Microsoft vor nächstem Zertifikatswechsel – Windows Update betroffen

IT-Verantwortliche haben hoffentlich die Secure-Boot-Zertifikate inzwischen auf aktuellem Stand, die Microsoft nach 15 Jahren Laufzeit austauschen musste. Nun stehen die nächsten Zertifikate an, die durch neue Pendants ersetzt werden – die für Windows Update.

Darauf weist Microsoft auf diversen Kanälen hin: in einem eigenen IT-Pro-Blogbeitrag, im Windows-Release-Health-Message-Center oder auch im Microsoft-365-Message-Center (MC1491763, Kopie bei merill.net). Das Unternehmen möchte sicherstellen, dass Admins den Zertifikatswechsel mitbekommen und ihre Windows-Installationen darauf vorbereiten. Normalerweise sollte das kein Problem darstellen, da spätestens die Windows-Sicherheitsupdates aus dem Juli 2026 die neuen Zertifikate bereits mitbringen. Nicht betroffen sind zudem Geräte, die ihre Updates über die Windows Server Update Services (WSUS) beziehen.

Oftmals kein Eingreifen nötig

Microsoft schreibt daher, dass in den meisten Fällen kein Eingreifen nötig sei. Das betrifft die Fälle, in denen noch unterstützte Windows-Versionen eingesetzt werden, die auf dem aktuellen Stand der monatlichen Updates sind. Für ältere oder nicht aktualisierte Windows-Fassungen müssten Admins aktiv werden.

Als Erstes sind Windows Server 2016, 2019 und Windows 10 Enterprise 2019 LTSC an der Reihe. Die müssen mit den Sicherheitsupdates aus dem Juli 2026 oder neuer bis zum 17. Mai 2027 versorgt werden, um weiterhin die Windows-Update-Dienste erreichen und Aktualisierungen erhalten zu können. Jüngere Windows-10-Fassungen, die noch Support erhalten, müssen das bis zum 19. Juni 2027 erledigen, ältere Windows-11-Dialekte sowie Windows Server 2022 ebenso. Windows 11 24H2 und Windows Server 2025 benötigen die Sicherheitsflicken aus dem September 2025 oder neuer dafür. Wer Windows 11 25H2 oder neuere Builds nutzt, hat schon die nötigen Zertifikate im System. Für andere Windows-Versionen verweist Microsoft darauf, dass die auf noch unterstützte Versionen von Windows Client und Server gebracht werden müssen.

Nach dem Ablauf der alten Zertifikate im Mai beziehungsweise Juni 2027 können nicht aktualisierte Windows-Versionen die Aktualisierungen nicht mehr von Windows Update herunterladen und installieren. In den Fällen bleibt jedoch die Möglichkeit, die Updates aus dem Microsoft-Update-Katalog herunterzuladen und auf betroffenen Maschinen zu installieren; auch eine Verteilung mit regulären Software-Verwaltungswerkzeugen ist dafür geeignet. Nicht mehr unterstützte Windows-Versionen erhalten gar keine Updates mehr über die Windows-Update-Dienste.

Admins sollen laut Microsoft daher prüfen, ob sie Geräte im Netzwerk haben, die mit älteren oder nicht unterstützten Windows-Versionen laufen. Unterstützte Geräte sollen mit den monatlichen Updates auf dem aktuellen Stand gehalten werden. Für nicht unterstützte Geräte sollten sie einen Upgrade-Plan vor Mai respektive Juni 2027 ausarbeiten.

Im Juni dieses Jahres sind nach 15 Jahren die alten Secure-Boot-Zertifikate von Microsoft ausgelaufen. Mit etwa einem Jahr Vorlauf hatte Microsoft da Nutzerinnen und Nutzer sowie IT-Verantwortliche auf das anstehende Datum und die zu ergreifenden Maßnahmen hingewiesen. Admins haben zudem diverse Hilfestellungen von Microsoft erhalten, die beim Aktualisieren der Zertifikate helfen sollten.