System Guard Secure Launch ist eine integrierte Windows-Sicherheitsfunktion, die das System schützt, indem sie Firmware und Hypervisor während des Bootvorgangs überprüft. Allerdings lässt sich die Funktion nicht ohne fundierte Kenntnisse weiterer Windows-Funktionen und -Einstellungen aktivieren. Dieser Leitfaden stellt die wichtigsten Voraussetzungen und die gängigsten Methoden vor, um System Guard Secure Launch auf kompatiblen Systemen zu aktivieren oder zu deaktivieren.
Lieber eine visuelle Zusammenfassung? Sehen Sie sich unsere einfache Anleitung an: So aktivieren oder deaktivieren Sie System Guard Secure Launch für den Firmware-Schutz in Windows.
Voraussetzungen und Methoden für die Verwaltung der Secure-Launch-Einstellungen
Bevor Sie Änderungen vornehmen, sollten Sie diese System- und Zugriffsvoraussetzungen prüfen:
✔️ Erforderlich ist UEFI-Firmware mit Unterstützung für Secure Boot.
✔️ TPM 2.0 muss aktiv und aktiviert sein.
✔️ Hyper-V und virtualisierungsbasierter Schutz (VBS) müssen unterstützt bzw. aktiviert sein.
✔️ Administratorrechte sind erforderlich.
Methode 1: Aktivieren oder Deaktivieren über Gruppenrichtlinien
Diese Methode steht sowohl unter Windows 10 (1903+) als auch unter Windows 11 zur Verfügung. Unter Windows 10 wird die Einstellung unter Umständen erst angezeigt, wenn die ADMX-Vorlagen aktualisiert wurden.
Die Verwaltungstools für Gruppenrichtlinien stehen in den Windows-Editionen Pro, Enterprise und Education zur Verfügung. Diese GPO-Methode empfiehlt sich für die Verteilung auf mehrere Geräte.
- Drücken Sie Win + R, geben Sie gpedit.msc ein und klicken Sie auf OK, um den Editor für lokale Gruppenrichtlinien zu öffnen.
- Navigieren Sie zu Computerkonfiguration → Administrative Vorlagen → System → Device Guard.
- Doppelklicken Sie auf Sicheren Start aktivieren.
- Wählen Sie Aktiviert, um Secure Launch beim Booten zu erzwingen, oder Deaktiviert, um Secure Launch abzuschalten. Sie können die Einstellung auch auf Nicht konfiguriert belassen, dann gilt der Systemstandard bzw. die Registry-Einstellung.
- Klicken Sie auf Übernehmen und anschließend auf OK, um zu bestätigen und das Fenster zu schließen.
- Starten Sie das System neu, damit die Änderung wirksam wird.
ℹ️ Hinweis: Mit dem Befehl gpupdate /force übernehmen Sie die Änderungen sofort. Sehen Sie sich dazu diese Videodemonstration zu GPUpdate an. Andernfalls werden die neuen Einstellungen beim nächsten Aktualisierungsintervall angewendet.
Ist Secure Launch aktiviert, prüft die Funktion die Firmware und kritische Boot-Komponenten anhand hardwarebasierter Messwerte.
Methode 2: Secure Launch über den Registrierungs-Editor konfigurieren
Diese Methode eignet sich für skriptgesteuerte Verteilungen und empfiehlt sich für Systeme ohne Zugriff auf Gruppenrichtlinien. Sie wird sowohl unter Windows 10 als auch unter Windows 11 unterstützt, wobei Windows 11 eine bessere Rückmeldung über die Benutzeroberfläche (User Interface) zur Überprüfung bietet.
- Drücken Sie Win + R, geben Sie regedit ein und klicken Sie auf OK, um den Registrierungs-Editor zu öffnen.
- Navigieren Sie zum folgenden Pfad oder kopieren Sie ihn in die Adressleiste der Registry: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\DeviceGuard
- Ändern oder erstellen Sie den Wert EnableSecureLaunch. (Zum Erstellen) Klicken Sie im rechten Bereich mit der rechten Maustaste auf → Neu → DWORD-Wert (32-Bit). Überspringen Sie diesen Schritt, wenn der Wert bereits vorhanden ist.
- Doppelklicken Sie auf den Wert und setzen Sie die Wertdaten auf 1 zum Aktivieren bzw. auf 0 zum Deaktivieren.
- Klicken Sie zum Bestätigen auf OK.
⚠️Warnung: Unbeabsichtigte Änderungen an der Windows-Registry können die Leistung und Stabilität Ihres Systems beeinträchtigen. Erfahren Sie, wie Sie die Registry sichern und einen Wiederherstellungspunkt erstellen, bevor Sie die Datenbank bearbeiten.
PowerShell-Skript zur Konfiguration von Secure Launch
Alternativ können Sie die Registry-Werte auch mit diesem PowerShell-Skript ändern.
Secure Launch aktivieren:
- Öffnen Sie PowerShell über die Suche und wählen Sie Als Administrator ausführen.
- Verwenden Sie den folgenden Befehl, um Secure Launch zu aktivieren:
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\DeviceGuard" `
-Name "EnableSecureLaunch" -Value 1
Secure Launch deaktivieren:
- Öffnen Sie PowerShell über die Suche und wählen Sie Als Administrator ausführen.
- Verwenden Sie den folgenden Befehl, um Secure Launch zu aktivieren:
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\DeviceGuard" `
-Name "EnableSecureLaunch" -Value 0
Starten Sie das Gerät nach dem Übernehmen der Änderungen neu. Über die Windows-Registry können Sie außerdem prüfen, ob die Werte erfolgreich aktualisiert wurden.
Hinweis: Funktioniert unter Windows 10 und Windows 11 gleichermaßen. Unter Windows 10 erfolgt die Überprüfung über PowerShell oder die Registry.
Secure Launch: weitere Überlegungen und Tipps
Beachten Sie diese wichtigen Punkte, wenn Sie die Funktion Secure Launch ein- oder ausschalten möchten:
- Secure Boot muss aktiviert sein, damit Secure Launch im UEFI funktioniert.
- BitLocker: Wird Secure Launch aktiviert, kann beim nächsten Start die Abfrage des Wiederherstellungsschlüssels erscheinen. Setzen Sie BitLocker aus, bevor Sie Änderungen vornehmen.
- Kompatibilität: Vorausgesetzt werden Intel vPro (ab Coffee Lake) oder AMD Zen 2+, TPM 2.0, Secure Boot sowie Virtualisierungserweiterungen. Ältere Geräte starten mit aktiviertem Secure Launch unter Umständen nicht mehr.
- Hyper-V und VBS: Stellen Sie sicher, dass beide in der Firmware und in den Windows-Sicherheitseinstellungen aktiviert sind.
Hinzu kommt, dass Probleme mit Secure Launch häufig eine aufwendige Fehlersuche erfordern. Empfehlenswert ist ein Pilotbetrieb, eine Prüfung der Treiberkompatibilität sowie das Messen von Bootzeiten und Systemleistung.
Das spricht für die Aktivierung von System Guard Secure Launch
System Guard Secure Launch fügt dem Bootvorgang eine starke Schutzebene hinzu. Damit kann die Funktion ein entscheidender Baustein in Bereitstellungsstrategien für Unternehmensumgebungen und geschäftskritische Endpunkte sein.
Administrator:innen können die Funktion bequem über Gruppenrichtlinien, die Registry oder PowerShell verwalten, um die Sicherheitskonformität zu erfüllen und den Datenschutz zu stärken. Denken Sie jedoch daran, dass sich die Aktivierung für ältere Geräte nicht eignet. Außerdem sollte das IT-Team regelmäßig prüfen, ob die Funktion ihre Ziele erreicht, zumal immer wieder Kompatibilitätsprobleme auftreten können.
