Umstellung auf Secure-Boot-Zertifikate 2026: Ein Leitfaden für PKI-Teams

Die Umstellung der Secure-Boot -Zertifikate ist Microsofts geplante Ablösung der ursprünglichen Secure-Boot-Vertrauensanker von 2011 durch einen neuen Zertifikatssatz von 2023 im Jahr 2026. Dadurch erhalten Windows-Geräte weiterhin vertrauenswürdige Sicherheitsupdates vor dem Systemstart. Es handelt sich um die erste größere Aktualisierung der Secure-Boot-Zertifikathierarchie seit der Einführung der Funktion vor über zehn Jahren. Die Umstellung verhindert nicht, dass Geräte starten, jedoch verlieren Systeme, die das Update verpassen, nach und nach den Zugriff auf zukünftige Secure-Boot-Schutzfunktionen, Aktualisierungen der Vertrauensdatenbank und Widerrufsupdates.

Microsoft hat im Jahr 2026 einen wichtigen Übergang beim Secure Boot-Vertrauensstatus eingeleitet. Ab Juni 2026 erreichen mehrere Zertifikate, die die Grundlage des Secure Boot-Ökosystems bilden, das Ende ihres geplanten Lebenszyklus, und Microsoft ersetzt die ursprünglichen Zertifikate aus dem Jahr 2011 durch einen Satz, der im Jahr 2023 eingeführt wurde.

In den meisten Unternehmen werden Geräte nicht plötzlich nicht mehr starten, wenn die alten Zertifikate ablaufen. Die wichtigere Folge ist jedoch, dass Geräte, die keine aktualisierten Zertifikate erhalten, den Zugriff auf zukünftige Secure-Boot-Funktionen, Aktualisierungen der Vertrauensdatenbank und Widerrufsaktualisierungen verlieren können. Dies kann mit der Zeit zu Sicherheits- und Compliance-Lücken im gesamten Gerätebestand eines Unternehmens führen.

Die Änderung ist zwar Teil des Secure-Boot-Ökosystems, birgt aber eine wichtige Erkenntnis für Public-Key-Infrastruktur -Teams. Vertrauensinfrastrukturen haben einen Lebenszyklus. Zertifikate laufen ab, Vertrauensanker entwickeln sich weiter und die Sicherheitsgrundlagen müssen kontinuierlich modernisiert werden. Die Umstellung auf Secure-Boot-Zertifikate ist ein prominentes Beispiel für ein Problem, mit dem jedes PKI-Programm konfrontiert ist.

Dieser Leitfaden erläutert die Änderungen, deren Bedeutung für die Unternehmenssicherheit und die praktischen Schritte, die PKI-Teams jetzt unternehmen sollten.

Die Secure Boot-Vertrauenskette verstehen

Secure Boot ist eine in die UEFI-Firmware integrierte Sicherheitsfunktion, die sicherstellt, dass beim Systemstart nur vertrauenswürdige Software geladen wird. Bevor Windows geladen wird, überprüft die Firmware die digitalen Signaturen der Bootkomponenten anhand vertrauenswürdiger Zertifikate in Secure-Boot-Datenbanken. Kann eine Komponente nicht verifiziert werden, blockiert Secure Boot sie und schützt so vor Bootkits, Rootkits und anderer Schadsoftware, die vor dem Start des Betriebssystems ausgeführt wird.

Das Vertrauensmodell ist hierarchisch aufgebaut. Es beginnt mit dem Plattformschlüssel (PK), der üblicherweise dem Hardwarehersteller gehört. Darunter befindet sich der Schlüsselaustauschschlüssel (KEK), der neben OEM-Schlüsseln auch einen Microsoft-KEK enthalten kann. Zwei Datenbanken vervollständigen das System: die Datenbank für zulässige Signaturen (DB), in der vertrauenswürdige Unterzeichner aufgeführt sind, und die Datenbank für unzulässige Signaturen (DBX), in der widerrufene Signaturen verzeichnet sind . Jeder Inhaber eines gültigen KEK kann Aktualisierungen der DB und der DBX autorisieren.

Seit 2011 signieren von Microsoft verwaltete Zertifizierungsstellen Windows-Startkomponenten, EFI-Anwendungen von Drittanbietern, Secure-Boot-Richtlinienaktualisierungen und Sperrdatenbanken gemäß diesem Modell. Da diese Zertifikate demnächst ablaufen, migriert Microsoft die Geräte auf eine neue Hierarchie ab 2023, um die Integrität der Zertifikatskette zu gewährleisten.

Welche Secure-Boot-Zertifikate laufen im Jahr 2026 ab?

Microsoft ersetzt mehrere Kernzertifikate schrittweise von Juni bis Oktober 2026. Die folgende Tabelle ordnet jedes ältere Zertifikat seinem Nachfolger aus dem Jahr 2023, seiner Funktion und seinem Ablaufdatum zu.

Legacy-Zertifikat (2011)	2023 Ersatz	Hauptrolle	Ablauf
Microsoft Corporation KEK CA 2011	Microsoft Corporation KEK 2K CA 2023	Genehmigt Aktualisierungen der DB- und DBX-Datenbanken	24. Juni 2026
Microsoft Corporation UEFI CA 2011	Microsoft UEFI CA 2023	Signiert Bootloader und EFI-Anwendungen von Drittanbietern	27. Juni 2026
Microsoft Windows Production PCA 2011	Windows UEFI CA 2023	Zeichen für Windows-Startkomponenten	19. Oktober 2026

Für PKI-Experten ist ein Detail von Bedeutung: Bei der Erneuerung der Microsoft Corporation UEFI CA 2011 teilt Microsoft die Funktion auf zwei Zertifikate auf, um die Signierung von Bootloadern von der Signierung von Option-ROMs zu trennen. Systeme, die Option-ROMs vertrauen müssen, können die Microsoft Option ROM UEFI CA 2023 hinzufügen, ohne gleichzeitig Bootloadern von Drittanbietern vertrauen zu müssen. Dies ermöglicht Administratoren eine präzisere Kontrolle über die Vertrauenswürdigkeit.

Bei der Umstellung geht es nicht darum, Secure Boot selbst zu ersetzen. Vielmehr werden die Vertrauensanker aktualisiert, damit die Plattform auch zukünftig Schutz erhält. Die neuen Zertifikate von 2023 sind so konzipiert, dass sie weit über ein Jahrzehnt gültig bleiben. Angesichts dieser Zertifikatssituation stellt sich die Frage: Was geschieht mit Systemen, die diese Aktualisierungen nicht erhalten?

Werden Systeme nicht mehr hochfahren? Was die Änderung tatsächlich bedeutet

Der häufigste Irrtum ist, dass Systeme nicht mehr starten, sobald die Zertifikate von 2011 ablaufen. Microsoft stellt jedoch ausdrücklich klar, dass dies nicht der Fall ist. Geräte, die die Zertifikate von 2023 nicht erhalten haben, starten und funktionieren weiterhin normal, und Standard-Windows-Updates werden weiterhin installiert.

Die eigentliche Sorge besteht im schleichenden Verlust zukünftiger Vertrauensinformationen. Sobald neue Sicherheitslücken auftreten und schädliche Bootkomponenten identifiziert werden, stellt Microsoft Aktualisierungen für die Secure-Boot-Vertrauensdatenbanken und Sperrlisten bereit . Ein Gerät, das in der alten Vertrauenshierarchie verbleibt, kann diese Aktualisierungen möglicherweise nicht mehr anwenden oder neu signierten Komponenten nicht mehr vertrauen. Microsoft beschreibt dies als einen beeinträchtigten Sicherheitszustand.

Für Unternehmen, die Tausende von Geräten in Rechenzentren, Außenstellen und hybriden Umgebungen verwalten, wird dies zu einer Herausforderung im Bereich des Vertrauensmanagements und nicht zu einer einfachen Patch-Maßnahme. Ein einzelnes, nicht verwaltetes Gerät mag zunächst kein großes Risiko darstellen. Hunderte oder Tausende von ihnen, deren Schutz beim Booten unbemerkt nachlässt, werden jedoch zu einem Sicherheits-, Compliance- und Betriebsrisiko. Das Risiko ist zudem unsichtbar, da ein betroffenes Gerät bis zum Update der Bootkette, das die neuen Zertifikate erfordert, identisch mit einem fehlerfreien Gerät aussieht.

Organisationen, die Linux- oder Dual-Boot-Umgebungen nutzen, stehen vor zusätzlicher Komplexität. Die Microsoft UEFI CA 2011, die den von wichtigen Linux-Distributionen wie RHEL, Ubuntu und Fedora verwendeten Shim- Bootloader signiert, läuft am 27. Juni 2026 ab. Systeme, die die Microsoft UEFI CA 2023 nicht in ihrer Geräte-Firmware registriert haben, können keine aktualisierten Shim-Versionen starten, die mit dem neuen Zertifikat signiert sind.

Linux-Distributionsanbieter haben aktualisierte Shim-Pakete mit Signaturen der Zertifikate von 2011 und 2023 veröffentlicht. Die Zertifizierungsstelle von 2023 muss jedoch zuerst in der Firmware registriert werden. PKI-Teams in Unternehmen, die gemischte Umgebungen verwalten, sollten sicherstellen, dass die neue Zertifizierungsstelle auf allen Windows- und Linux-Endpunkten registriert ist.

Was der Übergang PKI-Teams lehrt

Secure Boot arbeitet unterhalb des Betriebssystems, doch der Übergang spiegelt die Herausforderungen wider, denen sich PKI-Teams täglich stellen müssen. Vertrauensbeziehungen haben Lebenszyklen, Zertifikate laufen ab, kryptografische Standards entwickeln sich weiter und veraltete Vertrauensmodelle müssen schließlich modernisiert werden.

Vielen Organisationen fehlt nach wie vor der Überblick über in Firmware, Betriebssystemen, Appliances und spezialisierter Hardware eingebettete Zertifikate. Die Umstellung auf Secure-Boot-Zertifikate unterstreicht, warum Zertifikatsinventarisierung, Lebenszyklusmanagement und die Verwaltung von Vertrauensankern strategische Sicherheitsfunktionen und keine bloßen Verwaltungsaufgaben sind. Dieselbe Disziplin, die für eine stabile Unternehmens-PKI sorgt, gilt direkt auch für das Vertrauensmanagement von Secure Boot. Der Unterschied zwischen dem alten und dem modernen Ansatz ist aufschlussreich.

Gebiet	Legacy-Ansatz	Moderner Ansatz	Operativer Nutzen
Secure Boot-Vertrauen	Zertifikatshierarchie 2011	Zertifikatshierarchie 2023	Fortgesetzter Zugriff auf die Secure-Boot-Schutzfunktionen
Zertifikatssichtbarkeit	Manuelle Validierung und Bestandsprüfungen	Zentralisierte Überwachung und Berichterstattung	Schnellere Identifizierung betroffener Systeme
PKI-Operationen	Ersatz des reaktiven Zertifikats	Lebenszyklusmanagement und Automatisierung	Reduziertes operationelles Risiko
Kryptographiestrategie	Statische Vertrauensannahmen	Krypto-Agilität und Modernisierungsplanung	Schnellere Anpassung an zukünftige Bedrohungen
Sicherheitsgovernance	Regelmäßige Vertrauensüberprüfungen	Kontinuierliche Überwachung und Einhaltungsverfolgung	Verbesserte Auditbereitschaft

Die Lehre daraus ist, dass die Modernisierung von Secure Boot keine einmalige Zertifikatsaktualisierung darstellt. Sie spiegelt vielmehr einen umfassenderen Wandel hin zu einem lebenszyklusbasierten Vertrauensmanagement in der gesamten Unternehmens-PKI wider. Dieser Wandel steht in direktem Zusammenhang mit einer parallel laufenden Entwicklung in Unternehmens-PKI-Plattformen: der Unterstützung von Post-Quanten-Kryptographie.

Modernisierung des sicheren Bootvorgangs und Bereitschaft für die Zeit nach der Quantenintegration

Die Umstellung auf Secure-Boot-Zertifikate erfolgt im Zuge einer umfassenderen Modernisierung der Kryptografie. Active Directory CS auf Windows Server 2025 bietet nun Unterstützung für die Ausstellung von Post-Quanten-Kryptografie- Zertifikaten mittels ML-DSA, dem von NIST in FIPS 204 standardisierten Modul-Lattice-basierten digitalen Signaturstandard . Diese Funktion ist seit Mai 2026 allgemein verfügbar.

AD CS unterstützt alle drei ML-DSA-Parametersätze (ML-DSA-44, ML-DSA-65 und ML-DSA-87) und ermöglicht es Unternehmen, ein optimales Verhältnis zwischen Sicherheitsstärke und Schlüssel- bzw. Signaturgröße zu finden. ML-DSA ist ein reiner Signaturalgorithmus und eignet sich daher eher für Signaturszenarien wie Zertifizierungsstellen und OCSP-Responder (Online Certificate Status Protocol) als für Schlüsselaustausch oder Verschlüsselung. Microsoft empfiehlt, eine parallele ML-DSA-Zertifizierungsstellenhierarchie aufzubauen, um die Post-Quantum-Ausstellung zu evaluieren, ohne die bestehende Hierarchie zu beeinträchtigen.

Die Unterstützung von ML-DSA und der Austausch des Secure-Boot-Zertifikats sind zwar separate Projekte, weisen aber in dieselbe Richtung: Die Vertrauensinfrastruktur muss sich kontinuierlich weiterentwickeln, um sicher zu bleiben. Organisationen, die eine PKI-Modernisierung planen, sollten Secure-Boot-Updates, das Zertifikatslebenszyklusmanagement , Kryptoagilität und die Vorbereitung auf die Zeit nach der Quantencomputertechnologie als Bestandteile einer einheitlichen Strategie zur Modernisierung der Vertrauensinfrastruktur und nicht als voneinander unabhängige Maßnahmen betrachten.

Für Organisationen, die den Anforderungen der US-Regierung unterliegen, bietet die Commercial National Security Algorithm Suite ( CNSA 2.0 ) der NSA den klarsten Migrationszeitplan. Für die Signierung von Software und Firmware ist CNSA 2.0 die Kategorie, die für Secure Boot am relevantesten ist. Sie schreibt LMS und XMSS gemäß NIST SP 800-208 vor. Darüber hinaus spezifiziert CNSA 2.0 ML-DSA-87 für digitale Signaturen und ML-KEM-1024 für die Schlüsselerzeugung. Nationale Sicherheitssysteme sollen die CNSA-2.0-Algorithmen bis 2026 unterstützen und bis 2030 ausschließlich auf ihnen basieren.

Was PKI- und Infrastrukturteams jetzt tun sollten

Der Übergang belohnt frühzeitiges, methodisches Handeln. Die folgenden Schritte sichern die Kontrolle, bevor Vertrauensverhältnisse zu erlöschen beginnen.

• Betroffene Systeme identifizieren. Ein Netzwerk erstellen Inventar Bei Geräten, die Secure Boot verwenden, wird geprüft, ob die Zertifikatsaktualisierungen von 2023 für jedes Gerät verfügbar sind. Viele Geräte werden automatisch über Windows Update aktualisiert, während einige ältere Systeme Firmware-Updates des Originalherstellers (OEM) benötigen.
• Überprüfen Sie den Aktualisierungsstatus. Verwenden Sie die Windows-Sicherheits- und Verwaltungstools, um festzustellen, welche Geräte die neuen KEK- und DB-Zertifikate enthalten und welche noch aktualisiert werden müssen.
• Erstellen Sie eine Übersicht der Vertrauensabhängigkeiten. Dokumentieren Sie, wo Zertifikate in Firmware, Betriebssystemen, Geräten und Anwendungen gespeichert sind, damit nichts übersehen wird.
• Überprüfen Sie Ihre aktuelle PKI-Infrastruktur. Für Organisationen, die … AD CSPrüfen Sie die Plattformbereitschaft für Post-Quanten-Kryptografieanforderungen. Beachten Sie, dass bestehende AD CS-Zertifizierungsstellen nicht direkt auf ML-DSA aktualisiert werden können; eine parallele PQC-CA-Hierarchie muss neben der bestehenden bereitgestellt werden. Diese Funktion ist derzeit in Windows Server 2025 mit dem kumulativen Update vom Mai 2026 verfügbar.
• Etablieren Sie wiederholbare Prozesse. Betrachten Sie dies als die erste von vielen Vertrauensaktualisierungen und implementieren Sie Überwachungs- und Lebenszykluskontrollen, die die nächste Rotation automatisch durchführen.

Diese Aktivitäten proaktiv anzugehen ist wesentlich einfacher, als erst zu reagieren, wenn Vertrauensverhältnisse auslaufen oder eine Prüfung die Lücke aufdeckt.

Häufige zu vermeidende Fehler

Der häufigste Fehler besteht darin, ein System für funktionsfähig zu halten, nur weil es noch startet. Ein Gerät kann normal funktionieren, während es unbemerkt mit Secure-Boot-Trust-Updates in Verzug gerät. Dadurch entsteht eine versteckte Sicherheitslücke, die erst bei einer Schwachstellenanalyse, einem Audit oder einer Untersuchung eines Sicherheitsvorfalls zutage tritt.

Ein zweiter Fehler besteht darin, den Übergang als einmalige Patch-Maßnahme zu betrachten. Die dauerhafte Herausforderung liegt in der Etablierung wiederholbarer Prozesse, die zukünftige Vertrauensaktualisierungen, Zertifikatsrotationen und kryptografische Migrationen unterstützen. Organisationen, die mit Secure-Boot-Updates zu kämpfen haben, stehen oft vor denselben Schwierigkeiten beim Zertifikatslebenszyklusmanagement und der PKI-Modernisierung, da alle drei Bereiche auf Transparenz, Governance, Verantwortlichkeiten und Lebenszykluskontrolle beruhen.

Best Practices für die Sicherheit

Die Umstellung auf Secure-Boot-Zertifikate erfordert die gleiche Sorgfalt, die auch für die PKI von Unternehmen angewendet wird.

• Pflegen Sie genaue Zertifikatsverzeichnisse und überwachen Sie kontinuierlich die Zertifikatslebenszyklen.
• Verfolgen Sie Vertrauensabhängigkeiten und weisen Sie klare Verantwortlichkeiten für das Zertifikats- und Vertrauensmanagement zu.
• Halten Sie PKI-Plattformen auf unterstützten Betriebssystemen und Softwareversionen.
• Überprüfen Sie regelmäßig die Vertrauensarchitekturen auf Modernisierungsmöglichkeiten.
• Einrichtung von Überwachungs- und Berichtsfunktionen zur Transparenz des Zertifikatbereitstellungsstatus und vertrauensbezogener Änderungen in der gesamten Umgebung
• Schützen Sie CA-Privatschlüssel in einem Hardware-Sicherheitsmodul validiert bis FIPS 140-3 — mindestens Stufe 2 für ausstellende Zertifizierungsstellen, Stufe 3 für Stammzertifizierungsstellen in den meisten Unternehmensumgebungen; in von der Bundesregierung und CMMC regulierten Umgebungen kann Stufe 3 oder höher vorgeschrieben sein; einige Offline-Stammzertifizierungsstellen arbeiten auf Stufe 4
• Behandeln Sie die Vertrauensinfrastruktur als ein lebendiges System, das kontinuierliche Wartung erfordert, und nicht als eine statische Bereitstellung.

Wie Verschlüsselungsberatung helfen kann

Die Umstellung auf Secure-Boot-Zertifikate stellt im Kern eine Herausforderung im Bereich des Vertrauenslebenszyklusmanagements dar. Encryption Consulting (EC) unterstützt Unternehmen bei der Modernisierung ihrer PKI-Umgebungen, der Verbesserung der Zertifikatstransparenz, der Automatisierung von Lebenszyklusvorgängen und der Vorbereitung auf kryptografische Änderungen.

Beratung zur Post-Quanten-Kryptographie

Die PQC-Beratungsdienste von EC unterstützen Unternehmen bei der Identifizierung quantenanfälliger kryptografischer Assets, der Bewertung des Gefährdungsrisikos und der Entwicklung kryptoagiler Migrationsstrategien, die mit NIST FIPS 204 und CNSA 2.0 übereinstimmen. Für Teams, die sich auf die Modernisierung von Secure Boot und den Übergang zu Post-Quanten-Algorithmen vorbereiten, erfasst EC die aktuellen kryptografischen Abhängigkeiten und erstellt einen gestaffelten Übergangsplan, der sowohl kurzfristige Zertifikatserneuerungen als auch die umfassendere algorithmische Migration berücksichtigt.

PKI-Dienste

Mit seinen PKI-Services unterstützt EC Unternehmen bei der Bewertung, dem Design und dem Betrieb ihrer PKI-Infrastruktur gemäß den Anforderungen an Sicherheit, Compliance und Betrieb – einschließlich NIST SP 800-57, WebTrust und geltenden regulatorischen Standards. Die Berater von EC helfen bei der Definition von Zertifizierungsrichtlinien und -verfahren, dem Aufbau robuster CA-Architekturen, der Identifizierung von Vertrauensabhängigkeiten, der Stärkung der Governance und dem Aufbau von Zertifikatsmanagementprozessen, die das operationelle Risiko reduzieren und die Auditbereitschaft verbessern.

CBOM Secure

Bevor Sie Ihre vorhandenen Ressourcen verwalten können, müssen Sie wissen, was Sie haben. CBOM Secure erstellt eine kryptografische Stückliste – ein strukturiertes Inventar aller kryptografischen Assets im Unternehmen, einschließlich Algorithmen, Schlüssellängen, Zertifizierungsstellen und Abhängigkeiten. Dieses Inventar bildet die Grundlage für das Verständnis der Secure-Boot-Vertrauensbeziehungen, die Identifizierung von quantensicheren Assets und die Planung einer schrittweisen kryptografischen Migration.

CertSecure Manager

Für kontinuierliche Transparenz und Kontrolle über den gesamten Zertifikatslebenszyklus bietet CertSecure Manager eine zentrale Zertifikatserkennung, -überwachung und -berichterstattung sowie ein automatisiertes Lebenszyklusmanagement. Es unterstützt Teams bei der Lokalisierung veralteter Zertifikate, der Nachverfolgung von Vertrauensabhängigkeiten in komplexen Infrastrukturen und der kontinuierlichen Transparenz, sodass die nächste Rotation des Vertrauensankers erkannt und behoben werden kann, bevor eine Sicherheitslücke entsteht.

Während sich Unternehmen auf die Modernisierung von Secure Boot, die Agilität von Kryptosystemen und die Einführung von Technologien nach der Quantenintegration vorbereiten, bietet EC das Fachwissen, um robuste und zukunftsfähige Vertrauensarchitekturen aufzubauen.

Fazit

Der Übergang der Secure-Boot-Zertifikate von Microsoft ist nicht einfach nur ein Zertifikatsaustausch. Er verdeutlicht, dass die Vertrauensinfrastruktur einen Lebenszyklus hat. Systeme, die die Zertifikate von 2023 nicht erhalten, können zwar weiterhin funktionieren, riskieren aber, bei zukünftigen Secure-Boot-Schutzmaßnahmen, Widerrufsaktualisierungen und Sicherheitsverbesserungen den Anschluss zu verlieren.

Die Lehre daraus reicht weit über Secure Boot hinaus. Vertrauenssysteme erfordern kontinuierliche Wartung, Überwachung und Modernisierung. Organisationen, die diesen Übergang erfolgreich meistern, zeichnen sich dadurch aus, dass sie die Transparenz ihrer Vertrauensinfrastruktur wahren, ihre PKI-Operationen modernisieren, das Zertifikatslebenszyklusmanagement automatisieren und sich auf kryptografische Veränderungen wie den Übergang zu Post-Quanten-Algorithmen vorbereiten.

Ziel ist es nicht nur, ablaufende Zertifikate zu ersetzen. Vielmehr geht es darum, eine robustere, flexiblere und zukunftssichere Vertrauensarchitektur aufzubauen, die sowohl die heutigen Sicherheitsanforderungen als auch die Anforderungen der Post-Quanten-Technologie von morgen erfüllt. Ein erster praktischer Schritt ist Transparenz: Erstellen Sie eine Liste aller Vertrauensanker und Zertifikate, auf die Sie angewiesen sind, überprüfen Sie, ob die Secure-Boot-Updates in Ihrem Netzwerk verfügbar sind, und legen Sie die Verantwortlichkeiten für die nächsten Schritte klar fest. Um Ihre Vertrauensarchitektur zu analysieren und die Umsetzung zu planen, wenden Sie sich an das Team von Encryption Consulting.