BIOS vs. UEFI: Welches System ist die beste Wahl für technikinteressierte IT-Entscheider?

Inhalt in Kürze

• BIOS läuft aus, UEFI ist Standard — seit 2020 liefert kein großer Hersteller mehr reine Legacy-BIOS-Systeme aus. Wer heute noch MBR-Platten und CSM-Modus nutzt, riskiert Windows-11-Inkompatibilität und Secure-Boot-Lücken.
• Windows 11 erzwingt UEFI + Secure Boot + TPM 2.0 — ohne diese drei läuft Microsofts aktuelles Betriebssystem offiziell nicht. Am 14. Oktober 2025 endete der Consumer-Support für Windows 10.
• UEFI bootet in ~5 Sekunden, klassisches BIOS brauchte 30–60. Unterstützt werden Festplatten über 2 TB (GPT statt MBR) und bis zu 128 Partitionen statt 4 primärer.
• Secure Boot schützt vor UEFI-Bootkits — Pre-Boot-Malware, die klassische Antivirenprogramme nicht erkennen. Laut Microsoft Learn eine der Kern-Sicherheitsanforderungen moderner Windows-Geräte.
• Professionelles Fleet-Management (Microsoft Intune, OEM-Tools) sorgt bei 20+ Arbeitsplätzen für einheitliche UEFI-Konfigurationen — manuell am einzelnen Gerät ist das nicht mehr wirtschaftlich.

Das Thema BIOS vs. UEFI klingt nach einem Detail für Hardware-Nerds. Ist es aber nicht mehr. Seit Windows 11 an TPM 2.0 und Secure Boot gekoppelt ist, und seit UEFI-Bootkits wie BlackLotus in der Praxis auftauchen, ist das eine Sicherheits- und Compliance-Frage geworden. In diesem Artikel räumen wir die Mythen weg, vergleichen beide Systeme sauber und zeigen, was IT-Entscheider 2026 konkret umsetzen sollten.

Was ist BIOS, was ist UEFI?

BIOS (Basic Input/Output System) ist die Firmware, die seit Anfang der 1980er-Jahre in PCs steckt. Sie wohnt in einem kleinen Flash-Baustein auf dem Mainboard und startet nach dem Einschalten als allererstes — noch vor dem Betriebssystem. BIOS initialisiert die Hardware (CPU, RAM, Grafikkarte, Datenträger), führt den POST (Power-On Self-Test) aus und übergibt dann an den Bootloader auf der Festplatte.

UEFI (Unified Extensible Firmware Interface) übernimmt dieselbe Rolle, aber auf moderner Basis. Das UEFI-Konsortium (heute UEFI Forum) veröffentlichte die erste Spezifikation 2007, seit 2012 ist UEFI in Business-PCs Standard. Gegenüber BIOS bringt es vier fundamentale Neuerungen:

1. GPT statt MBR — Partitionstabelle im 64-Bit-Format, unterstützt Festplatten über 2 TB und bis zu 128 Partitionen.
2. Secure Boot — kryptografische Signaturprüfung aller Boot-Komponenten, bevor das Betriebssystem geladen wird.
3. Modulare Treiberarchitektur — UEFI-Module ersetzen die monolithische 16-Bit-Architektur, dadurch schnellerer Boot und bessere Hardware-Erkennung.
4. Grafische Oberfläche mit Maus-Support — das klassische Blau-Weiß-Textmenü ist Geschichte, moderne UEFI-Setups sehen aus wie kleine Betriebssysteme.

Kurz gesagt: BIOS ist ein 40 Jahre altes Stück Firmware-Geschichte. UEFI ist der Standard, auf dem 2026 praktisch jeder neue Business-PC läuft.

BIOS vs. UEFI im Vergleich

Die wichtigsten Unterschiede auf einen Blick. Diese Tabelle nutzen wir regelmäßig in Kundengesprächen, wenn wir erklären, warum eine Windows-11-Migration ohne UEFI-Upgrade nicht funktioniert:

Die harte Grenze liegt bei Windows 11: Microsoft hat im offiziellen Kompatibilitätsdokument festgelegt, dass UEFI mit Secure Boot und TPM 2.0 nicht verhandelbar ist. Wer zum 14. Oktober 2025 (End-of-Support für Windows 10 Consumer) nicht UEFI-fähig ist, steht ohne Patches da.

Warum UEFI das alte BIOS ersetzt hat

Der Übergang von BIOS zu UEFI kam nicht aus Schönheitsgründen. Drei technische Limits machten BIOS ab Mitte der 2000er untragbar:

1. Die 2-TB-Grenze der MBR-Partitionstabelle. Der Master Boot Record nutzt 32-Bit-Adressen für Sektoren — bei 512 Byte pro Sektor ergibt das genau 2,2 TB Maximum. Ab 2010 wurden 3-TB- und 4-TB-Festplatten Standard im Consumer-Markt. BIOS konnte davon nur die ersten 2 TB nutzen. GPT mit 64-Bit-Adressen sprengt diese Grenze auf 9,4 Zettabyte.

2. Die 16-Bit-Architektur blockierte moderne Hardware. BIOS läuft im Real Mode — der ursprünglichen Intel-8086-Architektur aus 1978. Der Real Mode kann maximal 1 MB Arbeitsspeicher direkt adressieren und kennt keine Multi-Core-Prozessoren. Treiber im 16-Bit-Modus für 2026er Hardware zu schreiben ist praktisch unmöglich.

3. Die fehlende Sicherheitsarchitektur. BIOS hatte keinen Mechanismus, um manipulierten Boot-Code zu erkennen. Bootkits wie Mebromi (2011) oder später LoJax (2018) und BlackLotus (2023) infizierten Rechner auf Firmware-Ebene — unter jedem Virenscanner. Secure Boot löst das durch kryptografische Prüfung vor dem Boot.

Die Konsequenz: UEFI ist kein Komfort-Upgrade. Es ist die Voraussetzung für alles, was ein moderner PC heute leistet — von Windows 11 über schnelles Booten bis zu hardwareverankertem Schutz.

Wir sehen noch heute bei Neukunden Rechner, bei denen UEFI vorhanden ist, aber im CSM-Modus läuft und Secure Boot aus. Dann ist die Hardware da, aber der Schutz nicht. Zwei Haken im UEFI-Setup — und man ist plötzlich eine Sicherheitsklasse höher.

Jens HagelGeschäftsführer, hagel IT-Services GmbH

Secure Boot — Sicherheit ab Hardware-Ebene

Secure Boot ist die wichtigste neue Funktion, die UEFI mitbringt — und zugleich diejenige, die in Unternehmen am häufigsten falsch konfiguriert oder schlicht deaktiviert ist. Was sie macht:

Beim Start prüft die UEFI-Firmware jede ausführbare Komponente des Boot-Prozesses — Bootloader, OS-Kernel, Treiber — gegen eine Datenbank kryptografischer Signaturen, die sogenannte DB (Allowed Signature Database). Gleichzeitig gibt es eine Sperrliste (DBX) mit bekannten bösartigen Signaturen. Nur was signiert und nicht gesperrt ist, wird gebootet.

In der Praxis schützt Secure Boot vor drei konkreten Angriffsklassen:

• UEFI-Bootkits wie BlackLotus (2023), die vor dem Virenscanner laden und Windows komplett unterwandern.
• Manipulierte Bootloader (z.B. durch physischen Zugriff auf die Festplatte im Servicefall).
• Unsignierte Betriebssystem-Module, die Privilegienerhöhung auf Kernel-Ebene versuchen.

Unsere Empfehlung für Business-PCs: Secure Boot ist Pflicht. Kein Ausnahme. Der einzige Fall, in dem wir es temporär deaktivieren, ist die Neuinstallation bestimmter Linux-Distributionen oder Hardware-Diagnose-Tools — und danach sofort wieder ein.

TPM 2.0 und UEFI — Voraussetzung für Windows 11

Das Trusted Platform Module ist ein separater Kryptochip auf dem Mainboard (oder firmwareseitig emuliert: Intel PTT, AMD fTPM). Es speichert kryptografische Schlüssel hardwareseitig — komplett getrennt vom Betriebssystem. Selbst wenn Windows kompromittiert ist, bleiben die Schlüssel im TPM unzugänglich.

Wofür Windows 11 TPM 2.0 nutzt:

• BitLocker-Festplattenverschlüsselung — der BitLocker-Schlüssel liegt im TPM, die Platte entsperrt sich nur auf dem ursprünglichen Gerät.
• Windows Hello — biometrische Anmeldedaten (Fingerabdruck, Gesichtserkennung) werden im TPM versiegelt.
• Credential Guard — Windows-Zugangsdaten laufen in einer virtualisierten TPM-geschützten Umgebung, gegen Pass-the-Hash-Angriffe.
• Measured Boot — jedes Boot-Modul wird gehasht und im TPM gespeichert; Abweichungen = Manipulations-Indikator.

Häufiger Fehler in der Praxis: Die Hardware hat TPM 2.0, aber im UEFI-Setup ist es deaktiviert. Bei Intel-Systemen heißt der Schalter meist PTT (Platform Trust Technology), bei AMD fTPM (firmware TPM), zu finden unter Security oder Advanced. Einschalten, speichern, rebooten — fertig.

UEFI im Unternehmenskontext — Fleet-Management und Compliance

Bei einem einzelnen PC dreht man die UEFI-Einstellungen manuell. Bei 50 Arbeitsplätzen geht das nicht mehr. Modernes UEFI-Management in Unternehmen läuft über drei Ebenen:

1. Microsoft Intune + Autopilot. Beim Auspacken eines neuen Laptops kontaktiert er Microsoft, lädt die Unternehmensrichtlinien und konfiguriert UEFI-relevante Einstellungen (BitLocker, Secure Boot, Windows-Hello-Policies) automatisch. Kein Techniker muss das Gerät anfassen. Voraussetzung: der Hersteller liefert ein UEFI-Gerät mit aktiver TPM 2.0 aus.

2. OEM-Management-Tools. Für tiefere UEFI-Anpassungen (z.B. Boot-Reihenfolge, CSM-Deaktivierung, Passwort-Management) haben alle großen Hersteller eigene Tools:

• Dell Command | Configure (Windows/Linux CLI)
• HP BIOS Configuration Utility (BCU)
• Lenovo ThinkBIOS Config Tool
• Microsoft Surface Enterprise Management Mode (SEMM)

Diese Tools werden via Intune, SCCM oder PowerShell-Scripts ausgerollt — hunderte Geräte in einem Wartungsfenster.

3. Remote-Management-Standards. Im Server-Bereich etabliert sich Redfish (DMTF-Standard) als Nachfolger von IPMI. Über eine REST-API lässt sich UEFI-Konfiguration, Firmware-Updates und Boot-Management aus der Ferne steuern — kritisch für Monitoring und Incident-Response.

Mehr zu unserem Ansatz finden Sie auf der Seite Managed Workplace — dort ist das komplette Fleet-Management inkl. UEFI-Hardening enthalten.

Troubleshooting: Typische UEFI-Probleme in der Praxis

Wenn wir Altgeräte auf UEFI umstellen oder bei Neukunden Audits machen, tauchen diese fünf Probleme immer wieder auf:

1. Boot-Schleife nach CSM-Deaktivierung: Das Gerät bootet endlos ins UEFI-Setup, weil die Festplatte noch eine MBR-Partitionstabelle hat. Lösung: CSM temporär wieder an, Windows starten, MBR2GPT.exe ausführen, dann CSM aus und Secure Boot ein.
2. Fast Boot blockiert externe Medien: Fast Boot überspringt die Initialisierung externer Geräte — USB-Boot-Sticks werden nicht erkannt. Für Recovery temporär deaktivieren, nach Abschluss wieder aktivieren.
3. TPM zeigt als „nicht bereit": Hardware ist da, aber TPM ist im UEFI deaktiviert oder wurde nach Mainboard-Wechsel nicht initialisiert. In PowerShell: Get-Tpm prüft den Status. Bei „TpmReady: False" im UEFI aktivieren und ggf. clearen.
4. Secure Boot funktioniert nicht nach Linux-Dual-Boot: Klassiker. Nach GRUB-Installation sind die Signaturen inkonsistent. Lösung: Shim-Loader von Debian/Ubuntu verwenden, der offiziell von Microsoft signiert ist — oder MOK (Machine Owner Key) registrieren.
5. Legacy-Mode in VMs: VMware/Hyper-V-VMs laufen teilweise noch mit Legacy-BIOS. Für Windows-11-Gäste muss die VM als Generation 2 (Hyper-V) bzw. mit EFI-Firmware (VMware) neu erstellt werden — In-Place-Umstellung ist nicht möglich.

Häufige Fehler in der Praxis

Nach knapp 200 Migrationen von BIOS/Legacy-Modus auf reines UEFI sehen wir immer wieder dieselben Muster. Die typischen Fehler, die ein IT-Audit aufdeckt:

1. CSM noch aktiv. Das Compatibility Support Module erlaubt Legacy-Boot auf UEFI-Hardware. Bequem für Altsoftware — aber Secure Boot funktioniert nicht zuverlässig, und Windows 11 verweigert den Betrieb.
2. TPM vorhanden, aber ausgeschaltet. In 90 % der Intel-Geräte ab 2016 ist PTT im UEFI-Setup standardmäßig aus. Ein Setup-Haken setzen reicht.
3. Secure Boot „aus, aber war ja mal an”. Oft wurde Secure Boot deaktiviert, um einen Linux-USB-Stick zu booten — und danach vergessen zu reaktivieren.
4. MBR-Platten auf UEFI-Hardware. UEFI läuft, die Festplatte ist aber MBR-formatiert. Kein Secure Boot, kein GPT, kein BitLocker mit Recovery-Key im TPM.
5. Kein zentrales UEFI-Passwort. Das Supervisor-Passwort im UEFI-Setup verhindert, dass jemand physisch vor dem Gerät Einstellungen ändert. Bei 95 % der KMU-Geräte ist das Feld leer.
6. Firmware-Update seit 3 Jahren nicht gemacht. UEFI-Schwachstellen wie CVE-2022-21894 (Baton Drop) werden nur durch Firmware-Updates geschlossen — kein Windows-Patch hilft dagegen.
7. Boot-Reihenfolge nicht eingefroren. Ohne UEFI-Passwort kann jeder am eingeschalteten Gerät mit einem USB-Stick booten und die Festplatte direkt lesen (falls nicht BitLocker-verschlüsselt).

Genau diese Punkte prüfen wir bei einem Managed-IT-Audit — in 2–3 Arbeitstagen ist klar, wo die Lücken sitzen.

Checkliste: UEFI richtig konfigurieren

Prüfen Sie Ihr Unternehmen anhand dieser 8 Punkte — wenn Sie auch nur einen nicht beantworten können, haben Sie einen konkreten Hebel:

• UEFI-Modus aktiv (kein CSM/Legacy). Prüfbar unter Windows via msinfo32 → BIOS-Modus muss „UEFI" anzeigen.
• Secure Boot eingeschaltet. In msinfo32 steht „Sicherer Startzustand: Ein". Falls „Aus": UEFI-Setup → Boot → Secure Boot → Enabled.
• TPM 2.0 aktiv und bereit. PowerShell: Get-Tpm → TpmPresent: True, TpmReady: True, TpmEnabled: True.
• Partitionstabelle auf GPT. PowerShell: Get-Disk | Select Number, PartitionStyle → muss „GPT" sein, nicht „MBR".
• BitLocker aktiv mit TPM-Bindung. manage-bde -status C: → Protection Status: Protection On, Key Protectors: TPM.
• UEFI-Supervisor-Passwort gesetzt. Verhindert physische Manipulation. Zentral gemanagt via OEM-Tool oder SEMM.
• Fast Boot bewusst entschieden. Schneller Boot, aber blockiert Recovery-Medien. Für Produktiv-Clients meist an, für Entwickler-Rechner aus.
• UEFI-Firmware aktuell (< 12 Monate). Herstellerseite prüfen oder via Dell Command Update / HP Support Assistant / Lenovo Vantage.

Was Sie heute tun können

Drei konkrete Schritte, die Sie diese Woche starten können — keine davon braucht eine Großinvestition:

1. Einen Arbeitsplatz prüfen: Windows-Taste + R → msinfo32 → BIOS-Modus und Sicherer Startzustand ablesen. Sind beide UEFI + Ein? Gratulation. Falls nicht, haben Sie ein konkretes To-do.
2. TPM-Status abfragen: In PowerShell als Admin Get-Tpm ausführen. Falls TpmReady auf False steht: UEFI-Setup öffnen, PTT/fTPM aktivieren, rebooten. Dauer: 10 Minuten pro Gerät.
3. Windows-11-Migrationsplan erstellen: Für alle Geräte, die heute noch Windows 10 haben, klären: UEFI-fähig ja/nein, TPM 2.0 ja/nein. Geräte ohne beides müssen ersetzt werden — Support-Ende war am 14.10.2025, jeder Tag ohne Patches ist ein Risiko.

Wer das bei 50 Arbeitsplätzen nicht selbst durchtakten will, holt sich Managed-IT-Unterstützung. Wir machen das via Intune und OEM-Tools zentral — Sie bekommen einen Status-Report, keinen Aufwand.

Fazit

UEFI ist keine Option mehr, sondern die Grundlage für alles, was moderne IT-Sicherheit ausmacht: Secure Boot verhindert Pre-Boot-Malware, TPM 2.0 verankert Schlüssel in Hardware, BitLocker verschlüsselt die Festplatte gegen Diebstahl, Windows 11 erzwingt den kompletten Stack. Wer als IT-Entscheider in Hamburg und Norddeutschland heute noch BIOS-Systeme oder UEFI im CSM-Modus betreibt, lässt sehenden Auges eine ganze Schutzschicht ungenutzt.

Der Aufwand ist in den meisten Fällen überschaubar: Bei Business-Hardware ab 2016 sind UEFI und TPM 2.0 vorhanden — es geht nur darum, sie sauber zu aktivieren, die Festplatte auf GPT zu konvertieren und die Fleet-weit einheitlich zu halten. Genau dafür gibt es Managed Workplace und Cybersecurity-as-a-Service — inklusive Firmware-Updates, die sonst regelmäßig liegenbleiben.

Wer unsicher ist, wo die eigene IT gerade steht, prüft das am schnellsten in einem kurzen Gespräch. Wir sehen den Status in ~10 Minuten ein und sagen ehrlich, wo die Hebel sitzen.

Weiterführende Quellen:

• Microsoft Learn — OEM Secure Boot Requirements
• Microsoft Learn — Windows 11 System Requirements
• UEFI Forum — UEFI Specification 2.10
• BSI — TPM-Anwendungen im Unternehmen
• heise online — BlackLotus: Erstes UEFI-Bootkit in freier Wildbahn
• Intel — Platform Trust Technology (PTT) Overview

Verwandter Artikel auf unserem Blog: Warum sind Software-Updates so wichtig? — wie Patch-Management für UEFI-Firmware, Betriebssysteme und Anwendungen zusammenspielt.