Windows-Update-Zertifikate laufen ab: Was jetzt zählt

Nach dem Wechsel der Secure-Boot-Zertifikate steht bei Microsoft der nächste Zertifikatstausch an – diesmal trifft es die Zertifikate, mit denen der Windows-Update-Dienst arbeitet. Wie heise Security berichtet, laufen die alten Zertifikate ab Mai 2027 ab, die neuen liefert Microsoft per Update aus. Für die meisten Unternehmen ist das keine akute Baustelle. Aber es ist ein Termin mit festem Datum – und ein guter Anlass, den eigenen Update-Stand ehrlich zu prüfen.

Was Microsoft angekündigt hat

Die Faktenlage aus der Meldung: Die bisherigen Windows-Update-Zertifikate laufen ab kommendem Mai aus, also ab Mai 2027. Die neuen Zertifikate verteilt Microsoft über die ganz normalen Windows-Updates – spätestens die Sicherheitsupdates aus dem Juli 2026 bringen sie bereits mit. Wer seine Systeme regulär und monatlich aktualisiert, dürfte die neuen Zertifikate daher längst an Bord haben, ohne etwas davon zu bemerken.

Microsoft weist über mehrere Kanäle gleichzeitig auf den Wechsel hin: über einen eigenen Blogbeitrag für IT-Professionals, über das Windows-Release-Health-Message-Center und über das Microsoft-365-Message-Center (dort unter der Kennung MC1491763). Dieser Mehrkanal-Hinweis zeigt: Microsoft will vermeiden, dass der Stichtag Unternehmen unvorbereitet trifft.

Die Fristen unterscheiden sich je nach Windows-Version:

• Windows Server 2016, Windows Server 2019 und Windows 10 Enterprise 2019 LTSC müssen bis zum 17. Mai 2027 mit den Sicherheitsupdates aus dem Juli 2026 oder neuer versorgt sein.
• Jüngere, noch unterstützte Windows-10-Versionen, ältere Windows-11-Versionen und Windows Server 2022 haben bis zum 19. Juni 2027 Zeit.
• Windows 11 24H2 und Windows Server 2025 benötigen die Sicherheitsupdates aus dem September 2025 oder neuer.
• Wer bereits Windows 11 25H2 oder neuere Builds einsetzt, hat die nötigen Zertifikate bereits im System.

Was passiert, wenn ein Gerät die Frist verpasst? Es kann dann keine Updates mehr über Windows Update herunterladen und installieren. Konkret heißt das: keine Sicherheitsupdates mehr auf dem gewohnten Weg.

Wer betroffen ist – und wer nicht

Die gute Nachricht zuerst: Microsoft schreibt ausdrücklich, dass in den meisten Fällen kein Eingreifen nötig sei. Gemeint sind Umgebungen, in denen noch unterstützte Windows-Versionen laufen und die monatlichen Updates auf aktuellem Stand sind.

Ausdrücklich nicht betroffen sind zudem Geräte, die ihre Updates über die Windows Server Update Services (WSUS) beziehen. Wer also eine klassische WSUS-basierte Update-Verteilung betreibt, muss sich um diesen Wechsel keine Gedanken machen.

Handlungsbedarf besteht dagegen bei zwei Gruppen: erstens bei Geräten mit älteren oder schlicht nicht aktualisierten Windows-Versionen, zweitens bei Geräten mit Windows-Versionen, die gar nicht mehr unterstützt werden. Für die zweite Gruppe gilt die härteste Konsequenz: Nicht mehr unterstützte Windows-Versionen erhalten über die Windows-Update-Dienste künftig gar keine Updates mehr.

Warum das auch kleinere Unternehmen betrifft

Auf den ersten Blick klingt das nach einem Thema für große IT-Abteilungen mit Hunderten Arbeitsplätzen. Die Praxis in Unternehmen mit 10 bis 100 Mitarbeitern sieht aber oft anders aus – und genau dort liegt das Risiko.

Das eigentliche Problem ist selten der zentrale Büro-PC, der jeden Tag läuft und zuverlässig seine Updates zieht. Problematisch werden die Geräte, die niemand auf dem Schirm hat: das Home-Office-Notebook, das nur alle paar Wochen eingeschaltet wird. Der Reserve-Rechner im Lager. Der ältere Server, der „einfach noch läuft“. Installationen mit LTSC-Versionen, die bewusst selten angefasst werden. Solche Systeme können monatelang kein Update gesehen haben – und genau sie drohen die Fristen zu verpassen.

Dazu kommt: In dieser Unternehmensgröße gibt es häufig keine durchgängige Geräte-Inventarisierung. Ob wirklich jede Maschine im Netz regelmäßig Updates bezieht, ist dann eher Annahme als Wissen. Die Microsoft-Ankündigung ist ein guter Anlass, aus der Annahme Wissen zu machen.

Es gibt noch einen zweiten Grund, die Meldung ernst zu nehmen: Es ist bereits der zweite große Zertifikatswechsel in kurzer Zeit. Im Juni dieses Jahres waren nach 15 Jahren Laufzeit die alten Secure-Boot-Zertifikate von Microsoft ausgelaufen – auch damals mit etwa einem Jahr Vorlauf und umfangreichen Hinweisen an die IT-Verantwortlichen. Zertifikatswechsel mit langen Vorlaufzeiten dürften also kein einmaliges Ereignis bleiben. Wer jetzt saubere Update-Prozesse und einen Überblick über den Gerätebestand aufbaut, ist für die nächsten Termine dieser Art gewappnet.

Was Sie jetzt konkret tun sollten

Erstens: Bestand aufnehmen. Welche Windows-Versionen laufen im Unternehmen – auf Arbeitsplätzen, Notebooks und Servern? Denken Sie dabei auch an Sonderfälle wie LTSC-Installationen oder ältere Server. Ohne diese Liste ist jede weitere Prüfung Raterei.

Zweitens: Update-Stand prüfen. Beziehen alle Geräte regelmäßig die monatlichen Updates? Geräte, die seit Monaten kein Update mehr gesehen haben, gehören auf die Prioritätenliste. Für sie gilt: Bis zu den genannten Stichtagen im Mai beziehungsweise Juni 2027 müssen sie die erforderlichen Sicherheitsupdates erhalten haben.

Drittens: Update-Weg klären. Beziehen Ihre Geräte Updates über WSUS? Dann sind sie laut der Meldung nicht betroffen. Beziehen sie Updates direkt über Windows Update, gelten die genannten Fristen.

Viertens: Für nicht mehr unterstützte Windows-Versionen einen Upgrade-Plan erarbeiten. Genau das empfiehlt Microsoft ausdrücklich – fertiggestellt vor Mai beziehungsweise Juni 2027. Das betrifft vor allem ältere Systeme, die aus Gewohnheit weiterlaufen.

Fünftens: Termine notieren. Der 17. Mai 2027 und der 19. Juni 2027 gehören in den Kalender der IT-Verantwortung – mit ausreichend Puffer davor, nicht erst am letzten Tag.

Falls ein Gerät die Frist verpasst

Ganz verloren ist ein Gerät nicht, das den Stichtag verpasst. Es bleibt laut der Meldung die Möglichkeit, Updates aus dem Microsoft-Update-Katalog herunterzuladen und manuell zu installieren; auch die Verteilung über reguläre Software-Verwaltungswerkzeuge ist dafür geeignet. Das ist allerdings deutlich aufwendiger als der automatische Weg – eher Notlösung als Dauerzustand. Für nicht mehr unterstützte Windows-Versionen gilt diese Hintertür ohnehin nicht: Sie erhalten über die Update-Dienste gar nichts mehr.

Was noch unklar ist

Einige Fragen beantwortet die Meldung nicht, und es wäre unehrlich, so zu tun, als wären sie geklärt. Wie lässt sich auf einem einzelnen Gerät technisch prüfen, ob die neuen Zertifikate bereits installiert sind? Dazu enthält der Text keine Angabe – das dürfte in der Praxis eine der ersten Rückfragen an die eigene IT-Betreuung sein. Ebenso offen ist, ob Microsoft für die Prüfung noch Werkzeuge oder weitere Hinweise nachliefern wird. Und während WSUS-Umgebungen ausdrücklich als nicht betroffen genannt werden, bleibt unklar, wie es um Geräte bestellt ist, die über andere Management-Lösungen aktualisiert werden. Hier sollten Sie den konkreten Update-Weg für Ihre Umgebung klären, statt ihn vorauszusetzen.

Fazit

Der anstehende Zertifikatswechsel bei Windows Update ist kein Notfall, aber ein Termin mit klarem Datum und klarer Konsequenz: Wer die Fristen verpasst, bekommt keine Sicherheitsupdates mehr auf dem automatischen Weg. Für Unternehmen, die ihre unterstützten Windows-Systeme monatlich aktualisieren, ändert sich praktisch nichts. Alle anderen haben jetzt die Chance, mit Vorlauf Ordnung zu schaffen – beim Gerätebestand, beim Update-Stand und bei den Alt-Systemen, die ohnehin längst ausgetauscht gehören. Die Fristen im Mai und Juni 2027 kommen nicht überraschend. Überraschend kommen sie nur für diejenigen, die jetzt nicht hinschauen.

Dieser Artikel wurde KI-unterstützt auf Basis einer Fachmeldung erstellt und vor der Veröffentlichung geprüft.