"Sicherheitsreserve":
Windows 11 Secure-Boot-Frist läuft in Kürze ab

Microsoft tauscht derzeit die Secure-Boot-Zertifikate auf Windows-PCs aus, weil die ersten aus dem Jahr 2011 in Kürze auslaufen. Für viele aktuelle Geräte läuft das automatisch über Windows Update, ältere Rechner können aber außen vor bleiben.

Secure Boot: Erstes Zertifikat läuft bald ab

Der Ablauf der alten Zertifikate legt einen PC nicht lahm, wie Windows Latest jetzt noch einmal erklärt. Geräte können auch ohne das neue Zertifikat weiter starten und normale Windows-Updates erhalten. Betroffen ist vor allem die Sicherheit auf Start-Ebene, nicht der laufende Betrieb.

Wer das Update verpasst, verliert nach und nach den Zugang zu künftigen Schutzmaßnahmen für den Bootvorgang. Dazu zählen Aktualisierungen für den Windows Boot Manager, die Secure-Boot-Datenbanken und Sperrlisten für bekannte Schwachstellen. Damit bleibt ein Gerät langfristig anfälliger für Angriffe auf die Startkette.


Besonders relevant ist das für ältere PCs, Geräte ohne passende BIOS-Updates oder Systeme, auf denen Windows 11 per Umgehung auf nicht unterstützter Hardware installiert wurde. In solchen Fällen kann das Update an Firmware-Grenzen scheitern oder gar nicht erst angeboten werden.

Microsoft betont zugleich den Unterschied zu TPM 2.0. Secure Boot und TPM sind getrennte Funktionen. Auch ohne TPM kann ein Gerät die neuen Secure-Boot-Zertifikate grundsätzlich nutzen, sofern die Firmware das unterstützt und Secure Boot aktiv ist.

Für Nutzer bedeutet das im Grunde nur, dass der Rechner weiter läuft, doch die "Sicherheitsreserve" wird kleiner. Besonders für Unternehmen kann das zum Problem werden, weil bootbezogene Schutzfunktionen und Compliance-Anforderungen nicht mehr vollständig erfüllt werden.

So lässt sich der Status prüfen

Den aktuellen Stand zeigt die Windows-Sicherheits-App unter "Gerätesicherheit". Microsoft nutzt dort eine Statusanzeige mit grün, gelb oder rot, um den Fortschritt der Secure-Boot-Zertifikate darzustellen. Zusätzlich lässt sich im Systeminformationsfenster "msinfo32" nachsehen, ob "Secure Boot State" auf "On", "Off" oder "Unsupported" steht.

Grün steht für bereits aktualisierte Zertifikate, Gelb für noch ausstehende Updates und Rot für eine Blockade, meist wegen Firmware-Problemen. Fehlt der Eintrag ganz, ist Secure Boot auf dem Gerät entweder deaktiviert oder gar nicht verfügbar.

Wer einen älteren Rechner weiter nutzt, muss nicht sofort handeln, sollte das Thema aber nicht aus den Augen verlieren. Für neuere und unterstützte PCs ist die Umstellung meist bereits erledigt oder läuft im Hintergrund an.

Hast du schon geprüft, welchen Secure-Boot-Status dein Windows-System anzeigt - und installierst du solche sicherheitskritischen Updates sofort oder schiebst du sie eher vor dir her?


Siehe auch: