Grafik: UEFI-Chip, Schild mit Schloss und ablaufendes Zertifikat „PCA 2011“, Datum 19.10.2026

Secure Boot: Letztes Windows-Zertifikat läuft heute ab

Am 19. Oktober läuft Microsofts Secure-Boot-Zertifikat PCA 2011 ab. PCs starten weiter, doch ohne die 2023-Zertifikate kommen keine Schutzupdates für den Startvorgang mehr.

Am heutigen Montag, 19. Oktober 2026, läuft das Zertifikat „Microsoft Windows Production PCA 2011“ ab. Damit erreicht Microsofts Zertifikatswechsel beim Secure Boot, auf Deutsch „sicherer Start“, seine letzte große Frist. Die gute Nachricht vorweg: Kein PC hört deshalb auf zu starten. Wer die neuen Zertifikate aber nicht bekommen hat, erhält künftig keine neuen Schutzupdates für den Startvorgang mehr.

Was Secure Boot eigentlich macht

Secure Boot ist eine Funktion der UEFI-Firmware, des modernen Nachfolgers des klassischen BIOS. Beim Einschalten prüft sie die digitale Signatur jeder Software, die vor Windows geladen wird, von Firmware-Treibern bis zum Bootloader. Starten darf nur, was mit einem in der Firmware hinterlegten, vertrauenswürdigen Zertifikat signiert ist. So sollen sich Bootkits, also Schadprogramme im Startvorgang, nicht unbemerkt vor dem Betriebssystem einnisten. Microsoft hat die Funktion mit Windows 8 eingeführt. Seither tragen Windows-PCs dieselben Microsoft-Zertifikate aus dem Jahr 2011.

Drei Zertifikate, drei Fristen

Diese Zertifikate ersetzt Microsoft 2026 durch neue Versionen aus dem Jahr 2023. Zwei Fristen sind bereits im Juni verstrichen, heute folgt die dritte:

  • Microsoft Corporation KEK CA 2011 (abgelaufen am 24. Juni 2026): erlaubt Änderungen an den Listen erlaubter (DB) und gesperrter (DBX) Signaturen. Nachfolger ist „Microsoft Corporation KEK 2K CA 2023“.
  • Microsoft UEFI CA 2011 (abgelaufen am 27. Juni 2026): signiert Bootloader und Erweiterungen anderer Hersteller. Nachfolger sind „Microsoft UEFI CA 2023“ und „Microsoft Option ROM UEFI CA 2023“.
  • Microsoft Windows Production PCA 2011 (läuft am 19. Oktober 2026 ab): signiert den Bootloader von Windows. Nachfolger ist „Windows UEFI CA 2023“.

Was nach dem Ablauf passiert

Microsoft beschreibt die Folgen in einem eigenen Support-Artikel recht deutlich: Ein PC ohne die neuen Zertifikate startet weiterhin und funktioniert normal. Auch die üblichen Windows-Updates werden weiter installiert, Apps, Netzwerk und Browser laufen wie gewohnt. Es fehlen aber neue Schutzmaßnahmen für die frühe Startphase, also Updates für den Windows-Start-Manager, für die Secure-Boot-Datenbanken und Sperrlisten sowie Korrekturen für neu entdeckte Lücken in der Startkette.

Laut Microsoft ist ein solches Gerät mit jeder neuen Bedrohung schlechter geschützt. Betroffen sein können auch Funktionen, die auf Secure Boot aufbauen, etwa die Absicherung von BitLocker. Windows Latest erinnert an BlackLotus: Das 2023 bekannt gewordene Bootkit konnte Secure Boot selbst auf vollständig aktualisierten Windows-11-PCs aushebeln. Gegen solche Angriffe helfen Sperrlisten, die ohne neue Zertifikate nicht mehr ankommen.

So prüft man den eigenen PC

Bei den meisten privaten Geräten ist laut Microsoft nichts zu tun, denn die neuen Zertifikate kommen automatisch über Windows Update. Voraussetzung sind eine unterstützte Windows-Version, nicht pausierte Updates und eingeschaltetes Secure Boot. Windows-10-PCs erhalten die Zertifikate laut Windows Latest nur mit den kostenpflichtigen Extended Security Updates (ESU). Den Status zeigt Windows 11 unter Windows-Sicherheit > Gerätesicherheit > Sicherer Start:

  • Grünes Häkchen mit dem Hinweis, dass alle erforderlichen Zertifikatupdates angewendet wurden: Alles erledigt. Wichtig laut Microsoft: Das Häkchen allein reicht nicht, entscheidend ist der zugehörige Text.
  • „Ältere Konfiguration der Startvertrauensstellung“: Ausstehende Updates installieren und bei Aufforderung neu starten, den Rest erledigt Windows.
  • Hardware- oder Firmwareeinschränkungen: Dann ist der Gerätehersteller gefragt, meist mit einem Firmware-Update.
  • Rotes Stoppsymbol: Das Gerät kann keine erforderlichen Updates für die Windows-Startumgebung mehr empfangen.

Microsoft verteilt die Zertifikate schrittweise. PCs werden nach Hardware und Firmware gruppiert, eine Gruppe bekommt das Update erst, wenn ähnliche Geräte es problemlos installiert haben. Laut Windows Latest will Microsoft die Zertifikate auch nach dem Oktober-Update vom 13. Oktober weiter über Windows Update verteilen.

Diese Abkürzungen sollte man lassen

Secure Boot einfach abzuschalten, ist keine Lösung. Microsoft rät ausdrücklich davon ab, weil das den Schutz deutlich senkt. Laut Windows Latest kann ein PC sogar unstartbar werden, wenn man Secure Boot später wieder einschaltet und die Firmware nur dem alten Zertifikat vertraut. Ähnlich riskant ist es, das BIOS auf Werkseinstellungen zurückzusetzen. Vor einem Firmware-Update sollte man den BitLocker-Wiederherstellungsschlüssel sichern: Einige HP-BIOS-Updates aus dem April schickten PCs laut Windows Latest in eine Wiederherstellungsschleife.

Einschätzung

Für die meisten ist der 19. Oktober ein Datum ohne spürbare Folgen. Wer Windows Update laufen lässt, hat die neuen Zertifikate oft längst. Der Blick in die Windows-Sicherheit dauert trotzdem nur eine Minute und zeigt, ob der eigene PC wirklich auf dem neuen Stand ist. Besonders Besitzer älterer Rechner sollten nachsehen: Ein PC, der zwar startet, aber keine Schutzupdates für den Startvorgang mehr bekommt, verliert Schritt für Schritt eine wichtige Sicherheitsschicht.

Quellen

Hinweis: Dieser Artikel wurde mit KI-Unterstützung erstellt und redaktionell geprüft.

Ähnliche Beiträge

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert