Microsoft hat einen seltenen Einblick in den eigenen Secure-Boot-Rollout gegeben. Das Unternehmen verwaltet rund 500.000 Windows-Geräte weltweit und musste die alten Secure-Boot-Zertifikate aus dem Jahr 2011 durch neue Zertifikate ersetzen. Der Erfahrungsbericht zeigt sehr konkret, wie Microsoft den Rollout mit Pilotgruppen, Telemetrie, Intune, Autopatch und Defender for Endpoint abgesichert hat.
Für Administratoren ist das besonders interessant, weil sich viele der beschriebenen Maßnahmen direkt auf eigene Windows-Umgebungen übertragen lassen. Microsoft nennt am Ende eine globale Compliance von 97 Prozent bei einer Fehlerquote von weniger als einem Prozent.
Microsoft aktualisiert Secure Boot auf rund 500.000 Geräten
Den eigenen Rollout beschreibt Microsoft in einem am 13. August 2026 veröffentlichten offiziellen Inside-Track-Beitrag zu den Secure-Boot-Zertifikaten.
Die Ausgangslage war anspruchsvoll. Die Geräteflotte umfasst Mitarbeiter-Notebooks, Server, Besprechungsraumsysteme, administrative Geräte und weitere Spezialgeräte. Gleichzeitig mussten drei ältere Microsoft-Zertifikate durch insgesamt vier neue Zertifikate ersetzt werden.
Welche Zertifikate auf Windows-PCs betroffen sind und wie Du den Status prüfst, erklären wir ausführlich in unserem Beitrag zu den Secure Boot Zertifikaten 2026.
Warum die Secure-Boot-Zertifikate jetzt so wichtig sind
Secure Boot überprüft bereits vor dem eigentlichen Windows-Start, ob Bootloader und wichtige Startkomponenten vertrauenswürdig signiert sind. Damit soll verhindert werden, dass manipulierte Software sehr früh in den Startvorgang eingreift.
Mehrere ältere Microsoft-Zertifikate aus dem Jahr 2011 laufen im Jahr 2026 aus beziehungsweise werden durch neue Zertifikate aus dem Jahr 2023 ersetzt. Geräte müssen deshalb rechtzeitig auf den neuen Vertrauensstand gebracht werden.
Wenn Du auf Deinem Rechner den Ordner C:\Windows\SecureBoot entdeckt hast, hängt dieser ebenfalls mit der aktuellen Secure-Boot-Wartung zusammen.
Microsoft startete mit 35.000 Pilotgeräten
Microsoft begann nicht mit einem sofortigen Rollout auf die gesamte Flotte. Zunächst wurden besonders relevante Gerätemodelle in einem Testlabor geprüft. Anschließend folgte eine Pilotgruppe mit ungefähr 35.000 Geräten.
Dieser erste größere Ring erreichte laut Microsoft eine Erfolgsquote von 95 Prozent. Erst danach wurde die Verteilung deutlich ausgeweitet.
Genau dieses Vorgehen ist auch für normale Unternehmensumgebungen sinnvoll. Änderungen an Secure Boot betreffen die Firmware und den Windows-Startpfad. Ein Fehler kann deshalb schwerwiegender sein als ein Problem mit einer gewöhnlichen Anwendung.
97 Prozent Compliance bei weniger als einem Prozent Fehlerquote
Nach Beginn des breiteren Rollouts im Februar 2026 erreichte Microsoft nach 70 Tagen eine Compliance von 86 Prozent. Inzwischen liegt der Wert laut dem aktuellen Bericht weltweit bei 97 Prozent. Die Fehlerquote blieb dabei unter einem Prozent.
Ein wichtiger Baustein war die Telemetrie. Microsoft nutzte Windows Autopatch, Intune und Microsoft Defender for Endpoint, um zu erkennen, welche Geräte bereits die neuen Zertifikate besitzen, welche noch aktualisiert werden müssen und auf welchen Geräten Fehler auftreten.
Das zeigt einen wichtigen Punkt: Bei einem Secure-Boot-Rollout reicht es nicht, nur eine Richtlinie zu verteilen. Du brauchst anschließend eine verlässliche Rückmeldung, ob die Änderung wirklich erfolgreich war.
Secure Boot prüfen: Diese Befehle helfen Dir
Für eine schnelle Kontrolle kannst Du PowerShell mit Administratorrechten öffnen und zunächst prüfen, ob Secure Boot aktiviert ist:
Confirm-SecureBootUEFIZeigt PowerShell True an, ist Secure Boot aktiv.
Zusätzlich kannst Du prüfen, ob die Windows UEFI CA 2023 bereits in der Secure-Boot-Datenbank enthalten ist:
[System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).bytes) -match "Windows UEFI CA 2023"Weitere Prüfmöglichkeiten und Hintergründe findest Du in unserer ausführlichen Secure-Boot-Anleitung für 2026.
Secure-Boot-Rollout Schritt für Schritt vorbereiten
Schritt 1: Gerätebestand erfassen
Erstelle zuerst eine Übersicht über die Windows-Geräte, die aktualisiert werden müssen. Trenne normale Notebooks und Desktops von Spezialgeräten wie Kiosksystemen, Besprechungsraum-PCs, administrativen Workstations, virtuellen Maschinen und Servern.
Gerade ältere Hardware solltest Du gesondert betrachten. Prüfe bei Bedarf, ob ein aktuelles BIOS- oder UEFI-Update des Herstellers verfügbar ist.
Schritt 2: Secure-Boot-Status erfassen
Kontrolliere, ob Secure Boot auf den Geräten aktiv ist und ob die neuen Zertifikate bereits vorhanden sind. In kleinen Umgebungen reicht eine manuelle Kontrolle. In größeren Umgebungen solltest Du die Ergebnisse zentral sammeln.
Falls Du Änderungen direkt im Firmwaremenü kontrollieren musst, zeigt unsere Anleitung, wie Du ins UEFI oder BIOS kommst.
Schritt 3: BitLocker vorbereiten
Vor Änderungen am Bootpfad solltest Du prüfen, ob BitLocker aktiv ist und ob der Wiederherstellungsschlüssel verfügbar ist. Mit dem Windows-Werkzeug Manage-BDE kannst Du den Verschlüsselungsstatus kontrollieren.
Dieser Schritt ist besonders wichtig, weil Firmware- oder Secure-Boot-Änderungen in bestimmten Situationen eine BitLocker-Wiederherstellungsabfrage auslösen können.
Schritt 4: Pilotring definieren
Wähle eine kleine, aber technisch repräsentative Gruppe. Sie sollte verschiedene Hersteller, Modelle, Firmwarestände und typische Unternehmensanwendungen enthalten.
Microsoft selbst begann mit rund 35.000 Pilotgeräten. In einer kleineren Umgebung können bereits 10, 20 oder 50 gut ausgewählte Systeme ausreichend sein.
Schritt 5: Windows und Firmware aktualisieren
Installiere die aktuellen Windows-Sicherheitsupdates und gegebenenfalls notwendige Firmwareupdates. Falls Windows Update nicht zuverlässig arbeitet, hilft Dir unsere Anleitung zum Reparieren von Windows Update.
Ein Update solltest Du bei gesperrten oder zurückgehaltenen Geräten nicht blind erzwingen. Wenn Du die Updatesuche bewusst neu anstoßen möchtest, findest Du dafür die passenden Wege unter Windows 11 Update erzwingen.
Schritt 6: Neustart und Startverhalten kontrollieren
Prüfe nach der Aktualisierung, ob Windows normal startet, BitLocker keine unerwartete Wiederherstellung verlangt und die benötigten Geschäftsanwendungen funktionieren.
Falls ein PC nach einer Änderung nicht mehr korrekt startet, findest Du in unserem Beitrag PC bootet nicht eine strukturierte Fehleranalyse.
Schritt 7: Rollout in Ringen erweitern
Erweitere die Verteilung erst, wenn die Pilotgruppe stabil läuft. Beginne mit Geräten mit geringem Risiko und verschiebe ältere oder ungewöhnliche Systeme in spätere Ringe.
Genau dieses ringförmige Vorgehen nennt Microsoft als eine der wichtigsten Erfahrungen aus dem eigenen Rollout.
Schritt 8: Ausnahmen gezielt behandeln
Die letzten Prozent sind häufig die schwierigsten. Bei Microsoft gehörten dazu unter anderem Besprechungsraumsysteme, Server und virtuelle Maschinen. Für solche Geräte können eigene Neustartfenster, Firmwarepakete oder manuelle Prüfungen notwendig sein.
Aus der Administratorpraxis: Telemetrie ist wichtiger als der Start des Rollouts
Ein typischer Fehler bei größeren Änderungen ist, den Erfolg nur daran zu messen, ob die Richtlinie verteilt wurde. Entscheidend ist aber, ob der Zielzustand auf dem Gerät tatsächlich erreicht wurde.
Dokumentiere deshalb mindestens Geräte-ID, Modell, Firmwarestand, Secure-Boot-Status, Zertifikatsstatus, Datum der Aktualisierung und Ergebnis des ersten Neustarts.
Für den allgemeinen Sicherheitszustand eines Windows-PCs lohnt sich zusätzlich ein Blick in die Windows-Sicherheit.
Praxistipp: Problemgeräte nicht im gleichen Ring wie Standard-PCs behandeln
Ältere Notebooks, Spezialhardware, virtuelle Systeme und Geräte mit angepassten Windows-Images solltest Du nicht zusammen mit normalen Standard-PCs aktualisieren. Microsoft musste für rund 15.000 Besprechungsraumgeräte mit eigenem Windows-11-Image sogar gemeinsam mit Hardwareherstellern passende Firmware bereitstellen.
Für kritische Geräte ist außerdem eine funktionierende Wiederherstellungsstrategie wichtig. Unsere Anleitung zur Windows Systemwiederherstellung zeigt Dir eine der integrierten Möglichkeiten.
Was Microsofts Secure-Boot-Rollout für Unternehmen zeigt
Die interessanteste Erkenntnis ist nicht die Größe der Microsoft-Umgebung, sondern die Vorgehensweise. Microsoft kombiniert Inventarisierung, Testhardware, Pilotgruppen, Telemetrie und schrittweise Verteilung.
Damit wird Secure Boot nicht als einmalige Firmwareänderung behandelt, sondern als verwalteter Sicherheitsprozess. Genau dieses Vorgehen reduziert das Risiko von Bootproblemen und erleichtert die gezielte Nachbearbeitung fehlerhafter Geräte.
FAQ zum Secure-Boot-Rollout 2026
Wie viele Geräte hat Microsoft aktualisiert?
Microsoft verwaltet rund 500.000 Windows-Geräte weltweit. Der aktuelle Bericht beschreibt den Secure-Boot-Zertifikatsrollout über diese große Geräteflotte.
Wie groß war die Pilotgruppe?
Microsoft testete den Rollout zunächst auf ungefähr 35.000 Geräten. Diese Pilotgruppe erreichte eine Erfolgsquote von 95 Prozent.
Wie hoch ist die aktuelle Compliance?
Microsoft nennt aktuell eine globale Compliance von 97 Prozent und eine Fehlerquote von weniger als einem Prozent.
Muss Secure Boot für die Zertifikatsumstellung deaktiviert werden?
Nein. Secure Boot sollte für die reguläre Aktualisierung nicht vorsorglich deaktiviert werden. Eine Deaktivierung reduziert den Schutz des Startvorgangs.
Wie prüfe ich, ob Secure Boot aktiv ist?
Öffne PowerShell mit Administratorrechten und führe Confirm-SecureBootUEFI aus. True bedeutet, dass Secure Boot aktiviert ist.
Sollte ich die neuen Zertifikate sofort auf alle Firmen-PCs verteilen?
Bei größeren Umgebungen ist ein gestaffelter Rollout sinnvoll. Beginne mit einer repräsentativen Pilotgruppe und erweitere die Verteilung erst nach erfolgreichen Tests.
Warum ist BitLocker vor dem Rollout wichtig?
Änderungen an Firmware oder Bootkomponenten können in bestimmten Situationen eine BitLocker-Wiederherstellung auslösen. Der Wiederherstellungsschlüssel sollte deshalb vorab verfügbar sein.
Fazit: Microsoft liefert eine gute Blaupause für Secure Boot 2026
Microsoft zeigt mit dem eigenen Rollout, dass sich selbst eine sehr große und heterogene Windows-Flotte kontrolliert auf die neuen Secure-Boot-Zertifikate umstellen lässt.
Entscheidend waren nicht einzelne Befehle, sondern eine saubere Vorgehensweise: früh testen, Telemetrie erfassen, Pilotgruppen einsetzen, in Ringen verteilen und schwierige Gerätetypen gesondert behandeln.
Für Administratoren ist das eine gute Blaupause. Prüfe jetzt, welche Geräte noch alte Secure-Boot-Zertifikate verwenden, sichere BitLocker-Wiederherstellungsinformationen und beginne mit einer kleinen Testgruppe. So wird aus einer potenziell riskanten Firmwareänderung ein kontrollierter Wartungsprozess.
Neueste Kommentare