Ablauf des Secure Boot-Zertifikats: Was Sie wissen müssen

Microsoft hat das Secure Boot 2023-Zertifikatsupdate für alle berechtigten Windows 11- und Windows 10-PCs nur wenige Stunden vor der ursprünglichen Ablauffrist am 24. Juni 2026 eingeführt. Laut einer Erklärung von Microsoft: „Mit diesem Update enthalten Windows-Qualitätsupdates zusätzliche hochzuverlässige Gerätedaten, wodurch die Abdeckung der Geräte, die automatisch neue Secure Boot-Zertifikate erhalten können, erweitert wird. Geräte erhalten die neuen Zertifikate nur, nachdem sie ausreichende erfolgreiche Update-Signale gezeigt haben, wodurch ein kontrollierter und gestaffelter Rollout gewährleistet wird.“

Wenn Ihr PC das Patch Tuesday-Update vom Juni 2026 erhalten hat, ist es wahrscheinlich, dass die Secure Boot 2023-Zertifikate bereits auf Ihrem Gerät installiert wurden. Im Folgenden finden Sie alles, was Sie über die Überprüfung des Zertifikatstatus und die Behebung potenzieller Probleme wissen müssen.

Was ist das Secure Boot-Zertifikatsupdate?

Secure Boot ist eine Sicherheitsfunktion auf Firmware-Ebene, die die digitale Signatur jedes Startkomponenten überprüft, um Rootkits und Bootkits daran zu hindern, die Startkette zu infiltrieren. Die Zertifikate, die dieses System unterstützen, wurden 2011 ausgestellt und haben folgende Ablaufdaten:

• Microsoft Corporation KEK CA 2011: 24. Juni 2026
• Microsoft UEFI CA 2011: 27. Juni 2026
• Microsoft Windows Production PCA 2011: 19. Oktober 2026

Um sicherzustellen, dass Secure Boot über diese Daten hinaus funktioniert, hat Microsoft seit 2024 Ersatz-Zertifikate aus dem Jahr 2023 über Windows Update bereitgestellt. Das Juni-2026-Update hat den Pool der berechtigten Geräte erheblich erweitert und die meisten unterstützten PCs in die Kategorie „hohes Vertrauen“ verschoben, in der Updates automatisch und sicher angewendet werden.

Wie überprüfe ich, ob mein PC die Secure Boot 2023-Zertifikate hat?

Der schnellste Weg, den Status Ihres Secure Boot-Zertifikats zu überprüfen, ist über die Windows-Sicherheits-App, eine Funktion, die im April 2026-Update für Windows 11 hinzugefügt wurde. Gehen Sie wie folgt vor:

1. Öffnen Sie die Windows-Sicherheits-App.
2. Klicken Sie im linken Menü auf Gerätesicherheit.
3. Scrollen Sie zum Abschnitt Secure Boot, um Ihren Status anzuzeigen.

Sie sehen eine der folgenden Statusanzeigen:

• Grüner Haken: Zeigt an, dass alle erforderlichen Zertifikatsupdates angewendet wurden und keine Maßnahmen erforderlich sind.
• Gelbe Warnung: Zeigt an, dass das Update aussteht. Kompatibilitätsdaten oder ein BIOS-Update von Ihrem PC-Hersteller könnten erforderlich sein, bevor die Zertifikate installiert werden können.
• Roter Alarm: Zeigt ein spezifisches Problem an, das das Update blockiert, typischerweise aufgrund von Firmware-Inkompatibilität. Überprüfen Sie die Support-Seite Ihres PC-Herstellers auf ein BIOS-Update.

Wenn der Abschnitt Secure Boot fehlt, bedeutet dies wahrscheinlich, dass Secure Boot deaktiviert ist oder Ihr PC mit einem Registrierungs-Bypass auf nicht unterstützter Hardware installiert wurde. Für detaillierte Schritte zu älteren und nicht unterstützten PCs lesen Sie unseren Secure Boot-Überprüfungsleitfaden.

Was tun, wenn Ihr PC das Secure Boot-Update nicht erhalten hat?

Das Fehlen des Secure Boot 2023-Zertifikatsupdates bedeutet nicht, dass Ihr PC nicht mehr funktioniert. Microsoft hat bestätigt, dass Geräte ohne die aktualisierten Zertifikate weiterhin normal starten und reguläre Windows-Updates erhalten. Diese Geräte erhalten jedoch keine zukünftigen Sicherheitsupdates auf Boot-Ebene mehr, was sie im Laufe der Zeit für Schwachstellen wie das BlackLotus-Bootkit anfällig machen kann.

Bei moderner Hardware wird das Update automatisch angewendet. Wenn Ihr PC eine gelbe Warnung anzeigt, warten Sie auf den nächsten Windows-Update-Zyklus. Microsoft erweitert weiterhin die Geräteabdeckung mit jedem monatlichen Update. Bei älterer Hardware, bei der der Hersteller den Support eingestellt hat, ist es möglicherweise nicht möglich, die Zertifikate von 2023 zu erhalten. In solchen Fällen ist die Überprüfung auf ein BIOS-Update der erste Schritt, bevor man manuelle Eingriffe in Betracht zieht.

Ihr PC könnte nach Updates zweimal neu starten

Es ist normal, dass PCs während des Secure Boot-Zertifikatsupdateprozesses zwei- oder dreimal neu starten. Microsoft hat bestätigt, dass dieses Verhalten aufgrund des mehrstufigen Prozesses erwartet wird, der Folgendes umfasst:

1. Schreiben neuer Zertifikate in die Firmware.
2. Anwenden des aktualisierten Boot-Managers.
3. Starten von Windows mit der aktualisierten Secure Boot-Kette.

Zusätzlich könnte ein neuer Ordner unter C:\Windows\SecureBoot erscheinen. Dies ist keine Malware; Windows verwendet diesen Ordner, um kryptografische Zertifikatsdateien zu speichern, bevor sie in die Firmware geschrieben werden. Löschen Sie diesen Ordner nicht.

Auch Windows 10-Nutzer erhalten Secure Boot-Updates

Obwohl Windows 10 das Lebensende erreicht hat, wurden Secure Boot-Updates für Nutzer im Extended Security Updates (ESU)-Programm verfügbar gemacht. Ab dem Update vom Mai 2026 (KB5087544) erhielten Windows 10-Nutzer Secure Boot-Statusberichte. Nutzer, die nicht im ESU-Programm eingeschrieben sind, erhalten diese Updates jedoch nicht über Windows Update.

Der Wechsel zu ESU erfordert den Übergang von einem lokalen Konto zu einem Microsoft-Konto. Für Windows 11-Nutzer bietet das Juni-2026-Update die bisher größte Einführung von Secure Boot-Zertifikaten.

Für IT-Administratoren: Wichtige Details zur Frist am 24. Juni

Ab dem 24. Juni 2026 kann die Microsoft Corporation KEK CA 2011 keine neuen Secure Boot-Widerrufsnutzlasten (DBX-Updates) mehr mit dem alten Schlüssel signieren. Bestehende signierte Nutzlasten und manuelle Rollout-Methoden funktionieren jedoch weiterhin. Der DB-Schlüssel bleibt bis zum 19. Oktober 2026 gültig, sodass Microsoft bis dahin neue Boot-Manager signieren kann.

Microsoft hat AMA-Sitzungen mit Ingenieuren durchgeführt, um die Bedenken von IT-Administratoren zu adressieren, einschließlich Gerätevertrauensstufen, Intune-Überwachung, PXE-Boot-Szenarien und Einschränkungen virtueller Maschinen. Für die Verwaltung von Unternehmensflotten bleibt aka.ms/GetSecureBoot die Hauptressource.

Geräte in der pausierten Gruppe benötigen ein BIOS-Update vom OEM, bevor das Secure Boot-Update angewendet werden kann. Das Erzwingen des Updates ohne ein Firmware-Update wird nicht empfohlen und könnte zu Startfehlern oder der Auslösung der BitLocker-Wiederherstellung führen.

Windows Latest ist auf Leser wie Sie angewiesen. Erwägen Sie, uns zu Ihrer bevorzugten Quelle auf Google Discover und Google Search zu machen, um unsere unabhängige Berichterstattung zu unterstützen.