Windows-Secure-Boot-Zertifikate laufen ab dem 24. Juni ab

Die Secure-Boot-Zertifikate aus dem Jahr 2011, die die Boot-Sicherheit der meisten Windows-PCs absichern, laufen ab dem 24. Juni aus – also in genau einem Monat. Geräte ohne die 2023 eingeführten Ersatzzertifikate funktionieren zwar weiterhin, verlieren jedoch die Möglichkeit, künftig Sicherheitsupdates auf Boot-Ebene zu erhalten. Nutzer von Windows 11 mit unterstützten Versionen werden automatisch aktualisiert, während ältere Hardware und nicht unterstützte Windows-10-Systeme vor größeren Problemen stehen.

Welche Zertifikate laufen wann ab?

Drei Zertifikate erreichen in den kommenden Monaten ihr Ablaufdatum: das Microsoft Corporation KEK CA 2011 am 24. Juni, das Microsoft UEFI CA 2011 am 27. Juni sowie das Microsoft Windows Production PCA 2011 am 19. Oktober. Letzteres signiert den Windows-Bootloader selbst, weshalb der Oktober-Termin als besonders kritisch für die langfristige Boot-Integrität gilt. Microsoft begann bereits im Januar damit, die neuen Ersatzzertifikate aus dem Jahr 2023 über Windows Update auszurollen und hat die Verteilung mit jedem monatlichen Update erweitert – darunter auch das aktuelle KB5089549.

Was passiert nach dem 24. Juni?

Der PC wird weiterhin normal starten. Laut Microsoft funktionieren Geräte mit abgelaufenen Zertifikaten weiterhin wie gewohnt und erhalten auch reguläre Windows-Updates. Allerdings entfällt die Möglichkeit, neue Secure-Boot-Datenbankupdates, Sperrlisten für Zertifikate sowie Patches gegen neu entdeckte Schwachstellen auf Boot-Ebene zu erhalten. Schadsoftware wie BlackLotus hat gezielt genau diese Ebene angegriffen. Systeme mit abgelaufenen Zertifikaten besitzen daher keinen Schutzpfad mehr gegen zukünftige Bedrohungen auf Firmware-Ebene.

So überprüft man sein Gerät

Zum Überprüfen des Geräts zunächst den Bereich „Windows-Sicherheit“ öffnen, dort „Gerätesicherheit“ dort den Abschnitt „Secure Boot“ prüfen. Microsofts Support-Artikel KB5062710 erklärt, was das Ablaufdatum bedeutet und welche Schritte notwendig sind, falls das Update noch nicht installiert wurde. Nutzer von Windows 10 außerhalb des Programms „Extended Security Updates“ erhalten keine neuen Zertifikateund haben ab dem 24. Juni keine weitere Möglichkeit zur Nachbesserung.

Geräte, die möglicherweise keinen Fix erhalten

Einige ältere Systeme benötigen zusätzlich zum Zertifikats-Update von Windows auch ein passendes Firmware-Update des Herstellers, da die neue Zertifikatskette direkt im UEFI verankert werden muss. Geräte von Herstellern, die keine Firmware-Updates mehr bereitstellen, könnten dauerhaft bei den Zertifikaten aus dem Jahr 2011 bleiben – unabhängig davon, was Windows installiert. Microsoft empfiehlt daher, das neueste Update zu installieren, den Status mithilfe von KB5062710 zu überprüfen und den OEM-Support zu kontaktieren, falls die Zertifikate von 2023 auf einem vollständig aktualisierten System nicht angezeigt werden.