Alte Windows-Secure-Boot-Zertifikate von 2011 laufen bald ab – Das sollten Sie wissen

Microsoft kündigte im Juni 2025 an, dass die Secure-Boot-Zertifikate aus dem Jahr 2011, die mittlerweile durch die Versionen von 2023 ersetzt wurden, ab Juni 2026 schrittweise deaktiviert werden. Nutzer und Administratoren sollten sich darauf vorbereiten, um mögliche Probleme zu vermeiden. Systeme, die von Unternehmen oder Bildungseinrichtungen verwaltet werden, erfordern, dass die zuständigen Administratoren den Ablauf überwachen. Privatnutzer müssen unter Umständen eigene Schritte durchführen.

Die betroffenen Zertifikate prüfen den Startvorgang des Systems, also die Software, die unmittelbar vor dem Laden von Windows aktiv ist. Sie sind Bestandteil des Secure-Boot-Systems, das in die Firmware aller modernen Windows-Geräte integriert ist. Secure Boot wird über die UEFI-Schnittstelle aktiviert und ist standardmäßig eingeschaltet. Ein Mismatch der Zertifikate bedeutet nicht zwangsläufig, dass schädliche Software geladen wird, sondern dass das System diese Möglichkeit nicht ausschließen kann.

Der Ablauf der Zertifikate beginnt im Juni 2026 und wird bis Oktober 2026 fortgesetzt. Betroffen sind alle Versionen von Windows 10 ab Version 1607 sowie Windows 11. Details zu den jeweiligen Versionen und Zertifikatsupdates sind auf der Microsoft-Website verfügbar. Um die Updates für Windows 10 zu erhalten, ist die Teilnahme am Extended Security Updates (ESU)-Programm erforderlich.

In vielen Fällen ist kein direktes Eingreifen notwendig. Windows aktualisiert die Zertifikate in der Regel automatisch, solange Secure Boot aktiviert ist. Automatisierte Updates werden im Laufe des Jahres weiter durchgeführt. Dennoch empfiehlt es sich, die aktuelle Version zu überprüfen. Im Unterschied zu nicht pausierbaren Virendefinitions-Updates gehören Secure-Boot-Zertifikate zu regulären, pausierbaren Updates, die häufig über das BIOS implementiert werden. Die Methode zur Überprüfung der Version variiert je nach Gerät. Bereits 2024 wurden die Updates ausgerollt, sodass ein aktuelles BIOS üblicherweise ausreicht, um geschützt zu sein. Beispielsweise kann das BIOS-Datum über die Eingabe von „msinfo32“ im Windows-Startmenü angezeigt werden.

Falls die Update-Frequenz reduziert wurde, sollten Nutzer sicherstellen, dass keine Updates ausgelassen wurden. Ist Secure Boot deaktiviert, könnten die Updates nicht durchgeführt worden sein. Bei längere Zeit nicht genutzten Systemen empfiehlt es sich, diese zu starten und auf den neuesten Stand zu bringen, um zukünftige Probleme zu vermeiden.

Wenn die Zertifikate trotz aktivem Secure Boot und durchgeführten Windows-Updates nicht aktuell sind, müssen möglicherweise herstellerspezifische Anweisungen befolgt werden, insbesondere bei selbst gebauten Computern. Microsoft stellt dazu Links zu Anleitungen einiger Hersteller bereit.

Abgelaufene Zertifikate führen dazu, dass Windows Sicherheitsfunktionen und Datenbanken beim Systemstart nicht auf dem neuesten Stand halten kann, wodurch die Anfälligkeit für Sicherheitslücken steigt. Die Zertifikate selbst prüfen lediglich die Übereinstimmung des Codes mit den erwarteten Werten. Sie verhindern nicht das Laden oder Ausführen von Programmen. Wie das System auf eine fehlende Übereinstimmung reagiert, hängt von den installierten Programmen und aktivierten Windows-Funktionen ab. Reaktionen können von Benachrichtigungen im Event Viewer bis hin zu Funktionsstörungen bestimmter Software wie BitLocker reichen.

Unternehmensverwaltete Geräte verfügen meist über mehrere Sicherheitsebenen, die den Großteil möglicher Probleme verhindern. Private Systeme zeigen dagegen häufig nur minimale Reaktionen. Deaktiviertes Secure Boot hat in diesem Zusammenhang keine Auswirkungen.