BIOS-Update sicher durchführen: Anleitung am Beispiel ASRock AM5, inklusive BitLocker-Vorbereitung

Ein BIOS-Update gehört zu den Wartungsarbeiten, die selten anstehen und deshalb bei jedem Mal wieder Fragen aufwerfen: Welche Version ist die richtige, wie kommt sie sicher auf das Board, und was ist vorher und nachher zu beachten? Diese Anleitung dokumentiert den kompletten Ablauf am Beispiel eines ASRock A620I Lightning WiFi (Sockel AM5) mit der herstellereigenen Methode Instant Flash. Die Schritte übertragen sich auf jedes moderne Mainboard, die kritischen Punkte (BitLocker, Fast Boot, Einstellungs-Reset) sind herstellerunabhängig.

Wann ein BIOS-Update angezeigt ist

Drei Anlässe rechtfertigen den Eingriff. Erstens Sicherheitskorrekturen: Firmware-Lücken lassen sich nur über ein BIOS-Update schliessen, und die Changelogs der Hersteller benennen sie meist nur knapp. Zweitens Kompatibilität: Unterstützung für neue CPU-Generationen und verbesserte Speicherkompatibilität kommen ausschliesslich über neue Firmware-Stände, bei AM5 über die AGESA-Referenzfirmware von AMD, die die Board-Hersteller in ihre BIOS-Versionen einbetten. Drittens Stabilität: Startet ein System spontan neu und protokolliert das Ereignisprotokoll dazu nur Kernel-Power 41 mit BugcheckCode=0, ist der Absturz auf Hardware- oder Firmware-Ebene passiert, ohne Beteiligung von Windows; typische Ursachen sind instabile Spannungen und Speichertraining, und genau diese Ebene pflegen die AGESA-Releases. Einträge wie “Improve memory compatibility and system stability” oder ein überarbeitetes EXPO-Handling in den Changelogs sind der Hinweis, dass ein Update solche Probleme adressiert. Läuft ein System dagegen stabil und ist von den behobenen Lücken nicht betroffen, ist Abwarten legitim; ein BIOS-Update ohne Anlass ist ein Risiko ohne Gegenwert.

Schritt 1: Ist-Zustand ermitteln

Bevor Sie etwas herunterladen, brauchen Sie zwei Angaben: das exakte Board-Modell und die installierte BIOS-Version. Beides liefert PowerShell ohne Neustart:

Get-CimInstance Win32_ComputerSystem | Select-Object Manufacturer, Model
Get-CimInstance Win32_BIOS | Select-Object SMBIOSBIOSVersion, ReleaseDate

Optionen erklärt

Option	Wirkung
Win32_ComputerSystem	Positionsargument ClassName: CIM-Klasse mit Hersteller und Modell des Systems
Win32_BIOS	CIM-Klasse mit den Firmware-Angaben, darunter Version und Datum
Select-Object <eigenschaften>	reduziert die Ausgabe auf die genannten Eigenschaften

Notieren Sie sich die Version. Sie brauchen sie später für die Erfolgskontrolle, und beim Lesen der Changelogs wollen Sie wissen, welche Versionen Sie überspringen.

Schritt 2: BIOS herunterladen und Prüfsumme verifizieren

Laden Sie das BIOS ausschliesslich von der Produktseite des Herstellers, nie von Drittanbieter-Portalen. ASRock veröffentlicht zu jeder Version die SHA256-Prüfsumme; nach dem Download vergleichen Sie diese, bevor die Datei auch nur in die Nähe eines USB-Sticks kommt:

Get-FileHash .\A620I_Lightning_WiFi_4.43.zip -Algorithm SHA256

Optionen erklärt

Option	Wirkung
.\A620I_…_4.43.zip	Positionsargument Path: die zu prüfende Datei
-Algorithm SHA256	Hash-Verfahren; muss zum vom Hersteller publizierten Prüfsummen-Typ passen

Stimmt der Wert nicht mit der Herstellerangabe überein, ist der Download beschädigt oder manipuliert: nicht flashen. Nach dem Entpacken bleibt eine einzelne ROM-Datei übrig, im Beispiel A62IRW_4.43.ROM mit 32 MB.

Schritt 3: USB-Stick vorbereiten

Der Flash-Mechanismus im UEFI (bei ASRock “Instant Flash”, bei anderen Herstellern Q-Flash, EZ Flash oder M-Flash) liest den Stick direkt aus der Firmware heraus. Das bedeutet: nur FAT32 wird zuverlässig erkannt, NTFS und exFAT nicht. Fast jeder fertig gekaufte Stick ist bereits FAT32; kontrollieren können Sie es so:

Get-CimInstance Win32_LogicalDisk -Filter "DriveType=2" |
  Select-Object DeviceID, FileSystem, VolumeName

Optionen erklärt

Option	Wirkung
Win32_LogicalDisk	CIM-Klasse der logischen Laufwerke
-Filter "DriveType=2"	WQL-Filter auf Wechseldatenträger; blendet Festplatten und CD-Laufwerke aus
Select-Object DeviceID, FileSystem, VolumeName	zeigt Laufwerksbuchstabe, Dateisystem und Datenträgername

Kopieren Sie die ROM-Datei ins Wurzelverzeichnis des Sticks. Ein Neuformatieren ist nur nötig, wenn das Dateisystem nicht passt. Die Stick-Grösse ist unkritisch, die Datei ist kleiner als jede heute übliche Kapazität.

Ein Hinweis zur Methodenwahl: Viele Boards bieten zusätzlich einen BIOS-Flashback-Knopf, der ohne CPU und ohne funktionierendes System flasht. Das ist der Rettungsweg für ein Board, das nicht mehr startet. Für ein laufendes System ist Instant Flash im UEFI der richtige und einfachere Weg. Windows-basierte Flash-Tools sind bei aktuellen Plattformen weder nötig noch empfehlenswert.

Schritt 4: BitLocker pausieren, sonst droht die Schlüsselabfrage

Das ist der Punkt, der in vielen Anleitungen fehlt. Ist die Systemplatte mit BitLocker verschlüsselt (bei Windows 11 mit Microsoft-Konto häufig automatisch aktiv), bindet BitLocker den Schlüssel an die Messwerte des TPM. Ein BIOS-Update verändert diese Messwerte, und beim nächsten Start verlangt Windows den 48-stelligen Wiederherstellungsschlüssel. Wer den nicht griffbereit hat, steht vor einem unzugänglichen System.

BitLocker bringt für dieses Szenario einen eigenen Mechanismus mit. In einer PowerShell mit Administratorrechten:

Suspend-BitLocker -MountPoint C: -RebootCount 2

Optionen erklärt

Option	Wirkung
-MountPoint C:	das betroffene Volume, hier die Systemplatte
-RebootCount 2	Zahl der Neustarts, für die der Schutz pausiert bleibt (0 bis 15; 0 = bis zur manuellen Reaktivierung)

Der Wert 2 deckt beide anstehenden Neustarts ab (einmal ins UEFI, einmal nach dem Flash); danach reaktiviert sich der Schutz von selbst und versiegelt den Schlüssel gegen die neuen Messwerte. Prüfen Sie unabhängig davon vorher, dass der Wiederherstellungsschlüssel auffindbar ist, etwa im Microsoft-Konto unter aka.ms/myrecoverykey oder per manage-bde -protectors -get C:.

Schritt 5: Ins UEFI kommen, auch wenn F2 nicht reagiert

Der klassische Weg über F2 oder Entf beim Einschalten scheitert auf modernen Systemen oft: Mit aktiviertem Fast Boot initialisiert die Firmware die USB-Tastatur erst nach dem POST, der Tastendruck kommt nicht an. Sie sind auf die Taste aber nicht angewiesen: Windows kann den nächsten Neustart direkt ins UEFI-Setup lenken. In einer PowerShell mit Administratorrechten:

shutdown /r /fw /t 5

Optionen erklärt

Option	Wirkung
/r	Neustart statt Herunterfahren
/fw	setzt die Firmware-Variable, die den nächsten Start direkt ins UEFI-Setup lenkt; nur zusammen mit einer Shutdown-Option wie /r, erfordert Administratorrechte
/t 5	Wartezeit in Sekunden bis zur Ausführung

Meldet der Befehl den Fehler 203 (“The system could not find the environment option that was entered”), fehlen fast immer die Administratorrechte: Ohne Elevation darf der Prozess die nötige Firmware-Variable nicht setzen, und die Fehlermeldung benennt diese Ursache nicht. Ein zweiter möglicher Weg ohne Firmware-Variable führt über die Wiederherstellungsumgebung: shutdown /r /o, dann Problembehandlung, Erweiterte Optionen, UEFI-Firmwareeinstellungen.

Schritt 6: Flashen mit Instant Flash

Im UEFI finden Sie Instant Flash im Tool-Menü. Das Werkzeug listet alle ROM-Dateien auf dem Stick auf; nach der Auswahl prüft es die Datei, flasht und startet selbständig neu. Während der wenigen Minuten gilt die einzige harte Regel des ganzen Vorgangs: Stromversorgung nicht unterbrechen und den Rechner nicht ausschalten. Ein abgebrochener Flash ist der einzige Schritt dieser Anleitung, der das Board tatsächlich startunfähig machen kann (und dann den erwähnten Flashback-Rettungsweg braucht).

Schritt 7: Nacharbeiten, denn das Update setzt alles zurück

Nach dem Flash stehen sämtliche BIOS-Einstellungen auf Werkseinstellung. Das ist so vorgesehen und bietet eine diagnostische Chance: Das RAM läuft jetzt ohne EXPO-Profil auf der JEDEC-Grundgeschwindigkeit. Wenn Sie wegen Stabilitätsproblemen geflasht haben, lassen Sie es bewusst ein bis zwei Wochen so. Bleiben die Abstürze aus, war das Speicherprofil beteiligt, und Sie können EXPO mit der neuen Firmware gezielt erneut testen. Der Alltagsunterschied zwischen 4800 und 6000 MT/s ist ausserhalb von Benchmarks kaum spürbar; ein stabiler Rechner ist jeden Benchmark-Punkt wert.

Zwei Einstellungen lohnen den Besuch im UEFI ohnehin: Wer die Neustarts im Leerlauf hatte, kann unter Advanced, AMD CBS die Option “Power Supply Idle Control” auf “Typical Current Idle” setzen; das entschärft eine bekannte Unverträglichkeit mancher Netzteile mit den tiefen Idle-Zuständen der Ryzen-CPUs. Und wer künftig wieder per F2 ins Setup will, kann Fast Boot abstellen.

Die Erfolgskontrolle zurück in Windows:

Get-CimInstance Win32_BIOS | Select-Object SMBIOSBIOSVersion
Get-CimInstance Win32_PhysicalMemory |
  Select-Object PartNumber, ConfiguredClockSpeed
manage-bde -status C:

Optionen erklärt

Option	Wirkung
Win32_BIOS	CIM-Klasse mit der Firmware-Version; SMBIOSBIOSVersion muss jetzt den neuen Stand zeigen
Win32_PhysicalMemory	CIM-Klasse der Speichermodule; ConfiguredClockSpeed zeigt den tatsächlich anliegenden Takt in MT/s
-status	manage-bde: zeigt Verschlüsselungs- und Schutzstatus des Volumes
C:	Positionsargument: das zu prüfende Volume

Die erste Zeile muss die neue Version zeigen, die zweite den erwarteten Speichertakt, und BitLocker muss wieder “Schutz aktiviert” melden. Damit ist das Update abgeschlossen und dokumentiert. Wurde wegen Stabilitätsproblemen geflasht, zeigt erst die Beobachtung über die folgenden Wochen, ob sie behoben sind, am einfachsten mit einem Blick auf neue Kernel-Power-41-Einträge im System-Ereignisprotokoll.