Secure Boot-Zertifikate laufen 2026 ab: Was Unternehmen und Privatanwender jetzt wissen müssen

Die Sicherheitsarchitektur von Millionen Windows-Computern steht vor einer stillen Zeitbombe: Die seit 15 Jahren im Einsatz befindlichen Secure Boot-Zertifikate von Microsoft laufen ab Juni 2026 aus. Unternehmen und Privatanwender, die ihre Systeme nicht rechtzeitig aktualisieren, riskieren eine dauerhafte Sicherheitslücke auf Boot-Ebene — einer der kritischsten Bereiche eines jeden Computersystems.

Was ist Secure Boot und warum ist es so wichtig?

Secure Boot ist eine Sicherheitsfunktion, die in den UEFI-Firmware-Standards von modernen PCs und Servern verankert ist. Sie stellt sicher, dass beim Hochfahren eines Computers ausschließlich Software geladen wird, die digital von vertrauenswürdigen Zertifikaten signiert wurde. Ohne Secure Boot könnten sogenannte Bootkits — Schadsoftware, die sich vor dem Betriebssystem installiert — unbemerkt auf einem System verbleiben und selbst moderne Antivirenprogramme umgehen.

Das bekannteste Beispiel ist der BlackLotus-Bootkit, der 2023 als erster UEFI-Bootkit bekannt wurde, der Secure Boot auf vollständig aktualisierten Windows 11-Systemen umgehen konnte.

Das Ablaufdatum: Juni 2026

Microsoft hat offiziell bestätigt, dass die aktuellen Secure Boot-Zertifikate, die in den KEK- und DB-Speichern der UEFI-Firmware hinterlegt sind, ab Juni 2026 zu verfallen beginnen. Laut Microsoft Security betrifft dies alle Systeme, auf denen Windows 10, Windows 11 sowie Windows Server 2016 bis 2025 laufen.

Die Konsequenz: Systeme, die diese Zertifikate nicht durch die neuen ersetzen, können nach dem Ablauf keine weiteren sicherheitskritischen Boot-Level-Updates mehr erhalten. Sie funktionieren weiterhin normal — aber werden zunehmend verwundbar gegenüber neuen Exploits, für die es keine Mitigationen mehr gibt.

Am 26. März 2026 veröffentlichte Microsoft bereits zwei wichtige vorbereitende Updates — KB5081494 und KB5083482 — für Windows 11-Versionen 24H2 und 25H2, die die Windows Recovery Environment (WinRE) und Setup-Binärdateien aktualisieren.

Welche Systeme sind besonders gefährdet?

Die Risikogruppe ist groß: Laut Analysen von Cybersicherheitsexperten sind vor allem ältere Geräte betroffen, die keine automatischen Updates mehr erhalten. Konkret handelt es sich um:

• Ältere PCs und Laptops mit Windows 10, die ab Oktober 2025 kein reguläres Support-Update mehr erhalten
• Windows Server-Installationen, die in vielen mittelständischen Unternehmen ohne regelmäßige Update-Zyklen betrieben werden
• Embedded-Systeme und Industrierechner, die aus Stabilitätsgründen seltener aktualisiert werden

Für Unternehmen in Deutschland ist die Lage besonders ernst: Laut dem Bundesamt für Sicherheit in der Informationstechnik (BSI) betreiben rund 40 % der kleinen und mittleren Unternehmen (KMU) noch Systeme mit veralteten Update-Ständen.

CVE-2026-21265: Die Sicherheitslücke dahinter

Microsoft hat die zugrundeliegende Schwachstelle als CVE-2026-21265 klassifiziert. Sie betrifft den Secure Boot-Zertifikatsmechanismus direkt und wird als „Security Feature Bypass" eingestuft — eine Kategorie von Schwachstellen, die es Angreifern ermöglicht, wichtige Sicherheitsfunktionen zu deaktivieren, ohne dass der Nutzer etwas bemerkt.

Die Sicherheitslücke wird nicht aktiv ausgenutzt, solange die Zertifikate noch gültig sind. Das ändert sich jedoch fundamental, sobald das Ablaufdatum überschritten ist und keine aktualisierten Zertifikate eingespielt wurden.

Was sollten IT-Verantwortliche jetzt tun?

Die Handlungsempfehlungen für Unternehmen sind klar:

Schritt 1: Bestandsaufnahme aller Systeme. Welche Windows-Versionen laufen in Ihrem Unternehmen? Sind alle Geräte im automatischen Update-Zyklus eingebunden?

Schritt 2: Windows Update aktivieren und prüfen. Stellen Sie sicher, dass alle Systeme die aktuellen kumulativen Updates erhalten haben, insbesondere die im März 2026 veröffentlichten Patches.

Schritt 3: Systeme ohne Update-Fähigkeit identifizieren. Für Geräte, die keine modernen Windows-Versionen mehr unterstützen, muss eine Migration oder Ersatzbeschaffung geplant werden.

Schritt 4: UEFI-Einstellungen prüfen. In einigen Fällen kann Secure Boot in der Firmware-Konfiguration deaktiviert sein. Eine Überprüfung ist ratsam.

Für Unternehmen ohne eigene IT-Abteilung ist jetzt der richtige Zeitpunkt, einen qualifizierten IT-Sicherheitsexperten hinzuzuziehen. Die Komplexität von Firmware-Sicherheit und UEFI-Zertifikatsmanagement übersteigt häufig die Kenntnisse von allgemeinen EDV-Mitarbeitern.

Parallele Bedrohung: Windows 10 End of Life und Secure Boot

Die Secure Boot-Zertifikatsproblematik trifft zeitlich mit einem zweiten Sicherheitseinschnitt zusammen: Windows 10 hat im Oktober 2025 sein offizielles End-of-Life erreicht und erhält keine regulären Sicherheitsupdates mehr. Für Unternehmen, die noch auf Windows 10 setzen, bedeutet dies eine doppelte Verwundbarkeit — kein Betriebssystem-Patch-Support und kein neuer Secure Boot-Schutz ab Juni 2026.

Diese Kombination ist besonders gefährlich, weil moderne Angreifer genau auf solche Übergangsphasen warten: Der Zeitraum zwischen dem Ablauf eines Sicherheitsmechanismus und der vollständigen Migration eines Unternehmens ist historisch gesehen die Phase mit den meisten erfolgreichen Cyberangriffen.

Praktische Checkliste: Secure Boot-Bereitschaft prüfen

IT-Verantwortliche können den Zustand ihres Systems mit wenigen Schritten überprüfen:

1. In Windows PowerShell (als Administrator) eingeben: Confirm-SecureBootUEFI — gibt True zurück, wenn Secure Boot aktiv und korrekt konfiguriert ist.
2. Windows Update-Verlauf prüfen: Suchen Sie nach den Patches KB5081494 und KB5083482 in der Update-Historie.
3. UEFI/BIOS-Version überprüfen: Viele Hersteller haben Firmware-Updates veröffentlicht, die die neuen Zertifikate enthalten. Prüfen Sie die Website Ihres PC- oder Server-Herstellers.
4. Geräteverwaltung (MDM) nutzen: In Unternehmensumgebungen können Tools wie Microsoft Intune oder SCCM den Patch-Status aller Geräte zentral abfragen.

Finanzielle Folgen eines Sicherheitsvorfalls

Die Kosten eines Sicherheitsvorfalls, der durch einen nicht gepatchten Bootkit ausgelöst wird, sind erheblich. Laut einer aktuellen Studie des Digitalverbands Bitkom beläuft sich der durchschnittliche Schaden durch Cyberangriffe auf deutsche Unternehmen auf über 200.000 Euro pro Vorfall — ohne die indirekten Kosten durch Betriebsunterbrechung, Reputationsschäden und regulatorische Sanktionen nach der DSGVO.

Für KMU, die keine eigene IT-Abteilung unterhalten, kann bereits ein einziger Bootkit-Angriff existenzbedrohend sein. Die Investition in proaktive IT-Sicherheitsberatung ist im Vergleich dazu ein Bruchteil des Risikos.

IT-Sicherheit ist Chefsache

Die Secure Boot-Thematik ist ein symptomatisches Beispiel für eine größere Herausforderung: Sicherheitsinfrastruktur veraltet still und leise, während der Betrieb weiterläuft. Unternehmen, die jetzt handeln, vermeiden teure Sicherheitsvorfälle nach Juni 2026.

Ein erfahrener IT-Sicherheitsberater auf Expert Zoom kann eine individuelle Schwachstellenanalyse Ihrer Windows-Infrastruktur durchführen, den Patch-Status aller Systeme bewerten und einen konkreten Migrationsplan erstellen — bevor die Zertifikate im Juni 2026 ablaufen und eine neue Angriffsfläche entsteht.