Windows Secure Boot: Zertifikatswechsel stoppt Acer-⁠PC – Firmware vorab prüfen

Ein Acer-⁠PC startete nach dem Austausch der Secure-⁠Boot-⁠Zertifikate über Windows Update nicht mehr. Die passende Acer-⁠Firmware war verfügbar, aber nicht installiert; erst nach dem Firmware-⁠Update lief der Rechner wieder mit aktiviertem Secure Boot.

Die Geräte-⁠Firmware entschied über den Neustart

Im geschilderten Fall ließ sich der Rechner zunächst wieder starten, nachdem Secure Boot im UEFI deaktiviert worden war. Damit war allerdings genau der Schutz abgeschaltet, den der Zertifikatswechsel erhalten soll. Die dauerhafte Lösung kam erst mit einem Firmware-⁠Update des Geräteherstellers: Danach startete der PC wieder mit aktiviertem Secure Boot.

Der Fall macht eine Abhängigkeit sichtbar, die in der Updateplanung leicht untergeht. Ein Windows-⁠Update kann neue Secure-⁠Boot-⁠Zertifikate auf ein Gerät bringen; damit diese beim Start verarbeitet werden, muss auch die Firmware des Geräts dafür bereit sein. Windows-⁠ und Firmwarepflege sind deshalb keine austauschbaren Aufgaben.

Unverwaltete Rechner brauchen einen eigenen Firmware-⁠Prozess

Bei dem betroffenen Gerät wurde Windows automatisch aktualisiert. Das Firmware-⁠Update von Acer kam dagegen nicht von selbst. So kann ein Rechner beim Betriebssystem auf dem aktuellen Stand sein und trotzdem eine veraltete Firmware haben, die den Start nach dem Zertifikatswechsel verhindert.

Für Unternehmen ist das besonders relevant, wenn neben zentral verwalteten Arbeitsplätzen auch Geräte ohne laufende IT-⁠Betreuung im Bestand sind. Ein Rechner, der nicht mehr startet, lässt sich nicht wie gewohnt per Fernzugriff prüfen. Im beschriebenen Fall musste Secure Boot zunächst direkt am Gerät deaktiviert werden. Das ist eine Notlösung, keine sinnvolle Dauerlösung, weil der Schutz dadurch ausgeschaltet bleibt.

Firmware vor dem Zertifikatswechsel prüfen

Prüfen Sie bei den betroffenen Geräten, ob der Hersteller eine Firmware bereitstellt, die die neuen Secure-⁠Boot-⁠Zertifikate unterstützt, und spielen Sie ein passendes Update vor dem Zertifikatswechsel ein. Beziehen Sie dabei auch unverwaltete PCs ein: Für sie braucht es einen eigenen Ablauf für Firmwarepflege und Fehlerbehebung.

Prüfen Sie die Geräte-⁠Firmware vor dem Secure-Boot-Zertifikatswechsel und planen Sie für nicht startende Rechner eine Vor-⁠Ort-⁠Wiederherstellung ein.

Quellen: Borns IT-⁠ und Windows-⁠Blog, „Windows Secure Boot: Probleme nach Zertifikatsaustausch“ (https://borncity.com/blog/2026/09/23/windows-secure-boot-probleme-nach-zertifikatsaustausch/)