Secure-Boot-Zertifikate laufen 2026 aus — was Unternehmen jetzt tun müssen

Microsofts über ein Jahrzehnt alte Secure-Boot-Zertifikate laufen 2026 gestaffelt aus — das erste ist am 27. Juni 2026 bereits abgelaufen, das nächste folgt im Oktober. Betroffen ist praktisch jedes Windows-Gerät im Unternehmen. Wer die neuen 2023-Zertifikate nicht rechtzeitig einspielt, erhält keine sicheren Boot-Level-Updates mehr und öffnet langfristig ein Einfallstor für Schadsoftware, die noch vor dem Betriebssystem startet.

Was ist passiert?

Secure Boot stellt beim Start eines Rechners sicher, dass nur signierte, vertrauenswürdige Software geladen wird. Die dafür nötigen Zertifikate liegen in der UEFI-Firmware (in den Speichern KEK und DB). Die 2011 ausgestellten Zertifikate erreichen 2026 ihr Ablaufdatum — laut Microsofts offizieller Übersicht konkret:

• Microsoft Corporation UEFI CA 2011 — abgelaufen am 27. Juni 2026 (signiert u. a. Drittanbieter-Bootloader wie den Linux-Shim)
• Microsoft Windows Production PCA 2011 — läuft am 19. Oktober 2026 aus (signiert den Windows-Bootloader)
• Microsoft Corporation KEK CA 2011 — läuft gestaffelt zwischen Juni und Oktober 2026 aus

Als Ersatz stellt Microsoft eine neue Zertifikatskette bereit: KEK CA 2023, UEFI CA 2023 und Windows UEFI CA 2023. Diese müssen vor dem Ablauf der alten Zertifikate in die Firmware-Speicher DB und KEK geschrieben werden. Microsoft verteilt die Umstellung seit Anfang 2026 schrittweise über reguläre Windows-Updates. Kein Grund zur Panik: Die Geräte booten weiterhin — das eigentliche Risiko ist, dass abgelaufene Zertifikate keine neuen Boot-Level-Sicherheitsupdates mehr entgegennehmen.

Wer ist betroffen?

• Windows 10 (Support endete im Oktober 2025) und Windows 11 (Versionen 24H2 / 25H2)
• Windows Server 2016 bis 2025
• ältere PCs und Notebooks ohne automatische Firmware-Updates
• Embedded- und Industrie-Systeme, Kassensysteme, Praxis- und Laborgeräte
• Geräte, die vor 2024 gebaut wurden — neuere Hardware bringt die 2023-Zertifikate oft schon mit

Besonders exponiert sind kleine und mittlere Unternehmen mit gemischtem, älterem Gerätepark und manueller Update-Pflege. Genau hier bleiben die alten Zertifikate am längsten liegen.

Was jetzt zu tun ist

1. Windows Update konsequent aktuell halten — Microsoft verteilt die 2023-Zertifikate über den regulären Update-Kanal. Das ist der einfachste Weg.
2. Secure-Boot-Status prüfen: msinfo32 öffnen und unter „Sicherer Startzustand“ kontrollieren, ob Secure Boot aktiv ist.
3. Zertifikatsstand prüfen: kontrollieren, ob die 2023-Zertifikate bereits in den Firmware-Speichern DB und KEK hinterlegt sind.
4. In verwalteten Umgebungen den Rollout über Intune oder Gruppenrichtlinien planen und die UEFI-/Firmware-Updates der Hersteller (Dell, HP, Lenovo) einspielen — Details im Secure-Boot-Playbook von Microsoft.
5. Nicht mehr updatefähige Geräte (Windows 10, End-of-Life-Hardware) identifizieren und einen geordneten Austausch planen.
6. Backups und Boot-Recovery-Medien aktualisieren, bevor Firmware-Änderungen ausgerollt werden — so bleibt jedes System im Fehlerfall startfähig.

So hilft Binary System Services

Wir inventarisieren Ihren Windows-Bestand, prüfen den Secure-Boot- und Zertifikatsstatus über die gesamte Geräteflotte und spielen die neuen 2023-Zertifikate kontrolliert und getestet ein — inklusive der passenden Firmware-Updates. Über unser Patch-Management und Monitoring behalten wir Fristen wie diese im Blick, damit kein Gerät durchs Raster fällt. So bleibt Ihre IT abgesichert, ohne dass Sie sich um die Details kümmern müssen.

Angaben ohne Gewähr. Im Zweifel bitte die offizielle Quelle prüfen.