Am 19. Oktober 2026, in acht Tagen, läuft das letzte der Secure-Boot-Zertifikate ab, die Microsoft 2011 ausgestellt hat: dasjenige, das das Startprogramm von Windows selbst signiert. Ein PC, der die neuen Zertifikate von 2023 nicht erhalten hat, funktioniert weiter und installiert weiterhin die regulären Windows-Updates, aber laut Microsoft erreichen ihn keine neuen Korrekturen für Schwachstellen in der Startphase mehr. Für die Prüfung braucht es keinen Spezialisten: Öffnen Sie auf jedem PC die App Windows-Sicherheit, gehen Sie zu Gerätesicherheit, dann zu Sicherer Start, und lesen Sie die Meldung, nicht nur die Farbe des Symbols.

Was genau läuft ab, und wann?

Secure Boot (Sicherer Start) ist eine Firmware-Funktion, die Microsoft mit Windows 8 eingeführt hat. Beim Einschalten des Geräts prüft sie, ob jedes Programm, das vor Windows läuft, von einer vertrauenswürdigen Stelle signiert ist. So wird Schadsoftware blockiert, die sich in der Startphase einnistet (Bootkits). Diese Prüfung stützt sich auf digitale Zertifikate, die auf dem Gerät gespeichert sind, alle 2011 ausgestellt und alle mit einem Ablaufdatum. Laut der offiziellen Microsoft-Seite zu den ablaufenden Zertifikaten:

Altes ZertifikatAblaufdatumAufgabe
Microsoft Corporation KEK CA 201124. Juni 2026Signiert Updates der Listen erlaubter und gesperrter Startprogramme
Microsoft UEFI CA 201127. Juni 2026Signiert Startlader von Drittanbietern und die Firmware von Erweiterungskarten
Microsoft Windows Production PCA 201119. Oktober 2026Signiert das Startprogramm von Windows

Zwei sind also im Juni abgelaufen, und das dritte, das für Windows-PCs wichtigste, läuft in einer Woche ab. Die Nachfolger stammen von 2023, und ihre Dateien werden seit dem 13. Mai 2025 mit den kumulativen Updates ausgeliefert. Dass sie in einem Update enthalten sind, heißt aber nicht, dass sie auf das Gerät geschrieben wurden: Microsoft wendet sie auf vielen Geräten automatisch an, während andere einen Schritt der IT-Abteilung oder ein Firmware-Update des Herstellers brauchen.

Was passiert mit einem PC, der nicht aktualisiert wird?

Er bleibt am 20. Oktober nicht stehen, und Ihre Software fällt nicht aus. Die Microsoft-Seite dazu, was beim Ablauf der Zertifikate passiert, sagt, dass das Gerät normal startet, die regulären Windows-Updates weiterlaufen und Surfen, Apps und Netzwerk unverändert bleiben. Was aufhört, sind:

  • Updates des Windows-Start-Managers (Windows Boot Manager).
  • Updates der Sperrliste, die als gefährlich bekannte Startprogramme blockiert.
  • Korrekturen für neu entdeckte Schwachstellen in der Startkette, einschließlich Gegenmaßnahmen gegen das Umgehen von BitLocker.

Das Risiko zeigt sich nicht am ersten Tag. Es wächst mit jeder nach diesem Datum entdeckten Startschwachstelle, deren Korrektur Ihre Geräte nie erreicht. Diese Lücken sind gerade deshalb ernst, weil Schadsoftware, die vor Windows läuft, auch vor Ihrem Virenschutz läuft.

Wie prüft man einen PC in einer Minute?

Seit April 2026 zeigt die App Windows-Sicherheit den Status der Zertifikate an, laut der Microsoft-Seite zum Update-Status in der App Windows-Sicherheit. Öffnen Sie die App, gehen Sie zu Gerätesicherheit, dann zu Sicherer Start, und lesen Sie die Meldung. Das bedeuten die einzelnen Meldungen:

  • Alle erforderlichen Zertifikatupdates wurden angewendet: Das Gerät ist bereit, es ist nichts zu tun. Microsoft warnt, dass ein grünes Häkchen allein kein Beweis ist, lesen Sie also den Text.
  • Das Gerät verwendet eine ältere Vertrauenskonfiguration, die aktualisiert werden sollte: Installieren Sie die neuesten Windows-Updates, starten Sie neu und sorgen Sie dafür, dass das Gerät online ist.
  • Das Gerät unterstützt das automatische Update aufgrund von Hardware- oder Firmware-Einschränkungen nicht: Sie brauchen ein Update vom Hersteller.
  • Das Gerät kann die erforderlichen Updates für den Windows-Start nicht mehr empfangen: Das alte Zertifikat ist abgelaufen, und das Gerät wurde nie aktualisiert. Das erfordert dringend Aufmerksamkeit.

Wenn jemand in Ihrem Team PowerShell nutzt, gibt der Befehl Confirm-SecureBootUEFI in einem Fenster mit Administratorrechten True zurück, wenn die Funktion eingeschaltet ist. Ist sie ausgeschaltet, fällt das Gerät aus diesem gesamten Update heraus, und laut Microsoft bleibt es Schadsoftware in der Startphase ausgesetzt.

Welche Geräte in Ihrem Unternehmen fallen am ehesten zurück?

Microsoft versucht, die Zertifikate auf den von ihm verwalteten Geräten, die ihm Diagnosedaten senden, automatisch zu aktualisieren, aber seine FAQ-Seite stellt klar, dass letztlich der Kunde verantwortlich ist. In diesen Fällen kommt das Update nicht an, geordnet für ein kleines oder mittleres Unternehmen:

  • Windows-10-PCs ohne erweiterte Sicherheitsupdates (ESU): Laut Microsoft erhalten nur unterstützte Windows-Versionen die neuen Zertifikate. Wie es um diese PCs steht, lesen Sie in unserem Artikel zum Supportende von Windows 10 für Firmen-PCs.
  • Geräte hinter einer Firewall, die Diagnosedaten blockiert: Wenn Ihr Netzwerk verhindert, dass diese Daten Microsoft erreichen, kommt das automatische Update womöglich nie an.
  • Ältere Hardware: Manche Modelle brauchen ein Firmware-Update des Herstellers, das es möglicherweise nur für Geräte gibt, die sich noch im Supportzeitraum befinden. Microsoft sammelt die Herstellerlinks auf einer einzigen Seite.
  • Server und virtuelle Maschinen: Windows Server 2016 bis 2025 gehören zu den abgedeckten Versionen. Eine virtuelle Maschine braucht eine Plattform, die diese Zertifikatupdates unterstützt, etwa Hyper-V, VMware, Azure oder AWS, oder ein Update vom Plattformanbieter.
  • Kassensysteme, Digital-Signage-Bildschirme und Betriebs-PCs: Sie können wochenlang ohne Neustart laufen, und der letzte Schritt des Updates wird erst nach einem Neustart abgeschlossen.

Drei Fehler, die Sie vermeiden sollten

  • Schalten Sie Secure Boot nicht aus, damit die Warnung verschwindet. Laut Microsoft ist das Deaktivieren keine Lösung: Es entfernt die Schutzmechanismen gegen Startschadsoftware und schafft neue Sicherheits- und Compliance-Risiken.
  • Setzen Sie das BIOS nach dem Update nicht auf Werkseinstellungen zurück, es sei denn, der Hersteller hat die Firmware aktualisiert. Wenn Windows bereits auf den mit dem Zertifikat von 2023 signierten Start-Manager umgestellt hat und die Werkseinstellungen diesen nicht enthalten, verweigert der PC den Start und braucht zur Reparatur einen Wiederherstellungs-USB-Stick.
  • Schließen Sie die rote Warnung nicht mit der Schaltfläche zum Akzeptieren des Risikos. Die Option gibt es, und sie erfordert Administratorrechte, aber sie versteckt das Problem, ohne es zu lösen.

Die gute Nachricht: Wer das Datum verpasst, steht nicht vor verschlossener Tür. Laut Microsoft lassen sich die Updates mit den neuen Zertifikaten auch nach dem Ablauf der alten noch einspielen, solange das Gerät startet und Updates annimmt.

Ein Wochenplan vor dem 19. Oktober

  1. Tag 1: Erfassen Sie jedes Windows-Gerät: Desktop-PCs, Laptops, Server, Kassensysteme und virtuelle Maschinen, mit Hersteller, Modell und Windows-Version.
  2. Tag 2 und 3: Prüfen Sie jedes Gerät in der App Windows-Sicherheit, oder lassen Sie die IT den Status automatisch mit dem Verwaltungstool erfassen, das sie bereits nutzt, etwa Intune.
  3. Tag 4: Installieren Sie auf jedem Gerät, das im Rückstand ist, die neuesten Windows-Updates und starten Sie es anschließend neu. Die Update-Aufgabe läuft alle 12 Stunden, und ihr letzter Schritt wartet auf einen Neustart.
  4. Tag 5: Installieren Sie auf Geräten, die melden, dass sie das automatische Update nicht übernehmen können, das Firmware-Update von der Website des Herstellers.
  5. Tag 6 und 7: Notieren Sie, was übrig bleibt: nicht abgedeckte Windows-10-PCs und Hardware außerhalb des Herstellersupports. Diese kommen in Ihren Austauschplan, und wir haben darüber geschrieben, wie man Firmengeräte nach Priorität statt alle auf einmal austauscht.

Die Sicht von Origami

Es ist ein Update, das nie auf dem Bildschirm erscheint und am Arbeitstag nichts verändert, und genau deshalb übersehen es so viele Unternehmen. Ein nicht aktualisiertes Gerät wirkt völlig gesund, und der Unterschied zeigt sich erst, wenn eine neue Startlücke entdeckt wird und ihre Korrektur dieses Gerät nicht erreichen kann. Ein Unternehmen ohne Liste seiner Geräte weiß nicht, welche ungeschützt geblieben sind.

Wenn Ihre Organisation unter die Essential Cybersecurity Controls ECC-2:2024 der Nationalen Cybersicherheitsbehörde (NCA) fällt, die Regierungsstellen, deren Unternehmen und Einrichtungen des Privatsektors abdecken, die kritische nationale Infrastruktur besitzen, betreiben oder hosten, verlangt Kontrolle 2-3-3-3 ein Patch-Management für Systeme, Anwendungen und Geräte, und die NCA empfiehlt allen anderen Organisationen nachdrücklich, dieselben Kontrollen anzuwenden. Ein Gerät, das eine ganze Klasse von Korrekturen nicht mehr erhält, ist eine Lücke in diesem Patch-Management, auch wenn alle anderen Updates planmäßig laufen.

Fazit

Sie haben bis zum 19. Oktober 2026 Zeit, um sicherzustellen, dass jedes Windows-Gerät in Ihrem Unternehmen die Zertifikate von 2023 trägt. Öffnen Sie auf jedem Gerät die App Windows-Sicherheit und lesen Sie die Meldung, installieren Sie Updates und starten Sie neu, holen Sie sich wo nötig das Firmware-Update und schalten Sie Secure Boot niemals aus. Was sich nicht aktualisieren lässt, kommt in den Austauschplan. Wenn Sie jemanden brauchen, der Ihre Geräte inventarisiert und ihren Status verfolgt, nehmen Sie Kontakt auf.

Quellen