Zuletzt aktualisiert: 2. November 2026

Am 19. Oktober 2026 ist das Microsoft Windows Production PCA 2011-Zertifikat nach 15 Jahren abgelaufen.

Trotzdem starten Windows-Server, virtuelle Maschinen und Workstations weiterhin ganz normal.

Das eigentliche Problem kommt erst mit zukünftigen Updates.

🔍 Was hat Microsoft geändert?

Microsoft hat die mit PCA 2011 signierten Bootloader eingefroren.

Das bedeutet:

* Bestehende Windows-Installationen starten weiterhin.
* Reguläre Windows-Updates funktionieren grundsätzlich weiter.
* Neue Bootloader-Sicherheitskorrekturen nutzen die Zertifikatskette Windows UEFI CA 2023.
* Zukünftige Installationsmedien setzen zunehmend auf die neue Zertifikatskette.

Wer ausschließlich dem alten Zertifikat vertraut, verliert schrittweise wichtige Sicherheitsupdates für den Bootprozess.

⚠️ Besonders relevant für virtualisierte Infrastrukturen

Bei Hyper-V, VMware vSphere, Citrix MCS und Golden Images sollte das Thema nicht unterschätzt werden.

Ein vollständig gepatchtes Windows bedeutet nicht automatisch, dass die virtuelle UEFI-Firmware die neuen Zertifikate unterstützt.

Hyper-V Generation 2: Zertifikatsaktualisierungen erfolgen über die Windows-Wartung.

VMware vSphere: ESXi-Version und virtuelle Hardware müssen die neuen Zertifikate unterstützen.

Golden Images: Auch die Bootloader-Vertrauenskette muss stimmen.

🛠️ Was sollte man prüfen?

Ein erster PowerShell-Test:

Aber Achtung: True bestätigt nur, dass Secure Boot aktiviert ist. Nicht, ob Windows UEFI CA 2023 bereits hinterlegt wurde.

Deshalb zusätzlich:

✅ UEFI-Zertifikatsstatus prüfen

✅ Hypervisor- und VM-Hardwareversionen kontrollieren

✅ Installations- und Recovery-Medien testen

✅ BitLocker-Recovery-Keys vor Änderungen sichern

✅ WDAC-/App-Control-Richtlinien auf PCA-2011-Abhängigkeiten prüfen

🔬 Ein oft übersehenes Detail

Auch Windows Defender Application Control (WDAC) kann betroffen sein.

Sind alte Microsoft-Zertifikate fest in Richtlinien hinterlegt, können künftig aktualisierte Windows-Komponenten blockiert werden.

Event ID 3077 im Code-Integrity-Eventlog kann auf entsprechende Blockierungen hinweisen.

💡 Mein Fazit

Secure Boot aktiviert ≠ Secure Boot für zukünftige Updates vorbereitet.

Der Zertifikatsablauf verursacht keinen sofortigen Bootausfall, verändert aber die Grundlage zukünftiger Bootloader-Updates.

Gerade bei virtualisierten Infrastrukturen sollte deshalb neben dem Windows-Patchstand auch die Firmware-Vertrauenskette geprüft werden.