Windows-Update-Zertifikate laufen 2027 aus – erforderliche Sicherheitsupdates einplanen

Microsoft beginnt mit dem Austausch von Zertifikaten für Windows Update; die bisherigen Zertifikate laufen am 17. Mai beziehungsweise 19. Juni 2027 aus. Für die meisten Geräte erfolgt der Wechsel automatisch. Entscheidend ist aber, ob das jeweilige Windows-⁠System das dafür benötigte Sicherheitsupdate erhalten hat.

Der Wechsel hängt am Update-⁠Stand des Systems

Zertifikate dienen dazu, die Herkunft von Dateien zu überprüfen. Beim Austausch geht es daher nicht um ein neues Windows-⁠Feature, das Nutzer aktiv einschalten müssen, sondern darum, dass Windows Update die Ersatzzertifikate über Updates auf die Geräte bringt. Wer das System aktuell hält, muss nach der Meldung nichts zusätzlich installieren.

Das gilt jedoch nicht ohne Weiteres für jedes Gerät und jede Windows-⁠Version. Microsoft staffelt die Voraussetzung nach Betriebssystemstand. Eine pauschale Aussage wie „Windows Update erledigt das schon“ greift deshalb zu kurz, wenn in einem Unternehmen ältere oder uneinheitlich gepflegte Installationen laufen.

Welche Windows-⁠Versionen welche Voraussetzung haben

Bei Windows 11 26H2 und 25H2 sollen die neuen Zertifikate automatisch über Windows Update eintreffen. Für Windows 11 24H2 und Windows Server 2025 ist das Sicherheitsupdate vom September erforderlich. Ältere Windows-⁠11-⁠Versionen, Windows 10 sowie Windows Server 2022, 2019 und 2016 benötigen mindestens das Sicherheitsupdate vom Juli.

Für noch ältere Versionen ist kein neues Zertifikat vorgesehen. Die Meldung ordnet das damit ein, dass diese Versionen ohnehin keine Updates mehr erhalten. Das ist ein wichtiger Unterschied: Bei einem unterstützten System kann der fehlende Update-⁠Stand behoben werden. Bei einer Version außerhalb der Updateversorgung ist der Zertifikatswechsel dagegen nicht einfach durch das Nachinstallieren eines aktuellen Windows-⁠Updates zu lösen.

Warum sich ein fehlendes Update bemerkbar machen kann

Der praktische Knackpunkt liegt bei Geräten, auf denen das jeweils erforderliche Sicherheitsupdate fehlt. In diesem Fall wird laut Meldung kein neues Update über Windows Update ausgegeben. Als Weg zur Installation des benötigten Updates wird der Microsoft Update-⁠Katalog genannt. Nach der Installation ist das neue Zertifikat enthalten.

Für Administratoren bedeutet das: Warten, bis der automatische Ablauf den Sonderfall schon auffängt, ist keine verlässliche Planung. Wenn ein Gerät auf dem erforderlichen Stand zurückliegt, kann gerade der gewohnte Verteilungsweg nicht ausreichen. Das ist besonders relevant für Umgebungen, in denen Server und Arbeitsplatzgeräte unterschiedliche Update-⁠Richtlinien oder Wartungsfenster haben. Die Versionsbezeichnung allein sagt noch nicht, ob die Voraussetzung erfüllt ist; maßgeblich ist, ob das betreffende Sicherheitsupdate tatsächlich installiert wurde.

Erst die betroffenen Systeme einordnen, dann handeln

Ich würde den Vorgang nicht als separates Projekt zur manuellen Zertifikatsverteilung aufziehen. Sinnvoller ist eine kurze Prüfung nach Betriebssystemversion und Update-⁠Stand:

• Ordnen Sie Geräte den genannten Windows-⁠Versionen beziehungsweise Serverversionen zu.
• Prüfen Sie bei Windows 11 24H2 und Windows Server 2025, ob das Sicherheitsupdate vom September installiert ist.
• Prüfen Sie bei den älteren genannten Versionen, ob mindestens das Sicherheitsupdate vom Juli vorhanden ist.
• Installieren Sie ein fehlendes erforderliches Update über Windows Update, sofern es dort angeboten wird. Ist das nicht der Fall, nennt die Meldung den Update-⁠Katalog als Ausweichweg.
• Behandeln Sie noch ältere Versionen gesondert, statt anzunehmen, dass dort später automatisch ein Zertifikat eintrifft.

Diese Einordnung ist auch für IT-⁠Verantwortliche hilfreich, die den Wechsel zunächst als reine Microsoft-⁠interne Änderung ansehen. Solange die Geräte die passenden Updates erhalten und installiert haben, ist kein zusätzlicher Zertifikats-⁠Rollout beschrieben. Der Ausnahmefall entsteht dort, wo die Updatevoraussetzung fehlt oder das Betriebssystem keine Updates mehr bekommt.

Die Ablaufdaten im Mai und Juni 2027 sind kein Grund für hektische Einzelaktionen, aber ein guter Anlass, Update-⁠Rückstände nicht bis kurz vor Fristende liegen zu lassen. Prüfen Sie den erforderlichen Sicherheitsupdate-⁠Stand je Windows-⁠Version und nutzen Sie bei einem nicht angebotenen Update den Update-⁠Katalog.

Quellen: Deskmodder – „Windows Update-⁠Zertifikate werden ausgetauscht“ (https://www.deskmodder.de/blog/2026/10/09/windows-update-zertifikate-werden-ausgetauscht/)