Wichtig: Secure-Boot-Zertifikate laufen ab!

Wenn Sie Ihren Rechner, ihr Notebook oder Ihren Server starten, findet der so genannte Boot-Prozess statt. Dabei wird von einem speziellen Raum auf Ihrer Festplatte oder SSD (Boot-Sektor) der Boot-Loader ausgeführt. Dieser lädt in der Folge Ihr Betriebssystem (Windows oder Linux) in den Arbeitsspeicher und führt das System aus. Nun können Sie mit dem Gerät arbeiten.

Wenn nun ein Computer-Schädling oder ein System-Eindringling eine Schadsoftware in den Boot-Loader einschleust, oder diesen ersetzt, startet Ihr Rechner jedesmal einen Schädling mit, oder es startet überhaupt nur eine Schadsoftware anstelle des gewünschten Systems.

Um diese Schwachstelle abzusichern wurde vor Jahren das so genannte "Secure Boot" eingeführt. Hierbei dürfen nur Programme beim Rechnerstart ausgeführt werden, die als vertrauenswürdig gekennzeichnet sind. Das verhindert nachhaltig die Ausführung von Schadcode beim Boot-Vorgang. Die Frage ist hier natürlich: Was macht eine Systemsoftware vertrauenswürdig? Zu diesem Zweck wurden so genannte Zertifikate eingeführt, die in den Chips der Hauptplatine (dem BIOS) fest gespeichert werden. Eine Systemsoftware die starten möchte, muss sich anhand dieser Zertifikate ausweisen können, indem sie einen passenden Zertifikatsschlüssel zum Abgleich mitbringt. Kann sich die Software beim Start nicht ausweisen, darf sie nicht starten.

Die Zertifikate, die auf der Hauptplatine des Rechners abgelegt sind, haben eine begrenzte Laufzeit. Das Laufzeitende ist im Jahr 2026 erreicht.

Sind die Zertifikate abgelaufen, also ungültig, können die Betreibssysteme sich nicht mehr gültig ausweisen und dürfen somit auch nicht mehr starten. So lange das Betriebssystem nicht getauscht oder neu installiert wird, hat es aber (bei der Installation) den Zertifikatstest bestanden und darf zunächst weiter starten, auch wenn das Zertifikat im BIOS bereits abgelaufen ist.

Zudem besteht das Problem, dass bei den Rechnern teilweise zunächst das BIOS der Hauptplatine einem Update unterzogen werden muss, damit ein Zertifikatstausch überhaupt unterstützt wird. Das trifft nicht auf alle Systeme zu, dies hängt auch vom Alter des Systems selbst ab. Es gibt aber teilweise Rechnerhardware, die so alt ist, dass es vom Hersteller keine entsprechenden BIOS-Updates mehr gibt. Dann kann der Rechner bzw. die Hauptplatine (Mainboard) nur noch getauscht werden.

Alles gut? Sie hatten sowieso nicht vor Ihre Rechner neu zu installieren? Leider löst das nicht das Problem. Denn bei allen Betriebssystemen (vor Allem Windows) gibt es mehrfach im Jahr große Updates, die auch den Boot-Loader austauschen. Dabei muss die neue Version jedesmal den Zertifikatstest bestehen. Das schlägt aber natürlich bei abgelaufenen Zertifikaten fehl: Ihr Rechner startet nicht mehr.

Um die abgelaufenen Zertifikate austauschen zu können, benötigt das System ein spezielles, ebenfalls im Rechner-BIOS abgelegtes Zertifikat. Dieses läuft im Oktober 2026 ab, so dass danach ein Zertifikatstausch absolut unmöglich wird. Das bedeuted, dass spätestens im Oktober 2026 der Rechner nicht mehr aktualisiert werden kann.

Die Zeit drängt also, um die Zertifikate überhaupt noch aktualisieren zu können.

Zum Einen haben Apple-Geräte, die unter MacOS, also dem Apple-Betriebssystem laufen dieses Problem nicht, da hier Zertifikate von Apple zum Einsatz kommen. Wenn Sie allerdings auf einem Apple-Rechner Windows installiert haben, dann werden auch hier die Microsoft-Zertifikate angewendet und Sie haben das Zertifikats-Problem.

Zum Anderen haben Sie das Problem auch unter Windows oder Linux-Rechnern nicht, wenn Sie auf dem Mainboard und bei der Betriebssystem-Installation Secure-Boot abgeschaltet haben. In diesem Fall spielen die Zertifikate keine Rolle. Allerdings können in diesem Zustand die Zertifikate auch nicht getauscht werden. Das Problem ist, dass der betreffende Rechner auch in Zukunft nur ohne Secure-Boot betrieben werden kann.

Wenn Sie uns beauftragen, für Sie dieses Problem anzugehen, gehen wir in mehreren Schritten bei Ihnen vor Ort vor:

• Wir testen, ob die Zertifikate bereits aktuell sind oder ob der Rechner noch die abgelaufenen Zertifikate verwendet.
• Wir testen, ob der jeweilige Rechner überhaupt Secure-Boot verwendet. Wenn nicht, müssen wir mit Ihnen klären, ob das auch zukünftig so bleiben soll.
• Wir prüfen, ob der Hersteller BIOS-Updates zur Verfügung stellt und installieren diese, wenn vorhanden.
• Hat Ihr Rechner noch die abgelaufenen Zertifikate, versuchen wir manuell die aktuellen einzuspielen (bei Servern funktioniert NUR der manuelle Austausch).
• Wenn das nicht funktioniert, müssen wir mit Ihnen klären, wie wir weiter verfahren können.

Wichtiger Hinweis:
Handelt es sich bei dem Betriebssystem auf dem Rechner um Windows 10, ist ein Zertifikatstausch grundsätzlich noch möglich. Allerdings benötigen Sie dann die Updateverlängerung von Microsoft. Worum es hierbei geht und was wir dabei für Sie tun können, entnehmen Sie bitte der Seite:
Windows 10 Updateverlängerung

Wenn wir Sie bei der Zertifikats-Problematik beraten und aktiv unterstützen sollen, kontaktieren Sie uns bevor es zu spät ist. Wir kümmern uns um Ihre Probleme, unabhängig davon von wem die Hardware geliefert und in Betrieb genommen wurde.

Zögern Sie nicht, die Zeit drängt: Zu den Kontaktmöglichkeiten...