Seit Juni 2026 laufen mehrere ältere Secure-Boot-Zertifikate von Microsoft aus. Das betrifft grundsätzlich Millionen Windows-PCs, die noch Zertifikate aus dem Jahr 2011 verwenden. Wer deshalb befürchtet, dass der eigene Rechner plötzlich nicht mehr startet, kann jedoch zunächst beruhigt sein: Ein abgelaufenes Zertifikat legt Windows nicht automatisch lahm.
Microsoft ersetzt die alten Zertifikate schrittweise durch neue Versionen aus dem Jahr 2023. Bei den meisten privaten PCs erfolgt die Aktualisierung automatisch über Windows Update. Trotzdem lohnt es sich, den Secure-Boot-Status unter Windows 11 oder Windows 10 zu kontrollieren.
Warum laufen die Secure-Boot-Zertifikate 2026 ab?
Secure Boot ist ein Sicherheitsmechanismus des UEFI. Beim Start des Computers wird überprüft, ob Bootloader und andere Komponenten mit einem vertrauenswürdigen digitalen Zertifikat signiert wurden.
Dadurch soll verhindert werden, dass sich beispielsweise Schadsoftware bereits vor dem eigentlichen Start von Windows einnistet.
Viele Windows-Geräte verwenden dafür noch Zertifikate, die Microsoft bereits 2011 ausgestellt hat. Diese Zertifikate haben nun das Ende ihrer Gültigkeit erreicht.
Microsoft ersetzt sie deshalb durch eine neue Zertifikatsgeneration aus dem Jahr 2023.
Diese Secure-Boot-Zertifikate sind betroffen
| Altes Zertifikat | Ablaufdatum | Neues Zertifikat |
|---|---|---|
| Microsoft Corporation KEK CA 2011 | 24. Juni 2026 | Microsoft Corporation KEK 2K CA 2023 |
| Microsoft UEFI CA 2011 | 27. Juni 2026 | Microsoft UEFI CA 2023 |
| Microsoft Windows Production PCA 2011 | 19. Oktober 2026 | Windows UEFI CA 2023 |
Damit sind zwei der wichtigen alten Zertifikate im August 2026 bereits abgelaufen. Das Microsoft Windows Production PCA 2011, das unter anderem für den Windows-Bootloader relevant ist, läuft am 19. Oktober 2026 aus.
Startet Windows mit einem abgelaufenen Secure-Boot-Zertifikat noch?
Ja.
Das ist einer der wichtigsten Punkte bei diesem Thema. Ein PC mit einem alten Secure-Boot-Zertifikat hört nicht plötzlich auf zu funktionieren.
Microsoft weist ausdrücklich darauf hin, dass betroffene Rechner weiterhin:
- Windows starten können,
- normal verwendet werden können,
- reguläre Windows-Updates erhalten können.
Das eigentliche Problem liegt bei zukünftigen Sicherheitsaktualisierungen für den Bootvorgang.
Geräte mit einer veralteten Vertrauenskonfiguration können unter Umständen keine neuen Schutzmaßnahmen für Komponenten wie den Windows Boot Manager, Secure-Boot-Datenbanken oder neue Sperrlisten mehr erhalten.
Langfristig kann dadurch die Sicherheit des Systems sinken.
So prüfen Sie das Secure-Boot-Zertifikat unter Windows
Microsoft hat die Kontrolle seit April 2026 deutlich vereinfacht.
Öffnen Sie:
Windows-Sicherheit → Gerätesicherheit → Sicherer Start / Secure Boot
Dort zeigt Windows inzwischen nicht mehr nur an, ob Secure Boot aktiviert ist. Auch der Status der Zertifikatsaktualisierung kann angezeigt werden.
Grundsätzlich gibt es drei relevante Zustände:
| Anzeige | Bedeutung | Was tun? |
| Grün | Secure Boot und Zertifikate sind aktuell | Keine Aktion erforderlich |
| Gelb | Ältere Konfiguration oder Update noch nicht abgeschlossen | Windows- und Firmware-Updates prüfen |
| Rot | Sicherheitsaktualisierung kann mit der aktuellen Konfiguration nicht installiert werden | Problem sollte behoben werden |
Besonders eindeutig ist die Meldung:
„Secure Boot ist aktiviert und alle erforderlichen Zertifikatupdates wurden angewendet.“
Erscheint diese Information, besteht kein weiterer Handlungsbedarf.
Wichtig: Ein grüner Haken allein reicht laut Microsoft nicht in jedem Fall als Nachweis dafür aus, dass bereits alle neuen Zertifikate installiert wurden. Entscheidend ist auch der dazugehörige Statustext.
Secure Boot Zertifikat nicht aktualisiert: Was tun?
Zeigt Windows weiterhin eine ältere Secure-Boot-Konfiguration an, sollten Sie nicht sofort Einstellungen im BIOS oder UEFI verändern.
Gehen Sie zunächst in dieser Reihenfolge vor:
- Windows Update öffnen
- Nach verfügbaren Updates suchen
- Alle Sicherheits- und Systemupdates installieren
- Rechner neu starten
- Erneut unter Windows-Sicherheit den Secure-Boot-Status kontrollieren
Microsoft verteilt die neuen Zertifikate bereits seit Monaten automatisch und setzt diesen Rollout auch nach dem Ablauf der ersten Zertifikate fort. Selbst im Sicherheitsupdate vom 11. August 2026 weist Microsoft darauf hin, dass weitere Geräte in den kommenden Monaten über Windows Update aktualisiert werden.
BIOS- und UEFI-Updates des Herstellers prüfen
Nicht bei jedem Rechner kann Windows die komplette Umstellung allein durchführen.
Insbesondere bei älteren PCs kann ein aktuelles BIOS- beziehungsweise UEFI-Firmware-Update des Geräte- oder Mainboard-Herstellers erforderlich sein.
Prüfen Sie deshalb bei dauerhaft gelber oder roter Warnung die Support-Seite des Herstellers Ihres:
- Notebooks,
- Komplett-PCs oder
- Mainboards.
Bei Dell, HP, Lenovo, ASUS, MSI, Gigabyte und anderen Herstellern werden entsprechende Firmware-Updates normalerweise über die jeweilige Support-Seite oder herstellereigene Update-Software angeboten.
Secure Boot nicht einfach deaktivieren
Eine scheinbar einfache Lösung wäre, Secure Boot im BIOS vollständig abzuschalten. Das ist jedoch keine sinnvolle Lösung für ein Zertifikatsproblem.
Secure Boot schützt gerade den besonders empfindlichen Zeitraum zwischen Einschalten des Computers und Start des Betriebssystems.
Eine Deaktivierung beseitigt die veralteten Zertifikate nicht, sondern schaltet den entsprechenden Sicherheitsmechanismus lediglich ab.
Auch ein manuelles Löschen oder Austauschen von Secure-Boot-Schlüsseln im UEFI sollte ohne konkreten Grund vermieden werden. Eine falsche Konfiguration kann insbesondere bei BitLocker-geschützten Systemen zusätzliche Probleme verursachen.
Sind Windows 10 und Windows 11 betroffen?
Ja. Die Umstellung betrifft nicht nur Windows 11.
Microsoft nennt unter anderem:
- Windows 11,
- unterstützte Windows-10-Versionen,
- Windows Server 2019,
- Windows Server 2022,
- Windows Server 2025.
Für private Windows-10- und Windows-11-PCs erfolgt die Aktualisierung in vielen Fällen automatisch.
Bei Unternehmensrechnern ist die Situation komplexer. Dort können Administratoren die Secure-Boot-Aktualisierung über eigene Management- und Deployment-Verfahren steuern.
Muss ich wegen des Secure-Boot-Ablaufs 2026 handeln?
Für die meisten privaten Nutzer gilt: Windows aktuell halten und den Secure-Boot-Status kontrollieren reicht zunächst aus.
Microsoft verteilt die neuen Zertifikate automatisiert. Ein Rechner mit einem alten Zertifikat wird außerdem nicht unmittelbar unbrauchbar.
Handlungsbedarf besteht insbesondere dann, wenn Windows unter Gerätesicherheit → Secure Boot dauerhaft eine gelbe oder rote Warnung zeigt.
Dann sollten zunächst Windows-Updates und anschließend verfügbare Firmware-Updates des Herstellers geprüft werden.
Kurz zusammengefasst
- Mehrere Microsoft-Secure-Boot-Zertifikate aus 2011 laufen 2026 aus.
- Zwei wichtige Zertifikate sind bereits im Juni 2026 abgelaufen.
- Ein weiteres relevantes Zertifikat läuft am 19. Oktober 2026 aus.
- Windows startet deshalb nicht automatisch nicht mehr.
- Normale Windows-Updates funktionieren grundsätzlich weiterhin.
- Zukünftige Sicherheitsupdates für den Bootvorgang können jedoch beeinträchtigt sein.
- Microsoft verteilt neue Zertifikate aus dem Jahr 2023 über Windows Update.
- Den Status können Nutzer direkt in der Windows-Sicherheit kontrollieren.
- Secure Boot sollte nicht vorschnell deaktiviert werden.
