MOK

1 MOK – Machine Owner Key (Der Hardware-Besitzerschlüssel)

MOK steht für Machine Owner Key (übersetzt: Schlüssel des Maschinen-Besitzers). Es handelt sich dabei um ein Sicherheits-Verfahren innerhalb des modernen Computer-Systemstarts (UEFI Secure Boot).

Die Hauptaufgabe von MOK ist es, dem tatsächlichen Besitzer eines Computers (also dir) zu erlauben, eigene, vertrauenswürdige Betriebssystem-Kerne (Kernel) oder Hardware-Treiber im System zu hinterlegen, sodass diese trotz eines aktivierten Secure Boots sicher und fehlerfrei starten dürfen.

1.1 🔬 Das Problem, das MOK löst (Der Microsoft-Hintergrund)

Wenn Secure Boot im UEFI (dem modernen BIOS) deines PCs aktiviert ist, prüft der Computer vor jedem Start, ob die zu ladende Software (z. B. der Linux-Kernel oder ein Grafiktreiber) digital signiert ist.

• Der Haken:
  Ab "Werk" sind fast alle Computer weltweit nur mit den digitalen Schlüsseln von Microsoft und den großen Hardware-Herstellern ausgestattet.
• Große Linux-Distributionen (wie Debian, Fedora oder openSUSE) nutzen einen kleinen, von Microsoft offiziell signierten Vor-Bootloader namens Shim. Dieser erlaubt es, dass das Linux-System trotz Secure Boot startet.
• Das MOK-Szenario:
  Was passiert aber, wenn du unter Debian oder Arch einen brandneuen Kernel selbst kompilierst oder den proprietären NVIDIA-Grafiktreiber installierst? Diese Software besitzt keine Microsoft-Signatur. Secure Boot würde den Start des Treibers oder des Kernels sofort knallhart blockieren.

Genau hier kommt MOK ins Spiel:
Es ist eine eigene, kleine Datenbank im Mainboard-Speicher, in die du deinen eigenen, privaten Schlüssel importieren kannst. Das System sagt dann: „Dieser Treiber ist zwar nicht von Microsoft signiert, aber er ist mit dem MOK-Schlüssel des Besitzers signiert – also vertraue ich ihm und starte ihn!“

1.2 ⚙️ Der typische MOK-Ablauf im Alltag (Der blaue Bildschirm)

Wenn du im Terminal einen Treiber installierst, der eine Signatur benötigt, generiert Linux im Hintergrund automatisch einen MOK-Schlüssel. Beim nächsten Neustart des PCs bootet der Rechner nicht direkt ins Linux, sondern es erscheint ein blauer oder grauer Text-Bildschirm mit der Überschrift:

MOK Management (oder Perform MOK management)

Viele Nutzer erschrecken hier, weil keine Maus funktioniert und der Bildschirm "kaputt" aussieht.

1. Im Menü mit den Pfeiltasten auf Enroll MOK (Schlüssel registrieren) navigieren und Enter drücken.
2. Auf Continue (Fortfahren) klicken.
3. Bei der Frage „Enroll the key(s)?“ auf Yes klicken.
4. Nun verlangt das System das MOK-Passwort.
   (Hinweis: Dieses Passwort hat man meistens kurz zuvor bei der Treiber-Installation im Linux-Terminal selbst festgelegt, oder die Distribution vergibt ein Standard-Passwort wie 1234).
5. Nach der korrekten Passworteingabe auf Reboot klicken.

Ab diesem Moment ist der Schlüssel dauerhaft im Mainboard hinterlegt. Das System bootet ganz normal in dein Debian oder Arch, und der neue Grafiktreiber oder das VirtualBox-Modul läuft einwandfrei.

1.3 ⚠️ Die klassischen Stolpersteine

1.3.1 1. „Ich habe den blauen MOK-Bildschirm beim Booten einfach ignoriert / übersprungen. Jetzt startet mein Linux nur noch mit minimaler Auflösung!“

• Die Ursache:
  Der Nutzer hat die Registrierung des Schlüssels verweigert. Secure Boot hat daraufhin das Laden des NVIDIA- oder AMD-Grafiktreibers blockiert. Linux greift nun auf den minimalen Software-Grafiktreiber (Nouveau oder Vesa) zurück.

• Die Lösung:
  Man muss den Registrierungsprozess im Terminal manuell neu anstoßen, damit der blaue Bildschirm beim nächsten Neustart wieder erscheint. Unter Debian/Ubuntu tippt man dazu diesen Befehl ein:

  Code

  sudo update-secureboot-policy --enroll-key

  Danach den PC neu starten und die obige 5-Schritte-Anleitung befolgen.

1.3.2 2. „Kann ich Secure Boot im BIOS nicht einfach komplett ausschalten, um mir den MOK-Ärger zu sparen?“

• Die Antwort:
  Ja, das geht. Wenn man Secure Boot im UEFI-Menü des Mainboards deaktiviert, ignoriert das System alle Signaturen und startet jeden Treiber sofort.
• Der Rat:
  Für ein reines Linux-System ist das Deaktivieren oft der einfachste Weg. Wenn der Nutzer jedoch ein Dual-Boot-System nutzt (Linux und Windows parallel auf einem PC), sollte Secure Boot eingeschaltet bleiben, da Windows (insbesondere Windows 11) sehr penibel auf ein aktiviertes Secure Boot achtet. In diesem Fall ist der Weg über MOK die einzig saubere und sichere Methode.