Linux Thinkpad T14 Gen 3 AMD (Type 21CF, 21CG) Secure Boot-Zertifikate fehlen

[Thinkdude]

Hallo zusammen

Es geht um ein 2022 Thinkpad Gen 3 AMD.
Ich bin eigentlich mit Linux unterwegs und habe auf einer zweiten SSD Windows 11 installiert und mache Updates.
Mein Problem ist und ich bin etwas erstaunt, dass ich auf diesem Gerät keine 2023 Secure Boot Keys habe.
2011/2012 Keys sind im UEFI Secure Boot Key Management zu lesen.

Ich besitze auch ein T14s Gen 2 Intel, was ein Jahr älter ist und dieses Gerät hat die Keys.
Hat jemand ähnliche Erfahrungen?

 

[Mornsgrans]

Schön für Dich - es gibt ca 10 ThinkPad Gen 3 AMD. Trage bitte im Titel noch das Modell ein (T14, T15 oder sonst ein passendes Modell)

Sie Jahreszahl interressiert hier nicht, das Apple-Forum ist woanders

 

[Thinkdude]

Hallo

Es handelt sich um dieses hier:

https://pcsupport.lenovo.com/us/en/products/laptops-and-netbooks/thinkpad-t-series-laptops/thinkpad-t14-gen-3-type-21cf-21cg

Hoffe die Infos reichen oder braucht es noch etwas?

 

[Mornsgrans]

Hast Du das BIOS schon auf den letzten Stand gebracht? Die README:

Added Microsoft UEFI CA 2023 certificate.

 

[linrunner]

Wozu brauchst Du die, hast doch wahrscheinlich wg. Linux den Secure Boot eh aus. Was die tatsächlichen Auswirkungen betrifft, siehe

Linux Beitrag im Thema 'Betrifft auch Linux und OSx: Microsoft warnt vor Secure-Boot-Zertifikat-Update'

1 Aug. 2025

In seinem Blog schreibt UEFI-Guru Matthew Garrett, warum der Zertifikate-Wechsel längst nicht so heiß gegessen wird, wie er gekocht wurde:
Secure boot certificate rollover is real but probably won't hurt you

• linrunner

• 

Bei meinen Linux-Maschinen kamen Sie, wenn ich mich recht entsinne, per LVFS:

fwupdmgr refresh && fwupdmgr update

 

[Thinkdude]

Hast Du das BIOS schon auf den letzten Stand gebracht? Die README:

Hallo

Ja ich wechsle periodisch seit letzten Dezember die SSD mit Windows 11. mache Win Updates und benutze das Lenovo Vantage Tool.
Im Kundenkonto bei Lenovo lasse ich den Scan laufen und prüfe ob es Updates gibt.
Es kommt dann die Meldung dass alle Updates installiert sind.
Den Link den du mir gesendet hast, das Bios Update habe ich gemacht und diese Version 1.62 ist installiert.

Beitrag automatisch zusammengeführt: 29 Jan. 2026

Wozu brauchst Du die, hast doch wahrscheinlich wg. Linux den Secure Boot eh aus. Was die tatsächlichen Auswirkungen betrifft, siehe

Linux Beitrag im Thema 'Betrifft auch Linux und OSx: Microsoft warnt vor Secure-Boot-Zertifikat-Update'

1 Aug. 2025

In seinem Blog schreibt UEFI-Guru Matthew Garrett, warum der Zertifikate-Wechsel längst nicht so heiß gegessen wird, wie er gekocht wurde:
Secure boot certificate rollover is real but probably won't hurt you

• linrunner

• 

Bei meinen Linux-Maschinen kamen Sie, wenn ich mich recht entsinne, per LVFS:

fwupdmgr refresh && fwupdmgr update

Hallo

Würde gerne Secure Boot eingeschaltet haben.
Für Büro läuft Ubuntu mit Secure Boot und da gibt es das Firmware Tool fwupdmgr das ich öfters mal prüfe ob Updates kommen.
So wie ich es verstanden habe, sollte, falls nicht vorhanden, der 2023 Key durch die Windows Updates eingespielt werden.
Ich wechsel ab und zu periodisch die SSD mit Windows 11 und update da auch alles, Vantage und Win Updates.
Auch im Lenovokonto mache ich den Update Scan und bin aktuell. BIOS Version 1.62.
Finde es nur seltsam dass der 2023 Secure Boot Key nicht vorhanden ist.

 

[Mornsgrans]

Es wird nur nicht viel helfen, wenn das Zertifikat auf der Windows SSD in der EFI-Partition liegt und Du dann diese gegen die Linux-SSD austauschst.

Abgesehen davon mögen die Anschlüsse das häufige austauschen nicht besonders (wie auch die Clips am Base-Cover).

 

[Thinkdude]

Hallo zusammen

Hab es geschafft und die 2023 Secure Boot Zertifikate sind eingetragen.

Einmal Bios starten:
Reset to Factory Defaults in BIOS setup.
Restore the Factory Keys in the Secure Boot menu of BIOS setup.

Danach waren die Zertifikate eingetragen, ein weiteres Windows Update oder Lenovo Vantage war nicht nötig.
Na dann, besten Dank noch für eure Unterstützung. Bin froh, dass es nun geklappt hat.

 

[linrunner]

Also waren sie in einem BIOS Update enthalten, mithin im Flashspeicher und nicht auf der EFI-Partition.

 

[Thinkdude]

Jo, irgendwie so muss es gewesen sein, dass sie da waren und durch den Bios Factory Reset sowie Keys Reset Secure Boot dann eingetragen wurden.

 

[bodu]

Hab es geschafft und die 2023 Secure Boot Zertifikate sind eingetragen.

Einmal Bios starten:
Reset to Factory Defaults in BIOS setup.
Restore the Factory Keys in the Secure Boot menu of BIOS setup.

Danke für den Tip. Ein Blick zu Lenovo zeigt den aktuellen generellen Stand:
die UEFI CA 2023 Zertifikate sind in aktuellen Lenovo UEFI Versionen ab der X280,T480,T580,... Modellreihe in der Standardtabelle enthalten.

Die Standardtabelle ist eine Grundeinstellung, die Zertifikate sind nicht aktiv.
Der Reset innerhalb vom UEFI nimmt die Einträge in die aktiven Tabellen auf.

UEFI CA 2023 Versionen für ThinkPad und ThinkStation

https://support.lenovo.com/de/en/solutions/ht518129-2011-microsoft-secure-boot-certificate-expiration-lenovo-commercial-pcs

 

[Thinkdude]

@bodu

Besten Dank
Schön zusammen gefasst.