Microsoft startet weltweite Zertifikats-Erneuerung für Windows-Sicherheit

Microsoft verteilt neue Sicherheitszertifikate für Secure Boot, um eine kritische Lücke zu schließen. Ab Juni 2026 benötigen Millionen Windows-PCs die Updates, um vor Bootkit-Angriffen geschützt zu bleiben.

Microsoft erneuert die Sicherheitszertifikate für Millionen Windows-PCs, um eine kritische Lücke zu schließen. Ab Juni 2026 laufen die bisherigen digitalen Schlüssel aus – wer nicht aktualisiert, bleibt angreifbar.

Die Kampagne läuft bereits. Seit den Sicherheitsupdates vom 10. Februar verteilt der Konzern die neuen Zertifikate für Secure Boot, eine Grundfunktion zum Schutz vor tief verwurzeltem Schadcode. Ohne diese Erneuerung würden PCs ab Sommer in einen „degradierten Sicherheitszustand“ fallen. Sie könnten dann keine neuen Schutzmaßnahmen mehr erhalten.

Warum dieser Wechsel so dringend ist

Secure Boot ist in der UEFI-Firmware moderner Computer verankert. Die Funktion baut eine Vertrauenskette auf: Jede Software-Komponente – von der Firmware bis zum Windows-Kernel – muss digital signiert sein. Das blockiert Rootkits und Bootkits, die sich vor dem Betriebssystem einnisten.

Das System stützt sich auf Zertifikate in der PC-Firmware. Die originalen Schlüssel von 2011 haben eine 15-jährige Lebensdauer und laufen ab Juni 2026 aus. Ohne die neuen Zertifikate von 2023 können Geräte künftige Sicherheitsupdates für den Startvorgang nicht mehr validieren.

„Das System würde weiterlaufen, aber sein Fundament wäre eingefroren“, erklärt ein Sicherheitsexperte. „Mit jeder neuen Angriffsmethode würde die Verwundbarkeit steigen.“

Direkte Antwort auf Bedrohungen wie BlackLotus

Hinter der Aktion steckt mehr als Routine. Microsoft reagiert auf reale Gefahren wie CVE-2023-24932 – eine Schwachstelle, die das berüchtigte Bootkit BlackLotus ausnutzte.

BlackLotus umging Secure Boot, indem es ältere, anfällige aber noch vertrauenswürdige Windows-Startmanager verwendete. Durch die neuen Zertifikate und das Sperren alter Komponenten schließt Microsoft diese Lücke. Der Update-Prozess fügt das Zertifikat „Windows UEFI CA 2023“ hinzu und aktualisiert die Sperrliste für bekannte gefährdete Signaturen.

So kommen die Updates zu Privatanwendern und Unternehmen

Für die meisten Privatgeräte läuft die Installation automatisch über Windows Update. Microsoft nutzt eine gestaffelte Verteilung: Telemetriedaten der Februar-Updates zeigen, welche Geräte bereit sind. Viele seit 2024 produzierte PCs haben die neuen Zertifikate bereits vorinstalliert.

Anzeige

Apropos Update und Startprobleme: Wenn Ihr PC nach Firmware‑ oder Zertifikats‑Änderungen nicht mehr startet oder Sie ein älteres System mit Reparaturbedarf haben, hilft ein USB‑Boot‑Stick. Ein kostenloser PDF‑Ratgeber zeigt Schritt für Schritt, wie Sie einen Windows‑11‑Boot‑Stick erstellen, das System sicher starten und im Notfall reparieren – ideal für Systemreparaturen und Neuinstallationen. Jetzt kostenlosen Guide zum Windows‑11‑Boot‑Stick sichern

In Unternehmen wird es komplexer. IT-Administratoren müssen den Rollout mit Tools wie Microsoft Intune steuern oder über Registrierungsschlüssel timen. Microsoft empfiehlt eine genaue Inventur, eventuelle Firmware-Updates der Hersteller und einen Pilotversuch vor der flächendeckenden Einführung.

Besitzer älterer Systeme mit nicht unterstützten Windows-10-Versionen erhalten die Zertifikate nicht. Microsoft warnt davor, Secure Boot abzuschalten – das würde den Malware-Schutz massiv schwächen.

Ein Mammutprojekt für die gesamte Windows-Welt

Der Zertifikatswechsel ist eine logistische Herausforderung für das gesamte Ökosystem. Die Zusammenarbeit mit Hardware-Herstellern ist entscheidend, denn manche Systeme benötigen spezielle Firmware-Aktualisierungen.

Die Maßnahme unterstreicht, wie langfristig grundlegende Sicherheitstechnologien verwaltet werden müssen. Bis zum Stichtag im Juni 2026 muss die Umstellung gelingen – sonst verlieren Millionen Geräte einen essenziellen Schutzschild. Die Februar-Updates sind der erste große Schritt, die Windows-Plattform vor der nächsten Generation von Boot-Angriffen zu wappnen.

@ boerse-global.de