7.3 Partitionierung, BIOS und UEFI

Vom Einschalten bis zum Betriebssystem

Firmware initialisiert Prozessor, Speicher und notwendige Geräte, wählt anhand ihrer Startreihenfolge einen Bootpfad und übergibt die Kontrolle an einen Bootloader. Dieser lädt Betriebssystemkern, Initial-RAM-Dateisysteme und Treiber beziehungsweise startet weitere Bootmanager. Erst das Betriebssystem stellt anschließend seine vollständige Laufzeitumgebung bereit.

Für eine Installation werden ein zum Zielsystem passendes Startmedium, Zugriff auf Installationsdaten, ein vorbereiteter Datenträger und eine geplante Systemkonfiguration benötigt. Installationsdaten können lokal auf USB, DVD oder einem Image liegen oder über aktuelle Netzwerkverfahren wie PXE, HTTP Boot und ein Deployment-System bereitgestellt werden. FTP ist dafür heute nicht die einzige und häufig nicht die bevorzugte Möglichkeit.

BIOS: historischer PC-Firmwarestandard

BIOS steht für Basic Input/Output System. Es initialisiert klassische PC-Hardware, führt den Power-on Self-Test aus, wählt ein Startgerät und lädt beim Festplattenstart den ersten Sektor an die Adresse 0000:7C00. Der dortige MBR-Bootcode muss mit sehr wenig Platz auskommen und lädt deshalb meist weitere Bootloaderstufen.

Der Prozessor startet auf x86 zunächst in einem zum Real Mode kompatiblen Zustand. Daraus folgt jedoch nicht, dass das Betriebssystem nur 16-Bit-Code oder höchstens 1 MiB RAM verwenden kann. Der Bootloader beziehungsweise Kernel schaltet später in Protected Mode oder Long Mode und verwendet den verfügbaren Adressraum. Die Real-Mode-Grenze betrifft die frühe Startphase und die klassischen BIOS-Dienste.

Die Bytes 55 AA am Ende eines MBR kennzeichnen einen gültig aufgebauten Bootsektor. Sie allein beweisen weder, dass ein funktionsfähiges Betriebssystem vorhanden ist, noch machen sie ein Medium automatisch startfähig. Ob und wie BIOS-Firmware Signatur, Bootcode und aktive Partition auswertet, gehört zum jeweiligen Bootpfad.

UEFI: moderner Firmwarestandard

UEFI steht für Unified Extensible Firmware Interface. Der aktuelle Standard ist UEFI 2.11. UEFI definiert Boot Manager, Gerätepfade, Variablen, ausführbare EFI-Anwendungen, Laufzeitdienste und Protokolle. Grafische Oberflächen und Netzwerkfunktionen sind möglich, aber nicht jede Firmware muss jede Komfortfunktion anbieten.

Beim normalen Datenträgerstart liest UEFI eine EFI-Anwendung aus der EFI System Partition (ESP). Die ESP verwendet ein von UEFI unterstütztes FAT-Dateisystem; auf heutigen Windows-x64-Systemen ist FAT32 üblich und vorgeschrieben. UEFI „versteht“ deshalb nicht pauschal jedes FAT- oder beliebige Dateisystem. Boot-Einträge liegen als Firmwarevariablen vor und verweisen auf eine konkrete Datei, beispielsweise den Windows Boot Manager oder GRUB/shim.

CSM steht für Compatibility Support Module und emuliert Teile des historischen BIOS-Starts. Es ist auf vielen aktuellen Plattformen nicht mehr vorhanden oder standardmäßig deaktiviert. Für Neuinstallationen wird UEFI ohne CSM empfohlen. Ein System kann dennoch mehrere UEFI-Bootloader, Installationsmedien und Rettungssysteme besitzen; UEFI schließt einen Rescue-Start keineswegs aus.

Secure Boot richtig einordnen

Secure Boot ist ein UEFI-Mechanismus zur Signaturprüfung von EFI-Treibern und Bootanwendungen. Die Firmware vertraut Schlüsseln und Zertifikaten in ihren Signaturdatenbanken und verweigert Images, deren Signatur nicht vertrauenswürdig ist oder die gesperrt wurden. Secure Boot verschlüsselt den Datenträger nicht und ersetzt weder TPM, BitLocker/LUKS noch die Sicherheitsfunktionen des Betriebssystems.

Freie Betriebssysteme werden nicht grundsätzlich ausgeschlossen. Viele Linux-Distributionen verwenden einen signierten shim-Bootloader und eine weitere Vertrauenskette. Eigene Schlüssel oder ein deaktivierter Secure-Boot-Modus sind je nach Plattform ebenfalls möglich. Entscheidend sind Firmwarekonfiguration, Signaturen und Richtlinien, nicht die Lizenzform des Betriebssystems.

• Secure Boot setzt UEFI-Betrieb ohne aktives Legacy-CSM voraus.
• Ein gültig signierter Bootloader kann trotzdem verwundbar sein; Sperrlisten und Updates bleiben notwendig.
• Firmwarepasswort, TPM, Laufwerksverschlüsselung und Secure Boot schützen unterschiedliche Angriffsflächen.
• Vor Firmware- oder Schlüsseländerungen Wiederherstellungsschlüssel einer Laufwerksverschlüsselung sichern.

Installationsplanung

Was ist eine Partition?

Eine Partition ist ein zusammenhängender, durch Start-LBA und Länge beschriebener Bereich eines Blockgeräts. Die Partitionstabelle beschreibt diese Bereiche und ihre Typen. Erst ein Dateisystem wie NTFS, ext4, XFS oder FAT32 macht eine normale Dateiablage möglich. Alternativ kann eine Partition als Swap, RAID-Mitglied, verschlüsselter Container, Physical Volume oder ZFS-vdev dienen.

Partitionen können Betriebssystem, Benutzerdaten, Recovery-Umgebung und andere Aufgaben trennen. Linux kann Dateisysteme mit unterschiedlichen Mountoptionen einbinden, etwa read-only, noexec, nosuid oder nodev. Solche Optionen reduzieren bestimmte Risiken, sind aber kein vollständiges Sicherheitskonzept. Eine separate /tmp-Partition ist möglich, heute werden dafür auch tmpfs, Namespaces und systemd-Mechanismen verwendet.

Eine pauschale Leistungssteigerung durch mehrere Partitionen ist bei demselben physischen Medium nicht zu erwarten. Vorteile entstehen eher durch Organisation, Wiederherstellung, getrennte Kapazitätsgrenzen, verschiedene Dateisysteme oder die Verteilung auf wirklich unabhängige Datenträger.

CHS und LBA

CHS adressiert historische Laufwerke über Cylinder, Head und Sector. Die Geometrie passte schon bei späteren HDDs nicht mehr direkt zur realen Anordnung und wurde durch Übersetzungen erweitert. Moderne Betriebssysteme und Controller verwenden Logical Block Addressing (LBA): Blöcke werden vom Anfang des Geräts fortlaufend nummeriert.

Partitionstabellen speichern Start und Länge deshalb heute als LBA-Werte. Bei MBR existieren zusätzlich historische CHS-Felder, die moderne Werkzeuge meist nur noch als Kompatibilitätswerte setzen. Bei GPT spielen CHS-Werte keine Rolle.

Aufbau des Master Boot Record

Der MBR belegt den ersten logischen Sektor, typischerweise 512 Byte an LBA 0. Das klassische Layout enthält bis zu 440 Byte Bootcode, eine 4 Byte lange Datenträgersignatur, zwei reservierte Byte, vier Partitionseinträge zu je 16 Byte und die Abschlusskennung 55 AA. Manche Bootloader verwenden Teilbereiche abweichend; die Tabelle und Signatur müssen jedoch an ihren festgelegten Positionen liegen.

Jeder Partitionseintrag enthält unter anderem Boot-Indikator, historischen Start- und End-CHS-Wert, einen 1-Byte-Typcode, Start-LBA und Anzahl der Sektoren. Der Boot-Indikator 80h kennzeichnet die aktive Partition; 00h bedeutet nicht aktiv. Der Typcode beschreibt die erwartete Verwendung, ist aber kein zuverlässiger Ersatz für die Prüfung des tatsächlichen Inhalts.

Primäre, erweiterte und logische MBR-Partitionen

Die MBR-Tabelle besitzt nur vier Einträge. Diese können vier primäre Partitionen beschreiben oder einen Eintrag für eine erweiterte Partition verwenden. Die erweiterte Partition ist ein Container; innerhalb davon bilden Extended Boot Records eine verkettete Liste logischer Partitionen.

Ein EBR enthält normalerweise keinen für den Start benötigten Haupt-Bootcode. Sein erster relevanter Eintrag beschreibt die zugehörige logische Partition, ein weiterer verweist relativ zum Anfang der erweiterten Partition auf den nächsten EBR. Praktische Betriebssystemgrenzen verhindern eine tatsächlich unbegrenzte Anzahl logischer Partitionen.

Die MBR-Kapazitätsgrenze

Start-LBA und Sektoranzahl sind im MBR jeweils 32 Bit breit. Bei 512 Byte großen logischen Sektoren können dadurch maximal 2³² Sektoren adressiert werden. Das ergibt 2 TiB. 4Kn-Geräte verschieben die mathematische Grenze auf 16 TiB, lösen aber nicht die übrigen MBR-Einschränkungen und können Kompatibilitätsprobleme verursachen. Für aktuelle große Datenträger ist GPT die richtige Wahl.

GUID Partition Table (GPT)

GPT steht für GUID Partition Table und ist Bestandteil des UEFI-Standards. Sie verwendet 64-Bit-LBA-Felder, global eindeutige Kennungen für Datenträger, Partitionstyp und einzelne Partition, CRC32-Prüfsummen sowie eine Sicherung der Verwaltungsdaten am Ende des Datenträgers.

LBA 0 enthält weiterhin einen Protective MBR. Sein Typcode EEh signalisiert älteren MBR-Werkzeugen, dass der Datenträger belegt ist. Der primäre GPT-Header liegt üblicherweise an LBA 1, danach folgt das primäre Partition Entry Array. Am Datenträgerende liegen Sicherungseinträge und Backup-Header. Das erlaubt Erkennung und begrenzte Reparatur beschädigter Verwaltungsdaten, ersetzt aber kein Backup der Nutzdaten.

Der Standard erlaubt sehr große Datenträger; die konkrete Grenze hängt von logischer Blockgröße, Betriebssystem, Treibern und Implementierung ab. Windows legt bei GPT standardmäßig Platz für 128 Partitionseinträge an und unterstützt damit bis zu 128 Partitionen pro Datenträger. Die oft genannte theoretische 8-ZiB-Grenze gilt für 64-Bit-LBA bei 512-Byte-Blöcken, ist aber keine allgemeine Produktfreigabe.

Wichtige GPT-Partitionstypen

Eine Typ-GUID beschreibt die vorgesehene Verwendung einer Partition. Die einzelne Partition besitzt zusätzlich eine eigene Unique Partition GUID. Beides darf nicht verwechselt werden. Ein Dateisystem lässt sich nicht allein aus der Typ-GUID sicher bestimmen.

ESP, MSR, Betriebssystem und Recovery bei Windows

Eine typische UEFI-Windows-Installation auf GPT enthält eine FAT32-formatierte EFI System Partition, eine Microsoft Reserved Partition, die Windows-Partition und eine getrennte Windows-Recovery-Partition. Größen und Reihenfolge richten sich nach der aktuellen Microsoft-Dokumentation und dem Deployment-Szenario; starre, aus älteren Versionen übernommene Werte sollten nicht ungeprüft verwendet werden.

Der UEFI-Modus und das Partitionsschema des Systemdatenträgers müssen zusammenpassen. Wird Windows Setup im UEFI-Modus gestartet, erwartet es für den Systemstart GPT. Wird das Medium versehentlich im Legacy-Modus gestartet, kann eine falsche Installation oder eine Fehlermeldung entstehen. Zusätzliche reine Datenträger können unabhängig vom Systemstart MBR oder GPT verwenden, wobei GPT meist vorzuziehen ist.

Partition, Dateisystem, Volume und Pool unterscheiden

Der historische „dynamische Datenträger“ von Windows ist für neue allgemeine Bereitstellungen nicht mit modernen Storage-Spaces-Konzepten gleichzusetzen. ZFS ist ebenfalls nicht einfach nur ein virtuelles Laufwerk, sondern kombiniert Storage-Pools, Volumes, Dateisysteme, Prüfsummen und weitere Funktionen.

Alignment: Partitionsgrenzen richtig ausrichten

Advanced-Format-HDDs arbeiten typischerweise mit 4-KiB-Physischen Sektoren, auch wenn 512e nach außen 512-Byte-Blöcke emuliert. SSDs verwalten NAND intern in Pages und Erase Blocks, deren Größe das Laufwerk dem Host nicht vollständig offenlegt. Die Aussage, SSDs hätten einfach „4-kB- oder 8-kB-Sektoren“, vermischt interne Flash-Strukturen mit logischen Blockgrößen.

Beginnt eine Partition ungünstig, kann ein Dateisystemblock mehrere physische Sektoren berühren. Das verursacht zusätzliche Lese-, Änderungs- und Schreibvorgänge. Historische MBR-Tools starteten die erste Partition häufig bei LBA 63; 63 × 512 Byte ist nicht durch 4096 Byte teilbar. Moderne Werkzeuge richten standardmäßig an 1-MiB-Grenzen aus. Das ist durch übliche Sektor- und RAID-Stripe-Einheiten teilbar und bietet ausreichend Spielraum für viele Speichertechniken.

Werkzeuge unter Windows, Linux und FreeBSD

Aktuelle Linux-fdisk-Versionen sind nicht mehr auf MBR beschränkt. Das alte BSD disklabel ist für bestimmte Legacy-Layouts relevant, während moderne FreeBSD-Systeme üblicherweise gpart verwenden. Vor schreibenden Befehlen sind Gerätename, Modell, Größe, Seriennummer und vorhandene Signaturen mehrfach zu prüfen.

Sicheres Partitionierungslabor mit einer Imagedatei

Partitionierungsbefehle können in Sekunden vollständige Datenträgerstrukturen überschreiben. Für Übungen wird deshalb eine Imagedatei statt einer realen SSD oder HDD verwendet. Die folgenden Linux-Befehle benötigen passende Rechte und dürfen nur auf das neu erzeugte Loop-Gerät angewendet werden. Der von losetup ausgegebene Gerätename wird ausdrücklich kontrolliert.

MBR und GPT untersuchen

Lesende Werkzeuge machen die Strukturen sichtbar. Unter Linux zeigen fdisk -l, sfdisk -d, parted print und sgdisk -p eine Partitionstabelle. sgdisk -i 1 zeigt Details zur ersten GPT-Partition. Hexdump oder od können einzelne Bytes darstellen, sollten im Unterricht aber durch eine erklärende Strukturübersicht ergänzt werden.

Ein bloßes Auslesen des Bytes an Offset 450 zeigt beim MBR den Typcode des ersten Partitionseintrags. Bei einem Protective MBR ist dort typischerweise EEh zu finden. Daraus folgt jedoch nicht, dass der GPT-Header oder seine CRC korrekt ist. GPT-fähige Werkzeuge prüfen dafür Header, Eintragsarray und Sicherungskopie.

Dateisysteme nach der Partitionierung

Partitionieren und Formatieren sind getrennte Schritte. mkfs-Werkzeuge erzeugen ein Dateisystem, mkswap initialisiert einen Linux-Swap-Bereich. Der generische Aufruf mkfs -t ext4 existiert, üblicher sind direkte Programme wie mkfs.ext4, mkfs.xfs oder mkfs.vfat. Der falsche Gerätename zerstört vorhandene Daten, weshalb auch hier ausschließlich bestätigte Zielpartitionen verwendet werden.

Ein Dateisystem organisiert Daten in Blöcken beziehungsweise Clustern und hält Metadaten über Dateien, Verzeichnisse, Eigentümer, Zeiten und freie Bereiche. Superblöcke enthalten zentrale Strukturinformationen. Journaling protokolliert beabsichtigte Metadatenänderungen beziehungsweise - je nach Modus - zusätzlich Daten, damit das Dateisystem nach einem Abbruch konsistent wiederhergestellt werden kann. Journaling ist kein Backup.

Fehler vermeiden und Wiederherstellung planen

• Vor jeder Änderung Backup und Wiederherstellbarkeit prüfen; Partitionieren ersetzt kein Backup.
• Gerät über Modell, Seriennummer, Kapazität und Verbindung identifizieren - nicht nur über /dev/sdX.
• Firmwaremodus und Systemdatenträgerschema vor der Installation kontrollieren.
• Bei UEFI die ESP nicht als normale Datenpartition verwenden oder mit Betriebssystemdateien überladen.
• Partitionstyp und tatsächliches Dateisystem getrennt prüfen.
• Alignment moderne Werkzeuge automatisch wählen lassen und anschließend Startoffset kontrollieren.
• Vor einem Schreibbefehl die geplante Tabelle anzeigen; bei Automatisierung Tests mit Images durchführen.
• Nach Änderungen Bootfähigkeit, Recovery-Umgebung, Verschlüsselungsschlüssel und Datensicherung testen.