Microsoft erneuert die Secure Boot Zertifikate zum Ende Juni 2026, bzw. Oktober 2026 unter Windows 10 und Windows 11. Normalerweise werden bzw. wurden die Aktualisierungen über die Windows Updates erledigt und in einigen Fällen auch über ein neues BIOS-Update (Firmwareupdate).
Es gibt aber weiterhin einige, die das vollständige Update noch nicht erhalten haben. Überprüfen lässt es sich einmal über Windows Sicherheit. Dort unter „Gerätesicherheit“ wird unter „Sicherer Start“ eine Meldung angezeigt, ob dieser aktiviert ist und ob alle erforderlichen Zerifikatupdates angewendet wurden. Ein weiterer Weg, um es zu prüfen ist auch der Sioni Secure Boot Zertifikat-Prüfer, der die Windows UEFI CA 2023 testet und wenn vorhanden auch aktualisiert.
Problem-Meldungen unter Gerätesicherheit -> Sicherer Start
Es kann bei Secure Boot aber auch zu „Problemmeldungen“ kommen. Dazu hat Microsoft gestern (29.06.) einen weiteren Supporteintrag eingerichtet. Wie diese, die dann in etwa lauten:
- Geräte dieser Gruppe sind von einem bekannten Problem betroffen. Um das Risiko zu minimieren, werden die Zertifikatsaktualisierungen für Secure Boot vorübergehend ausgesetzt, während Microsoft und seine Partner an einer unterstützten Lösung arbeiten. Wenden Sie sich an den Hersteller Ihres Geräts, um Unterstützung zu erhalten.
- Ein Firmware-Update ist erforderlich, ist jedoch möglicherweise noch nicht verfügbar. Sobald es verfügbar ist, wird das Firmware-Update über den Standard-Update-Kanal Ihres OEM veröffentlicht und installiert. Informationen zu den nächsten Schritten finden Sie auf der Support-Seite Ihres Geräteherstellers zum Thema „Secure Boot“.
- „Secure Boot“ ist aktiviert, doch Ihr Gerät unterstützt aufgrund von Hardware- oder Firmware-Einschränkungen die automatische Aktualisierung des „Secure Boot“-Zertifikats nicht. Wenden Sie sich an den Hersteller Ihres Geräts, um Unterstützung zu erhalten.
- Möglicherweise wird Ihr PC-Modell vom Hersteller nicht mehr unterstützt, oder der Hersteller kann die erforderlichen Firmware-Updates zur Aktualisierung der Secure-Boot-Vertrauenskonfiguration Ihres Geräts nicht mehr bereitstellen. Überprüfen Sie auf der Secure-Boot-Supportseite Ihres Herstellers, ob Ihr Gerät nicht mehr unterstützt wird oder ob ein Firmware-Update verfügbar ist.
Was ist, wenn ich nicht alle Zertifikate habe?
- Das Gerät startet normal weiter.
- Windows-Updates—Funktions- und Qualitätsaktualisierungen, einschließlich monatlicher Sicherheitsupdates. Die Installation kann fortgesetzt werden, mit Ausnahme von Boot—-bezogenen Sicherheitskomponenten, die aktualisierte Zertifikate erfordern
- Alltägliche Aufgaben wie die Nutzung von Apps, Networking und Surfen bleiben unverändert.
- Secure Boot bleibt aktiviert und bietet weiterhin Schutz vor bisher bekannten Bedrohungen.
Was funktioniert nicht mehr?
- Neue Secure Boot- und Boot Manager-Schutzmaßnahmen können nicht angewendet werden.
- Neu entdeckte bösartige oder anfällige Bootloader werden möglicherweise nicht blockiert. Schutz vor Zukunft Bedrohungen können sich allmählich von vollständig aktualisierten Geräten unterscheiden.
- Einige Nicht-Microsoft-Komponenten, die auf Microsoft Secure Boot Trust basieren, können möglicherweise nicht aktualisiert werden, wenn sie neuere Zertifikatseinträge erfordern.
Das alles wird langfristig passieren. Also nicht von heute auf morgen. Oder wie oben steht im Oktober. Microsoft selbst gibt aber noch den Hinweis, dass es keine gute Lösung ist, Secure Boot zu deaktivieren.
Windows 11 Tutorials und Hilfe
- In unserem Windows 11 Wiki findet ihr sehr viele hilfreiche Tipps und Tricks.
- Falls ihr Fragen habt, dann stellt diese ganz einfach bei uns im Forum.
- Installationsmedien: Aktuelle Windows 11 ISOs findet ihr hier: 25H2 26200. Ansonsten immer in der rechten Sidebar.
- Windows 11 neu clean installieren Tipps und Tricks.
- Windows 11 auch ohne TPM und Secure Boot installieren.
- Windows 11 mit lokalem Konto auch Offline installieren.
- Windows 11 Inplace Upgrade Reparatur oder Feature Update.
- Automatisch anmelden Pin entfernen Windows 11.
- Alle Beiträge zu Windows 11 im Blog findet ihr über diese Seite. Wobei auch alle anderen Artikel interessant sein können.
Vielleicht steh ich auch am Schlauch, aber was hat dieser Artikel jetzt gebracht? Ich bin kein Deut schlauer geworden. Ich hatte erwartet, dass man zusätzliche Informationen erhält, die noch nicht bekannt waren.
Dann Frage ich mich allen ernstes, warum das bei VMs so unterschiedlich ist.
Und bevor jetzt Fragen kommen, alle Windows 11 Pro im VMplayer 17 sind die VMs identisch konfiguriert und eingerichtet, sie unterscheiden sich lediglich von den Windows Builds.
Release 25H2 > nein
Beta 25H2 > nein
Dev 26H2 > nein
Canary 26H1 > ja
Canary 27H2 > ja
Hätte jetzt den Update-Stand vermutet. Aber ich hab bei mir mal nachgeschaut. Release, Beta und Dev sind alle mit „alles korrekt“, wie auch im Host selbst. 🤔
Da macht es sich MS aber leicht. Wenn sie nicht mehr weiter wissen, dann gehe zum Hersteller der Hardware.
Da machst du es dir aber leicht mit deinem Kommentar.
Wenn die Hardware nicht passt, muss die HW-Firma diese anpassen, nicht Microsoft.
Was meinst Du genau mit „nein“? Bei mir sind alle VMs (VirtualBox) so weit identisch, was die Secureboot Updates angeht. Lediglich die Dev mit der 28120 (Experimental 26H1) hat eine neuere DBXUpdate.bin mit 443 Einträgen. Ansonsten passt alles soweit.
Von den 443 Einträgen sind bei mir FAIL: 11 failures, 432 successes detected.
Bei VMware war es bei uns (>320 Windows VMs) so:
Der virtuelle Hardwaretyp musste zumindest auf VMX-21 angehoben werden (VMware >= 8.0.2).
Danach die VM herunterfahren und die Datei #VM-Name#.nvram umbenennen.
VM wieder starten, dabei wird die Datei #VM-Name#.nvram frisch erzeugt.
Ab dann sind die nötigsten Zertifikate vorhanden.
Vorsicht bei Verwendung von Bitlocker, das Umbenennen der #VM-Name#.nvram Datei sorgt dafür dass danach der Bitlocker Wiederherstellungsschlüssel eingegeben werden muss.
das mit dem secure boot ist ja alles schön und gut, aber ich habe jetzt mindestens 10x alle win einstellungen geprüft und bin den anweisungen genau gefolgt, aber mein gigabyte mainboard weigert sich beharrlich, meine über grub eingerichtete win – linux mint installation unter secure boot laufen zu lassen. Ich komme nur zu einem biiiiieeeeep biep biep und der bildschirm bleibt dunkel. und jedesmal ein bios reset und teilweise eine bios neueinrichtung über den weissen gigabyte usb anschluss und eine interne taste.
dann muss es halt ohne laufen, wenn es anders nicht will…
Warum wird nicht einfach eine komplette *Liste bereitgestellt, es gibt leider nur unvollständige Angaben.
*
| 0x0002 | Apply DBX updates. |
| 0x0004 | Apply the Microsoft Corporation KEK 2K CA 2023 to the KEK. |
| 0x0020 | Apply Microsoft-signed revocation policy (SkuSiPolicy.p7b) ([Not working as at 2025-12-17](https://support.microsoft.com/en-gb/topic/guidance-for-blocking-rollback-of-virtualization-based-security-vbs-related-security-updates-b2e7ebf4-f64d-4884-a390-38d63171b8d3)) |
| 0x0040 | Apply the Windows UEFI CA 2023 to the DB. |
| 0x0080 | Apply the Windows Production PCA 2011 to the DBX. |
| 0x0100 | Apply the boot manager, signed by the Windows UEFI CA 2023, to the boot partition. |
| 0x0200 | Apply Secure Version Number (SVN) update to the firmware. |
| 0x0400 | Apply Secure Boot Advanced Targeting ([SBAT](https://github.com/rhboot/shim/blob/main/SBAT.md)) update to the firmware. |
| 0x0800 | Apply the Microsoft Option ROM UEFI CA 2023 to the DB. |
| 0x1000 | Apply the Microsoft UEFI CA 2023 to the DB. |
| 0x4000 | This bit modifies the behavior of the 0x0800 and 0x1000 bits to only apply the Microsoft UEFI CA 2023 and Microsoft Option ROM UEFI CA 2023 if the DB already has the Microsoft Corporation UEFI CA 2011. |
Es fehlen diverse z.B. hier PC mit 22H2 und 25H2 unter 25H2 ist alles ok unter 22H2 fehlt einiges.
Im Current UEFI DB unter der 22H2 fehlt hier die:Microsoft Corporation UEFI CA 2011
und unter Default UEFI DB (in der 22H2) fehlt hier die Microsoft Corporation UEFI CA 2011
Ps. alles baugleiche PC unter 25H2/22H2, deshalb taucht der Fehler hier auch auf.
Es einfach zu „fixen“ geht nicht da nicht alle 0xXXXX bekannt sind.
Die 0x0040 geht nur für die 2023 und nicht zum hinzufügen für die 2011 (UEFI-DB)
Wenn sie da jetzt etwas geändert haben, kommt es reichlich spät.
„Das Gerät startet normal weiter.“
Schön wär’s, das war hier aber nicht der Fall und konnte nur durch Deaktivieren von Secure Boot behoben werden, bis glücklicherweise ein BIOS Update vom Gerätehersteller zur Verfügung gestellt werden konnte:
https://www.deskmodder.de/blog/2026/05/12/kb5087544-windows-10-22h2-manueller-download-sicherheitsupdate-mai-esu/#comment-335407
Daraufhin habe ich einer Bekannten über Telefonsupport vorsorglich die umgehende Deaktivierung mittels UEFI-Reboot aus dem laufenden System empfohlen, um die Notlage zu vermeiden, da die Setup-Eintrittsmethode für das Gerät aus der Ferne nicht ermittelt werden konnte.
Das andere Win10 „Alt“-Gerät (auch aus 2017) kriegt wohl keinen Herstellersupport mehr und hängt nun mit folgender Meldung in der Schwebe:
„Sicherer Start ist aktiviert, aber Ihr Gerät verwendet eine ältere Startvertrauenskonfiguration, die aktualisiert werden soll. Es sind noch nicht genügend Daten vorhanden, um Ihr Gerät für ein automatisches Update zu klassifizieren.“
Nun bin ich mal gespannt, was da passieren wird…
Auch auf diese Art und Weise bringt man die Leute dazu, neue PCs zu kaufen.
Die PC-Hersteller und Microsoft sind Gangster.
Ich bin der Anleitung gefolgt und finde in System > Device security:
„Standard hardware security not supported.
This means that your device does not meet at least one of the requirements of standard hardware security.“
Was mich nicht überrascht, da ich das Gerät aus Einzelteilen zusammengebaut habe. Wird das irgendwelche Konsequenzen haben, die ich erste kennenlernen werde wenn das Gerät nicht mehr started?
Ich habe jahrelang Win10 mit nicht unterstützter standardmäßiger Hardwaresicherheit betrieben.
Erst mit Erscheinen von Win11 wurde darauf geachtet, weil dieses entsprechende Erfordernisse hat.
Für die standardmäßige Hardwaresicherheit müssen 3 Anforderungen erfüllt sein:
– Kernisolierung (virtualisierungsbasierte Sicherheit)
– Sicherheitschip (TPM)
– Sicherer Start
Das lässt sich bei meinen beiden Win10 Geräten alles erfüllen, Win11 scheitert nur am Prozessor.
TPM und Secure Boot stellt man im BIOS ein.
Bei einem Win11-tauglichen Prozessor kann man unter Kernisolierung noch zusätzlich die Speicher-Integrität einschalten.
Dann bekommt man den Status „erweiterte Hardwaresicherheit“.
Das geht zwar prinzipiell auch bei älterem Prozessor, aber dann wird das System zu träge weil der Hardwaresupport fehlt (MBEC Funktion – Mode Based Execution Control).
Somit betreibe ich jetzt meine Win10 Systeme mit standardmäßiger Hardwaresicherheit, was ich Windows 10,5 nenne.
Meine Frage ist, was passiert, wenn ich mich dem ganzen MS Zirkus verweigere. Ich muss deren Mist ja bezahlen also will ich ihn auch so benutzen wie ich es will. Ich bin nicht dazu da deren Probleme zu lösen, ich brauche meine Zeit für was anderes. Bei Win 7 haben alle auf den ein/aus Knopf gedrückt und das wars dann. Was ich wissen wollte war, ob mir irgendwas VON DER MICROSOFT SEITE passieren kann, das mich an der normalen Benutzung meiner Computer hindern wird, wenn ich deren Security Probleme nicht beachte. Und ich habe mittlerweile durch Claude erfahren, dass zumindest zZt noch keine Drohung von MS im Raum steht, dass mein Computer nicht mehr bootet, wenn ich deren Secure Boot nicht zu meinem Secure Boot mache. Da ich Dual Boot benutzen will und, falls möglich eines Tages Win völlig rausschmeissen will, habe ich keine Lust meine CPU so zu manipulieren wie es MS will und ich dann deren Konsequenzen beim Ubuntu Booten zu sehen bekomme!
Wenn Secure Boot deaktiviert ist, sollte nichts passieren.
Deshalb habe ich das ja bei der Bekannten gemacht.
Bei Win10 stört wie gesagt ein deaktiviertes Secure Boot auch nicht weiter.
Es ist nur im Hinblick auf Win11 zu beachten, aber das scheinst du ja nicht zu wollen.
Damit schüttest du aber meiner Meinung nach das Kind mit dem Bade aus.
So mangelhaft Win11 auch ist, nichts könnte schlechter sein als Linux.
Eher taugt noch macOS als Alternative.
Lass es mich mal so ausdrücken: Wir leben in verschiedenen politischen Welten… Und da sieht der Unterschied zwischen Microsoft und Gates einerseits und linux andererseits, ganz anders aus. Noch lieber wäre mir ein brauchbares Harmony, aber leider gibts das noch nicht…
Und mein Secure boot problem ist letztlich ja auch, dass MS das irgendwann mal inforcen kann, wenn die Doofen mal weniger werden und sich zu viele dem Silicon Vallex Gangster Syndicaten verweigern.
Das was Microsoft da mit secureboot gemacht hatkann man nur als Kriminell bezeichnen und wird denen noch das Genick brechen. Also Ich muss Windows installieren um es aktuell zu halten? Never diese spyware!!
Das Update der Zertifikate wird bei meinem Medion Laptop blockiert, weil vermutlich irgendein Problem mit dem Bios besteht (Hersteller Insyde; Fehler ID 1802).
Die Supportpage in Richtung Medion auf der MS-Seite führt ins Nirvana.
Bin ich nun aufgeschmissen, weil ich seitens Medion kein Bios-Update finde/bekomme?
Meine beiden Dell Latitude 5580 sind zwar für die Erneuerung der Zertifikate vorbereitet haben aber bis heute 23.07.26 keine erhalten , weder von Dell (Bios) noch von Mikrosoft (Windows Update) . Erhalten die noch mal welche oder ist es besser bei den Windows zu entsorgen und Linux zu verwenden.
Mein Uralt Fujitsu E752 wurde aktualisiert . Schande über Dell.