Windows 11/10: Secure Boot CA 2023 mit PowerShell aktualisieren

Erfahren Sie, wie Sie unter Windows 11 und 10 das Secure Boot CA 2023-Zertifikat per PowerShell aktualisieren – sicher, einfach und Schritt für Schritt erklärt.

Die Secure-Boot-Zertifikate aus dem Jahr 2011 laufen aus, weshalb Windows 11 und Windows 10 auf die Windows UEFI CA 2023 umgestellt werden müssen.

Mit PowerShell prüfen Sie den aktuellen Zertifikatsstatus und stoßen die Aktualisierung selbst an, statt auf das automatische Rollout von Microsoft zu warten. Dieser Artikel zeigt Ihnen alle Befehle, Werte und Stolperfallen im Detail.

Warum die Windows UEFI CA 2023 wichtig ist

Secure Boot sorgt dafür, dass beim Systemstart ausschließlich digital signierte und vertrauenswürdige Boot-Komponenten geladen werden. Die dafür genutzten Microsoft-Zertifikate aus dem Jahr 2011 erreichen jedoch schrittweise ihr Ablaufdatum. Deshalb rollt Microsoft die neuen Windows UEFI CA 2023– sowie KEK 2K CA 2023-Zertifikate seit 2024 sukzessive über Windows Update aus.

Bleibt ein Gerät ohne die aktuellen 2023-Zertifikate, bootet es zunächst weiterhin normal. Allerdings erhält es dann keine neuen Sicherheitsupdates mehr für den Windows Boot Manager, die Secure-Boot-Datenbank oder die Sperrlisten (DBX). Zudem verweigern künftige Firmware- und Boot-Manager-Updates unter Umständen ihre Installation, sobald die alten Root-Zertifikate endgültig ungültig werden.

Besonders betroffen sind:

• Ältere Geräte, die seit Längerem keine Firmware-Updates mehr erhalten haben
• PCs, bei denen das automatische Rollout über Windows Update ins Stocken geraten ist
• Systeme mit deaktivierten oder verzögerten kumulativen Updates
• Unternehmensgeräte, bei denen die zentrale Steuerung über Gruppenrichtlinien noch nicht konfiguriert wurde

Aus diesem Grund lohnt sich eine manuelle Kontrolle per PowerShell, um den eigenen Status verlässlich zu kennen, statt sich blind auf die automatische Verteilung zu verlassen.

Voraussetzungen für die manuelle Aktualisierung

Bevor Sie die Zertifikate manuell aktualisieren, sollten folgende Punkte erfüllt sein. Andernfalls schlägt der Vorgang fehl oder wird von Windows gar nicht erst angestoßen.

• Windows-Version: Windows 10 22H2 sowie alle aktuellen Windows-11-Versionen (23H2, 24H2, 25H2), jeweils mit einem kumulativen Update ab Juli 2025 oder neuer
• Administratorrechte: Alle Befehle müssen in einer PowerShell-Sitzung ausgeführt werden, die als Administrator gestartet wurde
• Aktivierter Secure Boot: Ist Secure Boot in der Firmware deaktiviert, lässt sich die Zertifikatsaktualisierung nicht durchführen
• Aktuelle Firmware/UEFI: Veraltete Firmware-Versionen unterstützen die 2023-Zertifikate teilweise nicht
• Vollständiges Backup: Da es sich um einen systemnahen Eingriff handelt, empfiehlt sich vorab eine Sicherung wichtiger Daten

Sind diese Voraussetzungen erfüllt, können Sie im nächsten Schritt den aktuellen Zertifikatsstatus prüfen.

Methode 1: Zertifikatsstatus per PowerShell prüfen

Zunächst sollten Sie feststellen, ob Secure Boot überhaupt aktiv ist und ob die Windows UEFI CA 2023 bereits in der Signaturdatenbank (DB) vorhanden ist.

So gehen Sie vor:

1. Öffnen Sie PowerShell als Administrator (Windows-Taste + X → „Windows PowerShell (Administrator)“ beziehungsweise „Terminal (Administrator)“).
2. Prüfen Sie, ob Secure Boot aktiv ist:

Confirm-SecureBootUEFI

3. Liefert dieser Befehl „True“ zurück, ist Secure Boot aktiv. Erscheint „False“, ist die Funktion deaktiviert, wodurch das Thema für dieses Gerät nicht relevant ist.
4. Prüfen Sie anschließend, ob das neue Zertifikat bereits vorhanden ist:

::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

5. Gibt PowerShell hier ebenfalls „True“ aus, ist Ihr Gerät bereits auf dem neuen Zertifikatsstand, sodass keine weitere Aktion nötig ist. Erscheint dagegen „False“, fehlt das Zertifikat noch.

Alternativ liefert die grafische Oberfläche einen schnellen Überblick: Öffnen Sie Einstellungen → Datenschutz & Sicherheit → Windows-Sicherheit → Gerätesicherheit und prüfen Sie dort den Abschnitt Sicherer Start. Detaillierte Statuswerte wie UEFICA2023Status finden Sie zudem im Registrierungs-Editor unter HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing.

Methode 2: Secure Boot CA 2023 unter Windows 11 manuell aktualisieren

Fehlt das Zertifikat, lässt sich der Vorgang gezielt anstoßen, statt auf das automatische Windows-Update-Rollout zu warten.

So gehen Sie Schritt für Schritt vor:

1. PowerShell als Administrator öffnen: Klicken Sie auf Start, geben Sie „PowerShell“ ein, klicken Sie mit der rechten Maustaste auf den Treffer und wählen Sie Als Administrator ausführen.
2. Registrierungswert setzen, um die vollständige Zertifikatsverteilung anzustoßen:

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x5944 /f

3. Geplanten Task manuell starten, da die zuständige Aufgabe normalerweise nur alle zwölf Stunden läuft:

Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

4. Neu starten: Starten Sie den PC anschließend neu. Der Wert von AvailableUpdates sollte danach auf 0x4100 wechseln.
5. Task erneut auslösen: Führen Sie den Start-ScheduledTask-Befehl aus Schritt 3 danach erneut aus.
6. Ein zweites Mal neu starten: Erst dadurch wird auch der Windows Boot Manager aktualisiert, wodurch AvailableUpdates auf 0x4000 wechselt.
7. Ergebnis kontrollieren: Wiederholen Sie abschließend den Prüfbefehl aus Methode 1, um zu bestätigen, dass Windows UEFI CA 2023 nun in der DB vorhanden ist.

Sind Funktionen wie Credential Guard, Device Guard oder Windows Hello aktiv, kann zusätzlich ein dritter Neustart erforderlich sein, bevor die Änderung vollständig greift.

Methode 3: Secure Boot CA 2023 unter Windows 10 aktualisieren

Unter Windows 10 läuft der Vorgang technisch nahezu identisch ab, allerdings mit einer wichtigen Einschränkung: Unterstützt wird ausschließlich Windows 10 Version 22H2 mit einem kumulativen Update ab Juli 2025. Ältere Versionen erhalten die 2023-Zertifikate nicht mehr, weshalb zunächst ein Upgrade auf 22H2 notwendig ist.

Ist diese Voraussetzung erfüllt, führen Sie folgende Schritte aus:

1. Öffnen Sie PowerShell oder die Eingabeaufforderung als Administrator.
2. Setzen Sie den Registrierungswert mit demselben reg add-Befehl aus Methode 2.
3. Starten Sie den Task Secure-Boot-Update manuell über Start-ScheduledTask.
4. Starten Sie den PC zweimal neu und prüfen Sie den Status danach erneut mit Get-SecureBootUEFI.

Da Windows 10 im Oktober 2025 offiziell aus dem regulären Support ausgeschieden ist, erhalten ausschließlich Geräte mit gebuchten Extended Security Updates (ESU) weiterhin die notwendigen Servicing-Updates für diesen Vorgang. Ohne ESU-Lizenz kann die Aktualisierung deshalb fehlschlagen, selbst wenn die PowerShell-Befehle fehlerfrei ausgeführt werden.

Bedeutung der „AvailableUpdates“-Werte

Der Registrierungswert AvailableUpdates unter HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecureBoot steuert, welche Zertifikatsaktion als Nächstes ausgeführt wird. Da die einzelnen Bits jeweils eine bestimmte Aktion codieren, hilft folgende Übersicht:

• 0x5944: Löst die vollständige Verteilung aus – DB-Zertifikat, Boot Manager sowie KEK werden aktualisiert
• 0x4100: Zwischenstand nach dem ersten Neustart, der den nächsten Schritt signalisiert
• 0x4000: Wird nach erfolgreicher Boot-Manager-Aktualisierung und dem zweiten Neustart erreicht
• 0x40: Wird in manchen Anleitungen isoliert genutzt, um ausschließlich die KEK-Aktualisierung anzustoßen

Bleibt der Wert über mehrere Neustarts hinweg unverändert stehen, lohnt sich zusätzlich ein Blick in die Ereignisanzeige. Dort finden Sie unter Windows-Protokolle → System relevante Einträge mit den Event-IDs 1795, 1796, 1798, 1801 sowie 1808, die jeweils auf spezifische Fehlerursachen hindeuten.

BitLocker vor der Aktualisierung berücksichtigen

Ist auf dem betroffenen Laufwerk BitLocker aktiv, sollten Sie die Verschlüsselung vor der Firmware-Aktualisierung vorübergehend pausieren. Andernfalls kann der Wiederherstellungsschlüssel beim Neustart abgefragt werden, da sich die gemessenen Systemwerte durch die Zertifikatsänderung verändern.

Pausieren Sie BitLocker daher zunächst mit folgendem Befehl:

Suspend-BitLocker -MountPoint "C:" -RebootCount 2

Der Parameter -RebootCount 2 sorgt dafür, dass BitLocker automatisch nach zwei Neustarts wieder aktiviert wird. Somit müssen Sie den Schutz nicht manuell reaktivieren, sondern können sich vollständig auf die Zertifikatsaktualisierung konzentrieren.

Methode 4: Zentrale Aktualisierung über Gruppenrichtlinie oder Intune

Für Unternehmensumgebungen mit mehreren Geräten ist eine zentrale Steuerung deutlich praktikabler als die manuelle Bearbeitung jedes einzelnen PCs. Microsoft bietet dafür sowohl über Gruppenrichtlinien als auch über Microsoft Intune entsprechende Möglichkeiten.

Über die Gruppenrichtlinien-Verwaltung aktivieren Sie die Richtlinie „Enable Secure Boot certificate deployment“, wodurch Windows den Verteilungsprozess selbstständig anstößt. Zusätzlich lassen sich folgende Richtlinien konfigurieren:

• Configure Microsoft Update Managed Opt In: Ermöglicht die Teilnahme an einem von Microsoft gesteuerten, kontrollierten Rollout (Controlled Feature Rollout)
• Configure High Confidence Opt-Out: Steuert, ob Geräte mit hoher Erfolgswahrscheinlichkeit automatisch über die monatlichen Updates aktualisiert werden

In Intune lässt sich der Fortschritt zudem komfortabel im Bericht „Secure Boot certificate update“ je Pilot-Ring nachverfolgen. Somit behalten IT-Administratoren auch bei größeren Geräteflotten jederzeit den Überblick, welche Systeme bereits erfolgreich aktualisiert wurden. Ausführliche Detailinformationen finden Sie direkt bei Microsoft unter learn.microsoft.com/de-de/troubleshoot/windows-client/windows-security/update-secure-boot-certificates.

Troubleshooting bei fehlgeschlagener Aktualisierung

Bleibt die Aktualisierung trotz korrekt ausgeführter Befehle erfolglos, helfen folgende Prüfschritte weiter:

• Firmware-Update einspielen: Prüfen Sie über die Hersteller-Support-Seite Ihres Geräts, ob eine neuere UEFI-Version verfügbar ist
• Windows-Update-Verlauf kontrollieren: Stellen Sie sicher, dass alle kumulativen Updates seit Juli 2025 installiert wurden
• Ereignisanzeige auswerten: Suchen Sie gezielt nach den Event-IDs 1795 bis 1808, um die genaue Fehlerursache einzugrenzen
• WinRE aktualisieren: Auch die Windows-Wiederherstellungsumgebung enthält eigene Boot-Komponenten und sollte aktuell sein
• Virtual-Secure-Mode-Funktionen prüfen: Sind Credential Guard oder Device Guard aktiv, kann ein zusätzlicher Neustart notwendig sein

Führt keiner dieser Schritte zum Erfolg, bleibt als letzte Option das manuelle Einspielen der Zertifikate über das UEFI-Setup mithilfe eines FAT32-formatierten USB-Sticks. Da dieser Weg jedoch deutlich fehleranfälliger ist, sollte er ausschließlich bei zwingender Notwendigkeit gewählt werden.

Empfohlene Vorgehensweisen

• Backup vor dem Eingriff: Sichern Sie wichtige Daten, bevor Sie Registrierungswerte oder BitLocker-Einstellungen verändern.
• Firmware aktuell halten: Eine veraltete UEFI-Firmware ist die häufigste Ursache für gescheiterte Zertifikatsaktualisierungen.
• Zweimal neu starten: Überspringen Sie keinen der beiden Neustarts, da sonst weder KEK noch Boot Manager vollständig aktualisiert werden.
• BitLocker pausieren statt deaktivieren: Nutzen Sie Suspend-BitLocker, statt die Verschlüsselung dauerhaft abzuschalten.
• Status regelmäßig prüfen: Kontrollieren Sie den Zertifikatsstatus nach größeren Windows-Updates erneut, da sich Werte durch neue Servicing-Logik ändern können.
• Unternehmensweite Steuerung nutzen: Setzen Sie bei mehreren Geräten auf Gruppenrichtlinien oder Intune, statt jedes System einzeln manuell zu bearbeiten.

Häufige Fragen zur Secure-Boot-CA-2023-Aktualisierung

Muss ich die Aktualisierung überhaupt manuell durchführen?

Nein, in den meisten Fällen nicht. Die überwiegende Mehrheit der Windows-Geräte erhält die neuen Zertifikate automatisch über die monatlichen Windows-Updates. Eine manuelle Aktualisierung lohnt sich hauptsächlich bei älteren Geräten oder wenn das automatische Rollout ausbleibt.

Was passiert, wenn ich die Zertifikate nicht aktualisiere?

Ihr PC startet zunächst weiterhin normal, da bestehende Boot-Komponenten gültig bleiben. Allerdings erhalten Sie dann keine künftigen Sicherheitsupdates mehr für den Boot Manager sowie die Secure-Boot-Datenbank, wodurch ein potenzielles Sicherheitsrisiko entsteht.

Wie lange dauert die Aktualisierung insgesamt?

In der Regel sind zwei bis drei Neustarts notwendig, weshalb der gesamte Vorgang üblicherweise nur wenige Minuten aktive Zeit beansprucht. Zwischen den einzelnen Verarbeitungsschritten können jedoch kurze Wartezeiten entstehen, bis der geplante Task erneut ausgeführt wurde.

Funktioniert der Vorgang auch bei deaktiviertem Secure Boot?

Nein. Liefert der Befehl Confirm-SecureBootUEFI den Wert „False“ zurück, ist Secure Boot deaktiviert, weshalb die Zertifikatsaktualisierung in diesem Zustand nicht relevant ist. Sie müssten Secure Boot zunächst im UEFI aktivieren, bevor eine Aktualisierung sinnvoll ist.

Kann die Aktualisierung meinen PC unbootbar machen?

Grundsätzlich handelt es sich um einen von Microsoft als sicher eingestuften, nicht-destruktiven Prozess. Dennoch empfiehlt sich vorab ein vollständiges Backup, da bei sehr alter oder fehlerhafter Firmware in seltenen Fällen Komplikationen auftreten können.

Benötige ich für Windows 10 zwingend ESU?

Ja, sofern Sie kein Upgrade auf Windows 11 planen. Da der reguläre Support für Windows 10 bereits ausgelaufen ist, erhalten nur Geräte mit gebuchten Extended Security Updates weiterhin die notwendigen Servicing-Updates für die Zertifikatsverteilung.

Wie erkenne ich, ob mein Gerät bereits ab Werk die 2023-Zertifikate besitzt?

Geräte, die ab 2024 gefertigt wurden, liefern die Windows UEFI CA 2023 in vielen Fällen bereits werkseitig mit. Verlässlich lässt sich das jedoch ausschließlich über den zuvor beschriebenen PowerShell-Prüfbefehl feststellen.

Was, wenn der Wert von „AvailableUpdates“ nach mehreren Neustarts unverändert bleibt?

Dies deutet meist auf ein Problem bei der Verarbeitung des Key Exchange Key hin. In diesem Fall lohnt sich zunächst ein Firmware-Update des Herstellers, gefolgt von einem erneuten Ausführen der beschriebenen Schritte.

Betrifft die Aktualisierung auch Dual-Boot-Systeme oder virtuelle Maschinen?

Ja, grundsätzlich betrifft die Umstellung ebenso Dual-Boot-Umgebungen sowie Hyper-V-VMs mit aktiviertem Secure Boot. Bei virtuellen Maschinen ist zusätzlich zu beachten, dass auch die virtuelle UEFI-Firmware der VM entsprechend aktuell sein muss.

Fazit

Die Aktualisierung auf Windows UEFI CA 2023 lässt sich unter Windows 11 sowie Windows 10 zuverlässig per PowerShell durchführen, sofern die genannten Systemvoraussetzungen erfüllt sind. Mit Confirm-SecureBootUEFI und dem passenden Get-SecureBootUEFI-Befehl behalten Sie den Status jederzeit im Blick, während der beschriebene Registrierungswert die eigentliche Verteilung anstößt.

Da Microsoft die Zertifikate ohnehin schrittweise über Windows Update verteilt, bleibt die manuelle Methode vor allem für ältere oder abweichende Geräte relevant. Wer zusätzlich BitLocker berücksichtigt und im Zweifel die offiziellen Microsoft-Ressourcen konsultiert, schließt die Umstellung dadurch ohne größere Komplikationen ab.