Am 19. Oktober 2026 verliert ein zentraler Sicherheitsbaustein für Windows-Systeme seine Gültigkeit: Das im Jahr 2011 ausgestellte Secure-Boot-Zertifikat „Microsoft Windows Production PCA 2011″ läuft an diesem Datum ab.
Das Zertifikat dient der kryptografischen Signierung des Windows Boot Managers und stellt sicher, dass während des Systemstarts nur vertrauenswürdiger Code ausgeführt wird. Als Nachfolger steht das neuere Zertifikat „Windows UEFI CA 2023″ bereit.
Auswirkungen auf Rechner ohne aktualisierte Zertifikate
Systeme, die bis zum Stichtag nicht auf den neuen Signatursatz migriert wurden, bleiben weiterhin startfähig, verlieren jedoch wesentliche Sicherheitsfunktionen.
Wer sich mit den aktuellen Sicherheitsanforderungen von Microsoft befasst, steht oft vor technischen Hürden, besonders bei älterer Hardware. Dieser kostenlose Ratgeber zeigt Ihnen einen legalen Weg, wie Sie modernste Sicherheitsstandards und neue Betriebssystem-Versionen auch ohne teure Hardware-Neukäufe nutzen können. Upgrade-Anleitung trotz Inkompatibilität kostenlos herunterladen
Laut Microsoft starten betroffene PCs normal, erhalten jedoch keine neuen Schutzmittel und Sicherheitsupdates mehr für die Startphase. Dies betrifft Aktualisierungen für den Boot Manager sowie die Secure-Boot-Datenbanken DB und DBX, in denen zulässige und gesperrte Signaturen gepflegt werden.
Ohne diese Anpassungen können neu entdeckte Schwachstellen im Bootprozess künftig nicht mehr geschlossen werden. Zudem kann laut Microsoft auch die BitLocker-Laufwerksverschlüsselung auf nicht migrierten Geräten beeinträchtigt werden. Nutzer des Betriebssystems Windows 10 erhalten die neuen Zertifikate zudem ausschließlich im Rahmen des Programms für erweiterte Sicherheitsupdates (ESU).
Statusprüfung in den Windows-Einstellungen
Anwender können den aktuellen Absicherungsstatus direkt im Betriebssystem überprüfen. Der entsprechende Bereich findet sich unter Windows-Sicherheit in der Kategorie Gerätesicherheit beim Menüpunkt Secure Boot. Ein dort angezeigter grüner Haken allein reicht für die Entwarnung allerdings nicht aus; ausschlaggebend ist die begleitende Textmeldung.
Wird der Status gelb oder rot angezeigt, deutet dies unter anderem auf ein ausstehendes Update, ein veraltetes Legacy-BIOS oder eine fehlende Firmware-Aktualisierung hin. Microsoft weist darauf hin, dass Secure Boot auf den Geräten keinesfalls deaktiviert werden soll.
Fehlerquellen bei älterer Firmware und Handlungsoptionen
Die Umstellung verläuft nicht auf allen Plattformen problemlos. Insbesondere auf Systemen mit älterer UEFI-Firmware kann das Secure-Boot-Update fehlschlagen. Das System versucht die Installation daraufhin wiederholt auszuführen, was die verfügbaren Hardwareressourcen überlasten und das Gerät vollständig einfrieren lassen kann. Nutzern bleibt in einem solchen Fall nur ein Zwangsneustart der Hardware.
Technische Probleme beim Einspielen von Sicherheits-Patches oder System-Updates können den PC-Alltag massiv beeinträchtigen. Ein erfahrener IT-Experte hat einen speziellen Leitfaden entwickelt, mit dem Sie typische Windows-Fehler ohne teuren Techniker und ohne Datenverlust selbst beheben können. Erste Hilfe für Windows-Probleme jetzt gratis sichern
Als vermutete Ursache für dieses Verhalten gilt die Windows-eigene automatische Aufgabe zur Aktualisierung der Zertifikatsdatenbank. Microsoft hat diesen Mechanismus bislang nicht offiziell als direkte Ursache bestätigt und bisher keinen offiziellen Software-Fix bereitgestellt.
Vor diesem Hintergrund wird Betroffenen empfohlen, das entsprechende Update vorerst zurückzuhalten oder den Hardwarehersteller um eine Aktualisierung der UEFI-Firmware zu bitten.
Einzelne Anwender umgehen das Einfrieren des Rechners vorübergehend, indem sie die verantwortliche Update-Aufgabe deaktivieren. Dieser Schritt birgt jedoch den Nachteil, dass das System künftig von weiteren Sicherheitsupdates für die Secure-Boot-Zertifikate abgeschnitten bleibt.