Microsoft: Letztes Secure-Boot-Zertifikat von 2011 am 19. Oktober abgelaufen
Microsoft hat daran erinnert, dass am 19. Oktober 2026 das Zertifikat Microsoft Windows Production PCA 2011 abgelaufen ist, mit dem der Windows-Bootloader signiert wird. Es ist der letzte wichtige Stichtag im geplanten Wechsel des Unternehmens zu neuen Secure-Boot-Zertifikaten. Zwei weitere Zertifikate aus dem Jahr 2011 waren bereits im Juni abgelaufen.
Die Computer starten weiterhin und arbeiten wie gewohnt, und reguläre Windows-Updates werden weiterhin installiert. Geräte ohne die Zertifikate von 2023 können jedoch keine neuen Schutzmaßnahmen für die frühen Phasen des Startvorgangs mehr erhalten. Dazu gehören Updates für den Boot-Manager, die Secure-Boot-Datenbanken und die Sperrlisten sowie Korrekturen für neue Schwachstellen in der Startkette. Ein Beispiel für eine Bedrohung, vor der solche Sperrlisten schützen, ist das Bootkit BlackLotus. Es wurde 2023 entdeckt und umging Secure Boot sogar auf vollständig aktualisierten Windows-11-Systemen.
Secure Boot ist eine Funktion der UEFI-Firmware, die vor dem Start des Computers die digitalen Signaturen der Startkomponenten prüft, von den Treibern bis zum Betriebssystem. Bisher vertrauten die Geräte den Microsoft-Zertifikaten von 2011, nun ersetzt das Unternehmen sie durch Zertifikate von 2023. Das Zertifikat KEK CA 2011 (abgelaufen am 24. Juni) wird durch KEK 2K CA 2023 ersetzt. Das Zertifikat UEFI CA 2011 (abgelaufen am 27. Juni) wird durch UEFI CA 2023 und Option ROM UEFI CA 2023 ersetzt. Das Zertifikat Windows Production PCA 2011 (abgelaufen am 19. Oktober) wird durch Windows UEFI CA 2023 ersetzt.
Die neuen Zertifikate werden über Windows Update bereitgestellt, und in vielen Fällen sind vom Nutzer keine Schritte nötig. Voraussetzung sind eine unterstützte Windows-Version, nicht pausierte Updates und aktiviertes Secure Boot. Den Status der Funktion zeigt das Programm Systeminformationen (msinfo32). Seit April zeigt Windows 11 den Zertifikatsstatus auch in der Windows-Sicherheit an, auf der Seite Gerätesicherheit unter Sicherer Start. Mögliche Meldungen sind: alle Updates angewendet, veraltete Startvertrauenskonfiguration (das System aktualisiert sie selbst), von einem bekannten Problem betroffen (Update bis zur Behebung ausgesetzt), Hardware- oder Firmware-Einschränkungen (Hilfe des Herstellers erforderlich), Erhalt von Updates nicht mehr möglich (ein abgelaufenes Zertifikat wird weiterverwendet). Computer mit Windows 10 erhalten die Zertifikate nur im Rahmen des Programms für erweiterte Sicherheitsupdates ESU.
Bei einer gelben oder roten Warnung empfiehlt sich ein Blick auf die Support-Seite des Geräteherstellers: Dell, HP, Lenovo, Asus und Acer bieten eigene Informationen zu BIOS-Updates an. Vor der Installation sollte der BitLocker-Wiederherstellungsschlüssel gesichert werden, da einige BIOS-Updates von HP im April endlose Wiederherstellungsschleifen ausgelöst haben. Secure Boot zu deaktivieren, um das Problem zu umgehen, wird nicht empfohlen. Wird die Funktion später wieder aktiviert und die Firmware vertraut nur dem Zertifikat von 2011, startet der Computer möglicherweise nicht mehr. Ein ähnliches Risiko birgt das Zurücksetzen des BIOS auf Werkseinstellungen, wenn diese die Zertifikate von 2023 nicht enthalten. Außerdem veröffentlicht Dell keine BIOS-Updates für Plattformen, deren Supportzeitraum vor dem 1. Januar 2026 endete. Bereits im März traten Probleme beim Wechsel auch bei einigen Mainboards von ASUS, MSI und ASRock auf.
Die Verteilung des Updates erfolgt schrittweise. Das Paket KB5124008 vom 8. September ergänzte Daten zur Erkennung von Geräten, bei denen das Update mit hoher Wahrscheinlichkeit erfolgreich verläuft, und erweiterte damit die Reichweite. Die Computer werden nach Hardware und Firmware in Gruppen eingeteilt, und eine Gruppe erhält die Zertifikate erst automatisch, nachdem die Installation auf ähnlichen Geräten gelungen ist. Microsoft aktualisiert diese Datenbank zweimal im Monat. Selbst ein Computer, der mehrere Monate keinen Internetzugang hatte, erhält die Zertifikate nach Wiederherstellung der Verbindung.
Das Zertifikat PCA 2011 wurde auch zum Signieren von Windows-Dateien genutzt, die nichts mit dem Start zu tun haben, weshalb das Unternehmen auf Windows Production PCA 2026 umstellt. Die am 10. September veröffentlichten Release-Preview-Builds 26100.9539 und 26200.9539 sind bereits damit signiert. Entwicklern wird empfohlen, die Prüfungen in ihren Anwendungen nicht an bestimmte Secure-Boot-Zertifikate zu koppeln. Ein einzelnes installiertes Update bedeutet nicht, dass der Wechsel abgeschlossen ist: Die Firmware benötigt womöglich mehrere Neustarts. Ein Gerät gilt erst dann als vollständig aktualisiert, wenn die Zertifikate von 2023 und der neue Boot-Manager installiert sind. Deshalb sollte man sich am grünen Häkchen im Bereich Sicherer Start orientieren.