🛠️ FIX: Secure Boot Violation – Invalid Signature Detected (Razer Blade 15)

Successfully tested on: Razer Blade 15 Base Early 2021 (RZ09-0369), Windows 11.

❌ The Problem

When enabling Secure Boot in the BIOS, the following error appears:

Secure Boot Violation
Invalid signature detected. Check Secure Boot Policy in Setup.

Windows only boots when Secure Boot is disabled.

✅ The Fix – Step by Step

① Temporarily Disable Secure Boot

1. Restart your laptop and enter the BIOS.

2. Set Secure Boot → Disabled.

3. Save your changes and boot into Windows.

② Open PowerShell as Administrator

Open the Windows Start menu, search for PowerShell, right-click it, and select Run as administrator.

③ Back Up Your EFI Boot Files (Recommended)

Copy and paste the entire block into PowerShell:

$ErrorActionPreference = "Stop"
$backup = "$env:USERPROFILE\Desktop\EFI-Backup-$(Get-Date -Format 'yyyyMMdd-HHmmss')"

New-Item -ItemType Directory -Path $backup -Force | Out-Null
mountvol S: /S

try {
    bcdedit /export "$backup\BCD-Backup"
    if ($LASTEXITCODE -ne 0) { throw "BCD backup failed" }

    robocopy "S:\EFI" "$backup\EFI" /E /XF BCD BCD.LOG BCD.LOG1 BCD.LOG2 /R:1 /W:1
    if ($LASTEXITCODE -ge 8) { throw "EFI backup failed" }

    Write-Host "EFI backup completed successfully: $backup"
}
finally {
    mountvol S: /D
}

Expected output:

EFI backup completed successfully: C:\Users\...\Desktop\EFI-Backup-...

This creates a backup on your desktop.

Note: The BCD file may be locked by Windows. The script handles this by exporting the BCD configuration separately.

④ Repair the Windows Boot Manager ⭐ MOST IMPORTANT STEP

Run the following commands in PowerShell as administrator:

mountvol S: /S
bcdboot C:\Windows /s S: /f UEFI /offline /v
mountvol S: /D

Expected output includes:

BFSVC: Offline mode, using 2011 cert binaries
Boot files successfully created.

The key difference is the /offline parameter.

On our device, this made Windows use the offline boot-file servicing path, which reported using 2011 certificate binaries. After this repair, Secure Boot worked again.

Important: This command rebuilds Windows UEFI boot files. It does not directly update or replace your BIOS Secure Boot certificates.

If bcdboot reports an error, stop and investigate before enabling Secure Boot.

⑤ Re-enable Secure Boot

1. Restart your laptop and enter the BIOS.

2. Set Secure Boot → Enabled.

3. Save your settings and restart Windows.

⑥ Verify That Secure Boot Works 🎉

Open PowerShell and run:

Confirm-SecureBootUEFI

Expected result:

True

DONE! Secure Boot is enabled and Windows boots successfully.

📌 Important Notes

• This method was successfully tested on a Razer Blade 15 Base Early 2021 (RZ09-0369).

• Back up your EFI boot files before making changes.

• Make sure C:\Windows is your actual Windows installation path.

• The commands require administrator privileges and a UEFI-based Windows installation.

• If Secure Boot still prevents Windows from starting, disable it again in the BIOS.

• Do not randomly delete Secure Boot keys or manually replace EFI bootloader files.

• Results may vary depending on your laptop model, BIOS version, and Windows installation.

• The exact underlying cause was not conclusively established, even though the repair worked on the tested device.

🏁 Quick Fix for Advanced Users

Back up your EFI partition first, then run:

mountvol S: /S
bcdboot C:\Windows /s S: /f UEFI /offline /v
mountvol S: /D

Re-enable Secure Boot in the BIOS and verify:

Confirm-SecureBootUEFI

Confirmed result on the tested laptop: True – Secure Boot is working again!
 

###################################################################################

--GERMAN--

###################################################################################

🛠️ FIX: Secure Boot Violation – Invalid Signature Detected

Getestet und erfolgreich behoben auf: Razer Blade 15 Base Early 2021 (RZ09-0369) mit Windows 11.

❌ Das Problem

Nach dem Aktivieren von Secure Boot erscheint:

Secure Boot Violation
Invalid signature detected. Check Secure Boot Policy in Setup.

Windows startet nur mit deaktiviertem Secure Boot.

✅ Die Lösung – Schritt für Schritt

① Secure Boot vorübergehend deaktivieren

• PC neu starten und das BIOS öffnen.

• Secure Boot → Disabled

• Einstellungen speichern und Windows starten.

② PowerShell als Administrator starten

Windows-Startmenü öffnen → PowerShell eingeben → Als Administrator ausführen.

③ EFI-Startdateien sichern

Den gesamten Block kopieren und ausführen:

$ErrorActionPreference = "Stop"
$backup = "$env:USERPROFILE\Desktop\EFI-Backup-$(Get-Date -Format 'yyyyMMdd-HHmmss')"

New-Item -ItemType Directory -Path $backup -Force | Out-Null
mountvol S: /S

try {
    bcdedit /export "$backup\BCD-Backup"
    if ($LASTEXITCODE -ne 0) { throw "BCD-Sicherung fehlgeschlagen" }

    robocopy "S:\EFI" "$backup\EFI" /E /XF BCD BCD.LOG BCD.LOG1 BCD.LOG2 /R:1 /W:1
    if ($LASTEXITCODE -ge 8) { throw "EFI-Sicherung fehlgeschlagen" }

    Write-Host "EFI-Sicherung erfolgreich: $backup"
}
finally {
    mountvol S: /D
}

Erwartete Ausgabe:

EFI-Sicherung erfolgreich: C:\Users\...\Desktop\EFI-Backup-...

④ Bootmanager reparieren ⭐ WICHTIGSTER SCHRITT

Folgenden Block in PowerShell ausführen:

mountvol S: /S
bcdboot C:\Windows /s S: /f UEFI /offline /v
mountvol S: /D

Erwartete Ausgabe:

BFSVC: Offline mode, using 2011 cert binaries
Die Startdateien wurden erfolgreich erstellt.

Der entscheidende Unterschied zum normalen bcdboot-Befehl ist /offline.

Dieser Modus verwendet bei der Auswahl der Windows-Startdateien den älteren Zertifikatspfad. Auf unserem Gerät hat das den Start mit Secure Boot wieder ermöglicht.

⑤ Secure Boot wieder einschalten

• PC neu starten und BIOS öffnen.

• Secure Boot → Enabled

• Einstellungen speichern und Windows starten.

⑥ Erfolg überprüfen 🎉

PowerShell öffnen und eingeben:

Confirm-SecureBootUEFI

Wenn Folgendes erscheint:

True

FERTIG! Secure Boot ist aktiv und Windows startet erfolgreich.

📌 Wichtig zu wissen

• Die Anleitung wurde auf dem Razer Blade 15 Base Early 2021 erfolgreich getestet.

• Vorher unbedingt die EFI-Dateien sichern.

• C:\Windows muss der tatsächliche Windows-Installationspfad sein.

• Wenn der Reparaturbefehl fehlschlägt, nicht einfach fortfahren.

• Wenn Secure Boot weiterhin den Start blockiert, im BIOS wieder deaktivieren.

• Keine Secure-Boot-Schlüssel löschen und keine alten Bootdateien manuell ersetzen.

• Andere Geräte oder BIOS-Versionen können sich anders verhalten.

🏁 Kurzfassung für erfahrene Nutzer

mountvol S: /S
bcdboot C:\Windows /s S: /f UEFI /offline /v
mountvol S: /D

Danach Secure Boot im BIOS aktivieren und prüfen:

Confirm-SecureBootUEFI

Erfolgreich getestet: True – Secure Boot funktioniert wieder!