Am 24. Juni 2026 ist das Zertifikat Microsoft Corporation KEK CA 2011 abgelaufen, am 27. Juni folgt die UEFI CA 2011 und am 19. Oktober die Windows Production PCA 2011. Geräte ohne die 2023er-Nachfolger starten weiter, bekommen aber keine neuen Secure-Boot-Updates mehr. Der Artikel fasst das Bulletin des Herstellers Protectli und Microsofts Hinweise zusammen und nennt Schritte für Admins.
Seit dem 24. Juni 2026 ist das erste von drei Microsoft-Zertifikaten für Secure Boot abgelaufen. Betroffene Geräte booten weiter, verpassen aber künftig neue Schutzupdates für den Systemstart.
Das Wichtigste in Kürze
- Windows und die meisten Linux-Systeme starten weiter. Der Ablauf allein stoppt keinen installierten Betrieb, so die Hersteller.
- Ohne die 2023er-Zertifikate gibt es keine neuen Secure-Boot-Updates mehr. Das gilt für Datenbanken, Sperrlisten und Boot-Manager.
- Drei Ablaufdaten stehen fest: 24. Juni, 27. Juni und 19. Oktober 2026.
- Ein Firmware-Update bringt die Nachfolger. Bei manchen Herstellern ist es noch in Arbeit.
Secure Boot: Welche Zertifikate ablaufen
Microsoft nennt drei Zertifikate, die 2026 auslaufen. Der Hersteller Protectli listet in seinem Bulletin TSB-2026-003 zusätzlich Aufgabe und Nachfolger.
| Zertifikat | Läuft ab | Aufgabe | Nachfolger |
|---|---|---|---|
| Microsoft Corporation KEK CA 2011 | 24. Juni 2026 | Autorisiert Updates der Signaturdatenbanken db und dbx | KEK 2K CA 2023 |
| Microsoft UEFI CA 2011 | 27. Juni 2026 | Prüft Bootloader von Drittanbietern, auch den Linux-Shim | Microsoft UEFI CA 2023 |
| Windows Production PCA 2011 | 19. Oktober 2026 | Prüft den Windows-Bootloader | Windows UEFI CA 2023 |
Die Ablaufdaten bestätigt auch Microsofts Supportartikel. Er erschien erstmals am 26. Juni 2025 und wurde zuletzt am 18. Mai 2026 aktualisiert.
Was nach dem Ablauf passiert
Das Bulletin von Protectli erschien am 24. Juni 2026 in Version 1.0.0 und wurde am selben Tag zuletzt aktualisiert. Die Einstufung lautet "High".
Dabei gilt: Ein abgelaufenes Zertifikat kann keine Updates der Datenbanken mehr signieren. Betroffene Geräte erhalten dann keine neuen Secure-Boot-Schlüssel, keine Sperrlisten und keine Schutzmassnahmen gegen neu entdeckte Lücken im Bootvorgang. Daten bleiben unberührt.
Bei Linux hängt das Verhalten von der Distribution ab. Stellt sie einen Shim bereit, der nur mit den 2023er-Zertifikaten signiert ist, kann ein Gerät ohne diese Zertifikate den Start verweigern.
Wen es trifft
Das Bulletin nennt Geräte mit AMI-BIOS, auf denen Secure Boot aktiv ist und nur die 2011er-Zertifikate eingetragen sind. Die Modelle der V-Serie tragen die neuen Zertifikate bereits, coreboot-Geräte ebenfalls. Der Hersteller entwickelt ein Firmware-Update. Wer Secure Boot abgeschaltet hat, ist nicht betroffen.
Was Admins jetzt tun
- Inventarisiere, welche Geräte Secure Boot nutzen und welche Zertifikate in KEK und db stehen.
- Spiele Firmware-Updates deiner Hersteller ein, sobald sie die 2023er-Zertifikate enthalten.
- Lass Secure Boot eingeschaltet, solange das System normal startet. Nur wenn ein Gerät wegen Secure Boot nicht mehr bootet, nennt Protectli das Abschalten als Übergangslösung.
- Plane den 19. Oktober 2026 ein, wenn Windows-Geräte nur die PCA 2011 kennen.
Die Hinweise der Washington State University zeigen, wie ein IT-Dienst die drei Nachfolger (KEK CA 2023, UEFI CA 2023, Option ROM CA 2023) einordnet. Wie sich Updates im Alltag einplanen lassen, zeigt der Überblick zu einem Patchday.
Fazit
Der Ablauf macht keine Geräte unbrauchbar, öffnet aber über Monate eine Lücke bei Updates des Systemstarts. Prüfe deshalb jetzt Firmware und Zertifikatsstand deiner Flotte und halte den 19. Oktober 2026 im Kalender.
Quellen: Protectli TSB-2026-003, Microsoft Support, WSU ITS. Foto: WolfBlur / Pixabay. Stand: 24. Juni 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.