Öffne Windows-Sicherheit > Gerätesicherheit > Secure Boot und lies den vollständigen Status. Nur die komplette Erfolgsmeldung bestätigt, dass alle erforderlichen Secure-Boot-Zertifikatsupdates angewendet wurden; ein grünes Häkchen allein reicht dafür nicht. Der Weg gilt laut Microsoft für Windows 10 und Windows 11.
Secure-Boot-Status in Windows prüfen
- Öffne Windows-Sicherheit.
- Wähle Gerätesicherheit und anschließend Secure Boot.
- Lies den Meldungstext vollständig. Microsoft nennt diesen Wortlaut als Bestätigung für den abgeschlossenen Zertifikatswechsel:Secure Boot is on and all required certificate updates have been applied. No further certificate changes are needed.
Erscheint diese Meldung, sind laut Microsoft keine weiteren Änderungen an den Zertifikaten nötig. Das grüne Symbol allein bestätigt den Zertifikatsstand nicht. Ältere, allgemein gehaltene Secure-Boot-Anzeigen geben ebenfalls keinen verlässlichen Aufschluss darüber, ob die neuen Zertifikate installiert sind.
Andere Statusmeldungen richtig einordnen
Microsoft unterscheidet mehrere Zustände. Sie führen nicht alle zum selben nächsten Schritt.
| Status in Windows-Sicherheit | Bedeutung und nächster Schritt |
| Ältere Startvertrauenskonfiguration | Installiere die neuesten Windows-Updates und starte den PC neu, falls Windows dazu auffordert. |
| Update wegen eines bekannten Problems pausiert | Microsoft setzt die Aktualisierung aus Kompatibilitätsgründen aus. Die Pause endet automatisch. |
| Gerät noch nicht ausreichend eingestuft | Windows verfügt noch nicht über genügend Informationen zur Einstufung. Microsoft verweist auf die Secure-Boot-Hinweise. |
| Hardware- oder Firmwareeinschränkung | Das Gerät unterstützt die automatische Zertifikatsaktualisierung nicht. Microsoft empfiehlt, den Gerätehersteller um Unterstützung zu bitten. |
| Aktion erforderlich | Ein Sicherheitsupdate für den Windows-Start kann nicht an die aktuelle Startkonfiguration ausgeliefert werden. Beachte die konkrete Meldung in Windows-Sicherheit. |
Die neuen Statusanzeigen werden seit April 2026 schrittweise über Wartungs- und Monatsupdates verteilt. Deshalb kann die Ansicht je nach Gerät unterschiedlich ausfallen. Auf unternehmensverwalteten Geräten sind Secure-Boot-spezifische Statussymbole und Benachrichtigungen standardmäßig deaktiviert.
Was fehlende Ersatz-Zertifikate bedeuten
Secure Boot prüft mithilfe von Zertifikaten in der UEFI-Firmware, welcher Software der PC bereits beim Start vertraut. Microsoft führte für drei Zertifikate aus dem Jahr 2011 Ablaufdaten im Jahr 2026 auf: für Microsoft Corporation KEK CA 2011 den 24. Juni, für Microsoft UEFI CA 2011 den 27. Juni und für Microsoft Windows Production PCA 2011 den 19. Oktober.
Geräte ohne Ersatz-Zertifikate starten weiterhin und erhalten normale Windows-Updates. Ihnen fehlen jedoch neue Sicherheitsmaßnahmen für den frühen Startvorgang. Ein veralteter Zertifikatsstand ist für sich genommen kein Hinweis auf eine Infektion.
