Die Boot-Zertifikate von Windows 10 und Windows 11 aus dem Jahr 2011 laufen im Juni 2026 ab. Daher müssen diese durch die neueren Zertifikate aus dem Jahr 2023 ersetzt werden, um weiterhin einen sicheren Systemstart zu gewährleisten. Dieser Artikel erklärt, was Secure Boot ist und weshalb ein Zertifikats-Update notwendig ist. Er zeigt auch, welche Massnahmen erforderlich sind und wie die Verteilung über Intune, Configuration Manager und GPO erfolgt.
1. Definition und Funktionsweise von Secure Boot
1.1 Grundprinzip
Secure Boot ist eine Funktion der UEFI-Firmware (Unified Extensible Firmware Interface) bzw. des BIOS. Sie stellt sicher, dass beim Systemstart ausschliesslich Software geladen wird, die über eine gültige digitale Signatur verfügt.
Die Firmware prüft vor der Ausführung den Bootloader, den Windows-Kernel sowie Treiber gegen eine in der Hardware hinterlegte Datenbank vertrauenswürdiger Zertifikate. Entspricht die Signatur einer Komponente nicht den hinterlegten Schlüsseln, wird der Startvorgang unterbrochen, um das Laden von Schadsoftware vor dem Betriebssystemstart zu verhindern. Damit die Boot Zertifikate aktualisiert werden können, muss deshalb auch das BIOS auf einem aktuellen Stand sein.
1.2 Der Ablauf beim Systemstart
Beim Einschalten eines Windows 10/11-Computers durchläuft das System folgende Prüfpunkte:
2. Zertifikatswechsel, BlackLotus und Zeitplan
Die aktuell genutzten Zertifikate (Microsoft Corporation UEFI CA 2011) sind ab Oktober 2026 nicht mehr gültig. Ein Grund für die Umstellung ist auch die Schwachstelle BlackLotus (CVE-2023-24932). Diese erlaubt es, den Secure Boot Mechanismus durch das Laden älterer, fehlerhafter Bootloader zu umgehen.
Die wichtigsten technischen Merkmale von BlackLotus:
Microsoft aktualisiert daher die Zertifikate auf Windows UEFI CA 2023. Für den Übergang gelten folgende Fristen:
3. Konsequenzen bei fehlender Umsetzung
Unterbleibt die Aktualisierung der Zertifikate, ergeben sich folgende Probleme:
4. Voraussetzungen für die Aktualisierung
Damit das Update erfolgreich angewendet werden kann, müssen folgende technische Voraussetzungen erfüllt sein:
5. Auswertung der Boot Zertifikat Versionen
Vor und nach der Aktualisierung sollte geprüft werden, welche BIOS-Versionen auf den Clients installiert sind. Zudem ist es wichtig zu kontrollieren, wie viele Clients das Secure-Boot-Zertifikat bereits aktualisiert haben und wie viele noch nicht.
5.1 Auswertung über Microsoft Intune
Der Status der Geräte kann mit folgenden Methoden über Intune geprüft werden:
5.2 Auswertung mit dem Configuration Manager
Der Configuration Manager bietet keine integrierte Möglichkeit, den Status der Boot-Zertifikat-Updates auszuwerten.
Daher müssen Configuration Items und Configuration Baselines erstellt werden. Die gesammelten Daten lassen sich anschliessend über Custom Reports auswerten.
5.3 Auswertung mit Gruppenrichtlinien
Ein Script kann per Gruppenrichtlinie verteilt werden, um den Status von Geräten ohne Managementlösung auszuwerten. Anschliessend wertet man die Ergebnisse manuell aus.
6. Massnahmen für die Umsetzung
6.1 BitLocker Recovery Informationen
Es muss sichergestellt sein, dass die BitLocker Recovery Informationen zuverlässig entweder im Active Directory oder Entra ID gespeichert sind.
6.2 Update BIOS-Version
Die BIOS-Version muss auf allen Clients auf den neusten Stand oder zumindest auf den vom Hersteller als Voraussetzung für den Zertifikatsupdate notwendigen Stand aktualisiert werden. Dies gilt vor allem für ältere Clients, die vor 2024 auf den Markt kamen. Je älter der Client ist, desto aktueller muss in der Regel die Bios Version sein.
6.3 Konfiguration der Zertifikat-Updates über GPO und Intune
Die Verteilung der neuen Zertifikate kann über eine Intune-Richtlinie oder eine GPO erfolgen. Damit dies über GPO möglich ist, müssen die neusten Windows 11 25H2 ADMX Templates implementiert sein.
Für die Aktualisierung von Boot-Images, z. B. für PXE-Boot, mit dem Windows UEFI CA 2023 Zertifikat sind ein aktuelles ADK sowie der Configuration Manager 2509 erforderlich. Das Boot-Image lässt sich anschliessend mit dem aktualisierten Zertifikat ausstatten. Dadurch bleibt der PXE-Boot sowie der Start ab USB-Stick weiterhin möglich.
7. Unterstützung durch BitHawk
Die Ausgangslage kann je nach Umgebung sehr unterschiedlich sein. Deshalb ist es wichtig, zuerst ein Assessment der Umgebung durchzuführen, um das Update ohne Probleme verteilen zu können.
Das BitHawk Assessment beinhaltet:
Kosten: 1'500 CHF mit bis zu fünf verschiedenen Hardware-Modellen. Zusätzlich 100 CHF für jeweils fünf weitere eingesetzte Hardware-Modelle.
Nach der Durchführung des Assessment können Sie gemeinsam mit BitHawk die nächsten Schritte für die Aktualisierung planen.
Wir unterstützen Sie gerne dabei. Zögern Sie nicht und kontaktieren Sie uns unter marketing@bithawk.ch oder telefonisch unter 058 226 01 01.
Weitere Themen auf unserem Blog
Zukunftsbeständige IT: Trends für 2025 – Teil 1
10-Revolution der Large Action Models & Bots: AI & LLMs für Entscheidungsträger
Migration vom File Server zu SharePoint Online: Methoden und Tools