Wie Sie Windows 11 PXE Secure Boot-Probleme mit dem p7b-Zertifikat lösen

Die Bereitstellung von Betriebssystemen in modernen Unternehmensumgebungen stellt oft komplexe Herausforderungen dar, insbesondere wenn es um aktuelle Technologien wie Windows 11 und UEFI Secure Boot geht. Während die PXE-Boot-Funktionalität (Preboot eXecution Environment) seit Langem ein Eckpfeiler effizienter OS-Bereitstellung ist, kann die Kombination mit den strengen Sicherheitsanforderungen von Windows 11 zu unerwarteten Hürden führen. Insbesondere das Problem, dass der PXE-Boot mit aktiviertem Secure Boot fehlschlägt, ist für viele IT-Administratoren eine Quelle der Frustration. In diesem Artikel tauchen wir tief in die Problematik ein und bieten eine umfassende, schrittweise Lösung unter Verwendung von p7b-Zertifikaten, um Ihre Windows 11-Bereitstellung reibungslos und sicher zu gestalten.

Warum Windows 11 und Secure Boot PXE-Probleme verursachen

Um das Problem zu verstehen, müssen wir die Kernkonzepte von Secure Boot und Windows 11 beleuchten. Secure Boot ist eine Sicherheitsfunktion, die in der UEFI-Firmware (Unified Extensible Firmware Interface) implementiert ist. Ihr Hauptzweck ist es, zu verhindern, dass nicht signierte oder nicht autorisierte Bootloader und Betriebssystemkomponenten geladen werden. Bevor das System startet, überprüft Secure Boot die digitale Signatur jedes Boot-Softwarebestandteils gegen eine Datenbank vertrauenswürdiger Signaturen, die in der Firmware gespeichert ist. Nur wenn die Signatur validiert wird, darf die Komponente geladen werden.

Windows 11 verstärkt diese Anforderungen noch weiter. Es wurde von Grund auf mit einem starken Fokus auf Sicherheit entwickelt und setzt Secure Boot als eine der Kernvoraussetzungen für seine Installation und den Betrieb voraus. Dies bedeutet, dass jede Boot-Umgebung, die Windows 11 startet – einschließlich der WinPE-Umgebung (Windows Preinstallation Environment), die oft über PXE bereitgestellt wird – den Secure Boot-Prüfungen standhalten muss.

Das Problem beim traditionellen PXE-Boot entsteht, weil die Standard-PXE-Bootloader und die WinPE-Images, die Sie möglicherweise über einen WDS (Windows Deployment Services), MDT (Microsoft Deployment Toolkit) oder SCCM (System Center Configuration Manager) Server bereitstellen, oft nicht mit Zertifikaten signiert sind, die standardmäßig von der UEFI-Firmware des Client-Geräts als vertrauenswürdig eingestuft werden. Wenn Secure Boot aktiviert ist, lehnt das UEFI diese nicht vertrauenswürdigen Boot-Dateien einfach ab, was zu Fehlermeldungen wie „Secure Boot Violation” oder einem einfachen Abbruch des Bootvorgangs führt.

Die Rolle von Zertifikaten im Secure Boot-Prozess

Zertifikate sind das Herzstück der Vertrauenskette im Secure Boot. Die UEFI-Firmware enthält mehrere Datenbanken für Signaturen:

• PK (Platform Key): Der Plattformschlüssel, der die Kontrolle über Secure Boot besitzt.
• KEK (Key Exchange Key): Schlüsselaustauschschlüssel, die Signaturen im DB- und DBX-Datenbanken signieren.
• DB (Allowed Signatures Database): Die Datenbank der erlaubten Signaturen. Hier sind Zertifikate von vertrauenswürdigen Betriebssystemen, Bootloadern und Treibern gespeichert.
• DBX (Forbidden Signatures Database): Die Datenbank der nicht erlaubten Signaturen, die bekannte bösartige Software blockiert.

Damit Ihre PXE-Boot-Dateien (z. B. bootmgfw.efi, wdsnbp.com und Ihr boot.wim) vom UEFI als vertrauenswürdig eingestuft werden, müssen sie entweder mit einem Zertifikat signiert sein, das bereits in der DB der UEFI-Firmware des Client-Geräts enthalten ist (z. B. das Microsoft Windows Production CA 2011), oder das Zertifikat, mit dem Sie die Dateien signiert haben, muss manuell zur DB hinzugefügt werden.

Hier kommt das p7b-Zertifikat ins Spiel. Eine `.p7b`-Datei (PKCS#7 Certificate File) ist ein Container für mehrere X.509-Zertifikate und oft auch die gesamte Zertifikatskette. Sie wird häufig verwendet, um Root- und Zwischenzertifikate zu exportieren und zu importieren. Im Kontext von Secure Boot ermöglicht eine `.p7b`-Datei den unkomplizierten Import eines oder mehrerer Zertifikate in die UEFI-Firmware, um eine Vertrauensbasis für Ihre signierten PXE-Boot-Dateien herzustellen.

Voraussetzungen für die Problembehebung

Bevor wir in die Schritt-für-Schritt-Anleitung eintauchen, stellen Sie sicher, dass Sie die folgenden Voraussetzungen erfüllt haben:

• Windows Server: Ein funktionierender Windows Server mit installierten und konfigurierten WDS, MDT oder SCCM Rollen.
• DHCP-Server: Ein DHCP-Server, der korrekt für PXE-Boot konfiguriert ist und die entsprechenden Boot-Dateien für UEFI-Clients (z.B. wdsmgfw.efi oder bootmgfw.efi) übermittelt.
• Windows ADK (Assessment and Deployment Kit): Die neueste Version des ADK (und WinPE Add-on) für Windows 11 muss auf Ihrem WDS/MDT/SCCM-Server installiert sein, um eine kompatible WinPE-Umgebung erstellen zu können.
• Code-Signing-Zertifikat: Ein gültiges Code-Signing-Zertifikat. Dieses kann von einer kommerziellen Zertifizierungsstelle (CA) stammen (z. B. DigiCert, Sectigo) oder von Ihrer eigenen internen Unternehmens-CA ausgestellt worden sein. Dieses Zertifikat wird verwendet, um Ihre PXE-Boot-Dateien zu signieren.
• Client-Geräte mit UEFI: Die Ziel-Client-Geräte müssen über UEFI-Firmware verfügen und Secure Boot unterstützen (was bei den meisten modernen Business-Geräten der Fall ist).
• USB-Laufwerk: Ein FAT32-formatiertes USB-Laufwerk zum Übertragen des p7b-Zertifikats auf die Client-Geräte.

Schritt-für-Schritt-Anleitung zur Behebung

1. Beschaffen und Exportieren Ihres CA-Zertifikats

Wenn Sie ein kommerzielles Code-Signing-Zertifikat verwenden, exportieren Sie das Root-CA-Zertifikat und alle Zwischenzertifikate in einer `.p7b`-Datei. Wenn Sie eine interne CA verwenden, exportieren Sie das Stammzertifikat Ihrer CA ebenfalls als `.p7b`.

• Öffnen Sie auf dem Server, der das Code-Signing-Zertifikat besitzt (oder dem CA-Server), die Microsoft Management Console (mmc.exe).
• Fügen Sie das Snap-In „Zertifikate” für „Computerkonto” hinzu.
• Navigieren Sie zu „Zertifikate (Lokaler Computer) -> Vertrauenswürdige Stammzertifizierungsstellen -> Zertifikate”.
• Suchen Sie das Stammzertifikat Ihrer CA oder das Stammzertifikat der kommerziellen CA, die Ihr Code-Signing-Zertifikat ausgestellt hat.
• Rechtsklicken Sie darauf, wählen Sie „Alle Aufgaben -> Exportieren”.
• Folgen Sie dem Zertifikatsexport-Assistenten. Wählen Sie „Cryptographic Message Syntax Standard – PKCS #7 Certificates (.P7B)” und aktivieren Sie die Option „Alle Zertifikate im Zertifizierungspfad einschließen, falls möglich”.
• Speichern Sie die Datei an einem leicht zugänglichen Ort, z. B. als mein_ca_zertifikat.p7b. Diese Datei ist das p7b-Zertifikat, das Sie auf die Client-Geräte übertragen müssen.

2. Erstellung eines Secure Boot-fähigen WinPE-Boot-Images (Boot.wim)

Um sicherzustellen, dass Ihr WinPE-Image von Secure Boot akzeptiert wird, müssen Sie die entsprechenden Bootloader signieren.

• Installieren Sie das Windows ADK: Stellen Sie sicher, dass das aktuelle ADK für Windows 11 auf Ihrem WDS/MDT/SCCM-Server installiert ist.
• Erstellen Sie ein WinPE-Arbeitsverzeichnis: Öffnen Sie die „Umgebung für Bereitstellungs- und Imagingtools” als Administrator und führen Sie aus:
  copype amd64 C:WinPE_amd64
• Mounten Sie das WinPE-Image:
  Dism /Mount-Wim /WimFile:"C:WinPE_amd64mediasourcesboot.wim" /Index:1 /MountDir:"C:WinPE_amd64mount"
• Signieren der EFI-Bootloader: Kopieren Sie die UEFI-Bootloader in ein Arbeitsverzeichnis und signieren Sie sie mit Ihrem Code-Signing-Zertifikat. Sie benötigen das PFX-Format Ihres Code-Signing-Zertifikats und dessen Passwort.

  copy "C:WinPE_amd64mountWindowsBootEFIbootmgr.efi" "C:tempbootmgr.efi"
  copy "C:WinPE_amd64mountEFIBootbootx64.efi" "C:tempbootx64.efi"
  
  "C:Program Files (x86)Windows Kits10bin10.0.22621.0x64signtool.exe" sign /fd sha256 /a /f "C:pathtoyourcodesigning.pfx" /p your_pfx_password "C:tempbootmgr.efi"
  "C:Program Files (x86)Windows Kits10bin10.0.22621.0x64signtool.exe" sign /fd sha256 /a /f "C:pathtoyourcodesigning.pfx" /p your_pfx_password "C:tempbootx64.efi"

  Ersetzen Sie den Pfad zu signtool.exe, den Pfad zu Ihrer PFX-Datei und das Passwort entsprechend.

• Kopieren Sie die signierten Dateien zurück:
  copy "C:tempbootmgr.efi" "C:WinPE_amd64mountWindowsBootEFIbootmgr.efi"
copy "C:tempbootx64.efi" "C:WinPE_amd64mountEFIBootbootx64.efi"
• Unmounten und das Image speichern:
  Dism /Unmount-Wim /MountDir:"C:WinPE_amd64mount" /Commit
• Fügen Sie das Image zu WDS/MDT/SCCM hinzu: Importieren Sie die neu erstellte boot.wim-Datei (befindet sich unter C:WinPE_amd64mediasourcesboot.wim) in Ihre PXE-Bereitstellungsumgebung.

3. Konfigurieren des DHCP-Servers für UEFI PXE-Boot

Stellen Sie sicher, dass Ihr DHCP-Server die korrekten PXE-Boot-Dateien für UEFI-Clients bereitstellt. Typischerweise werden hier Option 66 (Boot Server Host Name) und Option 67 (Bootfile Name) verwendet.

• Option 66: IP-Adresse oder Hostname Ihres WDS/MDT/SCCM-Servers.
• Option 67 (für UEFI): bootx64wdsmgfw.efi für WDS oder SMSBootx64bootmgfw.efi für SCCM (oder je nach Ihrer spezifischen Konfiguration).

Verwenden Sie idealerweise DHCP-Richtlinien, um unterschiedliche Bootdateien für UEFI- und Legacy-Clients bereitzustellen.

4. Importieren des p7b-Zertifikats in die UEFI-Firmware der Client-Geräte

Dies ist der entscheidende Schritt, um die Vertrauensbasis auf Ihren Client-Geräten zu etablieren. Das von Ihnen exportierte CA-Zertifikat im .p7b-Format muss in die Secure Boot-Signaturdatenbank (DB) der UEFI-Firmware jedes Client-Geräts importiert werden, das via PXE mit Secure Boot booten soll. Ohne diesen Schritt wird das UEFI die signierten Boot-Dateien weiterhin als nicht vertrauenswürdig ablehnen.

• Kopieren Sie das p7b-Zertifikat: Speichern Sie die mein_ca_zertifikat.p7b-Datei auf einem FAT32-formatierten USB-Stick.
• Zugriff auf die UEFI-Firmware: Starten Sie das Client-Gerät neu und drücken Sie die entsprechende Taste (häufig Entf, F2, F10, F12 oder Esc), um in das UEFI/BIOS-Setup zu gelangen. Die genaue Taste variiert je nach Hersteller (Dell, HP, Lenovo, Microsoft Surface etc.).
• Navigieren Sie zu den Secure Boot-Einstellungen: Suchen Sie nach einem Abschnitt wie „Boot”, „Security” oder „Authentication”. Hier finden Sie in der Regel die „Secure Boot”-Einstellungen.
• Wechsel in den benutzerdefinierten Modus: Oft ist Secure Boot standardmäßig im „Standard”- oder „Microsoft Only”-Modus konfiguriert. Sie müssen in einen „Custom”-, „Advanced”- oder „User Mode” wechseln, um Änderungen an den Zertifikatsdatenbanken vornehmen zu können. Bestätigen Sie eventuelle Warnmeldungen.
• Importieren des Zertifikats: Suchen Sie nach Optionen wie „Key Management”, „Manage PK/KEK/DB/DBX” oder „Add Trusted Certificate”. Wählen Sie die Option zum Hinzufügen eines Zertifikats zur „DB” (Allowed Signatures Database).
• Quelle des Zertifikats: Die UEFI-Firmware bietet oft die Möglichkeit, Zertifikate von einem USB-Laufwerk zu importieren. Wählen Sie die Option, das Zertifikat vom USB-Stick zu laden, und navigieren Sie zu Ihrer mein_ca_zertifikat.p7b-Datei. Wählen Sie die Datei aus und bestätigen Sie den Import. Das UEFI wird die enthaltenen Zertifikate in seine Datenbank übernehmen.
• Speichern und Beenden: Speichern Sie die vorgenommenen Änderungen und beenden Sie das UEFI-Setup. Das System wird neu starten.

Hinweis für große Umgebungen: Das manuelle Importieren von Zertifikaten auf jedem Gerät ist unpraktisch. Viele OEM-Hersteller bieten Tools oder Firmware-Updates an, um Secure Boot-Variablen und Zertifikate über ihre Management-Schnittstellen (z.B. Dell Command | Configure, HP Client Management Script Library) oder über Konfigurationsprofile auszurollen.

5. Testen des PXE Secure Boot

Nachdem Sie die Zertifikate importiert und die Boot-Dateien signiert haben, ist es Zeit für den Test.

• Starten Sie das Client-Gerät neu.
• Stellen Sie sicher, dass die Bootreihenfolge so eingestellt ist, dass „Network Boot” oder „PXE Boot” vor der lokalen Festplatte steht.
• Das System sollte nun in der Lage sein, über PXE zu booten, die signierten WinPE-Dateien zu laden und Ihre Windows 11-Bereitstellungsaufgabe zu starten, während Secure Boot aktiv bleibt.

Häufige Probleme und Fehlerbehebung

• „Secure Boot Violation” oder „Boot failed”: Dies ist das häufigste Symptom. Überprüfen Sie, ob das p7b-Zertifikat korrekt in die UEFI-DB importiert wurde und ob es sich um das Root-CA-Zertifikat handelt, das Ihr Code-Signing-Zertifikat ausgestellt hat. Vergewissern Sie sich auch, dass die WinPE-Bootloader tatsächlich mit dem vertrauenswürdigen Zertifikat signiert wurden.
• Falsche DHCP-Optionen: Stellen Sie sicher, dass Option 67 die korrekte EFI-Bootdatei für Ihre Umgebung angibt (z. B. wdsmgfw.efi für WDS oder bootmgfw.efi für SCCM). Überprüfen Sie dies mit einem DHCP-Paketanalyse-Tool.
• Falsche Bootreihenfolge: Stellen Sie sicher, dass der Netzwerk-Boot im UEFI-Setup des Clients an erster Stelle steht.
• Mismatched Architekturen: Stellen Sie sicher, dass Sie ein x64 WinPE-Image für x64 UEFI-Systeme verwenden und dass Ihre DHCP-Serverkonfiguration dies widerspiegelt.
• Firewall-Probleme: Prüfen Sie, ob Firewalls auf dem WDS/MDT/SCCM-Server oder zwischen dem Server und dem Client den PXE-Verkehr blockieren.
• UEFI-Modus: Bestätigen Sie, dass der Client im UEFI-Modus (nicht Legacy/BIOS) betrieben wird.
• Zertifikat in der falschen Datenbank: Stellen Sie sicher, dass das Zertifikat in die „DB” (Allowed Signatures Database) importiert wurde und nicht in die KEK- oder PK-Datenbank.

Best Practices für eine reibungslose Bereitstellung

• Gründliche Tests: Testen Sie die gesamte Bereitstellungskette umfassend auf einer kleinen Gruppe von Geräten, bevor Sie eine unternehmensweite Bereitstellung durchführen.
• Dokumentation: Dokumentieren Sie jeden Schritt des Prozesses, insbesondere die genauen UEFI-Einstellungen und die verwendeten Zertifikate.
• Aktualisierungen: Halten Sie Ihr Windows ADK und Ihre WinPE-Images stets auf dem neuesten Stand, um Kompatibilität und Sicherheit zu gewährleisten.
• Zentrale Zertifikatsverwaltung: Wenn möglich, integrieren Sie die Verwaltung Ihrer Code-Signing-Zertifikate in Ihre interne Public Key Infrastructure (PKI).
• Automatisierung: Erforschen Sie Möglichkeiten, den Zertifikatsimport in die UEFI-Firmware zu automatisieren, insbesondere in großen Umgebungen, durch OEM-Tools oder Skripte.

Fazit

Das Meistern der Herausforderungen, die Windows 11 PXE Secure Boot mit sich bringt, erfordert ein tiefes Verständnis von UEFI, Secure Boot und der Rolle digitaler Zertifikate. Durch das sorgfältige Signieren Ihrer WinPE-Boot-Dateien und den strategischen Einsatz des p7b-Zertifikats zum Aufbau einer Vertrauensbasis in der UEFI-Firmware Ihrer Client-Geräte, können Sie eine robuste und sichere Bereitstellungsumgebung schaffen. Dieser umfassende Leitfaden sollte Ihnen die notwendigen Werkzeuge an die Hand geben, um Ihre Windows 11-Bereitstellungen auch mit aktivierter Secure Boot-Funktionalität erfolgreich durchzuführen und die Vorteile modernster Sicherheitstechnologien voll auszuschöpfen.