Windows 11 Pro + Garuda Dr460nized Gaming (Secure Boot AN)

0) Überblick

Setup-Ziel: Windows 11 Pro bleibt auf der M.2-SSD. Garuda Dr460nized Gaming kommt auf eine zweite SATA-SSD. UEFI und Secure Boot bleiben AN, damit Anti-Cheat (z.B. Valorant) happy ist. Am Ende startet nach 10 Sekunden automatisch Windows, wenn du nix waehlst.

1) Hardware & BIOS-Prep

2) Windows-USB & Installation (falls noetig)

Wenn Windows 11 schon auf der M.2 sauber installiert ist, kannst du diesen Abschnitt ueberspringen.

1. Lade Microsofts Media Creation Tool und erstelle einen Windows-11-Install-USB.
2. Vom USB booten, Benutzerdefiniert waehlen, die M.2 als Ziel nehmen. Windows erstellt automatisch EFI-, MSR- und Systempartitionen.
3. Erst-Setup durchklicken (Netz, Konto, Datenschutz).

3) Windows Nachbereitung

• Alle Updates installieren: Einstellungen → Windows Update.
• Grafiktreiber updaten (NVIDIA/AMD/Intel).
• Zweite SATA-SSD in der Datentraegerverwaltung leer lassen (nicht formatieren, keine Partitionen anlegen).

4) Garuda-USB vorbereiten (Secure-Boot-kompatibel)

1. Lade die Garuda Dr460nized Gaming ISO von der offiziellen Seite.
2. Erstelle einen bootfaehigen Stick mit Ventoy oder Rufus.
   • Ventoy: Bei der Stick-Installation die Option fuer Secure Boot aktivieren (Ventoy bietet das an).
3. ISO auf den Stick kopieren (bei Ventoy einfach per Explorer).

5) Garuda installieren (auf zweite SSD)

sudo update-grub

6) Secure Boot sauber halten (Arch-Style mit sbctl)

Garuda ist Arch-basiert. Mit sbctl verwaltest du Secure-Boot-Keys und signierst Kernel/Bootloader, damit Secure Boot AN bleiben kann.

6.1 Pakete installieren & Status checken

sudo pacman -Syu --noconfirm
sudo pacman -S --noconfirm sbctl sbsigntools

sudo sbctl status

6.2 Eigene Keys erstellen & ins Firmware-DB enrollen

sudo sbctl create-keys
sudo sbctl enroll-keys -m   # -m = mit Microsoft 3rd-Party KEK (fuer signierte Loader)

6.3 Unsigned Binaries finden & signieren

Pruefe, was noch unsigniert ist (Kernel, GRUB/shim):

sudo sbctl verify

Typische Pfade (koennen je nach Setup variieren):

• /boot/vmlinuz-linux oder /boot/vmlinuz-linux-lts
• /boot/efi/EFI/garuda/grubx64.efi oder /boot/efi/EFI/GRUB/grubx64.efi
• /boot/efi/EFI/Microsoft/Boot/bootmgfw.efi (normalerweise bereits signiert)

# Beispiel: Mainline-Kernel + GRUB signieren (Pfad ggf. anpassen)
sudo sbctl sign -s /boot/vmlinuz-linux
sudo sbctl sign -s /boot/efi/EFI/garuda/grubx64.efi

7) GRUB einstellen: Windows nach 10 Sekunden automatisch

Option A: Direkt per Name (einfach):

sudo nano /etc/default/grub

# Setze Timeout und Default
GRUB_TIMEOUT=10
GRUB_DEFAULT="Windows Boot Manager"

sudo update-grub

Option B: Robust via savedentry:

grep menuentry /boot/grub/grub.cfg | cut -d"'" -f2

sudo nano /etc/default/grub

# Nutze gespeicherten Eintrag
GRUB_TIMEOUT=10
GRUB_DEFAULT=saved

# Setze Windows als Default (Titel aus der grep-Liste nehmen)
sudo grub-set-default "Windows Boot Manager (on /dev/nvme0n1p1)"
sudo update-grub

8) Optional: rEFInd fuer extra Style

rEFInd ist ein alternatives, icon-basiertes Bootmenue. Sieht edel aus und spielt gut mit UEFI/Secure Boot.

sudo pacman -S --noconfirm refind
sudo refind-install

Themes kannst du spaeter in /boot/efi/EFI/refind ablegen. Stelle im BIOS sicher, dass der rEFInd-Eintrag vor GRUB steht.

9) Troubleshooting

• Garuda bootet nicht mit Secure Boot: Temporar Secure Boot AUS, starten, sbctl einrichten, dann wieder AN.
• Windows fehlt in GRUB: sudo update-grub. Notfalls grub-mkconfig -o /boot/grub/grub.cfg.
• Bootreihenfolge falsch: Im BIOS Windows Boot Manager oder Garuda/GRUB nach oben, je nach Wunsch.
• Anti-Cheat (Valorant) meckert: Pruefe, ob Secure Boot wirklich AN ist und ob der Kernel signiert ist (sbctl status, sbctl verify).
• Kernel-Update bricht Signatur: Nach Update neu signieren (siehe Abschnitt 6.3).

Anhang: Nuetzliche Befehle