Am 24. Juni 2026 sind erste Secure Boot-Zertifikate aus 2011 abgelaufen, weitere folgen im Oktober 2026. Geräte können zwar auf die 2023er Secure Boot-Zertifikate aktualisiert werden. Das kann aus diversen Gründen aber scheitern. In einem Supportbeitrag erläutert Microsoft nun auftretende Fehlerbilder fehlendem oder unvollständigem Zertifikatsupdate.
Auslaufende Secure Boot-Zertifikate
Zum 24. Juni 2026 sind die ersten Secure Boot-Zertifikate, die vor 15 Jahren (2011) für Windows 8-Maschinen ausgestellt wurden, abgelaufen. Microsoft hatte folgende Tabelle mit der Liste der ablaufenden Zertifikate im Techcommunity-Beitrag Act now: Secure Boot certificates expire in June 2026 veröffentlicht.
Seit vielen Monaten wies Microsoft auf diesen Sachverhalt hin und versuchte die Secure Boot-Zertifikate per Windows Update zu aktualisieren. Je nach Mainboard und UEFI-Firmware-Version klappten diese Zertifikatsupdates mehr oder weniger gut. Ich habe hier im Blog seit geraumer Zeit auf diese Thema hingewiesen (siehe Links am Artikelende).
Microsoft erklärt Fehlerbilder bei fehlender Aktualisierung
Windows-Maschinen werden auch nach dem Ablauf der Secure Boot-Zertifikate starten, sagt zumindest Microsoft. Hier die Kernaussagen von Microsoft dazu:
- Das Gerät lässt sich weiterhin wie gewohnt starten.
- Windows-Updates – Funktions- und Qualitätsupdates, einschließlich der monatlichen Sicherheitsupdates – werden weiterhin installiert.
- Alltägliche Aufgaben wie die Nutzung von Apps, die Netzwerkverbindung und das Surfen im Internet bleiben unverändert.
- Secure Boot bleibt aktiviert und bietet weiterhin Schutz vor bereits bekannten Bedrohungen.
Aber diese Maschinen bekommen dann keine Sicherheitsfixes mehr, die sich auf den Secure Boot-Vorgang beziehen.
- Neue Schutzmaßnahmen für Secure Boot und den Boot-Manager können nicht angewendet werden.
- Neu entdeckte schädliche oder anfällige Bootloader werden möglicherweise nicht blockiert.
- Einige Komponenten von Drittanbietern, die auf Microsoft Secure Boot und entsprechende Zertifikate angewiesen sind, können möglicherweise nicht aktualisiert werden.
Zudem können sich diverse Fehlerbilder bei diesen Maschinen zeigen. In einigen Fällen zeigt "Windows-Sicherheit" an, dass Zertifikatsaktualisierungen für Secure Boot vorübergehend ausgesetzt oder blockiert sind.
- Die obige Meldung signalisiert, dass ein Firmware-Update erforderlich ist, jedoch möglicherweise noch nicht zur Verfügung steht. Die Geräte dieser Gruppe sind von einem bekannten Problem betroffen, weshalb kein UEFI-Zertifikat aktualisiert werden kann. Sobald eine Aktualisierung verfügbar ist, wird das Firmware-Update über den Standard-Updatekanal des Gerätehersteller (OEM) veröffentlicht und installiert.
- Die nachfolgende Meldung gibt an, dass die vorhandene Hardware vom OEM nicht mehr unterstützt wird, oder der OEM-Hersteller nicht mehr in der Lage ist, die erforderlichen Firmware-Updates bereitzustellen, um die Secure-Boot-Vertrauenskonfiguration des Geräts zu aktualisieren.
Microsoft hat im Supportbeitrag If you're prevented from updating Secure Boot certificates vom 29. Juni 2026 detaillierter beschrieben, warum bestimmte Maschinen kein vollständiges Secure Boot-Update erhalten haben und wie sich das dann auswirkt bzw. welche der obigen Meldungen unter "Windows-Sicherheit" angezeigt werden.
Die Kollegen von deskmodder.de haben hier eine kompakte Darstellung der möglichen Fehlermeldungen und Probleme veröffentlicht.
Ähnliche Artikel:
Microsofts UEFI Secure Boot-Zertifikat läuft im Juni 2026 ab
Achtung: Microsofts UEFI Zertifikat läuft am 19. Okt. 2026 aus – Secure Boot betroffen
Windows 10: Chaos beim Austausch neuer Secure Boot-Keys?
Windows Januar 2026 Update tauscht Secure Boot Zertifikate
FAQ und Script zur Secure Boot-Absicherung gegen CVE-2023-24932 (Black Lotus)
Windows und das (BlackLotus) Secure Boot-Desaster: Wie ist bei euch der Status?
Was passiert, wenn im Juni 2026 Windows Secure Boot-Zertifikate auslaufen?
Windows Server für Secure Boot-Zertifikat-Updates vorbereiten
Windows Secure Boot und der Zertifikatswechsel: Microsoft Video-Session
Secure Boot-Zertifikatswechsel: Ein Playbook von Microsoft – Teil 1
Secure Boot-Zertifikatswechsel: Es gibt Hürden beim Austausch – Teil 2
Windows Secure Boot News-Splitter (Mai 2026): Sample Secure Boot E2E Automation Guide
Microsoft-Hinweise zu Secure Boot-Zertifikate-Updates für Linux- und Azure-VMs
Secure Boot-Zertifikate laufen am 24. Juni 2026 ab: Nutzererfahrungen mit HP …
MVP: 2013 – 2016
Also alles super alles wurscht. Der ganze Dam Dam umsonst. Man hätte doch in der Logik erwartet, dass wenn das Zeritifkat abgelaufen ist, ein Booten unterbunden wird. Aber scheinbar nicht. Also wieder mal irgendeine Pseudeo Security um den User zu gängeln.
Das war von Anfang an klar, dass der Bootvorgang weiterhin möglich ist.
Es war auch klar, dass der Großteil der User nicht eigenständig aktiv schon gar nicht ohne klar verständliche Handlungsanweisung was zu tun ist bzw. dass viele OEMs keine alten Geräte patchen, die nicht mehr verkauft werden (von den ganzen DIY PCs einmal ganz zu schweigen).
Realistische Konsequenzen: Wer keine aktuellen SecureBoot Zertifikate hat wird womöglich irgendwann von zukünftigen Windows Updates (z.B. Windows 12 in 5 Jahren) ausgeschlossen werden so wie damals die Win 10 Rechner mit alter CPU.
Alle meine PC´s und Laptops (über 20) haben mittlerweile dieses Zertifikats Update erfolgreich durchlaufen.
Jedoch nicht, weil Microsoft dabei hilfreich war sondern weil es hier und im Netz eine ganze Reihe hilfreiche Seiten dazu gab und gibt. Nochmals vielen Dank dafür !!!
Denn nicht bei jedem PC bzw. Laptop klappt das automatisch.
Sowieso bei all den PC´s, die eh laut Aussage von Microsoft nicht für Windows 11 geeignet sind: DELL Optiplex Reihe u.v.a.
Und doch klappt das auch bei solchen alten Kisten. Mitunter muss man eben im UEFI BIOS die Datenbanken (PK, KEK, DB und DBX) manuell mit Standardfiles aktualisieren. Auch das geht!
Ergebnis: alle diese alten Geräte machen jetzt keine Probleme mehr bei den Windows Updates.
Und ganz alte Kisten ohne UEFI BIOS können immer noch auf Windows 11 23H2 zurückgreifen. Und auch das lässt sich manuell weiter aktualisieren.
Gibt es denn nun endlich ein endusertaugliches Tool
um das beliebte Rätselraten (bin ich wirklich auf compliancekonformen Stand)
zu beenden?
Eine andere Sache, hat jemand das Problem das Outlook Classic (Office 365 Enterprise) beim rechts klick abstürzt?
Ist gerade im Blog Outlook Classic (v2605, Build 20026.20182): Crash bei der Anzeige des Kontextmenüs