4 Wege, wie Windows versucht, Ihr Linux-Dual-Boot zu sabotieren

Das Dual-Booting von Windows und Linux kann gut funktionieren - doch Windows kooperiert nur selten. Updates, Sicherheitsfunktionen sowie Standard-Einstellungen zur Stromverwaltung können eine gemeinsame Konfiguration stören. Hier sind vier Situationen, in denen Windows Probleme bei der Installation von Linux verursacht - sowie was Sie in jedem Fall dagegen tun können.

Überschreiben des Bootloaders

Windows-Updates können Ihr Boot-Menü heimlich zurückerlangen

Windows war schon immer eigen, wenn es darum ging, eine Festplatte mit anderen Betriebssystemen zu teilen. Meistens braucht es das ja nicht, weshalb es sich erlauben kann, die wenigen Nutzer, die ein solches Sharing benötigen, zu ärgern. Die häufigste Art und Weise, wie Windows eine Dual-Boot-Konfiguration stört, ist, die Kontrolle über den Bootvorgang wieder an sich zu reißen. Bei UEFI-Systemen behalten beide Betriebssysteme ihre Bootloader auf der EFI-Systempartition; das Firmware wählt anschließend anhand einer in NVRAM gespeicherten Bootreihenfolge aus, welchen Bootloader es starten soll.

Wichtige Updates von Windows, Reparaturvorgänge oder eine Neuinstallation können diese Reihenfolge ändern und den Windows-Boot-Manager wieder an erste Stelle setzen. Normalerweise wird GRUB nicht gelöscht; doch nach dem nächsten Neustart wird das Menü übersprungen und man gelangt direkt in Windows. Dadurch glauben viele Nutzer, dass Linux verschwunden sei. Bei älteren Computern mit BIOS und MBR-Partitionierung ist die Situation noch schlimmer: Der Windows-Installer schreibt seinen eigenen Code in den Master Boot Record und löscht GRUB vollständig.

Die Lösung ist einfach, sobald man weiß, was passiert ist. Starten Sie von einem Linux-Live-USB, mounten Sie Ihr installiertes System und installieren Sie den Bootloader erneut mit „grub-install“ sowie anschließend „update-grub“. Alternativ können Sie „efibootmgr“ verwenden, um den Eintrag für Linux wieder an die erste Stelle zu setzen. Das Problem ist nur: Sie benötigen diesen USB-Stick - und falls Windows das einzige betriebsfähige System ist, haben Sie vielleicht keinen solchen Stick zur Hand.

Ein paar einfache Maßnahmen können das Risiko verringern. Wenn man Windows vor Linux installiert, erkennt der Linux-Installer die bereits vorhandene Systemkonfiguration und respektiert sie. Wenn man Linux außerdem seine eigene Festplatte mit einer eigenen EFI-Partition zuweist, bleiben die Windows-Updates von den Bootloader-Dateien verschont. Es hilft auch, das Firmware-Bootmenü zu überprüfen, bevor man das Schlimmste annimmt - oft ist der Eintrag nämlich immer noch vorhanden, nur nach unten verschoben. Keine dieser Maßnahmen hat an sich böse Absichten; doch Windows behandelt die Festplatte, als wäre sie der einzige Bewohner - und Ihre Linux-Installation leidet darunter, sobald ein Update Änderungen vornimmt. Deswegen schadet es nie, zusätzliche Vorsichtsmaßnahmen zu ergreifen.

Sperrungen über Secure Boot

Microsoft kontrolliert die Schlüssel, die Linux zum Starten benötigt.

Secure Boot erlaubt einem Rechner nur das Ausführen von Bootloadern, die mit Schlüsseln signiert sind, denen das Firmware vertraut. Da Hardwarehersteller Firmware ausliefern, die Microsofts Zertifikate akzeptiert, verlassen sich die meisten Linux-Distributionen auf einen kleinen Bootloader namens „Shim“, der von Microsoft im Auftrag dieser Distributionen signiert wird. Dieses Verfahren funktioniert solange, bis Microsoft etwas ändert. Die im Jahr 2011 ausgestellten Zertifikate sind in diesem Jahr ausgelaufen - das Zertifikat, mit dem die Linux-Shims signiert werden, verlor seine Gültigkeit am 27. Juni; das Zertifikat hinter dem Windows-Bootloader am 19. Oktober. Eine der beiden Fristen ist bereits abgelaufen; die andere steht kurz bevor. Die Firmware prüft eigentlich keine Ablaufdaten - daher sollte eine heute bootende Linux-Installation weiterhin booten können. Das eigentliche Problem ist die Zukunft: Neue „Shims“ werden nur noch mit dem neueren Zertifikat aus dem Jahr 2023 signiert, und ein Rechner, dessen Firmware dieses Zertifikat noch nie erhalten hat, könnte sie ablehnen.

Auf Dual-Boot-Systemen soll Windows Update die neuen Zertifikate an das Firmware-Update zu übermitteln. Diese Abhängigkeit bereitet Linux-Nutzern Sorgen. Ältere Computer, die keine Hersteller-Updates für die Firmware erhalten, werden diese Zertifikate möglicherweise niemals erhalten. Zudem könnte ein frisch installiertes Linux-System mit aktiviertem Secure Boot nicht starten.

Dies ist nicht das erste Mal, dass Windows-Updates Probleme verursachen. Im August 2024 führte ein Windows-Sicherheitsupdate, das eine Schwachstelle im Bootloader beheben sollte, dazu, dass einige Systeme mit Dual-Boot-Funktion Linux nicht mehr starten konnten - mit einer Fehlermeldung bezüglich der SBAT-Überprüfung. Die übliche Lösung besteht darin, Secure Boot vorübergehend zu deaktivieren, die Shim- sowie GRUB-Pakete des Linux-Distribution zu aktualisieren und Secure Boot anschließend wieder zu aktivieren. Tools wie fwupd können ebenfalls hilfreich sein, indem sie die Schlüsseldatenbanken des Firmware direkt unter Linux aktualisieren - allerdings hängt das Ergebnis davon ab, wie kooperativ Ihr Hardware-Hersteller ist.

Schneller Start

Ein halbweiser Herunterfahren macht Ihre Windows-Partition für Linux unsicher

„Schneller Start“ klingt harmlos. Anstatt sich vollständig herunterzufahren, speichert Windows den Zustand seines Kernels in einer Hibernations-Datei, damit der nächste Start schneller erfolgt. Das Problem ist jedoch, dass Windows bei der Auswahl der Option „Herunterfahren“ im Grunde in den Ruhezustand wechselt. Die NTFS-Partitionen bleiben dabei in einem „unvollständigen“ Zustand - als könnte das System jederzeit wieder hochfahren. Wenn man anschließend unter Linux versucht, diese Partitionen zu öffnen, weigert sich der Treiber in der Regel, sie im Lese-Schreib-Modus zu mounten; stattdessen wird eine Warnung bezüglich der im Ruhezustand befindlichen Session ausgegeben.

Manche Leute versuchen, das Laufwerk manuell einzuhängen. Das ist jedoch keine gute Idee. Wenn man in ein Dateisystem schreibt, von dem Windows annimmt, dass es genau dort weitermacht, wo es aufgehört hat, kann das zu Datenbeschädigungen führen. Zudem verwirft die ntfs-3g-Option, die die Hibernation-Datei löscht, ebenfalls alle Daten, die Windows im Speicher gespeichert hatte. Auch alle Dateien, die man unter Linux verändert, könnten im Widerspruch zu dem stehen, was Windows nach dem Neustart erwartet.

Die sauberste Lösung besteht darin, die Funktion „Schnellstart“ in den Stromeinstellungen von Windows zu deaktivieren - und zwar im Menü „Auswählen, was die Netzschalter tun“. Dort befindet sich die Option hinter einem Link, für den Administratorrechte erforderlich sind. Das Ausführen des Befehls „powercfg /h off“ in einer erhöhten Eingabeaufforderung geht noch einen Schritt weiter: Dadurch wird die Hibernation komplett deaktiviert, wodurch außerdem mehrere Gigabyte an Festplattenspeicher frei werden. Falls Sie die Funktion „Schnellstart“ lieber beibehalten möchten, wählen Sie vor dem Booten von Linux stets „Neustarten“ statt „Herunterfahren“ - schließlich führt ein Neustart zu einer vollständigen Herunterfahrung des Kernels. In jedem Fall lässt sich dieses Problem leicht vermeiden; dennoch überrascht es viele Einsteiger, da das Standardverhalten wie ein normales Herunterfahren aussieht, in Wirklichkeit aber etwas ganz anderes bewirkt.

BitLocker

Die Festplattenverschlüsselung kann eine Linux-Installation in ein Unterfangen verwandeln, bei dem man nach dem Wiederherstellungsschlüssel suchen muss.

BitLocker stellt die größte Bedrohung in dieser Liste dar - hauptsächlich weil es dazu führen kann, dass Ihre Daten unzugänglich werden. In neueren Versionen von Windows 11 wird die Geräteverschlüsselung auf vielen neuen PCs aktiviert - oft automatisch, sobald Sie sich mit einem Microsoft-Konto anmelden. Der Wiederherstellungsschlüssel wird dabei in diesem Konto gespeichert - anstatt an der Stelle, an der man ihn erwarten würde. BitLocker verknüpft den Verschlüsselungsschlüssel mit dem TPM des Computers; dieses protokolliert dabei Messwerte des Bootvorgangs. Ändern Sie etwas in dieser Kette - etwa durch die Installation eines neuen Bootloaders, die Änderung der Einstellungen von Secure Boot oder ein Firmware-Update - könnte das TPM den Schlüssel verweigern. Das Ergebnis ist ein blauer Wiederherstellungsbildschirm, der nach einem 48-stelligen Schlüssel verlangt - den Sie möglicherweise noch nie zu Gesicht bekommen haben.

Linux erhöht die Wahrscheinlichkeit dafür. Die Installation eines zweiten Betriebssystems bedeutet oft, die Windows-Partition zu verkleinern - Linux-Tools können ein BitLocker-Volume jedoch in der Regel nur dann neu ausrichten, wenn der entsprechende Schlüssel vorliegt. Selbst wenn das möglich ist: Jede Manipulation an einer verschlüsselten Partition außerhalb von Windows führt schnell zum Verlust der Daten. Linux kann BitLocker-Laufwerke mithilfe von Tools wie cryptsetup oder dislocker lesen - allerdings nur, wenn man den Wiederherstellungsschlüssel bzw. das Passwort zur Verfügung hat.

Der sicherste Ansatz ist, sich vor dem Herumprobieren vorzubereiten. Holen Sie Ihren Wiederherstellungsschlüssel hervor und bewahren Sie ihn an einem Ort auf, der sich vom PC entfernt befindet. Deaktivieren Sie den BitLocker-Schutz bzw. entschlüsseln Sie die Festplatte, bevor Sie Linux installieren - zudem sollten Sie die Windows-Partition direkt in Windows verkleinern. Einige Nutzer schalten die Verschlüsselung ganz ab, um sich den Aufwand zu ersparen; dabei opfern sie jedoch die Sicherheit zugunsten der Bequemlichkeit. Egal, für welchen Weg Sie sich entscheiden: Beginnen Sie die Dual-Boot-Installation erst, wenn Sie wissen, wo sich Ihr Schlüssel befindet.

Windows kann das Dual-Boot verhindern, aber gute Planung hilft.

Windows überschreibt Bootloader, ändert die Vertrauenseinstellungen von Secure Boot, lässt Laufwerke in einem halb gesuspendierten Zustand zurück und verschlüsselt Festplatten, ohne zu fragen. Nichts davon ist katastrophal, solange man sich vorher vorbereitet. Halten Sie einen Live-USB-Stick bereit, deaktivieren Sie die Funktion „Schneller Start“, sichern Sie Ihren BitLocker-Schlüssel und aktualisieren Sie die Firmware, bevor Sie Änderungen vornehmen.