Microsoft-Zertifikat endet am 19. Oktober: Boot-Schutz braucht ein Update
Das zentrale Signaturzertifikat für den Windows-Startvorgang, Microsoft Windows Production PCA 2011, erreicht das Ende seiner Gültigkeit. Als direkter Nachfolger für die Absicherung der Startumgebung dient künftig die Zertifizierungsstelle Windows UEFI CA 2023. Für Nutzer bedeutet der Ablauf des Zertifikats keinen abrupten Systemausfall – Computer starten auch ohne die neue Zertifikatskette weiterhin regulär und beziehen reguläre Windows-Updates. Allerdings erhalten Systeme ohne den aktuellen Nachfolger keine neuen Sicherheitsaktualisierungen für den Startprozess mehr.
Schutz vor Bootkits erfordert aktualisierte Signaturen
Die Modernisierung der kryptografischen Basis gilt als wesentlicher Schritt zur Absicherung moderner Rechner. Als konkretes Bedrohungsszenario gilt Schadsoftware auf Firmware-Ebene wie das Bootkit BlackLotus. Diese Schadware war in der Vergangenheit in der Lage, den Sicherheitsmechanismus Secure Boot selbst auf vollständig aktualisierten Systemen unter Windows 11 zu umgehen. Microsoft bestätigte in einem Bulletin vom 13.10.2026, dass der Übergang zur neuen Zertifikatsinfrastruktur läuft. Die Verteilung erfolgt gestaffelt über Windows Update und richtet sich nach der jeweiligen Hardware und Firmware der Geräte.
Prüfpfade und Anforderungen an Firmware
Nutzer und Administratoren können den Zustand ihrer Systeme über mehrere Wege einsehen. In den Einstellungen unter Windows-Sicherheit lässt sich über den Bereich Gerätesicherheit und Secure Boot oder das Systeminformationsprogramm msinfo32 der aktuelle Stand abrufen. Alternativ erlaubt eine Abfrage über die PowerShell die Überprüfung des Werts UEFICA2023Status, der Zustände wie NotStarted, InProgress oder Updated ausgibt, sowie eine direkte Suche nach dem Eintrag Windows UEFI CA 2023 in der Datenbank.
Bei älteren Geräten kann für die vollständige Umstellung ein Update des BIOS beziehungsweise UEFI erforderlich sein. Vor dem Einspielen neuer Firmware sollten Nutzer den Wiederherstellungsschlüssel der Festplattenverschlüsselung BitLocker sichern. Zudem rät der Hersteller davon ab, Secure Boot manuell zu deaktivieren oder die hinterlegten Schlüssel eigenhändig zu verändern.
No responses yet