Am 24. Juni 2026 sind erste Secure Boot-Zertifikate aus 2011 abgelaufen, weitere folgen im Oktober 2026. Geräte können zwar auf die 2023er Secure Boot-Zertifikate aktualisiert werden. Das kann aus diversen Gründen aber scheitern. In einem Supportbeitrag erläutert Microsoft nun auftretende Fehlerbilder fehlendem oder unvollständigem Zertifikatsupdate.
Auslaufende Secure Boot-Zertifikate
Zum 24. Juni 2026 sind die ersten Secure Boot-Zertifikate, die vor 15 Jahren (2011) für Windows 8-Maschinen ausgestellt wurden, abgelaufen. Microsoft hatte folgende Tabelle mit der Liste der ablaufenden Zertifikate im Techcommunity-Beitrag Act now: Secure Boot certificates expire in June 2026 veröffentlicht.
Seit vielen Monaten wies Microsoft auf diesen Sachverhalt hin und versuchte die Secure Boot-Zertifikate per Windows Update zu aktualisieren. Je nach Mainboard und UEFI-Firmware-Version klappten diese Zertifikatsupdates mehr oder weniger gut. Ich habe hier im Blog seit geraumer Zeit auf diese Thema hingewiesen (siehe Links am Artikelende).
Microsoft erklärt Fehlerbilder bei fehlender Aktualisierung
Windows-Maschinen werden auch nach dem Ablauf der Secure Boot-Zertifikate starten, sagt zumindest Microsoft. Hier die Kernaussagen von Microsoft dazu:
- Das Gerät lässt sich weiterhin wie gewohnt starten.
- Windows-Updates – Funktions- und Qualitätsupdates, einschließlich der monatlichen Sicherheitsupdates – werden weiterhin installiert.
- Alltägliche Aufgaben wie die Nutzung von Apps, die Netzwerkverbindung und das Surfen im Internet bleiben unverändert.
- Secure Boot bleibt aktiviert und bietet weiterhin Schutz vor bereits bekannten Bedrohungen.
Aber diese Maschinen bekommen dann keine Sicherheitsfixes mehr, die sich auf den Secure Boot-Vorgang beziehen.
- Neue Schutzmaßnahmen für Secure Boot und den Boot-Manager können nicht angewendet werden.
- Neu entdeckte schädliche oder anfällige Bootloader werden möglicherweise nicht blockiert.
- Einige Komponenten von Drittanbietern, die auf Microsoft Secure Boot und entsprechende Zertifikate angewiesen sind, können möglicherweise nicht aktualisiert werden.
Zudem können sich diverse Fehlerbilder bei diesen Maschinen zeigen. In einigen Fällen zeigt "Windows-Sicherheit" an, dass Zertifikatsaktualisierungen für Secure Boot vorübergehend ausgesetzt oder blockiert sind.
- Die obige Meldung signalisiert, dass ein Firmware-Update erforderlich ist, jedoch möglicherweise noch nicht zur Verfügung steht. Die Geräte dieser Gruppe sind von einem bekannten Problem betroffen, weshalb kein UEFI-Zertifikat aktualisiert werden kann. Sobald eine Aktualisierung verfügbar ist, wird das Firmware-Update über den Standard-Updatekanal des Gerätehersteller (OEM) veröffentlicht und installiert.
- Die nachfolgende Meldung gibt an, dass die vorhandene Hardware vom OEM nicht mehr unterstützt wird, oder der OEM-Hersteller nicht mehr in der Lage ist, die erforderlichen Firmware-Updates bereitzustellen, um die Secure-Boot-Vertrauenskonfiguration des Geräts zu aktualisieren.
Microsoft hat im Supportbeitrag If you're prevented from updating Secure Boot certificates vom 29. Juni 2026 detaillierter beschrieben, warum bestimmte Maschinen kein vollständiges Secure Boot-Update erhalten haben und wie sich das dann auswirkt bzw. welche der obigen Meldungen unter "Windows-Sicherheit" angezeigt werden.
Die Kollegen von deskmodder.de haben hier eine kompakte Darstellung der möglichen Fehlermeldungen und Probleme veröffentlicht.
Ähnliche Artikel:
Microsofts UEFI Secure Boot-Zertifikat läuft im Juni 2026 ab
Achtung: Microsofts UEFI Zertifikat läuft am 19. Okt. 2026 aus – Secure Boot betroffen
Windows 10: Chaos beim Austausch neuer Secure Boot-Keys?
Windows Januar 2026 Update tauscht Secure Boot Zertifikate
FAQ und Script zur Secure Boot-Absicherung gegen CVE-2023-24932 (Black Lotus)
Windows und das (BlackLotus) Secure Boot-Desaster: Wie ist bei euch der Status?
Was passiert, wenn im Juni 2026 Windows Secure Boot-Zertifikate auslaufen?
Windows Server für Secure Boot-Zertifikat-Updates vorbereiten
Windows Secure Boot und der Zertifikatswechsel: Microsoft Video-Session
Secure Boot-Zertifikatswechsel: Ein Playbook von Microsoft – Teil 1
Secure Boot-Zertifikatswechsel: Es gibt Hürden beim Austausch – Teil 2
Windows Secure Boot News-Splitter (Mai 2026): Sample Secure Boot E2E Automation Guide
Microsoft-Hinweise zu Secure Boot-Zertifikate-Updates für Linux- und Azure-VMs
Secure Boot-Zertifikate laufen am 24. Juni 2026 ab: Nutzererfahrungen mit HP …
MVP: 2013 – 2016
Also alles super alles wurscht. Der ganze Dam Dam umsonst. Man hätte doch in der Logik erwartet, dass wenn das Zeritifkat abgelaufen ist, ein Booten unterbunden wird. Aber scheinbar nicht. Also wieder mal irgendeine Pseudeo Security um den User zu gängeln.
Das war von Anfang an klar, dass der Bootvorgang weiterhin möglich ist.
Es war auch klar, dass der Großteil der User nicht eigenständig aktiv schon gar nicht ohne klar verständliche Handlungsanweisung was zu tun ist bzw. dass viele OEMs keine alten Geräte patchen, die nicht mehr verkauft werden (von den ganzen DIY PCs einmal ganz zu schweigen).
Realistische Konsequenzen: Wer keine aktuellen SecureBoot Zertifikate hat wird womöglich irgendwann von zukünftigen Windows Updates (z.B. Windows 12 in 5 Jahren) ausgeschlossen werden so wie damals die Win 10 Rechner mit alter CPU.
Müsste etwas früher sein, 26h2 soll ein Bootloader enthalten der nur mit den neuen Zertifikaten signiert ist.
26H2 und auch 27H1/27H2 gibt es höchstwahrscheinlich auch mit abgelaufenen Secure Boot Zertifikaten.
Das ist so schlicht und einfach falsch.
Es geht nur darum wie die Standard-ISO bzw. der generierte USB Stick zur Installation signiert ist.
Das betrifft genau zwei Dateien beim Booten.
Will man heute mit dem neuen Zertifikat ohne Abschaltung von SecureBoot ein solches Medium direkt starten muss man zwei Dateien selbst aus dem WIM extrahieren und damit dann ein angepasstes Installationsmedium erstellen.
Künftig werden Standard-Installationsmedien dann mit dem neuen Zertifikat geliefert werden. Braucht man weiterhin ein Installationsmedium mit dem alten Zertifikat muss man sich ab voraussichtlich 26H2 dann das entsprechend selbst erstellen oder zur Installation SecureBoot deaktivieren.
Nach der Installation werden bis mindestens 2032 die installierten Systeme dann auch mit alten Zertifikat booten können. Selbst das gute alte BIOS funktioniert weiter.
Allerdings Win 11 schon seit 24H2 nur noch mit einer CPU die zumindest die POPCNT Instruktion als absolute Mindestvoraussetzung unterstützt.
Win 10 wird sogar weiterhin auf jeder 64 und 32 bit Hardware laufen für die es für Win 10 je Treiber gab. Vorausgesetzt man lässt explizit auch unsichere Treiber zu. Wo und inwieweit dass Sinn macht muss natürlich jeder selbst entscheiden.
Was sich ab spätestens Oktober aber auch ändern wird ist das Zertifikat mit denen die vielen übrigen Dateien von Windows signiert sind.
Dafür wird derzeit das gleiche ab Oktober nicht verwendbare Zertifikat aus 2011 verwendet. Dies gilt für Win 10 wie 11.
Probleme sollte es dadurch aber keine größere geben. Beide werden da nur als Zwischenzertifikat mit gleichem Stammzertifikat verwendet. Dieses gemeinsame Stammzertifikat wird erst 2035 ungültig werden.
Alle meine PC´s und Laptops (über 20) haben mittlerweile dieses Zertifikats Update erfolgreich durchlaufen.
Jedoch nicht, weil Microsoft dabei hilfreich war sondern weil es hier und im Netz eine ganze Reihe hilfreiche Seiten dazu gab und gibt. Nochmals vielen Dank dafür !!!
Denn nicht bei jedem PC bzw. Laptop klappt das automatisch.
Sowieso bei all den PC´s, die eh laut Aussage von Microsoft nicht für Windows 11 geeignet sind: DELL Optiplex Reihe u.v.a.
Und doch klappt das auch bei solchen alten Kisten. Mitunter muss man eben im UEFI BIOS die Datenbanken (PK, KEK, DB und DBX) manuell mit Standardfiles aktualisieren. Auch das geht!
Ergebnis: alle diese alten Geräte machen jetzt keine Probleme mehr bei den Windows Updates.
Und ganz alte Kisten ohne UEFI BIOS können immer noch auf Windows 11 23H2 zurückgreifen. Und auch das lässt sich manuell weiter aktualisieren.
Als selbstständiger IT Dienstleister musst du schauen, dass Umsatz reinkommt.
Mit viel Herzblut mehr Zeit in ein Altgerät stecken, als die Installation eines neuen kostet ist im Rahmen von do IT yourself sicherlich sinnvoll. Als Dienstleister wird man das nicht können, wenn man seine Familie ernähren will.
und wie funktioniert das Alles? Bei meinem relativ neuen(2023) Windows 10 PC(win 11 fähig).fehlen die neuen Zertifikate trotz ESO. Noch klappt alles .
Gibt es denn nun endlich ein endusertaugliches Tool
um das beliebte Rätselraten (bin ich wirklich auf compliancekonformen Stand)
zu beenden?
Sofern Du Windows ab Windows 10 verwendest, sollte das seit dem Mai(?)-Update in Windows Security unter „Device Security" in verständlicher Form angezeigt werden. Das hat MS tatsächlich, wenn auch sehr spät, mal vernünftig gemacht.
Also wenn bei Sicherer Start ein grünes Häkchen steht?
Ja (natürlich NICHT von Micro$oft):
https://www.deskmodder.de/blog/2026/04/28/sioni-secure-boot-zertifikat-pruefer-windows-uefi-ca-2023-mit-einem-tool-testen/
Guten Abend Jens!
Endlich mal eine Super-Info für dieses Dauerproblem.
Habe mal das Sioni Secure Boot Zertifikat Prüfer-Programm
installiert.Praktische GUI,mit allen Logs+PowerShell-Befehle.
Habe einen HP-ENVY 17 Laptop.(2022 Baujahr)
Nach erster Prüfung: Zertifikate fehlen,obwohl BIOS-Update von HP
"Alles O.K."
Zweite Prüfung: Installation anstossen,(Button)
Neustart,Zertifikate vorhanden,Meldung alles o.k
Gebootet hat der Laptop immer.
Windows Update habe ich nur für 11-23H2 gesetzt,wegen der nervigen
Meldung auf 11-höher zu upgraden.Seither RUHE.
Ausserdem hat mein Viren-Scanner die Option: Autostart-Scan.(Manuell)
Das System wird vor dem Start gescannt,also vor dem Boot-Vorgang.
Also habe ich doppelte Sicherheit,manuelle Prüfung+Automatik.
Der Rechner hat ein OEM-UEFI-(HP),wo weder SM BIOS,Type 1,SBK-PFV3 etc.ersichtlich sind.(Wollte nicht unnötig schrauben!)
Warum ist MS nicht fähig solch ein kleines Prüfprogramm an die User
zu senden.Habe mit PowerShell-Befehlen experimentiert,um der Sache auf den Grund zu gehen.Es funktionierte nicht,trotz exakter Eingabe der Syntax.Habe heute am 30.06.mal Bitlocker deaktiviert,vielleicht hat es damit zu tun,aber anscheinend nicht,(Empfehlung:Bitlocker prüfen bei SIONI
Etliche Videos gezogen zur Lösung des Problemes,(PowerShell-Befehle)
Also aus meiner Sicht hat dieses Programm geholfen.Binnen Minuten war das MS-ZERTIFIKATS-PROBLEM erledigt.
Nach dem Download des PRG.Prüfung mittels Viren-Scanner=o.k
Ausführung Sioni: Alles im GRÜNEN BEREICH
Neueste Zertifikate installiert.Hoffentlich ist jetzt Ruhe.
Ich bleibe bei 1123H2,weil ich diese nervigen MS-Probleme satt habe.
Auf meine alte Ersatz-Maschine installiere ich ein LINUX,(zum Austesten)
Windows kenne ich seit 3.11
Eine andere Sache, hat jemand das Problem das Outlook Classic (Office 365 Enterprise) beim rechts klick abstürzt?
Ist gerade im Blog Outlook Classic (v2605, Build 20026.20182): Crash bei der Anzeige des Kontextmenüs
Wirklich hart hat es HP Geräte getroffen, nicht nur, weil dort das Firmware Thema lange den Rollout auf Veranlassung des Herstellers blockiert hat, nein, auch sind viele dieser Geräte in gekapselten Umgebungen im Einsatz. Hier konnte also wohl auch nicht die Logik von Microsoft greifen. Da muss man manuell ran. Firmware und die Zertifikate dort können noch einen Strich durch die Rechnung machen.
Und HP hatte keinen guten Lauf mit Firmwareupdates.
Vorgehen war wohl:
* Hersteller liefert Update über Windowsupdate
* Microsoft liefert Update nur, wenn Confidence hoch ist, dass es funktioniert
In gekapselten Umgebungen hat man bei beiden jetzt manuelle Arbeit.
Die Kritik kann ich nicht teilen, wenn man eine gekapselte Umgebung hat, hat man auch unabhängig von dem Thema SecureBoot Zertifikat mit Updates manuelle Arbeit. Da sollte man so oder so schon ein Offline Patching Worklfow haben mit entsprechenden Tools, darin dann HP Bios oder Windows Updates einzubinden ist kein Hexenwerk.
Z.B. HP Bios Update
Einfach die entsprechende BIOS spxxxxx.exe Datei von der HP Seite passend zum Gerät herunterladen, idealerweise hat man in der Umgebung identische Geräte mit identischen BIOS. Die spxxxxx.exe entpacken (z.B. mit 7-Zip) und schon hat mal alles was man braucht.
Bei einen nicht mit Passwort gesicherten BIOS reicht es dann den Inhalt des Ordners auf das Zielgerät zu kopieren und die HpFirmwareUpdRec64.exe mit dem Paramater -s auszuführen (also HpFirmwareUpdRec64.exe -s). Das Updatetool findet automatisch die Bios Datei (.bin) die mit in dem Ordner liegt. Dann ein Neustart auslösen und voila, das BIOS wird beim Neustart ohne Rückfrage aktualisiert.
Allerdings bietet HP auf seiner öffentlichen Seite nur SecureBoot Bios Updates für PCs mit Win11 Kompatiblen CPUs an, also bei Intel Gen. 8 oder höher. Wer CPUs vorheriger Generationen hat und z.b. Win 10 LTSC einsetzt, muss den HP Support kontaktieren.
Gruß
Meine Lösung: Ventoy https://www.ventoy.net
Ventoy löst das Secure Boot Problem?
Ich dachte immer das sei ein Multiboot-Environment……..
IMHO darf Hardware keine eingebetteten Crypto Keys haben!
Nach CMOS reset solte jeder PC erst ein mal in Setup Mode sein und der Windows Installer, oder auch ein Linux Installer provisionieren und verriegeln das dann. Bis zum nächstem CMOS reset.