Windows: Original Secure-Boot-Zertifikate laufen aus, Updates kommen

Microsoft will in Kürze beginnen, auf breiter Front neue Secure-Boot-Zertifikate für diverse PC-Systeme auszuliefern. Ab März sollen diese per Windows Update auf vielen Rechnern landen. Nur so sei auch künftig ein zuverlässiger Schutz vor Boot-Level-Attacken gewährleistet, heißt es.

Sicherheitszertifikate für Secure Boot werden aufgefrischt

Microsoft hat den baldigen Beginn der Bereitstellung neuer Secure-Boot-Zertifikate über Windows Update angekündigt. Mit den aktualisierten Zertifikaten versucht man möglichst alle seit der Einführung von Secure Boot im Jahr 2011 ausgelieferten PCs auf den neuesten Stand zu bringen, um einen besseren Schutz gegen mögliche Angriffe zu gewährleisten.

Secure Boot verhindert normalerweise die Ausführung von unsigniertem und möglicherweise gefährlichem Code vor dem Start von Windows selbst. Mittlerweile ist Unterstützung für Secure Boot unter anderem Teil der offiziellen Hardware-Anforderungen von Windows 11 und wird von diversen Anti-Cheat-Systemen bei Spielen wie Battlefield oder auch Call of Duty: Black Ops vorausgesetzt.

"Verschlechterter Sicherheitszustand"

Hintergrund der Update-Aktion von Microsoft ist der Umstand, dass die alten Secure-Boot-Zertifikate nach 15 Jahren nicht mehr ausreichend modern sein sollen, wodurch die betroffenen Systeme nach Angaben des Unternehmens in einem "verschlechterten Sicherheitszustand" enden, der die "Fähigkeit für den Erhalt künftiger Boot-Level-Schutzmaßnahmen beschränkt.


Im Grunde entfällt bei älteren Windows-Versionen somit der Schutz vor Malware und anderer Schadsoftware. Dem entsprechend machte Microsoft auch deutlich, dass die neuen Secure-Boot-Zertifikate nur auf Systemen Einzug halten, die mit Windows 11 laufen oder am Extended-Security-Update-Programm (ESU) für Windows 10 teilnehmen.

PCs werden über Windows Update aktualisiert

Für die meisten User sollte das aktualisierte Zertifikat über Windows Update verfügbar sein, so der Konzern. Vereinzelt wird aber die Installation eines zusätzlichen Firmware-Updates für den jeweiligen PC oder das darin verwendete Mainboard nötig sein, das vom jeweiligen Gerätehersteller ausgeliefert werden muss.

Für die kommenden Monate kündigte Microsoft im Zuge der Aktualisierung der Secure-Boot-Zertifikate für ältere PCs an, dass man den Status der Zertifikate über die Windows-Security-App nachvollziehen können soll. Entsprechende Änderungen würden in den "kommenden Monaten" vorgenommen, hieß es von Nuno Costa, Partner Director of Windows Servicing and Delivery bei Microsoft in einem Blog-Eintrag.

Seinen Angaben zufolge ist der Austausch von Sicherheitszertifikaten übliche Praxis, schließlich würden sich Zertifikate, kryptografische Sicherheit und die Schlüssel ständig weiterentwickeln und müssten deshalb immer mal wieder aufgefrischt werden. Man könne so vermeiden, dass veraltete Zertifikate zu einem Sicherheitsrisiko werden.

Costa zufolge habe Microsoft mit PC-Herstellern wie Dell und HP im Hintergrund bereits länger daran gearbeitet, auf die neuen Secure-Boot-Zertifikate umzustellen. Viele seit 2024 produzierte Fertig-PCs wurden deshalb schon mit den aktualisierten Zertifikaten ausgeliefert. 2025 sei deren Anteil weiter gestiegen und decke bereits fast den gesamten Markt ab. Gegenüber IT-Kunden hat Microsoft schon im letzten Jahr begonnen, über den Wechsel auf neue Zertifikate zu sprechen.

Die ersten Schritte rund um die Auffrischung der Zertifikate zahlreicher älterer PC-Systeme hat Microsoft bereits vor einigen Tagen eingeleitet. Ausführliche Informationen dazu haben wir in einem früheren Artikel zu dem Thema zusammengefasst.


Siehe auch: