Windows Secure Boot: Zertifikate von 2011 laufen 2026 ab, CA-Zertifikate 2023 nötig
Zusammenfassung
Microsoft ersetzt die Secure-Boot-Zertifikate von 2011 durch Versionen von 2023. Die alten Zertifikate laufen zwischen Juni und Oktober 2026 ab. Geräte ohne die neuen Zertifikate starten weiterhin und erhalten normale Windows-Updates, können aber keine neuen Schutzmassnahmen für den Bootvorgang mehr erhalten. Laut Microsoft erfolgt die Aktualisierung auf vielen Geräten automatisch.
Was ändert sich?
Geräte ohne die Zertifikate von 2023 starten und arbeiten weiterhin normal. Sie erhalten keine Updates für den Windows Boot Manager, die Secure-Boot-Datenbanken (DB, DBX) oder Sperrlisten und keine Schutzmassnahmen gegen neue Schwachstellen im Bootvorgang. Szenarien, die auf Secure-Boot-Vertrauen beruhen, etwa BitLocker-Härtung oder Bootloader von Drittanbietern, können betroffen sein.
Betroffen
- Windows 10 (inklusive Version 22H2 und LTSC-Editionen 2019/2021, IoT)
- Windows 11 Versionen 21H2, 22H2, 23H2, 24H2 (verschiedene Editionen)
- Windows Server 2012 ESU, 2012 R2 ESU, 2016, 2019, 2022, 2025
- Zertifikate: KEK CA 2011 (läuft ab 2026-06-24), Microsoft UEFI CA 2011 (2026-06-27), Windows Production PCA 2011 (2026-10-19)
- Referenz: KB5062710
Vorbereitung und vorübergehende Ausnahmen
- Das UEFI-Secure-Boot-KEK und die DB mit den entsprechenden Zertifikaten von 2023 aktualisieren (Microsoft Corporation KEK 2K CA 2023, Windows UEFI CA 2023, Microsoft UEFI CA 2023, Microsoft Option ROM UEFI CA 2023).
- Wo nötig, verfügbare Firmware-Updates des Herstellers (OEM) installieren.
- Organisationen, die Updates selbst verwalten: der Microsoft-Anleitung für den jeweiligen Gerätetyp folgen.
Prüfen und abschliessen
Microsoft steuert die Aktualisierung der Zertifikate auf einem bedeutenden Teil der Windows-Geräte. Pro Gerät prüfen, ob die Zertifikate von 2023 vorhanden sind, siehe KB5062710.
Empfehlung
Geräte inventarisieren, prüfen welche bereits die Zertifikate von 2023 enthalten, und aktuelle Windows- und OEM-Firmware-Updates installieren. Manuelle Aktualisierung für verwaltete Geräte, Server und virtuelle Maschinen einplanen und kritische Systeme zuerst testen. Das Ablaufdatum von Windows Production PCA 2011 (2026-10-19) ist heute bereits überschritten; Geräte ohne neues Zertifikat prüfen.
Zeitplan
- Microsoft Corporation KEK CA 2011 läuft ab (Ersatz: Microsoft Corporation KEK 2K CA 2023).
- Microsoft UEFI CA 2011 läuft ab (Ersatz: Microsoft UEFI CA 2023 und Microsoft Option ROM UEFI CA 2023).
- Microsoft Windows Production PCA 2011 läuft ab (Ersatz: Windows UEFI CA 2023).
Quellen
- Windows Secure Boot certificate expiration and CA updates (KB5062710) Hersteller · support.microsoft.com
- Windows Secure Boot Key Creation and Management Guidance Hersteller · learn.microsoft.com
Aus den genannten Quellen zusammengestellt und übersetzt mit AI (Claude); Status und Daten stammen vom Hersteller. Massgebend sind die Angaben des Herstellers. Aktualisiert 01.11.2026 17:16.
Woher die Angaben stammen
Wir lesen laufend die offiziellen Quellen der Hersteller, Meldungen aus der Community und Fachmedien und fassen die Angaben in eigenen Worten zusammen, mit Link zur Quelle:
- Microsoft: Windows Release Health (Windows 10/11, Server 2016 bis 2025), Windows Message Center, bekannte Probleme von Microsoft 365 Apps (Outlook, Excel, Word, PowerPoint), Edge, Intune, Autopilot, Windows 365 und Entra Connect, Microsoft-KB mit Zeitplänen, Exchange- und Windows-IT-Pro-Blog, optional Microsoft 365 Dienststatus und Message Center
- weitere Hersteller: Veeam KB, Citrix (bekannte Probleme), Ubuntu und Debian (Regressionen), Broadcom (VMware), Fortinet, Cisco, Mozilla, Let’s Encrypt
- Community (nur Titel, kurzer Auszug und Link, ohne Namen der Verfasser): Microsoft Q&A, Microsoft Tech Community (Diskussionen), Veeam R&D Forums, Eleven Forum
- gezielte Websuche mit AI (Claude), z. B. zu den Updates des Monats – findet auch Diskussionen auf Reddit und in Foren; solche Einträge sind als Community-Meldung gekennzeichnet, bis der Hersteller sie bestätigt
- Frühwarnung aus Fachmedien (nur Titel und Link): Borns IT- und Windows-Blog, BleepingComputer, AskWoody, Windows Latest, Windows Central, gHacks, The Windows Club, Deskmodder, Dr. Windows, WindowsArea, Frankys Web, heise online
Zusammenfassung und Übersetzung mit AI (Claude von Anthropic) – ohne Daten von Besucherinnen und Besuchern.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, setzen Workarounds sauber um und planen Stichtage rechtzeitig ein.