Wie signiere ich einen Treiber für Windows 11?

**Einen Windows-11-Treiber signierst du nicht einfach mit irgendeinem Zertifikat: Für die normale Installation auf anderen Rechnern brauchst du in der Praxis eine Microsoft-signierte Freigabe über das Hardware Developer Center; ein selbst signierter Treiber funktioniert meist nur für Tests oder mit deaktivierter Signaturprüfung.** ## Was unter Windows 11 wirklich gilt Windows 11 akzeptiert Kernel-Mode-Treiber im Regelfall nur, wenn sie den aktuellen Signaturanforderungen entsprechen. Für produktive Verteilung ist der übliche Weg heute: 1. Treiberpaket bauen 2. CAT-Datei erzeugen 3. Paket mit einem EV-Code-Signing-Zertifikat absichern bzw. dein Entwicklerkonto dafür nutzen 4. Paket bei Microsoft über das Hardware Developer Center einreichen 5. Von Microsoft signiertes Paket zurückbekommen und verteilen Der entscheidende Punkt: **Die eigentliche vertrauenswürdige Freigabe für breite Windows-11-Installation kommt normalerweise von Microsoft, nicht von deiner lokalen `signtool`-Signatur allein.** ## Der praktische Unterschied: Test vs. echte Auslieferung ### Für Entwicklung und Test Wenn du nur lokal entwickelst, kannst du: - ein Testzertifikat erstellen - den Treiberkatalog damit signieren - das Zertifikat im Testsystem als vertrauenswürdig importieren - Windows im Testmodus betreiben Typisch ist das für eigene Laborsysteme oder VMs. Für normale Nutzerrechner ist das keine saubere Lösung. ### Für echte Verteilung Wenn der Treiber auf fremden Windows-11-Systemen ohne Sonderkonfiguration laufen soll, brauchst du in der Regel den offiziellen Microsoft-Weg über das [Hardware Developer Center](https://learn.microsoft.com/windows-hardware/drivers/dashboard/). Dort beschreibt Microsoft auch die aktuellen Anforderungen für die [Treiber-Signierung](https://learn.microsoft.com/windows-hardware/drivers/install/kernel-mode-code-signing-requirements--windows-vista-and-later-). ## Technischer Ablauf ## 1. Treiberpaket vorbereiten Du brauchst mindestens: - `.sys` - `.inf` - `.cat` Die CAT-Datei ist wichtig, weil Windows nicht nur die Binärdatei, sondern das Treiberpaket als Ganzes bewertet. ## 2. Katalogdatei erzeugen Mit dem WDK geschieht das typischerweise über `Inf2Cat`. Beispiel: ```powershell Inf2Cat /driver:"C:\Treiber\MeinDriver" /os:10_X64 ``` Für Windows 11 ist wichtig: Die Zielplattform muss zu deinem Paket passen. Viele Anleitungen im Netz sind hier zu alt oder zu ungenau und nennen nur „Windows 10“, obwohl das Paket und die Attestation-/HLK-Strecke sauber zur aktuellen Zielplattform passen müssen. ## 3. Katalog signieren Für Testzwecke etwa so: ```powershell signtool sign /v /fd SHA256 /f C:\Zertifikate\testcert.pfx /p DEINPASSWORT C:\Treiber\MeinDriver\mein.cat ``` Optional mit Zeitstempel: ```powershell signtool sign /v /fd SHA256 /tr http://timestamp.digicert.com /td SHA256 /f C:\Zertifikate\testcert.pfx /p DEINPASSWORT C:\Treiber\MeinDriver\mein.cat ``` Wichtig: **Für produktive Verteilung ersetzt dieser Schritt nicht die Microsoft-Signierung.** Er ist eher Teil des Einreichungs- oder Testprozesses. ## 4. Testsystem vorbereiten Wenn du mit Testsignaturen arbeitest, musst du auf dem Testrechner meist: - Testzertifikat in „Vertrauenswürdige Stammzertifizierungsstellen“ und ggf. „Vertrauenswürdige Herausgeber“ importieren - Testmodus aktivieren Beispiel: ```powershell bcdedit /set testsigning on ``` Danach Neustart. ## 5. Installation prüfen Treiberpaket z. B. mit `pnputil` installieren: ```powershell pnputil /add-driver C:\Treiber\MeinDriver\mein.inf /install ``` Status prüfen: ```powershell signtool verify /kp /v C:\Treiber\MeinDriver\mein.cat ``` ## Was viele Anleitungen falsch oder unvollständig erklären ### „Ich signiere einfach die SYS-Datei“ Für Plug-and-Play-Treiber ist meist das **Treiberpaket mit CAT-Datei** entscheidend, nicht nur die nackte `.sys`. ### „Ein normales Code-Signing-Zertifikat reicht“ Für moderne Windows-Versionen ist das für Kernel-Treiber in der Regel **nicht** der vollständige produktive Weg. ### „Selbst signiert = funktioniert überall“ Nein. Das funktioniert typischerweise nur auf speziell vorbereiteten Testsystemen. ## Was für dich praktisch die richtige Lösung ist - **Nur Entwicklung / internes Testen:** Testzertifikat + Testmodus - **Verteilung an Kunden / normale PCs:** Microsoft-Signierung über Developer Center - **Unternehmensinterne Spezialumgebung:** Eventuell eigene PKI plus kontrollierte Richtlinien, aber das ist ein Sonderfall und administrativ aufwendig ## Wichtigster Praxistipp Wenn du neu damit anfängst, verschwende keine Zeit mit alten Blogposts zu Cross-Signing. Für Windows 11 ist fast immer der schnellste saubere Weg: **WDK nutzen, CAT erzeugen, Paket im Microsoft-Portal signieren lassen und erst dann verteilen.** Wenn du magst, kann ich dir auch den **konkreten Ablauf für ein KMDF-Beispielprojekt in Visual Studio + WDK** zeigen.