Secure Boot 2026: Zertifikate prüfen und Updates sicher planen
Kurzfazit: Die Secure-Boot-Zertifikate aus dem Jahr 2011 laufen 2026 aus. Das bedeutet laut Microsoft nicht, dass ein PC am Stichtag automatisch nicht mehr startet: Auch reguläre Windows-Updates können weiterlaufen. Ohne die neueren Zertifikate können jedoch künftige Schutzupdates für den frühen Startvorgang fehlen. Prüfen Sie daher den Status, berücksichtigen Sie UEFI-Firmware und BitLocker und rollen Sie Änderungen kontrolliert aus.
Was sich 2026 ändert
Secure Boot prüft in der UEFI-Firmware digitale Signaturen von Komponenten, die vor Windows geladen werden. Dazu gehören Startprogramme und UEFI-Treiber. Die Vertrauenseinträge liegen in Firmware-Datenbanken wie DB, DBX und KEK. Die Erneuerung betrifft diese Vertrauenskette; sie ist kein gewöhnliches Windows-Feature-Update.
Microsoft führt die Zertifikate von 2011 als auslaufend auf. Die 2011er Microsoft Corporation KEK CA ist mit dem 24. Juni 2026, die Microsoft UEFI CA mit dem 27. Juni 2026 und die Microsoft Windows Production PCA mit dem 19. Oktober 2026 datiert. Die neuen Zertifikate stammen aus 2023. Welche davon ein Gerät braucht, hängt von seinem Einsatz und der Firmware ab; bei Drittanbieter-Bootloadern und Option-ROMs sind getrennte UEFI-Vertrauensbereiche relevant.
Die Einordnung ist wichtig: Ein abgelaufenes Zertifikat schaltet Secure Boot nicht pauschal ab. Microsoft sagt, dass betroffene Geräte weiter starten und normale Windows-Updates beziehen können. Es können aber künftig neue Schutzmaßnahmen für Boot-Manager, Sperrlisten oder andere frühe Startkomponenten fehlen. Das ist ein Sicherheits- und Wartungsthema, kein Anlass, ohne Geräteprüfung BIOS-Einstellungen zu ändern.
Was sollte ich zuerst prüfen?
- Windows und OEM-Hinweise: Installieren Sie reguläre unterstützte Windows-Updates und prüfen Sie die Supportseite des Geräte- oder Mainboardherstellers für das genaue Modell und die UEFI-Version.
-
Statusmeldungen: Microsoft nennt Ereignis-IDs 1801 und 1795 sowie den Statuswert
UEFICA2023Statusals mögliche Hinweise. Sie sind Diagnosesignale und sollten im Zusammenhang mit der Microsoft-Dokumentation bewertet werden. - Secure-Boot-Konfiguration: Prüfen Sie, ob Secure Boot auf dem Gerät tatsächlich aktiv ist und ob es Spezialfälle wie alternative Startsysteme, Netzwerkstart oder ältere Erweiterungskarten gibt.
- BitLocker und Wiederherstellung: Microsoft nennt unerwartete BitLocker-Wiederherstellungsabfragen als mögliches Problem bei nicht kompatibler oder veralteter Firmware. Halten Sie deshalb vor einer Firmware- oder Zertifikatsänderung den vorgesehenen Wiederherstellungsweg bereit.
| Bereich | Was Microsoft beschreibt | Sicherer nächster Schritt |
|---|---|---|
| Normale Windows-Nutzung | Betroffene Geräte können weiter starten; reguläre Windows-Updates können weiterhin installiert werden. | Kein Grund für eine hektische Neuinstallation. Zertifikatsstatus separat prüfen. |
| Schutz vor dem Windows-Start | Ohne aktualisierte 2023-Zertifikate können künftige Schutzmaßnahmen für Boot-Manager und andere frühe Startkomponenten fehlen. | Neue Zertifikate über den unterstützten Windows- und OEM-Weg einplanen. |
| UEFI-Firmware und BitLocker | Bei älterer oder nicht kompatibler Firmware nennt Microsoft mögliche Validierungsfehler, Wiederherstellungsabfragen oder Startprobleme. | OEM-Firmwarehinweise beachten und Änderung zuerst an einer repräsentativen Pilotgruppe prüfen. |
Vorteile und Grenzen des Updates
- Vorteil: Aktualisierte UEFI-Vertrauensdaten halten den Schutz früher Startkomponenten auf dem vorgesehenen Stand.
- Vorteil: Ein kontrolliertes Vorgehen macht sichtbar, welche Gerätemodelle bereits aktualisiert sind und welche OEM-Unterstützung benötigen.
- Grenze: Das Vorgehen ist abhängig von Gerät, Firmwarestand und Verwaltung. Ein allgemeiner Registry-Eingriff ist kein sicherer Ersatz für die Herstelleranleitung.
- Grenze: Bei älteren oder speziell konfigurierten Geräten können Firmwareprobleme auftreten. Microsoft empfiehlt, Firmware zu prüfen und Änderungen zunächst mit unterschiedlichen Geräten und BitLocker-Konfigurationen zu pilotieren.
Empfehlung für Privatanwender und IT-Teams
Privatanwender: Windows aktuell halten, die Supportseite des Geräteherstellers für Firmwarehinweise prüfen und bei gemeldeten Fehlern nicht blind Secure Boot deaktivieren. Wenn Ereignisse auf ein Problem hindeuten oder BitLocker-Wiederherstellung erscheint, wenden Sie sich mit Modell und UEFI-Version an den Gerätehersteller oder eine qualifizierte technische Betreuung.
IT-Teams: Erfassen Sie Hersteller, Modell, Firmware und BitLocker-Status. Nutzen Sie Microsofts unterstützte Verwaltungswege wie Intune, Gruppenrichtlinien, CSP oder dokumentierte Registry-Richtlinien und setzen Sie eine kleine Pilotgruppe mit mehreren OEMs und Firmwareständen auf. Prüfen Sie danach den Status und erst dann die breite Verteilung. Für Server gelten teilweise eigene Anleitungen; die hier beschriebene Client-Planung nicht ungeprüft übertragen.
Als Hintergrund zur Windows-Kompatibilitätsplanung siehe auch unseren bereits veröffentlichten Beitrag Windows 10 nach Supportende: PC prüfen oder wechseln?.
Weiterführende Quellen
- Microsoft Support: Secure-Boot-Zertifikate und CA-Updates – Zertifikatstermine, Bedeutung und Auswirkung.
- Microsoft Learn: Zertifikate auf Windows-Geräten aktualisieren – Statusindikatoren, Firmwareprüfung und Pilotierung.
- Microsoft Learn: Secure Boot für Gerätehersteller – UEFI-Vertrauenskette, DB/DBX und KEK.
Video zur Vertiefung: Microsofts Ask Microsoft Anything: Secure Boot – February 2026 (Kanal Windows At Work). Das Video ist eine längere Fragerunde für IT-Verantwortliche und wird deshalb nur als Originalquelle verlinkt, nicht eingebettet. Titel und Kanal wurden am 19.10.2026 per YouTube-oEmbed geprüft.
Geprüft am 19.10.2026. Autor: TechDesk PE Digital.Networks. Diese Orientierung ersetzt keine gerätebezogene Herstelleranleitung.