Secure Boot Zertifikate: Ablauf, Risiken und notwendige Updates für Windows

Im Juni 2026 laufen die wichtigsten Sicherheitszertifikate für Secure Boot ab. Dieser Termin hat direkte Auswirkungen auf die Sicherheit von Windows-Systemen, weil veraltete Zertifikate das Risiko von Bootkits und anderen Malware-Angriffen erhöhen. Ohne ein rechtzeitiges Update bleibt das System zwar startfähig, erhält jedoch keine Sicherheitsupdates mehr für den Start-Manager und die Secure-Boot-Komponenten. Deshalb ist es entscheidend, die Ablauffrist zu kennen, die eigenen Einstellungen zu prüfen und das Update über Windows Update zu installieren.

Ablauf der Secure Boot Zertifikate und ihre Bedeutung

Secure Boot wurde 2012 zusammen mit Windows 8 eingeführt, die dafür benötigten Zertifikate wurden bereits 2011 signiert. Nach einer Laufzeit von 15 Jahren laufen sie im Juni 2026 ab. Microsoft weist darauf hin, dass veraltete Zertifikate zu fehlenden Sicherheitsupdates führen, was die Systemsicherheit gefährdet. Windows startet zwar weiterhin normal, jedoch werden keine Updates mehr für den Boot-Manager bereitgestellt, wodurch das System anfälliger für Bootkits wird.

Die wichtigsten Punkte im Überblick:

Ablaufdatum: Juni 2026
Betroffene Systeme: geschätzt 200 Millionen Geräte (2026, Quelle S2)
Risiko bei veralteten Zertifikaten: keine Sicherheitsupdates für Secure-Boot-Komponenten
Erforderliche Maßnahme: Windows Update nutzen, um die neuen Zertifikate zu erhalten

Sicherheitsrisiken durch ablaufende Zertifikate

Ein ablaufendes Zertifikat erhöht das Risiko von Bootkits und anderer Malware. Laut Microsoft können fehlende Updates die Angriffsfläche für Schadsoftware erheblich vergrößern. Eine Umfrage aus dem Jahr 2023 zeigt, dass etwa 70 % der Nutzer unsicher über ihre Secure-Boot-Einstellungen sind. Diese Unsicherheit trägt zusätzlich zum Risiko bei, weil viele Nutzer nicht wissen, ob ihre Systeme bereits aktualisiert wurden.

Steigendes Risiko für Bootkits
Verlust von Sicherheitsupdates für den Start-Manager
70 % der Nutzer haben Unsicherheiten über Secure-Boot (2023)

Vorbereitung auf das Update

Microsoft empfiehlt, Diagnosedaten zu teilen, um sicherzustellen, dass die automatischen Updates rechtzeitig installiert werden. Blockieren Nutzer jedoch Telemetriedaten – etwa durch Datenschutz-Tools oder Firewalls – kann die Update-Automatik behindert werden. Rund 30 % der Windows-Nutzer blockieren Telemetriedaten (2023), was die Installation der neuen Zertifikate gefährden kann.

Wichtige Vorbereitungsschritte:

Prüfen, ob Secure Boot im UEFI-Firmware-Setup aktiviert ist oder über msinfo32 den Eintrag „Sicherer Startzustand“ prüfen.
Sicherstellen, dass Diagnosedaten an Microsoft übermittelt werden.
Falls nötig, die Windows-10 ESU-Lizenz über den Zeitraum nach Oktober 2025 hinaus verlängern.
Regelmäßige Installation von Windows-Updates einplanen.

Wie prüfe ich, ob meine Secure Boot Zertifikate aktualisiert sind?

Microsoft stellt einen PowerShell-Befehl bereit, mit dem Sie prüfen können, ob die neuen Zertifikate – „Windows UEFI CA 2023“ – bereits installiert sind:

System.Text.Encoding::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

Wenn der Befehl True zurückgibt, sind die neuen Zertifikate vorhanden. Andernfalls müssen Sie noch warten, bis das Update bis spätestens Juni 2026 eingespielt wurde.

Statistiken und Prognosen

Die aktuelle Lage lässt sich anhand mehrerer Kennzahlen darstellen:

50 % der Systeme sind aktuell gesichert (2023, Quelle S1).
70 % der Nutzer sind unsicher über ihre Secure-Boot-Einstellungen (2023).
30 % blockieren Telemetriedaten, was das Update gefährden kann (2023).
Erwartet werden 200 Millionen Geräte, die bis 2026 von ablaufenden Zertifikaten betroffen sein könnten (Quelle S2).

Herausforderungen bei der Update-Implementierung

Nicht alle Systeme erhalten das Update rechtzeitig. Gründe dafür können sein:

Fehlerhafte Firmware, die das Update blockiert.
Blockierte Diagnosedaten durch Firewalls oder Datenschutz-Tools.
Veraltete Windows-Versionen, die nicht mehr automatisch unterstützt werden.

Diese Faktoren können zu einer größeren Sicherheitslücke führen, insbesondere bei älteren Geräten, die bereits heute noch rund 70 % der Nutzer ausmachen.

Fazit

Der bevorstehende Ablauf der Secure-Boot-Zertifikate im Juni 2026 stellt ein kritisches Sicherheitsereignis für Windows-Nutzer dar. Ohne das Update bleiben Systeme zwar startfähig, erhalten jedoch keine Schutz-Updates mehr, was das Risiko von Bootkits deutlich erhöht. Nutzer sollten daher:

Den Status von Secure Boot prüfen (UEFI-Firmware oder msinfo32 ).
Sicherstellen, dass Diagnosedaten an Microsoft gesendet werden.
Den PowerShell-Befehl ausführen, um die Installation der „Windows UEFI CA 2023“-Zertifikate zu verifizieren.
Regelmäßig Windows-Updates installieren und bei Bedarf die ESU-Lizenz verlängern.

Durch proaktive Maßnahmen können Sie das Risiko von Sicherheitslücken minimieren und Ihr System bis zum Stichtag im Juni 2026 und darüber hinaus schützen.

FAQ

Wie überprüfe ich, ob meine Secure Boot Zertifikate aktualisiert sind?

Sie können den folgenden PowerShell-Befehl verwenden, um festzustellen, ob die „Windows UEFI CA 2023“-Zertifikate installiert sind:

System.Text.Encoding::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

Gibt der Befehl True zurück, sind die neuen Zertifikate bereits vorhanden. Bei False sollten Sie sicherstellen, dass Windows Update aktiv ist und Diagnosedaten an Microsoft gesendet werden.

Was passiert, wenn ich das Update bis Juni 2026 nicht installiere?

Das System startet weiterhin, jedoch werden keine Sicherheitsupdates mehr für den Secure-Boot-Start-Manager bereitgestellt. Das erhöht das Risiko von Bootkits und anderen Malware-Angriffen.

Warum ist das Teilen von Diagnosedaten wichtig?

Microsoft nutzt die Diagnosedaten, um sicherzustellen, dass das Update für die neuen Zertifikate an Ihr System ausgeliefert wird. Blockieren Sie diese Daten (ca. 30 % der Nutzer), kann das Update nicht automatisch installiert werden.

Wie kann ich feststellen, ob Secure Boot auf meinem Gerät aktiviert ist?

Öffnen Sie das UEFI-Setup beim Systemstart oder drücken Sie Windows + R, geben Sie msinfo32 ein und suchen Sie den Eintrag „Sicherer Startzustand“. Der Wert sollte „Ein“ sein.