Windows: Alte Startvertrauenskonfiguration – Bedeutung & Lösung

Meldung „Alte Startvertrauenskonfiguration“ bei Windows 10 und 11: Bedeutung, Ursachen und praktische Lösungsschritte für einen sicheren Systemstart.

Die Meldung „Sicherer Start ist aktiviert, aber Ihr Gerät verwendet eine ältere Startvertrauenskonfiguration“ bedeutet, dass Ihr System noch mit den Secure-Boot-Zertifikaten aus dem Jahr 2011 arbeitet, die 2026 auslaufen.

Windows empfiehlt deshalb ein Update auf die neuen 2023er-Zertifikate. Nachfolgend erfahren Sie, was dahintersteckt und wie Sie das Problem lösen.

Was bedeutet „ältere Startvertrauenskonfiguration“ genau?

Der Begriff Startvertrauenskonfiguration beschreibt, welche digitalen Zertifikate Ihr Gerät beim Systemstart nutzt, um die Echtheit des Bootloaders zu prüfen. Windows setzt dafür auf Secure Boot, eine Sicherheitsfunktion der UEFI-Firmware.

Läuft ein Gerät noch mit einer „älteren“ Konfiguration, bedeutet das konkret: Es vertraut weiterhin auf die Windows-Zertifikate von 2011. Diese laufen jedoch im Jahr 2026 schrittweise ab. Deshalb hat Microsoft neue Zertifikate mit der Bezeichnung Windows UEFI CA 2023 entwickelt.

Zusätzlich zeigt Windows seit einem App-Update im April 2026 den genauen Status direkt in der Oberfläche an. Somit müssen Sie nicht mehr raten, ob Ihr Gerät betroffen ist, sondern erhalten eine klare Rückmeldung.

Wichtig ist dabei: Die Meldung bedeutet nicht, dass Ihr PC sofort unsicher oder funktionsunfähig ist. Vielmehr handelt es sich um einen präventiven Hinweis, damit Sie rechtzeitig handeln, bevor die alten Zertifikate endgültig ungültig werden.

Warum zeigt Windows diese Warnung überhaupt an?

Microsoft hat die ursprünglichen Secure-Boot-Zertifikate bereits 2011 ausgestellt. Da Zertifikate grundsätzlich eine begrenzte Laufzeit besitzen, laufen diese nun planmäßig aus. Die wichtigsten Termine dafür liegen im Juni und Oktober 2026.

Ohne aktuelle Zertifikate kann Windows zwar weiterhin starten, jedoch verliert der Sichere Start dann seine volle Schutzwirkung. Insbesondere Angriffe über sogenannte Bootkits wie „BlackLotus“ zielen genau auf diese Schwachstelle ab, da sie den Startprozess vor dem eigentlichen Betriebssystem manipulieren.

Aus diesem Grund verteilt Microsoft seit Anfang 2026 automatische Updates, die neue Zertifikate in die UEFI-Datenbank Ihres Geräts einspielen. Zudem wurde die App Windows Sicherheit erweitert, damit Sie den Fortschritt jederzeit einsehen können.

Grundsätzlich gilt: Sobald genügend Windows-Updates installiert sind, klassifiziert Microsoft ein Gerät automatisch für die Umstellung. Bei manchen Systemen fehlen jedoch noch ausreichend Daten, weshalb die Aktualisierung verzögert erfolgt oder manuell angestoßen werden muss.

Welche Windows-Versionen und Systeme sind betroffen?

Da das Thema nicht auf eine einzelne Windows-Version beschränkt ist, betrifft die Umstellung mehrere Systeme gleichzeitig:

• Windows 11 (alle unterstützten Versionen, insbesondere 24H2 und 25H2)
• Windows 10 (ebenfalls betroffen, solange Secure Boot aktiviert ist)
• Windows Server (unter anderem Server 2016 bis Server 2025)
• Geräte mit UEFI-Firmware und aktiviertem Secure Boot, unabhängig vom Hersteller

Nicht betroffen sind hingegen Systeme, bei denen Secure Boot in der Firmware deaktiviert wurde. Allerdings erscheint dort häufig ein anderer Hinweis im Ereignisprotokoll, der in der Regel keine akute Handlung erfordert.

Besonders bei Windows 10 lohnt sich zusätzlich ein Blick auf die Extended Security Updates (ESU), da der reguläre Support bereits ausgelaufen ist. Ohne ESU erhalten diese Geräte unter Umständen keine weiteren sicherheitsrelevanten Updates mehr, wodurch die Zertifikatsaktualisierung zusätzlich erschwert wird.

So prüfen Sie den Status Ihrer Startvertrauenskonfiguration

Bevor Sie etwas ändern, sollten Sie zunächst den aktuellen Status Ihres Geräts überprüfen. Das gelingt am einfachsten über die integrierte Windows Sicherheit App.

Gehen Sie dafür wie folgt vor:

1. Öffnen Sie das Startmenü und geben Sie „Windows Sicherheit“ ein.
2. Klicken Sie anschließend auf Gerätesicherheit.
3. Scrollen Sie zum Abschnitt Sicherer Start.
4. Lesen Sie die dort angezeigte Statusmeldung sorgfältig durch.

Folgende Meldungen können dabei erscheinen:

• Grünes Häkchen mit „Alle erforderlichen Zertifikatupdates wurden angewendet“ – in diesem Fall ist keine weitere Aktion notwendig.
• Gelbes Ausrufezeichen mit Hinweis auf eine ältere Startvertrauenskonfiguration – hier sollten Sie zeitnah handeln.
• Kein Eintrag sichtbar – dann fehlt möglicherweise noch das App-Update, oder Ihr Gerät wurde bisher nicht klassifiziert.

Zusätzlich können technisch versierte Nutzer den Status über die PowerShell kontrollieren. Öffnen Sie dazu PowerShell als Administrator und geben Sie folgenden Befehl ein:

[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match 'Windows UEFI CA 2023'

Erscheint als Ergebnis „True“, sind die neuen Zertifikate bereits vorhanden. Bei „False“ ist Ihr Gerät hingegen noch von der älteren Konfiguration betroffen.

Ältere Startvertrauenskonfiguration aktualisieren – Schritt-für-Schritt-Anleitung

Sobald feststeht, dass Ihr Gerät betroffen ist, empfiehlt sich zunächst der einfachste Weg über Windows Update. In den meisten Fällen reicht das bereits aus, um die neuen Zertifikate automatisch zu erhalten.

Schritt 1: Windows vollständig aktualisieren

Öffnen Sie Einstellungen, klicken Sie auf Windows Update und wählen Sie Nach Updates suchen. Installieren Sie anschließend sämtliche verfügbaren Updates, einschließlich optionaler Vorschau-Updates.

Schritt 2: Gerät neu starten

Starten Sie den PC danach vollständig neu, da viele sicherheitsrelevante Werte erst nach einem Neustart wirksam werden. Ein einfaches Herunterfahren reicht dabei oft nicht aus.

Schritt 3: Status erneut prüfen

Öffnen Sie erneut Windows Sicherheit und kontrollieren Sie den Bereich Gerätesicherheit → Sicherer Start. Zeigt sich weiterhin die alte Meldung, kann es mehrere Tage dauern, bis Microsoft Ihr Gerät für die automatische Verteilung klassifiziert.

Schritt 4: Bei Bedarf manuell nachhelfen

Bleibt die Aktualisierung dauerhaft aus, lässt sich der Prozess auch manuell anstoßen. Diesen Weg sollten allerdings vor allem erfahrene Nutzer sowie IT-Administratoren wählen.

Manuelle Aktualisierung per Registry und PowerShell

Für Heimanwender, die selbst aktiv werden möchten, sowie für Unternehmen mit verwalteten Geräten bietet Microsoft einen dokumentierten Weg über die Registrierungsdatenbank.

Gehen Sie dafür folgendermaßen vor:

1. Öffnen Sie PowerShell als Administrator.
2. Prüfen Sie zunächst, ob Windows überhaupt Schreibrechte auf die Zertifikatsdatenbank besitzt:

Get-SecureBootUEFI -Name PK | Format-List

3. Erscheint unter Attributes durchgehend der Hinweis „Access“, kann das Update grundsätzlich durchgeführt werden.
4. Legen Sie anschließend folgenden Registrierungswert an, um Windows Update zur Suche nach aktuellen Zertifikaten zu bewegen:

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot" -Name "AvailableUpdates" -Value 0x40

Für verwaltete Unternehmensgeräte empfiehlt Microsoft im Rahmen von KB5025885 stattdessen häufig den erweiterten Wert 0x5944, da dieser zusätzliche Update-Kategorien einschließt. Der Fortschritt lässt sich anschließend über die Werte UEFICA2023Status sowie UEFICA2023Error im selben Registrierungspfad nachvollziehen.

Wichtig ist dabei: Führen Sie diese Schritte ausschließlich mit einem aktuellen Backup durch, da Eingriffe in die Firmware-Sicherheit grundsätzlich mit Bedacht erfolgen sollten. Zudem sollten Sie nach der Änderung erneut einen vollständigen Neustart durchführen.

Wenn die Meldung trotz Update bestehen bleibt

Bleibt die Warnung zur älteren Startvertrauenskonfiguration weiterhin sichtbar, liegt die Ursache oft nicht ausschließlich am Zertifikat selbst, sondern an der zugrunde liegenden Startumgebung.

Folgende Punkte sollten Sie deshalb zusätzlich überprüfen:

• BIOS-Modus kontrollieren: Windows 11 erwartet in der Regel den UEFI-Modus mit aktivem Secure Boot. Läuft Ihr System hingegen noch im alten Legacy-BIOS-Kompatibilitätsmodus, kann die Vertrauenskette nicht vollständig bestätigt werden.
• Systemdateien prüfen: Öffnen Sie eine Eingabeaufforderung mit Administratorrechten und führen Sie den Befehl sfc /scannow aus, um beschädigte Systemkomponenten auszuschließen.
• Startbereich reparieren: Nutzen Sie die Windows-Wiederherstellungsumgebung, um den Bootmanager sowie die EFI-Partition mit den Standardwerkzeugen neu aufzubauen.
• TPM kontrollieren: Öffnen Sie den Geräte-Manager und schauen Sie unter „Sicherheitsgeräte“ nach, ob ein TPM erkannt wird. Fehlt der Eintrag, sollten Sie zunächst die Firmware-Einstellungen des Mainboards prüfen.
• Firmware des Herstellers aktualisieren: Manche Mainboards benötigen zusätzlich ein eigenes BIOS-Update des Herstellers, damit die neuen Zertifikate überhaupt gespeichert werden können.

Sind alle Firmware-Einstellungen korrekt, kann es dennoch vorkommen, dass Windows ältere Startmessungen zwischenspeichert. In diesem Fall hilft es häufig, die Sicherheitskomponenten nach einem vollständigen Neustart erneut zu initialisieren.

Welche Risiken bestehen ohne Aktualisierung?

Auch wenn ein Gerät ohne aktuelle Zertifikate zunächst weiterhin startet, entstehen dadurch langfristig Sicherheitsrisiken. Deshalb sollte die Meldung nicht dauerhaft ignoriert werden.

Folgende Konsequenzen sind laut Microsoft möglich:

• Windows startet zwar weiterhin und erhält reguläre Updates, jedoch ohne vollständigen Schutz der frühen Startkomponenten.
• Der Start-Manager sowie andere Komponenten vor dem eigentlichen Betriebssystem erhalten künftig keine sicherheitsrelevanten Aktualisierungen mehr.
• Das Risiko für sogenannte Bootkits steigt spürbar, da diese gezielt veraltete, noch signierte Bootloader ausnutzen.
• Bei Unternehmen kann zudem die Compliance gefährdet sein, sofern bestimmte Sicherheitsstandards vorausgesetzt werden.

Aus diesem Grund empfiehlt Microsoft ausdrücklich, die Umstellung nicht auf die letzte Frist zu verschieben, sondern frühzeitig zu handeln.

Wichtige Termine rund um die Secure-Boot-Zertifikate 2026

Damit Sie den Überblick behalten, hier die zentralen Daten im Jahr 2026 zusammengefasst:

• Januar 2026: Beginn der stufenweisen Verteilung erster Zertifikatsupdates über den Patchday.
• April 2026: Einführung der neuen Statusanzeige innerhalb der App Windows Sicherheit.
• Juni 2026: Ablauf der ersten wichtigen Secure-Boot-Zertifikate von 2011.
• 27. Juni 2026: Weitere Zertifikate verlieren ihre Gültigkeit.
• 19. Oktober 2026: Ablauf zusätzlicher UEFI-Zertifikate, wodurch die Umstellung endgültig abgeschlossen sein sollte.

Da sich diese Fristen aufeinander aufbauen, lohnt es sich, den Status Ihres Geräts regelmäßig zu kontrollieren, anstatt nur einmalig zu prüfen.

Häufige Fragen zur älteren Startvertrauenskonfiguration

Ist mein PC unsicher, wenn die Meldung angezeigt wird?

Nicht sofort. Die Meldung weist lediglich darauf hin, dass Ihr Gerät noch alte Zertifikate nutzt. Solange Sie zeitnah aktualisieren, entsteht in der Regel kein akutes Risiko.

Betrifft die Warnung auch Windows 10?

Ja, ebenso Windows 10 ist betroffen, sofern Secure Boot aktiviert ist. Zusätzlich sollten Nutzer ohne regulären Support die Extended Security Updates in Betracht ziehen.

Wie lange dauert die automatische Aktualisierung?

Das hängt vom jeweiligen Gerät ab. Microsoft klassifiziert Systeme schrittweise, weshalb die Umstellung teilweise mehrere Tage oder Wochen in Anspruch nehmen kann.

Kann ich die Aktualisierung erzwingen?

Ja, über die beschriebene PowerShell-Methode sowie den Registrierungswert AvailableUpdates lässt sich der Prozess manuell anstoßen. Dennoch sollten Sie vorher ein Backup anlegen.

Was passiert, wenn ich gar nichts unternehme?

Ihr Gerät startet zunächst weiterhin normal. Allerdings verliert der Sichere Start mit der Zeit seine vollständige Schutzwirkung gegenüber neuen Bedrohungen im Startprozess.

Muss ich zusätzlich das BIOS meines Mainboards aktualisieren?

Bei manchen Geräten ja. Insbesondere ältere Mainboards benötigen teilweise ein herstellerspezifisches Firmware-Update, damit die neuen Zertifikate gespeichert werden können.

Warum sehe ich die Statusanzeige in Windows Sicherheit nicht?

Möglicherweise fehlt noch das entsprechende App-Update. Prüfen Sie deshalb zunächst, ob alle aktuellen Windows-Updates installiert sind, und starten Sie das Gerät danach neu.

Ist die Umstellung auch für Unternehmen relevant?

Ja, insbesondere für Unternehmen mit vielen verwalteten Geräten. Hier empfiehlt Microsoft den erweiterten Registrierungswert 0x5944 sowie eine zentrale Überwachung über UEFICA2023Status.

Kann Secure Boot durch die Umstellung deaktiviert werden?

Nein, die Aktualisierung ändert lediglich die zugrunde liegenden Zertifikate. Secure Boot selbst bleibt dabei durchgehend aktiviert, sofern Sie es nicht manuell in der Firmware ausschalten.