Ihr Windows-PC ist in Gefahr, wenn Ihnen diese Sicherheitszertifikate fehlen: So lösen Sie das Problem

Sie haben in letzter Zeit wahrscheinlich unzählige Warnmeldungen zu Windows und ablaufenden Secure-Boot-Zertifikaten gesehen. Warum? Einige PCs haben die Updates noch nicht erhalten (obwohl Microsoft noch ein Notfall-Update veröffentlicht hat) – und werden sie auch nicht erhalten, solange Sie nicht selbst Maßnahmen ergreifen.

Das ist das erste Problem. Das zweite? Auch wenn Sie Ihren Rechner entsprechend vorbereiten, erhalten Sie die neuen Zertifikate möglicherweise nicht sofort.

Hier erfahren Sie, was Sie wissen sollten, damit Sie online sicher bleiben, bis Ihr PC die erforderlichen Updates erhält. Und wie Sie feststellen können, ob Ihr PC dieses Update überhaupt erhalten wird.

Tipp: Für eine tiefgreifende Analyse zum Thema Secure Boot und den möglichen Folgen eines fehlenden Updates empfehlen wir diesen Artikel: Ihr Windows-PC bekommt ab Juni ernste Probleme – das können Sie tun

Was ist Secure Boot?

Beim Hochfahren lädt Ihr PC den erforderlichen Code, um Windows zu starten. Früher war diese Startsequenz nicht geschützt, also nutzten Hacker diese Lücke, um Malware zu entwickeln, die genau hier ansetzen und sich zudem der Erkennung durch Antivirensoftware entziehen konnte.

Microsoft hat Secure Boot (“sicherer Systemstart”) eingeführt, um solche Angriffe zu blockieren. Stellen Sie sich das ähnlich wie an einem Kontrollpunkt vor, an dem ein Beamter Ihren Ausweis überprüft, nachsieht, ob die Angaben mit denen in seiner Datenbank übereinstimmen, und Sie nur durchlässt, wenn Sie auf der Genehmigungsliste stehen.

Auf Ihrem PC entsprechen die Sicherheitszertifikate von Secure Boot dieser „Datenbank“. Um beim Systemstart ausgeführt zu werden, muss die „Identität“ (digitale Signatur) von Treibern, Software usw. mit den in den Zertifikaten gespeicherten Informationen übereinstimmen.

Einige PCs verwenden noch immer ältere Secure-Boot-Zertifikate, die im Jahr 2011 ausgestellt wurden. Drei der vier Zertifikate sind in der letzten vollen Woche im Juni 2026 abgelaufen. Das letzte läuft im Oktober 2026 ab. Für einen umfassenden Schutz sollte Ihr Computer neuere Secure-Boot-Zertifikate verwenden, die im Jahr 2023 ausgestellt wurden.

Übrigens: Sollten Sie Windows 11 Home im Einsatz haben, dann entgehen Ihnen die vielen Vorteile der Pro-Version, die wir Ihnen hier vorstellen. Im PC-WELT Software-Shop ist das Windows-11-Upgrade für günstige 59,99 Euro statt 145 Euro erhältlich.

So erkennen Sie, ob Sie abgelaufene Secure-Boot-Zertifikate haben

Eine Warnung bezüglich eines Secure-Boot-Zertifikats in der Windows-Sicherheits-App.

ASUS

Sie können einen PC auch ohne aktuelle Secure-Boot-Zertifikate weiterhin betreiben. Gehen Sie also nicht davon aus, dass alles in Ordnung ist, nur weil Ihr PC noch hochfährt.

Viele PCs haben jedoch bereits automatische Upgrades auf die Secure-Boot-Zertifikate von 2023 erhalten. Falls dies bei Ihrem PC nicht der Fall ist, sollte Windows Sie auf das Problem hinweisen – achten Sie auf ein blaues Schildsymbol in der Taskleiste, das entweder mit einer gelben oder einer roten Markierung versehen ist.

Sie sehen keine solche Warnung? Überprüfen Sie dies noch einmal, indem Sie die neue Secure Boot Anzeige öffnen. Suchen Sie nach Windows Sicherheit , wählen Sie dort Gerätesicherheit und schauen Sie auf das Symbol neben dem Begriff Secure Boot. Ein grünes Häkchen bedeutet, dass alles in Ordnung ist. Eine gelbe oder rote Warnanzeige bedeutet, dass Sie Maßnahmen ergreifen müssen.

Drei Maßnahmen, die Sie ergreifen sollten, wenn Ihre Secure-Boot-Zertifikate abgelaufen sind

Wenn Sie eine gelbe oder rote Warnung bezüglich Secure Boot sehen, müssen Sie Ihren PC überprüfen, um festzustellen, ob er diese automatischen Updates empfangen kann. Microsoft weitet die Einführung automatischer Zertifikatsupdates aus, kann diese neueren Zertifikate jedoch nicht bereitstellen, wenn Ihre Firmware veraltet ist.

Sobald Sie diese Frage geklärt haben, müssen Sie außerdem einige Vorsichtsmaßnahmen ergreifen, während Sie auf die aktualisierten Secure-Boot-Zertifikate warten.

1. Aktualisieren Sie das UEFI/BIOS Ihres PCs auf die neueste Version

Das UEFI für ein Asus-Motherboard.

Ian Paul / Foundry

UEFI ist eine Software, die den Startvorgang eines PCs steuert. Es ist der Nachfolger des BIOS, einer älteren, einfacheren Softwareart, die dieselbe Aufgabe erfüllte (Der Begriff „BIOS“ ist schon so lange gebräuchlich, dass er auch heute noch verwendet wird, selbst wenn eigentlich UEFI gemeint ist). Ist diese Firmware auf Ihrem Motherboard nicht aktuell genug, kann Microsoft Ihre Secure-Boot-Zertifikate nicht automatisch aktualisieren.

Wenn Sie also eine gelbe oder rote Warnung bezüglich Secure Boot sehen, stellen Sie sicher, dass Ihre UEFI-/BIOS-Version so aktuell wie möglich ist. Wie Sie das anstellen, hängt von der Art Ihres PCs ab. Einen Ratgeber zum Thema “So aktualisieren Sie BIOS und UEFI richtig” verlinken wir Ihnen hier.

Sie haben einen PC von Dell, Lenovo, HP usw. gekauft:

Suchen Sie die Support-Seite für Ihr PC-Modell. Oft können Sie dort automatische Diagnosetools nutzen, die Ihr System analysieren, Ihnen Auskunft über die UEFI/BIOS-Version Ihres PCs geben und Ihnen dabei helfen, auf die aktuellste Version zu aktualisieren.

Sollten Sie Schwierigkeiten haben, die Support-Seiten zu verstehen oder die richtigen Informationen zu finden, können Sie stattdessen diese Anleitung von Windows Latest nutzen. Darin wird erläutert, wo Sie Informationen zu Secure-Boot-Updates für die wichtigsten Hersteller finden.

Lenovo

Ihr PC ist selbst zusammengebaut (DIY)

Dieses Szenario gilt für einen Computer, den Sie selbst zusammengebaut haben – oder der von jemand anderem für Sie zusammengebaut wurde (einschließlich einiger Spezialanbieter von PCs).

1. Ermitteln Sie Ihre aktuelle UEFI/BIOS-Version. Unter Windows können Sie eine App namens HWiNFO installieren, die diese Angabe anzeigt. Andernfalls starten Sie Ihr System einfach neu und rufen Sie beim Hochfahren das UEFI/BIOS auf. In der Regel finden Sie die Versionsangabe oben oder an der Seite des Bildschirms.

2. Als Nächstes rufen Sie die Support-Seite des Herstellers Ihres Mainboards auf. Achten Sie darauf, dass Sie die Seite aufrufen, die Ihrer spezifischen Mainboard-Version entspricht (z. B. REV 1.0 vs. REV 2.0), und nicht nur der Modellnummer.

3. Vergleichen Sie Ihre UEFI/BIOS-Version mit der Liste der UEFI/BIOS-Revisionen. Überprüfen Sie die Versionshinweise auf Einträge, die Aktualisierungen des Secure-Boot-Zertifikats erwähnen. Sie finden keine entsprechenden Hinweise? Dann aktualisieren Sie einfach auf die neueste Version.

4. Aktualisieren Sie Ihr BIOS. Bei diesen manuellen UEFI/BIOS-Updates müssen Sie in der Regel auf die altbewährte Art vorgehen: Laden Sie die Update-Dateien herunter, speichern Sie sie auf einem USB-Stick und starten Sie dann Ihr System im UEFI/BIOS-Modus, um die Updates zu installieren.

Hinweis : Sollte Ihre UEFI/BIOS-Version bereits ziemlich veraltet sein, empfehle ich Ihnen, das UEFI/BIOS in mehreren Schritten zu aktualisieren. Ein einmaliger Sprung – also das Anwenden des neuesten Updates auf eine sehr alte Version – kann mitunter zu Problemen führen. Führen Sie die Aktualisierung schrittweise durch, indem Sie die wichtigsten UEFI/BIOS-Versionen (wie in den Versionshinweisen angegeben) identifizieren und sich dann schrittweise bis zur aktuellsten Version vorarbeiten.

HWiNFO ist ein Gratis-Tool, das Sie direkt bei PC WELT herunterladen können.

PC-Welt

Ihr PC ist ein Semi-DIY-PC

Manche PCs liegen irgendwo zwischen Fertig- und Selbstbau-PCs. Ein Beispiel hierfür sind Intel-NUC-PCs, die eher für Geschäftskunden und etwas eigenwillige Enthusiasten konzipiert wurden.

Für diese Art von Systemen können Sie möglicherweise ein vom Hersteller bereitgestelltes Tool herunterladen, das den Status des PCs anzeigt, einschließlich der genauen Modellnummer und der UEFI/BIOS-Version. (Ein solches Tool gibt es tatsächlich für Intel-NUCs.) Dadurch ist es wesentlich einfacher, die Support-Seite sowie relevante UEFI/BIOS-Updates zu finden.

Das UEFI/BIOS-Update ist möglicherweise auch in selbstausführenden Versionen verfügbar, die Sie direkt unter Windows starten können. Dies verkürzt den Zeitaufwand für die Durchführung des UEFI/BIOS-Updates – Sie müssen keinen USB-Stick bestücken, nicht in das UEFI/BIOS neu starten und das Update nicht manuell durchführen. Dies ist zwar keine Garantie dafür, dass Ihr PC ebenfalls über eine solche Option verfügt, doch die Wahrscheinlichkeit ist höher.

Intel hat ein manuelles UEFI-Update für einen älteren NUC-PC überraschend angenehm gestaltet.

Intel

2. Seien Sie im Internet vorsichtiger

Veraltete Secure-Boot-Zertifikate stellen keine unmittelbare, akute Gefahr für Ihren PC dar. Doch mit der Zeit (und möglicherweise schon recht bald, wenn man bedenkt, wie schnell KI die Entdeckung von Sicherheitslücken und die Entwicklung von Malware ermöglicht) wird Ihr PC anfälliger für Angriffe.

Achten Sie daher, solange sich die Situation noch in der Schwebe befindet, darauf, welche Websites Sie besuchen, welche Browser-Erweiterungen Sie installieren und welche Software Sie herunterladen. Bösartige Websites können Malware auf Ihrem System platzieren, ohne dass Sie es merken. Auch kompromittierte Browser-Erweiterungen können Malware auf Ihrem PC einschleusen. Und beim Herunterladen von raubkopierten Apps kann ebenfalls Malware eingebettet sein.

3. Halten Sie Ihre Antivirensoftware auf dem neuesten Stand

Alaina Yee / Foundry

Im Allgemeinen fällt es Antivirenprogrammen unter Windows schwerer, Bootkits und andere Malware aufzuspüren, die in Ihrem Autostart-Prozess lauern. Sie können sich also nicht darauf verlassen, dass Sicherheitssoftware eine bereits vorhandene Infektion entfernt.

Es kann jedoch dennoch hilfreich sein, die Updates Ihrer Antivirensoftware stets auf dem neuesten Stand zu halten, um Bootkits zu vermeiden, bevor sie installiert werden. Wenn Ihre Software weiß, wonach sie suchen muss, kann sie verhindern, dass Sie versehentlich solchen schädlichen Code auf Ihrem PC installieren.

Verbessern Sie also Ihre Chancen, indem Sie ein aktuelles Antivirenprogramm nutzen. Die besten für Windows 11 stellen wir Ihnen hier vor.

Was passiert, wenn mein PC keine Updates für Secure-Boot-Zertifikate erhalten kann?

Leider entscheidet nicht nur Microsoft darüber, ob Ihr PC aktualisierte Secure-Boot-Zertifikate erhält. Dies liegt in der Hand der Hersteller Ihrer Hardware. Diese müssen Firmware bereitstellen, die die neuen Zertifikate unterstützt. Tun sie dies nicht, haben Sie Pech gehabt.

Wie können Sie das herausfinden? Bei vorgefertigten PCs und Laptops von Herstellern wie Dell, Lenovo, HP usw. finden Sie die entsprechenden Richtlinien möglicherweise in deren Anleitungen zu Secure-Boot-Updates. Bei Computerkomponenten sind diese Informationen möglicherweise auf den Support-Seiten der jeweiligen Hersteller zu finden. Wenn Sie diese Informationen nicht finden können, versuchen Sie es in Support-Foren, um weitere Hinweise zu erhalten.

Pragmatisch betrachtet: Wenn der Hersteller Ihres PCs Ihren Computer nicht mehr unterstützt, steht Ihnen wahrscheinlich ein erzwungenes Hardware-Upgrade bevor. Sie könnten einen Umstieg auf Linux in Betracht ziehen, doch viele Distributionen sind auf dieselben Zertifikate angewiesen wie Windows.

Wie sieht es mit der weiteren Nutzung Ihres PCs ohne aktualisierte Secure-Boot-Zertifikate aus? Wir raten davon ab, dies über einen längeren Zeitraum zu tun. Online-Bedrohungen nehmen weiter zu, und zwar in immer schnellerem Tempo. Sparen Sie nicht etwas Geld, um letztendlich mit Zeit und Nerven zu bezahlen, sollte jemand Ihren PC kompromittieren.

• Die besten Mini-PCs im Test: Diese kleinen Kraftpakete ersetzen den Tower-PC
• Die besten Mini-PCs bis 800 Euro im Test: Viel Leistung auf kleinstem Raum