Secure Boot Zertifikate 2026: Musst du jetzt handeln?

Die Secure Boot Zertifikate 2026 sorgen bei vielen Windows-Nutzern für Verunsicherung. Mehrere Zertifikate, die seit 2011 für den sicheren Start von Windows verwendet werden, erreichen 2026 ihr Ablaufdatum. Zwei davon sind seit Juni 2026 bereits abgelaufen, ein weiteres folgt im Oktober.

Das klingt zunächst so, als könnte ein Windows-PC plötzlich nicht mehr starten. Genau das passiert bei einem normalen Rechner aber nicht. Geräte mit den alten Zertifikaten können weiterhin hochfahren und normale Windows-Updates erhalten. Problematisch wird vielmehr, dass zukünftige Sicherheitsupdates für die Windows-Startumgebung möglicherweise nicht mehr angewendet werden können.

Für die meisten privaten Nutzer von Windows 11 Home oder Pro hält sich der Aufwand in Grenzen. Die neuen Zertifikate aus dem Jahr 2023 werden über Windows Update verteilt. Seit 2026 zeigt Windows-Sicherheit außerdem an, ob dein Gerät bereits vollständig aktualisiert wurde oder ob du etwas unternehmen solltest.

Secure Boot Zertifikate 2026: Was ändert sich überhaupt?

Secure Boot gehört zur UEFI-Firmware moderner PCs. Die Funktion prüft schon vor dem eigentlichen Start von Windows, ob Bootloader und andere Komponenten vertrauenswürdig signiert sind. Manipulierte oder nicht zugelassene Software soll dadurch möglichst gar nicht erst vor Windows ausgeführt werden.

Die Grundlage dafür bilden digitale Zertifikate und Schlüssel, die im UEFI gespeichert sind. Vereinfacht gesagt enthält dein PC eine Liste mit Stellen, denen er beim Start vertraut. Windows und andere signierte Startkomponenten können dadurch überprüft werden.

Falls dir der Unterschied zwischen Firmware, klassischem BIOS und UEFI noch nicht ganz klar ist, findest du in meinem Ratgeber UEFI vs. BIOS: Unterschiede einfach erklärt die technischen Grundlagen dazu.

Ein Teil der bisher verwendeten Secure-Boot-Zertifikate aus dem Jahr 2011 wird jetzt durch neue Versionen aus dem Jahr 2023 ersetzt. Betroffen sind mehrere unterschiedliche Zertifikate mit jeweils eigener Aufgabe.

Altes Zertifikat	Ablaufdatum	Neues Zertifikat	Aufgabe
Microsoft Corporation KEK CA 2011	24. Juni 2026	Microsoft Corporation KEK 2K CA 2023	Aktualisierung der Secure-Boot-Datenbanken
Microsoft UEFI CA 2011	27. Juni 2026	Microsoft UEFI CA 2023	Signierung von Bootloadern und EFI-Anwendungen
Microsoft UEFI CA 2011	27. Juni 2026	Microsoft Option ROM UEFI CA 2023	Signierung von Option-ROMs
Microsoft Windows Production PCA 2011	19. Oktober 2026	Windows UEFI CA 2023	Signierung des Windows-Bootloaders

Stand August 2026 sind die Zertifikate vom 24. und 27. Juni bereits abgelaufen. Das Microsoft Windows Production PCA 2011 erreicht sein Ablaufdatum erst am 19. Oktober 2026.

Das bedeutet jedoch nicht, dass an diesen Tagen plötzlich Millionen Computer ausfallen. Bestehende Installationen starten weiterhin. Die Umstellung betrifft vor allem die Vertrauenskette für kommende Änderungen an der Windows-Startumgebung.

Musst du jetzt etwas tun? Die schnelle Entscheidungshilfe

Bei einem normalen privaten Windows-11-PC musst du die Secure-Boot-Zertifikate normalerweise nicht selbst installieren. Windows Update übernimmt die Verteilung auf geeigneten Geräten automatisch.

Entscheidend ist deshalb der Status, den Windows-Sicherheit auf deinem Rechner anzeigt.

Status	Bedeutung	Was du tun solltest
Vollständig aktualisiert	Neue Zertifikate und aktualisierter Boot-Manager sind vorhanden	Nichts
Noch nicht aktualisiert	Dein PC verwendet noch eine ältere Startvertrauensstellung	Windows-Updates installieren und neu starten
Update vorübergehend angehalten	Für deine Gerätekonfiguration besteht ein bekanntes Problem	Abwarten und Windows aktuell halten
Hardware- oder Firmwareeinschränkung	Automatische Aktualisierung ist auf deinem Gerät blockiert	Firmware prüfen und Herstellerinformationen beachten
Aktion erforderlich	Ein benötigtes Sicherheitsupdate für den Startbereich kann nicht angewendet werden	Meldung nicht ignorieren und Ursache klären

Windows kann die Zertifikatsaktualisierung bei bestimmten Hardwarekonfigurationen bewusst zurückhalten, wenn noch Kompatibilitätsfragen bestehen. In diesem Fall ist ein manuelles Eingreifen gerade nicht die bessere Lösung.

Mein erster Schritt wäre deshalb immer die Statusprüfung in Windows-Sicherheit. Erst wenn dort tatsächlich ein Problem angezeigt wird, lohnt sich die Suche nach einer passenden Lösung.

So prüfst du die Secure Boot Zertifikate in Windows 11

Seit April 2026 zeigt Windows-Sicherheit den Status der Secure-Boot-Zertifikate direkt an. Damit musst du für die normale Kontrolle weder PowerShell-Befehle noch Registry-Werte auswerten.

So gehst du vor:

1. Öffne das Startmenü.
2. Suche nach Windows-Sicherheit und öffne die App.
3. Klicke auf Gerätesicherheit.
4. Öffne den Bereich Sicherer Start.
5. Kontrolliere das Symbol und vor allem den angezeigten Text.

Windows verwendet dort grüne, gelbe und rote Statusanzeigen. Ein grünes Symbol steht für einen unkritischen Zustand, Gelb weist auf eine Empfehlung oder ein Problem hin und Rot verlangt Aufmerksamkeit.

Bei den Zertifikaten solltest du dich allerdings nicht allein auf die Farbe verlassen. Ein grünes Häkchen bestätigt für sich genommen noch nicht, dass alle neuen Zertifikate vorhanden sind.

Der eindeutigste Status lautet:

„Der sichere Start ist aktiviert, und alle erforderlichen Zertifikatupdates wurden angewendet. Es sind keine weiteren Zertifikatsänderungen erforderlich.“

Siehst du diese Meldung, ist die Sache für dich erledigt.

Was bedeutet „Noch nicht aktualisiert“?

Zeigt Windows-Sicherheit an, dass dein Computer noch eine ältere Konfiguration der Startvertrauensstellung verwendet, besteht nicht automatisch ein Defekt. Das Gerät hat die komplette Umstellung auf die Zertifikate von 2023 lediglich noch nicht abgeschlossen.

Prüfe zuerst Windows Update:

1. Öffne die Einstellungen mit Windows-Taste + I.
2. Wähle Windows Update.
3. Suche nach verfügbaren Updates.
4. Installiere alle regulären Aktualisierungen.
5. Starte den Computer neu, wenn Windows dazu auffordert.

Die Zertifikate werden bei privaten und von Microsoft aktualisierten Windows-Geräten über den normalen Updateprozess verteilt. Eine separate Zertifikatsdatei musst du nicht herunterladen.

Wenn Windows Update selbst Probleme macht oder Aktualisierungen dauerhaft fehlschlagen, solltest du zunächst dieses Problem beheben. Dafür findest du bei mir eine ausführliche Anleitung zum Windows Update reparieren.

Bleibt die Secure-Boot-Meldung danach bestehen, lohnt sich ein Blick auf die genaue Formulierung. Windows unterscheidet beispielsweise zwischen einem noch nicht abgeschlossenen Rollout, einem bekannten Kompatibilitätsproblem und einer Hardware- oder Firmwareeinschränkung.

Warum msinfo32 allein nicht ausreicht

Im Zusammenhang mit Secure Boot wird häufig empfohlen, die Windows-Systeminformationen mit msinfo32 zu öffnen. Das ist weiterhin sinnvoll, beantwortet aber eine andere Frage.

Drücke Windows-Taste + R, gib msinfo32 ein und bestätige mit Enter. In den Systeminformationen findest du den Eintrag Sicherer Startzustand.

Steht dort Ein, ist Secure Boot grundsätzlich aktiviert. Das bedeutet jedoch nicht automatisch, dass dein PC bereits sämtliche neuen Secure-Boot-Zertifikate aus dem Jahr 2023 erhalten hat.

Genau deshalb ist die neue Anzeige in Windows-Sicherheit hilfreicher. Sie berücksichtigt zusätzlich den Stand der Zertifikatsaktualisierung und kann dir mitteilen, ob eine weitere Maßnahme erforderlich ist.

msinfo32 eignet sich weiterhin gut, wenn du zunächst herausfinden möchtest, ob der Rechner überhaupt mit UEFI startet und Secure Boot eingeschaltet ist. Für die Frage nach den Zertifikaten solltest du anschließend Windows-Sicherheit kontrollieren.

Was passiert, wenn die alten Zertifikate abgelaufen sind?

Das Ablaufdatum eines Secure-Boot-Zertifikats funktioniert nicht wie ein Schalter, der den PC am nächsten Morgen unbrauchbar macht. Windows kann auf einem betroffenen Gerät weiterhin starten und normale Betriebssystemupdates können weiterhin installiert werden.

Die Einschränkung zeigt sich bei zukünftigen Sicherheitsmaßnahmen rund um den Startvorgang. Ein Rechner mit alter Vertrauenskette kann möglicherweise keine neuen Schutzmaßnahmen für den Windows Boot Manager, Secure-Boot-Datenbanken oder Sperrlisten mehr erhalten. Auch neue Gegenmaßnahmen gegen Sicherheitslücken im frühen Startprozess können betroffen sein.

Das Risiko wächst deshalb eher mit der Zeit. Solange kein neues Sicherheitsproblem eine geänderte Startkomponente benötigt, kann der PC völlig unauffällig funktionieren.

Entdeckt man später jedoch eine Schwachstelle im Bootprozess und kann ein notwendiges Update wegen der alten Zertifikate nicht installiert werden, ist der Rechner an dieser Stelle schlechter geschützt. Genau für diesen Fall kennt Windows-Sicherheit inzwischen den roten Status „Aktion erforderlich“.

Du musst also nicht befürchten, dass dein PC wegen eines abgelaufenen Zertifikats von heute auf morgen nicht mehr startet. Ignorieren würde ich einen dauerhaft veralteten Zertifikatsstatus trotzdem nicht.

Was bedeutet eine gelbe Secure-Boot-Warnung?

Ein gelbes Symbol in Windows-Sicherheit weist darauf hin, dass du dir den angezeigten Hinweis genauer ansehen solltest. Bei den Secure-Boot-Zertifikaten kann beispielsweise eine Hardware- oder Firmwareeinschränkung verhindern, dass die automatische Aktualisierung abgeschlossen wird.

Installiere zunächst alle aktuellen Windows-Updates und führe einen vollständigen Neustart durch. Bleibt die Warnung bestehen und nennt Windows ausdrücklich eine Hardware- oder Firmwareeinschränkung, solltest du auf der Supportseite des PC- oder Mainboard-Herstellers nach einer aktuellen UEFI- beziehungsweise BIOS-Version für dein genaues Modell suchen.

Bei einem Notebook verwendest du dafür die Modellbezeichnung des Geräts. Bei einem selbst zusammengestellten Desktop-PC ist das Mainboard-Modell ausschlaggebend.

Ein Firmwareupdate solltest du nur verwenden, wenn es ausdrücklich für dein Gerät vorgesehen ist. Eine BIOS-Datei eines ähnlich benannten Modells ist keine Alternative.

Es gibt noch einen anderen möglichen Status: Windows kann die Zertifikatsaktualisierung wegen eines bekannten Kompatibilitätsproblems vorübergehend anhalten. Dann soll die Aktualisierung automatisch fortgesetzt werden, sobald eine unterstützte Lösung verfügbar ist. In diesem Fall bringt es nichts, die Zertifikate mit manuellen Eingriffen erzwingen zu wollen.

Was solltest du bei einem roten Status tun?

Ein rotes Symbol verdient mehr Aufmerksamkeit. Windows zeigt diesen Zustand an, wenn ein Sicherheitsupdate für die Startumgebung benötigt wird, das mit der aktuellen Boot-Konfiguration deines PCs nicht bereitgestellt werden kann.

Der Rechner muss deshalb nicht sofort ausfallen. Der Status bedeutet vielmehr, dass eine konkrete Sicherheitsmaßnahme nicht mehr auf dem vorgesehenen Weg angewendet werden kann.

Ich würde eine solche Meldung nicht einfach ausblenden. Prüfe zuerst, ob Windows vollständig aktualisiert ist, und starte den Computer danach neu. Kontrolliere anschließend erneut den Bereich Gerätesicherheit > Sicherer Start.

Bleibt die rote Meldung erhalten, prüfe beim Hersteller deines PCs oder Mainboards, ob für dein Modell ein Firmwareupdate zur Verfügung steht. Bei älterer Hardware kann es vorkommen, dass die Firmware die automatische Umstellung nicht unterstützt.

Von zufälligen Registry-Anleitungen, fremden PowerShell-Skripten oder einem manuellen Austausch von Secure-Boot-Schlüsseln würde ich bei einem privaten Hauptrechner Abstand nehmen. Änderungen an der UEFI-Vertrauenskette können den Windows-Start beeinflussen und gehören nicht zu den üblichen Wartungsarbeiten eines Heim-PCs.

Solltest du Secure Boot jetzt einfach im BIOS aktivieren?

Steht in msinfo32 beim Sicheren Startzustand nicht „Ein“, solltest du Secure Boot nicht allein wegen der Zertifikate blind im UEFI einschalten.

Bei neueren Windows-11-PCs ist Secure Boot normalerweise bereits eingerichtet. Bei älteren Systemen, nach manuellen Firmwareänderungen oder bei besonderen Boot-Konfigurationen kann die Situation anders aussehen.

Für Geräte mit deaktiviertem Secure Boot lautet die sichere Reihenfolge deshalb: erst feststellen, wie das Gerät konfiguriert ist, dann die Firmwareunterstützung prüfen und anschließend entscheiden, ob eine Änderung sinnvoll ist. Bei deaktiviertem Secure Boot verweist auch die aktuelle Microsoft-Dokumentation darauf, zunächst die Informationen des Geräteherstellers zu berücksichtigen.

Besonders vorsichtig solltest du sein, wenn auf dem PC mehrere Betriebssysteme installiert sind oder ein spezieller Bootloader verwendet wird. Secure Boot prüft genau diese Komponenten beim Start.

Wer einfach Einstellungen im UEFI verändert, kann sich im ungünstigen Fall ein neues Startproblem schaffen, obwohl vorher lediglich ein Zertifikatsstatus überprüft werden sollte.

Welche Rolle spielt ein BIOS- oder UEFI-Update?

Windows kann einen großen Teil der Secure-Boot-Umstellung selbst steuern. Trotzdem hängt das Ergebnis auch von der Firmware des PCs ab.

Viele Hersteller stellen deshalb Firmwareupdates bereit, wenn ein bestimmtes Modell für die neuen Secure-Boot-Zertifikate Anpassungen benötigt. Bei älteren Geräten kann genau diese Firmwareunterstützung zum begrenzenden Faktor werden.

Zeigt Windows-Sicherheit bereits an, dass alle erforderlichen Zertifikatupdates angewendet wurden, brauchst du wegen dieses Themas nicht vorsorglich ein BIOS-Update einzuspielen.

Erscheint dagegen ausdrücklich eine Meldung über eine Hardware- oder Firmwareeinschränkung, ist die Suche nach einer aktuellen Firmware sinnvoll. Nutze dabei ausschließlich die Supportseite des jeweiligen PC-, Notebook- oder Mainboard-Herstellers.

Ein BIOS-Update sollte während der Installation nicht unterbrochen werden. Bei einem Notebook würde ich deshalb das Netzteil anschließen. Auf einem Desktop-PC sollte während des Updates ebenfalls eine stabile Stromversorgung gewährleistet sein.

BitLocker vor Änderungen am Secure Boot im Blick behalten

Secure Boot und BitLocker sind voneinander getrennte Sicherheitsfunktionen, hängen aber beide mit der Vertrauenswürdigkeit des Systemstarts zusammen. Änderungen an der Boot-Konfiguration oder an der Firmware können deshalb dazu führen, dass BitLocker beim nächsten Start den Wiederherstellungsschlüssel verlangt.

Auch während der Umstellung der Secure-Boot-Zertifikate sind in einzelnen Fällen BitLocker-Wiederherstellungsabfragen möglich.

Solange Windows die Zertifikate automatisch installiert und anschließend problemlos startet, musst du deshalb nichts Besonderes tun. Planst du jedoch selbst ein BIOS-Update oder Änderungen an Secure Boot, würde ich vorher kontrollieren, ob du Zugriff auf deinen BitLocker-Wiederherstellungsschlüssel hast.

Der Schlüssel besteht aus 48 Ziffern. Bei vielen privaten Windows-Geräten wurde er bei der Einrichtung im Microsoft-Konto hinterlegt.

Damit hast du im unwahrscheinlichen Fall einer Wiederherstellungsabfrage eine wichtige Absicherung. Erst nach dieser Vorbereitung würde ich Änderungen an Firmware oder Boot-Einstellungen vornehmen.

Was gilt für Windows 10?

Die Secure-Boot-Zertifikate betreffen grundsätzlich auch Windows-10-Geräte. Die Situation unterscheidet sich dort jedoch durch das Ende des regulären Windows-10-Supports am 14. Oktober 2025.

Ein privater Windows-10-PC ohne weitere Sicherheitsupdates hat deshalb ein größeres Grundproblem als allein die Secure-Boot-Zertifikate. Für unterstützte Windows-10-Konfigurationen beziehungsweise Geräte im Extended-Security-Updates-Programm können weiterhin entsprechende Sicherheitsaktualisierungen bereitgestellt werden.

Wenn du noch Windows 10 verwendest, findest du die wichtigsten Möglichkeiten in meinem Ratgeber Windows 10 Support abgelaufen: Was du jetzt tun solltest.

Bei einem Windows-11-tauglichen Rechner würde ich den Wechsel auf ein weiterhin regulär unterstütztes Windows bevorzugen, statt nur einzelne Sicherheitsbaustellen des alten Systems zu betrachten.

Musst du die neuen Secure-Boot-Zertifikate selbst herunterladen?

Für einen normalen privaten Windows-PC lautet die Antwort in der Regel nein. Die neuen Zertifikate werden über die Windows-Update-Infrastruktur verteilt und von Windows auf geeigneten Geräten angewendet.

Du brauchst also keine Zertifikatsdatei aus dem Internet herunterzuladen und auch keinen Assistenten eines Drittanbieters zu installieren.

Das unterscheidet private Rechner deutlich von größeren Unternehmensumgebungen. Administratoren können dort Zertifikatsupdates gezielt über Richtlinien, Intune oder andere Verwaltungsverfahren steuern. Für einen einzelnen Windows-11-Home-PC wäre dieser Aufwand unnötig.

Taucht irgendwo ein Download auf, der verspricht, die „abgelaufenen Secure-Boot-Zertifikate 2026“ mit einem eigenen Programm zu reparieren, würde ich besonders vorsichtig sein. Der normale Aktualisierungsweg führt über Windows Update und gegebenenfalls über ein Firmwareupdate des Geräteherstellers.

Secure Boot läuft 2026 nicht einfach ab

Eine häufige Verwechslung betrifft Secure Boot selbst. Die Sicherheitsfunktion besitzt kein Ablaufdatum.

Auslaufen können die digitalen Zertifikate, auf denen Teile der bisherigen Vertrauenskette beruhen. Die Funktion Secure Boot bleibt Bestandteil der UEFI-Firmware und wird weiterhin verwendet.

Auch deine Windows-Lizenz hat damit nichts zu tun. Du musst Windows nicht neu aktivieren und keine neue Lizenz kaufen.

Ebenso handelt es sich nicht um die Zertifikate, die du von HTTPS-Webseiten aus dem Browser kennst. Die Secure-Boot-Zertifikate liegen in der UEFI-Vertrauenskette und werden schon während des Startvorgangs verwendet, bevor dein normaler Windows-Desktop geladen wird.

Die Bezeichnung „Secure Boot läuft 2026 ab“ ist deshalb irreführend. Korrekt ist: Mehrere bisher verwendete Secure-Boot-Zertifikate aus dem Jahr 2011 erreichen 2026 ihr Ablaufdatum und werden durch Zertifikate aus dem Jahr 2023 ersetzt.

Wann besteht für deinen PC wirklich Handlungsbedarf?

Für einen privaten Windows-11-Rechner würde ich den Handlungsbedarf an vier Punkten festmachen:

• Windows-Sicherheit meldet ausdrücklich eine erforderliche Aktion.
• Die automatische Aktualisierung scheitert wegen einer Hardware- oder Firmwareeinschränkung.
• Windows Update funktioniert auf dem Rechner nicht zuverlässig.
• Secure Boot ist deaktiviert und du möchtest die Konfiguration ändern.

Zeigt Windows-Sicherheit dagegen an, dass alle erforderlichen Zertifikatupdates angewendet wurden, kannst du das Thema abhaken.

Auch bei einem vorübergehend angehaltenen Update musst du nicht sofort an BIOS, Registry oder Secure-Boot-Schlüsseln arbeiten. Solche Sperren können bewusst gesetzt sein, weil für eine bestimmte Hardwarekonfiguration noch keine ausreichend sichere automatische Aktualisierung möglich ist.

Das ist für mich der wichtigste Unterschied zwischen sinnvoller Kontrolle und unnötigem Aktionismus. Ein Statuscheck dauert nur wenige Minuten. Eingriffe in die Firmware sollten dagegen immer einen konkreten Grund haben.

Fazit: Secure Boot Zertifikate prüfen statt vorschnell eingreifen

Die Secure Boot Zertifikate 2026 sind ein echtes Sicherheitsthema, aber für die meisten privaten Windows-11-Nutzer kein Grund zur Panik. Die neuen Zertifikate werden auf geeigneten Home- und Pro-Geräten automatisch über Windows Update verteilt.

Ich würde deshalb zuerst Windows-Sicherheit > Gerätesicherheit > Sicherer Start öffnen und den dort angezeigten Text kontrollieren. Steht dort, dass alle erforderlichen Zertifikatupdates angewendet wurden, musst du nichts weiter unternehmen.

Zeigt Windows noch eine ältere Startvertrauensstellung, installierst du zunächst sämtliche Windows-Updates und startest den Rechner neu. Meldet die Sicherheits-App danach eine Firmwareeinschränkung oder eine erforderliche Aktion, ist der Geräte- beziehungsweise Mainboard-Hersteller die nächste sinnvolle Anlaufstelle.

Von manuellen Änderungen an Secure-Boot-Schlüsseln würde ich auf einem normal genutzten PC ohne konkreten Anlass abraten. Windows liefert inzwischen selbst eine verständliche Statusanzeige. Genau diese Anzeige entscheidet, ob dein Rechner bereits vorbereitet ist oder tatsächlich noch Arbeit auf dich wartet.