Secure Boot Zertifikate prüfen dauert zwei Minuten und sollte vor dem 19. Oktober 2026 erledigt sein. An diesem Tag läuft das Zertifikat „Windows Production PCA 2011“ ab, mit dem Microsoft den Windows-Bootloader signiert. Die Anleitung zeigt den Weg so, wie er sich unter Windows 11 26H2 darstellt (getestet auf Windows 11 26H2, Oktober 2026), und sie gilt auch für Windows 10.
✅ Ist Ihr PC betroffen? Kurz-Check:
- Sie nutzen Windows 11 oder Windows 10 auf einem PC mit aktiviertem Secure Boot
- Bei Secure Boot in der Windows-Sicherheit ist das Symbol gelb oder rot
- Sie nutzen Windows 10 ohne ESU-Programm
- Die BIOS-Version Ihres PCs ist älter als der Stand auf der Herstellerseite
Secure Boot Zertifikate prüfen: Schritt für Schritt
Secure Boot ist die UEFI-Funktion, die nur signierte Startdateien zulässt. Ob die neuen Zertifikate bei Ihnen angekommen sind, zeigt die Windows-Sicherheit direkt an.
- Drücken Sie die Windows-Taste, tippen Sie Windows-Sicherheit und öffnen Sie die App.
- Klicken Sie links auf Gerätesicherheit.
- Öffnen Sie den Bereich Secure Boot.
- Lesen Sie den Status ab: Steht dort, dass die Zertifikat-Updates angewendet sind (grünes Symbol), ist alles in Ordnung. Bei gelbem oder rotem Symbol folgen Sie dem Abschnitt weiter unten.
Die Bedeutung der Farben:
- 🟢 Grün: Alles in Ordnung – Zertifikate sind aktuell, kein Handlungsbedarf
- 🟡 Gelb: Achtung – Zertifikat ist veraltet, Update steht noch aus (automatisch geplant)
- 🔴 Rot: Kritisch – Zertifikat läuft ab und konnte nicht automatisch aktualisiert werden, manuelle Aktion erforderlich
Unter Windows 10 ist der Weg identisch. Fehlt die Anzeige dort, ist meist das aktuelle Sicherheitsupdate noch nicht installiert. Dann zuerst Windows Update ausführen.
Was bedeutet der 19. Oktober für Ihren PC?
Am 19. Oktober 2026 läuft das Zertifikat „Windows Production PCA 2011“ ab. Der Nachfolger „Windows UEFI CA 2023“ wird in die Firmware-Datenbank des PCs eingetragen. Die beiden Zertifikate der Hersteller-Ebene aus 2011 sind schon im Juni abgelaufen.
Ein Totalausfall droht nicht: Ihr PC bootet weiter und Windows Update läuft normal. Wer die neuen Zertifikate nicht hat, bekommt aber keine Sicherheitsaktualisierungen für den Startvorgang mehr.
Die Details beschreibt Microsoft im Support-Artikel zum Ablauf der Zertifikate, den größeren Zusammenhang finden Sie im Beitrag Secure-Boot-Zertifikate laufen ab.
Gelb oder rot? So gehen Sie vor
Gehen Sie die Punkte in dieser Reihenfolge durch, größtenteils reicht schon der erste.
- Windows Update aktiv halten: Microsoft verteilt die Zertifikate über die monatlichen Updates. Installieren Sie alle offenen Updates und starten Sie neu.
- Firmware-Update suchen: Geben Sie auf der Herstellerseite Ihr genaues Modell ein und laden Sie das neueste BIOS herunter. Sichern Sie vorher Ihren BitLocker-Wiederherstellungsschlüssel, und legen Sie sich mit der Hilfe von windowsbackup.de eine Datensicherung an.
- Windows 10 ohne ESU: Hier kommen die neuen Zertifikate nicht an. Planen Sie den Umstieg auf Windows 11 oder buchen Sie ESU.
- Kein Update vom Hersteller: Ältere Geräte bekommen mitunter keine Firmware mehr. Dann bleibt der PC nutzbar, Sie sollten ihn aber nicht für sensible Aufgaben einsetzen.
Gegenprobe per PowerShell
Wer es genau wissen will, startet PowerShell als Administrator und fragt die Firmware-Datenbank ab:
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'
True bedeutet, dass das neue Zertifikat in der Datenbank steht. Bei False fehlt es noch, dann gelten die Schritte aus dem Abschnitt davor.
Fazit
Prüfen Sie heute und nicht erst nach dem Stichtag. Ein grünes Symbol bringt in zwei Minuten Ruhe, ein gelbes ist meist mit Updates und einem BIOS-Update zu beheben. Schreiben Sie mir in die Kommentare, welches Gerätemodell bei Ihnen gelb war, dann schaue ich nach, ob es ein passendes Firmware-Update gibt.
Häufig gestellte Fragen
Was passiert nach dem 19. Oktober 2026, wenn mein PC die neuen Zertifikate nicht hat?
Ihr PC startet und erhält weiterhin normale Windows-Updates. Es fehlen ihm aber künftig Sicherheitsaktualisierungen auf Boot-Ebene, etwa für den Boot-Manager und die Sperrlisten. Je länger die Zertifikate fehlen, desto größer wird die Lücke.
Bekommt Windows 10 die neuen Secure-Boot-Zertifikate?
Nur mit Teilnahme am Programm für erweiterte Sicherheitsupdates (ESU). Ohne ESU erhält Windows 10 die neuen Zertifikate nicht, die Anzeige bleibt dann gelb oder rot. In diesem Fall ist der Umstieg auf Windows 11 der saubere Weg.
Muss ich Secure Boot ausschalten, wenn die Anzeige gelb ist?
Nein. Schalten Sie Secure Boot nicht aus, denn damit verlieren Sie den Schutz vor manipulierten Bootloadern. Das Abschalten ist höchstens ein letzter Ausweg, wenn der Hersteller gar kein Firmware-Update anbietet.
Das Wichtigste in aller Kürze
- Das Windows-Zertifikat „Windows Production PCA 2011“ läuft am 19. Oktober 2026 ab, sein Nachfolger heißt „Windows UEFI CA 2023“.
- Den Status prüfen Sie unter Windows-Sicherheit, Gerätesicherheit, Secure Boot, die Anleitung gilt für Windows 11 und Windows 10.
- Ein PC ohne die neuen Zertifikate startet weiterhin, erhält aber keine Sicherheitsupdates auf Boot-Ebene mehr.
- Bei gelber oder roter Anzeige hilft ein aktives Windows Update und ein Firmware-Update des Geräteherstellers.
- Windows 10 erhält die neuen Zertifikate nur mit ESU, und Secure Boot sollten Sie nicht abschalten.
Zuletzt aktualisiert: Oktober 2026 | Getestet auf: Windows 11 25H2, Oktober 2026 | Autor: Vangelis | 25+ Jahre IT-Erfahrung | Gründer von windowspower.de seit 2013
Newsletter abonnieren
Neue Artikel und Tipps direkt in dein Postfach. Kostenlos und jederzeit abbestellbar.
Frage zu diesem Artikel oder Lust auf Austausch?
Kommentare gibt es hier nicht mehr, dafür aber unser Forum: eine kleine Community, in der man sich wirklich hilft. Auch Anfängerfragen sind willkommen.
Zum Forum