Aktuell | Linux | c't | heise magazine

Microsoft-Sicherheitsregeln erschweren Linux-Boot

Einige der „Secured-Core PCs“ mit stärker gegen Manipulation geschützter Firmware booten in Standardkonfiguration nur Windows 11. Bei einem Lenovo ThinkPad-Modell ist es besonders lästig. Darauf startet Linux dann nur über Umwege.

Das Lenovo ThinkPad Z13 G1 mit AMD Ryzen 6000U bootet ohne Eingriffe kein Linux.

Bild: Lenovo

Seit 2019 wirbt Microsoft für die sogenannten „Secured-Core PCs“ (SCPCs), deren UEFI-BIOS und Bootloader aufwendig gegen Manipulationen geschützt sind. Dabei handelt es sich vor allem um Business-Notebooks von Lenovo, HP, Dell und Fujitsu sowie von Microsoft selbst. Neue Vorgaben von Microsoft für die Werkseinstellungen solcher SCPCs verhindern die Installation von Linux.

Die Linux-Boot-Blockade besteht darin, dass ein SCPC-BIOS mit Secure Boot starten muss und dabei keine Bootloader ausführt, die von der Microsoft UEFI Certification Authority signiert wurden. Diese Microsoft UEFI CA signiert aber auch die Zwischenbootloader („Shims“), die zum Starten von Linux via Secure Boot nötig sind (sofern im UEFI-BIOS nicht noch andere Schlüssel hinterlegt sind).