Secure-Boot-Zertifikate laufen ab: Status prüfen, BIOS-Update

Secure Boot ist die Prüfung, die beim Start verhindert, dass manipulierte Startsoftware lädt. Sie arbeitet mit digitalen Zertifikaten, und einige davon aus dem Jahr 2011 haben ein Ablaufdatum. Dieser Beitrag fasst zusammen, was Microsoft dazu auf der eigenen Support-Seite „Windows Secure Boot certificate expiration and CA updates“ schreibt, ergänzt um die Einordnung von PC-WELT (Artikel vom 01.08.2026) und igorsLAB. Wir haben keine Rechner umgestellt oder Firmware getestet; die Hinweise sind eine Zusammenfassung der genannten Quellen. Welche Folgen für dich gelten, hängt von Hersteller und Alter deines Mainboards ab.

Welche Zertifikate laufen wann ab?

Quelle der Tabelle ist die Microsoft-Support-Seite. Die beiden Juni-Daten sind also bereits verstrichen, das letzte Datum fällt auf den 19.10.2026. Ein Artikel von Börse Express nennt den 28.06.2026 als Stichtag; wir stützen uns auf Microsofts eigene Angaben. Das Portal räumt zudem selbst ein, dass der Text teilweise KI-gestützt entstand und keine Primärquellen verlinkt.

Was passiert, wenn dein PC die neuen Zertifikate nicht hat?

Hier lohnt es sich, genau zu lesen. Laut Microsoft starten Geräte ohne die 2023er-Zertifikate weiterhin normal, und die gewöhnlichen Windows-Updates installieren sich weiter. Was fehlt, sind neue Schutzmaßnahmen für die frühe Startphase: Updates für den Boot-Manager, Aktualisierungen der Secure-Boot-Datenbanken, Sperrlisten und Gegenmaßnahmen gegen neu gefundene Schwachstellen im Bootvorgang. Mit der Zeit sinkt damit der Schutz gegen neue Bedrohungen. Microsoft nennt außerdem Funktionen, die auf Secure-Boot-Vertrauen aufbauen, etwa die Härtung von BitLocker oder Startprogramme von Drittanbietern; sie können betroffen sein.

PC-WELT berichtet entsprechend, dass nicht schlagartig Rechner unbootbar werden. Beschrieben wird ein schrittweiser Ablauf: Microsoft will die neuen Zertifikate über reguläre Patchday-Updates verteilen. Das passt zu den Angaben von igorsLAB, dass Windows Update allein nicht in jeder Konstellation reicht, etwa wenn Firmware, UEFI-Datenbanken oder Hersteller-Implementierungen nicht sauber zusammenspielen.

Status prüfen: Die Windows-Sicherheit zeigt es an

1. Öffne die Windows-Sicherheit und gehe zu „Gerätesicherheit“.
2. Wähle den Bereich „Secure Boot“.
3. Lies die Farbe: Grün bedeutet laut PC-WELT, dass nichts zu tun ist. Gelb heißt, Windows braucht weitere Informationen von der Firmware. Rot bedeutet, dass etwas das Update blockiert; oft hilft dann ein BIOS- oder UEFI-Update des Herstellers.
4. Wer es technisch prüfen will, findet auf der Microsoft-Seite den Hinweis auf das PowerShell-Cmdlet Get-SecureBootUEFI mit dem Parameter -Decoded. Die genaue Befehlszeile steht in Microsofts Dokumentation.

Ob Secure Boot bei dir überhaupt aktiv ist, siehst du unter Systeminformationen („Sicherer Startzustand“). Viele moderne Spiele mit Anti-Cheat verlangen es ohnehin, siehe Secure Boot und TPM 2.0 aktivieren.

Was du tun kannst

• Windows aktuell halten und die Patchday-Updates installieren, dieser Weg ist laut Microsoft der Hauptweg für Heimanwender.
• BIOS- oder UEFI-Updates des Mainboard- oder PC-Herstellers prüfen, wenn der Status rot ist. Manche Hersteller-Updates müssen manuell gestartet werden (PC-WELT).
• Vorher den BitLocker-Wiederherstellungsschlüssel sichern, falls du BitLocker nutzt. Das ist unsere allgemeine Empfehlung vor jedem Firmware-Update (eigene Einschätzung, nicht Teil der Quellen), denn nach Firmware-Änderungen kann der Schlüssel abgefragt werden.
• Ein Firmware-Update immer mit stabiler Stromversorgung durchführen, siehe BIOS-Update durchführen.

Ältere Hardware: Hier wird es unsicher

PC-WELT nennt Einschränkungen bei den Herstellern. Dell liefere keine BIOS-Updates für Plattformen, deren Lebenszyklus vor dem 1. Januar 2026 endete. HP schließe PCs von 2018 und älter aus, und bei Lenovo gilt laut Bericht Ähnliches. Bei selbst gekauften Mainboards entscheidet der jeweilige Hersteller. Ob dein Modell ein Update bekommt, steht auf der Support-Seite des Herstellers. Hinzu kommt: Windows-10-PCs ohne ESU-Anmeldung erhalten die 2023-Zertifikate laut PC-WELT unabhängig vom Alter der Hardware nicht. Wie du dich für ESU anmeldest, steht in Windows 10 ESU bis Oktober 2027.

Außerdem meldet PC-WELT, dass die Verteilung bei einigen HP-Geräten wegen unerwarteter Probleme pausiert wurde. Die Verteilung ist also nicht bei jedem Gerät gleich weit.

Letzter Ausweg: Secure Boot ausschalten?

PC-WELT nennt das Abschalten von Secure Boot als allerletzte Option, wenn kein Update verfügbar ist. Wir raten davon ab, solange es Alternativen gibt: Du verlierst den Startschutz, und Spiele mit Anti-Cheat starten unter Umständen nicht mehr. Noch riskanter ist der umgekehrte Fall: PC-WELT warnt, dass das Einschalten von Secure Boot ohne die neuen Zertifikate dazu führen kann, dass der PC nicht mehr richtig startet. Aktivierst du Secure Boot erst jetzt, prüfe vorher den Status und die Firmware.

Dual-Boot mit Linux

Microsoft weist darauf hin, dass Startprogramme von Drittanbietern vom Ablauf des UEFI-CA-2011-Zertifikats betroffen sind. Wer Windows und Linux parallel betreibt, sollte daher beim Linux-Anbieter nachlesen, ob die verwendete Startkomponente mit den neuen Zertifikaten signiert ist. Eine allgemeine Anleitung für Dual-Boot-Systeme gibt Microsoft auf der Seite nicht; für die Einrichtung selbst siehe Dual-Boot Windows 11 und Linux.

Neue PCs und selbst gebaute Systeme

Systeme, die ab 2024 erschienen sind, haben die neuen Schlüssel laut Börse Express bereits ab Werk; diese Angabe ist wie erwähnt nicht mit Primärquellen belegt, prüfe also den Status in der Windows-Sicherheit. Wer ein Mainboard neu kauft, sollte vor der Installation die Firmware auf den neuesten Stand bringen. Das ist ohnehin ein sinnvoller Schritt bei Neubauten, siehe Ersteinrichtung eines neuen Gaming-PCs.

Häufige Fragen

Startet mein PC ab dem 19. Oktober nicht mehr?

Nein. Nach Microsofts Angaben startet ein Gerät ohne die neuen Zertifikate weiter normal. Es fehlen künftige Boot-Schutz-Updates.

Muss ich selbst etwas installieren?

Für die meisten Heimanwender reicht es, Windows aktuell zu halten und den Status in der Windows-Sicherheit zu beobachten. Bei Rot ist ein Firmware-Update des Herstellers der nächste Schritt.

Gilt das auch für Windows 11?

Ja. Microsoft nennt Windows 10 (22H2) und Windows 11 (21H2 bis 24H2) ausdrücklich als betroffene Versionen. Beachte, dass 24H2 für Home und Pro seit dem 13.10.2026 keinen Support mehr hat, siehe Windows 11 24H2: Support-Ende.