Secure-Boot-Zertifikate
Zwischen Juni und Oktober 2026 sind die Microsoft-Zertifikate für den sicheren Start von 2011 abgelaufen, das letzte am 19. Oktober 2026. Betroffen sind Windows-PCs und Windows-Server mit Secure Boot.
Gilt seit
letztes Zertifikat von 2011 abgelaufen
Worum es geht
Secure Boot prüft beim Einschalten, ob Start-Manager und Treiber vertrauenswürdig sind, bevor Windows lädt. Dafür liegen im Gerät Zertifikate von Microsoft. Die Zertifikate von 2011 sind inzwischen abgelaufen: zwei im Juni 2026, das letzte am 19. Oktober 2026.
Das Tückische: Man merkt es nicht. Laut Microsoft startet ein Gerät ohne die neuen Zertifikate von 2023 ganz normal. Neue Schutz-Updates für den Startvorgang bekommt es aber nicht mehr, und Lücken an dieser Stelle bleiben offen. Ob ein Gerät schon umgestellt ist, sieht man ihm von außen nicht an.
Stand: Oktober 2026. Dieser Überblick ersetzt keine Rechts- oder Steuerberatung.
Was jetzt gilt
-
24. und 27. Juni 2026
Abgelaufen sind die Zertifikate Microsoft Corporation KEK CA 2011 und Microsoft UEFI CA 2011. Ihre Nachfolger stammen von 2023.
-
19. Oktober 2026
Als letztes ist das Zertifikat Microsoft Windows Production PCA 2011 abgelaufen. Nachfolger ist die Windows UEFI CA 2023.
-
Das Gerät startet weiter
Ohne die neuen Zertifikate fehlen neue Schutz-Updates für den frühen Startvorgang: für den Windows-Start-Manager, für die Sperrlisten des sicheren Starts und gegen neu entdeckte Lücken in der Startkette.
-
Manchmal braucht es Firmware
Einige Geräte brauchen ein Firmware-Update des Herstellers, damit die neuen Zertifikate richtig ankommen. Solche Updates gibt es laut Microsoft unter Umständen nur für Geräte, die der Hersteller noch unterstützt.
-
Secure Boot bleibt an
Microsoft rät ausdrücklich davon ab, Secure Boot abzuschalten, um das Problem zu umgehen. Das Aus- und Einschalten kann sogar bereits eingespielte neue Zertifikate wieder löschen.
Wer betroffen ist
Alle Betriebe mit Windows-PCs, Laptops oder Windows-Servern, auf denen Secure Boot aktiv ist. Genau hinsehen sollten Sie bei älteren Geräten, für die der Hersteller keine Firmware mehr liefert. Und bei Servern: Dort kommen die neuen Zertifikate laut Microsoft nicht von selbst, die Umstellung muss jemand anstoßen.
Was Sie jetzt tun sollten
-
Status prüfen
Welche Geräte haben die neuen Zertifikate schon? Auf vielen PCs zeigt das die App „Windows-Sicherheit“; auf zentral verwalteten Geräten und Servern prüfen wir per Skript.
-
Updates einspielen
Aktuelle Windows-Updates installieren. Auf Servern stoßen wir die Umstellung gezielt an.
-
Firmware prüfen
Gibt es beim Hersteller ein Firmware- oder BIOS-Update? Dann zuerst dieses einspielen und vorher die BitLocker-Wiederherstellungsschlüssel sichern.
-
Altgeräte einplanen
Geräte, für die kein Firmware-Update mehr kommt, gehören in den Plan für den Austausch.
Wie wir helfen
Wir übernehmen alles von der Bestandsaufnahme bis zur Umsetzung.
- Bestandsaufnahme: Welche PCs und Server haben die neuen Zertifikate, welche nicht?
- Windows-Updates zentral steuern und überwachen
- Firmware-Updates der Hersteller prüfen und einspielen
- Umstellung auf Windows-Servern gezielt anstoßen
- BitLocker-Wiederherstellungsschlüssel sichern, bevor wir etwas ändern
- Geräte ohne Firmware-Update in den Austauschplan aufnehmen
-
IT-Betreuung und Systemadministration
Wir administrieren Ihre IT laufend. Sie haben einen Ansprechpartner, ob für einen Standort oder für viele. -
Server und Virtualisierung
Windows Server und Linux, virtualisiert mit Hyper-V oder Proxmox. Wir betreiben und überwachen sie für Sie. -
IT-Sicherheit und Backup
Backups mit Wiederherstellungstest, Anmeldung mit zweitem Faktor und ein Notfallplan für den Ernstfall.
Häufige Fragen
Was passiert, wenn das Zertifikat abgelaufen ist?
Laut Microsoft startet das Gerät weiter normal. Es bekommt aber keine neuen Schutz-Updates für den frühen Startvorgang mehr, etwa für den Windows-Start-Manager und die Sperrlisten des sicheren Starts. Neu entdeckte Lücken in der Startkette bleiben dann offen.
Wie prüfe ich, ob ein Gerät die neuen Zertifikate hat?
Auf vielen PCs zeigt die App „Windows-Sicherheit“ unter Gerätesicherheit den Stand für den sicheren Start. Auf Geräten, die eine Firma zentral verwaltet, und auf Windows-Servern ist diese Anzeige laut Microsoft standardmäßig ausgeschaltet. Dort prüfen wir per PowerShell oder über Ihre Geräteverwaltung.
Muss ich Secure Boot abschalten?
Nein. Microsoft rät ausdrücklich davon ab: Ohne Secure Boot fehlt der Schutz vor Schadsoftware, die sich schon beim Start einnistet. Außerdem kann Windows die neuen Zertifikate nur bei eingeschaltetem Secure Boot einspielen.
Braucht mein PC ein BIOS-Update?
Manche Geräte ja. Laut Microsoft brauchen einige Geräte ein Firmware-Update des Herstellers, damit die neuen Zertifikate richtig ankommen, und das gibt es unter Umständen nur für Geräte im Supportzeitraum. Wir prüfen das je Modell und sichern vorher die BitLocker-Schlüssel.
Betrifft das auch unsere Server?
Ja. Microsoft nennt Windows Server 2016, 2019, 2022 und 2025 ausdrücklich. Auf Servern kommen die neuen Zertifikate nicht über die automatische Verteilung, die Umstellung muss ein Administrator anstoßen. Windows Server 2012 und 2012 R2 bekommen seit dem Ende ihres ESU-Programms am 13. Oktober 2026 gar keine Updates mehr; läuft bei Ihnen noch Windows Server 2016, lohnt sich der Blick auf das Supportende im Januar 2027.
Quellen
- Microsoft Support: Wenn Zertifikate für den sicheren Start auf Windows-Geräten ablaufen (öffnet ein neues Fenster)
- Microsoft Support: Ablauf der Secure-Boot-Zertifikate und CA-Updates (öffnet ein neues Fenster)
- Microsoft Support: Status der Zertifikate in der App „Windows-Sicherheit“ (öffnet ein neues Fenster)
- Microsoft Windows Server Blog: Server auf die neuen Secure-Boot-Zertifikate vorbereiten (öffnet ein neues Fenster)
- Microsoft Windows IT Pro Blog: Secure-Boot-Zertifikate laufen 2026 ab (Hinweise zum Ein- und Ausschalten) (öffnet ein neues Fenster)
Stand: Oktober 2026. Angaben ohne Gewähr.
Weitere Themen
-
E-Rechnung wird Pflicht
Empfangen müssen Sie E-Rechnungen schon seit 2025, ab 2027 beginnt die Versandpflicht. Wir richten Ihren Rechnungsweg so ein, dass er ohne Abtippen läuft. ab 1.1.2027 -
Windows Server 2016 läuft aus
Am 12. Januar 2027 endet der Support. Danach gibt es Sicherheitsupdates nur noch gegen Aufpreis. Planen Sie den Umzug jetzt. ab 12.1.2027 -
Windows 10: ESU oder Umstieg?
Seit Oktober 2025 gibt es für Windows 10 keine kostenlosen Sicherheitsupdates mehr. Die bezahlte Verlängerung wird jedes Jahr teurer. seit 14.10.2025 -
KI-Kompetenz nach dem AI Act
Wer KI im Betrieb nutzt, muss die KI-Kompetenz seines Teams fördern. Wir schulen mit Beispielen aus Ihrem Alltag und geben Ihnen Regeln, die passen. seit 2.2.2025 -
NIS2 und Cyberversicherung
Mehr Unternehmen müssen IT-Sicherheit nachweisen, und Versicherer fragen genauer nach. Wir setzen die Maßnahmen um und dokumentieren sie. seit 6.12.2025 -
Digitalbonus Bayern nutzen
Bis zu 50 Prozent Zuschuss für Digitalisierung und IT-Sicherheit in kleinen Betrieben. Wichtig ist die Reihenfolge: erst der Antrag, dann der Auftrag. ab 31.12.2027 -
IT-Sicherheitsrichtlinie
Neue Pflichten für Arzt-, Psychotherapie- und Zahnarztpraxen: Schulung des Teams, Updates, Datensicherung. Wir setzen sie mit Ihnen um und dokumentieren jeden Schritt. seit 2.1.2026 -
Passkeys statt SMS-Code
Ab Februar 2027 verschickt Microsoft keine Anmeldecodes per SMS oder Anruf mehr. Wir stellen Ihr Team rechtzeitig auf Passkeys um. ab 1.2.2027
Geräte prüfen lassen
Wir prüfen, welche PCs und Server die neuen Zertifikate schon haben, und kümmern uns um den Rest.