ThinkPad CBA: BIOS-Zertifikatsauthentifizierung

Certificate-Based BIOS Authentication (CBA) ist Lenovos zertifikatbasierte BIOS-Authentifizierung. Dabei schützt ein digitales Zertifikat den administrativen BIOS-Zugang anstelle eines Supervisor-Passworts. Hier erfahren Sie, wie der Einmalcode funktioniert, warum nicht jede CBA-Abfrage einen QR-Code zeigt und was beim Kauf oder bei der Weitergabe zu klären ist.

Was CBA vom Supervisor-Passwort unterscheidet

Beim Supervisor-Passwort, kurz SVP, schützt ein Passwort den administrativen Zugang zum UEFI / BIOS. Bei CBA übernimmt ein hinterlegtes digitales Zertifikat diese Rolle. Berechtigte Änderungen werden mithilfe des zugehörigen privaten Schlüssels signiert und vom Gerät geprüft. Lenovo beschreibt das Verfahren zur Verwaltung von BIOS-Einstellungen ohne Austausch eines Klartextpassworts.

Für einen Zugriff direkt am Gerät kann die IT einen einmaligen Freigabecode bereitstellen. Damit lässt sich zum Beispiel einem Techniker Zugang gewähren, ohne ihm ein dauerhaft gültiges Verwaltungskennwort zu geben. Nach einem Neustart sind neue Anfragedaten und ein neuer Code erforderlich.

Zertifikat und privater Schlüssel sind unterschiedliche Bestandteile. Das Zertifikat ist im Gerät hinterlegt. Den passenden privaten Signaturschlüssel verwahrt die zuständige IT. Eine Kopie der sichtbaren Zertifikatinformationen ersetzt diesen Schlüssel nicht.

Seit wann gibt es CBA bei ThinkPads?

Lenovo dokumentiert CBA ab dem ThinkPad-Modelljahr 2022. Gegenüber dem klassischen Supervisor-Passwort ist es eine jüngere Funktion, die uns im Service bislang seltener begegnet. Als Orientierung eignen sich Premium-ThinkPads aus der Zeit von Intel der 12. Generation und AMD Ryzen PRO 6000, etwa das ThinkPad Z13 Gen 1. Ob CBA vorhanden ist, hängt vom konkreten Modell und seiner Firmware ab, nicht allein von der CPU-Generation.

Nach unserer Einschätzung wird CBA auch bei gebrauchten Geräten häufiger zum Thema, wenn entsprechende Unternehmensbestände in den Zweitmarkt gelangen.

Welche Zertifikate gibt es – und bleibt das BIOS-Passwort bestehen?

Lenovo unterscheidet Supervisor Certificate und, bei entsprechend ausgestatteten neueren Geräten, System Management Certificate. Sie übernehmen unterschiedliche Verwaltungsrollen. Nicht jedes Modell unterstützt beide Zertifikate.

Für dieselbe Verwaltungsrolle ersetzt das Zertifikat das Passwort. Ein Supervisor-Zertifikat und ein Supervisor-Passwort werden also nicht parallel als zwei alternative Zugänge verwendet. Das bedeutet aber nicht, dass sämtliche anderen Kennwörter verschwinden: Ein Einschaltkennwort oder ein Laufwerks-/NVMe-Kennwort kann weiterhin gesetzt sein. Diese Schutzarten sind keine zusätzlichen CBA-Zertifikattypen.

QR-Code, Anfragedaten und Freigabecode

Bei einer CBA-Abfrage zeigt das ThinkPad Anfragedaten als QR-Code oder längeren Hex-Zeichenblock an. Sie können auch als exportierte Textdatei auf einem USB-Datenträger bereitgestellt werden. Die zuständige IT ermittelt daraus mit dem passenden privaten Schlüssel den mehrstelligen Freigabecode für diesen Vorgang. Anfragedaten und Freigabecode sind also nicht dasselbe.

Der Freigabecode ist ein Einmalpasswort (One-Time Password). Lenovo begrenzt seine Gültigkeit auf die aktuelle Anmeldeaufforderung innerhalb desselben Einschaltvorgangs und auf höchstens zwei Stunden. Nach einem Neustart ist ein neuer Vorgang mit neuem Code erforderlich; ein gespeicherter alter Code wird dadurch nicht erneut gültig.

Aus unserer Praxis kennen wir das ThinkPad Z13 Gen 1 ohne QR-Code in der CBA-Abfrage, stattdessen mit einem Block hexadezimaler Zeichen. Bei dem von uns geprüften Gerät war diese Darstellung auch nach einem BIOS-Update unverändert. Das ist eine Beobachtung an diesem Modell und kein Ausschlusskriterium für CBA. Für eine Anfrage ist deshalb ein Foto der vollständigen Anzeige hilfreich.

Ein Freigabecode für den Zugang ist außerdem nicht automatisch die Entfernung des hinterlegten Zertifikats. Zugang, administrative Berechtigung und dauerhafte Freigabe für die Weitergabe sollten getrennt geprüft werden.

Zuerst die zuständige IT ansprechen

Bei einem verwalteten Unternehmensgerät ist die interne IT der erste Ansprechpartner. Sie kann prüfen, welches Zertifikat hinterlegt wurde und ob der passende Schlüssel verfügbar ist. Lenovo stellt dafür das Lenovo BIOS Certificates Tool und eine Dokumentation zur Verfügung.

Der reguläre Weg führt über die berechtigte Administration. Fehlt der private Schlüssel, ist ein beliebiges anderes Zertifikat kein Ersatz. Auch das bekannte frühere Supervisor-Passwort stellt in einem aktivierten Zertifikatmodus nicht einfach wieder den administrativen Zugang her.

Geben Sie private Signaturschlüssel oder BitLocker-Wiederherstellungsschlüssel nicht in einer Serviceanfrage weiter. Für die erste Einordnung benötigen wir die Gerätedaten und die genaue Anzeige, keine solchen Zugangsdaten.

Bei Verkauf und Ausmusterung die Freigabe dokumentieren

Ein Gerät sollte nach der Übergabe von der neuen verantwortlichen Stelle administriert werden können. Klären Sie deshalb vor Verkauf, Leasingrückgabe oder Weitergabe:

Ist ein Supervisor- oder System-Management-Zertifikat eingerichtet?
Welche IT-Stelle kann es verwalten und die vereinbarte Freigabe durchführen?
Wurde der Zustand nach der Freigabe geprüft und dem richtigen Gerät zugeordnet?
Sind weitere Themen wie Datenträger und Geräteverwaltung separat erledigt?

Für den Wareneingang bietet unsere Checkliste für gebrauchte ThinkPads einen kurzen Prüfablauf. Bei Sammelaufträgen hilft der Ratgeber zu Geräteposten bei der Zuordnung und Vorbereitung.

CBA ist keine Datenträgerverschlüsselung

CBA betrifft die Authentifizierung für die BIOS-Verwaltung. BitLocker verschlüsselt dagegen Laufwerksdaten. Ein BitLocker-Wiederherstellungsschlüssel ist kein CBA-Signaturschlüssel. Eine CBA-Entsperrung entschlüsselt keine SSD und ersetzt keine Abmeldung aus Intune oder Windows Autopilot.

Diese Trennung ist auch für eine Einsendung wichtig: Sichern Sie Ihre Daten und bereiten Sie Datenträger nach unserem Ratgeber zu Datenschutz und Einsendung vor.

Wenn die bisherige Administration den Zugang nicht freigeben kann

Unser ThinkPad-Entsperrservice umfasst Anfragen zu SVP- und CBA-Sperren. Wir verwenden eine eigenständig entwickelte Methode. Den konkreten Leistungsumfang klären wir anhand des Geräts; dieser Beitrag beschreibt weder interne Verfahrensdetails noch eine pauschale Zusage für jedes Modell.

Senden Sie uns Modell, Generation, MTM und die vollständige Anzeige über den Kontakt oder stellen Sie direkt eine Serviceanfrage zur CBA-Entsperrung. Nennen Sie auch Startfähigkeit, bekannte Vorschäden und frühere Eingriffe. Voraussetzung für einen Auftrag ist rechtmäßiges Eigentum oder eine wirksame Bevollmächtigung. Die Einsendung stimmen wir anschließend mit Ihnen ab.