![\"\"](\"https:\/\/www.deskmodder.de\/blog\/wp-content\/uploads\/2021\/05\/windows-update-logo1.jpg\"){kind=logo}
<\/a><\/p>\nUm es mal gleich vorwegzunehmen: Wer Windows 10 oder Windows 11 installiert hat, regelm\u00e4\u00dfig die Windows Updates durchf\u00fchrt und auch Secure Boot aktiviert hat, braucht sich in der Consumer-Version (Home, Pro, Education) keine Gedanken zu machen. Hier wird die Aktualisierung \u00fcber Windows Update durchgef\u00fchrt. Ob Secure Boot aktiviert ist, erfahrt ihr \u00fcber Windows-Taste + R -> msinfo32 und dort der Eintrag „Sicherer Startzustand“. Dieser muss auf Ein stehen. Ansonsten ist diese Funktion im BIOS deaktiviert.<\/p>\n
Microsoft hat in dem Beitrag eine gute Erkl\u00e4rung f\u00fcr Secure Boot hinzugef\u00fcgt.<\/h3>\n
Secure Boot definiert vertrauensw\u00fcrdigen Code durch eine Firmware-Richtlinie, die w\u00e4hrend der Herstellung festgelegt wird. \u00c4nderungen dieser Richtlinie, wie das Hinzuf\u00fcgen oder Widerrufen von Zertifikaten, werden durch eine Hierarchie von Schl\u00fcsseln gesteuert. Diese Hierarchie beginnt mit dem Platform Key (PK), der normalerweise dem Hardwarehersteller geh\u00f6rt, gefolgt vom Key Enrollment Key (KEK) (auch bekannt als Key Exchange Key), der einen Microsoft KEK und andere OEM KEKs umfassen kann. Die Allowed Signature Database (DB) und die Disallowed Signature Database (DBX) legen fest, welcher Code in der UEFI-Umgebung ausgef\u00fchrt werden kann, bevor das Betriebssystem startet. Die DB enth\u00e4lt Zertifikate, die von Microsoft und dem OEM verwaltet werden, w\u00e4hrend die DBX von Microsoft mit den neuesten Widerrufen aktualisiert wird. Jede Entit\u00e4t mit einem KEK kann die DB und DBX aktualisieren.<\/em><\/p>\n Microsoft wird diese Updates schrittweise durchf\u00fchren. Man f\u00e4ngt mit den Home- und Pro-Systemen an und dann ausweiten, bis alle dann \u00fcber die neuen Zertifikate verf\u00fcgen. Auf der Seite wurden auch m\u00f6gliche Fehler beschrieben, die auftreten k\u00f6nnen. Aber im Normalfall wird alles im „Hintergrund“ ablaufen.<\/p>\n \u00dcberpr\u00fcfen kann man es \u00fcber PowerShell:<\/p>\n Wird true ausgegeben, ist das neue Zertifikat schon enthalten.<\/p>\n (Update 16.09.2025):<\/strong> Microsoft hat jetzt noch eine zus\u00e4tzliche Seite mit den h\u00e4ufig gestellten Fragen zum sicheren Start ver\u00f6ffentlicht.<\/p>\n Dabei wird auch noch einmal klargestellt, dass private Ger\u00e4te das neue Zertifikat \u00fcber Windows Update erhalten haben oder erhalten werden. Hier muss man also nicht eingreifen. Microsoft spricht hier von Computern, die von Microsoft verwaltet werden. Werden Computer in Firmen verwaltet, dann muss sich die IT selbst darum k\u00fcmmern.<\/p>\n (Update 14.01.2026)<\/strong> Mit dem Sicherheitsupdate Januar f\u00fcr Windows 10<\/a> und Windows 11<\/a> (vermutlich auch f\u00fcr die 26H1<\/a>) hat Microsoft damit begonnen, die Zertifikate f\u00fcr den Sicheren Start (Secure Boot) zu aktualisieren. Denn die alten Zertifikate laufen ab Juni 2026 aus.<\/p>\n Mit dem Start im Januar, werden jetzt schrittweise die Ger\u00e4te \u00fcberpr\u00fcft, und wenn alles passt, werden die Zertifikate ersetzt. Ihr m\u00fcsst also nichts<\/strong> weiter unternehmen. Es wird automatisch ablaufen.<\/p>\n In der Release Notes f\u00fcr Januar hat Microsoft diesen Text bereitgestellt<\/p>\n „Ab diesem Update enthalten Windows-Qualit\u00e4tsupdates eine Teilmenge von hochgradig zuverl\u00e4ssigen Ger\u00e4tedaten, die Ger\u00e4te identifizieren, die f\u00fcr den automatischen Empfang neuer Secure Boot-Zertifikate infrage kommen. Ger\u00e4te erhalten die neuen Zertifikate erst, nachdem sie ausreichend erfolgreiche Update-Signale gezeigt haben, wodurch eine sichere und schrittweise Bereitstellung gew\u00e4hrleistet wird.“<\/em><\/p>\n (Update 8.03.2026):<\/strong> Morgen, 9.03.2026 um 15.00 Uhr wird Microsoft ein Live-Video starten, welches die Updates f\u00fcr die Secure Boot Zertifikate erkl\u00e4ren wird. Sicherlich ist es eher f\u00fcr Administratoren in Firmen gedacht, aber vielleicht ist es f\u00fcr den einen oder anderen ganz interessant, was dort an Informationen preisgegeben wird.<\/p>\nWelche Zertifikate laufen ab?<\/h3>\n
\n
<\/a><\/p>\n[System.Text.Encoding]::ASCII. GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'<\/pre>\n
Info:<\/h3>\n
\n
Secure Boot FAQ<\/h3>\n
\n
Schrittweise Bereitstellung beginnt<\/h3>\n
Updates f\u00fcr Secure Boot Zertifikate erkl\u00e4rt<\/h3>\n