Ab Mitte 2026 steht ein fundamentaler Wechsel in der PC‑Sicherheitsarchitektur an: Die Secure‑Boot‑Zertifikate, die seit 2011 in praktisch jedem UEFI‑System stecken, laufen zwischen Juni und Oktober 2026 ab. Ohne ein Update dieser Schlüssel kann ein PC nicht mehr booten, sobald ein Betriebssystem mit den neuen Zertifikaten gestartet werden soll.
Das betrifft Windows 10, Windows 11 und alle großen Linux‑Distributionen, darunter Ubuntu, Mint, Fedora, Debian und viele weitere, denn sie alle nutzen Microsofts Secure‑Boot‑Infrastruktur.
Was ist Secure Boot?
Secure Boot ist eine UEFI‑Funktion, die sicherstellt, dass beim Start eines PCs nur signierte, vertrauenswürdige Software ausgeführt wird. Dazu nutzt das System vier zentrale Komponenten:
| Komponente | Bedeutung |
|---|---|
| PK (Platform Key) | Der „Root of Trust“. Er definiert, wer überhaupt Änderungen an Secure Boot vornehmen darf. |
| KEK (Key Exchange Key) | Schlüssel, die Updates an den Datenbanken DB und DBX autorisieren. |
| DB (Allow‑List) | Liste gültiger Bootloader‑Signaturen. |
| DBX (Deny‑List) | Liste gesperrter, kompromittierter oder unsicherer Bootloader. |
Beim Einschalten des PCs führt das UEFI eine Art Sicherheitskontrolle durch. Zuerst prüft es, ob der Bootloader überhaupt digital signiert ist. Anschließend wird abgeglichen, ob diese Signatur in der sogenannten DB, also der Liste der erlaubten Bootloader, eingetragen ist. Gleichzeitig stellt das System sicher, dass die Signatur nicht in der DBX, der Sperrliste für unsichere oder kompromittierte Bootloader, auftaucht.
Erst wenn alle drei Bedingungen erfüllt sind, darf der Bootvorgang fortgesetzt werden und das Betriebssystem wird geladen. Man kann sich Secure Boot daher gut wie eine digitale Ausweiskontrolle vorstellen: Nur wer einen gültigen Ausweis besitzt, auf der Gästeliste steht und nicht auf der schwarzen Liste landet, kommt überhaupt hinein.
Warum laufen die Secure‑Boot‑Zertifikate 2026 ab?
Die aktuellen Zertifikate stammen aus dem Jahr 2011. Sie wurden damals mit einer Ablaufzeit von 15 Jahren ausgestellt – ein Zeitraum, der nun endet.
Die betroffenen Zertifikate sind:
- Microsoft UEFI CA 2011
- Microsoft KEK 2011
- diverse OEM‑PKs aus der gleichen Generation
Diese Zertifikate verlieren zwischen Juni und Oktober 2026 ihre Gültigkeit.
Das bedeutet im Klartext: Sobald die alten Secure‑Boot‑Zertifikate abgelaufen sind, werden Bootloader, die noch mit diesen veralteten Schlüsseln signiert wurden, vom UEFI nicht mehr als gültig anerkannt. Gleichzeitig akzeptieren ältere UEFI‑Versionen ohne aktualisierte Schlüssel die neuen, frisch signierten Bootloader nicht mehr, weil ihnen schlicht die passende „Gegenunterschrift“ fehlt.
Die Folge ist paradox, aber technisch logisch: Der PC verweigert den Startvorgang, obwohl die Hardware völlig einwandfrei funktioniert. Das System scheitert nicht an einem Defekt, sondern daran, dass sich Bootloader und UEFI gegenseitig nicht mehr vertrauen.
Welche Systeme sind betroffen?
Betroffen sind im Grunde alle Systeme, bei denen Secure Boot aktiviert ist. Das schließt sämtliche aktuellen Windows‑Versionen ein, also Windows 10, Windows 11 und auch diverse Windows‑Server‑Editionen.
Doch auch die Linux‑Welt bleibt davon nicht verschont: Praktisch alle großen Distributionen setzen auf Microsofts Secure‑Boot‑Signatur, darunter Ubuntu, Linux Mint, Debian, Fedora, openSUSE, Pop!_OS, Zorin OS sowie zahlreiche Arch‑basierte Systeme, die über den sogenannten Shim-Bootloader arbeiten.
Da nahezu jeder Linux‑Bootloader über Microsoft signiert wird, zieht sich das Problem durch die gesamte Linux‑Landschaft.
Kurz gesagt: alle Systeme, die Secure Boot aktiviert haben sind davon betroffen.
Was passiert, wenn die Zertifikate nicht aktualisiert werden?
Wenn ein PC die neuen Secure‑Boot‑Schlüssel nicht erhält, führt das zu einer ganzen Reihe unangenehmer Folgen. Moderne Windows‑ oder Linux‑Versionen lassen sich dann schlicht nicht mehr starten, weil das UEFI ihren Bootloader als „ungültig“ einstuft. Das System blockiert den Startvorgang bereits ganz am Anfang, noch bevor überhaupt ein Ladebildschirm erscheint. Im schlimmsten Fall bleibt der Rechner komplett hängen und kommt gar nicht mehr bis zum Betriebssystem.
Selbst eine Neuinstallation hilft in diesem Zustand nicht weiter, solange Secure Boot aktiviert bleibt, denn auch der Installations‑Bootloader wird vom UEFI abgelehnt. Der PC wirkt dann, als wäre er kaputt, obwohl die Hardware völlig in Ordnung ist. Es fehlt lediglich die aktualisierte „Gästeliste“, also die neuen Zertifikate, die dem UEFI bestätigen, dass der Bootloader vertrauenswürdig ist.
Wie werden die neuen Secure‑Boot‑Keys verteilt?
Es gibt drei Wege, wie ein PC die neuen Zertifikate erhalten kann.
Methode 1: Windows Update (für 99 % der Nutzer ausreichend)
Microsoft stellt die neuen Secure‑Boot‑Zertifikate ganz unkompliziert über die regulären Windows‑Updates bereit. Die technische Vorbereitung dafür begann bereits im Februar 2024, gefolgt von weiteren Aktualisierungen für Windows 10 in den Jahren 2024 und 2025. Windows 11 erhielt die neuen Schlüssel zuletzt am 14. Oktober 2025.
Damit ist klar: Jeder, der Windows 10 oder Windows 11 regelmäßig aktualisiert, bekommt die neuen Secure‑Boot‑Keys automatisch eingespielt – ganz ohne eigenes Zutun. Das gilt sogar über das Support‑Ende von Windows 10 hinaus. Die entsprechenden Updates wurden nämlich schon vorher veröffentlicht, bleiben dauerhaft auf Microsofts Update‑Servern verfügbar und werden weiterhin ausgeliefert, genauso wie es bei älteren Systemen wie Windows Vista, 7 oder 8.1 der Fall war.
Die verbreitete Sorge, Windows 10 würde die neuen Zertifikate nicht mehr erhalten, ist daher unbegründet. Solange Windows Update aktiv ist, kommt das System zuverlässig an alle notwendigen Schlüssel.
Methode 2: BIOS-/UEFI‑Update vom Hersteller
Ein BIOS‑Update ist die gründlichste und dauerhafteste Methode, um das Secure‑Boot‑System eines PCs auf den neuesten Stand zu bringen. Nur der Gerätehersteller selbst hat die Möglichkeit, wirklich alle sicherheitsrelevanten Schlüssel zu erneuern: Er kann den Platform Key (PK) aktualisieren, die Key Exchange Keys (KEKs) ersetzen und sowohl die DB als auch die DBX vollständig neu ausstellen. Diese tiefgreifenden Änderungen sind ausschließlich über ein Firmware‑Update möglich.
Windows hingegen kann lediglich die beiden Datenbanken DB und DBX aktualisieren, nicht aber den übergeordneten Platform Key. Genau deshalb ist ein BIOS‑Update die einzige Variante, bei der die neuen Secure‑Boot‑Schlüssel auch nach einem späteren BIOS‑Reset dauerhaft erhalten bleiben.
Hersteller-Tools
- Lenovo Vantage
- Dell SupportAssist
- HP Support Assistant
- Acer Care Center
- ASUS MyASUS / WinFlash
- MSI Center
- Gigabyte App Center
- ASRock Live Update
Methode 3: Secure Boot deaktivieren
Wenn wirklich gar nichts mehr funktioniert, bleibt als letzte Möglichkeit ein eher pragmatischer, aber wirksamer Ausweg: Man kann Secure Boot im BIOS vorübergehend deaktivieren, das Betriebssystem – egal ob Windows oder Linux – komplett neu installieren und anschließend alle verfügbaren Updates einspielen. Sobald das System wieder auf dem neuesten Stand ist und die neuen Secure‑Boot‑Schlüssel erhalten hat, lässt sich Secure Boot in vielen Fällen später wieder aktivieren.
Ideal ist dieser Weg nicht, denn er bedeutet zusätzlichen Aufwand und setzt eine Neuinstallation voraus. Funktional ist er jedoch allemal und ermöglicht es, selbst Systeme mit veralteten oder zurückgesetzten Schlüsseln wieder zuverlässig zum Laufen zu bringen.
Fazit
Der Ablauf der Secure‑Boot‑Zertifikate 2026 ist ein großer, aber notwendiger Schritt in der PC‑Sicherheitsarchitektur. Für die meisten Nutzer reicht es allerdings aus, Windows einfach auf dem aktuellsten Stand zu halten.
Wer ein BIOS‑Update bekommt, sollte es installieren. Wer keines bekommt, kann seinen PC trotzdem weiter nutzen, solange Secure Boot nicht zurückgesetzt wird.
Panik ist also unnötig, aber Information ist wichtig.