Windows Secure Boot-Zertifikate laufen im Juni 2026 ab: Was ist jetzt zu tun?
Warten Sie nicht! Windows Secure Boot-Zertifikate laufen im Juni 2026 ab. Erfahren Sie jetzt, was Sie überprüfen sollten, um Startprobleme zu vermeiden und Ihr Windows-Gerät zu schützen.
Die wichtigsten Dinge, die Sie wissen müssen
- Die Secure-Boot-Zertifikate von 2011 laufen ab Juni 2026 schrittweise ab. Um die Sicherheit bis 2038 zu gewährleisten, ist eine Migration auf die neuen Zertifikate von 2023 erforderlich.
- Wenn Zertifikate nicht aktualisiert werden, wird das Gerät zwar nicht sofort deaktiviert, aber es werden wichtige Sicherheitsupdates verpasst und die Anfälligkeit für Firmware-Angriffe steigt im Laufe der Zeit; der Status kann über die Windows-Sicherheits-App oder einen PowerShell-Befehl überprüft werden.
- Server und verwaltete Umgebungen erfordern manuelle Zertifikatsaktualisierungen, und IT-Administratoren sollten Aktualisierungen sorgfältig an repräsentativen Teilmengen von Geräten testen, um Probleme wie BitLocker-Wiederherstellungsschleifen zu vermeiden.
Die kryptografische Vertrauensbasis für jeden modernen Windows-Startvorgang durchläuft einen stillen, aber entscheidenden Wandel. Die Secure-Boot-Zertifikate, die seit 2011 mit Computern ausgeliefert werden, laufen ab Juni 2026 ab. Microsoft arbeitet daran, sie durch eine neuere Zertifikatsfamilie (2023) zu ersetzen, die über Windows Update bereitgestellt wird. Im schlimmsten Fall könnten Geräte nicht mehr starten. Die Realität ist jedoch weitaus weniger dramatisch, und für die meisten Nutzer kaum spürbar.
Kurz gesagt: Lassen Sie Windows Update aktiviert und installieren Sie die neuesten kumulativen Updates . Öffnen Sie anschließend die Windows-Sicherheit, gehen Sie zu Gerätesicherheit > Sicherer Start und vergewissern Sie sich, dass der Status die neue Vertrauenskette von 2023 anzeigt. Bei den meisten unterstützten Geräten sind keine manuellen Firmware-Anpassungen erforderlich.
Welche Secure-Boot-Zertifikate laufen im Jahr 2026 ab?
Es gibt keinen einzigen Stichtag. Die Infrastruktur von 2011 wird im Laufe des Jahres schrittweise abgeschaltet, weshalb unterschiedliche Daten kursieren. Die ersten Ablaufdaten beginnen Ende Juni, gefolgt vom Windows-Betriebssystemschlüssel einige Monate später im Oktober.
| Zertifikat | Rolle | Verfallsdatum |
|---|---|---|
| KEK CA 2011 | Schlüsselaustauschschlüssel, der zum Aktualisieren von Signaturdatenbanken verwendet wird | 24. Juni 2026 |
| UEFI CA 2011 | Signaturanker von Drittanbietern | 27. Juni 2026 |
| Windows Production PCA 2011 | Originaler Windows Boot Manager-Schlüssel | Oktober 2026 |
Die 2023 erschienenen Nachfolger wurden entwickelt, um dieses Vertrauen fortzuführen, und werden voraussichtlich bis 2038 gültig bleiben. Das unmittelbare Ziel besteht darin, die vorhandenen Computer auf die neue Serie umzustellen, bevor die alte Serie unbrauchbar wird.
Was passiert, wenn Sie die Frist im Juni 2026 verpassen?
Am ersten Tag wird nichts schiefgehen. Ein Computer, der noch Zertifikate aus dem Jahr 2011 verwendet, wird weiterhin normal funktionieren. Das Ablaufdatum bedeutet nicht, dass Ihr Gerät vollständig deaktiviert wird.
Die Kosten sind schleichend und kumulativ. Systeme mit älteren Zertifikaten erhalten möglicherweise keine wichtigen Sicherheitsupdates mehr für den Bootvorgang und verpassen zukünftige Aktualisierungen der DBX-Sperrliste. Diese Liste blockiert bekannte schädliche Bootkomponenten und Bootkit-Bedrohungen wie BlackLotus. Geräte, die die Zertifikatsserie 2023 nicht erhalten, lassen sich mit der Zeit immer schwerer vor Firmware-Angriffen schützen und erwarten möglicherweise einen zukünftigen Bootmanager oder eine Wiederherstellungsumgebung mit vertrauenswürdigen Materialien, die dem Gerät fehlen.
Daher ist die Formulierung „funktioniert heute“ korrekt. Sie ist aber nicht dasselbe wie „bleibt auf unbestimmte Zeit sicher“.
So überprüfen Sie den Secure-Boot-Status in Windows
Sie müssen nicht mehr raten, wann Updates eintreffen; Windows zeigt den Zertifikatsstatus jetzt direkt in der Windows-Sicherheits-App an, sodass die Suche in PowerShell, wie bisher erforderlich, entfällt.
1. Geben Sie „Windows-Sicherheit“ in die Suchleiste ein und öffnen Sie die Anwendung. Dies ist die integrierte Systemsteuerung zum Schutz Ihres Geräts.
2. Wählen Sie „Gerätesicherheit“ und scrollen Sie dann nach unten zum Eintrag „Sicherer Start“ . Der Statustext und die Farbe des Symbols zeigen den aktuellen Gerätestatus an.
3. Lesen Sie die Meldung. „Secure Boot ist aktiviert und verhindert das Laden schädlicher Software beim Start Ihres Geräts“ ist der Normalzustand. Eine Zeile mit dem Hinweis „Ältere Boot-Trust-Konfiguration, die aktualisiert werden sollte“ bedeutet, dass der Migrationsprozess noch nicht abgeschlossen ist.
Wenn Sie eine eindeutige Ja/Nein-Antwort bevorzugen, öffnen Sie PowerShell als Administrator und führen Sie einen einzelnen Scan durch. Der Rechner muss sich im UEFI-Modus mit aktiviertem Secure Boot befinden; der Befehl funktioniert nicht in einer virtuellen Maschine.
([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023')Referenzwert True Zur Existenz eines Zertifikats für 2023. Was betrifft False Dies bedeutet, dass das neue Zertifikat noch nicht implementiert wurde.
Was bedeuten die grünen, gelben und roten Secure Boot-Symbole?
Die Statusanzeige in Windows Security zeigt drei eindeutige Zustände an. Anhand dieser Anzeige können Sie feststellen, ob Sie sich keine Sorgen mehr machen müssen oder ob das Gerät einen gründlicheren Scan benötigt.
| Abzeichen | Die Bedeutung | Aktion |
|---|---|---|
| Grün | Neue Zertifikate für 2023 wurden bestätigt | Es sind keine Maßnahmen erforderlich. |
| Gelb | Er verwendet noch ältere Zertifikate oder wartet auf deren schrittweise Verteilung. | Installieren Aktualisierung Starten Sie das Gerät neu; prüfen Sie es später erneut. |
| rot | Ein Problem mit der Boot-Konfiguration verhindert das Update. | Beheben Sie Firmware- oder Secure-Boot-Konfigurationsprobleme oder installieren Sie die OEM-Firmware. |
Die rote Anzeige ist vor allem für IT-Teams relevant. Sie signalisiert in der Regel, dass der Firmware-Status, das Festplattenlayout oder die Geräteausrichtung die automatische Auslieferung durch Microsoft verhindern. Ein einfacher Neustart von Windows Update behebt das Problem daher möglicherweise nicht. In solchen Fällen müssen Sie tieferliegende Firmware- oder Boot-Einstellungen überprüfen . Weitere Informationen zum Upgrade von Gamern auf Windows 11 finden Sie in unseren anderen Artikeln.
SecureBoot-Ordner und zusätzliche Neustarts: Warum sind sie normal?
Zwei Aspekte dieses Updates bereiten den Nutzern tendenziell Sorgen. Der erste ist das Auftauchen eines neuen Ordners mit dem Namen SecureBoot Auf Ihrem C:-Laufwerk ist dieser Ordner ein legitimer temporärer Speicherort, an dem Windows Zertifikatsdateien ablegt, bevor diese in die Firmware des Motherboards installiert werden. Das Löschen dieses Ordners ist eine Art „Bereinigung“, die genau die Probleme verursacht, die Sie vermeiden möchten. Daher ist es ratsam, ihn unverändert zu lassen.
Der zweite Aspekt sind die häufigen Neustarts. Das Übertragen der Daten auf die Firmware erfordert einen Neustart zur Vorbereitung der Zertifikate, einen weiteren zur Anwendung durch die Firmware und einen dritten zum Laden des neu signierten Bootloaders. Daher ist ein Update, das mehr Neustarts als üblich erfordert, in diesem Fall zu erwarten und kein Hinweis auf einen Installationsfehler.
BitLocker muss nicht deaktiviert werden. Dieser Vorgang ist mit BitLocker kompatibel und sperrt die Schlüssel für BitLocker und den virtuellen Sicherheitsmodus automatisch wieder, sodass Windows Hello und die Festplattenverschlüsselung auch nach Neustarts erhalten bleiben.
Wann wird die Aktualisierung des Secure-Boot-Zertifikats übersprungen oder blockiert?
Nicht alle Geräte erhalten die neuen Zertifizierungen, und das ist beabsichtigt. Die entsprechenden Regeln sind spezifisch und eindeutig.
- Ältere BIOS-Systeme Diese Systeme werden vollständig umgangen. Da sie Secure Boot nicht unterstützen, werden sie als nicht kompatibel markiert, und Windows versucht niemals, sie zu aktualisieren.
- CSM-Geräte (Compatibility Support Module) Es kann das Update empfangen, solange es weiterhin UEFI und Secure Boot ausführen kann.
- Secure Boot im BIOS deaktivieren Das Update wird absichtlich blockiert. Aufgrund erheblicher Unterschiede in den UEFI-Implementierungen verlangt Microsoft, dass Secure Boot aktiv aktiviert wird, um eine Beschädigung des Bootvorgangs zu vermeiden.
Wenn Sie Secure Boot absichtlich deaktivieren, verwendet das Gerät weiterhin die alten Zertifikate, bis Sie es neu starten. Ein Sonderfall ist zu beachten: Das Löschen des CMOS oder das Zurücksetzen des BIOS nach einer Migration kann die ursprüngliche Konfiguration wiederherstellen und beim Start zu einer Secure-Boot-Verletzung führen. Dies lässt sich in der Regel beheben, indem Windows die Zertifikate neu anwenden darf oder die neuesten Schlüssel über die Firmware-Einstellungen importiert werden.
Benötigen Windows 10-Geräte dies auch?
Ja, Windows 10-Geräte benötigen dieses Update. Die zugrundeliegende Infrastruktur für Secure Boot wird gemeinsam genutzt, sodass unterstützte Windows 10-Systeme die gleichen Zertifikate von 2023 erhalten. Voraussetzung ist jedoch die Aktivierung der erweiterten Sicherheitsupdates (ESU) auf dem Windows 10-Gerät, um weiterhin relevante Updates zu erhalten, da die Zertifikatsübertragung über Windows Update erfolgt.
Für normale Nutzer gilt der ESU-Schutz für Windows 10 noch ein Jahr nach dem Ende des regulären Supports. Nach Ablauf dieses Zeitraums ist der Startschutz eines Windows-10-Geräts, das nicht migriert wurde, deutlich geschwächt, da es keine Updates mehr erhält.
Manuelle Aktualisierung des Secure-Boot-Zertifikats erzwingen
Die meisten Heimanwender müssen diesen Schritt normalerweise nicht durchführen. Die Migration erfolgt automatisch über Windows Update. Die Aktivierung der Diagnosefunktion unter „Einstellungen“ > „Datenschutz und Sicherheit“ > „Diagnose und Feedback“ hilft dem System, vorhandene Zertifikate zu identifizieren. Sollten Sie jedoch Probleme mit einem Gerät haben, das sich weigert , das Update manuell auszuführen, gibt es eine unterstützte Methode.
1. Öffnen Sie die Eingabeaufforderung als Administrator und wählen Sie die Option „Verfügbare Updates“. Dadurch wird Windows angewiesen, das Secure-Boot-Update zu konfigurieren.
reg add HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecureboot /v AvailableUpdates /t REG_DWORD /d 0x40 /f2. Führen Sie die geplante Aufgabe aus, die das Update durchführt.
Start-ScheduledTask -TaskName "MicrosoftWindowsPISecure-Boot-Update"3. Starten Sie Ihren Computer neu. Es ist möglich, dass er sich mehrmals automatisch neu startet, bevor er sich stabilisiert. Führen Sie anschließend den oben erwähnten PowerShell-Scan erneut aus. Das Ergebnis zeigt … True Bis das Zertifikat von 2023 nun aktiv ist.
Hinweis: Sollte das Update weiterhin fehlschlagen, benötigt das Gerät möglicherweise ein Firmware-Update vom Hersteller. Einige ältere Motherboards akzeptieren die neue Zertifikatsarchitektur nicht ohne eine aktualisierte UEFI-Version.
Server, Hyper-V und Unternehmensflotten
Verwaltete Umgebungen erfordern mehr Aufmerksamkeit als herkömmliche PCs. Windows Server nutzt nicht den für Endverbraucher vorgesehenen automatischen Update-Prozess. Administratoren müssen daher neue Zertifikate manuell gemäß den Microsoft-Richtlinien zur Vorbereitung von Servern auf Secure-Boot-Zertifikatsupdates installieren. Auch Hyper-V-Bereitstellungen erfordern möglicherweise Updates sowohl auf dem Host- als auch auf dem Gastsystem, bevor Änderungen wirksam werden.
Aktivieren Sie die Richtlinie „Aktualisierung von Zertifikaten für sicheren Start aktivieren“ nicht für alle Geräte. Firmware-Unterschiede zwischen den Modellen können Fehlfunktionen verursachen, und ein erzwungener Neustart ohne Überprüfung der Plattformkompatibilität kann verschlüsselte Geräte in einer BitLocker-Wiederherstellungsschleife gefangen halten. Testen Sie daher zunächst eine repräsentative Auswahl jedes Gerätemodells.
Netzwerkbasiertes Booten (PXE-Boot) hat seine Grenzen. Das Protokoll kann nur einen Bootmanager pro Client bereitstellen, sodass die Bootmanager von 2011 und 2023 nicht in einer einzigen boot.wim-Datei enthalten sein können. Nach der Migration aller Geräte können Administratoren die boot.wim-Datei manuell mit DISM hochladen und aktualisieren. Microsoft stellt PowerShell-Skripte zur Überwachung bereit. Intune-verwaltete Geräte zeigen möglicherweise die Ereignis-ID 1801 an, wenn Zertifikate verfügbar, aber noch nicht angewendet sind. Die Ereignisanzeige-Protokolle der TPM-WMI-Quelle bieten eine weitere Möglichkeit, den Status zu überprüfen.
Die wichtigste Erkenntnis ist: Juni 2026 ist ein Stichtag, keine Katastrophe. Windows 11- und Windows 10-Geräte funktionieren auch nach Ablauf ihrer Zertifikate von 2011 weiterhin, und eine Neuinstallation von Windows 11 oder ein Upgrade auf 26H2 ist vorerst noch möglich. Besorgniserregend sind hingegen Geräte, die lange vernachlässigt wurden, wie z. B. ungenutzte Backup-Systeme, Service-Kioske und Laborrechner, die schon lange nicht mehr aktualisiert wurden und daher die neue Version nicht mehr erhalten. Allen anderen Nutzern gilt: Halten Sie Windows auf dem neuesten Stand, lassen Sie es bei Aufforderung neu starten, lassen Sie den neuen Ordner an seinem Platz und achten Sie nach Abschluss der Installation auf das grüne Symbol.
Kommentare sind geschlossen.