Microsoft warnt vor ablaufenden Sicherheitszertifikaten

Microsoft startet eine entscheidende Kampagne, um Millionen Windows-Nutzer vor dem Auslaufen veralteter Sicherheitszertifikate zu warnen. Ab sofort zeigt eine neue Ampel-Funktion in der Windows-Sicherheits-App an, ob der PC für die kritische Zertifikats-Erneuerung bereit ist.

Während Microsoft die Sicherheitszertifikate aktualisiert, sollten Windows-Nutzer auch ihren Basisschutz vor Viren und Spionage-Software auf den neuesten Stand bringen. Dieser kostenlose Experten-Ratgeber zeigt Ihnen, wie Sie Ihren Rechner effektiv gegen aktuelle Bedrohungen absichern. Gratis Anti-Virus-Paket jetzt herunterladen

Die Ampel für die Boot-Sicherheit

Im Zentrum steht ein dreistufiges Warnsystem im Bereich Gerätesicherheit. Ein grünes Häkchen bedeutet: Alles aktuell. Diese Geräte, oft aus den Jahren 2024 und 2025, haben die neuen 2023-Zertifikate bereits installiert und benötigen kein weiteres Handeln.

Ein gelbes Warndreieck signalisiert: Aktion erforderlich. Dieser Status betrifft voraussichtlich viele Geräte aus den Jahren 2020 bis 2023. Sie können das Update empfangen, benötigen aber oft ein manuelles Firmware-Update vom Hersteller wie Dell, HP oder Lenovo.

Die kritischste Stufe ist ein rotes Stopp-Schild. Es zeigt an, dass das Gerät die neuen Zertifikate derzeit nicht empfangen kann, oft aufgrund einer ungepatchten Sicherheitslücke. Bleibt ein System bis Juni 2026 in diesem Zustand, verliert es den Empfang wichtiger Boot-Sicherheitsupdates. Der PC startet zwar weiter, ist dann aber deutlich anfälliger für tiefgreifende Angriffe.

Warum dieser Wechsel unvermeidlich ist

Der Grund für den massiven Umbau ist simpel: Die alten Secure-Boot-Zertifikate laufen ab. Sie stammen aus dem Jahr 2011 und haben eine geplante Lebensdauer von 15 Jahren. Ab Ende Juni 2026 können sie nicht mehr zur Signierung des Bootloaders genutzt werden.

Microsoft ersetzt daher den „Windows UEFI CA 2011“ durch den „Windows UEFI CA 2023“. Dieser Wechsel betrifft zwei Schlüsselkomponenten der UEFI-Firmware. Für Sicherheitsexperten ist das mehr als eine Formalie: Die neuen Zertifikate sind eng mit der Abwehr von High-Level-Bedrohungen wie dem BlackLotus-Bootkit verknüpft. Sie ermöglichen es, kompromittierte Bootloader effektiver zu sperren.

Die Herausforderung für Unternehmen

Für IT-Abteilungen wird die Umstellung zur Logistik-Aufgabe. Microsoft stellt zwar die Software-Updates bereit, doch auf vielen älteren Geräten muss erst die Firmware aktualisiert werden, bevor das neue Zertifikat im Hauptspeicher des Motherboards hinterlegt werden kann.

Microsoft hat für Administratoren ein „Secure Boot Playbook“ veröffentlicht. Es erklärt, wie sich der Zertifikats-Status tausender Geräte etwa mit Microsoft Intune überwachen lässt. Der Rat lautetet: Ältere Firmware-Updates sofort priorisieren, um einen Engpass kurz vor der Juni-Frist zu vermeiden.

Besonders ältere Hardware steht durch die neuen Sicherheitsanforderungen vor Herausforderungen, doch ein Wechsel auf das moderne Windows 11 ist oft trotzdem möglich. IT-Experte Manfred Kratzl erklärt in seinem kostenlosen Leitfaden, wie der Umstieg auch auf offiziell inkompatiblen Geräten sicher gelingt. Kostenlosen Praxisleitfaden für Windows 11 sichern

Ein notwendiger Schritt im Kampf gegen Bootkits

Die Cybersecurity-Branche begrüßt die transparentere Warnung. Der Boot-Vorgang sei für viele Nutzer ein blinder Fleck, während Hacker zunehmend die UEFI-Firmware angreifen, um sich dauerhaft einzunisten. Die neuen Zertifikate verkleinern diese Angriffsfläche.

Kritiker befürchten jedoch Verwirrung. Microsoft stellt klar: PCs, die das Update nicht schaffen, werden nicht unbrauchbar („bricked“). Sie fallen lediglich in einen „herabgesetzten Sicherheitszustand“ – genau das soll das neue Dashboard verhindern.

Der Countdown läuft

Mit dem Start der Ampel-Funktion beginnt die heiße Phase. Ab Mai 2026 plant Microsoft, systemweite Warnungen einzuführen, die auch außerhalb der Sicherheits-App erscheinen.

Die erste harte Deadline kommt Ende Juni 2026 mit dem Ablauf der 2011-KEK-Zertifikate. Eine zweite folgt im Oktober 2026. Bis dahin soll der Wechsel für alle unterstützten Windows-11- und Windows-10-Versionen abgeschlossen sein. Für die wenigen Geräte, die aus Hardware-Gründen scheitern, bleibt nur ein Rat: Sie sollten ersetzt werden, um im modernen Bedrohungsumfeld bestehen zu können.

boerse | 69059927 |