Windows Secure Boot: Microsoft erklärt Probleme mit dem Update

Alte Secure Boot Zertifikate in Windows laufen ab. Viele Rechner erhalten automatische Updates, doch bei manchen Systemen hakt es. Erfahrt, welche Fehlermeldungen auftreten und was das für die Sicherheit eures Computers in der Zukunft bedeutet.

Nadine Dressler, 30.06.2026 20:20 Uhr

Probleme bei Secure Boot Updates

Im Juni sind erste kryptografische Schlüssel für den sicheren Systemstart von Windows abgelaufen, weitere folgen im Oktober. Der Mechanismus prüft beim Start, ob Software von vertrauenswürdigen Stellen signiert ist, und blockiert Schadprogramme bereits vor dem Laden des Betriebssystems.

Die Technologie ist seit 2012 verbreitet im Einsatz. Neue Schlüssel aus dem Jahr 2023 werden in der Regel automatisch über Windows-Updates verteilt. Je nach Hauptplatine und UEFI-Firmware kann die Aktualisierung jedoch fehlschlagen.

Wie Microsoft mitteilt, ist in einigen Fällen zunächst ein Firmware-Update durch den Hardware-Hersteller erforderlich. Bis dahin setzt Windows den Zertifikatswechsel aus und zeigt entsprechende Hinweise in der Sicherheitsübersicht an.

Ursachen für Update-Fehler

Häufig liegen Kompatibilitätsprobleme vor. Das UEFI hat das frühere BIOS ersetzt, doch ältere Systeme unterstützen den automatischen Austausch der Zertifikate teilweise nicht. Ohne Updates durch den Hersteller bleibt der Sicherheitsstand unverändert.

Ein fehlendes Update führt nicht zu unmittelbaren Einschränkungen. Betroffene Geräte starten weiterhin normal und erhalten auch künftig Funktions- und Sicherheitsupdates. Die Nutzung im Alltag bleibt zunächst unverändert.

Folgen für betroffene Computer

Langfristig sinkt jedoch das Sicherheitsniveau, da neue Bedrohungen beim Systemstart nicht mehr vollständig abgewehrt werden. Laut den offiziellen Angaben ergeben sich folgende Einschränkungen:

Boot-Manager: Neue Schutzmaßnahmen können nicht angewendet werden.
Bösartige Bootloader: Neu entdeckte Bootloader werden möglicherweise nicht blockiert.
Nicht-Microsoft-Komponenten: Komponenten auf Basis von Microsoft Secure Boot Trust lassen sich unter Umständen nicht aktualisieren, wenn neue Zertifikate erforderlich sind.

Nutzer sollten prüfen, ob der Hersteller ihres Mainboards Firmware-Updates bereitstellt. Die Installation erfordert in der Regel einen Neustart und sollte nicht unterbrochen werden. Microsoft rät davon ab, Secure Boot zu deaktivieren, da dies den Schutz weiter verringert.

Habt ihr die neuen Zertifikate bereits erhalten oder hakt das Update bei euch? Teilt eure Erfahrungen zu diesem Thema gerne mit uns in den Kommentaren!

Was passiert mit den Secure-Boot-Zertifikaten?

Mehrere zentrale Secure-Boot-Zertifikate von Microsoft stammen noch aus dem Jahr 2011 und laufen ab Mitte 2026 aus - konkret im Juni und Oktober 2026. Secure Boot prüft beim PC-Start, ob nur vertrauenswürdige Software geladen wird. Ohne gültige Zertifikate kann diese Prüfung künftig keine neuen Schutzmechanismen mehr verifizieren.

Microsoft ersetzt die alten Zertifikate daher durch neue, bereits 2023 erstellte Nachfolger. Für Privatnutzer mit Windows 10 oder 11 läuft die Aktualisierung automatisch über Windows Update. Ein manuelles Eingreifen ist in der Regel nicht nötig - lediglich ein Neustart wird nach der Installation benötigt.

Muss ich selbst etwas tun?

Wer Windows 10 oder Windows 11 in einer Consumer-Version (Home, Pro, Education) nutzt und regelmäßig Windows Updates installiert, muss nichts weiter unternehmen. Die neuen Zertifikate werden automatisch über Windows Update verteilt. Nach der Installation wird lediglich ein Neustart fällig, damit die Schlüssel in die UEFI-Firmware geschrieben werden.

Anders sieht es in Unternehmen aus: Werden PCs über eine IT-Abteilung verwaltet, muss sich diese selbst um die Zertifikatsaktualisierung kümmern. Microsoft stellt hierfür eigene Anleitungen und Richtlinien bereit. Am 9. März 2026 hat Microsoft zudem ein Live-Video veröffentlicht, das sich speziell an Administratoren richtet.

Ist Secure Boot bei mir aktiviert?

Das lässt sich in wenigen Sekunden prüfen: Drücken Sie Win+R, geben Sie msinfo32 ein und bestätigen Sie mit Enter. In der Systeminformation finden Sie den Eintrag "Sicherer Startzustand". Steht dort "Ein", ist Secure Boot aktiv.

Falls Secure Boot deaktiviert ist, können Sie es im UEFI/BIOS Ihres Rechners einschalten. Beachten Sie, dass Windows 11 Secure Boot als Systemvoraussetzung verlangt. Ohne aktiviertes Secure Boot erhalten Sie die neuen Zertifikate nicht automatisch über Windows Update.

Habe ich das neue Zertifikat schon?

Das können Sie per PowerShell überprüfen. Öffnen Sie PowerShell als Administrator und führen Sie folgenden Befehl aus:

([System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023')

Gibt PowerShell "True" zurück, ist das neue Zertifikat bereits auf Ihrem System vorhanden. Bei "False" wurde es noch nicht installiert - das ist aber kein Grund zur Sorge. Microsoft rollt die Aktualisierung schrittweise aus, und Ihr Gerät wird das Update in den kommenden Wochen automatisch erhalten.

Welche Zertifikate werden ersetzt?

Insgesamt werden vier Zertifikate aus dem Jahr 2011 durch neue Versionen von 2023 ersetzt: Der "Microsoft Corporation KEK CA 2011" (Ablauf Juni 2026) wird durch den "Microsoft Corporation KEK 2K CA 2023" ersetzt. Die "Microsoft Windows Production PCA 2011" (Ablauf Oktober 2026) weicht der "Windows UEFI CA 2023".

Zusätzlich wird die "Microsoft UEFI CA 2011" (Ablauf Juni 2026) gleich durch zwei neue Zertifikate abgelöst: die "Microsoft UEFI CA 2023" und die "Microsoft Option ROM UEFI CA 2023". Der KEK-Schlüssel ist dabei besonders wichtig, da er Updates an den Signaturdatenbanken autorisiert.

Was passiert ohne das Update?

Ohne die neuen Zertifikate wird Windows auch nach Juni 2026 weiterhin ganz normal starten - es droht also kein plötzlicher Ausfall. Allerdings kann das System dann keine neuen Secure-Boot-Updates mehr verifizieren. Das bedeutet: Aktualisierte Boot-Dateien, widerrufene Signaturen und Schutzmaßnahmen gegen Boot-Level-Bedrohungen werden nicht mehr angewendet.

Konkret heißt das, dass Sicherheitsupdates für den Boot-Manager oder andere Startkomponenten ausbleiben könnten. Ihr PC wäre damit langfristig anfälliger für sogenannte Bootkits und andere Schadsoftware, die sich noch vor dem Betriebssystemstart einnistet.

Zusammenfassung

Veraltete Secure-Boot-Zertifikate von Microsoft laufen aktuell schrittweise aus
Der automatische Zertifikatsaustausch scheitert bei mancher UEFI-Firmware oft
Hardware-Hersteller müssen bei Update-Fehlern teils neue Firmware bereitstellen
Fehlende Aktualisierungen führen zu sinkendem Schutz vor Bedrohungen beim Start
Privatanwender erhalten die neuen Zertifikate in der Regel über Windows-Updates

Siehe auch:

Thema:

Windows 11

Gefällt dir dieser Artikel? WinFuture in der Google-Suche bevorzugen WinFuture auf folgen

Kommentieren7

Hinweis einsenden

Weitere Nachrichten zum Thema Neuer Windows-Bug sorgt für weißes Fenster nach dem PC-StartSecure Boot war mit bekannten Lücken über Jahre hinweg angreifbar"Sicherheitsreserve": Windows 11 Secure-Boot-Frist läuft in Kürze abWindows 11: Neuer "SecureBoot"-Ordner nach April-Update ist harmlosSecure-Boot: Microsoft erklärt multiple Windows-Neustarts nach UpdateWindows warnt jetzt vor ablaufenden Secure-Boot-Keys