Secure Boot: wie Sie das Zertifikatschaos 2026 beherschen.

Im Jahr 2026 werden zentrale Secure Boot Zertifikate erneuert. Unternehmen sollten diese Umstellung aktiv einplanen, denn Secure Boot schützt nur dann zuverlässig, wenn die zugrunde liegenden Vertrauensketten aktuell sind. Für IT-Verantwortliche bedeutet das: Geräte und Firmwarestände, Betriebssysteme und Sonderfälle wie Linux oder Virtualisierung sollten rechtzeitig geprüft werden. In diesem Artikel zeigen wir Ihnen, warum die Umstellung wichtig ist und wie Sie den Austausch der Zertifikate strukturiert vorbereiten können.

Secure Boot im Überblick

Secure Boot schützt den Startvorgang eines Systems. Vereinfacht gesagt wird bereits vor dem Laden des Betriebssystems geprüft, ob die gestarteten Betriebssysteme und Treiber vertrauenswürdig sind. Vor der Einführung von Secure Boot konnten Angreifer Schadsoftware deutlich leichter in sehr frühe Startphasen einschleusen. Klassische Schutzmechanismen im Betriebssystem griffen zu diesem Zeitpunkt häufig noch nicht. Secure Boot wurde deshalb als Schutzmechanismus etabliert und kam mit Windows 8 breiter in den Markt. Betroffen von der aktuellen Umstellung sind unter anderem Windows, Linux- und Virtualisierungsumgebungen.

Technisch arbeitet Secure Boot mit Erlaubnis- und Sperrlisten. Diese Listen entscheiden, welche Bootloader, Treiber und Firmware gestartet werden dürfen und welche ausdrücklich blockiert sind. Man kann sie sich wie einen digitalen Türsteher vorstellen: Ist eine Komponente bekannt und erlaubt, darf sie starten. Steht sie auf der Sperrliste, wird die Ausführung verweigert.

Die Vertrauensstruktur hinter Secure Boot basiert auf digitalen Zertifikaten und Schlüsseln. An oberster Stelle steht der Platform Key (PK), der in der Regel vom Geräte- oder Mainboard-Hersteller gesetzt wird. Darunter befindet sich der Key Exchange Key (KEK), über den Änderungen an den nachgelagerten Listen autorisiert werden. Die erlaubten Komponenten befinden sich in der Allow-Datenbank (db), während bekannte unsichere oder zurückgezogene Komponenten in der Disallow-Datenbank (dbx) landen. Vereinfacht gesagt: Der PK vertraut dem KEK, der KEK autorisiert Änderungen an db und dbx, und diese Listen entscheiden darüber, was beim Systemstart ausgeführt werden darf.

Übersicht über die alten und neuen Secure Boot Zertifikate

Übersicht über die Baumstruktur der Secure Boot Zertifikate

Planung einer Umsetzung

Für Unternehmen empfiehlt sich ein schrittweises Vorgehen. Zuerst sollte geprüft werden, auf welchen Geräten Secure Boot bereits aktiv ist und wo es noch deaktiviert ist. Geräte ohne aktiviertes Secure Boot sollten gesondert bewertet werden, da hier möglicherweise zusätzliche Konfigurationsanpassungen notwendig sind. Anschließend sollten aktuelle Firmware-Versionsstände geprüft werden, damit die neuen Zertifikate sauber übernommen werden können.

Microsoft sieht für den Austausch der UEFI-Zertifikate im Wesentlichen zwei Aktualisierungswege vor. Welcher Weg besser passt, hängt davon ab, wie viel Kontrolle Sie über den Rollout behalten möchten und wie stark Ihre Umgebung standardisiert ist.

1. Controlled Feature Rollout (CFR): verwaltet durch Microsoft über Diagnosedaten
2. Latest Cumulative Update (LCU): verwaltet durch einen selbst mit Windows Updates

Beim Controlled Feature Rollout werden Geräte in Gruppen eingeteilt. Microsoft nutzt dafür zusätzliche Diagnosedaten, um zu bewerten, welche Gerätegruppen mit hoher Wahrscheinlichkeit für die Aktualisierung geeignet sind. Sobald eine Gruppe freigegeben ist, werden die Zertifikate automatisch ersetzt. Aus den übermittelten Diagnosedaten entsteht eine High Confidence Database (HCD), die dabei hilft, weitere Gerätegruppen sicherer für den Rollout zu bewerten.

Bei der Variante über das Latest Cumulative Update behalten Sie mehr Kontrolle über den Ablauf. Die neuen Zertifikate sowie die aktuelle HCD werden seit Mai 2025 mit den monatlichen Sicherheitsupdates bereitgestellt. Windows gleicht die vorhandene Hardware mit der HCD ab und entscheidet darauf basierend, ob ein Gerät für die Aktualisierung geeignet ist. Für kontrollierte Unternehmensumgebungen ist dieser Weg besonders interessant, weil sich Tests, Pilotgruppen und Rollout-Stufen gezielt planen lassen.

An dieser Stelle passt auch der Hinweis auf unseren letzten Blogartikel zu den Windows Updates im Juni 2026. Dort geben wir monatlich eine Übersicht über relevante Windows Updates. Mit den Juni-Updates wurden weitere Gerätegruppen für die Umstellung freigegeben.

Die Umsetzung lässt sich über Gruppenrichtlinien, Intune-Richtlinien oder über die Kommandozeile steuern. Wichtig ist, dass Sie den gewählten Weg dokumentieren und zunächst mit Pilotgeräten testen, bevor Sie die Aktualisierung breit ausrollen. Über die verfügbaren Werkzeuge steuern Sie, ob die Aktualisierung über CFR oder über LCU erfolgen soll. Wenn Sie den Austausch schrittweise durchführen, sollten Sie die erzeugten Ereignisse und Registry-Einträge regelmäßig prüfen. Darüber lässt sich nachvollziehen, in welchem Zustand sich ein Gerät befindet und welche Schritte bereits erfolgt sind. Besonders wichtig ist die AvailableUpdates-Bitmaske, da sie maßgeblich beeinflusst, welche Aktualisierungsschritte angestoßen werden.

Besonderheit bei Linux und anderen

Auch Linux- und Virtualisierungsumgebungen sollten in die Planung einbezogen werden. Damit nicht jede Linux-Distribution separat in der Secure Boot-Datenbank hinterlegt werden muss, kommt häufig der sogenannte Linux Shim zum Einsatz. Dieser ist in der Allow-Datenbank eingetragen und kann wiederum Schlüssel von Linux-Distributionen verwenden, um anschließend den Bootloader GRUB zu prüfen und zu starten.

Den Secure Boot-Status eines Linux-Systems können Sie mit einfachen Bordmitteln prüfen. Zusätzlich stellen Virtualisierungsanbieter bereits eigene Hinweise und Empfehlungen bereit, beispielsweise VMware und Proxmox. Gerade in gemischten Umgebungen ist es sinnvoll, diese Systeme frühzeitig in Pilot- und Kompatibilitätstests einzubeziehen. Intune bietet hierzu qualifizierte vorgefertige Reports an. Ein Auswertung lässt sich auch ohne Intune durchführen.

Solange eine sorgfälltige Vorausplanung durchgeführt wird, stellt sich der Umstellung nichts mehr im Wege.

Bei Fragen zum Thema Secure Boot und der Zertifikatsverwaltung stehen wir Ihnen gerne beratend zur Seite. Wir freuen uns auf Ihre Kontaktaufnahme.