Das Zertifikat für das Secure-Boot-Modul Ihres PCs läuft im Juni 2026 ab. Seit dem Sicherheitsupdate vom Januar 2026 führt Microsoft schrittweise ein neues Zertifikat ein, das es Ihrem Computer ermöglicht, weiterhin ordnungsgemäß zu starten und Sicherheitsupdates zu empfangen.
Unter Windows 11 ist Secure Boot eine Sicherheitsfunktion der UEFI-Firmware (Unified Extensible Firmware Interface), die unautorisierte Änderungen an kritischen Systemdateien beim Systemstart verhindert. Dadurch wird sichergestellt, dass ein Gerät nur mit vom Hersteller als vertrauenswürdig eingestufter Software startet.
Mit anderen Worten: Secure Boot hilft, Ihre Geräte vor Schadsoftware auf niedriger Ebene (wie Bootkits und Rootkits) zu schützen, die den Bootvorgang infizieren und die Kontrolle über Ihren Computer erlangen kann, bevor das Betriebssystem und Ihre Antivirensoftware überhaupt geladen sind.
Secure-Boot-Zertifikate verstehen
Als Teil dieses Prozesses verwendet die Funktion kryptografische Schlüssel (bekannt als Zertifizierungsstellen (CAs)), um zu überprüfen, ob die Firmware-Module aus einer vertrauenswürdigen Quelle stammen. Dies trägt dazu bei, dass Schadsoftware in der frühen Phase des Gerätestarts nicht ausgeführt werden kann.
Secure-Boot-Zertifikate haben seit jeher ein Ablaufdatum, da sie sicherstellen, dass Ihr Computer weiterhin Sicherheitsupdates erhält und korrekt startet. Deshalb müssen Sie die Zertifikate von 2023 installieren, bevor die Zertifikate von 2011 im Juni 2026 ablaufen.
Wenn Sie ein Gerät besitzen, das 2024 (oder später) gekauft wurde, sind die neuesten Zertifikate höchstwahrscheinlich bereits installiert. Für alle anderen Computer verteilt Microsoft die neuen Secure-Boot-Zertifikate derzeit über Windows Update.
Im Sicherheitsupdate „2026-01 (KB5074109) (26200.7623)“, das am 13. Januar 2026 veröffentlicht wurde, hat der Softwarekonzern darauf hingewiesen, dass Updates nun einen Teil hochzuverlässiger Geräte-Targeting-Daten enthalten. Diese Daten identifizieren Geräte, die automatisch neue Secure-Boot-Zertifikate erhalten können. Die Geräte erhalten die neuen Zertifikate erst, nachdem sie ausreichend erfolgreiche Update-Signale demonstriert haben. Dies gewährleistet eine sichere und schrittweise Bereitstellung.
Das bedeutet, dass Sie keine manuellen Schritte unternehmen müssen, um Secure Boot zu aktualisieren , außer dem System weiterhin Updates zu erlauben. Zumindest bis zum Erscheinen des Sicherheitsupdates im Juni 2026.
Überprüfen Sie das Ablaufdatum des Secure-Boot-Zertifikats.
Da Sie keine Benachrichtigung erhalten, dass Ihr Computer nun die neuesten Zertifizierungsstellen enthält, ist es wichtig zu überprüfen, ob Ihr Gerät noch ein Update benötigt.
Windows 11 bietet keinen nativen Befehl zur Anzeige des lesbaren Ablaufdatums der Firmware. Sie können jedoch anhand der folgenden Schritte überprüfen, ob Sie die „aktualisierten“ Zertifikate für 2023 besitzen (die die 2026 ablaufenden Zertifikate ersetzen):
Öffnen Sie PowerShell (als Administrator) und führen Sie folgenden Befehl aus:
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'
PowerShell-Prüfung des Ablaufs des Secure-Boot-Zertifikats / Bild: Mauro Huculak
Nahezu alle modernen Secure-Boot-Ketten basieren auf Microsoft-Zertifikaten aus dem Jahr 2011, die folgende Ablaufdaten haben :
Zur Information: Folgendes leisten die einzelnen Zertifikate:
Secure-Boot-Zertifikate unter Windows 11 aktualisieren
Wenn Ihre Zertifikate bald ablaufen, stellen Microsoft und Ihr Computerhersteller (OEM) automatisch Firmware-Updates oder „DBX“-Updates über Windows Update oder Systemaktualisierungen bereit, um die neuen CA-Zertifikate für 2023 zu registrieren. Sie können Secure Boot jedoch auch manuell aktualisieren.
Warnung: Stellen Sie vor dem Fortfahren sicher, dass Sie einen BitLocker-Wiederherstellungsschlüssel gespeichert haben und Ihr BIOS (UEFI) auf dem neuesten Stand ist. Wenn die Firmware Ihres Computers die neuen Zertifikate nicht unterstützt, kann es sein, dass Ihr Computer nach dem Update nicht mehr startet. Es wird außerdem empfohlen, vor dem Fortfahren eine vollständige Datensicherung Ihres Computers zu erstellen.
Öffnen Sie PowerShell (als Administrator) und führen Sie folgenden Befehl aus:
reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x5944 /f
Dieser Befehl legt den Registrierungsschlüssel fest, der das Betriebssystem anweist, alle erforderlichen Zertifikate (einschließlich des PCA 2023-signierten Bootmanagers) bereitzustellen.
Der Wert 0x5944besteht im „vollständigen Abhilfe“-Code, der alle relevanten Zertifikatsaktualisierungen ermöglicht.
Windows 11 verfügt über eine integrierte Aufgabe, die diese Zertifikatsänderungen verarbeitet. Sie können diese Aufgabe manuell auslösen, um die Wartezeit von 12 Stunden zu vermeiden, indem Sie folgenden Befehl verwenden:
Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"
PowerShell aktualisiert Secure-Boot-Zertifikat / Bild: Mauro Huculak
Das Update erfordert in der Regel zwei Neustarts, um vollständig wirksam zu werden. Nach dem ersten Neustart aktualisiert das System den Bootmanager. Nach dem zweiten Neustart wird die Zertifikatregistrierung in der UEFI-Datenbank abgeschlossen.
Nach dem Neustart können Sie mit folgendem PowerShell- Befehl (als Administrator) überprüfen, ob „UEFI CA 2023“ nun in Ihrer Datenbank vorhanden ist:
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'
Wenn BitLocker aktiviert ist, müssen Sie die Verschlüsselung möglicherweise vorübergehend deaktivieren ( Suspend-BitLocker -MountPoint "C:" -RebootCount 2), bevor die Firmware die neuen Schlüssel erfolgreich auf das Gerät schreiben kann.
Um mehrere Apps unter Windows 11 zu installieren, können Sie den Befehl „winget“ in der Eingabeaufforderung (CMD) und PowerShell verwenden oder die Web-App „wininstall“ nutzen. So geht's.
Das neue Startmenü für Windows 11 hat ein breiteres Layout und kombiniert die Bereiche „Anheften“ und „Alle Apps“ in einer Benutzeroberfläche. Außerdem bietet es die Möglichkeit, „Empfohlen“ zu deaktivieren.
KB5066791 (Build 19045.6456) für Windows 10: Allgemeine Verbesserungen für Version 22H2. Hier erfahren Sie, was Sie wissen müssen.
KB5077223 (Build 26220.7859) für Windows 11 25H2 bringt visuelle Optimierungen in der Einstellungen-App sowie verschiedene Fehlerbehebungen und Verbesserungen.
Um eine vollständige Sicherung von Windows 11 zu erstellen, öffnen Sie die Systemabbildsicherung, klicken Sie auf „Systemabbild erstellen“, wählen Sie ein externes Laufwerk aus und starten Sie die Sicherung.
Um eine vollständige Sicherung an einem Netzwerkspeicherort unter Windows 11 (oder 10) zu speichern, verwenden Sie die Funktion „Sichern und Wiederherstellen“ und wählen Sie die Option „Im Netzwerk speichern“.
Microsoft testet unter Windows 11 einen nativen Copilot-Seitenbereich im Datei-Explorer, was auf KI-gestützte Dateiverwaltung und neue Datenschutzfragen hindeutet.
Eine neue PowerToys Command Palette Dock fügt Windows 11 eine Linux-ähnliche Menüleiste hinzu und bietet fortgeschrittenen Benutzern flexiblen Zugriff auf Tools und Systeminformationen.
Um von einem lokalen Windows 11-Konto zu einem Microsoft-Konto zu wechseln, öffnen Sie Einstellungen > Konten > Ihre Informationen und verknüpfen Sie das Konto. So geht's.
Microsoft wird die NTLM-Authentifizierung in zukünftigen Windows 11- und Server-Versionen standardmäßig deaktivieren und Unternehmen so zu einer stärkeren Kerberos-Sicherheit bewegen.
