Windows Update Zertifikate laufen 2027 ab: Welche Firmengeräte jetzt ein Update brauchen

• Laut Microsoft laufen Zertifikate, mit denen Windows-Geräte eine vertrauenswürdige Verbindung zu Windows Update aufbauen, am 17. Mai 2027 und am 19. Juni 2027 ab.
• Geräte ohne die Ersatzzertifikate verlieren nach dem jeweiligen Stichtag den Zugriff auf Windows Update.
• Für Windows Server 2016, Windows Server 2019 und Windows 10 Enterprise 2019 LTSC gilt die frühere Frist am 17. Mai 2027, nötig ist das Sicherheitsupdate vom Juli 2026 oder neuer.
• Windows 11 ab Version 25H2 braucht keine Maßnahme, die übrigen unterstützten Versionen benötigen ein aktuelles monatliches Update vor dem 19. Juni 2027.
• Geräte, die Updates über WSUS beziehen, sind laut Microsoft von dieser Änderung nicht betroffen.

Die Windows Update Zertifikate, mit denen Windows-Geräte eine vertrauenswürdige Verbindung zu Windows Update aufbauen, laufen 2027 ab. Microsoft hat das am 8. Oktober 2026 im Windows Message Center angekündigt und am 3. November 2026 in der Monatsübersicht für IT-Administratoren erneut hervorgehoben. Es gibt zwei Stichtage: den 17. Mai 2027 und den 19. Juni 2027.

Damit ein Gerät nach dem jeweiligen Stichtag weiterhin Updates erhält, muss es die Ersatzzertifikate bereits enthalten. Fehlen sie, verliert das Gerät laut Microsoft den Zugriff auf Windows Update. Ein Gerät, das bis dahin nicht aktualisiert wurde, kann sich die fehlenden Zertifikate danach also nicht mehr auf dem üblichen Weg über Windows Update holen.

Laut Microsoft brauchen die meisten Geräte mit einer unterstützten Windows-Version keine besondere Maßnahme, wenn sie die monatlichen Updates regelmäßig erhalten. Entscheidend ist die Version:

• Windows 11 ab Version 25H2: keine Maßnahme nötig.
• Windows 11 Version 24H2 und Windows Server 2025: Sicherheitsupdate vom September 2025 oder neuer, installiert vor dem 19. Juni 2027.
• Andere unterstützte Versionen von Windows 11, Windows Server 2022 und unterstützte Versionen von Windows 10: Sicherheitsupdate vom Juli 2026 oder neuer, installiert vor dem 19. Juni 2027.
• Windows 10 Enterprise 2019 LTSC, Windows Server 2019 und Windows Server 2016: Sicherheitsupdate vom Juli 2026 oder neuer, installiert vor dem 17. Mai 2027.
• Alle anderen Windows-Versionen: Microsoft empfiehlt das Upgrade auf eine unterstützte Version von Windows oder Windows Server.

Die frühere Frist am 17. Mai 2027 betrifft ausgerechnet die Systeme, die in vielen Unternehmen am seltensten angefasst werden: ältere Windows Server und LTSC-Geräte an Maschinen, Kassen, Terminals oder in der Produktion. Gerade dort werden Updates oft bewusst zurückgehalten oder nur in Wartungsfenstern eingespielt.

Bei Windows Server 2016 kommt ein zweiter Termin hinzu: Der erweiterte Support endet laut Microsoft am 12. Januar 2027. Wer diese Server noch betreibt, sollte die Migration ohnehin jetzt planen. Welche Wege es dafür gibt, haben wir im Beitrag zum Windows Server 2016 Support Ende zusammengefasst.

Die Windows Update Zertifikate sind nicht dieselben wie die Secure Boot Zertifikate, die seit Juni 2026 ablaufen. Bei Secure Boot geht es um die Zertifikate in der Firmware, die den sicheren Start des Geräts absichern. Bei der aktuellen Änderung geht es um die Verbindung des Geräts zu Windows Update. Für beide Themen gilt aber dieselbe Lehre: Geräte, die monatlich aktualisiert werden, sind im Vorteil. Was bei Secure Boot noch zu tun ist, lesen Sie in unserem Beitrag zu den Secure Boot Zertifikaten.

Laut Microsoft gilt die Änderung nicht für Geräte, die ihre Updates über Windows Server Update Services (WSUS) beziehen. Unternehmen, die einen Teil ihrer Geräte über WSUS und einen anderen Teil direkt über Windows Update oder Microsoft Intune versorgen, sollten genau wissen, welches Gerät welchen Weg nutzt. Denn nur so lässt sich sagen, welche Geräte von den Stichtagen betroffen sind.

1. Bestand erfassen: Listen Sie alle Windows-Clients und Server mit Version und Stand des letzten installierten Updates auf, auch Geräte außerhalb der zentralen Verwaltung.
2. Update-Quelle klären: Halten Sie fest, ob ein Gerät seine Updates über WSUS, direkt über Windows Update oder über Microsoft Intune erhält.
3. Server und LTSC-Geräte priorisieren: Für Windows Server 2016, Windows Server 2019 und Windows 10 Enterprise 2019 LTSC gilt der 17. Mai 2027. Planen Sie die Wartungsfenster jetzt.
4. Monatliche Updates verlässlich ausrollen: Mit Microsoft Intune und Windows Autopatch sehen Sie, welche Geräte hinterherhängen, und verteilen Updates gestaffelt.
5. Altsysteme ersetzen: Geräte mit nicht mehr unterstützten Windows-Versionen erhalten keine Lösung über die monatlichen Updates. Hier hilft nur das Upgrade oder der Austausch.

Die InSys AG^® ist Microsoft Solutions Partner für Security und betreut als Microsoft Direct CSP mehr als 80.000 Microsoft 365 Lizenzen bei Kunden. Wir prüfen mit Ihnen, welche Geräte vor den Stichtagen aktualisiert werden müssen, richten ein verlässliches Update-Management mit Microsoft Intune und Windows Autopatch ein und planen die Ablösung älterer Server. Mehr zu unseren Leistungen finden Sie auf unserer Seite zu Microsoft 365 und Security. Rufen Sie uns an unter +49 (521) 260105-0 oder nutzen Sie das Kontaktformular unter diesem Beitrag.