Windows 11: Neues Secure-Boot-Update für alle PCs - so prüfen Sie die Installation
Microsoft erweitert mit dem Juni-Update die Verteilung neuer Secure-Boot-Zertifikate. Für viele Nutzer dürfte das automatisch geschehen, doch ein kurzer Check bleibt sinnvoll.
Mit dem Juni-Patchday 2026 hat Microsoft die Verteilung neuer Secure-Boot-Zertifikate ausgeweitet. Im Fall von Windows 11 ist dabei KB5094126 relevant, das für die aktuellen Windows-11-Builds 26200.8655 und 26100.8655 bereitsteht. Für Windows 10 nennt Microsoft dagegen eine eigene Aktualisierung, weshalb die KB-Nummer nicht pauschal auf beide Betriebssysteme übertragen werden sollte.
Hintergrund ist der geplante Zertifikatswechsel. Die bisher verwendeten Microsoft-Zertifikate stammen aus dem Jahr 2011 und erreichen 2026 ihr vorgesehenes Ablaufdatum. Microsoft nennt unter anderem den 24. Juni 2026 für das KEK-Zertifikat der Microsoft Corporation KEK CA 2011. Das Windows Production PCA 2011, das für den Windows-Bootloader genutzt wird, läuft nach Microsofts Übersicht am 19. Oktober 2026 aus. Die neuen Zertifikate tragen die Jahreszahl 2023 und sollen dafür sorgen, dass Windows weiterhin neue Schutzmaßnahmen für den frühen Bootvorgang erhalten kann.
Für die meisten privaten Windows-11-Systeme dürfte kein manueller Eingriff nötig sein. Microsoft verteilt die neuen Zertifikate über Windows Update, sofern das Gerät unterstützt wird und die Telemetrie- beziehungsweise Kompatibilitätsprüfung keinen bekannten Firmware-Konflikt meldet. Mit dem Juni-Update erweitert Microsoft zudem die Datenbasis für Geräte, die automatisch als geeignet eingestuft werden können.
Dennoch kann ein Kontrollblick sinnvoll sein. Seit April 2026 zeigt die Windows-Sicherheits-App zusätzliche Informationen zum Status der Secure-Boot-Zertifikate an. Der entsprechende Bereich findet sich unter Windows-Sicherheit, Gerätesicherheit und Secure Boot.
Ein gelber Hinweis kann bedeuten, dass Windows noch auf Voraussetzungen oder weitere Kompatibilitätsdaten wartet. In vielen Fällen genügt es dann, Windows Update aktiv zu lassen und ausstehende Neustarts durchzuführen. Microsoft weist allerdings auch darauf hin, dass ein gelber Hinweis auf Einschränkungen durch Hardware oder Firmware deuten kann.
Ein roter Hinweis ist kritischer. Dann kann Windows die erforderlichen Änderungen für die aktuelle Boot-Konfiguration nicht bereitstellen. In diesem Fall sollte zuerst geprüft werden, ob der Hersteller des Mainboards oder Komplettsystems ein neues BIOS beziehungsweise UEFI anbietet. Das betrifft etwa Systeme von HP, Dell, Lenovo, Asus und anderen Herstellern. Besonders ältere PCs können davon abhängig sein, ob der Hersteller noch Firmware-Updates bereitstellt.
Wichtig ist: Ein PC ohne neue Zertifikate startet nach dem Ablaufdatum nicht mehr automatisch. Microsoft schreibt ausdrücklich, dass betroffene Geräte zunächst weiter starten und Standard-Windows-Updates weiterhin installiert werden. Die Einschränkung liegt stattdessen bei künftigen Schutzmaßnahmen für den frühen Bootvorgang, darunter Updates für den Windows Boot Manager, Secure-Boot-Datenbanken und Sperrlisten gegen verwundbare oder missbrauchte Boot-Komponenten.
Mitmachen und kommentieren
Wie stehen Sie zu diesem Thema? Die PCGH-Redaktion freut sich über Ihre fundierte Meinung in den Kommentaren zu dieser Meldung. Sollten Sie noch keinen Extreme-Account haben, laden wir Sie zu einer Registrierung im Forum ein. Beachten Sie beim Kommentieren aber bitte die gültigen Forenregeln. Folgen Sie gerne PCGH bei 🔈 Youtube oder 💬 Whatsapp und erhalten Sie Neuigkeiten zu Grafikkarten, CPUs und Gaming direkt in Ihrem Feed.
Quelle: via Windows Latest
Mit diesem Update umfassen Windows-Qualitätsupdates zusätzliche Hochzuversichts-Gerätezieldaten, die die Abdeckung von Geräten erhöhen, die automatisch neue Zertifikate für den sicheren Start erhalten können. Geräte erhalten die neuen Zertifikate nur nach dem Nachweis ausreichender erfolgreicher Updatesignale, wobei ein kontrollierter und stufenweiser Rollout aufrechterhalten wird.
Wichtig ist: Ein PC ohne neue Zertifikate startet nach dem Ablaufdatum nicht mehr automatisch. Microsoft schreibt ausdrücklich, dass betroffene Geräte zunächst weiter starten und Standard-Windows-Updates weiterhin installiert werden. Die Einschränkung liegt stattdessen bei künftigen Schutzmaßnahmen für den frühen Bootvorgang, darunter Updates für den Windows Boot Manager, Secure-Boot-Datenbanken und Sperrlisten gegen verwundbare oder missbrauchte Boot-Komponenten.