Der Rechner fährt hoch wie jeden Morgen, kein Fenster, keine Warnung, und doch ist am 19. Oktober 2026 das letzte der drei Microsoft-Zertifikate von 2011 ausgelaufen, auf die sich Secure Boot stützt. Secure Boot Zertifikat abgelaufen: Das heißt nicht, dass dein PC nicht mehr startet. Es heißt, dass er ohne die neuen 2023er-Zertifikate keine neuen Schutzmaßnahmen für die Startphase mehr bekommt. Ob deiner sie hat, zeigt ein Blick in die Windows-Sicherheit-App.

Stand dieser Angaben: 2. November 2026

Die Microsoft-Supportseiten zu Secure Boot wurden am 2. November abgerufen. Die Statusanzeige in der Windows-Sicherheit-App wird laut Microsoft schrittweise ausgerollt, sie kann auf deinem PC deshalb noch fehlen.

Secure Boot Zertifikat abgelaufen: Was am 19. Oktober passiert ist

Microsoft führt auf seiner Supportseite drei Zertifikate von 2011 mit ihren Ablaufdaten und je einem Nachfolger von 2023. Das Datum der letzten Zeile ist der 19. Oktober.

Zertifikat von 2011 Läuft ab Wofür es dient Nachfolger
Microsoft Corporation KEK CA 2011 24. Juni 2026 signiert Änderungen an den Listen erlaubter und gesperrter Signaturen KEK 2K CA 2023
Microsoft UEFI CA 2011 27. Juni 2026 signiert Bootloader und Zusatz-Firmware anderer Hersteller UEFI CA 2023, Option ROM UEFI CA 2023
Microsoft Windows Production PCA 2011 19. Oktober 2026 signiert den Windows-Bootloader Windows UEFI CA 2023

Was weiter funktioniert, beschreibt Microsoft deutlich: Der PC startet normal, Windows-Updates werden weiter installiert, Programme, Netzwerk und Browser laufen wie gewohnt. Was fehlt, ist die Zukunft: Neue Schutzmaßnahmen für Boot-Manager und Sperrlisten lassen sich auf einem Gerät ohne die 2023er-Zertifikate nicht mehr einspielen, auch keine Korrekturen für neu entdeckte Lücken in der Startkette. Auch Drittanbieter-Software, die auf Microsofts Secure-Boot-Vertrauen aufbaut, kann Probleme bekommen.

Lies den Text unter „Sicherer Start“, nicht nur das Häkchen

Den Status zeigt laut Microsoft seit April 2026 die Windows-Sicherheit-App unter Gerätesicherheit (englisch: Device security) und dort Secure Boot. PCGH beschreibt den Weg in der deutschen Oberfläche so:

  1. Windows-Sicherheit öffnen, etwa über die Suche im Startmenü.
  2. Links auf „Gerätesicherheit“ klicken.
  3. Rechts das Symbol neben „Sicherer Start“ ansehen.

Ein grünes Häkchen allein reicht laut Microsoft nicht als Beleg. Dazu muss die Meldung stehen, dass Secure Boot an ist und alle nötigen Zertifikatsupdates eingespielt wurden. Die deutschen Wortlaute der Meldungen wurden für diesen Beitrag nicht gegengeprüft; die folgende Zuordnung gibt Microsofts englische Texte sinngemäß wieder.

Meldung (sinngemäß) Was Microsoft empfiehlt
Alle nötigen Zertifikatsupdates angewendet ✅ nichts tun
Älteres Boot-Vertrauen, sollte aktualisiert werden 🔄 alle Windows-Updates installieren, neu starten, wenn Windows es verlangt
Bekanntes Problem, Update vorübergehend pausiert 🔄 nichts tun, es läuft automatisch weiter, sobald es behoben ist
Gerät unterstützt die automatische Aktualisierung wegen Hardware oder Firmware nicht ❌ den Hersteller des Geräts kontaktieren
Gerät kann die nötigen Updates für das Windows-Startverfahren nicht mehr erhalten ❌ nach Ablauf der Daten noch altes Zertifikat, Hinweise unter aka.ms/getsecureboot

Gelb steht für einen Hinweis, Rot für „sofort kümmern“. Die Warnungen lassen sich wegklicken. Microsoft rät davon ab, solange das Gerät die neuen Zertifikate noch nicht hat.

Registry und Ereignisprotokoll

PCGH nennt zusätzlich den Registry-Wert UEFICA2023Status unter HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing. „Updated“ bedeutet laut PCGH, dass die Umstellung abgeschlossen ist. Ein anderer Wert ist nicht zwingend ein Fehler, weil sie schrittweise läuft. Die Ereignis-IDs 1801 und 1795 im Windows-Ereignisprotokoll deuten dort auf eine ausstehende oder fehlgeschlagene Aktualisierung. Auf einem Windows-11-Rechner existierten Schlüssel und Wert; die Deutung der Werte stützt sich auf PCGH, nicht auf eine Microsoft-Seite.

KB5134133 und KB5134134 haben mit Secure Boot nichts zu tun

Am 26. Oktober hat Microsoft zwei außerplanmäßige Updates veröffentlicht, KB5134133 für Windows 11 24H2, 25H2 und 26H2 sowie KB5134134 für 26H1. Wer nach Zertifikaten sucht, stolpert darüber. Laut Microsofts Seiten sind sie für Geräte gedacht, die keine aktuellen Zertifikatsvertrauenslisten erhalten, etwa in abgeschotteten Umgebungen. Sie enthalten aktualisierte Root-Zertifikate, und beide Seiten verweisen auf Microsofts Reaktion auf kompromittierte Schlüssel der Zertifizierungsstelle eMudhra. Secure Boot kommt in den beiden Seiten nicht vor.

Das erklärt auch den Datumsstreit: Microsoft datiert beide Updates auf den 26. Oktober, The Register berichtete am 27. Oktober darüber. Beides stimmt, es ist ein Veröffentlichungs- und ein Berichtsdatum. Für den Prüfweg oben spielen die Updates keine Rolle; als Secure-Boot-Lösung installiert man sie nicht.

Wann lohnt Abwarten, wann ein Firmware-Update?

Auf Heim-PCs kommen die Zertifikate laut Microsoft über Windows Update, in der Mehrzahl der Fälle ist nichts zu tun. Ob das auch für ältere Rechner gilt, bleibt offen. Microsoft nennt als Gründe für Ausnahmen Geräte, die ein Hersteller-Firmware-Update brauchen, und weist darauf hin, dass solche Updates oft nur für Geräte im Support-Zeitraum erscheinen. PCGH ergänzt als Ursachen inkompatible Firmware, fehlende Herstellerschlüssel und eine deaktivierte Aufgabe „Secure-Boot-Update“.

Drei Dinge sind klar belegt und gelten für alle:

  • Secure Boot nicht abschalten. Microsoft nennt das ausdrücklich als falschen Umweg.
  • Keine Schlüssel vorsorglich zurücksetzen. PCGH warnt, dass dabei vorhandene Zertifikate verschwinden und der Start im ungünstigsten Fall scheitert.
  • Bei verschlüsseltem Laufwerk den BitLocker-Wiederherstellungsschlüssel sichern, bevor du Firmware aktualisierst. Cert.at weist darauf hin, dass geänderte Secure-Boot-Variablen eine Abfrage auslösen können.

Windows 10 ist ein Sonderfall: Laut PCGH bekommen Windows-10-Rechner die neuen Zertifikate nur mit den erweiterten Sicherheitsupdates. Wie die Frist dafür läuft, steht im Beitrag zum Weiterspielen unter Windows 10.

Ein Mainboard, für das der Hersteller keine Firmware mehr liefert, kann die Umstellung womöglich gar nicht mehr mitmachen; ob dann Aufrüsten oder ein neuer Rechner die Antwort ist, behandelt der Beitrag PC aufrüsten oder neu kaufen.

Wie viele Rechner am Ende ohne neue Zertifikate bleiben, hat weder Microsoft noch eines der gelesenen Medien beziffert. Gelb oder rot in der Windows-Sicherheit ist die einzige Auskunft, die du heute für deinen eigenen PC bekommst.

Quellen