Zertifikate für Secure Boot abgelaufen: Wie prüfe ich, ob unsere PCs betroffen sind?

Die kurze Antwort: Mit der Microsoft Windows Production PCA 2011 ist am 19. Oktober 2026 das letzte der drei Zertifikate abgelaufen, die Microsoft 2011 für Secure Boot ausgestellt hat. Ihre PCs starten laut Microsoft trotzdem normal und installieren weiter die üblichen Windows-Updates. Ohne die Nachfolger aus dem Jahr 2023 fehlen aber neue Schutzmaßnahmen für den frühen Startvorgang, etwa Korrekturen am Start-Manager von Windows oder neue Sperrlisten für unsichere Startprogramme. Die meisten Geräte erhalten die neuen Zertifikate automatisch, und auch nach dem Ablauf lassen sie sich noch einspielen. Ob ein Gerät fertig ist, zeigt der Registrierungswert UEFICA2023Status: Steht dort Updated, ist es erledigt. Hier finden Sie die Prüfwege, eine Entscheidungshilfe für Betriebe mit Microsoft 365 Business Premium und die Risiken beim Einspielen (Stand: Oktober 2026).

Was abgelaufen ist und was das bedeutet

Secure Boot prüft beim Einschalten anhand von Zertifikaten in der Firmware, ob die Software vor dem Windows-Start vertrauenswürdig signiert ist. Laut Microsoft sind diese drei abgelaufen:

Geräte ohne die neuen Zertifikate erhalten laut Microsoft keine neuen Schutzmaßnahmen für den frühen Startvorgang mehr: keine Updates für den Start-Manager, für die Datenbanken und Sperrlisten von Secure Boot und keine Abwehr neu entdeckter Schwachstellen auf Startebene. Die letzten Fassungen des Start-Managers mit alter Signatur sind eingefroren, künftige Sicherheitskorrekturen für das Startladeprogramm signiert Microsoft nur noch mit der Windows UEFI CA 2023. Künftige große Windows-Versionen setzen das neue Zertifikat in der Firmware voraus. Verantwortlich für die Aktualisierung bleibt laut Microsoft letztlich der Kunde, auch wenn Microsoft viele Geräte selbst versorgt.

So prüfen Sie ein einzelnes Gerät

Die Befehle führen Sie in einer PowerShell mit Administratorrechten aus.

1. Ist Secure Boot eingeschaltet? Unter Start, Einstellungen, Datenschutz & Sicherheit, Windows-Sicherheit, Gerätesicherheit muss im Abschnitt „Sicherer Start“ stehen, dass der sichere Start aktiviert ist; dasselbe meldet der Befehl Confirm-SecureBootUEFI. Ohne Secure Boot erhält ein Gerät laut Microsoft keine neuen Zertifikate; fragen Sie vor dem Einschalten beim Hersteller nach.
2. Statusanzeige lesen. Im selben Abschnitt zeigt die App Windows-Sicherheit bei aktuellem Updatestand einen grünen, gelben oder roten Hinweis. Ein grünes Häkchen allein bestätigt laut Microsoft nicht, dass die Zertifikate aktualisiert sind; entscheidend ist der Text, dass alle erforderlichen Zertifikatupdates angewendet wurden. Gelb steht etwa für eine Einschränkung von Hardware oder Firmware, Rot für ein Sicherheitsupdate des Windows-Starts, das die jetzige Startkonfiguration des Geräts nicht mehr aufnehmen kann.
3. Registrierungswert prüfen. UEFICA2023Status und UEFICA2023Error zeigen den Stand der Aktualisierung; die Abfrage steht unter dieser Liste.
4. Ereignisanzeige gegenprüfen. Im Systemprotokoll meldet die Quelle TPM-WMI mit dem Ereignis 1808, dass alle neuen Zertifikate und der neue Start-Manager eingespielt sind; das Fehlerereignis 1801 bedeutet, dass genau das noch aussteht.
5. Hersteller einbeziehen. Bei den Ereignissen 1795, 1802 oder 1803 liegt die Ursache in der Firmware oder bei fehlenden Schlüsseln des Herstellers; Microsoft verweist dann an den Gerätehersteller, etwa wegen eines Firmware-Updates.

Je nach Edition und Verwaltung blendet Windows die neuen Farbhinweise standardmäßig aus; Administratoren aktivieren sie mit dem Registrierungswert HideSecureBootStates gleich 0. Verlässlich ist Schritt 3, für den Microsoft in seinem Beispielskript diese Abfragen dokumentiert:

Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing" -Name UEFICA2023Status -ErrorAction Stop
Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing" -Name UEFICA2023Error -ErrorAction Stop

So lesen Sie das Ergebnis:

• NotStarted: Das Update ist noch nicht gelaufen.
• InProgress: Das Update läuft. Ist UEFICA2023Error zusätzlich ungleich 0, ist ein Schritt fehlgeschlagen; die Ereignisse im Systemprotokoll nennen den Grund.
• Updated: Alle neuen Schlüssel und der neue Start-Manager sind eingespielt.

Fehlt der Wert, wurde das Update laut Microsoft meist noch nicht angestoßen. Die zuständige Aufgabe läuft alle 12 Stunden, der neue Start-Manager wird erst mit einem Neustart eingespielt, und Microsoft rechnet mit 48 Stunden und mindestens einem Neustart, bis die Zertifikate angewendet sind.

Manche Geräte brauchen laut Microsoft ein Firmware-Update, das es womöglich nur innerhalb der Supportzeit des Herstellers gibt. Die Hinweisseiten der Hersteller sammelt Microsoft in KB5067177. Für ältere Geräte ohne Herstellersupport, deren Firmware das Update nicht korrekt verarbeitet, empfiehlt Microsoft, einen Austausch zu erwägen.

Die Entscheidung: Überblick ohne Enterprise-Lizenz

Bei wenigen PCs reicht der Blick an jedem Gerät. Für den zentralen Überblick hat Microsoft eine Anleitung mit Intune Remediations veröffentlicht, auf Deutsch „Korrekturen“: Ein Erkennungsskript meldet den Zustand jedes Geräts an Intune, das Ergebnis lässt sich als CSV exportieren. Remediations setzen laut Microsoft aber für die Nutzer der Geräte Windows Enterprise E3 oder E5 (enthalten in Microsoft 365 F3, E3 oder E5), Windows Education A3 oder A5 oder Windows Virtual Desktop Access voraus (Stand: Oktober 2026). Business Premium fehlt in dieser Liste; laut Microsoft sind Remediations mit Business Premium oder Pro allein nicht verfügbar. Diese Übersicht hilft bei der Wahl:

Windows Autopatch. Business Premium steht auf Microsofts Lizenzliste für Windows Autopatch, samt Häkchen bei den Berichten zu Qualitätsupdates; den Bericht „Secure Boot status“ nennt die Liste nicht eigens. Er liegt im Microsoft Intune Admin Center unter Reports, Windows Autopatch, Windows quality updates, Reiter Reports, und zeigt je Gerät, ob Secure Boot eingeschaltet ist, ob die Zertifikate aktuell sind und wie Microsoft die Bauart einstuft. Dafür müssen die Geräte über Autopatch verwaltet werden und mindestens die erforderlichen Diagnosedaten senden; außerdem muss in Intune unter Tenant administration, Connectors and tokens, Windows data die Verarbeitung der Windows-Diagnosedaten eingeschaltet sein. Neue Werte erscheinen laut Microsoft bis zu 12 Stunden nach dem Neustart im Bericht.

Beispielskript. Auf Geräten mit aktuellem Updatestand liegt Microsofts Skript zur Bestandsaufnahme im Ordner %systemroot%\SecureBoot\ExampleRolloutScripts. Es liest die Registrierungswerte und die Ereignisse 1801 und 1808 aus und gibt das Ergebnis als JSON aus; laut Microsoft eignet es sich auch für andere Verwaltungswerkzeuge. Ein vorhandenes Monitoring kann damit den Stand einsammeln.

Verteilen statt nur beobachten. Business Premium enthält Intune Plan 1. Sind die BitLocker-Schlüssel gesichert, legen Sie unter Devices, Manage devices, Configuration für Windows 10 and later ein Profil vom Typ Settings catalog an und fügen aus der Kategorie Secure Boot die Einstellung „Enable Secureboot Certificate Updates“ hinzu; ein Zuweisungsfilter nach Gerätemodell erlaubt eine schrittweise Verteilung. Auf Windows Pro greift die Einstellung laut Microsoft inzwischen; nur unter Windows 11 Pro Version 23H2 kann noch der Fehler 65000 auftreten. Dass die Einstellung ankommt, heißt laut Microsoft nicht, dass die Zertifikate sofort eingespielt sind; den Erfolg zeigt Schritt 3. Für kleine Bestände mit vielen verschiedenen Modellen schlägt Microsoft vor, sich stark auf die automatischen Hilfen zu stützen und zuerst die Geräte anzugehen, die für den Tagesbetrieb entscheidend sind. Gerätetypen, die Microsoft als „high confidence“ einstuft, kann Microsoft mit den Monatsupdates automatisch versorgen, auch ohne Diagnosedaten des Geräts; das Oktober-Update hat diese Verteilung fortgesetzt, mehr dazu im Beitrag zum Patchday Oktober 2026. Wird die Einstellung „Configure High Confidence Opt-Out“ aktiviert, ist dieser Weg blockiert.

Risiken: BitLocker und Startprobleme

Microsoft nennt die Risiken selbst: In wenigen Fällen kann ein Gerät nach dem Einspielen der neuen Zertifikate nicht starten oder den BitLocker-Wiederherstellungsschlüssel verlangen. Microsoft rät deshalb, die Schlüssel vor Updates für Startkette, Firmware oder Secure Boot sicher abzulegen, ausdrücklich auch vor den monatlichen Windows-Updates. Prüfen Sie zuerst, ob für jedes Gerät der Schlüssel in Entra ID liegt; wie das eingerichtet wird, zeigt unser Beitrag Notebook verloren. Diese Fälle beschreibt Microsoft:

• Einmalige BitLocker-Abfrage: Beim ersten Start nach dem Update meldet die Firmware die neuen Werte manchmal noch nicht. Nach Eingabe des 48-stelligen Schlüssels startet das Gerät wieder normal; prüfen Sie dann die Firmware-Updates.
• Ereignis 1032: Die BitLocker-Konfiguration passt nicht zum Update; Microsoft beschreibt, BitLocker für zwei Neustarts auszusetzen.
• Zurückgesetzte Firmware: Wird Secure Boot nach dem Update auf Werkseinstellungen zurückgesetzt und enthält die Firmware die neuen Zertifikate noch nicht als Standard, fehlen sie wieder, und das Gerät startet nicht mehr. Für den Notfall beschreibt Microsoft einen Wiederherstellungsstick.
• Fehlerhafte Firmware: Manche Firmware überschreibt die Signaturdatenbank, statt sie zu ergänzen, und das Gerät startet nicht. Microsoft rät, Secure Boot in der Firmware zurückzusetzen und ein korrigiertes Firmware-Update des Herstellers einzuspielen.
• Kein Zurück aus Windows: Eingespielte Zertifikate kann Windows nicht mehr entfernen, das geht nur über die Firmware.

Startet ein Gerät nach dem Einspielen gar nicht mehr, nennt Microsoft als Ausweg, Secure Boot in der Firmware abzuschalten. Als Umgehung des Zertifikatsablaufs lehnt Microsoft das Abschalten dagegen ausdrücklich ab.

Prüfliste zum Abhaken

• Geräteliste mit Hersteller, Modell und Firmwarestand angelegt
• BitLocker-Wiederherstellungsschlüssel jedes Geräts in Entra ID gefunden
• Unterstützte Windows-Version: Nur diese erhalten die Zertifikate, Windows 10 außer LTSC nur mit ESU (siehe Umstieg auf Windows 11); für Windows 11 Version 24H2 Home und Pro war das Oktober-Update laut Microsoft das letzte
• Secure Boot eingeschaltet
• UEFICA2023Status auf Updated, UEFICA2023Error auf 0, Ereignis 1808 vorhanden
• Geräte mit InProgress nach 48 Stunden und einem Neustart erneut geprüft
• Hersteller einbezogen, wo die Ereignisse 1795, 1802 oder 1803 auftreten
• Geräte ohne Lösung als Ausnahme dokumentiert und für den Austausch vorgemerkt
• Secure Boot nur auf Werkseinstellungen zurücksetzen, wenn die Firmware die neuen Zertifikate als Standard enthält

Häufige Fragen

Startet ein PC ohne die neuen Zertifikate irgendwann nicht mehr?

Laut Microsoft führt der Ablauf nicht dazu, dass Geräte nicht mehr starten; sie laufen mit dem eingefrorenen alten Start-Manager weiter. Sie erhalten aber keine neuen Sicherheitskorrekturen für das Startladeprogramm, wenn Schwachstellen auf Startebene bekannt werden. Künftige große Windows-Versionen lassen sich laut Microsoft nur noch auf Geräten installieren, die das neue Zertifikat in der Firmware haben.

Ist es nach dem Ablauf zu spät für das Update?

Nein. Laut Microsoft lassen sich die neuen Zertifikate auch einspielen, wenn die alten bereits abgelaufen sind, solange das Gerät Windows startet und Updates installiert. Die meisten Geräte erhalten sie automatisch, manche brauchen zusätzlich ein Firmware-Update des Herstellers.

Kann ich Secure Boot nicht einfach ausschalten?

Davon rät Microsoft ausdrücklich ab. Ohne Secure Boot sinkt der Schutz deutlich, die Absicherung gegen Schadsoftware auf Startebene fällt weg, und es können neue Sicherheits- und Compliance-Risiken entstehen. Geräte mit ausgeschaltetem Secure Boot erhalten außerdem keine neuen Zertifikate.

So unterstützt Sie die High5Manufaktur GmbH

Die High5Manufaktur GmbH prüft für kleine und mittlere Unternehmen den Stand der Zertifikate auf allen Windows-Geräten und stellt vorher sicher, dass jeder BitLocker-Schlüssel in Entra ID liegt. Im Rahmen von IT-Monitoring und Patchmanagement behalten wir den Status im Blick, auch ohne Enterprise-Lizenz, und dokumentieren Geräte, die ein Firmware-Update oder einen Austausch brauchen. In Intune richten wir die schrittweise Verteilung je Gerätemodell ein, mehr dazu unter Intune und Defender; wann die nächsten Updates kommen, zeigen unsere Patchday-Termine. Im kostenlosen Erstgespräch klären wir, welcher Prüfweg zu Ihren Geräten passt.

Quellen

• Microsoft Support, Windows Secure Boot certificate expiration and CA updates (KB5062710), Stand 18.05.2026, abgerufen am 22.10.2026, https://support.microsoft.com/en-us/help/5062710
• Microsoft Support, Windows Production CA 2011 expiration and bootloader updates (KB5132953), Stand 22.10.2026, abgerufen am 22.10.2026, https://support.microsoft.com/en-us/help/5132953
• Microsoft Support, When Secure Boot certificates expire on Windows devices (KB5079373), veröffentlicht am 10.02.2026, abgerufen am 22.10.2026, https://support.microsoft.com/en-us/help/5079373
• Microsoft Support, Frequently asked questions about the Secure Boot update process (KB5068008), Stand 23.02.2026, abgerufen am 22.10.2026, https://support.microsoft.com/en-us/help/5068008
• Microsoft Support, Secure Boot certificate update status in the Windows Security app (KB5087130, deutsche Fassung), Stand 03.04.2026, abgerufen am 22.10.2026, https://support.microsoft.com/de-de/help/5087130
• Microsoft Support, Secure Boot Certificate updates: Guidance for IT professionals and organizations (KB5062713, deutsche Fassung), Stand 05.05.2026, abgerufen am 22.10.2026, https://support.microsoft.com/de-de/help/5062713
• Microsoft Support, Registry key updates for Secure Boot: Windows devices with IT-managed updates (KB5068202), Stand 20.03.2026, abgerufen am 22.10.2026, https://support.microsoft.com/en-us/help/5068202
• Microsoft Support, Sample Secure Boot Inventory Data Collection script (KB5072718), Stand 13.05.2026, abgerufen am 22.10.2026, https://support.microsoft.com/en-us/help/5072718
• Microsoft Support, Secure Boot DB and DBX variable update events (KB5016061), Stand 02.06.2026, abgerufen am 22.10.2026, https://support.microsoft.com/en-us/help/5016061
• Microsoft Support, Original Equipment Manufacturer (OEM) pages for Secure Boot (KB5067177), Stand 19.08.2026, abgerufen am 22.10.2026, https://support.microsoft.com/en-us/help/5067177
• Microsoft Support, Monitoring Secure Boot certificate status with Microsoft Intune remediations (KB5080921), veröffentlicht am 18.02.2026, abgerufen am 22.10.2026, https://support.microsoft.com/en-us/help/5080921
• Microsoft Learn, Remediations, Stand 16.04.2026, abgerufen am 22.10.2026, https://learn.microsoft.com/en-us/intune/device-management/tools/deploy-remediations
• Microsoft Learn, Secure Boot status report in Windows Autopatch, Stand 05.05.2026, abgerufen am 22.10.2026, https://learn.microsoft.com/en-us/windows/deployment/windows-autopatch/monitor/secure-boot-status-report
• Microsoft Learn, Prerequisites (Windows Autopatch), Stand 27.02.2026, abgerufen am 22.10.2026, https://learn.microsoft.com/en-us/windows/deployment/windows-autopatch/prepare/windows-autopatch-prerequisites
• Microsoft Learn, Enable Windows diagnostic data and license verification, Stand 09.04.2026, abgerufen am 22.10.2026, https://learn.microsoft.com/en-us/intune/privacy/enable-windows-diagnostic-data
• Microsoft Learn, Microsoft Intune device management and application management in Microsoft 365 Business Premium, Stand 08.01.2026, abgerufen am 22.10.2026, https://learn.microsoft.com/en-us/microsoft-365/admin/security-and-compliance/m365bp-devices-enrollment
• Microsoft Support, Microsoft Intune method of Secure Boot for Windows devices with IT-managed updates (KB5073196), Stand 23.03.2026, abgerufen am 22.10.2026, https://support.microsoft.com/en-us/help/5073196
• Microsoft Support, Applying Secure Boot certificate update settings using model-based targeting in Microsoft Intune (KB5084490), veröffentlicht am 10.03.2026, abgerufen am 22.10.2026, https://support.microsoft.com/en-us/help/5084490
• Microsoft Support, Secure Boot troubleshooting guide (KB5085046), veröffentlicht am 19.03.2026, abgerufen am 22.10.2026, https://support.microsoft.com/en-us/help/5085046
• Microsoft Support, Windows devices for home users, businesses, and schools with Microsoft-managed updates (KB5062711), Stand 12.01.2026, abgerufen am 22.10.2026, https://support.microsoft.com/en-us/help/5062711
• Microsoft Support, October 13, 2026, KB5127648 (OS Builds 26300.9711, 26200.9711 and 26100.9711), Stand 20.10.2026, abgerufen am 22.10.2026, https://support.microsoft.com/en-us/help/5127648