Betroffene Geräte der FORSIS Baureihen
Alle FORSIS Industrie-Panel-PCs der Baureihen EXPERT, PROFI, MOBILE und MASTER.
Hintergrundinformation
Microsoft hat im Juni 2026 damit begonnen, die ursprünglichen Secure Boot Zertifikate aus dem Jahr 2011 abzulösen. Die alten Zertifikate sind bzw. laufen zeitnah ab. Für Sie bedeutet dies, dass FORSIS Industrie Rechner, welche nicht auf die neuen 2023-Zertifikate aktualisiert werden, ab diesem Zeitpunkt keine sicherheitsrelevanten Updates für den Boot-Prozess mehr empfangen.
Je nach Alter und BIOS-Stand des eingesetzten Industrie-PCs ist eine Maßnahme erforderlich. Hier möchten wir Sie unterstützen.
Fachbegriffe zum Thema UEFI CA 2023
Nachfolgend zuerst einmal eine kurze Übersicht zu den verschiedenen Fachbegriffen so das ein besseres Verständnis möglich ist.
| Fachbegriff | Ein kurze Erklärung |
|---|---|
| Secure Boot | Sicherheitsfunktion im UEFI-BIOS. Stellt beim Start sicher, dass nur vertrauenswürdige, digital signierte Software geladen wird. Verhindert Bootkits und Rootkits |
| UEFI | Unified Extensible Firmware Interface – moderner Nachfolger des klassischen BIOS. Firmware-Schnittstelle zwischen Hardware und Betriebssystem. |
| UEFI CA 2023 | Das neue Microsoft Zertifikat (Certificate Authority 2023), das ab 2026 zur Signierung aller Windows-Boot-Komponenten verwendet wird |
| Plattform Key (PK) | Der Generalschlüssel des Systems, verankert in der Motherboard-Firmware des Herstellers, bei unseren FORSIS Geräten z. B. die Board-Hersteller MITAC, IGAIPC usw. Dieser ist nur per BIOS-Update änderbar. |
| Key Exchange Key (KEK) | Autorisiert Änderungen an den Signaturdatenbanken DB und DBX. Muss den neuen ‚Microsoft Corporation KEK 2K CA 2023‘ enthalten |
| Signature Database (DB) | Datenbank erlaubter Signaturen. Muss ‚Windows UEFI CA 2023‘ enthalten, damit der Boot Manager vertrauenswürdig ist. |
| forbidden sig. DB (DBX) | Sperrliste: Hier werden kompromittierte oder zurückgezogene Boot-Signaturen eingetragen. Wird von Microsoft laufend aktualisiert. |
| chain of trust | Hierarchische Vertrauenskette: PK → KEK → DB/DBX → Bootloader → Betriebssystem. Jede Ebene prüft die nächste. |
Die Vertrauenskette
Secure Boot arbeitet mit einer hierarchischen Vertrauensstruktur.
Jede Ebene muss aktuell sein, damit das update vollständig greift.
Wir als System Integrator bekommen im Regelfall von den Motherboard Anbieter die PK und KEK Schlüssel zur Verfügung gestellt. Dies betrifft nicht unbedingt alle bisher eingesetzten Boards. Hier stehen wir Ihnen aber gerne für eine Auskunft zur Verfügung.
Nur ein BIOS-Update vom Hersteller kann den neuen Microsoft KEK 2K CA 2023 Schlüssel korrekt in die Firmware einbinden.
Was passiert wenn Sie kein Update durchführen
Geräte ohne aktualisierte Zertifikate starten weiterhin normal und empfangen reguläre Windows-Updates.
Allerdings können diese Geräte
- keine sicherheitsrelevanten Updates für den Boot-Prozess mehr empfangen
- keine aktualisierten Windows Boot Manager-Versionen installieren
- keine neuen Einträge in die Sperrliste (DBX) übernehmen
- bekannte Boot-Schwachstellen (z. B. BlackLotus / CVE-2023-24932) nicht mehr mit berücksichtigen
Langfristig bedeutet dies, dass der FORSIS Industrie PC auf dem Sicherheitsstandard von Oktober 2026 stehen bleibt und zunehmend anfällig für Angriffe ist.
FORSIS Neugeräte Lieferungen
Hier besteht kein Handlungsbedarf. FORSIS liefert alle aktuellen Geräte mit dem bereits validierten BIOS Standard aus. Windows update übernimmt die weiteren Schritte.
FORSIS Bestandsgeräte
Nachfolgend finden Sie eine Tabelle mit Board-Typ und INTEL CPU Generation. Alle Geräte vor der achten Generation können nicht berücksichtigt werden, da hier der TPM Chip fehlt. Auch muss bei den nachfolgenden Geräte im Regelfall indivuell geprüft werden. Hier müssen Sie den Status prüfen, wie dies geht finden Sie nach der Tabelle.
| Mainboard | Generation | CA2023 Secure boot update inkl. Intel ME verfügbar | Status |
| Wafer ULT 5 | 8G | JA | |
| Wafer TGL R10/R11/R12 | 11G | JA | |
| MITAC PD10EHI | 10G | JA | |
| MITAC PD11TGS | 11G | JA | |
| MIO-5373 | 8G | JA | |
| MIO-5375 | 11G | JA | |
| QBIP-13 | 13G | JA | vorhanden |
| QBIP CORE ULTRA II | Core Ultra 225 /235U | implementiert |
Schritt 1: Schnellcheck über Windows Sicherheit
Windows-Einstellungen → Datenschutz & Sicherheit → Windows-Sicherheit → Gerätesicherheit → Sicherer Start
- Grünes Symbol: Alle Zertifikate sind aktuell. Kein weiterer Handlungsbedarf.
- Gelbes Warnsymbol: Das Gerät hat das Update noch nicht erhalten. Weiter mit Schritt 2.
Schritt 2: Detaillierter Prüfbefehl (PowerShell als Administrator)
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI kek).bytes) -match ‚Microsoft Corporation KEK 2K CA 2023‘
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match ‚Windows UEFI CA 2023‘
KEK prüfen – muss True zurückgeben
DB prüfen – muss True zurückgeben
Tipp: Das vollständige FORSIS Prüfskript (FORSIS-SecureBoot-Check.ps1) steht im Download-Bereich auf www.forsis.de zur Verfügung und liefert einen übersichtlichen Statusbericht für alle relevanten Zertifikate.
Schritt 3: Bestandsgerät – BIOS-Update erforderlich
Wenn einer der Prüfbefehle ‚False‘ zurückgibt, ist ein BIOS-Update einzuspielen.
Wichtiger Hinweis vor dem Update: Wenn auf dem Gerät BitLocker aktiv ist, den Wiederherstellungsschlüssel bereithalten oder BitLocker vorübergehend deaktivieren. Ein BIOS-Update kann den BitLocker-Schutz auslösen.
Fragen Sie unseren Support an
Wir beraten Sie zu diesem Thema sehr gerne persönlich. Sehr oft haben wir in der Vergangenheit kundenspezifische Anpassungen im BIOS vorgenommen. Dies müssen wir jetzt berücksichtigen.
