Aus: c'6 2/2026, Seite 60/61

Alte Bootloader

Ein für Secure Boot konfigurierter PC erkennt den Bootloader eines Mediums als manipulationsfrei, wenn der mit speziell dafür erstellten Zertifikaten signiert wurde. Diese Signaturen kann nur Microsoft ausstellen. Seit der Einführung von Secure Boot kommen dafür Zertifikate zum Einsatz, die 2011 generiert worden sind.

Diese Zertifikate laufen Mitte 2026 ab. Danach kann Microsoft damit keine neuen Bootloader mehr signieren. Das erzeugt Handlungsdruck: Microsoft muss neue Zertifikate auf PCs hinterlegen, damit die zukünftig signierten Bootloadern vertrauen. Das neue Zertifikat wurde 2023 erstellt, ist aber noch wenig verbreitet. Microsoft muss auch nicht nur neue Zertifikate verteilen, sondern ebenfalls die Bootloader austauschen.

Medien mit Bootloadern, die sowohl mit dem alten als auch mit dem neuen Zertifikat signiert sind, lassen sich nicht erstellen. Es geht momentan nur entweder/oder. So verwenden selbst die Boot-Medien, die Microsoft aktuell veröffentlicht, noch Bootloader, die mit dem alten Zertifikat signiert sind.

Zertifikate prüfen

Wie kann ich nun prüfen, ob mein PC schon neue Zertifikate für Secure Boot erhalten hat?

Das geht am präzisesten mit vier PowerShell-Befehlen als Administrator. Die ersten drei müssen Sie auf dem PC nur einmalig aufrufen, sie installieren ein Modul, das den Befehl zum Abrufen der Zertifikatinformationen ergänzt. Die Warnung, dass die PSGallery ein „untrusted repository“ sei, können Sie dabei getrost ignorieren; Microsofts Prüfung der Module vor der Aufnahme in dieses Verzeichnis gilt allgemein als recht sicher:

Install-Module -Name UEFIv2
Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope Process
Import-Module UEFIv2
Get-UEFISecureBootCerts

Auf einem PC, der sowohl die alten 2011er- als auch die neuen 2023er-Zertifikate hat, umfasst die Ausgabe für jeden Jahrgang zwei Zertifikate, weil Secure Boot seit jeher zwischen Windows-Bootloadern und fremden unterscheidet. Die für Microsofts Betriebssystem zuständigen haben „Windows“ im CN-Feld (Common Name). Manchmal tauchen zusätzlich weitere Zertifikate von Microsoft sowie von Hardwareherstellern auf.

Wenn Sie nur wissen wollen, ob das neue Windows-Zertifikat auf einem PC bereits vorhanden ist, genügt dieser Einzeiler:

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match ‘Windows UEFI CA 2023’

Er gibt „True“ aus, wenn das neue Zertifikat vorhanden ist, andernfalls „False“.

Stand: 2026-01-14