NVIDIA-Treiber unter Fedora installieren, ohne Secure Boot abzuschalten

Wenn du vor dem Umstieg auf Linux eine Sache über NVIDIA-Treiber liest, dann diese: eine Qual, ein Gebastel, am besten Secure Boot abschalten und beten. Bei mir waren es am Ende drei Befehle, ein Passwort und ein blauer Bildschirm, und seitdem läuft die RTX 4070 Ti Super mit signiertem Treiber und vollen 240 Hz.

Der ehrliche Teil: Bevor ich wusste, wie einfach sich der NVIDIA-Treiber unter Fedora installieren lässt, ohne Secure Boot anzufassen, hatte ich eine Gaming-Distribution an genau dieser Hürde geschrottet und einen Abend im BIOS verbracht, weil mein Board gelöschte Schlüssel heimlich wiederherstellte. Die ganze Umstiegs-Geschichte steht im großen Ratgeber, hier kommt der Teil, der dort nur zwei Absätze bekommen hat, in voller Länge und mit der Rettung für den Fall, dass dein Bildschirm nach der Installation schwarz bleibt.

Warum dir jeder rät, Secure Boot einfach abzuschalten

Wer das Thema googelt, findet in jedem zweiten Forum-Thread denselben Rat: Schalt Secure Boot im BIOS aus, dann lädt der Treiber. Das stimmt sogar. Ohne die Prüfung lädt der Kernel jedes Modul, signiert oder nicht, und das Problem verschwindet. Es ist trotzdem der falsche Rat für Umsteiger.

Aus zwei Gründen. Erstens liegt bei den meisten Umsteigern Windows auf derselben Maschine, und einige Anti-Cheat-Systeme bestehen auf aktivem Secure Boot, das war meine unverhandelbare Bedingung aus dem Umstieg. Zweitens ist eine Schutzfunktion, die man abschaltet, weil ihre Einrichtung zehn Minuten kostet, ein Tausch, den man irgendwann bereut. Die gute Nachricht: Fedora ist für genau diesen Fall der bequemste Kandidat. Bootloader und Kernel sind ab Werk so signiert, dass deine Firmware sie ohne Zutun akzeptiert. Nur der NVIDIA-Treiber kommt von außen und braucht einmalig einen eigenen Schlüssel, danach übernimmt das System das Signieren automatisch.

Wie viel von der berüchtigten Qual übrig bleibt, wenn man es so macht, zeigt der Rest dieses Artikels. Vorher der Erwartungsabgleich mit der Ratgeber-Welt:

NVIDIA-Treiber unter Fedora installieren: die drei Befehle

Der NVIDIA-Treiber kommt unter Fedora aus dem RPM-Fusion-Depot: Repository aktivieren, Treiber-Paket und CUDA-Zusatz installieren, ein paar Minuten warten. RPM Fusion = das Zusatz-Depot für alles, was Fedora aus Lizenzgründen nicht mitliefern darf. Der erste Befehl schaltet es frei:

sudo dnf install https://mirrors.rpmfusion.org/free/fedora/rpmfusion-free-release-$(rpm -E %fedora).noarch.rpm https://mirrors.rpmfusion.org/nonfree/fedora/rpmfusion-nonfree-release-$(rpm -E %fedora).noarch.rpm

Der zweite holt den eigentlichen Treiber. akmod = ein Paket, das das Treiber-Modul bei jedem Kernel-Update automatisch neu baut, genau deshalb nimmst du nicht den Installer von der NVIDIA-Webseite, der nach dem nächsten Update kommentarlos zerbricht:

sudo dnf install akmod-nvidia

Und der dritte ist der, den ich beim ersten Anlauf vergessen habe: das CUDA-Teilpaket. Ohne das fehlt später nvidia-smi, das Kontroll-Werkzeug, mit dem du prüfst, ob die Karte überhaupt läuft. Ich saß eine Weile vor einem funktionierenden Treiber und hielt ihn für kaputt, weil das Prüf-Kommando fehlte:

sudo dnf install xorg-x11-drv-nvidia-cuda

Jetzt der Teil, der in fast keiner Anleitung steht: Nichts tun. Das Kernel-Modul wird nach der Installation im Hintergrund gebaut, ohne Fortschrittsbalken, ohne Meldung, bei mir gute fünf Minuten. Wer in dieser Zeit neu startet, landet im schwarzen Bildschirm und hält Fedora für kaputt. Ob das Modul fertig ist, verrät dir dieser Check, sobald er eine Versionsnummer statt eines Fehlers ausspuckt:

modinfo -F version nvidia

Zwei Stolpersteine aus meinem Protokoll: Meldet dnf einen Paketkonflikt, liegt vermutlich ein älterer Treiberzweig auf dem System, bei mir blockierte ein 580er-Rest die aktuelle 610er-Version, erst nach dem Entfernen des alten Zweigs lief die Installation durch. Und: Starte jetzt noch nicht neu. Mit aktivem Secure Boot fehlt dem frisch gebauten Modul noch die Unterschrift, und ohne die verweigert der Kernel beim Neustart die Zusammenarbeit. Die kommt jetzt.

Der MOK-Moment: ein Passwort und ein blauer Bildschirm

Jetzt zum Teil, der in den Horror-Geschichten die Hauptrolle spielt und in Wahrheit zwei Befehle lang ist. Damit der Kernel das NVIDIA-Modul mit aktivem Secure Boot lädt, braucht es eine Unterschrift, und dafür hinterlegst du einmalig einen eigenen Schlüssel in der Firmware. MOK, Machine Owner Key = dein selbst erzeugter Signatur-Schlüssel, mit dem das System künftig alle Treiber-Module beglaubigt. Erzeugen und zum Import anmelden:

sudo kmodgenca -a
sudo mokutil --import /etc/pki/akmods/certs/public_key.der

Der zweite Befehl fragt nach einem Passwort, und hier steckt die Falle, in die ich beim ersten Distributions-Versuch getappt bin: Damals verlangte das System ein vorgegebenes Passwort, ich tippte gedankenverloren mein eigenes, und der Schlüssel landete nie in der Firmware. Bei Fedora ist es zum Glück dein eigenes, aber merk dir zwei Dinge. Erstens: Das Passwort wird genau einmal gebraucht, beim nächsten Neustart, danach nie wieder. Wähl etwas Simples. Zweitens: Das Menü, das es gleich abfragt, spricht amerikanisches Tastaturlayout, Y und Z sind also vertauscht, was ein Grund mehr für ein simples Passwort ohne Sonderzeichen ist.

Weil der Treiber in unserer Reihenfolge schon gebaut wurde, bevor der Schlüssel existierte, stößt du den Bau einmal neu an, damit die Unterschrift auch drankommt. Die offizielle Anleitung dreht das um, Schlüssel zuerst, dann entfällt dieser Neubau, am Ergebnis ändert sich nichts. Danach darfst du endlich neu starten:

sudo akmods --force

Beim Neustart passiert dann das, was ohne Vorwarnung wie ein BIOS-Unfall aussieht: Ein blaues Menü namens MOK Management erscheint, noch vor dem Fedora-Logo. Genau das soll passieren. Der Weg durchs Menü: Enroll MOK, dann Continue, dann Yes, dann das Passwort von eben. Danach bootet Fedora normal, und der Schlüssel wohnt dauerhaft in der Firmware. Screenshots gehen an dieser Stelle prinzipbedingt nicht, das Menü läuft, bevor irgendein Betriebssystem wach ist, deshalb gibt es davon in keiner Anleitung ein Bild und von mir nur die Beschreibung.

Ob alles geklappt hat, verraten dir danach zwei Zeilen im Terminal: mokutil --sb-state muss „SecureBoot enabled“ melden, und modinfo -F signer nvidia zeigt den Namen deines eigenen Schlüssels. Bei mir stehen da seit Wochen dieselben zwei Antworten, und jedes Kernel-Update hat sie unangetastet gelassen, weil akmods das Signieren ab jetzt automatisch erledigt.

Die BIOS-Falle: wenn dein Board Schlüssel heimlich wiederherstellt

Vorweg zur Beruhigung: Für den Weg oben musst du im BIOS gar nichts anfassen. Dieser Abschnitt existiert, weil ich während meines Distributions-Umwegs trotzdem drin war, tiefer als geplant, und dabei etwas gefunden habe, das in keinem der Guides steht, die mir das Experiment eingebrockt hatten.

Die Situation: Für ein anderes System wollte ich damals eigene Secure-Boot-Schlüssel hinterlegen, wozu man die vorhandenen erst löscht. Also gelöscht, neu gestartet, und die Schlüssel waren wieder da. Nochmal gelöscht, wieder da. Das fühlt sich an wie ein Haus, in dem die Möbel nachts zurückrücken, und es lag an einer einzigen Zeile im BIOS meines Gigabyte-Boards: Factory Key Provision. Solange die auf Enabled steht, spielt das Board die ab Werk hinterlegten Schlüssel bei jedem Start automatisch wieder ein, egal was du vorher gelöscht hast. Einen Abend hat mich diese Zeile gekostet.

Warum ich dir das erzähle, obwohl du beim MOK-Weg keine Schlüssel löschst: Erstens landen viele Umsteiger über ambitionierte Guides genau in solchen Experimenten, und dann ist es gut zu wissen, dass Consumer-Boards eigenmächtig aufräumen. Zweitens kann auch ein BIOS-Update oder ein CMOS-Reset den Secure-Boot-Zustand durcheinanderbringen, bei mir kippte der Rechner nach einem Reset einmal in einen Modus, in dem die Signaturprüfung faktisch aus war. Nach jedem BIOS-Update lohnt deshalb der Fünf-Sekunden-Check von oben: mokutil --sb-state, und wenn da nicht „enabled“ steht, weißt du, wo du suchen musst.

Schwarzer Bildschirm? Die Rettung in vier Schritten

Falls du gerade aus einem Forum hierher gestolpert bist, weil nach dem Neustart nichts mehr kommt: Dein System ist mit hoher Wahrscheinlichkeit nicht kaputt. Fedora startet auch ohne funktionierenden NVIDIA-Treiber, nur eben ohne Bild oder mit dem falschen. Das hier ist die Reihenfolge, mit der ich meine eigenen Abende sortiert habe.

Schritt 1: Warten. Der unbefriedigendste Rat zuerst, aber der häufigste Fall: Das Kernel-Modul war beim Neustart noch gar nicht fertig gebaut. Gib dem Rechner ein paar Minuten und starte einmal neu, bevor du irgendetwas reparierst.

Schritt 2: Ins Text-Terminal. Drück Strg+Alt+F3. Wenn eine Login-Zeile erscheint, lebt dein System, und du kannst dich mit Benutzername und Passwort anmelden. Ab hier arbeitest du blind an der Grafik vorbei, ganz ohne Bildschirm-Magie.

Schritt 3: Drei Fragen stellen. Ist Secure Boot an, ist das Modul gebaut, ist es unterschrieben? Genau in dieser Reihenfolge:

mokutil --sb-state
modinfo -F version nvidia
modinfo -F signer nvidia

Fehlt die Version, ist das Modul nie fertig gebaut worden. Fehlt der Unterzeichner, ist es gebaut, aber ohne Unterschrift, und der Kernel lehnt es zu Recht ab. Beides repariert derselbe Doppelbefehl, danach neu starten:

sudo akmods --force && sudo dracut --force

Schritt 4: Das blaue Menü nachholen. Der Klassiker unter den Ursachen: Beim Neustart kam das MOK-Menü, und du hast es mit Continue boot weggedrückt, weil es aussah wie ein Versehen. Dann wurde der Schlüssel nie hinterlegt. Die Anmeldung lässt sich beliebig oft wiederholen, einfach den Import-Befehl aus dem MOK-Abschnitt erneut ausführen, neu starten und diesmal Enroll MOK wählen.

Und falls gar nichts hilft: Der Notausgang ist unspektakulär. Mit sudo dnf remove xorg-x11-drv-nvidia\* fliegt der komplette Treiber-Stapel wieder runter, das ist der offizielle Weg aus der RPM-Fusion-Doku, Fedora fällt auf den freien Ersatztreiber Nouveau zurück, und du hast ein funktionierendes System für den zweiten Versuch. Genau diese Rückfahrkarte ist übrigens der Grund, warum sich der Paket-Weg gegen jeden Installer von der Hersteller-Webseite durchsetzt: Man kommt sauber wieder raus.

Kurz sortiert: die Treiber-Fragen

Der Ruf ist schlimmer als die Realität, aber der Ruf hat Gründe

Der Horror-Ruf dieses Themas stammt aus einer Zeit, in der man Treiber von Hand nachbauen musste, und von Leuten, die den Installer von der NVIDIA-Webseite nehmen. Mit RPM Fusion, akmods und einem einmal hinterlegten Schlüssel ist die Sache ein Nachmittags-Kapitel, keine Leidensgeschichte, und danach fasst du sie nie wieder an. Meine Karte läuft seit Wochen durch alle Updates, signiert und mit vollen 240 Hz.

Bleibt die Frage, für wen sich der Aufwand lohnt: für alle, die Windows als Dual Boot behalten, Anti-Cheat-Titel im Blick haben oder ihre Schutzfunktionen anlassen wollen. Wer keinen dieser Gründe hat, darf Secure Boot auch guten Gewissens abschalten und spart sich das blaue Menü, das ist kein Charakterfehler, nur eine andere Abwägung. Nur eines lass dir nicht erzählen: dass es nicht anders ginge.

Dieser Artikel ist Teil meiner Linux-Umsteiger-Serie. Den Anfang macht der große Ratgeber zum Umstieg von Windows auf Fedora, als Nächstes folgt das Kapitel mit dem zweitgrößten Schmerz: DaVinci Resolve auf Fedora, inklusive der fünf Anleitungen, die ich dafür gebraucht habe.