Ventoy mit Secure Boot starten: Stick anlegen, Schlüssel einschreiben, Fehler beheben

Ventoy startet auch auf Rechnern mit aktivem Secure Boot, wenn beim Anlegen des Sticks die Option „Secure Boot Support“ eingeschaltet ist. Beim ersten Start an einem Rechner meldet die Firmware dann „Verification failed: (0x1A) Security Violation“. Das ist gewollt: Du bestätigst mit OK, schreibst im blauen MOK-Manager den Ventoy-Schlüssel ein und brauchst diesen Schritt pro Rechner nur einmal.

Wichtig für alle, die Ventoy schon länger nutzen: Microsoft ersetzt seine alten Secure-Boot-Zertifikate durch neue, und deshalb hat Ventoy den Bootloader getauscht und bringt einen neuen Schlüssel mit. Aktualisierst Du einen alten Stick, schreibst Du den neuen Schlüssel an jedem Rechner einmal ein, während Deine ISO-Dateien beim Update erhalten bleiben.

Ventoy in fünf Minuten: Stick anlegen und ISOs kopieren

Ventoy ist ein freies Werkzeug für bootfähige USB-Sticks: Du richtest den Stick einmal ein und kopierst danach ISO-Dateien wie normale Dateien darauf. Beim Start zeigt Ventoy ein Menü mit allen Abbildern; damit entfällt das ständige Neuformatieren für jedes neue Abbild.

Beim Einrichten teilt Ventoy den Stick in zwei Partitionen: Die große heißt „Ventoy“, ist standardmäßig mit exFAT formatiert und nimmt Deine ISOs auf. Auf der kleinen Partition VTOYEFI liegen der Bootloader und die Schlüsseldatei für Secure Boot. Achtung: Beim Einrichten löscht Ventoy alle Daten auf dem Stick, sichere also vorher alles, was darauf liegt.

Unter Windows (Schritte laut Ventoy-Dokumentation)

1. Lade das Paket ventoy-x.x.xx-windows.zip von der Release-Seite von Ventoy auf GitHub und entpacke es. Ventoy empfiehlt, vorher die SHA-256-Prüfsumme des Pakets zu vergleichen.
2. Starte Ventoy2Disk.exe und wähle oben den USB-Stick aus. Prüfe die Auswahl genau.
3. Öffne das Menü „Option“ und setze den Haken bei „Secure Boot Support“. In aktuellen Versionen ist er schon gesetzt.
4. Klicke auf „Install“. Danach ist der Stick fertig.

Die vollständige Einstiegsanleitung von Ventoy beschreibt auch die Kommandozeile unter Windows, wo die Secure-Boot-Unterstützung ebenfalls von Haus aus an ist und der Schalter /NOSB sie abschaltet.

Unter Linux (Befehle laut Ventoy-Dokumentation)

Unter Linux nimmst Du das Paket ventoy-x.x.xx-linux.tar.gz, das eine grafische Oberfläche und das Skript Ventoy2Disk.sh enthält, und findest zuerst den Gerätenamen des Sticks heraus, zum Beispiel mit:

lsblk

Dann richtest Du Ventoy im entpackten Ordner mit Root-Rechten ein, wobei Du sdX durch Deinen Stick ersetzt:

sudo sh Ventoy2Disk.sh -i -s /dev/sdX

Der Schalter -i installiert Ventoy, -s schaltet die Secure-Boot-Unterstützung ein, und -S schaltet sie ab. Die Webseite nennt die Unterstützung unter Linux zwar „standardmäßig aus“, das aktuelle Skript schaltet sie aber von selbst ein, und deshalb bist Du mit -s in beiden Fällen auf der sicheren Seite. Wer GPT statt MBR möchte, ergänzt -g, und ob die Option auf dem Stick aktiv ist, zeigt Dir dieser Befehl:

sudo sh Ventoy2Disk.sh -l /dev/sdX

In der Ausgabe steht unter anderem die Zeile „Secure Boot Support“ mit YES oder NO.

ISOs kopieren

Kopiere die ISO-Dateien auf die Partition „Ventoy“, gern auch in Unterordner, denn Ventoy durchsucht alle Ordner und listet die Abbilder alphabetisch auf. Auch Dateien über 4 GB funktionieren, und typische Kandidaten sind Installations-ISOs von Linux und Windows sowie Rettungssysteme wie Parted Magic zum Partitionieren und Retten oder die Ophcrack-Live-CD. Den freien Platz kannst Du weiter als normalen Datenspeicher nutzen.

Bei einem neuen, sehr günstigen Stick lohnt vorher ein Test, denn gefälschte USB-Sticks erkennst Du mit f3, bevor eine ISO halb kaputt auf dem Stick landet.

Was die Option „Secure Boot Support“ macht

Secure Boot startet nur Bootloader, deren Signatur die Firmware kennt, und Ventoys eigener Bootloader trägt keine Signatur von Microsoft. Deshalb nutzt Ventoy denselben Umweg wie viele Linux-Distributionen: einen von Microsoft signierten Shim, der zuerst startet und danach Ventoy gegen einen Schlüssel aus der MOK-Liste prüft. MOK steht für Machine Owner Key, also für Schlüssel, die Du als Besitzer des Rechners selbst freigibst.

Den Ventoy-Schlüssel kennt Dein Rechner anfangs nicht, daher kommt der Fehler beim ersten Start. Sobald Du den Schlüssel einschreibst, speichert die Firmware ihn dauerhaft, sodass er danach im Rechner liegt und nicht auf dem Stick.

Eine Eigenheit solltest Du kennen: Laut Secure-Boot-Dokumentation von Ventoy umgeht Ventoy Secure Boot danach standardmäßig komplett, sodass jede EFI-Datei aus dem Ventoy-Menü ohne weitere Prüfung läuft. Das ist bequem, weil auch unsignierte Rettungssysteme starten; wer die Prüfung behalten will, setzt die Option VTOY_SECURE_BOOT_POLICY auf „1“. Dann gilt die normale Secure-Boot-Richtlinie und unsignierte Abbilder starten nicht; die Einstellung gehört in die Datei ventoy.json im Ordner ventoy auf der großen Partition:

{
    "control": [
        { "VTOY_SECURE_BOOT_POLICY": "1" }
    ]
}

Hast Du den Stick ohne die Option angelegt, setzt Du den Haken in Ventoy2Disk und klickst auf „Update“, wobei die Dateien auf der großen Partition erhalten bleiben.

Erster Start: Ventoy-Schlüssel im MOK-Manager einschreiben

Die folgenden Schritte zeigt die Ventoy-Dokumentation als Animation, und Du brauchst sie an jedem Rechner nur einmal. Die Menüs des MOK-Managers sind englisch, und Du bedienst sie mit den Pfeiltasten und Enter.

1. Stecke den Stick ein und öffne beim Einschalten das Boot-Menü der Firmware, je nach Hersteller zum Beispiel mit F12 oder Esc. Wähle den UEFI-Eintrag des Sticks.
2. Es erscheint „Verification failed: (0x1A) Security Violation“. Bestätige mit OK.
3. Auf dem Bildschirm „Shim UEFI key management“ drückst Du eine beliebige Taste. In der Animation läuft dafür ein Countdown von zehn Sekunden.
4. Wähle „Enroll key from disk“.
5. Wähle den Datenträger VTOYEFI und darin die Datei ENROLL_THIS_KEY_IN_MOKMANAGER.cer.
6. Wähle „Continue“ und beantworte die Frage „Enroll the key(s)?“ mit „Yes“.
7. Wähle „Reboot“. Nach dem Neustart erscheint das Ventoy-Menü.

Vor dem Bestätigen zeigt Dir „View key 0“ die Angaben zum Schlüssel, und der MOK-Manager warnt an dieser Stelle selbst: Alles, was mit dem Schlüssel signiert ist, startet künftig ohne Rückfrage. Schreibe deshalb nur den Schlüssel von einem Stick ein, den Du selbst mit einem offiziellen Ventoy-Paket angelegt hast. Der aktuelle Schlüssel heißt laut der Datei im Ventoy-Quellcode „Ventoy Secure Boot Root CA“.

Läuft auf dem Rechner Linux, kannst Du das Ergebnis dort mit zwei Befehlen aus dem Handbuch von mokutil prüfen:

mokutil --sb-state
mokutil --list-enrolled

Der erste Befehl zeigt, ob Secure Boot aktiv ist, und der zweite listet die eingeschriebenen MOK-Schlüssel. Hast Du früher ältere Ventoy-Versionen genutzt, taucht dort auch der alte Schlüssel auf, der im Zertifikat schlicht „grub“ heißt.

Fehler „Verification failed (0x1A)“ und andere Stolpersteine

Beim ersten Start ist die Meldung 0x1A normal; bleibt sie oder erscheint statt des blauen MOK-Bildschirms etwas anderes, gehst Du die Tabelle von oben nach unten durch.

Die Option für die Drittanbieter-CA zeigt die Ventoy-Dokumentation mit Beispielen von ThinkPad, Surface, HP und Dell. Schaltest Du Secure Boot zur Fehlersuche aus, schalte es danach wieder ein, und ist auf dem Rechner BitLocker aktiv, halte vorher den Wiederherstellungsschlüssel bereit.

Startet nach einem Windows-Update nicht der Stick, sondern das installierte Linux nicht mehr, ist das ein anderes Problem. Dafür hilft die Anleitung GRUB nach einem Windows-Update reparieren, inklusive der Meldung „SBAT self-check failed“, und ein Ventoy-Stick mit einem aktuellen Live-System ist für diese Reparatur ein gutes Werkzeug.

Versionsstand: Was der Zertifikatswechsel für Ventoy bedeutet

Microsoft tauscht die Secure-Boot-Zertifikate aus dem Jahr 2011 gegen Nachfolger aus dem Jahr 2023. Für Ventoy zählt vor allem die „Microsoft UEFI CA“, weil sie Bootloader von Drittanbietern und damit auch den Shim signiert. Laut Microsoft starten Geräte nach dem Ablauf der alten Zertifikate weiter, neue Schutzmaßnahmen für den Startvorgang bekommen sie aber nur mit den neuen Zertifikaten.

Bis Version 1.1.12 steckte in Ventoy ein Shim, der nur mit der alten CA signiert war, und auf GitHub meldeten Nutzer, dass Rechner mit ausschließlich neuen Zertifikaten diesen Stick ablehnten. Ab Version 1.1.14 nutzt Ventoy laut dem Commit des Entwicklers einen Shim aus Rocky Linux 9.2, der mit beiden CAs signiert ist. Gleichzeitig hat Ventoy eine eigene neue CA eingeführt, und deshalb verlangt jeder Rechner den neuen Schlüssel einmal, auch wenn er den alten schon kannte.

Den Fehler aus der Tabelle behebt Version 1.1.18. Laut Beschreibung des Entwicklers brachen Windows-Abbilder unter drei Bedingungen ab: Secure Boot ist an, Ventoy nutzt die Standardrichtlinie, und die Firmware sperrt nach einem Update bereits die alte Windows-CA.

Daraus folgt eine einfache Regel: Nimm immer die neueste Version, denn das Update ist laut Dokumentation sicher, und alle Dateien auf der großen Partition bleiben unverändert. Unter Windows klickst Du in Ventoy2Disk auf „Update“, unter Linux nutzt Du -u statt -i:

sudo sh Ventoy2Disk.sh -u -s /dev/sdX

Der alte Schlüssel bleibt nach dem Update im Rechner und gilt dort weiter für alles, was mit ihm signiert ist. Wer aufräumen will, kopiert das kleine Abbild ventoy-delete-key auf den Stick, startet es über Ventoy und folgt der Anleitung zum Löschen des Schlüssels.

Wann Rufus oder balenaEtcher besser passen

Ventoy ist stark, wenn Du viele Abbilder auf einem Stick sammelst; für andere Aufgaben gibt es passendere Werkzeuge. Der Hauptunterschied: Rufus und balenaEtcher schreiben genau ein Abbild auf den Stick, und bei einer signierten ISO startet dann deren eigener Bootloader, sodass ein MOK-Schritt meist entfällt.

Rufus gibt es nur für Windows; unter Linux bleiben Dir Ventoy, balenaEtcher oder die Werkzeuge Deiner Distribution.

Häufige Fragen

Muss der Schlüssel bei jedem Start neu eingeschrieben werden?

Nein, der Schlüssel landet im Rechner, und Du schreibst ihn an jedem Rechner nur einmal ein. Neu fällig wird er nur, wenn Ventoy wie beim Zertifikatswechsel einen neuen Schlüssel mitbringt.

Startet ein Ventoy-Stick mit Secure-Boot-Option auch ohne Secure Boot?

In der Regel ja, denn laut Dokumentation startet Ventoy grundsätzlich unabhängig davon, ob Secure Boot in der Firmware an oder aus ist. Ist es aus, entfällt der MOK-Schritt, und auch ältere Rechner mit klassischem BIOS unterstützt Ventoy.

Ändert der Ventoy-Schlüssel etwas an Windows?

Für den normalen Windows-Start spielt die MOK-Liste keine Rolle, denn sie wird vom Shim ausgewertet, den Linux-Systeme und Ventoy nutzen, während die Firmware den Windows-Bootmanager direkt prüft.

So gehst Du jetzt vor

Hast Du schon einen Ventoy-Stick, lade die neueste Version und aktualisiere ihn mit „Update“ oder -u, wobei Deine ISOs erhalten bleiben. Beim nächsten Start schreibst Du an jedem Rechner den neuen Schlüssel einmal ein. Erscheint statt des blauen MOK-Bildschirms eine Herstellermeldung, schalte zuerst die Drittanbieter-CA im UEFI-Setup ein, und brauchst Du nur ein einziges Windows-Installationsmedium, nimm Rufus.