Windows Secure Boot-Zertifikate laufen 2026 ab, alte Zertifikate werden ersetzt [Update: Secure Boot FAQ]

(Original 27.06.2025): Mit Windows 8 hat Microsoft Secure Boot eingeführt. Damals noch so nebenbei und ohne Pflicht. Jetzt hat man eine Information vorab herausgegeben, dass die ursprünglichen Zertifikate auslaufen. Und zwar im Juni 2026, bzw. Oktober 2026.

Um es mal gleich vorwegzunehmen: Wer Windows 10 oder Windows 11 installiert hat, regelmäßig die Windows Updates durchführt und auch Secure Boot aktiviert hat, braucht sich in der Consumer-Version (Home, Pro, Education) keine Gedanken zu machen. Hier wird die Aktualisierung über Windows Update durchgeführt. Ob Secure Boot aktiviert ist, erfahrt ihr über Windows-Taste + R -> msinfo32 und dort der Eintrag „Sicherer Startzustand“. Dieser muss auf Ein stehen. Ansonsten ist diese Funktion im BIOS deaktiviert.

Microsoft hat in dem Beitrag eine gute Erklärung für Secure Boot hinzugefügt.

Secure Boot definiert vertrauenswürdigen Code durch eine Firmware-Richtlinie, die während der Herstellung festgelegt wird. Änderungen dieser Richtlinie, wie das Hinzufügen oder Widerrufen von Zertifikaten, werden durch eine Hierarchie von Schlüsseln gesteuert. Diese Hierarchie beginnt mit dem Platform Key (PK), der normalerweise dem Hardwarehersteller gehört, gefolgt vom Key Enrollment Key (KEK) (auch bekannt als Key Exchange Key), der einen Microsoft KEK und andere OEM KEKs umfassen kann. Die Allowed Signature Database (DB) und die Disallowed Signature Database (DBX) legen fest, welcher Code in der UEFI-Umgebung ausgeführt werden kann, bevor das Betriebssystem startet. Die DB enthält Zertifikate, die von Microsoft und dem OEM verwaltet werden, während die DBX von Microsoft mit den neuesten Widerrufen aktualisiert wird. Jede Entität mit einem KEK kann die DB und DBX aktualisieren.

Welche Zertifikate laufen ab?

• Name alt – Ablauf – Name neu
• Microsoft Corporation KEK CA 2011 – Juni 2026 – Microsoft Corporation KEK CA 2023
• Microsoft Windows Production PCA 2011 – Okt. 2026 – Windows UEFI CA 2023
• Microsoft UEFI CA 2011 – Juni 2026 – Microsoft UEFI CA 2023
• Microsoft UEFI CA 2011 – Juni 2026 – Microsoft UEFI CA 2023

Microsoft wird diese Updates schrittweise durchführen. Man fängt mit den Home- und Pro-Systemen an und dann ausweiten, bis alle dann über die neuen Zertifikate verfügen. Auf der Seite wurden auch mögliche Fehler beschrieben, die auftreten können. Aber im Normalfall wird alles im „Hintergrund“ ablaufen.

Info:

• support.microsoft.com/windows-secure-boot-certificate-expiration
• support.microsoft.com/windows-devices-for-home-users

Secure Boot FAQ

(Update 16.09.2025): Microsoft hat jetzt noch eine zusätzliche Seite mit den häufig gestellten Fragen zum sicheren Start veröffentlicht.

Dabei wird auch noch einmal klargestellt, dass private Geräte das neue Zertifikat über Windows Update erhalten haben oder erhalten werden. Hier muss man also nicht eingreifen. Microsoft spricht hier von Computern, die von Microsoft verwaltet werden. Werden Computer in Firmen verwaltet, dann muss sich die IT selbst darum kümmern.

• Geräte mit Windows 10 werden die sicherheitsrelevanten Updates über das ESU-Programm erhalten.
• Wird das Zertifikat nicht erneuert, werden auch keine sicherheitsrelevanten Updates für den Boot-Manager oder Secure Boot installiert.
• Zusätzlich gibt es noch Antworten für IT-verwaltete Systeme

Windows 11 Tutorials und Hilfe

• In unserem Windows 11 Wiki findet ihr sehr viele hilfreiche Tipps und Tricks.
• Falls ihr Fragen habt, dann stellt diese ganz einfach bei uns im Forum.
• Installationsmedien: Aktuelle Windows 11 ISOs findet ihr hier: 25H2 26200, oder 24H2 26100. Ansonsten immer in der rechten Sidebar.
• Windows 11 neu clean installieren Tipps und Tricks.
• Windows 11 auch ohne TPM und Secure Boot installieren.
• Windows 11 mit lokalem Konto auch Offline installieren.
• Windows 11 Inplace Upgrade Reparatur oder Feature Update.
• Automatisch anmelden Pin entfernen Windows 11.
• Alle Beiträge zu Windows 11 im Blog findet ihr über diese Seite. Wobei auch alle anderen Artikel interessant sein können.