Secure-Boot-Zertifikat abgelaufen: Was der 19. Oktober 2026 für Ihre Windows-PCs bedeutet
Das Secure-Boot-Zertifikat Windows Production PCA 2011 ist abgelaufen, und zwar am 19. Oktober 2026. Die gute Nachricht vorweg: Ihre Rechner starten weiter, und normale Windows-Updates kommen auch weiterhin. Microsoft hat die Folgen im Supportartikel KB5132953 vom 22. Oktober 2026 erklärt. Wer zu Hause automatische Updates nutzt, muss nichts tun. In Betrieben mit Servern, virtuellen Maschinen oder älterer Hardware lohnt aber ein genauer Blick.
Was sich am 19. Oktober geändert hat
Secure Boot sorgt dafür, dass beim Einschalten nur signierte, vertrauenswürdige Software startet, bevor Windows überhaupt läuft. Dafür steckt in der Firmware jedes PCs eine Liste vertrauenswürdiger Zertifikate. Das alte Microsoft-Zertifikat für den Windows-Startmanager aus dem Jahr 2011 ist nun abgelaufen.
Die Folgen laut Microsoft:
- Geräte starten und arbeiten normal weiter.
- Der letzte mit dem alten Zertifikat signierte Startmanager ist eingefroren. Er bekommt keine Wartung und keine Sicherheitskorrekturen mehr.
- Künftige Korrekturen am Startvorgang signiert Microsoft nur noch mit dem neuen Zertifikat Windows UEFI CA 2023.
- Künftige große Windows-Versionen setzen das neue Zertifikat in der Firmware voraus.
Ein Rechner ohne das neue Zertifikat läuft also weiter, bleibt aber bei Lücken im Startvorgang dauerhaft ungeschützt. Gerade dort setzen sogenannte Bootkits an, Schadsoftware, die sich vor Windows lädt.
Welche Geräte genauer hinsehen sollten
Bei aktuellen Windows-11-Rechnern mit automatischen Updates spielt Microsoft das neue Zertifikat in der Regel selbst ein. Aufmerksamkeit brauchen vor allem:
- Ältere PCs und Server, deren Firmware lange nicht aktualisiert wurde.
- Virtuelle Maschinen: Hyper-V-Gast-VMs der Generation 2 werden über die normalen kumulativen Updates versorgt, bei VMware sind laut Microsoft Updates von ESXi und der VM-Hardware-Version nötig.
- Rechner mit Regeln von App Control for Business (früher WDAC), die fest auf das alte Zertifikat verweisen. Diese können Updates blockieren, erkennbar an Ereignis 3077 im Ereignisprotokoll.
- Installations- und Notfall-USB-Sticks: Künftige Medien starten standardmäßig mit dem neuen Startmanager.
Unsicher, ob Ihre Rechner und Server das neue Zertifikat schon haben? Gakko-IT prüft das für Sie, mehr dazu beim IT-Service.
So prüfen Sie den Status
Für einzelne Rechner geht das ohne Spezialwissen:
- Die App Windows-Sicherheit öffnen.
- Unter Gerätesicherheit nach dem Abschnitt zum sicheren Start sehen. Dort zeigt Windows inzwischen den Stand der Secure-Boot-Zertifikatsupdates an.
- In Windows Update prüfen, ob alle Updates installiert sind, und neu starten.
- Beim Hersteller des PCs oder Mainboards nachsehen, ob ein Firmware-Update (BIOS/UEFI) bereitsteht.
Wer ganz sicher gehen will: In einer PowerShell mit Administratorrechten zeigt Confirm-SecureBootUEFI, ob Secure Boot überhaupt aktiv ist. Ist es aus, betrifft Sie das Thema weniger, Sie verzichten dann aber auch auf diesen Schutz.
Für Betriebe mit vielen Geräten hat Microsoft eigene Hinweise für IT-Verantwortliche veröffentlicht. Dort sind auch Skripte für Installationsmedien beschrieben, etwa Make2023BootableMedia.ps1.
Was jetzt zu tun ist
Bevor jemand an Firmware oder Startvorgang Hand anlegt, ein Punkt mit Vorrang: BitLocker-Wiederherstellungsschlüssel sichern. Änderungen am Startvorgang können dazu führen, dass BitLocker beim nächsten Start den Schlüssel verlangt. Wo die Schlüssel liegen und wie man sie sichert, steht in BitLocker aktivieren.
Danach in dieser Reihenfolge:
- Windows-Updates auf allen Rechnern und Servern vollständig installieren.
- Firmware-Updates der Hersteller einspielen, wo verfügbar.
- Virtuelle Maschinen und Hypervisor prüfen.
- Installations- und Notfallmedien neu erstellen.
- Geräte, deren Hersteller keine Firmware mehr liefert, auf die Ersatzliste setzen, siehe Alten Firmen-PC reparieren, aufrüsten oder ersetzen.
Nichts davon muss heute passieren. Es sollte aber passieren, bevor das nächste große Windows-Update ansteht.
Was der Fall für kleine Betriebe zeigt
Das Thema ist ein gutes Beispiel dafür, dass Sicherheit nicht nur aus Virenschutz und Passwörtern besteht. Auch Firmware und Startvorgang brauchen Pflege, und zwar geplant statt im Notfall. Wer eine aktuelle Geräteliste hat und Updates zentral verteilt, sieht in wenigen Minuten, welche Rechner noch nachziehen müssen. Wie das im Alltag aussieht, beschreibt Patch-Management im kleinen Betrieb.
Wenn Sie das für Ihre Rechner, Server und virtuellen Maschinen geordnet erledigen lassen möchten, übernehmen wir das gern, für Betriebe in Paderborn und OWL auch vor Ort. Wie wir Arbeitsplätze und Server betreuen, steht beim IT-Service. Einen schnellen Überblick zum Stand Ihrer IT gibt der kostenlose IT-Check.