Das letzte der alten Secure-Boot-Zertifikate läuft am Montag ab

Montag ist der Stichtag. Am 19. Oktober läuft das Zertifikat Microsoft Windows Production PCA 2011 ab. Es signiert den Windows-Startmanager, jenes kleine Stück Code, das vor Windows selbst läuft und das Secure Boot bei jedem Einschalten prüft. Über diesen Wechsel haben wir im Juli geschrieben, nachdem die ersten beiden Zertifikate von 2011 im Juni abgelaufen waren. Dieses hier ist das letzte.

Am Montagmorgen passiert nichts Dramatisches. Microsoft schreibt, betroffene PCs starten und arbeiten weiterhin normal und bekommen auch weiterhin die gewöhnlichen Windows-Updates. Was sie verlieren, ist leiser: keine Aktualisierungen des Windows-Startmanagers mehr, keine neuen Einträge in den Secure-Boot-Sperrlisten und keine Korrekturen für Lücken im Startvorgang, die ab jetzt gefunden werden. Genau diese Schicht soll etwas wie das BlackLotus-Bootkit aufhalten, also Schadsoftware, die vor Windows lädt und damit vor jedem Schutzprogramm. Ihr PC geht nicht kaputt. Er bekommt nur eine bestimmte Art von Reparatur nicht mehr.

Die Prüfung dauert keine Minute. Öffnen Sie die Windows-Sicherheit, gehen Sie auf Gerätesicherheit und dann auf Sicherer Start. „Alle erforderlichen Zertifikatupdates wurden angewendet" heißt, Sie sind fertig. „Ältere Startvertrauenskonfiguration" heißt, es stehen noch Updates und ein Neustart an. „Hardware- oder Firmwareeinschränkungen" verweist auf den PC-Hersteller, suchen Sie dort nach einem BIOS-Update. Und wenn dort steht, dass Microsoft das Update wegen eines bekannten Problems bei Ihrem Modell pausiert hat, lassen Sie es in Ruhe: Diese Pause ist Absicht. Betroffen sind alle Versionen von Windows 11, und Windows 10 nur dann, wenn Sie in den erweiterten Sicherheitsupdates eingeschrieben sind.

Die Sicherheitsprüfung von Tendvane liest denselben Secure-Boot- und BitLocker-Status wie die Windows-Sicherheit, sodass Sie den Stand Ihres PCs sehen, ohne das Menü suchen zu müssen.