Microsoft schlägt Alarm: Probleme mit Secure-Boot-Zertifikat nach Update möglich

28.06.2025 04:10 Uhr Melanie Vogel

Redmond. Ab Juni 2026 droht tausenden Windows-Geräten weltweit eine böse Überraschung: Das Auslaufen alter Secure-Boot-Zertifikate gefährdet die Startfähigkeit vieler Computer. Microsoft warnt eindringlich vor dieser Umstellung – und dennoch scheint die Dringlichkeit vielerorts noch unterschätzt zu werden.

Was hinter dem Secure-Boot-Zertifikatswechsel steckt

Grundprinzip von Secure Boot

Secure Boot ist ein integraler Bestandteil moderner Windows-Systeme seit der Einführung von Windows 8. Es schützt den Bootprozess, indem nur signierte und verifizierte Softwarekomponenten geladen werden dürfen. Dies verhindert, dass sich Schadsoftware wie Rootkits oder Bootkits bereits vor dem Start des Betriebssystems einnisten kann. Die Grundlage dieses Sicherheitsmechanismus sind digitale Zertifikate. Diese stammen bisher häufig aus dem Jahr 2011 – und genau diese laufen im Juni 2026 endgültig ab. Die Konsequenz: Geräte, die bis dahin nicht aktualisiert wurden, könnten nicht mehr korrekt starten.

Neue Zertifikate aus dem Jahr 2023

Microsoft hat 2023 damit begonnen, neue Zertifikate zu verteilen. Diese ersetzen die alten Schlüssel in der Secure-Boot-Kette und werden über Windows-Updates eingespielt – allerdings nur, wenn bestimmte Voraussetzungen erfüllt sind. Dazu zählt unter anderem, dass Secure Boot aktiviert ist und das System diagnostische Daten senden darf.

Welche Systeme sind betroffen?

Breite Gerätepalette

Betroffen sind nahezu alle Geräte, die zwischen 2012 und 2023 ausgeliefert wurden – also ein Großteil der weltweit genutzten Windows-PCs, Notebooks, Server und virtuellen Maschinen. Die einzigen Ausnahmen bilden moderne Copilot+-PCs sowie bestimmte Serverkonfigurationen mit aktuellen Firmware-Versionen. Auch Dual-Boot-Systeme mit Linux sind gefährdet. Die neue Zertifikatskette betrifft nämlich auch den Bootloader, den viele Linux-Nutzer anpassen. Ohne Update der Signatur könnte das System nicht mehr starten.

DIY-PCs und ältere Hardware

Ein besonders hohes Risiko besteht bei selbstgebauten PCs und Geräten mit älteren Mainboards. Diese erhalten häufig keine aktuellen UEFI- oder BIOS-Updates vom Hersteller. In Foren wie Reddit wird bereits diskutiert, ob viele dieser Systeme nach dem Stichtag im Jahr 2026 überhaupt noch nutzbar sein werden. Ein Nutzer schrieb dazu: „Newly built PCs 'bricked' in 2026 due to Secure Boot certificate expiration?“ Die Community reagierte mit Sorge – und teils mit Frust.

Die technischen Hintergründe im Detail

So ist die Zertifikatsstruktur aufgebaut

Die Secure-Boot-Technologie basiert auf einer hierarchischen Kette digitaler Signaturen:

Schlüsseltyp	Beschreibung
PK (Platform Key)	Oberste Vertrauensinstanz. Gibt Kontrolle über das Secure-Boot-System.
KEK (Key Exchange Key)	Erlaubt das Aktualisieren von DB und DBX-Zertifikaten.
DB (Allowed Signature Database)	Liste gültiger Zertifikate für signierte Bootsoftware.
DBX (Revoked Signature Database)	Sperrliste kompromittierter oder zurückgezogener Zertifikate.

Wenn einer dieser Schlüssel abläuft oder nicht aktualisiert wird, verweigert das System unter Umständen das Starten neuer Software – selbst bei intaktem Betriebssystem.

Firmware als kritischer Faktor

Das Windows-Update allein reicht nicht aus. Die Firmware des jeweiligen Geräts muss mitspielen – und das bedeutet: Das BIOS bzw. UEFI muss in der Lage sein, die neuen Zertifikate zu erkennen und korrekt zu validieren. Vor allem bei älteren Mainboards oder Systemen ohne aktiven Herstellersupport ist das nicht gegeben. Ein Update auf das neue Zertifikat kann dann sogar dazu führen, dass das System unbrauchbar wird – sogenannte „Bricks“ sind die Folge.

Risiken bei Nichtbeachtung

Bootprobleme

Geräte, die nach Juni 2026 mit veralteten Zertifikaten betrieben werden, können möglicherweise nicht mehr starten. Nutzer erhalten Fehlermeldungen im Bootprozess oder bleiben im BIOS hängen. Besonders kritisch ist dies für Unternehmen mit vielen Endgeräten. Ohne zentral gesteuertes Update-Management drohen hohe Ausfallzeiten, Produktivitätsverluste und erheblicher Supportaufwand.

Sicherheitslücken

Veraltete Zertifikate sind nicht nur ein technisches Problem, sondern auch ein Sicherheitsrisiko. Angreifer könnten bekannte Schwachstellen ausnutzen, um Schadsoftware in den Bootprozess einzuschleusen – vorbei an Antivirenprogrammen und Firewalls. Ein prominentes Beispiel ist das Bootkit „BlackLotus“, das sich 2023 die Signatur eines alten, aber gültigen Microsoft-Zertifikats zunutze machte. Obwohl die Lücke inzwischen geschlossen wurde, zeigte sie die Schwachstellen veralteter Signaturen deutlich auf.

Perspektiven aus der Community

Stimmen aus Admin-Foren

In Foren wie r/sysadmin tauschen sich IT-Verantwortliche über Erfahrungen mit dem Zertifikatswechsel aus. Ein Administrator berichtet: „Windows Update alone is not enough – you also need compatible UEFI firmware, otherwise it's game over.“ Ein anderer Nutzer ergänzte: „Replacing the platform keys with your own can end up bricking hardware on some machines…“

Linux-Nutzer unter Zugzwang

Die Linux-Community ist ebenfalls alarmiert. In r/Ubuntu und r/openSUSE finden sich zahlreiche Threads über die Auswirkungen auf GRUB und andere Bootloader. Besonders Nutzer mit Dual-Boot-Konfigurationen müssen die Signaturen ihrer Bootsoftware erneuern – andernfalls droht der Systemstart zu scheitern.

Gamer befürchten Einschränkungen

In Gaming-Foren wird der Verdacht geäußert, dass Microsoft mit der Secure-Boot-Neuerung auch potenziell restriktivere Richtlinien für Spielesoftware, Mods oder Cheats durchsetzen könnte. Einige bezeichnen den Schritt als „aggressively anti-user“.

So sollten Nutzer und Admins jetzt reagieren

Empfehlungen für Privatanwender

Wer Windows privat nutzt, sollte folgende Maßnahmen ergreifen:

Sicherstellen, dass Windows-Updates aktiviert sind
Secure Boot im BIOS aktivieren
Nachsehen, ob der Hersteller Firmware-Updates bereitstellt
BitLocker-Schlüssel vor möglichen UEFI-Änderungen sichern

Checkliste für Unternehmen und IT-Abteilungen

IT-Verantwortliche in Unternehmen sollten frühzeitig einen mehrstufigen Plan zur Zertifikatsmigration umsetzen:

Geräteinventur: Welche Systeme nutzen noch 2011er-Zertifikate?
Firmware prüfen: Gibt es verfügbare Updates vom OEM?
Testphase: Pilot-Systeme mit neuen Zertifikaten ausstatten
Rollout: Flächendeckende Umstellung mit Monitoring
Notfallplan: Alternativen für nicht kompatible Systeme

Besondere Herausforderungen bei bestimmten Systemen

Air-Gapped-Umgebungen

Systeme ohne Internetverbindung – etwa in kritischer Infrastruktur – sind besonders gefährdet. Hier können Windows-Updates nicht automatisch eingespielt werden. Die Verteilung der neuen Zertifikate muss manuell über Wechseldatenträger erfolgen. Fehler bei diesem Prozess sind besonders folgenreich.

Legacy-Hardware ohne OEM-Support

Viele ältere Geräte erhalten keine BIOS-Updates mehr. In solchen Fällen müssen Nutzer entweder das Risiko eingehen, auf Secure Boot zu verzichten – oder die Systeme austauschen.

Manuelle Anpassungen und technische Fallstricke

Wer Plattformschlüssel (PK) oder KEK manuell ersetzt, kann sein System unbrauchbar machen. Ohne tiefgehendes Wissen über UEFI, Zertifikatsketten und signierte Bootprozesse ist von solchen Eingriffen dringend abzuraten.

Jetzt handeln, später profitieren

Die Secure-Boot-Zertifikate aus dem Jahr 2011 laufen unwiderruflich im Juni 2026 ab. Die Folgen betreffen Millionen Geräte weltweit – vom Bürorechner bis zum Heim-PC. Wer die Migration auf die neuen 2023-Zertifikate jetzt plant, verhindert nicht nur Ausfälle, sondern schützt sein System auch vor gefährlichen Sicherheitslücken. Für Admins und Power-User ist jetzt der richtige Zeitpunkt, um Testphasen zu starten, Firmware-Updates einzuspielen und Policies zu überdenken. Für Privatanwender genügt es oft, Updates zuzulassen und den Gerätezustand regelmäßig zu prüfen. Fest steht: Der Wechsel kommt. Wer vorbereitet ist, bleibt arbeitsfähig.

Redaktioneller Hinweis

Verantwortlich

Melanie Vogel

Veröffentlicht

28.06.2025 · 04:10 Uhr

Hinweise zu Fehlern, Ergänzungen oder wichtigen Aktualisierungen können über die im Impressum genannten Kontaktwege eingereicht werden. Bitte nennen Sie dabei nach Möglichkeit die betroffene Beitrags-URL.