Sicherheitsrisiken durch abgelaufene Secure Boot-Zertifikate – Was bis Juni 2026 zu tun ist

Im Juni 2026 laufen die von Microsoft seit 2011 signierten Secure Boot-Zertifikate ab. Diese Zertifikate sind ein zentraler Baustein für die Systemsicherheit von Windows-Computern, weil sie den Startvorgang vor manipulativer Malware – insbesondere vor sogenannten Bootkits – schützen. Ohne ein rechtzeitiges Update der Zertifikate können wichtige Sicherheitsupdates für den Start-Manager nicht mehr bereitgestellt werden, was das Risiko von Angriffen erheblich erhöht.

Warum der Ablauf der Secure Boot-Zertifikate wichtig ist

Secure Boot wurde zusammen mit Windows 8 im Jahr 2012 eingeführt und nutzt digitale Signaturen, um nur vertrauenswürdige Firmware und Boot-Loader zuzulassen. Sobald die zugrunde liegenden Zertifikate im Juni 2026 ihr Ablaufdatum erreichen, kann Windows zwar weiterhin starten, aber es werden keine neuen Sicherheitsupdates mehr für den Secure-Boot-Mechanismus ausgerollt. Das bedeutet:

• Keine Aktualisierung des Start-Managers mehr.
• Erhöhte Angriffsfläche für bootbasierte Malware (Bootkits).
• Potenzielle Beeinträchtigung der gesamten Systemintegrität.

Ein abgelaufenes Zertifikat kann also dazu führen, dass Ihr Gerät anfällig für Malware wird, die bereits beim Hochfahren des Systems aktiv wird.

Risiken durch abgelaufene Secure Boot-Zertifikate

Laut einer Umfrage aus dem Jahr 2022 gaben 40 % der befragten IT-Experten an, dass Bootkits eine ernsthafte Bedrohung darstellen. Im gleichen Jahr wurden 15 000 Bootkit-Angriffe dokumentiert (Bootkits: A Malware Threat Report, Cybersecurity Journal, 2022).

Diese Zahlen verdeutlichen, dass ein fehlendes Zertifikats-Update das Angriffspotenzial erheblich steigern kann. Die Kombination aus fehlenden Updates und einer bereits existierenden Malware-Bedrohung kann die gesamte Vertrauenskette des Systems zerstören.

Automatisierte Update-Prozesse von Microsoft

Microsoft arbeitet kontinuierlich an automatisierten Prozessen, um die Secure Boot-Zertifikate zu aktualisieren. Seit Februar 2025 wird das Update vorbereitet und über Windows Update bereitgestellt – allerdings nur, wenn Nutzer ihre Diagnosedaten teilen. Eine Studie aus 2023 zeigt, dass 75 % der US-Nutzer, die Diagnosen aktivieren, automatisch die neuesten Sicherheitsupdates erhalten (User Data Sharing for Automatic Updates, IT Insights, 2023).

• Automatische Updates funktionieren nur, wenn Telemetriedaten nicht blockiert werden.
• Fehlende Firmware- oder Hardware-Kompatibilität kann die Update-Automatik verhindern.
• Microsoft bietet zusätzliche Hinweise in der Windows-Sicherheit-App, um den Update-Status anzuzeigen.

So prüfen Sie den Secure Boot-Status Ihres Geräts

Sie können den Status von Secure Boot leicht überprüfen:

1. Starten Sie das BIOS/UEFI und suchen Sie nach dem Eintrag „Secure Boot“.
2. Oder öffnen Sie Windows + R, geben msinfo32 ein und prüfen Sie den Eintrag „Sicherer Startzustand“. Der Wert sollte „Ein“ sein.

Die Windows-Sicherheit-App zeigt zudem den Zertifikats-Status mit Symbolen an:

• Grünes Häkchen – Keine Maßnahmen nötig.
• Gelbes Ausrufezeichen – Empfehlung zur Aktualisierung.
• Rotes Kreuz – Sofortige Handlung erforderlich.

Beachten Sie, dass ein grünes Häkchen nicht automatisch bedeutet, dass das System bereits vollständig geschützt ist; die begleitende Beschreibung muss gelesen werden.

Was passiert bei veralteten Secure Boot-Zertifikaten?

Wenn die Zertifikate ablaufen und nicht aktualisiert werden, kann Ihr System anfällig für Malware-Angriffe werden, die den Bootprozess manipulieren. Ohne aktuelle Zertifikate erhalten Sie keine Sicherheitsupdates für den Start-Manager, wodurch das Risiko von Bootkits steigt.

Microsoft hat mehrere mögliche Meldungen definiert, die im Windows-Sicherheit-Center angezeigt werden können. Beispiele:

• „Der sichere Start ist aktiviert, und alle erforderlichen Zertifikatupdates wurden angewendet.“ – Keine Aktion nötig.
• „Sicherer Start ist aktiviert, aber Ihr Gerät verwendet eine ältere Startvertrauenskonfiguration.“ – Installieren Sie die neuesten Windows-Updates und starten Sie neu.
• „Ihr Gerät unterstützt aufgrund von Hardware- oder Firmware-Einschränkungen das automatische Update nicht.“ – Kontaktieren Sie den Gerätehersteller.

Gegenmaßnahmen und Vorbereitung

Damit Ihr System rechtzeitig geschützt ist, sollten Sie folgende Schritte durchführen:

• Aktivieren Sie die automatische Bereitstellung von Windows-Updates.
• Erlauben Sie das Teilen von Diagnosedaten, um automatische Zertifikats-Updates zu erhalten.
• Prüfen Sie die Firmware-Version Ihres Geräts auf Kompatibilität mit den neuen Zertifikaten.
• Für Windows 10-Nutzer: Nutzen Sie das ESU-Programm, um den Update-Zeitraum über Oktober 2025 hinaus zu verlängern.
• Verwenden Sie die Windows-Sicherheit-App, um den aktuellen Zertifikats-Status zu überwachen.

Beachten Sie, dass nicht alle Systeme Updates empfangen können. In solchen Fällen ist eine proaktive Prüfung von Firmware und Hardware erforderlich.

Fazit

Der Ablauf der Secure Boot-Zertifikate im Juni 2026 stellt ein kritisches Datum für die Sicherheit von Windows-Computern dar. Ohne rechtzeitige Updates steigt das Risiko von Bootkits erheblich – ein Problem, das bereits 40 % der IT-Experten als ernsthafte Bedrohung bewerten. Microsoft bietet automatisierte Update-Mechanismen, die jedoch von der Freigabe von Diagnosedaten abhängen. Nutzer sollten daher sicherstellen, dass ihre Systeme aktuelle Firmware besitzen, die automatischen Update-Funktion aktiviert ist und die Windows-Sicherheit-App regelmäßig geprüft wird. Nur so bleibt der geschützte Start auch nach Ablauf der Zertifikate gewährleistet.

FAQ

Was passiert, wenn ich das Update nicht durchführe?

Wenn die Zertifikate ablaufen und nicht aktualisiert werden, kann Ihr System anfällig für Malware-Angriffe werden, die den Bootprozess beeinträchtigen.