BIOS-Passwort, Absolute & Co.: Firmware-Sperren vor dem Ausmustern lösen

Ein typisches Szenario: Im Lager stehen 120 Business-Notebooks, drei Jahre alt, technisch einwandfrei. Der Restwert ist kalkuliert, die Abholung terminiert. Dann startet das erste Gerät beim Prüfen nicht ins Setup, sondern fragt nach einem Supervisor-Passwort, das niemand mehr kennt. Ein anderes zeigt nach dem Einschalten nur noch einen Sperrbildschirm mit dem Hinweis, das Gerät sei eingefroren. Aus einer sauberen Wertrückgewinnung wird in wenigen Minuten ein Posten Ersatzteilträger.

Solche Fälle haben fast nie mit Fahrlässigkeit zu tun, sondern mit guter Sicherheitsarbeit, die am Lebensende eines Geräts nicht zu Ende gedacht wurde. BIOS-Passwörter, Diebstahlschutz in der Firmware und Fernwartungsfunktionen schützen Ihre Geräte im Betrieb genau so, wie sie sollen. Beim Ausmustern werden sie zum Problem, wenn niemand sie rechtzeitig löst. Dieser Beitrag zeigt, welche Sperren unterhalb des Betriebssystems sitzen, warum sie den Restwert so stark treffen und wie ein Ablauf aussieht, der sie löst, solange die Geräte noch in Ihrer Verwaltung sind.

Welche Sperren sitzen unterhalb des Betriebssystems?

Vier Mechanismen begegnen uns bei Business-Hardware immer wieder. Gemeinsam ist ihnen, dass sie nicht auf der Festplatte liegen, sondern in der Firmware der Systemplatine. Eine Neuinstallation von Windows oder ein Tausch der SSD lässt sie deshalb unberührt.

• BIOS- bzw. UEFI-Administratorpasswort: bei Lenovo als Supervisor-Passwort bezeichnet. Es schützt die Firmware-Einstellungen, also etwa die Bootreihenfolge, Secure Boot oder das Starten von USB-Medien.
• Laufwerks- oder Festplattenpasswort: bindet den Zugriff auf den Datenträger an ein Passwort, das in der Firmware abgefragt wird.
• Absolute Persistence (früher Computrace): ein Diebstahlschutz- und Verwaltungsmodul, das ab Werk in die Firmware der meisten Windows-Business-Geräte eingebettet ist und von der IT über eine Cloud-Konsole aktiviert wird.
• Intel AMT auf vPro-Plattformen: eine Fernwartungsfunktion, die unabhängig vom Betriebssystem arbeitet, sobald sie provisioniert ist.

Daneben gibt es Sperren auf Ebene von Betriebssystem und Herstellerkonto, die beim Ausmustern genauso wichtig sind: die Registrierung in Microsoft Autopilot und im Mobile Device Management sowie die Aktivierungssperre bei Apple. Beide haben wir ausführlich beschrieben – siehe Autopilot und Intune vor dem Ausmustern abmelden und Aktivierungssperre bei MacBook und iPhone. Hier geht es um die Ebene darunter.

Warum macht ein unbekanntes BIOS-Passwort ein Notebook fast wertlos?

Weil der nächste Nutzer das Gerät nicht mehr vollständig in Besitz nehmen kann – und weil die Hersteller das Passwort bewusst nicht einfach zurücksetzen. Lenovo schreibt in den Benutzerhandbüchern aktueller ThinkPads unmissverständlich, dass bei einem vergessenen Supervisor-Passwort die Systemplatine durch einen autorisierten Servicepartner getauscht werden muss, kostenpflichtig für Teile und Arbeit. Dell bietet zwar Hilfe bei verlorenen BIOS-Passwörtern an, verlangt dafür aber einen Eigentumsnachweis mit Service Tag und Kaufbeleg und verweist bei Geräten, die von einer Organisation verwaltet werden, ausdrücklich an deren IT. HP setzt ein vergessenes BIOS-Administratorpasswort ebenfalls nicht einfach zurück, sondern verweist auf autorisierte Servicepartner mit Eigentumsnachweis – und auch dort ist der Tausch der Systemplatine ein häufiges Ergebnis.

Für den Wiedervermarkter bedeutet das: Ein gesperrtes Gerät lässt sich weder sauber prüfen noch zuverlässig von einem Löschmedium starten noch für den nächsten Nutzer einrichten. Kein seriöser Käufer nimmt ein Notebook ab, dessen Firmware er nicht kontrolliert. Der Zustand des Gehäuses spielt dann keine Rolle mehr – das Gerät wird nach Komponenten bewertet. Wie stark das wirkt, sehen Sie an der Logik der Zustandsklassen beim Grading: Ein makelloses Gerät der besten Klasse und ein Gerät mit Firmware-Sperre landen in völlig verschiedenen Preiswelten.

Der Tausch der Systemplatine ist dabei keine wirtschaftliche Lösung. Bei Notebooks, die drei bis fünf Jahre alt sind, übersteigen Teile und Arbeit in aller Regel den erzielbaren Marktpreis.

Was ist Absolute Persistence – und warum müssen Geräte dort abgemeldet werden?

Absolute ist eine Diebstahlschutz- und Endpunktplattform, deren Modul die großen Hersteller ab Werk in die Firmware ihrer Business-Geräte einbetten. Der Clou ist die Selbstheilung: Wird der Agent im Betriebssystem gelöscht, das Gerät neu aufgesetzt oder sogar die Festplatte getauscht, stellt das Firmware-Modul den Agenten wieder her. Für den Betrieb ist das genau richtig. Für einen Verkauf heißt es: Solange das Gerät in Ihrem Absolute-Konto geführt wird, meldet es sich auch beim nächsten Besitzer zurück.

Noch heikler ist eine Funktion, die viele Unternehmen aktiv nutzen: das automatische Einfrieren. Mit einer Offline-Freeze-Regel friert sich ein Gerät selbst ein, wenn es sich innerhalb einer festgelegten Frist nicht beim Absolute-Server gemeldet hat. Laut Herstellerdokumentation liegt die Voreinstellung bei 30 Tagen, einstellbar sind 4 bis 2.000 Tage. Ein eingefrorenes Gerät zeigt eine bildschirmfüllende Meldung statt der Anmeldung, und das bleibt auch nach einem Neustart so – bis jemand in der Konsole die Sperre aufhebt oder vor Ort den Entsperrcode eingibt.

Genau hier liegt die Falle beim Ausmustern: Ein Notebook, das ausgeschaltet im Lager auf die Abholung wartet, meldet sich nicht. Ist eine solche Regel für Ihr Konto aktiv, frieren Ihre Ausmusterungsgeräte möglicherweise ein, während sie auf die Abholung warten. Die Lösung ist einfach, wenn sie rechtzeitig kommt: Die Geräte werden in der Absolute-Konsole abgemeldet (Unenroll). Dabei wird der Agent entfernt, das Gerät erhält den Status „Disabled“, und ganz nebenbei wird die Lizenz frei, die Sie sonst weiter bezahlen.

Was hat Intel AMT mit dem Ausmustern zu tun?

Intel Active Management Technology erlaubt es der IT, vPro-Geräte über das Netzwerk zu verwalten, auch wenn das Betriebssystem nicht läuft – zum Beispiel für Fernwartung oder das Einspielen von Updates außerhalb der Arbeitszeit. Damit das funktioniert, wird die Funktion provisioniert: Die Firmware erhält eine Konfiguration mit Zugangsdaten und gegebenenfalls Zertifikaten Ihres Unternehmens.

Diese Konfiguration verschwindet nicht mit der Datenlöschung. Vor der Weitergabe gehört deshalb die Deprovisionierung zum Ablauf: zuerst das Gerät in der eingesetzten Verwaltungslösung aus der Verwaltung nehmen, danach in der Firmware-Oberfläche MEBx die vollständige Aufhebung der Provisionierung ausführen (bei Intel „Full Unprovision“). Bei Geräten, die nie provisioniert wurden, ist nichts zu tun – das gehört aber in die Inventarliste, nicht ins Bauchgefühl.

Reicht eine zertifizierte Datenlöschung nicht aus?

Nein, denn sie setzt an einer anderen Stelle an. Eine zertifizierte Datenlöschung macht die Inhalte des Datenträgers unwiederbringlich unlesbar. Firmware-Sperren liegen aber auf der Systemplatine. Ein gelöschtes Notebook mit aktivem Supervisor-Passwort bleibt gesperrt, ein gelöschtes Notebook mit aktiver Absolute-Registrierung meldet sich weiter beim alten Konto.

Häufig gilt sogar die umgekehrte Abhängigkeit: Professionelle Löschsoftware startet von einem eigenen Medium über das Netzwerk oder per USB. Genau das blockiert ein gesetztes BIOS-Passwort, wenn die Bootreihenfolge geschützt ist. Die Reihenfolge lautet daher: erst die Sperren lösen, dann löschen, dann verwerten. Für Ihre Dokumentation heißt das, dass der Nachweis je Seriennummer neben dem Löschprotokoll auch den Sperrstatus enthalten sollte.

Wie lösen Sie die Sperren, bevor die Geräte das Haus verlassen?

Der Aufwand ist überschaubar, wenn er Teil des Ablaufs ist und nicht erst in der Lagerhalle beginnt. Sieben Schritte haben sich bewährt:

1. Sperrstatus inventarisieren: Ergänzen Sie Ihr IT-Asset-Management um vier Felder je Gerät: BIOS-Passwort gesetzt, Absolute aktiv, Intel AMT provisioniert, MDM- oder Autopilot-Registrierung.
2. Passwörter zentral verwalten: BIOS-Passwörter gehören in einen Passwort-Tresor und werden mit den Konfigurationswerkzeugen der Hersteller gesetzt und entfernt, etwa Dell Command | Configure, HP BIOS Configuration Utility oder Lenovo Think BIOS Config Tool. Ein Passwort, das nur im Kopf eines Kollegen existiert, ist ein Restwertrisiko.
3. Passwörter vor der Abholung entfernen: solange die Geräte noch im Netz und in Ihrer Verwaltung sind. Danach ist es deutlich aufwendiger.
4. Absolute abmelden: Geräte in der Konsole abmelden und prüfen, ob eine Offline-Freeze-Regel für den Ausmusterungsbestand greift.
5. Intel AMT deprovisionieren: in der Verwaltungslösung und anschließend in MEBx.
6. MDM und Autopilot bereinigen: Geräte aus Intune, Autopilot und anderen Verwaltungslösungen entfernen – sonst begrüßt das Gerät den nächsten Nutzer mit Ihrem Firmenlogo.
7. Stichprobe und Übergabe: Ein Gerät je Modell muss ohne Passwortabfrage ins Firmware-Setup starten. Der Sperrstatus wird in der Seriennummernliste für die Übergabe an den Dienstleister vermerkt.

Besonders gefährdet sind Geräte, die außerhalb des normalen Kreislaufs zurückkommen: Hardware aus dem Homeoffice ausgeschiedener Mitarbeitender, Rückläufer aus Leasingverträgen und Bestände aus Standortschließungen. Hier lohnt es sich, den Sperrstatus noch vor der Rückgabe zu klären. Bei Leasingrückläufern kann eine Firmware-Sperre zudem zu Abzügen bei der Rückgabe führen.

Was tun, wenn die Geräte schon gesperrt sind?

Dann ist der erste Schritt fast immer interne Spurensuche, nicht Technik. Fragen Sie in der IT, beim früheren Systemhaus oder beim Leasinggeber nach Passwortlisten und Konsolenzugängen. In vielen Unternehmen wurde dasselbe BIOS-Passwort flottenweit gesetzt, und eine einzige Notiz in einem alten Tresor öffnet hundert Geräte. Für Absolute genügt der Zugang eines Administrators zum Unternehmenskonto, um Geräte abzumelden und Sperren aufzuheben.

Hilft das nicht, bleibt der offizielle Weg über den Hersteller mit Eigentumsnachweis. Das ist für einzelne Geräte gangbar, bei einer ganzen Flotte selten wirtschaftlich. Besonders kritisch sind Insolvenz und Betriebsaufgabe, weil mit dem Personal auch das Wissen über Passwörter und Konten geht. Wer eine Insolvenzmasse verwertet oder eine Standortschließung begleitet, sollte Zugänge zu Passwort-Tresor, Absolute-Konto und Verwaltungskonsolen deshalb sichern, bevor die letzten IT-Verantwortlichen das Haus verlassen.

Was wir nicht tun: Sperren mit Werkzeugen aus dubiosen Quellen umgehen. Firmware-Sperren sind Diebstahlschutz, und wer sie ohne Nachweis aushebelt, kann am Ende Hehlerware in seinem Bestand haben. Ein Gerät, das sich nicht legal entsperren lässt, bewerten wir als das, was es ist – ehrlich als Ersatzteilträger, mit sauberem Nachweis über den Verbleib.

Warum zahlt sich ein Partner aus, der früh fragt?

Weil sich die meisten Sperren in wenigen Minuten lösen lassen, solange die Geräte noch in Ihrer Verwaltung sind – und kaum noch, wenn sie bereits auf der Palette stehen. Ein Standardprozess, der erst beim Wareneingang feststellt, dass ein Drittel des Postens gesperrt ist, korrigiert dann nur noch den Preis. Wir fragen den Sperrstatus deshalb schon vor der Abholung ab, sehen uns Ihren konkreten Bestand an und geben Ihnen eine schnelle, verbindliche Zusage, auf die Sie Ihre Planung stützen können. Sicherheit vor Tempo, Werterhalt vor Wertvernichtung – und ein fester Ansprechpartner, der Ihnen vorher sagt, worauf es ankommt.

Wenn Sie eine Ausmusterung planen und den Restwert Ihrer Business-Geräte sichern wollen, sprechen Sie uns an – oder lesen Sie, wie wir IT-Hardware gemeinsam mit Partnern verwerten.

Passend dazu

• Autopilot, Intune und MDM: Geräte vor dem Ausmustern sauber abmelden
• Grading von IT-Hardware: Zustandsklassen und ihr Einfluss auf den Restwert
• Apple-Geräte ausmustern: Aktivierungssperre bei MacBook und iPhone lösen
• IT-Hardware nachhaltig verwerten – gemeinsam mit BKN

Häufige Fragen zu BIOS-Passwort und Firmware-Sperren beim Ausmustern

Kann man ein vergessenes BIOS-Passwort beim Notebook zurücksetzen?

Bei Business-Notebooks in der Regel nicht durch einfaches Entfernen der Batterie. Lenovo sieht bei einem vergessenen Supervisor-Passwort den kostenpflichtigen Tausch der Systemplatine vor, Dell hilft nur mit Eigentumsnachweis. Bei verwalteten Firmengeräten ist der erste Weg immer die eigene IT, die das Passwort häufig zentral hinterlegt hat.

Bleibt Absolute nach einer Neuinstallation von Windows aktiv?

Ja, solange das Gerät im Absolute-Konto geführt wird. Das Persistence-Modul sitzt in der Firmware und stellt den Agenten nach einer Neuinstallation oder sogar nach einem Festplattentausch wieder her. Vor dem Verkauf muss das Gerät deshalb in der Absolute-Konsole abgemeldet werden.

Warum kann ein ausgemustertes Notebook plötzlich eingefroren sein?

Wahrscheinlich greift eine Offline-Freeze-Regel in Absolute: Meldet sich ein Gerät innerhalb einer festgelegten Frist nicht, friert es sich selbst ein. Die Voreinstellung liegt laut Hersteller bei 30 Tagen. Aufheben lässt sich die Sperre über die Konsole oder mit dem Entsperrcode des Geräts.

Ersetzt die zertifizierte Datenlöschung das Entfernen von Firmware-Sperren?

Nein. Die Löschung betrifft den Datenträger, Firmware-Sperren sitzen auf der Systemplatine. Ein BIOS-Passwort kann außerdem verhindern, dass die Löschsoftware überhaupt von USB oder über das Netzwerk startet. Deshalb gilt: erst Sperren lösen, dann löschen.

Was passiert mit Geräten, deren Sperre sich nicht legal lösen lässt?

Sie werden nicht als komplette Geräte vermarktet, sondern als Ersatzteilträger bewertet und mit Nachweis verwertet. Ein Umgehen der Sperren ohne Eigentumsnachweis kommt für einen seriösen Partner nicht infrage, weil Firmware-Sperren als Diebstahlschutz dienen.

Herstellerangaben nach den öffentlich zugänglichen Dokumentationen von Lenovo, Dell, Absolute und Intel, Stand: 7. Oktober 2026. Abläufe können sich je nach Modell, Firmware-Version und Vertrag unterscheiden.