Treibersignaturen: Microsoft verlangt ab März 2027 SBOM-Dateien

Microsoft hat eine Aktualisierung seiner Infrastruktur für die Signierung von Windows-Code angekündigt. Anlass ist der Ablauf des Zertifikats "Microsoft Windows Production PCA 2011" am 19. Oktober 2026. Da die Umstellung auf einen Nachfolger nur noch wenige Wochen entfernt liegt, sind IT-Abteilungen und Softwarehersteller aufgerufen, ihre Systeme entsprechend vorzubereiten.

Wechsel zu stärkerer Verschlüsselung

Im Zuge der Umstellung wechselt Microsoft auf die kryptografischen Standards RSA-3072 und SHA-384, die bis Ende 2026 eingeführt werden sollen. Für 2027 kündigte der Konzern zudem eine Migration hin zu post-quantenkryptografischen Verfahren (PQC) an, mit denen Signaturen künftig auch gegenüber möglichen Angriffen durch Quantencomputer abgesichert werden sollen.

Microsoft rät IT-Abteilungen, für die Anbindung an die neue Infrastruktur ausschließlich Standard-APIs zu verwenden und keine eigenen, direkten Anpassungen an der Zertifizierungsstelle (CA-Fixes) vorzunehmen. Damit soll sichergestellt werden, dass Systeme nach der Umstellung reibungslos mit der neuen Zertifikatskette arbeiten und spätere Aktualisierungen nicht durch improvisierte Workarounds erschwert werden.

Neue Anforderungen an Treibersignaturen ab 2027

Über die reine Zertifikatserneuerung hinaus plant Microsoft weitergehende Änderungen am Signierprozess für Gerätetreiber. Ab März 2027 verlangt der Konzern im Rahmen des Windows Hardware Compatibility Program (WHCP) für Treibersignaturen unter Windows 11 25H2/26H1 sowie Windows Server 2025 zusätzliche Nachweise in Form von Software-Stücklisten (SBOM) im Format SPDX 3.0 sowie sogenannte VEX-Dateien, die Auskunft über bekannte Schwachstellen geben. Fehlen diese Dateien, wird laut Microsoft keine Signatur mehr erteilt.

Während Microsoft die Sicherheitsanforderungen für Windows 11 verschärft, stehen viele Anwender vor ganz praktischen Hürden im Systemalltag. Dieser kostenlose Report zeigt Ihnen, wie Sie typische Update-Fehler und Systemprobleme auch ohne IT-Techniker schnell selbst beheben. Erste Hilfe für Windows 11 kostenlos herunterladen

Für die praktische Umsetzung sollen entsprechende Werkzeuge im Windows Driver Kit (WDK) ab Dezember 2026 zur Verfügung stehen, damit Hersteller ihre Prozesse rechtzeitig vor Inkrafttreten der Pflicht im März 2027 anpassen können.

Zusätzlich schreibt Microsoft vor, dass die SBOM-Dateien zehn Jahre lang aufbewahrt werden müssen. Diese Aufbewahrungspflicht gilt sowohl für HLK-Signaturen (Hardware Lab Kit) als auch für sogenannte Attestation-Signaturen.

Bedeutung für Hersteller und IT-Abteilungen

Mit den angekündigten Schritten reagiert Microsoft auf wachsende Anforderungen an die Nachvollziehbarkeit von Software-Lieferketten und die langfristige Absicherung kryptografischer Verfahren. Für Gerätehersteller und Softwareanbieter bedeutet dies zusätzlichen Dokumentationsaufwand, da ohne vollständige SBOM- und VEX-Dateien künftig keine Treibersignaturen mehr ausgestellt werden.

Wer sich mit den neuesten technischen Standards von Windows 11 befasst, sollte auch für Systemnotfälle gewappnet sein. Erfahren Sie in dieser Gratis-Anleitung, wie Sie einen universellen USB-Boot-Stick erstellen, um Ihr System jederzeit sicher neu zu starten oder zu reparieren. Kostenlose Anleitung für Windows 11 Boot-Stick sichern

IT-Verantwortliche in Unternehmen sind zudem gefordert, den bevorstehenden Zertifikatswechsel im Oktober 2026 rechtzeitig nachzuvollziehen, um Störungen bei signierten Anwendungen und Treibern zu vermeiden.

de | wissenschaft | 70047798 |