Microsoft erläutert die Sicherheitsrisiken von Secure-Boot-Zertifikaten, die 2026 unter Windows 11 ablaufen.

• Die im Jahr 2011 eingeführten Secure-Boot-Zertifikate laufen Ende Juni 2026 ab.
• Computer starten auch nach Ablauf der Gültigkeitsdauer weiterhin normal.
• Geräte ohne aktualisierte Zertifikate befinden sich in einem Zustand verminderter Sicherheit.
• Unterstützte Windows 11- und Windows 10-Geräte erhalten Updates automatisch über Windows Update.
• Nicht unterstützte Systeme, einschließlich Windows 10 nach Oktober 2025 ohne ESU, erhalten die neuen Zertifikate nicht.

Microsoft hat bestätigt , dass Geräte mit den ursprünglichen Secure-Boot-Zertifikaten, die 2011 eingeführt wurden, ab Ende Juni 2026 ablaufen werden, was ein großes Sicherheitsupdate auslösen wird, das fast jeden modernen Computer betrifft.

Secure Boot ist der Sicherheitsmechanismus der Unified Extensible Firmware Interface (UEFI)-Firmware, der beim Systemstart vor dem Laden des Betriebssystems ausgeführt wird. Diese Funktion stellt sicher, dass beim Systemstart nur vertrauenswürdiger, digital signierter Code ausgeführt wird und blockiert so Bootkits und andere Bedrohungen auf niedriger Ebene, die versuchen, das System während des Startvorgangs zu kompromittieren. In den letzten 15 Jahren basierte dieser Prozess auf in der Geräte-Firmware eingebetteten Zertifikaten, deren geplante Lebensdauer nun jedoch abläuft.

Wird Ihr Computer im Jahr 2026 nicht mehr funktionieren?

Die kurze Antwort lautet: Nein. Wenn die ursprünglichen Zertifikate ablaufen, starten die Computer weiterhin und Windows 11 (oder 10) wird normal geladen. Anwendungen fallen nicht plötzlich aus, und es kommt zu keinen unmittelbaren Störungen.

Systeme, die die aktualisierten Secure-Boot-Zertifikate nicht erhalten, befinden sich in einem eingeschränkten Sicherheitszustand. Das bedeutet jedoch nicht, dass der Computer sofort unsicher ist. Es bedeutet lediglich, dass das Gerät keine zukünftigen Aktualisierungen der Secure-Boot-Vertrauenskette mehr akzeptieren kann.

Mit der Zeit, wenn neue Sicherheitslücken beim Systemstart entdeckt werden, können diese Systeme möglicherweise keine neuen Schutzmaßnahmen mehr installieren. Der Rechner läuft zwar weiter, aber seine Startschutzmechanismen werden nicht mehr aktualisiert, und diese langfristige Einschränkung ist das eigentliche Problem.

Warum Microsoft Secure-Boot-Zertifikate ersetzt

Sicherheitszertifikate sind nicht für die Ewigkeit gemacht. Da sich Sicherheitsstandards weiterentwickeln, müssen Verschlüsselungsschlüssel und Vertrauensanker aktualisiert werden, um zu verhindern, dass veraltete Anmeldeinformationen zu Sicherheitslücken werden. Das Auslaufen der Secure-Boot-Zertifikate von 2011 war von Anfang an geplant.

Die Bedeutung dieses Übergangs liegt im Umfang. Secure Boot arbeitet auf Firmware-Ebene, nicht nur im Betriebssystem selbst. Die Aktualisierung erfordert die Koordination zwischen Windows 11 (und 10)-Serviceteams, Geräte-Firmware und Hardwareherstellern für Millionen unterschiedlicher Gerätekonfigurationen weltweit.

Microsoft bezeichnet dies als eine der größten koordinierten Sicherheitsmaßnahmen im gesamten Windows-Ökosystem.

Wie das Update bereitgestellt wird

Der Softwarekonzern hat bereits damit begonnen, die neuen Secure-Boot-Zertifikate im Rahmen regelmäßiger monatlicher Updates für unterstützte Versionen, darunter Windows 11 und 10, auszurollen. Für die meisten Privatanwender und Unternehmen, die dem Unternehmen die Verwaltung von Updates erlauben, sollten die Updates automatisch im Hintergrund erfolgen.

In manchen Fällen, insbesondere bei älterer Hardware, ist möglicherweise ein Firmware-Update des Geräteherstellers erforderlich, bevor die neuen Zertifikate erfolgreich angewendet werden können. Microsoft gibt an, eng mit führenden Computerherstellern (wie Dell, HP und Lenovo) zusammengearbeitet zu haben, um die Geräte für die Umstellung vorzubereiten.

Fast alle Geräte, die seit 2024 hergestellt werden, enthalten bereits die aktualisierten Zertifikate, und fast alle Systeme, die im Jahr 2025 ausgeliefert werden, sind bereits ab Werk damit ausgestattet.

Was ist mit nicht unterstützten Windows-Versionen?

Geräte mit nicht unterstützten Betriebssystemversionen erhalten die neuen Secure-Boot-Zertifikate nicht über Windows Update. Dies betrifft auch Windows 10 nach dem Supportende im Oktober 2025, es sei denn, das Gerät ist für erweiterte Sicherheitsupdates registriert .

Diese Systeme funktionieren zwar auch nach Ablauf der Zertifikate von 2011 weiterhin, ihre Fähigkeit, zukünftige Sicherheitsverbesserungen auf Boot-Ebene zu erhalten, bleibt jedoch dauerhaft eingeschränkt. Mit der Weiterentwicklung der Plattform kann dies die Anfälligkeit für neue Bedrohungen und Kompatibilitätsprobleme mit neuerer Firmware, Hardware oder Windows-Versionen schrittweise erhöhen.

Was sollten Sie jetzt tun?

Für die meisten Nutzer ist die sicherste Vorgehensweise die einfachste: Halten Sie Windows 11 (und 10) stets auf dem neuesten Stand und überprüfen Sie die Firmware Ihres Geräts auf der Supportseite des Herstellers. Microsoft hat angekündigt, dass in den kommenden Monaten zusätzliche Statusinformationen zu Zertifikatsaktualisierungen in der Windows-Sicherheits-App angezeigt werden, um den Prozess transparenter zu gestalten.

Sie können das Secure-Boot-Zertifikat jederzeit manuell anhand dieser Anweisungen überprüfen und aktualisieren .

Organisationen, die eine große Anzahl von Computern verwalten, sollten dies eher als Validierungs- und Bereitstellungsplanungsübung denn als einfaches Patch-Tuesday-Update betrachten.