschalten lässt, muss der Rechner im UEFI-Modus starten statt im alten Legacy- oder CSM-Modus, und Windows muss auf einem Datenträger mit GPT liegen. Dieser Guide zeigt, wie du den Status in Windows prüfst, wie du eine alte MBR-Installation umwandelst, wo die Schalter bei ASUS, MSI, Gigabyte und ASRock stehen und was zu tun ist, wenn Secure Boot danach „nicht aktiv“ meldet. Den Spickzettel zum Ausdrucken gibt es weiter unten.

Wie dieser Guide entsteht: Wir betreiben kein Testlabor und haben die Schritte nicht an jedem Board nachgestellt. Die Menüpfade stammen aus den Handbüchern und Supportseiten von ASUS, MSI, Gigabyte und ASRock, die Angaben zu Windows aus der Dokumentation von Microsoft, die zu Spielen von EA, Riot und Activision – abgerufen am 21. Oktober 2026 und an der jeweiligen Stelle verlinkt. Mehr dazu in Wie wir testen.

Was Secure Boot ist

Microsoft beschreibt Secure Boot als „ein Sicherheitsfeature, das verhindert, dass schadhafte Software geladen wird, wenn ein Windows-PC gestartet wird“. Technisch prüft die Firmware beim Start die Signatur jedes Bausteins, der geladen wird – laut Microsoft „including UEFI firmware drivers (also known as Option ROMs), EFI applications, and the operating system“. Was nicht mit einem hinterlegten Schlüssel signiert ist, startet nicht. Die Schlüssel liegen in der Firmware des Boards; der oberste heißt Platform Key (PK). Fehlt er, kann Secure Boot nicht laufen – dazu unten mehr.

In Windows heißt die Funktion „Sicherer Start“. Sie ist nicht dasselbe wie das TPM, wird aber fast immer zusammen damit verlangt. Wie du das TPM einschaltest, steht in TPM 2.0 aktivieren.

Wer Secure Boot verlangt

• Windows 11: Microsoft verlangt eine Firmware, die „UEFI, Secure Boot capable“ ist – fähig, nicht zwingend eingeschaltet. Was die anderen Anforderungen sind, steht in Windows 11 Systemanforderungen.
• Battlefield 6: EA schreibt „Secure Boot is a requirement to play Battlefield 6 on PC.“ Das Anti-Cheat-System Javelin setzt es voraus. Die übrigen Anforderungen stehen in Battlefield 6 Systemanforderungen.
• Valorant unter Windows 11: Riots Anti-Cheat Vanguard braucht laut Riot Secure Boot; der Fehler VAN 9003 heißt „Secure Boot is not enabled on your system“.
• Call of Duty: Black Ops 7: Activision hat für die PC-Beta „TPM 2.0 and Secure Boot“ verlangt und angekündigt, die Anforderungen zum Start mit dem Anti-Cheat RICOCHET zu verbinden.

Schritt 1: Status in Windows prüfen

Drück Win + R, tipp msinfo32 ein und bestätige. In der Systemübersicht stehen zwei Zeilen, auf die es ankommt. EA beschreibt sie in seiner Hilfe zu Secure Boot so:

Microsoft nennt dieselbe Prüfung kurz: in msinfo32 nach „Secure Boot State“ sehen, „If it says On, you're good to go!“

Schritt 2: MBR zu GPT – nur wenn BIOS-Modus „Legacy“ zeigt

Den Partitionsstil siehst du in der Datenträgerverwaltung: Rechtsklick auf den Datenträger mit Windows → Eigenschaften → Volumes, Zeile „Partitionsstil“. Steht dort GPT, überspring diesen Schritt. Steht MBR, wandelst du den Datenträger mit Microsofts Werkzeug MBR2GPT um, ohne Windows neu zu installieren. Die Bedingungen laut Microsoft:

• höchstens drei primäre Partitionen, keine erweiterte oder logische Partition;
• mbr2gpt /validate /allowFullOS prüft nur, ob die Umwandlung geht; mbr2gpt /convert /allowFullOS führt sie aus. Ohne /allowFullOS läuft das Werkzeug nur in Windows PE;
• ist BitLocker an, vorher den Schutz anhalten – sonst bricht das Werkzeug ab;
• die Umwandlung ist endgültig, das Werkzeug meldet selbst „These changes cannot be undone!“;
• danach muss die Firmware auf UEFI-Start umgestellt werden, sonst startet der Rechner nicht: „the firmware must be reconfigured to boot in UEFI mode“. Das ist Schritt 3.

Hat der Datenträger mehr als eine Platte, nenn die Nummer mit /disk:0 (die Nummer zeigt die Datenträgerverwaltung). Vor dem Eingriff gehört ein Backup dazu – das ist unser Rat, nicht Microsofts Wortlaut. Wie du Windows auf eine andere Platte bekommst, steht in SSD klonen.

Schritt 3: Im UEFI CSM aus, Secure Boot an

Ins UEFI kommst du über die Taste beim Start (meist Entf oder F2) oder aus Windows: Einstellungen → System → Wiederherstellung → Erweiterter Start „Jetzt neu starten“ → Problembehandlung → Erweiterte Optionen → UEFI-Firmwareeinstellungen. So beschreibt es Microsoft. Die Reihenfolge ist bei allen Herstellern dieselbe:

1. CSM ausschalten (Compatibility Support Module, bei manchen Boards „BIOS UEFI/CSM Mode“ auf UEFI). Bei vielen Boards erscheint die Secure-Boot-Option erst danach.
2. Speichern und neu starten (F10), wieder ins UEFI.
3. Secure Boot einschalten und, falls er „nicht aktiv“ bleibt, die Standardschlüssel laden.
4. Speichern, Windows starten, in msinfo32 prüfen: Sicherer Startzustand „Ein“.

Die Namen und Pfade je Hersteller stehen hier so, wie sie in der jeweiligen Quelle heißen. Menünamen ändern sich mit BIOS-Versionen; welches Board du hast, findest du mit Welches Mainboard habe ich? heraus.

ASUS

CSM aus: Advanced Mode (F7) → Boot → CSM (Compatibility Support Module) → Launch CSM „Disabled“ (ASUS).
Secure Boot an: Advanced Mode → Boot → Secure Boot → OS Type. Laut ASUS schaltet „Windows UEFI mode“ Secure Boot ein, „Other OS“ schaltet es aus; ab Werk steht dort bei vielen Boards „Other OS“ (ASUS-FAQ).
Bleibt der Status „Not Active“: Secure Boot Mode auf „Custom“, dann Key Management → Clear Secure Boot Keys → Install Default Secure Boot Keys, mit F10 speichern. Solange Secure Boot Mode auf „Standard“ steht, ist Key Management grau. ASUS zeigt außerdem einen Zustand an: „User“ heißt Schlüssel vorhanden, „Setup“ heißt keine Schlüssel.

MSI (AM5)

CSM aus: im EZ Mode der Schalter CSM/UEFI, oder Settings → Advanced → BIOS UEFI/CSM Mode „UEFI“ (MSI-Handbuch AM5, S. 7 und 15). Auf AM4-Boards wie dem B550 Tomahawk liegt derselbe Schalter laut MSI unter Settings → Advanced → Windows OS Configuration; „After switching to UEFI, the Secure Boot option will appear.“
Secure Boot an: Settings → Security → Secure Boot → Secure Boot „Enabled“ (Handbuch S. 19–21). Mit Secure Boot Mode „Standard“ lädt das BIOS die Schlüssel selbst.
Bleibt er aus: MSI schreibt, Secure Boot lasse sich nur einschalten, „when the Platform Key(PK) is enrolled“. Dann Secure Boot Mode „Custom“ und „Enroll all Factory Default keys“, oder unter Key Management „Provision Factory Default keys“. Laut MSI sind Secure Boot und TPM 2.0 auf Boards mit X870, X670, B850 und B650 ab Werk eingeschaltet.

Gigabyte (AMD 600)

CSM aus: Boot → CSM Support „Disabled“ (Gigabyte-Handbuch, S. 23).
Secure Boot an: Boot → Secure Boot (S. 24). Gigabyte schreibt dazu: „This item is configurable only when CSM Support is set to Disabled.“ Ist der Punkt grau, steht CSM also noch an. Wie die Schlüssel im Untermenü heißen, beschreibt das Handbuch nicht; findest du dort einen Eintrag zum Wiederherstellen der Werksschlüssel, ist das der Weg, wenn Secure Boot nicht aktiv wird.

ASRock

ASRock beschreibt den Weg in seiner FAQ #531 in vier Schritten:

1. Boot → CSM (Compatibility Support Module) → CSM „Disabled“, mit F10 speichern.
2. Security → Secure Boot → Secure Boot Mode „Custom“.
3. „Install default Secure Boot keys“ wählen und mit „Yes“ bestätigen.
4. Secure Boot „Enabled“, speichern. Danach muss Secure Boot „Active“ zeigen.

Bei AM5-Boards fragt das BIOS laut ASRock womöglich „Discard Changes and Exit“ – dort „No“ wählen. Im Handbuch des B660M Pro RS steht zu CSM noch der alte Satz „Please do not disable unless you're running a WHCK test“ (ASRock-Handbuch, S. 88); für Secure Boot gilt die FAQ, die CSM ausdrücklich abschaltet.

Wenn es nicht klappt: die häufigen Fehlerbilder

Wer Linux oder sehr alte Windows-Versionen parallel startet, muss Secure Boot womöglich wieder abschalten; das nennt Microsoft ausdrücklich als Grund. Die Einstellung liegt laut Microsoft „usually in either the Security tab, the Boot tab, or the Authentication tab“.

Die Zertifikate von 2011 laufen 2026 ab – musst du etwas tun?

Microsoft tauscht die Secure-Boot-Zertifikate aus dem Jahr 2011 gegen neue von 2023. Die alten liefen laut Microsoft im Juni 2026 (KEK CA 2011 und UEFI CA 2011) und am 19. Oktober 2026 (Windows Production PCA 2011) ab. Für die meisten Nutzer gilt: „no action is needed“ – die neuen Zertifikate kommen über Windows Update, solange Updates nicht pausiert sind und Secure Boot an ist. Ein Rechner ohne die neuen Zertifikate startet laut Microsoft weiter normal, bekommt aber keine neuen Schutz-Updates für den frühen Startvorgang mehr. Manche Boards brauchen dafür ein Firmware-Update des Herstellers. Den Stand zeigt Windows-Sicherheit → Gerätesicherheit → Sicherer Start (Microsoft).

Wann ein neues Board die bessere Antwort ist

Fast jedes Board mit UEFI kann Secure Boot; selten fehlt die Option selbst nach einem BIOS-Update. Steht ohnehin ein Plattformwechsel an, weil der Prozessor nicht auf Microsofts Liste steht, hilft Windows 11 nicht kompatibel bei der Entscheidung. Welches AM5-Board zu welchem Prozessor passt, steht in der AM5-Mainboard-Kaufberatung, die Boards mit Tagespreisen in Beste B850-Mainboards; für AM4 in Beste B550-Mainboards.

Der Secure-Boot-Spickzettel als PDF

Eine Seite A4 zum Danebenlegen, wenn das UEFI offen ist: die Prüfung in msinfo32, MBR2GPT in fünf Zeilen, die Pfade bei ASUS, MSI, Gigabyte und ASRock und was zu tun ist, wenn Secure Boot „nicht aktiv“ bleibt. Trag dich ein, und der Download steht sofort auf der nächsten Seite bereit. Danach schreiben wir dir nur, wenn eine neue Zusammenstellung fertig ist oder ein Preis unter alles fällt, was wir bisher gemessen haben.

Webseite

E-Mail-Adresse Spickzettel holen

Ich möchte den Spickzettel und die Benachrichtigungen von EliteGear erhalten und bin damit einverstanden, dass meine E-Mail-Adresse dafür gespeichert wird. Widerruf jederzeit formlos — Näheres in der Datenschutzerklärung.

Weiterlesen

• TPM 2.0 aktivieren — die zweite Einstellung, die Windows 11 und Battlefield 6 verlangen
• Battlefield 6 Systemanforderungen und Gaming-PC für Battlefield 6
• Windows 11 nicht kompatibel und Windows 11 Systemanforderungen
• Resizable BAR aktivieren — verlangt ebenfalls CSM aus und GPT
• BIOS-Update Schritt für Schritt
• Welches AM5-Mainboard kaufen?

Woher die Angaben auf dieser Seite kommen

Wir betreiben kein Testlabor und haben Secure Boot nicht an jedem der genannten Boards eingeschaltet. Die Beschreibung der Funktion, die Prüfung, MBR2GPT und die Zertifikate stammen von Microsoft, die Menüpfade aus den FAQ und Handbüchern von ASUS (FAQ 1050047 und 1049829, Edge Up), MSI (BIOS-Handbuch AM5, Blog zu AM4), Gigabyte (BIOS-Handbuch AMD 600) und ASRock (FAQ #531, Handbuch B660M Pro RS), die Anforderungen der Spiele von EA, Riot und Activision – alles an der jeweiligen Stelle verlinkt, abgerufen am 21.10.2026. Menünamen ändern sich mit BIOS-Versionen; im Zweifel gilt das Handbuch deines Boards. Was das im Einzelnen heißt, steht in Wie wir testen.