Microsoft plant umfangreiches Update für Windows Secure Boot

width="1920" height="1080" sizes="auto, (max-width: 1920px) 100vw, 1920px">Die Zertifikate für Secure Boot stammen noch aus der Zeit von Windows 8.Loyd Case/IDG



Microsoft steht kurz davor, sein Secure-Boot-System deutlich zu modernisieren – und Unternehmenskunden, die noch nicht mit dem Upgrade begonnen haben, sind bereits im Rückstand.



Secure Boot ist ein Windows-Subsystem, das beim Systemstart überprüft, ob jeder Treiber mit einem vertrauenswürdigen Zertifikat signiert ist. Stimmt etwas nicht überein, wird es blockiert. Für Unternehmensnetzwerke sind die Secure-Boot-Erweiterungen wichtig, da sie vor Angriffen auf Firmware-Ebene, Bootkits und Ransomware schützen und die Integrität der Geräte gewährleisten.



Zertifikate aus 2011



Secure Boot ist Teil des UEFI-Firmware-Standards, der das ältere BIOS-Modell für moderne PCs abgelöst hat. Es wurde 2011 in UEFI integriert, damit beim Systemstart nur vertrauenswürdiger, signierter Code ausgeführt werden kann.



Microsoft hat die Zertifikate für Secure Boot seit der Einführung vor 15 Jahren nicht aktualisiert. Jeder seit 2012 hergestellte PC, auf dem Windows 10, Windows 11 oder die letzten vier Versionen von Windows Server (2016/2019/2022/2025) laufen, verwendet weiterhin Zertifikate aus dem Jahr 2011.



Ab dem 27. Juni 2026 bis in den Oktober hinein laufen diese Zertifikate aus. Wenn dies geschieht, funktionieren Desktops und Server zwar weiterhin, verlieren jedoch die Fähigkeit, Sicherheits-Updates für den Boot-Prozess zu erhalten. Zum Beispiel:




Neue Schutzmaßnahmen für den Windows Boot Manager lassen sich nicht installieren.





Updates für die Secure-Boot-Datenbank werden nicht angewendet.



Sperrlisten, die bekannte schädliche Software blockieren, werden nicht aktualisiert.



Das System verliert schrittweise die Fähigkeit, sich selbst zu verteidigen.




Für Desktops besteht die Lösung im Wesentlichen aus einem Windows-Update und einem neuen UEFI-Firmware-Upgrade. Zwei Updates reichen aus. Bei Windows Server ist der Prozess weitaus komplexer.



Windows Server erfordert manuelle Eingriffe



Windows Server folgt einem völlig anderen Update-Prozess. Während Upgrades für Windows-Desktop-PCs weitgehend automatisch erfolgen, erfordert Windows Server manuelle Eingriffe. IT-Administratoren müssen die Zertifikats-Updates validieren und manuell über die gesamte Server-Infrastruktur ausrollen.



Die Dokumentation von Microsoft für Windows Server-Administratoren umfasst Dutzende von Seiten. Sie beinhaltet PowerShell-Befehle, Überprüfungen von Registrierungsschlüsseln, Firmware-Validierung, Pilotbereitstellungen und sorgfältiges Monitoring – insbesondere in Unternehmen mit Tausenden Servern.



Einige Geräte weisen grundlegende Einschränkungen in ihrer Hardware oder Firmware auf, die sie daran hindern, die automatisierten Zertifikatsaktualisierungen zu empfangen. Dies sind keine theoretischen Fälle. Microsofts eigene Dokumentation bestätigt dies.



Bestandsaufnahme erforderlich



Administratoren müssen zunächst erfassen, welche Windows-Server-Systeme Secure Boot verwenden, und prüfen, ob die neuen Zertifikate bereits vorhanden sind. Einige der neuesten Server enthalten bereits aktualisierte Zertifikate, allerdings nur sehr aktuelle Versionen. Microsoft empfiehlt, die Server vollständig zu patchen und anschließend den Zertifikats-Update-Pfad für alle betroffenen Geräte anzuwenden, die noch auf die ältere Kette von 2011 angewiesen sind.



Für verwaltete Umgebungen empfiehlt Microsoft, physische Server, Cluster-Knoten und virtuelle Servermaschinen getrennt zu validieren, da sich Images und Firmware-Update-Verhalten je nach Plattform unterscheiden können.



Bei Computern, die nicht mehr gewartet oder aktualisiert werden oder deren Hersteller nicht mehr im Geschäft ist, ist das Problem gravierender. Die einzig mögliche Lösung ist der Austausch der Hardware.



Microsoft handelt dabei nicht allein. Das Unternehmen arbeitet eng mit großen Hardwareherstellern wie HPE, Dell, Lenovo und anderen OEMs zusammen. Diese veröffentlichen bereits neue Firmware-Updates, damit Systeme die neuen Zertifikate akzeptieren können.



Hier finden Sie Links zu Ressourcen von Microsoft bezüglich des Zertifikats-Upgrades:




aka.ms/getsecureboot ist die offizielle Landingpage mit allen Anleitungen und Knowledgebase-Artikeln.



Secure Boot Playbook für Clients und Windows Server Secure Boot Playbook für Server.



Secure Boot-Statusberichte in Windows Autopatch für die flottenweite Überwachung ohne zusätzliche Kosten für Autopatch-Kunden.




(mb)