Windows Secure Boot-Zertifikate

[oli88]

Hallo!
Ich habe vor kurzem gelesen, dass ab Juni 2026 alte Windows Zertifikate auslaufen
und dass Microsoft diese per Update Stück für Stück bereitstellt.
Wie kann ich feststellen, ob ich die neuen Zertifikate schon habe?
Vielleicht bekomme ich die auch gar nicht, dass möchte ich eben bevor dem Auslauf der alten Zertifikate
sicherstellen.
Im BIOS konnte ich leider nichts finden.
Könnt ihr mir dabei helfen?

[Tante Google]

[moinmoin]

Du brauchst eigentlich nichts machen, außer Updates installieren lassen.

Wenn du wirklich mal nachschauen möchtest, starte PowerShell als Admin und gib das ein.

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match ‘Windows UEFI CA 2023’

Wird "True" ausgegeben, dann ist das neue schon integriert.

https://www.deskmodder.de/blog/2025/06/ ... n-ersetzt/

[oli88]

Zunächst vielen Dank für deine Rückmeldung.
PowerShell habe ich gestartet und den Befehl eingegeben.
Es erscheint "False", somit sind die neuen Zertifikate noch nicht integriert.
Die Updates laufen bei mir regelmäßig ein, somit sollte ich diese hoffentlich noch bekommen.
Oder hängt das auch mit dem Alter des PC's zusammen?
Auf der folgenden Seite habe ich auch noch was gelesen, was mit dem Update KB5036210 zusammenhängt.
Dieses Update finde ich in meinem Updateverlauf nicht ... ist das vielleicht das Problem?
https://www.deskmodder.de/blog/2024/02/ ... ruar-2024/

[moinmoin]

Dann ist es noch nicht integriert worden. Wird dann noch kommen. Ist ja noch genügend Zeit (und kein Problem)

[oli88]

... habe halt Bedenken, dass es nicht kommt und ich es eventuell vergesse vor Ablauf.
Dann muss ich es immer wieder mal über Powershell probieren.
Kann ich diese sonst manuell downloaden und hinzufügen?

[moinmoin]

Du brauchst keine Bedenken haben.

MS schreibt selber: "The good news is that the new 2023 certificates will be delivered to your device through regular Windows Update channels. For most users, no action is needed. "

[DK2000]

Secure Boot ist aber aktiviert, oder? Das CA 2023 sollte eigentlich schon integriert sein, da es über die kumulativen Updates kam. Das Update für die DBX mit Sperre für das CA 2011 wird noch nicht automatisch installiert. Und der Rest wohl auch noch nicht. Bei mir wurde nur auf dem Tablet und in den VMs das CA 2023 automatisch installiert. Letztes Jaher allerdings schon.

Und KB5036210 ist kein Update zum Installieren, das ist nur die Nummer des Artikels, welcher beschreibt, wie man das alles manuell macht.

Ob das UEFI zu alt ist oder ob es da wirklich eine Mindestrevision gibt, weiß ich auch nicht.

[John-Boy]

Ob das UEFI zu alt ist oder ob es da wirklich eine Mindestrevision gibt, weiß ich auch nicht.

Zu alt, Mindestversion echt guter Gedanke... gehört dazu nicht auch ein BIOS/UEFI update vom Mainboard Hersteller? Für viele gibt es seit Jahren keine Updates was ist damit

[oli88]

@DK2000: Secure Boot ist aktiviert.
Wenn ich über den Registrierungs-Editor, Pfad ...
Computer\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing ...
schaue, gibt es eine Datei, die lautet:
WindowsUEFICA2023Capable

[oli88]

... hat denn eigentlich von Euch schon jemand die neuen Zertifikate über das Update von Microsoft erhalten?

[moinmoin]

Eigentlich sollte die jeder schon haben. Wie DK2000 schrieb, kamen sie mit einem kumulativen Update.

[oli88]

@ moinmoin: dann habe ich sie leider bisher noch nicht bekommen.
Wenn ich über das PowerShell prüfe mit dem o.g. Befehl, kommt bei mir immer "False".
Allerdings wenn ich in der Registry schaue, gibt es dort unter diesem Pfad
(Computer\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing)
einen Unterordner der lautet: WindowsUEFICA2023Capable
Also habe ich es doch?
Leute ... ich bin kein Computer Checker ... seid mir nicht böse.

[moinmoin]

Warum sollten wir dir böse sein.
Dafür ist ein Forum doch da, dass man sich erkundigt.

Wenn dort der Wert mit (1) steht, ist alles in Ordnung.

[DK2000]

Der Wert von WindowsUEFICA2023Capable wäre interessant, also ob 0 (wird nicht unterstützt) oder 1 (wird unterstützt).

Wie gesagt, das CA 2023 Zertifikat wird seit einer ganzen Weile über die kumulativen Updates ausgeliefert und wenn möglich (WindowsUEFICA2023Capable=1) automatisch in das UEFI eingetragen.

[oli88]

Danke Euch ...
Da steht der Wert 0 drin.
Soll oder kann ich diesen auf 1 abändern?
Oder was kann ich nun tun um doch noch irgendwie an die neuen Zertifikate zu kommen?