Windows Production CA 2011 Ablauf- und Bootloader-Updates

Gilt für
Windows 11 Windows 10 ESU Windows 10 LTSB 2016 ESU Windows Server 2025 Windows Server 2022 Windows Server 2019 Azure

Ursprüngliches Veröffentlichungsdatum: Dienstag, 22. Oktober 2026
KB-ID: 5132953

Seit dem 19. Oktober 2026 laufen die ursprünglich im Jahr 2011 ausgestellten Microsoft Secure Boot-Zertifikate 15 Jahre ab. Dieser Ablauf führt nicht dazu, dass Computer nicht mehr aktiviert werden oder verhindern, dass Windows gestartet wird. Vorhandene Geräte lassen sich weiterhin normal starten und führen Windows aus. Weitere Informationen dazu, wie sich das Ablaufen von Zertifikaten auf Windows-Geräte auswirkt, finden Sie unter Wann Zertifikate für den sicheren Start auf Windows-Geräten ablaufen. Hintergrundinformationen zum breiteren Ablaufplan für 2026 Secure Boot-Zertifikate und Ersatzzertifizierungsstellen finden Sie unter Ablauf des Windows Secure Boot-Zertifikats und CA-Updates.

Zielgruppe

Dieser Artikel richtet sich an IT-Experten, Unternehmensadministratoren und Bereitstellungstechniker, die physische Windows-Flotten, Serverworkloads, virtuelle Maschinen und Installationsmedien verwalten.

Wenn Sie ein Heimbenutzer oder PC-Benutzer sind, dessen Gerät automatisch über Windows Update aktualisiert wird, müssen Sie die in diesem Artikel beschriebenen Maßnahmen nicht ergreifen. Windows Update verwaltet automatisch Zertifikat- und Startdateiupdates für persönliche Geräte. Eine verbraucherorientierte Anleitung finden Sie unter Windows-Geräte für Privatanwender, Unternehmen und Schulen mit von Microsoft verwalteten Updates.

Was ändert sich?

Zum Schutz von Systemen vor Schadsoftware vor dem Start und unbefugten Manipulationen basieren ausführbare Windows-Dateien auf digitalen Signaturen, die in zwei verschiedenen Betriebsphasen überprüft werden:

  1. Überprüfung des sicheren Starts vor dem Start: Bevor Windows geladen wird, überprüft die UEFI-Firmware die digitale Signatur des Windows-Startladeprogramms (z. B bootmgfw.efi . und cdboot.efi) anhand vertrauenswürdiger Autoritäten in der Datenbank für zugelassene Signaturen (DB).

  2. Überprüfung der Windows-Betriebssystemlaufzeit: Nach dem Start von Windows überprüfen der Kernel und die Sicherheitsfeatures des Betriebssystems die digitalen Authenticode-Signaturen von Treibern (.sys), Systemdiensten und Anwendungsbinärdateien (.exe, ). .dll

Am 19. Oktober 2026 ist das Microsoft Windows Production PCA 2011-Zertifikat planmäßig abgelaufen, und Microsoft hat beide Signaturdomänen auf moderne Zertifizierungsstellen umgestellt:

Updates für sicheren Start und Bootloader (Pre-Boot)

  • Bootloader friert in statischer binärer Form ein: Die endgültigen Versionen des Windows-Start-Managers, die mit dem Zertifikat von 2011 signiert wurden, werden in statischer binärer Form für alle unterstützten Windows-Servicebranches fixiert und erhalten keine zukünftigen Codewartungs- oder Sicherheitspatches.

  • Zukünftige Bootloader-Updates erfordern Windows UEFI CA 2023: Alle nachfolgenden Sicherheitspatches für das Windows-Startladeprogramm werden ausschließlich mit der Zertifikatskette Windows UEFI CA 2023 signiert. Ausführliche Informationen zur allgemeinen Wartung des Bootloaders, zur Überprüfung der Geräte status und zur Nachverfolgung der Registrierung finden Sie unter Updates von Zertifikaten für den sicheren Start status in der Windows-Sicherheit-App, Updates für Registrierungsschlüssel für Secure Boot und Ablauf von Zertifikaten für Windows Secure Boot sowie Updates für Zertifizierungsstellen.

  • Installation Media Bootloader-Übergang: In einer zukünftigen Updatemedienversion werden die von Microsoft verteilten Installationsmedien standardmäßig mit dem 2023 signierten Bootloader gestartet, während der eingefrorene 2011-Bootloader auf den Medien beibehalten wird. Ein Medienumkehrskript wird bereitgestellt, um Medien so zu konfigurieren, dass sie mit dem eingefrorenen 2011-Bootloader für Systeme gestartet werden, die dies erfordern. Ausführliche Medienpläne und Umkehrungstools werden im Abschnitt Startmedien und Setupverhalten im Betriebssystem beschrieben.

In-Windows Binär- und Katalogsignierung des Betriebssystems (Laufzeit)

  • Übergang zu Ersatz-Signaturberechtigungen: Windows-Betriebssysteminhalte (einschließlich Binärdateien mit eingebetteten Authenticode-Signaturen und Komponenten, die durch signierte Windows-Sicherheitskataloge authentifiziert werden) gehen von der auslaufenden Windows Production PCA 2011 auf Ersatzzertifizierungsstellen von Microsoft über. Beachten Sie, dass sich Signaturzertifizierungsstellen auch in Zukunft ändern können, wenn sich kryptografische Standards und Signaturpraktiken weiterentwickeln.

  • Einstellung der binären Signierung von PCA 2011 : Ab dem 19. Oktober 2026 signiert Microsoft keine Binär- oder Sicherheitskataloge mehr digital mit dem 2011 PCA-Zertifikat. Vorhandene Binärdateien, die bereits auf Systemen installiert sind, werden weiterhin normal ausgeführt, erhalten jedoch keine weiteren Updates, die mit dem 2011-Zertifikat signiert wurden.

  • Auswirkungen auf Anwendungssteuerung und -überprüfung: WDAC-Richtlinien (Custom App Control for Business), signierte Sicherheitskataloge oder CI/CD-Überprüfungstools, die die Vertrauensstellung an die PCA 2011-Autorität binden, blockieren möglicherweise aktualisierte Binärdateien. Anleitungen zum Überprüfen von Richtlinien und zum Überprüfen von Drittanbietersoftware finden Sie im Abschnitt Überlegungen zu Betriebsabläufen und möglichen Auswirkungen .

Betriebliche Überlegungen und mögliche Auswirkungen

Während der unterstützten, vollständig aktualisierten Windows-Installationen reibungslos übergehen, müssen Organisationen, die benutzerdefinierte Anwendungssteuerungsrichtlinien, Buildüberprüfungspipelines oder bestimmte Signaturzertifikatprüfungen erzwingen, die folgenden Betriebsbereiche bewerten:

Richtlinien zur Anwendungssteuerung (App Control for Business/WDAC)

Wenn Ihre organization App Control for Business oder signierte Sicherheitskataloge verwendet, überprüfen Sie Ihre Richtlinien auf Regeln, die von Microsoft signierten Code durch eine bestimmte Zertifizierungsstelle, einen bestimmten Aussteller oder Fingerabdruck autorisieren, z. B. Microsoft Windows Production PCA 2011. Da aktualisierte Windows-Binärdateien und Sicherheitskataloge mit Ersatzzertifizierungsstellen und nicht mit dem PCA-Zertifikat von 2011 signiert werden, entsprechen Dateien diesen Regeln möglicherweise nicht und können blockiert werden, wenn sie erzwungen werden. Beachten Sie, dass sich die Zertifizierungsstellen für binäre Signaturen auch in Zukunft ändern können:

  • Mögliche Symptome: Fehler bei der Installation kumulativer Sicherheitsupdates, Fehler bei Diensten während des Starts, Anwendungsblockierung durch ausführbare Datei oder DLL-Datei und Codeintegritätsereignis 3077 im Ereignisprotokoll.

  • Zertifikatsagilität und zukünftige Änderungen: Während aktualisierte Windows-Binärdateien und Sicherheitskataloge in Ersatzautoritäten übergehen, werden sich Signaturzertifikate und Zertifizierungsstellen in Zukunft mit der Weiterentwicklung kryptografischer Standards ändern. Aus diesem Grund sollten App Control-Richtlinien und Sicherheitskataloge das Anheften an bestimmte Zertifizierungsstellen, Betreffzeilen oder Fingerabdrücke vermeiden, und stattdessen bekannte Herausgeberregeln oder Richtlinienvererbung verwenden, die kompatibel bleiben, während Microsoft die Signaturzertifikate im Laufe der Zeit rotiert.

  • Erforderliche Aktion: Durchsuchen Sie Ihre Richtlinien-XML nach Signaturgeberregeln, die auf Microsoft-Zertifizierungsstellen verweisen, einschließlich Regeln, die von Beispielbasisrichtlinien geerbt wurden. Stellen Sie Richtlinienänderungen zuerst im Überwachungsmodus bereit und überprüfen Sie die Ergebnisse, bevor Sie sie durchsetzen. Ausführliche Schritte zur Richtlinienüberprüfung und Anleitungen zum Ökosystem finden Sie unter Vorbereiten des Windows-Ökosystems für die Codesignierung der nächsten Generation.

Anwendungen mit benutzerdefinierter Zertifikatüberprüfung, CI/CD-Pipelines und Sicherheitssoftware

Die meisten Windows-Anwendungen sind davon nicht betroffen. Für Anwendungen besteht nur dann ein Risiko, wenn sie eine benutzerdefinierte Überprüfung verwenden, die an bestimmte Microsoft-Zertifikate oder Signaturalgorithmen gebunden ist, oder wenn sie einen privaten Vertrauensspeicher unterhalten. Organisationen, die Windows-Anwendungen, CI/CD-Pipelines oder Sicherheitstools von Drittanbietern verwalten, sollten die folgenden Bereiche bewerten (wobei zu beachten ist, dass sich die Zertifizierungsstellen für binäre Signaturen auch in Zukunft ändern können):

  • Überprüfung des Zertifikats einer benutzerdefinierten Anwendung: Bei jeder Anwendung oder jedem Dienst, der eine benutzerdefinierte Überprüfung durchführt und das Vorhandensein von PCA 2011 voraussetzt, bestimmte Zertifikatketten überprüft, Zertifikatsubjekte anheftet oder sich auf feste Signaturmerkmale verlässt, können Fehler auftreten oder von Microsoft signierte Dateien ablehnen, die Windows als vertrauenswürdig erkennt. Aktualisieren Sie die Anwendungsvalidierung, um unterstützte Windows Trust-APIs (z. B. WinVerifyTrust) anstelle benutzerdefinierter Prüfungen zu verwenden, die an feste Zertifikate oder Signaturalgorithmen gebunden sind.

  • Software, die private Vertrauensspeicher verwendet: Stellen Sie sicher, dass alle Anwendungen, Container oder Dienste, die einen privaten Vertrauensspeicher verwalten, über einen Prozess verfügen, um legitime Microsoft-Zertifikatrotationen zu erkennen.

  • Buildvalidierung und CI/CD-Pipelines: Automatisierte Buildgates und statische Scanner, die eine statische Zulassungsliste der erwarteten Zertifizierungsstellen erzwingen, melden möglicherweise Überprüfungsfehler (z. B. Fehler bei Richtlinieninkongruenzen) für neu aktualisierte Windows-Komponenten. Aktualisieren Sie Zulassungslisten statischer Unterzeichner, um Ersatz-Microsoft-Zertifizierungsstellen zu erkennen, und richten Sie Überprüfungsprozesse ein, die zukünftige Rotationen von Zertifizierungsstellen berücksichtigen, wenn sich die Signaturstandards weiterentwickeln.

  • Sicherheits- und Antivirensoftware von Drittanbietern: Bestimmte Antiviren-, Endpunktschutz- und Anwendungsschutzprodukte von Drittanbietern überprüfen Authenticode-Signaturen direkt. Erkundigen Sie sich bei Ihren Softwareanbietern, ob sie die Kompatibilität mit Ersatz-Microsoft-Signaturzertifikaten geprüft und getestet haben. Eine Anleitung zur technischen Überprüfung finden Sie unter Vorbereiten des Windows-Ökosystems für die Codesignierung der nächsten Generation.

Startmedienbereitstellung auf älterer Hardware

Mit zukünftigen Updatemedienversionen werden offizielle Installationsmedien standardmäßig mit dem Windows UEFI CA 2023-Start-Manager gestartet:

  • Mögliche Symptome: Das Starten aktualisierter Medien auf physischer Hardware, deren UEFI-Firmware das Zertifikat 2023 in der Datenbank für zulässige Signaturen (DB) fehlt, schlägt mit einem Verstoß gegen den sicheren Start fehl.

  • Erforderliche Aktion: Für ältere Hardware ohne aktualisiertes OEM-BIOS, das dem 2023-Zertifikat vertraut, wird ein Medienrücksetzungsskript bereitgestellt, um die Medien so zu konfigurieren, dass sie mithilfe des eingefrorenen 2011-Bootloaders gestartet werden.

Startmedien und Setupverhalten im Betriebssystem

Der Übergang von Installationsmedien und Betriebssystemsetup unterscheidet sich zwischen vorhandenen Windows-Versionen und zukünftigen Windows-Versionen:

Installationsmedien für vorhandene Windows-Versionen

  • Standardstartpfad auf Installationsmedien: Zukünftige Installationsmedienversionen für derzeit unterstützte Versionen von Windows werden den 2023 signierten Windows-Start-Manager unter \EFI\Boot\bootx64.efi als Standardstartdatei für Startmedien bereitstellen.

  • Medienumkehr für ältere Firmware: Installationsmedienpakete mit 2023- und 2011-signierten Startbinärdateien, wobei die vorhandene Verzeichnisstruktur auf dem Medium und die EFI-Zielsystempartition (ESP) beibehalten wird. Für Hardware, die 2011-Bootdateien erfordert, wird ein Medienrücksetzungsskript bereitgestellt, um die Medien so zu konfigurieren, dass sie mithilfe des eingefrorenen 2011-Start-Managers gestartet werden.

  • Verhalten des direkten Upgrades: Wenn Sie ein direktes Upgrade durchführen, überprüft Windows Setup die Datenbank für zulässige Signaturen (DB) der Firmware. Wenn die Firmware der Windows UEFI CA 2023 bereits vertraut, stellt Setup die EFI-Zielsystempartition (ESP) mit dem 2023 signierten Start-Manager bereit. Wenn die Firmware nur PCA 2011 vertraut, stellt Setup den 2011-signierten Start-Manager bereit, um die Startfähigkeit beizubehalten. Nach dem Upgrade verwaltet die Windows-Standardwartung Zertifikatsupdates für die Firmwaredatenbank, und nachfolgende Qualitätsupdates stellen den ESP auf den Bootloader 2023 um, sobald die Firmware-Vertrauensstellung hergestellt ist.

  • Azure Marketplace-Medienübergang: Die VM-Katalogimages und Hostbereitstellungspipelines von Azure sind auf den standardmäßigen Zeitplan für Startmedien für 2023 abgestimmt.

Installationsmedien für zukünftige Windows-Versionen

  • In zukünftigen wichtigen Client- und Serverversionen von Windows werden Installationsmedien nur 2023-signierte Startbinärdateien enthalten, und 2011-signierte Startbinärdateien werden vollständig von den Medien entfernt.

  • Anforderung der Firmware-Vertrauensstellung für zukünftige Versionen: Zukünftige Hauptversionen von Windows erfordern das Windows UEFI CA 2023-Zertifikat in der Firmwaredatenbank (Allowed signature database, DB), um Installationsmedien zu starten und Windows Setup abzuschließen.

Mediengenerierung und Fallbackskripts

Die Medienverwaltung für verschiedene Hardwaregenerationen wird durch die folgenden Skripts unterstützt:

  • Aktualisieren von älteren Medien: Aktualisieren Sie vorhandene Installationsmedien, die standardmäßig auf den Bootloader 2011 festgelegt sind, mit Make2023BootableMedia.ps1auf den Bootloader 2023. Vollständige Skriptparameter und Downloadanweisungen finden Sie unter Aktualisieren startbarer Windows-Medien zur Verwendung des PCA2023 signierten Start-Managers.

  • Medienumkehrskript für ältere Firmware: Bei der Bereitstellung von Medien auf Systemen mit Firmware, die auf ein OEM-Update für das 2023-Zertifikat warten, kann das erwähnte Medienumkehrskript die Medien so konfigurieren, dass sie mithilfe des eingefrorenen 2011-Bootloaders gestartet werden.

Häufig gestellte Fragen

  • Löst das Aktualisieren des Bootloaders die BitLocker-Wiederherstellung aus?

    Während die Windows-Wartung funktioniert, um Plattformmessungen während Updates zu koordinieren, können je nach Konfiguration der Geräteschutzvorrichtung, Firmware-Verhalten und Systemstatus unerwartete BitLocker-Wiederherstellungsaufforderungen auftreten. Administratoren und Gerätebesitzer sollten sicherstellen, dass BitLocker-Wiederherstellungsschlüssel sicher gesichert sind, bevor sie Updates für die Startkette, Firmware oder den sicheren Start anwenden, einschließlich monatlicher Windows-Qualitätsupdates.

  • Wie wirken sich virtuelle Computer in Hyper-V, Azure und VMware aus?

    Virtuelle Hyper-V-Computer der Generation 2 erhalten aktualisierte Zertifikate über kumulative Standardupdates von Windows. Azure Trusted Launch und Confidential VMs erhalten Updates über die Azure-Plattformwartung. Stellen Sie für VMware vSphere sicher, dass ESXi-Host- und VM-Hardwareversionen auf Versionen aktualisiert werden, die die 2023-Zertifikate in Gast-UEFI-Vorlagen enthalten. Weitere Informationen finden Sie unter Vertrauenswürdige Start-VMs und Vertrauliche VMs in Azure.

  • Was passiert, wenn ein Gerät das Zertifikat 2023 nie erhält?

    Das Gerät wird weiterhin mit dem eingefrorenen, 2011-signierten Bootloader gestartet, erhält jedoch keine neuen Bootloader-Sicherheitsupdates, wenn zukünftige Sicherheitsrisiken auf Startebene entdeckt werden. Darüber hinaus wird in zukünftigen Hauptversionen von Windows das Zertifikat 2023 in der Datenbank "Zulässige Signatur" (DB) benötigt, und Installationsmedien blockieren die Installation auf Geräten, auf denen es nicht vorhanden ist.

Änderungsprotokoll
Datum ändern Beschreibung ändern
Dienstag, 22. Oktober 2026 Die erste Veröffentlichung deckt den Ablauf von Windows Production PCA 2011 am 19. Oktober 2026, das Einfrieren des Bootloaders, zukünftige Updates der Installationsmedien, die Auswirkungen auf die Anwendungssteuerung und Fallback-Konvertierungstools ab.