Windows Secure Boot-Zertifikate 2026: Update für IT-Admins

Einführung: warum das wichtig ist

Secure Boot ist eine der wichtigsten Schutzmaßnahmen von Windows beim Systemstart. Es stellt sicher, dass nur vertrauenswürdige, digital signierte Komponenten ausgeführt werden, bevor das OS geladen wird. Dieses Vertrauen basiert auf Zertifikaten, die in der UEFI-Firmware gespeichert sind – und Microsoft hat bestätigt, dass die ursprünglich 2011 eingeführten Secure Boot-Zertifikate das Ende ihres Lebenszyklus erreichen und ab Ende Juni 2026 auslaufen bzw. ab dann zu verfallen beginnen. Für IT-Teams ist das ein zeitkritisches, Ökosystem-weites Sicherheitswartungsereignis: Wenn Geräte die Zertifikatsaktualisierung verpassen, können sie möglicherweise weiterhin starten, verlieren jedoch die Fähigkeit, zukünftige Schutzmaßnahmen auf Boot-Ebene zu übernehmen.

Was ist neu

Secure Boot „root of trust“ wird aktualisiert

• Die langlebigen Secure Boot-Zertifikate laufen ab Ende Juni 2026 aus.
• Neue Zertifikate werden auf unterstützten Windows-Geräten über den normalen monatlichen Windows Update-Rhythmus bereitgestellt.
• Dies ist eine koordinierte Maßnahme über Windows Servicing, OEM-Firmware und UEFI-Anbieter hinweg, um Risiko und Unterbrechungen zu minimieren.

Breite OEM-Bereitschaft (insbesondere neuere Geräte)

• Viele PCs, die seit 2024 gebaut wurden – und nahezu alle Geräte, die 2025 ausgeliefert wurden – enthalten die aktualisierten Zertifikate bereits.
• Für eine kleinere Teilmenge von Geräten im Markt kann das Anwenden der neuen Zertifikate zunächst ein OEM-Firmware-Update erfordern.

Bessere Transparenz und gestaffelter Rollout

• Microsoft führt die Änderung in einem vorsichtigen, stufenweisen Ansatz ein, der auf Tests und Telemetrie-basierter Bereitschaft basiert.
• Statushinweise zu Zertifikatsupdates werden in den kommenden Monaten in der Windows Security-App erwartet, um Nutzerinnen und Nutzern das Nachverfolgen des Fortschritts zu erleichtern.

Auswirkungen auf IT-Administratoren und Endanwender

Wenn Geräte die neuen Zertifikate nicht rechtzeitig erhalten

• Geräte werden voraussichtlich weiterhin funktionieren und vorhandene Software wird weiter laufen.
• Sie geraten jedoch in einen Zustand mit eingeschränkter Sicherheit und können möglicherweise keine zukünftigen Mitigations auf Boot-Ebene erhalten (z. B. wenn neue Boot-Schwachstellen entdeckt werden).
• Mit der Zeit steigen Kompatibilitätsrisiken: Neuere OS-/Firmware-/Hardware-Versionen oder von Secure Boot abhängige Software könnten nicht mehr laden.

Nicht unterstützte Windows-Versionen sind ein zentrales Risiko

• Geräte auf nicht unterstützten Versionen (insbesondere Windows 10 nach Supportende am 14. Okt. 2025, sofern nicht in ESU eingeschrieben) erhalten die Updates nicht über Windows Update.
• Diese Endpoints sollten als prioritäre Remediation-Themen behandelt werden (Upgrade/Austausch oder ESU-Berechtigung und Update-Strategie sicherstellen).

Empfohlene Maßnahmen / nächste Schritte

1. Inventarisieren und Umfang definieren
   • Identifizieren Sie alle Windows- und Windows Server-Endpoints im Scope, einschließlich Kiosk-Systemen, spezialisierten Servern sowie IoT-/Edge-Geräten, die möglicherweise ein atypisches Servicing haben.
2. Servicing-Pfad validieren
   • Bestätigen Sie, dass Geräte die aktuellen monatlichen kumulativen Updates erhalten (wo zutreffend Microsoft-verwaltet).
   • Stellen Sie sicher, dass Diagnose-/Telemetrie-Anforderungen, die für die Bereitschaftsvalidierung genutzt werden, mit den Richtlinien Ihrer Organisation übereinstimmen.
3. Firmware-Bereitschaft prüfen
   • Prüfen Sie proaktiv OEM-Hinweise und Support-Seiten (Dell/HP/Lenovo und andere) und planen Sie erforderliche UEFI-/Firmware-Updates ein.
   • Pilotieren Sie Firmware-Updates auf repräsentativen Hardware-Modellen, bevor Sie breit ausrollen.
4. Ausnahmen einplanen
   • Für Geräte, die über Microsofts gestaffelten Ansatz nicht verlässlich validiert werden, nutzen Sie die Guidance aus dem Microsoft IT administrator playbook sowie Ihre vorhandenen Tools (Intune, Configuration Manager oder Drittanbieter), um zu verteilen und zu überwachen.
5. Support-Runbooks vorbereiten
   • Erstmaßnahmen: aktuelle Windows-Updates installieren, neueste OEM-Firmware verifizieren, anschließend bei anhaltenden Problemen über Microsoft-/OEM-Supportkanäle eskalieren.