News Patchday für Windows 11: Microsoft verteilt neue Secure-Boot-Zertifikate

[Andy]

Am gestrigen zweiten Dienstag im Februar stand der reguläre Patchday für Windows 11 und Windows 10 an. Neben kleineren Neuerungen und Fehlerkorrekturen hat Microsoft zu diesem Anlass mit dem Austausch der Secure-Boot-Zertifikate begonnen, die ansonsten im Juni 2026 auslaufen würden.

Zur News: Patchday für Windows 11: Microsoft verteilt neue Secure-Boot-Zertifikate

 

[Redirion]

"Stabilitätsprobleme mit einigen GPU-Konfigurationen" klingt irgendwie ziemlich relevant für Windows 10 Nutzer. Wer noch kein ESU hat, sollte das jetzt spätestens nachholen.

 

[foofoobar]

Solange Secure-Boot per Default Betriebssysteme mit Lücken bootet und M$ root-kits (vulgo Anti-Cheat) per Default zulässt bringt das keinen Nutzen.

 

[silentdragon95]

Was bedeutet es denn, wenn die Secure-Boot Zertifikate auslaufen? Lässt sich Windows dann nicht mehr starten, oder "nur" nicht mehr installieren?

 

[Darklordx]

Und schon einer neuen Bug gefunden? 😉

Ich denke, ich warte mal ein paar Tage bis Sonntagabend. Will mir ja nicht das Wochenende versauen, sondern endlich Level 40 in Escape from Tarkov erreichen! 😇

 

[leipziger1979]

Microsoft zu diesem Anlass mit dem Austausch der Secure-Boot-Zertifikate begonnen, die ansonsten im Juni 2026 auslaufen würden

Das alte Zertifikat ist von 2011 und MS wusste das das 2026 abläuft.
Und die fangen erst jetzt, so kurz vor Ladenschluss, damit an diese zu tauschen anstatt vor zb. 5 Jahren.

Aber so unprofessionell wie MS heutzutage auftritt wundert einen das gar nicht!

 

[Sandman2000]

Was bedeutet es denn, wenn die Secure-Boot Zertifikate auslaufen? Lässt sich Windows dann nicht mehr starten, oder "nur" nicht mehr installieren?

Wenn die alten Secure-Boot-Zertifikate auslaufen und dein PC die neuen Zertifikate nicht per Update erhalten hat, startet dein aktuelles Windows ganz normal weiter und normale Updates kommen weiterhin. Allerdings bekommst du keine neuen Boot-Sicherheits-Patches mehr, wodurch das System langfristig unsicherer wird. Zukünftige Windows-Versionen oder große Upgrades könnten irgendwann nicht mehr installierbar sein.

 

[WinFan]

Und schon einer neuen Bug gefunden? 😉

Bis jetzt bei 3 Systemen nicht

 

[waldi802]

Wenn die alten Secure-Boot-Zertifikate auslaufen und dein PC die neuen Zertifikate nicht per Update erhalten hat, startet dein aktuelles Windows ganz normal weiter und normale Updates kommen weiterhin. Allerdings bekommst du keine neuen Boot-Sicherheits-Patches mehr, wodurch das System langfristig unsicherer wird. Zukünftige Windows-Versionen oder große Upgrades könnten irgendwann nicht mehr installierbar sein.

Nun, diese Aussage ist so nicht ganz richtig. In der Anfangszeit wird der Boot-Loader von Windows mit dem alten UND neuen Key signiert werden, aber Microsoft wird dennoch wie angekündigt die Signierung dann nur noch auf den neuen KEK ausstellen. Und spätestens dann ist mit aktiviertem Sceure-Boot der Start von Windows nicht mehr möglich. Allerdings hilft dann immernoch die deaktivierung von Secure-Boot im Bios.

Und zu Secure-Boot, das schützt wenn dann nur von Angriffen von Nichtstaatlichen Akteueren, es ist aber davon auszugehen, dass die von Staatlichen Stellen, zumindest von den Wirtschaftsstarken Ländern, deren manipukierter Boot-Loader von MS signiert werden wird und dadurch eben Secure-Boot keinen Schutz vor solchen Angriffen bietet.

 

[feris]

Was bedeutet es denn, wenn die Secure-Boot Zertifikate auslaufen? Lässt sich Windows dann nicht mehr starten, oder nur nicht mehr installieren?

Ich schließe mich der Frage mal an. Sollen nicht auch die Zertifikate in älteren BIOS Versionen auslaufen?
Lässt sich Windows dann nicht mehr starten, oder "nur" nicht mehr installieren?

 

[Neo1179]

Was passiert auf einem 6 Jahre alten Rechner mit MSI Mainboard, der nur offline mit Windows 11 betrieben wird. Ich spiele die MSU Updates manuell ein. Da es für das Board keine UEFI Updates mehr gibt, sollte ich die Zertifikatupdates manuell einspielen, oder muss ich Angst haben das der Rechner dann im Sommer nicht mehr startet?

 

[xexex]

Und die fangen erst jetzt, so kurz vor Ladenschluss, damit an diese zu tauschen anstatt vor zb. 5 Jahren.

Aber so unprofessionell wie MS heutzutage auftritt wundert einen das gar nicht!

Blablah.....

Der problematische Teil findet im UEFI statt und man musste noch auf Linux Installationen Rücksicht nehmen, die zumindest früher auf diese Microsoft Zertifikate gesetzt hatten.

https://learn.microsoft.com/en-us/w...windows-11#14-signature-databases-db-and-dbx#

So einfach wie man sich das vorstellt, tauscht einfach die Zertifikate aus und Millionen Firmen-PCs starten nicht mehr, ist es eben doch nicht.

 

[Joshua2go]

Und schon einer neuen Bug gefunden? 😉

Aha, deshalb braucht mein Win 11 plötzlich 2 min zum booten. Hatte mir gestern ein Backup zurück gespielt, da lief der PC wieder einwandfrei. Dann kam wohl wieder das Update rein und heute wieder diesselbe Schei**e.

 

[Simanova]

Was bedeutet es denn, wenn die Secure-Boot Zertifikate auslaufen?

Alle Anwendungen die Secure Boot brauchen schlagen dann fehl. Also z.b AntiCheat, Bitlocker, Office365 Programme, usw

 

[ramis]

Was bedeutet es denn, wenn die Secure-Boot Zertifikate auslaufen? Lässt sich Windows dann nicht mehr starten, oder "nur" nicht mehr installieren?

Windows startet trotzdem, falls du probleme haben solltest, kurz Secureboot ausschalten und dann schauen ob man es nicht doch lieber von Hand updaten sollte. Was ich schon bei ca 20 Rechner gemacht habe. Auf MS wollte ich mich dann doch nicht verlassen. Vielleicht solltest du mal bei deinen Hersteller vorbeischauen, vielleicht gibt es ja noch ein BiosUpdate das dir gleich die neuen Zertifikate installiert. Ansonsten kannst du das alles auch per Powershell anschubsen bzw auch den UpdateStand abfragen/überprüfen. Vielleicht gibt es ja hier einen auf CB oder CB selber die eine Anleitung erstellen könnten. Ist mit ein paar Handgriffen auch erledigt. Aber wie gesagt, hat ja auch noch etwas Zeit,

das MS Corp UEFI CA läuft erst am 27.6 ab
Win Produktion am19.10 und das KEK am 24.6 ...

die 2023 laufen 13.6.35 ab...

 

[Bodennebel]

Ich hatte am Wochenende auf meinem uralten iPad Air (1st Gen von 2013) ein Update von Apple auf Version 12.5.8 erhalten, das auch die Zertifikat-Thematik adressiert. S. a. https://www.teltarif.de/udpates-ios-26-2-1-apple-sicherheit-zertifikate/news/101666.html bzw. https://support.apple.com/de-de/100100).

 

[0xffffffff]

Alle Anwendungen die Secure Boot brauchen schlagen dann fehl. Also z.b AntiCheat, Bitlocker, Office365 Programme, usw

Das ist mWn. nicht korrekt.

Wenn eine CA (Certificate Authority) ausläuft kannst du idR. keine neue damit signierte Software mehr verteilen, sprich: Neue signierte Software (Updates) müssen die neue CA nutzen. Wenn du die Stammzertifikate der neuen CA jedoch nicht hast, sind die neuen Signaturen aus deiner Sicht ungültig. Du kannst effektiv keine Updates der betroffenen Software installieren, da eine Signatur erforderlich ist welche du jedoch nicht verifizieren kannst.

Wenn das so wäre wie du beschreibst, müsste jedes mal wenn irgendwo eine CA ausläuft sämtliche alte Software (die damit signiert wurde) neu signiert und neu verteilt werden. Womit du effektiv Software von vor 10 Jahren nicht mehr installieren oder nutzen könntest.

Es hängt aber von der konkreten Implementierung ab. Üblicherweise invalidiert man bei digitalen Signaturen aber nicht nach Ablauf des Zertifikats den Inhalt.

 

[ramis]

Ich schließe mich der Frage mal an. Sollen nicht auch die Zertifikate in älteren BIOS Versionen auslaufen?
Lässt sich Windows dann nicht mehr starten, oder "nur" nicht mehr installieren?

Es läuft überall aus. Windows lässt sich zwar noch starten, aber sehr eingeschränkt benutzen. Normale Windows Updates wirst du noch bekommen, aber keine Sicherheitsupdates mehr (Bootebene) etc... Vielleicht schränkt MS das später noch mehr ein.

 

[feris]

@ramis Danke für die Info. Na ja, solange es noch startet, ist das den meisten Benutzern schnuppe, schätze ich. Wenn Microsoft wirklich was sicherer machen wollte, müssten sie den Start verweigern.
Das würde aber vermutlich zu millionenfachem Aufschrei führen. Würde ich als Firma auch nicht machen. Nach dem Windows 11 Imageschaden wäre es auch schlechtes Timing.

 

[silentdragon95]

Ist wirklich beruhigend, dass die Meinungen hier von "du wirst nichts bemerken" bis zu "es wird fast gar nichts mehr gehen" gehen. Was anderes hab ich im Netz auf die Schnelle auch nicht finden können

Na dann werde ich es wohl einfach drauf ankommen lassen müssen und gucken, wie viele Anrufe es dann gibt weil "mein Windows/Office/XYZ geht plötzlich nicht mehr!". Man sollte meinen, dass Nutzer von Windows 11 wenigstens davor sicher wären, aber man vergisst dabei schnell, dass Windows 11 nicht gleich Windows 11 ist. Ich hab schon so viele Windows 11 Geräte gesehen, die aus nicht erkennbaren Gründen ein Upgrade auf eine neuere Version entweder nie angeboten oder sogar komplett verweigert haben, das Ganze ist eh ein Desaster waiting to hapen.