[Musik] Willkommen zu einem weiteren Video von explainingcomputers.com. Dieses Mal werde ich über das Auslaufen der Secure-Boot-Zertifikate im Juni und Oktober 2026 sprechen. Dies wird den meisten Benutzern wahrscheinlich keine Probleme bereiten , betrifft aber die überwiegende Mehrheit der Computer, auf denen Windows 11 oder Windows 10 läuft, sowie Linux- Installationen, die Secure Boot verwenden. In diesem Video erkläre ich Ihnen also, was passiert und was Sie gegebenenfalls tun müssen. Secure Boot ist eine Sicherheitsfunktion, die in der UEFI- Firmware des Motherboards der meisten Desktop- und Laptop-Computer enthalten ist. Ziel ist es, sicherzustellen, dass ein Computer nur mit Software startet, die vom Originalgerätehersteller als vertrauenswürdig eingestuft wird oder von einem vertrauenswürdigen Softwareanbieter wie Microsoft stammt. Beim Hochfahren eines Computers überprüft Secure Boot die Signaturen aller Komponenten der Vorstartsoftware, einschließlich Firmware- Treiber und des Bootloaders des Betriebssystems . Und wenn diese Signaturen anhand der Datenbank vertrauenswürdiger Zertifikate validiert werden, startet der PC und die Kontrolle wird an das Betriebssystem übergeben. Secure Boot verhindert daher, dass Schadsoftware wie Rootkits beim Start eines Computers geladen wird. Secure Boot basiert auf digitalen Zertifikaten, die im nichtflüchtigen Speicher (NVRAM) eines Computers gespeichert sind. Microsoft hat die ersten Secure-Boot- Zertifikate im Jahr 2011 ausgestellt. Diese ersten Zertifikate laufen jedoch im Juni und Oktober 2026 ab und müssen ersetzt werden. Computer, die ab dem Jahr 2024 hergestellt werden, verfügen möglicherweise bereits über die neuen Microsoft-Zertifikate. Die meisten Computer benötigen jedoch ein Update. Hier sehen wir die drei Zertifikate, die demnächst ablaufen. Sie erscheinen in vier Zeilen, weil das letzte durch zwei andere ersetzt wird. Alle vier Ersatzzertifikate wurden im Jahr 2023 erstellt. Beachten Sie, dass CA in den Zertifikatsnamen für Zertifizierungsstelle steht. Und tatsächlich wird das, worüber wir sprechen, manchmal als Übergang von CA 2011 zu CA 2023 bezeichnet. Einige ablaufende Zertifikate werden in DB gespeichert, wobei DB sich auf die Secure Boot Authorized Signature Database bezieht. Das erste Zertifikat wird derweil im KEK gespeichert. Dies bezieht sich auf die Schlüsselregistrierungsschlüsseldatenbank , in der Signaturschlüssel gespeichert sind, denen vertraut wird, um Datenbankänderungen vorzunehmen. Es gibt zwei solcher Datenbanken: die DB- Datenbank für autorisierte Signaturen, wie ich bereits erwähnt habe, und DBX, eine Datenbank mit verbotenen Signaturen auf der Blacklist. Das erste auslaufende Zertifikat, Microsoft Corporation KEK CA 2011, kontrolliert Änderungen an den zulässigen und gesperrten Signaturdatenbanken. Das zweite Zertifikat, das Microsoft Windows Production PCA (Product Control Authority 2011 Certificate), signiert den Bootloader für Windows selbst. Das letzte auslaufende Zertifikat trägt den Namen Microsoft UEFI CA 2011 und wird durch zwei neue ersetzt. Der erste dieser Bootloader signiert Bootloader von Drittanbietern. Der zweite Anbieter wird unterdessen Option-ROMs von Drittanbietern signieren. Dabei handelt es sich um Firmware-Treiber, die in Hardwarekomponenten wie GPUs oder Netzwerkcontrollern enthalten sind. Microsoft ermöglicht bei der Erneuerung also eine feinere Kontrolle, indem das Drittanbieterzertifikat in zwei Teile aufgeteilt wird. Die in dieser Tabelle aufgeführten Secure-Boot-Zertifikate werden auf einem Windows-PC benötigt. Die meisten Linux-Distributionen, die Secure Boot unterstützen, erreichen dies jedoch durch die Verwendung eines Zwischen-Bootloaders, der als Shim bezeichnet wird und mit dem Microsoft UEFI-Zertifikat signiert ist . Das KE-Zertifikat wird auch von Linux für Datenbankaktualisierungen verwendet. Linux-Distributionen machen das, weil die meisten Mainboard-Hersteller nur Microsoft-Zertifikate installieren, und deren Ablauf somit Auswirkungen auf Computer hat, auf denen sowohl Windows als auch Linux laufen. Was geschieht also im Juni 2026 und welche Maßnahmen könnten erforderlich sein? Nun, fangen wir mit Windows an. Hier sind wir auf der entsprechenden Microsoft-Seite, die ich in der Videobeschreibung verlinken werde. Scrollen wir nach unten zum Abschnitt „Auswirkungen“, sehen wir, dass Geräte, die das neue Zertifikat von 2023 nicht erhalten haben, weiterhin normal starten und funktionieren und dass Standard-Windows-Updates weiterhin installiert werden. Allerdings können diese Geräte während des frühen Startvorgangs keine neuen Sicherheitsvorkehrungen mehr erhalten . Dies verdeutlicht, dass der Ablauf eines Zertifikats lediglich Auswirkungen auf die Sicherheit und nicht auf den Computerbetrieb haben sollte. Es gibt jedoch eine Einschränkung, auf die wir gleich eingehen werden . Die gute Nachricht ist, dass die meisten Windows- Computer die aktualisierten Secure-Boot-Zertifikate automatisch erhalten. Genauer gesagt: Wenn Sie Windows 11 Home, Pro oder Education verwenden, sollten Sie die neuen Zertifikate im Hintergrund über Windows Update erhalten. Wenn Sie Windows 10 Home, Pro oder Education verwenden, erhalten Sie die neuen Zertifikate automatisch, sofern Sie für erweiterte Sicherheitsupdates (ESUs) registriert sind . Vor diesem Hintergrund hängt es von Ihrer Hardware und dem Aktualitätsgrad ihrer UEFI-Firmware ab, wann und ob Sie die neuen Secure-Boot- Zertifikate automatisch erhalten. Wenn wir hier auf der Microsoft-Seite nach oben scrollen und auf Windows-Geräte für Privatanwender, Unternehmen und Schulen mit von Microsoft verwalteten Updates klicken und dann auf der folgenden Seite nach unten zu Problembehandlung scrollen, können wir sehen, dass Ihr Gerät in einigen Fällen möglicherweise nicht startet oder dass beim Empfang der neuen Zertifikate eine BitLocker-Wiederherstellungssituation auftritt. Wie auf der Seite weiter ausgeführt wird, besteht die Lösung im ersten dieser Fälle darin, Secure Boot zu deaktivieren. Sie können dies tun, indem Sie während des Startvorgangs die entsprechende Taste gedrückt halten, um in die UEFI-Oberfläche Ihres Computers zu gelangen, und dann die entsprechende Option auswählen. Welche Taste gedrückt werden muss, hängt von Ihrem Computer ab, aber oft ist es die Escape-, Entf- oder F2-Taste. Sobald man sich in der UEFI-Oberfläche befindet, ist Secure Boot üblicherweise eine Option unter Sicherheit, wo sie je nach Bedarf ein- oder ausgeschaltet werden kann. Um zu überprüfen, ob ein Computer automatische Zertifikatsaktualisierungen erhalten hat, können wir in der Windows-Sicherheits-App nachsehen. Unter Windows 11 und Windows 10 kann man diese Funktion oft durch Klicken auf das Sicherheitssymbol in der Taskleiste aufrufen. Wenn das Symbol jedoch, wie auf diesem System, nicht angezeigt wird, gehen Sie zur Suche und geben Sie „ Sicherheit“ ein. Dadurch sollte Windows-Sicherheit angezeigt werden, auf die Sie klicken können . Sobald Sie sich in der Windows-Sicherheits-App befinden, klicken Sie als Nächstes auf Gerätesicherheit. Wenn Secure Boot aktiviert ist, finden Sie hier einen entsprechenden Eintrag, unter dem verschiedene Meldungen angezeigt werden können. Und wenn, wie hier, die Meldung lautet: „Secure Boot ist aktiviert und alle erforderlichen Zertifikatsaktualisierungen wurden angewendet, weitere Zertifikatsänderungen sind nicht erforderlich“, dann wurde bereits alles automatisch aktualisiert und alles ist in Ordnung. Es kann jedoch sein, dass Ihnen diese Meldung nicht angezeigt wird. Um dies zu veranschaulichen, gehen wir auf diesem Computer in der Zeit zurück. Vor 6 Tagen wurde dort die Meldung angezeigt: „Secure Boot ist aktiviert und verhindert das Laden von Schadsoftware beim Start Ihres Geräts.“ Das klingt zwar beruhigend, ist aber keine gute Nachricht, denn es bedeutet, dass Windows nicht aktualisiert wurde, um den neuesten Status des Secure-Boot-Zertifikats anzuzeigen, und Sie mit ziemlicher Sicherheit nicht über die neuen Secure-Boot-Zertifikate verfügen werden. Zur Erklärung: Im April 2026 begann Microsoft mit der Veröffentlichung eines Updates für die Windows-Sicherheits-App, das die Berichterstattung über sichere Startzustände verfeinerte. Wir kommen in Kürze auf diese Seite zurück . Allerdings waren auf unserem Rechner, als diese alte Meldung angezeigt wurde, Updates erforderlich, die ich nicht installiert hatte, damit ich Ihnen die alte Secure-Boot-Meldung zeigen konnte . Aber jetzt installieren wir sie erst einmal. So, jetzt haben wir's. Und wenn wir jetzt in der Windows-Sicherheits-App nachsehen, werden wir zunächst feststellen, dass sich nichts geändert hat, da aufgrund der vielen Updates im Zusammenhang mit Secure Boot ein zweiter Neustart erforderlich ist. Also, lasst es uns tun. Und nun zurück zur Windows-Sicherheit, wo wir , obwohl Secure Boot ein grünes Häkchen hat, eine neue Meldung erhalten, die besagt, dass Secure Boot aktiviert ist, Ihr Gerät jedoch eine ältere Boot-Trust-Konfiguration verwendet, die aktualisiert werden sollte. Laut Microsoft bedeutet diese Meldung, dass Windows möglicherweise weitere Updates durchführen muss oder ein weiterer Neustart erforderlich ist. An diesem Punkt habe ich mir eine schöne Tasse Tee gegönnt. Als ich 20 Minuten später zurückkam und das Gerät erneut neu gestartet hatte, hatte sich die Meldung aktualisiert und enthielt nun den Hinweis, dass noch nicht genügend Daten vorhanden seien, um das Gerät für ein automatisches Update zu klassifizieren. Laut Microsoft bedeutet dies, dass ein Computer möglicherweise einer zusätzlichen Validierung bedarf. In der Praxis bedeutet diese Meldung jedoch in der Regel, dass Sie warten müssen, bis die neuen Zertifikatsaktualisierungen für Ihre spezielle Hardwarekonfiguration verfügbar sind. Und tatsächlich, wenn Sie eine Meldung über eine ältere Boot- Trust-Konfiguration sehen, rate ich Ihnen, abzuwarten, ob Windows Update das Problem behebt. Und genau das ist auch auf dieser Maschine passiert, denn 6 Tage später erhielt ich die Nachricht, dass die neuen Zertifikate angewendet wurden und alles in Ordnung ist. Während ich dieses Video erstellte, habe ich viele Leute gefragt, welche Meldungen zum Secure-Boot-Status sie erhielten. Und ich habe festgestellt, dass viele Menschen mehrere Tage im Zwischenzustand warten mussten . In den allermeisten Fällen hat Windows Update das Problem jedoch behoben, ohne dass der Benutzer etwas anderes tun musste, als ein paar Planetenumdrehungen abzuwarten. Allerdings kann es in einigen Fällen vorkommen, dass die UEFI-Firmware eines Computers die neuen Zertifikate nicht akzeptieren kann, sodass ein manuelles Update erforderlich sein kann. Das werde ich im nächsten Teil des Videos behandeln. Zuvor werfen wir jedoch einen Blick zurück auf die Microsoft-Seite zu den aktualisierten Meldungen zum Secure-Boot-Status. Dort können wir sehen, dass möglicherweise eine gelbe oder rote Warnung angezeigt wird. Wie nachfolgend beschrieben, kann dies darauf hindeuten, dass Ihre Secure-Boot-Zertifikate vollständig aktualisiert sind, noch nicht aktualisiert sind oder dass automatische Aktualisierungen nicht unterstützt werden. Wenn wir weiter nach unten scrollen und die Einstellungen öffnen , sehen wir sechs mögliche Statusmeldungen. Die erste davon steht für vollständig abgeschlossen, während die zweite eine der älteren Boot-Vertrauensmeldungen ist, die wir gerade gesehen haben. Dann gibt es noch eine weitere mögliche Meldung, die darauf hinweist, dass Updates aufgrund eines bekannten Problems, das sich automatisch beheben wird, pausiert wurden. Darauf folgt die zweite ältere Boot-Trust-Meldung, die wir gerade gesehen haben. Schließlich gibt es zwei mögliche Meldungen, die Sie erhalten können, wenn die automatische Aktualisierung des sicheren Startvorgangs auf Ihrem Computer nicht unterstützt wird . Was passiert also , wenn Sie eine Meldung erhalten, dass automatische Updates nicht unterstützt werden? Oder wenn Sie bei einer älteren Boot-Trust-Meldung hängen bleiben, die nicht zum letzten Schritt übergeht? Nun, im ersten Fall, und möglicherweise auch im zweiten, müssen Sie eventuell ein Firmware-Update durchführen. Ich selbst hatte einen Rechner, der scheinbar mit einer älteren Boot-Trust- Meldung feststeckte, obwohl er sich im Laufe der Zeit möglicherweise automatisch aktualisiert hatte. Ich habe mich aber dazu entschlossen, die Firmware zu aktualisieren, sowohl um den Vorgang in diesem Video zu demonstrieren, als auch weil ich ungeduldig bin. Ich möchte jedoch betonen, dass beim Aktualisieren der UEFI-Firmware eines Computers, die von vielen Mainboard-Herstellern immer noch als BIOS bezeichnet wird, stets ein geringes Risiko besteht. Und das Risiko besteht darin, dass Sie Ihr Motherboard beschädigen und es unbrauchbar machen. Falls Sie sich für ein Firmware-Update entscheiden, ist es wichtig zu beachten, dass der genaue Ablauf je nach Hersteller und Hardware variiert. Und so kann es sein, dass die Dinge auf Ihrem System anders aussehen, auch wenn ich Ihnen nun eine Demonstration geben werde. Bei einem Desktop-PC besteht der grundlegende Vorgang in der Regel darin, eine neue BIOS-Datei von der Website des Mainboard-Herstellers herunterzuladen, dann das BIOS aufzurufen und diese auf das Mainboard zu flashen. Dazu habe ich zunächst die Webseite meines Motherboards besucht, bin dort zum Support gegangen und habe unter BIOS die neueste verfügbare Datei auf einen USB-Stick heruntergeladen, der mit FAT32 formatiert sein muss. Als Nächstes habe ich den USB-Stick geöffnet und die heruntergeladene ZIP-Datei am selben Speicherort extrahiert. Und je nach Motherboard kann dies erforderlich sein oder auch nicht . Ich persönlich entpacke BIOS-Downloads aber immer, da ich mir so erspare, dies später bei Bedarf wiederholen zu müssen. Als Nächstes startete ich den Computer neu, rief das BIOS auf, indem ich in meinem Fall die Taste F2 drückte , und klickte auf Q-Flash, das Firmware-Update-Dienstprogramm auf einem Gigabyte-Motherboard. Hier wählte ich dann die neue BIOS-Datei aus, die ich auf den USB-Stick heruntergeladen hatte, bestätigte, dass ich das BIOS aktualisieren wollte , und wartete, bis die Datei verifiziert war. Schließlich klickte ich auf Start, akzeptierte den erforderlichen Neustart und hoffte nervös, dass das neueste Firmware-Update die neuen Secure-Boot- Zertifikate enthielt. Nach dem erfolgreichen Neustart des Systems hatte sich in der Windows-Sicherheits-App nichts geändert. Also habe ich einen zweiten Neustart durchgeführt. Und da sind wir nun. Die neuen Zertifikate sind installiert, weitere werden nicht benötigt. Für mich war ein Firmware-Update daher die schnellere Lösung, um die neuen Zertifikate zu erhalten, als ein Update über Windows. Dies ist jedoch nicht immer der Fall, und Sie müssen möglicherweise auf weitere Windows-Updates warten, um die neuen Zertifikate zu erhalten. Es kommt lediglich darauf an, ob das BIOS- Update die neuen Zertifikate tatsächlich enthält oder lediglich deren Installation ermöglicht. Gut, wenden wir uns Linux zu. Man sollte außerdem bedenken, dass Secure-Boot- Zertifikate im NVRAM eines Computers gespeichert werden . Wenn Sie also ein Dual-Boot- System haben, spielt es keine Rolle, ob Windows oder Linux die neuen Zertifikate installiert. Genau wie bei Windows sollten abgelaufene Secure-Boot- Zertifikate ein Linux- System nicht am Starten hindern. Allerdings ist eine Neuinstallation mit aktiviertem Secure Boot möglicherweise nicht möglich, wenn Sie nicht über die neuen Zertifikate verfügen. Glücklicherweise stellen viele Distributionen die neuen Zertifikate über ihre Standard- Softwaredaten bereit. Als ich mir beispielsweise kürzlich Fedora 44 ansah, gelang es mir zufällig, diesen Bildschirm aufzunehmen, auf dem die neuen Zertifikate nur wenige Klicks entfernt waren. Um den Status Ihres Secure Boot-Prozesses zu überprüfen und festzustellen, ob Sie die neuen Zertifikate unter Linux besitzen, können wir das Dienstprogramm „Mock Keys“ oder „Machine Owner Keys“ verwenden. Konkret können wir mit diesem Befehl herausfinden, ob Secure Boot aktiviert oder deaktiviert ist. So, los geht's und da sind wir. Es ist auf diesem System aktiviert. Um herauszufinden, welche Zertifikate installiert sind, können wir auch das Tool mokutil verwenden, um zu überprüfen, was in der Secure Boot Authorized Signature Database (DB) oder der Key Enrollment Database (KEK) gespeichert ist, wie ich bereits erwähnt habe. Beginnen wir mit der letzteren Variante, bei der wir diesen Befehl eingeben und alle Schlüssel aufgelistet werden. Ich habe mit diesem Befehl angefangen, weil er weniger Tasten benötigt, hier sind es nur zwei. Kehren wir ganz nach oben zurück . Hier sehen Sie einen Schlüssel, und zwar den Microsoft Corporation KEK CA 2011, der im Juni 2026 abläuft. Dies ist das alte Zertifikat. Wenn wir aber nach unten scrollen, werden wir feststellen, dass wir auch Schlüssel zwei haben, und das ist der neue. Dies ist Microsoft Corporation KEK 2K CA 2023 und läuft 2038 aus. Ja, wir werden das alles 2038 wiederholen. Schauen wir uns also auch die Datenbank an. Wir werden zunächst den Bildschirm leeren, um die Sache etwas zu vereinfachen, und führen das Ganze nun erneut aus, diesmal jedoch mit einer Datenbank am Ende. Das hast du wahrscheinlich schon erraten. Noch viele weitere Zertifikate, und ich denke, wir erleichtern uns die Sache, indem wir nach 2038 suchen. Und da haben wir es. Wir haben dort ein neues Zertifikat gefunden, das Microsoft Option ROM UEFI CA 2023, das im Jahr 2038 abläuft. Es ist also klar, dass wir auf diesem System die neuen Zertifikate haben. Das ist keine Überraschung, denn es handelt sich um denselben PC, an dem wir unter Windows gearbeitet haben. Und leider besitze ich jetzt keinen Computer mehr, auf dem die neuen Zertifikate nicht installiert sind und der sie ohne BIOS-Update akzeptiert, was ich gerade demonstriert habe. Daher kann ich Ihnen die manuelle Installation des Secure-Boot-Zertifikats unter Linux nicht vollständig demonstrieren. Dies lässt sich jedoch mithilfe des Firmware-Update-Daemons erreichen, und ich werde Ihnen so viel wie möglich demonstrieren. Als Erstes sollten wir also den Bildschirm leeren, indem wir die Firmware-Metadaten aktualisieren. Und das machen wir mit diesem Befehl, firmware update manager refresh, der hier lediglich meldet, dass alles auf dem neuesten Stand ist . Zweitens können Sie, nachdem Sie die Metadaten aktualisiert haben, mit diesem Befehl überprüfen, ob Aktualisierungen verfügbar sind: get updates. Und auch auf diesem Gerät gab es keine aktualisierbaren Geräte. Aber falls es welche gäbe, könnten Sie den Update-Befehl verwenden, der wie folgt lautet: Wenn ich ihn hier ausführe, wird uns einfach erneut mitgeteilt, dass keine aktualisierbaren Geräte vorhanden sind. Falls es solche Zertifikate gäbe, sollte dieser Befehl die neuen Secure-Boot-Zertifikate herunterladen, die beim nächsten Neustart in den NVRAM eingebunden werden können. Und denken Sie daran: Oft sind zwei Neustarts erforderlich. Und ich werde diese Befehle natürlich in der Videobeschreibung auflisten. Für die meisten Anwender wird das Ablaufen des Secure-Boot-Zertifikats automatisch abgewickelt und verursacht keine Probleme. Ich würde Ihnen jedoch raten zu überprüfen, ob Sie die neuen Secure-Boot- Zertifikate besitzen, und falls nicht, weiterhin zu überprüfen und gegebenenfalls manuell Maßnahmen zu ergreifen. Das war’s dann aber für dieses Video. Wenn Ihnen gefallen hat, was Sie hier gesehen haben, drücken Sie bitte den „Gefällt mir“-Button. Falls Sie noch nicht abonniert haben, abonnieren Sie bitte. Und ich hoffe, dass wir uns aus Vernunftgründen wiedersehen werden . [Musik]