Windows Update Zertifikate ablaufen: Was jetzt zu tun ist

Was ist passiert?

Am 17. Mai 2027 und am 19. Juni 2027 laufen Zertifikate ab, über die Windows-Geräte eine vertrauenswürdige Verbindung zu Windows Update aufbauen. Microsoft hat die Änderung am 8. Oktober 2026 im Windows Message Center angekündigt und am 3. November 2026 in der Monatsübersicht für IT-Administratoren erneut hervorgehoben. Geräte, die bis zum jeweiligen Stichtag die Ersatzzertifikate nicht erhalten haben, verlieren laut Microsoft den Zugriff auf Windows Update und bekommen danach auf diesem Weg keine Updates mehr. Ein Gerät, das bis dahin nicht aktualisiert wurde, kann sich die fehlenden Zertifikate danach also nicht mehr über Windows Update nachholen.

Welche Geräte sind betroffen?

Laut Microsoft brauchen die meisten Geräte mit einer unterstützten Windows-Version keine besondere Maßnahme, wenn sie monatliche Updates regelmäßig erhalten. Entscheidend ist die Version:

• Windows 11 ab Version 25H2: keine Maßnahme nötig.
• Windows 11 Version 24H2 und Windows Server 2025: Sicherheitsupdate vom September 2025 oder neuer, installiert vor dem 19. Juni 2027.
• Andere unterstützte Versionen von Windows 11, Windows Server 2022 und unterstützte Versionen von Windows 10: Sicherheitsupdate vom Juli 2026 oder neuer, installiert vor dem 19. Juni 2027.
• Windows 10 Enterprise 2019 LTSC, Windows Server 2019 und Windows Server 2016: Sicherheitsupdate vom Juli 2026 oder neuer, installiert vor dem 17. Mai 2027.
• Alle anderen Windows-Versionen: Microsoft empfiehlt das Upgrade auf eine unterstützte Version.

Geräte, die ihre Updates über Windows Server Update Services (WSUS) beziehen, sind laut Microsoft von dieser Änderung nicht betroffen.

Konkrete Handlungsempfehlungen

1. Bestand erfassen

Listen Sie alle Windows-Clients und Server mit Version und Stand des letzten installierten Updates auf – auch Geräte außerhalb der zentralen Verwaltung, etwa an Maschinen, Kassen oder Terminals.

2. Update-Quelle klären

Halten Sie fest, ob ein Gerät seine Updates über WSUS, direkt über Windows Update oder über Microsoft Intune erhält. Nur so lässt sich sagen, welche Geräte von den Stichtagen betroffen sind.

3. Server und LTSC-Geräte priorisieren

Für Windows Server 2016, Windows Server 2019 und Windows 10 Enterprise 2019 LTSC gilt die frühere Frist am 17. Mai 2027. Planen Sie die Wartungsfenster jetzt. Bei Windows Server 2016 kommt hinzu, dass der erweiterte Support laut Microsoft am 12. Januar 2027 endet – eine Migration ist dann ohnehin fällig.

4. Monatliche Updates verlässlich ausrollen

Mit Microsoft Intune und Windows Autopatch sehen Sie, welche Geräte hinterherhängen, und verteilen Updates gestaffelt. Geräte, die monatlich aktualisiert werden, sind im Vorteil – das gilt auch für die parallel laufenden Secure-Boot-Zertifikatsänderungen.

5. Altsysteme ersetzen

Geräte mit nicht mehr unterstützten Windows-Versionen erhalten keine Lösung über die monatlichen Updates. Hier hilft nur das Upgrade oder der Austausch.

Was tun, wenn ein Gerät bereits betroffen ist?

• Prüfen Sie, ob das Gerät noch auf eine unterstützte Version aktualisierbar ist.
• Installieren Sie das erforderliche Sicherheitsupdate (Juli 2026 bzw. September 2025) vor dem Stichtag.
• Für nicht mehr unterstützte Versionen: Upgrade oder Austausch planen.
• Bei WSUS-verwalteten Geräten: keine Maßnahme nötig, aber Dokumentation der Update-Quelle pflegen.

Empfehlung für die nächsten 30 Tage

Erstellen Sie eine Inventarliste aller Windows-Geräte mit Version und Update-Quelle. Priorisieren Sie Server und LTSC-Geräte mit der Frist 17. Mai 2027. Richten Sie ein verlässliches Update-Management mit Intune und Windows Autopatch ein und planen Sie die Ablösung älterer Server, insbesondere Windows Server 2016.

Quellen

• InSys AG: Windows Update Zertifikate laufen 2027 ab (04.11.2026)
• Microsoft Windows Message Center (08.10.2026)

Hinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz (KI) erstellt.