So booten und installieren Sie Linux auf einem UEFI-PC mit Secure Boot

Neue Windows-PCs werden mit aktivierter UEFI-Firmware und aktiviertem Secure Boot geliefert. Secure Boot verhindert das Booten von Betriebssystemen, es sei denn, sie werden mit einem in UEFI geladenen Schlüssel signiert. Standardmäßig kann nur von Microsoft signierte Software gestartet werden.

Microsoft schreibt vor, dass PC-Anbieter Benutzern erlauben, Secure Boot zu deaktivieren, sodass Sie Secure Boot deaktivieren oder Ihren eigenen benutzerdefinierten Schlüssel hinzufügen können, um diese Einschränkung zu umgehen. Secure Boot kann auf ARM-Geräten unter Windows RT nicht deaktiviert werden.

So funktioniert Secure Boot

PCs mit Windows 8 und Windows 8.1 enthalten anstelle des herkömmlichen BIOS die UEFI-Firmware. Standardmäßig bootet die UEFI-Firmware des Computers nur Bootloader, die mit einem in die UEFI-Firmware eingebetteten Schlüssel signiert sind. Diese Funktion wird als «Sicherer Start» oder «Vertrauenswürdiger Start» bezeichnet. Auf herkömmlichen PCs ohne diese Sicherheitsfunktion kann sich ein Rootkit selbst installieren und zum Bootloader werden. Das BIOS des Computers lud dann das Rootkit beim Booten, wodurch Windows gestartet und geladen wurde, sich vor dem Betriebssystem versteckte und sich auf einer tiefen Ebene einbettete.

Secure Boot blockiert dies – der Computer bootet nur vertrauenswürdige Software, sodass böswillige Bootloader das System nicht infizieren können.

Auf einem Intel x86-PC (keine ARM-PCs) haben Sie die Kontrolle über Secure Boot. Sie können es deaktivieren oder sogar Ihren eigenen Signaturschlüssel hinzufügen. Unternehmen können ihre eigenen Schlüssel verwenden, um beispielsweise sicherzustellen, dass nur zugelassene Linux-Betriebssysteme gestartet werden können.

Optionen für die Installation von Linux

Sie haben mehrere Möglichkeiten, Linux auf einem PC mit Secure Boot zu installieren:

• Wählen Sie eine Linux-Distribution, die Secure Boot unterstützt: Moderne Versionen von Ubuntu – beginnend mit Ubuntu 12.04.2 LTS und 12.10 – werden auf den meisten PCs mit aktiviertem Secure Boot normal gestartet und installiert. Dies liegt daran, dass Ubuntus EFI-Bootloader der ersten Stufe von Microsoft signiert ist. Jedoch, Notizen eines Ubuntu-Entwicklers dass der Bootloader von Ubuntu nicht mit einem Schlüssel signiert ist, der für den Microsoft-Zertifizierungsprozess erforderlich ist, sondern lediglich mit einem Schlüssel, den Microsoft als «empfohlen» bezeichnet. Dies bedeutet, dass Ubuntu möglicherweise nicht auf allen UEFI-PCs bootet. Benutzer müssen möglicherweise Secure Boot deaktivieren, um Ubuntu auf einigen PCs verwenden zu können.
• Deaktivieren Sie den sicheren Start: Secure Boot kann deaktiviert werden, wodurch die Sicherheitsvorteile gegen die Möglichkeit ausgetauscht werden, dass Ihr PC alles bootet, genau wie ältere PCs mit dem herkömmlichen BIOS. Dies ist auch erforderlich, wenn Sie eine ältere Windows-Version installieren möchten, die nicht für Secure Boot entwickelt wurde, z. B. Windows 7.
• Fügen Sie der UEFI-Firmware einen Signaturschlüssel hinzu: Einige Linux-Distributionen signieren ihre Bootloader möglicherweise mit einem eigenen Schlüssel, den Sie Ihrer UEFI-Firmware hinzufügen können. Dies scheint im Moment nicht üblich zu sein.

Sie sollten überprüfen, welchen Prozess Ihre Linux-Distribution Ihrer Wahl empfiehlt. Wenn Sie eine ältere Linux-Distribution starten müssen, die keine Informationen dazu enthält, müssen Sie nur Secure Boot deaktivieren.

Sie sollten in der Lage sein, aktuelle Versionen von Ubuntu – entweder die LTS-Version oder die neueste Version – problemlos auf den meisten neuen PCs zu installieren. Anweisungen zum Booten von einem Wechseldatenträger finden Sie im letzten Abschnitt.

So deaktivieren Sie den sicheren Start

Sie können Secure Boot über den Bildschirm mit den UEFI-Firmware-Einstellungen steuern. Um auf diesen Bildschirm zuzugreifen, müssen Sie in Windows 8 auf das Startoptionsmenü zugreifen. Öffnen Sie dazu den Charm Einstellungen – drücken Sie die Windows-Taste + I, um ihn zu öffnen – klicken Sie auf die Ein- / Aus-Taste und halten Sie die Umschalttaste gedrückt Sie klicken auf Neu starten.

Ihr Computer wird im Bildschirm mit den erweiterten Startoptionen neu gestartet. Wählen Sie die Option Fehlerbehebung, wählen Sie Erweiterte Optionen und dann UEFI-Einstellungen. (Auf einigen Windows 8-PCs wird die Option «UEFI-Einstellungen» möglicherweise nicht angezeigt, auch wenn sie mit UEFI geliefert werden. Informationen zum Aufrufen des Bildschirms «UEFI-Einstellungen» finden Sie in diesem Fall in der Dokumentation Ihres Herstellers.)

Sie werden zum Bildschirm UEFI-Einstellungen weitergeleitet, auf dem Sie Secure Boot deaktivieren oder Ihren eigenen Schlüssel hinzufügen können.

Booten von Wechselmedien

Sie können von einem Wechselmedium booten, indem Sie auf die gleiche Weise auf das Menü Startoptionen zugreifen. Halten Sie die Umschalttaste gedrückt, während Sie auf die Option Neustart klicken. Fügen Sie das Boot-Gerät Ihrer Wahl ein, wählen Sie Gerät verwenden und wählen Sie das Gerät aus, von dem Sie booten möchten.

Nach dem Booten vom Wechseldatenträger können Sie Linux wie gewohnt installieren oder einfach die Live-Umgebung vom Wechseldatenträger verwenden, ohne es zu installieren.

Beachten Sie, dass Secure Boot eine nützliche Sicherheitsfunktion ist. Sie sollten es aktiviert lassen, es sei denn, Sie müssen Betriebssysteme ausführen, die nicht mit aktiviertem Secure Boot starten.