Hinweis
- Ursprüngliches Veröffentlichungsdatum: Dienstag, 26. Juni 2025
- KB-ID: 5062710
Änderungsprotokoll
| Datum ändern | Beschreibung ändern |
|---|---|
| Freitag, 18. Mai 2026 |
|
| Dienstag, 5. Mai 2026 |
|
| 3. Februar 2026 |
|
| Dienstag, 10. November 2025 | Zwei Tippfehler unter "Neues Zertifikat" wurden korrigiert:
|
Was ist sicherer Start?
Der sichere Start ist ein Sicherheitsfeature in UEFI-basierter Firmware (Unified Extensible Firmware Interface), mit dem sichergestellt wird, dass während der Startsequenz eines Geräts nur vertrauenswürdige Software ausgeführt wird. Dabei wird die digitale Signatur der Pre-Boot-Software anhand einer Reihe vertrauenswürdiger digitaler Zertifikate (auch als Zertifizierungsstelle oder CA bezeichnet) überprüft, die in der Firmware des Geräts gespeichert sind. Als Branchenstandard definiert UEFI Secure Boot, wie die Plattformfirmware die Zertifikate verwaltet, die Firmware authentifiziert und wie das Betriebssystem (OS) mit diesem Prozess verbunden ist. Weitere Informationen zu UEFI und Secure Boot finden Sie unter Secure Boot.
Der sichere Start wurde erstmals in Windows 8 eingeführt, um vor der damals aufkommenden Pre-Boot-Malware (auch als Bootkit bekannt) zu schützen. Im Rahmen der Plattforminitialisierung authentifiziert der sichere Start Firmwaremodule vor der Ausführung. Diese Module enthalten UEFI-Firmwaretreiber (z. B. Option-ROMs), Startladeprogramme und Anwendungen. Als letzter Schritt des Prozesses für den sicheren Start überprüft die Firmware, ob der sichere Start dem Startladeprogramm vertraut. Anschließend übergibt die Firmware die Steuerung an das Startladeprogramm, das die Überprüfung durchführt, in den Arbeitsspeicher lädt und das Windows-Betriebssystem startet.
Der sichere Start definiert vertrauenswürdigen Code über eine während der Herstellung festgelegte Firmwarerichtlinie. Änderungen an dieser Richtlinie, z. B. das Hinzufügen oder Widerrufen von Zertifikaten, werden durch eine Hierarchie von Schlüsseln gesteuert. Diese Hierarchie beginnt mit dem Plattformschlüssel (PK), der in der Regel dem Hardwarehersteller gehört, gefolgt vom Schlüsselregistrierungsschlüssel (Key Enrollment Key, KEK) (auch als Schlüsselaustauschschlüssel bezeichnet), der einen Microsoft KEK und andere OEM-KEKs umfassen kann. Die Datenbank für zulässige Signaturen (DB) und die Datenbank für nicht zulässige Signaturen (DBX) bestimmen, welcher Code in der UEFI-Umgebung ausgeführt werden kann, bevor das Betriebssystem gestartet wird. Die Datenbank enthält Zertifikate, die von Microsoft und dem OEM verwaltet werden, während die DBX von Microsoft mit den neuesten Sperrungen aktualisiert wird. Jede Entität mit einem KEK kann DB und DBX aktualisieren.
Die Auswirkungen des Ablaufs des Zertifikats für den sicheren Start
Microsoft aktualisiert die ursprünglich 2011 ausgestellten Secure Boot-Zertifikate, um sicherzustellen, dass Windows-Geräte weiterhin vertrauenswürdige Startsoftware überprüfen. Diese älteren Zertifikate laufen ab Juni 2026 ab. Geräte, die die neueren 2023-Zertifikate nicht erhalten haben, werden weiterhin normal gestartet und betrieben, und Standard-Windows-Updates werden weiterhin installiert. Diese Geräte können jedoch keine neuen Sicherheitsmechanismen für den frühen Startprozess mehr erhalten, einschließlich Updates für den Windows-Start-Manager, Datenbanken für den sicheren Start, Sperrlisten oder Risikominderungen für neu entdeckte Sicherheitsrisiken auf Startebene.
Im Laufe der Zeit schränkt dies den Schutz des Geräts vor neuen Bedrohungen ein und kann sich auf Szenarien auswirken, die auf der Vertrauensstellung des sicheren Starts beruhen, z. B. BitLocker-Härtung oder Bootloader von Drittanbietern. Die meisten Windows-Geräte erhalten die aktualisierten Zertifikate automatisch, und viele OEMs stellen bei Bedarf Firmwareupdates bereit. Wenn Sie Ihr Gerät mit diesen Updates auf dem neuesten Stand halten, können Sie sicherstellen, dass es weiterhin alle Sicherheitsvorkehrungen erhält, die der sichere Start bieten soll.
Windows Secure Boot-Zertifikate, die 2026 ablaufen
Seit der Einführung der Unterstützung des sicheren Starts durch Windows verfügen alle Windows-basierten Geräte über den gleichen Satz von Microsoft-Zertifikaten im KEK und in der Datenbank. Diese ursprünglichen Zertifikate nähern sich ihrem Ablaufdatum, und Ihr Gerät ist betroffen, wenn es über eine der aufgeführten Zertifikatversionen verfügt. Damit Windows weiterhin ausgeführt wird und Sie regelmäßige Updates für Ihre Secure Boot-Konfiguration erhalten, müssen Sie diese Zertifikate aktualisieren.
Terminologie
- KEK: Schlüssel zur Schlüsselregistrierung
- CA: Zertifizierungsstelle
- DB: Datenbank für Signaturen für den sicheren Start
- DBX: Datenbank für gesperrte Signaturen beim sicheren Start
| Abgelaufenes Zertifikat | Ablaufdatum | Neues Zertifikat | Speicherort | Zweck |
|---|---|---|---|---|
| Schlüsselaustauschschlüssel-ZS 2011 der Microsoft Corporation | Dienstag, 24. Juni 2026 | Microsoft Corporation KEK 2K CA 2023 | Im KEK gespeichert | Signiert Updates für DB und DBX. |
| Microsoft Windows Production PCA 2011 | Dienstag, 19. Oktober 2026 | Windows UEFI CA 2023 | In Datenbank gespeichert | Wird zum Signieren des Windows-Startladeprogramms verwendet. |
| Microsoft UEFI CA 2011*** | Dienstag, 27. Juni 2026 | Microsoft UEFI CA 2023 | In Datenbank gespeichert | Signiert Startladeprogramme und EFI-Anwendungen von Drittanbietern. |
| Microsoft UEFI CA 2011*** | Dienstag, 27. Juni 2026 | Microsoft Option ROM UEFI CA 2023 | In Datenbank gespeichert | Signiert Options-ROMs von Drittanbietern |
Hinweis
*Während der Erneuerung des Microsoft Corporation UEFI CA 2011-Zertifikats trennen zwei Zertifikate die Bootloader-Signatur von der Option-ROM-Signierung. Dies ermöglicht eine detailliertere Kontrolle über die Systemvertrauensstellung. Beispielsweise können Systeme, die Option-ROMs vertrauen müssen, das Microsoft Option ROM UEFI CA 2023 hinzufügen, ohne die Vertrauensstellung für Bootloader von Drittanbietern hinzuzufügen.
Microsoft hat aktualisierte Zertifikate ausgestellt, um die Kontinuität des Schutzes für den sicheren Start auf Windows-Geräten sicherzustellen. Microsoft verwaltet den Updateprozess für diese neuen Zertifikate auf einem erheblichen Teil der Windows-Geräte. Darüber hinaus bieten wir detaillierte Anleitungen für Organisationen, die ihre eigenen Geräteupdates verwalten.
Handlungsaufforderung
Möglicherweise müssen Sie Maßnahmen ergreifen, um sicherzustellen, dass Ihr Windows-Gerät sicher bleibt, wenn die Zertifikate im Jahr 2026 ablaufen. Sowohl UEFI Secure Boot DB als auch KEK müssen mit den entsprechenden neuen Zertifikatsversionen 2023 aktualisiert werden. Weitere Informationen zu den neuen Zertifikaten finden Sie unter Leitfaden zum Erstellen und Verwalten von Windows-Schlüsseln für den sicheren Start.
Ihre Aktionen variieren je nach Typ Ihres Windows-Geräts. Wählen Sie aus dem Menü auf der linken Seite den Gerätetyp und die spezifische Aktion aus, die Sie ausführen müssen.
Ressourcen des Microsoft-Kundendienstes
Informationen zur Kontaktaufnahme mit dem Microsoft-Support finden Sie unter:
Microsoft-Support und klicken Sie dann auf Windows.
Support for Business , und klicken Sie dann auf Erstellen , um eine neue Supportanfrage zu erstellen.
Nachdem Sie die neue Supportanfrage erstellt haben, sollte sie wie folgt aussehen:
