Skip to main content

UEFI Secure Boot Zertifikate 2023 (Proxmox EFI-Disk)

Problem

UEFI Secure Boot Zertifikate 2023 (Proxmox EFI-Disk)

abstract: Problem EFI-Disk ohne ms-cert=2023k-Option:Marker: nicht alledie UEFI-2023-Zertifikate von Microsoft sind nicht eingespielt.

Wichtig: Die originalen UEFI-2011-Zertifikate laufen im Juni 2026 ab. Die neuen 2023-Zertifikate werden für Secure-Boot-Updates von Windows und gängigen Linux-Distributionen benötigt.

LösungHintergrund

  • Die Firmware bootet nur Bootloader, deren Signaturzertifikate auf der EFI-Disk hinterlegt sind. Eine EFI-Disk mit nur den 2011-Zertifikaten verwirft mit den 2023-Zertifikaten signierte Bootloader.
Seit pve-edk2-firmware >= 4.2025.05-1 enthalten neu erstellte EFI-Disk beide Zertifikatsätze (2011 + 2023) und tragen den Marker ms-cert=2023k in der VM-Konfiguration. Für EFI-Disks, die vor dieser Version erstellt wurden, müssen die Zertifikate nachgerüstet werden. Marker ms-cert=2023 / ms-cert=2023w bedeuten unvollständige Enrollment — im Start-Task-Log wird gewarnt; auch hier die Enrollment-Prozedur anwenden.

Lösung

In der UI:Proxmox-Web-UI (VM kann laufen):

    EFI-Disk in der Hardware-Ansicht auswählen → Disk Action > Enroll Updated Certificates. OderAlternativ beidenselben heruntergefahrenerEffekt VM:über den API-Endpoint /nodes/{node}/qemu/{vmid}/config erreichen; die Enrollment greift beim nächsten Start der VM.

    CLI (VM muss heruntergefahren sein):

    qm enroll-efi-keys 100<VMID>

    Windows mit BitLocker

    Vor der Enrollment bei jedem BitLocker-Laufwerk in PowerShell (als Administrator):

    manage-bde -protectors -disable C:

    Wichtig für jedes BitLocker-Laufwerk; sonst verlangt der nächste Boot den BitLocker-Wiederherstellungsschlüssel. Für das Windows-Update und das Signieren des Bootloaders mit den 2023-Zertifikaten die Microsoft-Support-Artikel zu CVE-2023-24932 (VM-IDEnterprise-Deployment-Guidance) beachten.

    Verifikation

    qm config <VMID> | grep ms-cert
## erwartet: ms-cert: 2023k

    Quellen

      Proxmox VE Administration Guide – Secure Boot Certificate Expiration: https://pve.proxmox.com/pve-docs/chapter-qm.html Proxmox VE 100qm(1) entsprechendManpage anpassen.)

      Quelle: aus– Untitled.mdqm enroll-efi-keys: (Wurzelverzeichnis)https://pve.proxmox.com/pve-docs/qm.1.html

      überführtMicrosoft am– 2026-07-26.Windows Secure Boot certificate expiration and CA updates: https://support.microsoft.com/en-us/topic/windows-secure-boot-certificate-expiration-and-ca-updates-7ff40d33-95dc-4c3c-8725-a9b95457578e

      Quelle: Obsidian Knowledge Base/Proxmox/UEFI Secure Boot Zertifikate 2023.md · Stand: 2026-09-2010-12 · Automatisiert publiziert durch Hermes.

      Back to top