Secure Boot aktiviert heißt nicht automatisch Zertifikate aktualisiert. So erfassen Unternehmen Firmware, offizielle Statussignale und offene Punkte vor der Freigabe refurbished PCs.
Vor dem Rollout zählt der nachgewiesene Zertifikatsstatus
Bei refurbished Windows-PCs sollten Sie 2026 prüfen, ob die benötigten neuen Secure-Boot-Zertifikate tatsächlich angewendet wurden. „Secure Boot ist aktiviert“ und „BIOS ist aktuell“ beantworten diese Frage jeweils nur teilweise. Erfassen Sie Modell, Firmware, Windows-Stand und die von Microsoft dokumentierten Statussignale, bevor Sie eine Gerätecharge nach Ihrer Unternehmensrichtlinie freigeben.
Stand: 6. Oktober 2026. Der Ablauf älterer Zertifikate bedeutet laut Microsofts Erläuterung zur Zertifikatsgültigkeit keinen pauschalen Startausfall: Geräte können weiter starten und reguläre Windows-Updates erhalten. Betroffen sind neue Schutzmaßnahmen für den frühen Startvorgang, die aktualisierte Zertifikate voraussetzen. Das rechtfertigt eine gezielte Bestandsprüfung, aber keine ungeprüfte Ausmusterung aller älteren PCs.
Dieser Leitfaden betrifft die Beschaffungs- und Freigabeprüfung von Windows-Geräten. Änderungen an Firmware und Startschutz gehören in die Hände der zuständigen, autorisierten IT. Die jeweils aktuellen Microsoft- und Herstelleranweisungen sind vor der Durchführung erneut zu prüfen.
Welche Zertifikate 2026 betroffen sind
Secure Boot prüft beim Start, ob bestimmte Startkomponenten vertrauenswürdig signiert sind. Die dafür hinterlegten Vertrauensinformationen befinden sich in der UEFI-Firmware. Microsoft ersetzt ältere, 2011 ausgestellte Zertifikate durch neue Zertifikate aus dem Jahr 2023.
Die offizielle Übersicht zu Ablaufdaten und Nachfolgern unterscheidet unter anderem:
- Microsoft Corporation KEK CA 2011: Ablauf am 24. Juni 2026. Der Nachfolger dient zur Autorisierung von Aktualisierungen der Secure-Boot-Datenbanken.
- Microsoft UEFI CA 2011: Ablauf am 27. Juni 2026. Die Nachfolge trennt Zertifikate für Drittanbieter-Bootloader und EFI-Anwendungen von denen für Option-ROMs.
- Microsoft Windows Production PCA 2011: Ablauf am 19. Oktober 2026. Der Nachfolger Windows UEFI CA 2023 betrifft den Windows-Bootloader.
Es gibt somit nicht einen einzigen Stichtag für jede Komponente. Ob bei einem bestimmten PC noch Handlungsbedarf besteht, entscheidet sein aktueller Zustand und nicht allein sein Baujahr.
Aktiviert, aktualisiert und Werkseinstellung auseinanderhalten
Für die Prüfung sind drei unterschiedliche Informationen relevant:
- Secure Boot aktiviert: Die Schutzfunktion ist eingeschaltet. Daraus folgt noch nicht, dass die erforderlichen neuen Zertifikate installiert sind.
- Aktiver Zertifikatsbestand: Diese Vertrauensdaten verwendet das Gerät im normalen Startbetrieb.
- Firmware-Standardwerte: Diese Werte können bei einem Zurücksetzen wiederhergestellt werden und vom aktiven Bestand abweichen.
Microsoft erklärt in den FAQ zum Secure-Boot-Updateprozess, dass Windows die aktiven Variablen aktualisiert, während Firmwareupdates auch die hinterlegten Standardwerte aktualisieren können. Deshalb sollten Sie weder aus einem erfolgreichen Windows-Update auf aktuelle Firmware-Standardwerte schließen noch aus der neuesten BIOS-Version auf den vollständig angewendeten Zertifikatswechsel.
Besonders bei wiederaufbereiteter Hardware lohnt sich eine klare Übergabe: Welcher Zustand wurde geprüft, wann wurde er geprüft und welche Änderungen erfolgen danach noch? Ein pauschaler Vermerk „Firmware geprüft“ lässt diese Fragen offen.
Ein Prüfregister für die angebotene Gerätecharge anlegen
Halten Sie pro Gerät beziehungsweise eindeutig zugeordneter Modellgruppe folgende Angaben fest:
- Hersteller, vollständiges Modell und Serien- oder Inventarnummer.
- Firmwareversion und Datum; bei relevanten Abweichungen auch die Plattformvariante.
- Windows-Version und aktueller Updatezustand.
- Secure-Boot-Aktivierungsstatus.
- Ermittelter Zertifikats- und Aktualisierungsstatus samt Erfassungszeitpunkt.
- Aktuelle relevante Ereignisse, offene Fehler und ausstehende Neustarts.
- Herstellerhinweis, zuständige Person und Ergebnis der Freigabeprüfung.
Microsoft stellt in der Anleitung für IT-Abteilungen Inventarisierungs- und Überwachungsverfahren bereit. Dazu gehören Informationen über Modell, Firmware und Aktualisierungsstatus. Lassen Sie die zuständige IT ein geeignetes Verfahren aus dieser aktuellen Anleitung in die vorhandene Verwaltung einordnen.
Für die Angebotsphase kann zunächst eine Modellgruppenübersicht reichen. Vor der tatsächlichen Freigabe müssen offene oder abweichende Geräte jedoch identifizierbar sein. Das Ergebnis eines Mustergeräts ersetzt nicht die Feststellung, welchen Zustand die übrigen Geräte erreicht haben.
Offizielle Statussignale richtig lesen
Eine installierte Windows-Aktualisierung belegt noch nicht automatisch, dass alle Firmware-Schritte abgeschlossen sind. Für die Einordnung dokumentiert Microsoft unter anderem diese Secure-Boot-Ereignisse im Systemprotokoll:
- Ereignis 1808: Die benötigten neuen Zertifikate sind angewendet und der Boot Manager wurde auf die mit Windows UEFI CA 2023 signierte Version aktualisiert.
- Ereignis 1801: Die Aktualisierung von Zertifikaten und Boot Manager ist noch nicht entsprechend angewendet. Die Geräteangaben im Ereignis helfen bei der weiteren Prüfung.
- Ereignis 1802: Die Aktualisierung wurde aufgrund einer bekannten Hardware- oder Firmwarebedingung gezielt blockiert.
Lesen Sie Ereignisse mit Zeitstempel und aktuellem Gerätezustand. Ein alter Erfolgseintrag ist nach späteren Firmwareänderungen kein ausreichender Nachweis für den jetzigen Zustand. Umgekehrt bedeutet ein fehlender Eintrag allein noch keinen bewiesenen Defekt. Fehlende oder widersprüchliche Daten werden zunächst als ungeklärt erfasst.
Ein unterstützter Statusbericht sollte die von Microsoft vorgesehenen Signale gemeinsam einordnen. Vermeiden Sie selbst gebaute Prüfkürzel, die nur nach einem einzelnen Zertifikatsnamen suchen und daraus eine vollständige Freigabe ableiten.
Herstellerunterstützung für das genaue Modell prüfen
Prüfen Sie die Supportseite des Geräteherstellers für die konkrete Plattform. Manche Geräte benötigen ein Firmwareupdate, damit die Aktualisierung korrekt abgeschlossen werden kann. Bei anderen können Einschränkungen oder zurückgestellte Updatewege bestehen.
Die Dell-FAQ zum Zertifikatswechsel zeigt beispielhaft, warum Modellunterstützung und aktiver beziehungsweise standardmäßig hinterlegter Zertifikatsbestand getrennt betrachtet werden müssen. Die dortigen Aussagen gelten für Dell-Plattformen und ersetzen keine Prüfung anderer Hersteller oder einer bestimmten angebotenen Konfiguration.
Wenn ein Update blockiert ist, nutzen Sie Microsofts Secure-Boot-Fehleranalyse und die Herstellerunterstützung. Ein Blockierungsstatus ist kein Anlass, Schutzmechanismen zu umgehen oder eine nicht freigegebene Firmware einzuspielen.
Pilot, Wiederherstellung und spätere Änderungen mitdenken
Testen Sie vorgesehene Aktualisierungen zuerst an einer repräsentativen Auswahl der vorhandenen Modell- und Firmwarekombinationen. Nutzen Sie anschließend einen gestuften Rollout mit überprüfbaren Ergebnissen. Microsoft empfiehlt diesen Ansatz ausdrücklich in der IT-Anleitung. Anzahl und Zusammenstellung der Testgeräte sollten zur Vielfalt des Bestands und den Herstellerhinweisen passen.
Vor Änderungen müssen Datensicherung, verantwortliche Ansprechpartner und der autorisierte Zugriff auf gegebenenfalls benötigte Wiederherstellungsschlüssel geklärt sein. Solche Schlüssel gehören nicht in allgemeine Angebotslisten oder ungeschützte Testberichte.
Prüfen Sie außerdem den geplanten Wiederherstellungsweg: Starten aktuelle Installations- und Rettungsmedien auf der Zielkonfiguration? Wird ein Netzwerkstart eingesetzt? Microsoft beschreibt im Zusammenhang mit Secure-Boot-Widerrufen und Startmedien, wie spätere Vertrauensänderungen die Nutzbarkeit älterer Medien beeinflussen können. Zertifikatserneuerung und das gezielte Sperren alter Signaturen sind unterschiedliche Schritte. Aus einem Kalenderdatum folgt nicht, dass jedes ältere USB-Medium plötzlich unbrauchbar wird.
Setzen Sie Secure-Boot-Schlüssel nicht vorsorglich auf Werkseinstellungen zurück. Microsoft beschreibt Fälle, in denen dadurch nach einem erfolgreichen Wechsel die benötigten neuen Vertrauensinformationen entfernt werden und der Start blockiert wird. Ein notwendiger Wiederherstellungsvorgang muss zur konkreten Firmware und den aktuellen offiziellen Anweisungen passen.
Aus dem Befund eine klare Freigabeentscheidung machen
Ordnen Sie die geprüften Geräte in drei praktische Ergebnisse ein:
- Freigeben: Aktueller Zustand belegt, vorgesehene Prüfungen erfolgreich und Anforderungen der eigenen IT erfüllt.
- Zurückstellen: Status fehlt, ein Neustart oder ein vorgesehener Update-Schritt steht aus oder die Nachweise sind widersprüchlich.
- Mit Hersteller beziehungsweise IT klären: Ein bekannter Blockierungsgrund, eine Plattformgrenze oder ein Fehler verhindert den unterstützten Abschluss.
Hypothetisches Beispiel: Ein Unternehmen prüft 36 refurbished PCs desselben Modells. Die Erfassung zeigt zwei Firmwarestände. Ein Teil der Geräte hat einen aktuellen, erfolgreichen Abschlussnachweis; bei anderen ist der Status noch offen. Die IT behandelt diese Gruppen getrennt und untersucht die offenen Geräte. Sie überträgt weder die Freigabe eines Musters auf die ganze Charge noch bewertet sie alle Geräte pauschal als ungeeignet.
Welche Angaben in die Hardwareanfrage gehören
Wenn Sie refurbished Geräte über den IT-Verkauf von ReUsed-IT anfragen, nennen Sie Zielbetriebssystem, Stückzahl, erforderliche Firmware- und Statusnachweise sowie Ihren vorgesehenen Prüfzeitpunkt. Klären Sie über den Kontakt, welche Angaben für die angebotene Konfiguration bereitgestellt werden können.
Stimmen Sie zugleich intern ab, wer den aktuellen Zustand prüft und wer über den produktiven Einsatz entscheidet. Eine allgemeine Aufbereitungsbeschreibung ersetzt keinen konkreten Secure-Boot-Nachweis. Eine besondere Prüf- oder Aktualisierungsleistung sollte ausdrücklich erfragt werden.
Häufige Fragen zu Secure Boot bei refurbished PCs
Startet ein PC nach Ablauf des Zertifikats automatisch nicht mehr?
Nein. Microsoft unterscheidet den normalen Weiterbetrieb von zukünftigen Schutzupdates für frühe Startkomponenten. Zusätzliche Firmware- oder Vertrauensänderungen können eigene Folgen haben und müssen gesondert geprüft werden.
Reicht das neueste BIOS als Nachweis?
Nein. Prüfen Sie auch den aktiven Zertifikats- und Aktualisierungsstatus. Firmware-Standardwerte und die tatsächlich verwendeten Vertrauensdaten sind unterschiedliche Ebenen.
Können bereits abgelaufene Zertifikate noch aktualisiert werden?
Microsoft bestätigt in seinen Update-FAQ grundsätzlich die Möglichkeit, neue Zertifikate auch nach dem Ablauf anzuwenden. Der konkrete Rechner muss dafür den unterstützten Aktualisierungsweg erfolgreich durchlaufen; erforderliche Firmwareupdates und mögliche Blockierungen bleiben zu prüfen.
Darf ein alter Recovery-Stick weiterverwendet werden?
Verlassen Sie sich nicht auf sein früheres Funktionieren. Prüfen Sie ihn beziehungsweise ein aktualisiertes Medium gegen den vorgesehenen Gerätezustand. Bei Änderungen an Widerrufslisten und Boot Manager gelten die zugehörigen Microsoft-Anweisungen.