Microsoft hat in seiner technischen Dokumentation dargelegt, warum Windows-Rechner trotz regulär eingespielter Systemupdates und der laufenden Umstellung von Zertifikaten aus dem Jahr 2011 auf die Generation von 2023 veraltete Secure-Boot-Zertifikate beibehalten können.
Als wesentliche Ursachen für diesen Zustand nennt das Unternehmen inkompatible Systemfirmware, fehlende Schlüssel der jeweiligen Hardwarehersteller sowie unvollständige oder unterbrochene Aktualisierungsvorgänge.
Für die schrittweise Umstellung nutzt Windows eine geplante Systemaufgabe unter dem Pfad MicrosoftWindowsPISecure-Boot-Update. Dieser Prozess wird beim Systemstart sowie im Abstand von jeweils 12 Stunden ausgeführt. Ob die neuen Zertifikate greifen, lässt sich über den Registrierungswert UEFICA2023Status = Updated sowie über die Windows-Ereignis-IDs 1801 und 1795 nachvollziehen.
Das Bordwerkzeug msinfo32 gibt hingegen lediglich Aufschluss über den allgemeinen Aktivierungsstatus der Sicherheitsfunktion, nicht aber über den konkreten Zertifikatsstand. Vor einem manuellen Zurücksetzen der Secure-Boot-Schlüssel warnt Microsoft ausdrücklich, da ein solcher Eingriff den Start des Betriebssystems vollständig verhindern kann.
Manuelle Schritte und Risiken bei der Systembereinigung
Laut der Microsoft-Dokumentation zum Update KB5025885 reicht das reine Einspielen von Aktualisierungen oft nicht aus. Erforderlich seien zusätzlich eine sorgfältige Wirkungsanalyse und der explizite Widerruf älterer Signaturen. Dabei besteht die Gefahr, dass ältere Boot- und Wiederherstellungsmedien unbrauchbar werden.
Windows-Updates und Sicherheitskonfigurationen können selbst erfahrene Nutzer vor große Herausforderungen stellen. Dieser kostenlose Report zeigt Ihnen, wie Sie typische Fehler vermeiden und Ihr System ohne IT-Techniker stabil halten. 5 häufige Windows-Fehler sofort selbst beheben
Ein konkretes Datum für eine verbindliche Umsetzungsphase, in der der Widerruf automatisch erzwungen wird, nennt Microsoft bislang nicht. Der Konzern kündigte jedoch an, betroffene Administratoren mindestens sechs Monate vor einem solchen Schritt zu warnen.
Zudem wies Microsoft darauf hin, dass Schädlinge wie Bootkits für eine erfolgreiche Ausführung zwingend Administratorrechte oder physischen Zugriff auf das Gerät voraussetzen.
Wie IT-Sicherheitsanalysten von Kaspersky am 22. Oktober 2026 berichteten, birgt die verzögerte Bereinigung reale Risiken. Sie verwiesen auf das UEFI-Bootkit BlackX, das Anfang 2026 bei gezielten Angriffen auf diplomatische Vertretungen in Tadschikistan, Usbekistan und Turkmenistan eingesetzt worden war.
Die Schadsoftware konnte Secure Boot auf voll gepatchten Systemen umgehen. Der Grund: Ein Microsoft-Fix aus dem Jahr 2022 für die Schwachstelle CVE-2022-21894 widerrief das betroffene Zertifikat „Windows Production PCA 2011“ nicht automatisch.
Administratoren müssen dafür manuell einen Eintrag unter HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecureboot setzen und die Aktualisierungsaufgabe ausführen, damit das Zertifikat nicht weiter als vertrauenswürdig eingestuft wird.
Wer die Sicherheit seines Betriebssystems verbessern möchte, findet in der Expertise langjähriger IT-Profis wertvolle Unterstützung. Erfahren Sie in diesem Gratis-Leitfaden, wie Sie komplexe Update-Fehler und Systemprobleme in wenigen Minuten lösen. Kostenlosen Windows-Sicherheits-Report herunterladen
Zertifikatsablauf erfordert explizite Sperrung
Dieser Schritt blieb laut den Sicherheitsanalysten bewusst manuell, um Ausfälle auf Systemen mit parallelen Betriebssystemen zu vermeiden. Zwar ist das Zertifikat „Windows Production PCA 2011“ am 19. Oktober 2026 regulär abgelaufen, doch verhindert dieser Ablauf allein nicht das Laden anfälliger Systemdateien.
Ohne einen expliziten Eintrag in der Sperrliste der Firmware, der sogenannten DBX-Blocklist, werden potenziell verwundbare Startdateien weiterhin ausgeführt. Auch bei früheren Sicherheitsaktualisierungen, wie etwa bei ToolShell im Jahr 2025, war bereits ein manuelles Eingreifen erforderlich gewesen.
Kaspersky ordnet BlackX mit mittlerer Konfidenz der Hackergruppe APT41 zu, die auch unter Bezeichnungen wie Brass Typhoon, Wicked Panda oder Barium bekannt ist. Die Angreifer nutzten das Bootkit zur langfristigen Verankerung, nachdem sie bereits über Administratorrechte im Netzwerk verfügten.
IT-Sicherheitsexperten empfehlen Unternehmen, nicht allein den Patch-Status der Rechner abzufragen, sondern den tatsächlichen Widerrufstatus von Zertifikaten zu kontrollieren und Notfallpläne auf Firmware-Persistenz abzustimmen.
Für Privatanwender bestehe derweil kein akuter Handlungsbedarf, da Angriffe meist gezielt auf hochrangige Ziele gerichtet seien. Organisationen sollten bestehende Secure-Boot-Richtlinien dennoch zeitnah evaluieren und zugleich ihre Wiederherstellungsmedien aktualisieren.