Windows 11: Secure-Boot-Frist 2026 ist (k)ein hartes Aus
Microsoft beantwortet in einer zweiten Fragerunde, was Nutzer vor dem Ablauf des Secure-Boot-Zertifikats am 24. Juni 2026 unternehmen müssen. Der PC bleibt startfähig, ohne neue Schlüssel fehlen jedoch künftige Sicherheitsupdates.
Microsoft hat in einer zweiten Ask Microsoft Anything-Sitzung am 4. Juni 2026 offene Fragen zum auslaufenden Secure-Boot-Zertifikat beantwortet. Im Mittelpunkt steht der Key Exchange Key, dessen Zertifikat Microsoft Corporation KEK CA 2011 am 24. Juni 2026 sein kryptografisches Ablaufdatum erreicht. Wer Windows 11 oder Windows 10 mit aktivem Secure Boot verwendet, sollte den Zertifikatsstatus vorher entsprechend überprüfen. Worum es bei der Secure-Boot-Frist im Juni 2026 geht, hatten wir bereits erklärt, ebenso das Update mit dem neuen KEK-Schlüssel.
Secure Boot für Windows 11: Was der 24. Juni 2026 ändert
Die alten Secure-Boot-Zertifikate stammen aus dem Jahre 2011 und bilden die Vertrauensbasis für den Startvorgang von Windows. Der US-Konzern aus Redmond ersetzt die alte Schlüsselkette durch die neueren Zertifikate aus dem Jahr 2023. Den vollständigen Ablaufplan samt Diagnoseskripten und den Hersteller-Links bündelt Microsoft in seinem Secure-Boot-Playbook innerhalb der Tech-Community.
Secure Boot: Der 24. Juni ist (k)ein hartes Aus
Der 24. Juni 2026 stoppt weder den manuellen Zertifikatsweg noch den Startvorgang von Windows-PCs. An diesem Tag läuft allein der KEK-Schlüssel ab. Das dazugehörige DB-Zertifikat bleibt bis Oktober gültig, und sämtliche bereits signierten Update-Pakete inklusive Registrierungsschlüssel und geplanter Aufgabe arbeiten unverändert weiter.
Was endet, ist Microsofts Fähigkeit, neue DBX-Sperrlisten zu signieren, mit denen kompromittierte Bootloader künftig blockiert werden. Ohne den neuen KEK verpasst ein Gerät diese künftigen Sperrlisten und gilt mit der Zeit als unsicherer, bootet aber weiterhin. Microsoft stellt hierzu die nötigen Ressourcen und Guides bereit.
Windows 11 zieht die Zertifikate meist automatisch nach
Das Juni-Update hebt laut Microsoft die große Mehrheit gängiger Windows-11-Geräte in die Stufe hohe Konfidenz. Systeme in dieser Gruppe erhalten die Zertifikate dann automatisch über Windows Update, ohne dass Nutzer eingreifen müssen.
Microsoft sortiert die Geräte dabei nicht nach Modellname, sondern bis hinunter zur Firmware-Version und ihrem Datum. Dieselbe Platine mit abweichendem BIOS-Stand kann daher in einer anderen Gruppe landen als ein scheinbar identisches Gerät.
Ältere Modelle erreichen die Stufe oft schneller, weil ihre kleinere Verbreitung die statistische Sicherheit früher erfüllt.
Secure Boot deaktiviert: Reaktivierung kann den Start blockieren
Bei abgeschaltetem Secure Boot kann Microsoft die Zertifikate nicht aktualisieren, und ein späteres Einschalten kann das System am Booten hindern. Die Firmware verweigert den Zertifikatstausch, solange Secure Boot deaktiviert ist, Windows aktualisiert den Boot-Manager indes auf die 2023-Signatur.
Aktiviert man Secure Boot anschließend wieder, während die Firmware-Vertrauensdatenbank nur das 2011-Zertifikat kennt, passt die Signatur des Boot-Managers nicht mehr zur hinterlegten Schlüsselmenge. Das Resultat ist ein PC, welcher nicht mehr startet und sich nur mit Tastatur vor Ort über die Datei "SecureBootRecovery.efi" wiederherstellen lässt.
Microsoft rät, die Reaktivierung vorab an einem Testgerät zu prüfen, und sammelt die nötigen Schritte unter aka.ms/GetSecureBoot.
Status prüfen: Ereignisanzeige und Registrierungsschlüssel helfen
Die nach TPM-WMI gefilterte Ereignisanzeige zeigt mit den Einträgen 1801, 1802 und 1803, woran ein Gerät beim Zertifikatsupdate hängt.
- Eintrag 1801 meldet, dass das Update ansteht, aber noch Daten fehlen.
- 1802 verweist auf ein Firmware-Problem und damit meist auf den Status temporär pausiert, der ein Firmware-Update des Herstellers verlangt.
- 1803 zeigt eine fehlende PK-signierte KEK-Freigabe an.
Wer die automatische Verteilung nicht abwarten will, erzwingt das Update über den passenden Registrierungsschlüssel oder die Intune-Richtlinie. Derselbe Mechanismus greift unter Windows 10 mit ESU sowie auf Windows Server 2012 und 2012 R2.
Mitmachen und kommentieren
Wie stehen Sie zu diesem Thema? Die PCGH-Redaktion freut sich schon über Ihre Meinung in den Kommentaren zu dieser Meldung. Sollten Sie hingegen noch keinen Extreme-Account haben, laden wir Sie zu einer Registrierung im Forum ein. Beachten Sie beim Kommentieren aber bitte die gültigen Forenregeln. Folgen Sie gerne PCGH bei 🔈 YouTube oder 💬 WhatsApp und erhalten Sie Neuigkeiten zu CPUs, Grafikkarten und Gaming direkt in Ihrem Feed.
Quelle: Microsoft via Windows Latest
Watchdogs, Anonymus.
Wer es nicht tätigt, muss sich dann auch nicht ärgern, wenn sein System nicht "sauber" läuft.
Hab nun 1 Jahr Cachy mit drauf und alles in Ordnung.
Der älteste Rechner ist von 2011, den ich betreibe, alles top.
Hab nun 1 Jahr Cachy mit drauf und alles in Ordnung.
Der älteste Rechner ist von 2011, den ich betreibe, alles top.