Secure Boot Zertifikate abgelaufen: Was Unternehmen nach dem 19. Oktober 2026 noch tun müssen

• Mit der Microsoft Windows Production PCA 2011 ist am 19. Oktober 2026 das letzte der Secure Boot Zertifikate aus dem Jahr 2011 abgelaufen, KEK CA 2011 und UEFI CA 2011 waren bereits im Juni 2026 ausgelaufen.
• Laut Microsoft starten Geräte ohne die neuen Zertifikate weiter normal, der mit dem alten Zertifikat signierte Windows Boot Manager ist aber eingefroren und erhält keine Sicherheitsupdates mehr.
• Künftige Sicherheitsupdates für den Bootloader signiert Microsoft nur noch mit der Windows UEFI CA 2023, und künftige große Windows-Versionen setzen dieses Zertifikat in der Firmware voraus.
• Für verwaltete Geräte in Unternehmen müssen Administratoren den Status selbst prüfen und die Umstellung steuern, Gruppenrichtlinien dafür unterstützt Microsoft noch nicht.
• Vor der Umstellung sollten BitLocker-Wiederherstellungsschlüssel gesichert und Regeln in App Control for Business sowie Sicherheitssoftware von Drittanbietern geprüft werden.

Die Secure Boot Zertifikate, mit denen Microsoft seit 15 Jahren den Startvorgang von Windows absichert, sind jetzt alle abgelaufen. Am 19. Oktober 2026 hat die Microsoft Windows Production PCA 2011 ihr Ablaufdatum erreicht. Sie signiert den Windows Boot Manager. Am 22. Oktober 2026 hat Microsoft dazu den Support-Artikel KB5132953 veröffentlicht und beschrieben, was das für Geräte, Installationsmedien und künftige Updates bedeutet.

Weil die Rechner nach dem Ablauf ganz normal weiterlaufen, fällt das Thema im Alltag kaum auf. Die Folgen zeigen sich erst bei der nächsten Sicherheitslücke im Startvorgang oder beim nächsten großen Windows-Upgrade.

Laut Microsoft betrifft der Wechsel vier Einträge in der Firmware:

• Microsoft Corporation KEK CA 2011, abgelaufen am 24. Juni 2026. Nachfolger ist die Microsoft Corporation KEK 2K CA 2023. Sie berechtigt Änderungen an den Secure Boot Datenbanken DB und DBX.
• Microsoft UEFI CA 2011, abgelaufen am 27. Juni 2026. Sie wird durch zwei Zertifikate ersetzt: die Microsoft UEFI CA 2023 für Bootloader von Drittanbietern und die Microsoft Option ROM UEFI CA 2023 für Option ROMs, zum Beispiel von Grafik- oder Netzwerkkarten.
• Microsoft Windows Production PCA 2011, abgelaufen am 19. Oktober 2026. Nachfolger ist die Windows UEFI CA 2023, die den Windows Bootloader signiert.

Die gute Nachricht zuerst: Laut Microsoft führt der Ablauf nicht dazu, dass Rechner nicht mehr starten oder Windows nicht mehr hochfährt. Normale Windows-Updates werden weiter installiert.

Die schlechte Nachricht steht im Detail:

• Der letzte mit dem Zertifikat von 2011 signierte Windows Boot Manager ist eingefroren. Er erhält keine Code-Änderungen und keine Sicherheitsupdates mehr.
• Alle künftigen Sicherheitsupdates für den Bootloader signiert Microsoft nur noch mit der Windows UEFI CA 2023. Geräte ohne dieses Zertifikat starten weiter mit dem alten Bootloader, bekommen aber keine Korrekturen, wenn neue Schwachstellen im Startvorgang auftauchen.
• Laut Microsoft fehlen solchen Geräten damit auch künftige Schutzmaßnahmen wie Abhilfen gegen das Umgehen von BitLocker und neue Sperrlisten für unsichere Bootloader.
• Künftige große Windows-Versionen brauchen die Windows UEFI CA 2023 in der Firmware, damit Installationsmedien starten und das Setup abgeschlossen werden kann.

Microsoft rät ausdrücklich davon ab, Secure Boot als Ausweg abzuschalten. Das schwächt den Schutz beim Start erheblich und kann zu Problemen bei Sicherheits- und Compliance-Vorgaben führen.

Betroffen sind Clients und Server: Microsoft nennt unter anderem Windows 11, Windows 10 mit ESU sowie Windows Server 2016, 2019, 2022 und 2025. Für private Geräte mit automatischen Updates übernimmt Microsoft die Umstellung weitgehend selbst. Für Geräte, deren Updates die IT verwaltet, müssen Administratoren selbst handeln.

Drei Gruppen verdienen besondere Aufmerksamkeit:

• Ältere Hardware: Manche Geräte brauchen vorher ein Firmware-Update des Herstellers. Laut Microsoft gibt es diese Updates oft nur, solange das Gerät noch im Support des Herstellers ist. Bei Geräten ohne Herstellersupport kann die Umstellung scheitern, dann ist ein Austausch oft die sicherere Wahl.
• Virtuelle Maschinen: Hyper-V-VMs der Generation 2 erhalten die neuen Zertifikate über die normalen kumulativen Updates. Bei VMware vSphere müssen laut Microsoft die ESXi-Hosts und die Hardware-Versionen der VMs auf einen Stand gebracht werden, der die Zertifikate von 2023 enthält. Trusted Launch und Confidential VMs in Azure werden über die Azure-Plattform aktualisiert.
• Installationsmedien: Ältere USB-Sticks und ISO-Dateien starten standardmäßig mit dem alten Bootloader. Microsoft stellt dafür das Skript Make2023BootableMedia.ps1 bereit.

Ob ein Gerät die neuen Zertifikate schon hat, lässt sich laut Microsoft auf mehreren Wegen prüfen:

1. PowerShell: Der Befehl Confirm-SecureBootUEFI zeigt in einer Sitzung mit Administratorrechten, ob Secure Boot aktiv ist.
2. Registrierung: Unter HKLM\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing zeigen die Werte UEFICA2023Status, WindowsUEFICA2023Capable und UEFICA2023Error den Stand der Umstellung.
3. Ereignisanzeige: Im System-Protokoll bedeutet das Ereignis 1801, dass die neuen Zertifikate noch fehlen, das Ereignis 1808, dass sie angewendet sind.
4. Windows-Sicherheit: Die Windows-Sicherheit-App zeigt den Status der Zertifikatsaktualisierung auch direkt am Gerät an.

Für größere Umgebungen beschreibt Microsoft die Überwachung mit Remediations in Microsoft Intune. Auch Windows Autopatch bietet einen Statusbericht für Secure Boot, den Microsoft im Mai 2026 überarbeitet hat. Gruppenrichtlinien unterstützt Microsoft für die Umstellung bisher nicht.

Auf den Zielgeräten läuft laut Microsoft alle 12 Stunden eine geplante Aufgabe. Sie trägt die neuen Zertifikate nacheinander in die Firmware ein und ersetzt zum Schluss den Boot Manager, der erst beim nächsten regulären Neustart aktiv wird. Microsoft rechnet mit etwa 48 Stunden und einem oder mehreren Neustarts. Zum optionalen Windows-Update vom Oktober 2026 weist Microsoft außerdem darauf hin, dass manche Geräte nach einer Aktualisierung der Secure Boot Zertifikate einmal zusätzlich neu starten können.

Bevor Sie die Umstellung breit ausrollen, empfiehlt Microsoft:

• BitLocker-Wiederherstellungsschlüssel sichern. Änderungen an Firmware und Startkette können unerwartet eine Abfrage des Wiederherstellungsschlüssels auslösen.
• Pro Gerätetyp testen. Microsoft empfiehlt mindestens vier Geräte je Kombination aus Hersteller, Modell und Firmware-Version.
• App Control for Business prüfen. Regeln, die auf bestimmte Microsoft-Zertifikate festgelegt sind, sollten im Überwachungsmodus getestet werden, bevor sie erzwungen werden.
• Sicherheitssoftware abstimmen. Klären Sie mit den Herstellern Ihrer Virenschutz- und Endpoint-Lösungen, ob sie mit den neuen Microsoft-Zertifikaten getestet sind.
• Auf Warnzeichen achten: fehlgeschlagene kumulative Updates, Dienste, die nicht starten, blockierte Programme oder das Ereignis 3077 der Code-Integrität.

Für ein Unternehmen mit gemischter Hardware, Servern und virtuellen Maschinen ist die Umstellung weniger ein einzelnes Update als ein kleines Inventarprojekt: Welche Geräte haben die Zertifikate schon, welche brauchen ein Firmware-Update, welche sollten ersetzt werden? Als Microsoft Solutions Partner für Security richtet die InSys AG^® die Statusüberwachung in Intune und Windows Autopatch ein, plant die Umstellung nach Gerätegruppen und sorgt dafür, dass BitLocker-Schlüssel vorher gesichert sind. Einen Überblick über unsere Leistungen finden Sie unter Microsoft 365 Security und auf der Seite Microsoft 365 Security und Lizenzen.