Windows 11 Secure Boot inschakelen in de UEFI

Secure Boot laat alleen ondertekende opstartsoftware toe

Secure Boot is een beveiligingsfunctie van de UEFI-firmware die controleert of de opstartsoftware van een vertrouwde, digitaal ondertekende bron komt. Zo houdt het toestel schadelijke code tegen die zich al voor het laden van Windows probeert te nestelen. Windows 11 stelt Secure Boot als een van de harde systeemeisen, naast een TPM 2.0-chip.

De functie werkt alleen op een pc die in UEFI-modus opstart en waarvan de systeemschijf de GPT-indeling gebruikt. Draait je pc nog in de oudere Legacy- of BIOS-modus met een MBR-schijf, dan zet je die eerst om. Dat is meestal de reden waarom de optie op oudere systemen ontbreekt of grijs is.

Onder de motorkap houdt Secure Boot een lijst met vertrouwde digitale handtekeningen bij. Bij het opstarten vergelijkt de firmware de handtekening van elke opstartlader met die lijst. Klopt de handtekening niet, dan weigert het toestel de code te laden. Zo blokkeert het bijvoorbeeld een rootkit die zich tussen de firmware en Windows probeert te wringen. Samen met de TPM 2.0-chip, die versleutelingssleutels bewaart, vormt dit de beveiligingsbasis waarop Windows 11 rekent.

Deze handleiding controleert eerst je huidige status, zet zo nodig de schijf om naar GPT, en schakelt daarna Secure Boot in via de firmware. De volgorde is belangrijk: een schijf omzetten nadat je de firmware al hebt omgezet, maakt de pc onstartbaar. Doorloop de stappen daarom in de volgorde waarin ze staan en sla er geen over, ook niet als je denkt dat een deel al goed staat.

Controleer eerst je Secure Boot-status met msinfo32

Voordat je iets aanpast, kijk je waar je staat. Windows toont de status in het systeeminformatievenster.

1. Druk op Windows + R, typ msinfo32 en druk op Enter.
2. Blijf op Systeemoverzicht staan.
3. Zoek de regel Beveiligd opstarten (Secure Boot State). Staat er Aan, dan is Secure Boot al actief.
4. Kijk ook naar BIOS-modus. Staat daar UEFI, dan is je firmware goed ingesteld; staat er Verouderd (Legacy), dan moet je eerst omschakelen.

Staat Beveiligd opstarten op Uit terwijl BIOS-modus al UEFI is, dan hoef je alleen de firmware-instelling aan te zetten (ga door naar de sectie over de UEFI). Staat BIOS-modus op Verouderd, dan komt er eerst een omzetting bij kijken.

Wil je de status uit een script of snel uit PowerShell aflezen, gebruik dan het commando hieronder in een PowerShell-venster met beheerdersrechten. Het geeft True als Secure Boot aanstaat en False als het uitstaat. Werkt het toestel nog in Legacy-modus, dan meldt het dat Secure Boot niet wordt ondersteund op dit platform.

Confirm-SecureBootUEFI

Secure Boot vereist UEFI-modus en een GPT-schijf

Secure Boot en de oude Legacy-opstartmodus sluiten elkaar uit. De functie hoort bij UEFI, de moderne firmware die MBR heeft vervangen. Twee voorwaarden moeten dus kloppen.

De schijfindeling controleer je zo: open Schijfbeheer (druk op Windows + X en kies Schijfbeheer), klik met de rechtermuisknop op de systeemschijf, kies Eigenschappen > Volumes en lees de Partitiestijl. Staat daar GUID-partitietabel (GPT), dan ben je klaar voor Secure Boot. Staat er MBR, ga dan eerst omzetten.

De derde voorwaarde, CSM uitschakelen, hangt samen met de eerste twee. CSM is de compatibiliteitslaag die de firmware toestaat om nog op de oude Legacy-manier op te starten. Zolang die aanstaat, blijft het toestel in een tussenvorm en verbergen veel moederborden de Secure Boot-optie. Je schakelt CSM uit in dezelfde firmware waar je Secure Boot aanzet, wat verderop aan bod komt.

Zet een MBR-schijf veilig om naar GPT met mbr2gpt

MBR (Master Boot Record) en GPT (GUID Partition Table) zijn twee manieren om de indeling van een schijf te beschrijven. MBR is de oudere standaard die bij Legacy-opstarten hoort; GPT is de moderne variant die UEFI en Secure Boot vereisen. Windows levert al jaren de tool mbr2gpt mee, die een schijf omzet van MBR naar GPT zonder je bestanden te wissen. Je draait hem vanuit Windows zelf.

Maak eerst een back-up van belangrijke bestanden. De omzetting is doorgaans veilig, maar elke wijziging aan de schijfindeling brengt een klein risico met zich mee. Schakel daarna BitLocker uit of onderbreek de bescherming, anders vraagt de pc bij de volgende start om je herstelsleutel.

Controleer eerst of de schijf geschikt is voor omzetting. Open een opdrachtprompt met beheerdersrechten en voer de validatie uit:

mbr2gpt /validate /disk:0 /allowFullOS

Meldt de tool dat de validatie geslaagd is, dan voer je de omzetting uit:

mbr2gpt /convert /disk:0 /allowFullOS

Vervang /disk:0 door het schijfnummer uit Schijfbeheer als je systeemschijf een ander nummer heeft. Na een geslaagde omzetting sluit je Windows af, ga je de firmware in en zet je de opstartmodus op UEFI. Zet je de firmware om voordat je de schijf hebt geconverteerd, dan start Windows niet meer op. De officiele documentatie met alle opties staat op de Microsoft Learn-pagina over mbr2gpt.

Schakel Secure Boot in via de UEFI-firmware

Nu de schijf op GPT staat, ga je de firmware in om de instellingen aan te passen. Je komt er op twee manieren binnen: via het herstelmenu van Windows, of door tijdens het opstarten een toets in te drukken. De route via Windows is het betrouwbaarst, omdat je niet het juiste moment hoeft te raken waarop je op de firmwaretoets moet drukken.

1. Ga naar Instellingen > Systeem > Systeemherstel (of Herstel) en klik bij Geavanceerde opstartopties op Nu opnieuw opstarten.
2. Kies Problemen oplossen > Geavanceerde opties > Instellingen voor UEFI-firmware en herstart.
3. Zoek in de firmware het onderdeel Boot of Security.
4. Zet CSM (Compatibility Support Module) of Legacy-opstarten uit en stel de opstartmodus in op UEFI.
5. Zet Secure Boot op Enabled. Vraagt het bord om de standaardsleutels, kies dan Install default Secure Boot keys of Restore factory keys.
6. Sla op met Save and Exit, meestal met de toets F10.

Kom je niet in de firmware via Windows, herstart dan en druk direct na het inschakelen herhaaldelijk op de firmwaretoets. Dat is per merk anders: vaak Del of F2, soms F10, F12 of Esc. Na het opslaan start Windows normaal op. Controleer met msinfo32 of Beveiligd opstarten nu op Aan staat.

De namen van de instellingen verschillen per fabrikant. Wat op het ene bord onder Boot staat, heet op het andere Security, Authentication of Startup. Zoek naar de termen Secure Boot, CSM, Legacy en Boot Mode; die zijn wel overal aanwezig. Vind je Secure Boot niet, controleer dan eerst of CSM helemaal uitstaat, want zolang die compatibiliteitslaag actief is, verbergen veel borden de Secure Boot-instelling.

Secure Boot-optie grijs of pc start niet op

De meeste problemen ontstaan door de verkeerde volgorde of door een instelling die de optie blokkeert. Werk deze punten af.

• Secure Boot-optie is grijs: CSM of Legacy-opstarten staat nog aan. Schakel dat eerst uit en start de firmware opnieuw.
• Optie vraagt om een wachtwoord: sommige borden eisen een beheerderswachtwoord in de firmware voordat je Secure Boot kunt aanzetten. Stel dat in onder Security.
• Pc start niet meer op na omschakelen: je hebt de firmware op UEFI gezet terwijl de schijf nog MBR was. Zet de firmware terug op Legacy, start Windows en converteer eerst met mbr2gpt.
• BitLocker vraagt om een herstelsleutel: je vergat de bescherming te onderbreken. Voer de sleutel in of onderbreek BitLocker voortaan voordat je firmware-instellingen wijzigt.
• Validatie van mbr2gpt mislukt: de schijf heeft te veel partities of te weinig ruimte voor de nieuwe indeling. Ruim overbodige partities op en probeer de validatie opnieuw voordat je omzet.

Blijft de pc na een firmwarewijziging haperen, houd er dan rekening mee dat een grote hardwarewijziging ook je activering kan raken; bekijk in dat geval hoe je je Windows-licentie na een hardwarewijziging herstelt. Twijfel je of je pc met de juiste editie en firmware klaar is voor Windows 11, dan helpt het overzicht over het upgraden van Windows 11 Home naar Pro om de editie-eisen op een rij te zetten.

Zet BitLocker terug en controleer de gereedheid voor Windows 11

Na het inschakelen zijn er nog twee dingen om af te ronden, vooral als je de schijf hebt omgezet of BitLocker hebt onderbroken.

1. Hervat de BitLocker-bescherming als je die had onderbroken. Ga naar Configuratiescherm > Systeem en beveiliging > BitLocker-stationsversleuteling en kies Bescherming hervatten.
2. Open de app PC-statuscontrole van Microsoft om te bevestigen dat de pc nu aan alle Windows 11-eisen voldoet, inclusief Secure Boot en TPM 2.0.
3. Controleer of je opstartschijf nog correct wordt herkend en of Windows zonder herstelmelding start.

Merk je na de omzetting extra opstartvertraging of een foutmelding over de opstartvolgorde, ga dan terug de firmware in en zet de systeemschijf bovenaan de opstartlijst. Zo weet de pc zeker vanaf welk station hij moet starten. Daarmee is Secure Boot ingeschakeld en is je pc klaar voor de installatie of upgrade van Windows 11.