LONDON (IT BOLTWISE) – Ab dem 24. Juni laufen für viele Windows-PCs eine Zertifikatsfrist im Kontext von Secure Boot ab. Betroffene müssen die neuen Secure-Boot-Zertifikate über Windows Update erhalten haben, sonst kann der sichere Systemstart gestört sein. Microsoft bietet zwar bis Oktober 2026 eine nachträgliche manuelle Nachbeschaffung für bestimmte Szenarien, sie ist aber aufwendig. Zusätzlich macht Microsoft den Weg Richtung Windows 11 25H2 für alle Rechner immer verbindlicher.
Für Unternehmen und IT-Teams wird der 24. Juni zu einem praktischen Stichtag: Windows-Nutzer, die Secure Boot verwenden, müssen die aktuellen Secure-Boot-Zertifikate bereits installiert haben. Secure Boot ist der Mechanismus, der beim Start die Signaturkette von Boot-Komponenten gegen Manipulationen absichert. Wenn die Zertifikate in der UEFI-Datenbank nicht (mehr) zu den erwarteten Signaturen passen, kann der Systemstart nicht sauber fortgeführt werden. Das Risiko reicht dabei von fehlerhaften Startsequenzen bis hin zu Ausfällen, die sich erst nach einem fehlgeschlagenen Bootvorgang bemerkbar machen.
Bemerkenswert ist, dass die erste Warnung hierzu bereits im Januar kam. Damit ist klar: Microsoft hat die Änderung nicht aus dem Nichts angekündigt, sondern die Verteilung schrittweise über Sicherheitsupdates vorbereitet. In der Praxis hängt die konkrete Aktualisierung davon ab, welche Updates ein System in der jeweiligen Update-Kadenz erhalten hat. Besonders relevant ist das für Geräte, die nicht sofort auf die neuesten Feature- und Sicherheitsstände gebracht werden. Betroffen sind sowohl Windows 11 als auch Windows 10, sofern die Systeme im Rahmen des ESU-Programms (Extended Security Updates) Sicherheitsupdates bekommen.
Was klingt wie ein reiner Zertifikatswechsel, ist technisch eine Frage der Vertrauensanker in der Bootkette. Secure Boot basiert auf einer Reihe vertrauenswürdiger Schlüssel oder Signaturen, die in der UEFI-Umgebung hinterlegt sind. Windows ändert dabei die eingesetzten Signaturen und liefert neue Zertifikate nach, damit die Signaturprüfung weiterhin konsistent bleibt. Wird die Update-Kette nicht bis zum Stichtag abgeschlossen, kann die Firmware die signierten Komponenten nicht mehr als zulässig einstufen. Im Unterschied zu typischen App- oder Treiberupdates ist das Timing hier kritischer, weil das Problem beim Start selbst blockierend wirkt.
Microsoft hat zuletzt zwar Entwarnung in Aussicht gestellt: Abhängig vom Einzelfall bleibt die Möglichkeit, die Zertifikate bis Oktober 2026 nachträglich zu erhalten. Der Haken: Das Nachreichen erfolgt üblicherweise nicht vollautomatisch, sondern manuell. Für Admins heißt das zusätzlichen operativen Aufwand, etwa durch das gezielte Ausrollen des relevanten Zertifikatspakets oder das Durchführen eines administrativen Pfads, der sicherstellt, dass die UEFI-Datenbank korrekt aktualisiert wird. Sicherheitsexperten fassen den Kern so zusammen: „Ohne aktualisierte Zertifikate passt die Signaturprüfung nicht mehr zur aktuellen Boot-Chain – dann wird aus einem Sicherheitsupdate schnell ein Geräteproblem.“
Um den Status ohne tiefes UEFI-Handwerk zu prüfen, setzt Microsoft in Windows 11 auf eine geführte Anzeige. In den Einstellungen unter „Datenschutz und Sicherheit“ führt der Weg über „Windows Sicherheit“ und dann „Gerätesicherheit“ zum Bereich „Sicherer Start“. Dort wird der Zustand als Statusmeldung dargestellt; im Idealfall zeigt er grün an, dass alle erforderlichen Zertifikate vorhanden sind. Für IT-Abteilungen ist das nützlich, weil es eine schnelle Plausibilitätsprüfung erlaubt, ohne dass jedes Gerät zunächst im UEFI-Setup manuell untersucht werden muss. Gerade in heterogenen Umgebungen mit unterschiedlichen Firmwareständen reduziert das die Fehlersuche.
Für Administratoren, die Secure Boot und Zertifikate manuell verwalten müssen, ist das offizielle Microsoft-Dokument entscheidend. Es beschreibt, wie die Zertifikate zu laden sind und welche Support-Informationen bei Abweichungen relevant werden. Hier liegt auch der reale Unterschied zwischen „Einmal aktualisieren“ und „Betriebssicherheit herstellen“: In komplexen Unternehmensumgebungen sind Firmwarestände, Hardwareprofile und Update-Routen unterschiedlich. Zusätzlich gilt: Secure Boot ist nicht bei jedem Gerät im gewünschten Umfang aktiv. Wenn Secure Boot auf einem System gar nicht eingeschaltet ist, besteht kurzfristig kein Handlungszwang – allerdings kann eine spätere Aktivierung bei dann abweichenden Zertifikaten wieder Probleme erzeugen, etwa wenn die signierte Bootkette und die UEFI-Vertrauensanker nicht zusammenpassen.
Im Marktvergleich wird deutlich, dass Secure Boot Teil eines breiteren Trends zu verifizierbaren Startketten ist. Microsoft steht dabei nicht allein: Google setzt bei ChromeOS ebenfalls auf Verified Boot, und Apple schützt den Startprozess seiner Geräte über signierte Komponenten und Hardwaresicherheitsmechanismen. Auch im Linux-Ökosystem gibt es Konzepte wie UEFI Secure Boot mit signierten Bootloadern. Der Wettbewerbsaspekt liegt weniger im „ob“, sondern im „wie“ der Rollout-Planung: Während andere Plattformen oft engere Integrationen mit dem Device-Ökosystem haben, muss Windows in sehr heterogenen PC-Installationslandschaften zuverlässig bis in die UEFI-Datenbank hinein wirken.
Die Branchenwirkung wird in den nächsten Wochen vor allem in zwei Kategorien sichtbar. Erstens verschiebt sich der Schwerpunkt bei Security Operations von „nur Patch-Compliance“ hin zu „Boot-Chain-Compliance“. Zweitens steigt die Bedeutung von Inventarisierung: IT-Teams müssen wissen, welche Geräte Secure Boot tatsächlich nutzen, welche Updatepfade sie fahren und ob ESU-Geräte rechtzeitig die relevanten Pakete erhalten haben. Das kann dazu führen, dass Telemetrie und Monitoring in Richtung Firmware- und Bootzustand erweitert werden. In vielen Organisationen sind solche Prüfungen bislang eher punktuell gewesen; jetzt werden sie stärker zur Routine, weil ein Startproblem direkt geschäftliche Stillstände verursacht.
Für die Zukunft ist die Richtung klar: Microsoft treibt den Upgrade-Pfad nach 25H2 immer stärker. Die Meldung, dass Windows jetzt jeden Rechner zum Upgrade auf 25H2 zwingt, ist dabei nicht nur ein Versionsupdate, sondern indirekt auch ein Security-Engineering-Thema. Feature-Updates bündeln Sicherheitskomponenten und erleichtern die Steuerung von Zertifikats- und Signaturabhängigkeiten. Die praktische Folge: Unternehmen sollten ihre Update-Richtlinien so anpassen, dass die Zertifikatsfrage nicht „nebenbei“ gelöst wird, sondern als eigener Akzeptanzkriterium in den Rollout-Prozess einfließt. Andernfalls drohen im späteren Verlauf Lücken, die man nur mit manuellen Schritten schließen kann.
Handlungsfähig sind Teams am besten mit einem klaren Ablauf: Zuerst sicherstellen, dass Systeme die zuletzt veröffentlichten Windows-Updates vollständig erhalten haben. Danach den Status des sicheren Starts prüfen, idealerweise zentral in einer Testgruppe und anschließend per automatisierter Kontrolle. Für Geräte im ESU-Umfeld ist die Priorisierung besonders hoch, weil dort die Updatekette und die Zeitfenster enger mit dem Programmstatus verknüpft sind. Wer Secure Boot künftig bewusst nutzen will, sollte es jetzt aktivieren, statt eine spätere Aktivierung auf unklaren Zertifikatszuständen aufzubauen. So lässt sich verhindern, dass aus einer Sicherheitsverbesserung ein Start-Hindernis wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Secure-Boot-Zertifikate: Windows-Deadline am 24. Juni und Vorgehen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Secure-Boot-Zertifikate: Windows-Deadline am 24. Juni und Vorgehen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Secure-Boot-Zertifikate: Windows-Deadline am 24. Juni und Vorgehen« bei Google Deutschland suchen, bei Bing oder Google News!