Zertifikate 2026: Was sich bei CO2-Preis, Secure Boot und SSL-Laufzeiten ändert

Secure Boot prüft beim Systemstart keine Ablaufdaten der hinterlegten Zertifikate. Dein Rechner startet auch nach dem Ablaufdatum im Jahr 2026 ohne Einschränkung, und bereits signierte Boot-Komponenten funktionieren weiter.

Die eigentliche Folge zeigt sich bei künftigen Updates. Abgelaufene Zertifikate können keine neuen oder aktualisierten Boot-Komponenten mehr signieren. Systeme ohne aktualisierte Secure-Boot-Datenbanken erhalten damit langfristig keine Sicherheitsfixes für den Bootprozess, was auf dieser besonders sensiblen Ebene eine dauerhafte Lücke hinterlässt.

Für dich bedeutet das: Kurzfristig bleibt alles ruhig, mittelfristig entsteht jedoch ein nicht akzeptabler Zustand, gerade bei längerer Hardware-Nutzung oder in regulierten Umgebungen.

Betroffen sind vor allem Secure-Boot-Zertifikate aus dem Jahr 2011, die seit Windows 8 standardmäßig verwendet werden. Dazu zählen Zertifikate für die Key-Exchange-Key-Datenbank (KEK) sowie Signaturzertifikate für den Windows Boot Manager.

Microsoft trennt die bisherige UEFI CA 2011 künftig in zwei Zertifikate auf. Das ermöglicht eine genauere Kontrolle darüber, welchen Komponenten du vertraust.

• Die Microsoft Corporation KEK CA 2011 läuft im Juni 2026 ab und wird durch die Microsoft Corporation KEK 2K CA 2023 ersetzt.
• Die Microsoft Corporation UEFI CA 2011 läuft ebenfalls im Juni 2026 ab; Nachfolger ist die Microsoft UEFI CA 2023 für Bootloader von Drittanbietern und EFI-Anwendungen.
• Für Options-ROMs, etwa für Grafikkarten oder RAID-Controller, übernimmt die Microsoft Option ROM UEFI CA 2023.
• Die Microsoft Windows Production PCA 2011 läuft im Oktober 2026 ab und wird durch die Windows UEFI CA 2023 ersetzt.

Ob ein Gerät bereits die neue Secure-Boot-Zertifikatskette verwendet, lässt sich mit einer administrativen PowerShell, dem Eventlog und der Registry feststellen. Die Kombination dieser drei Wege liefert ein klares Bild über den Rollout-Status.

Für die Praxis reichen drei zentrale Fragen: Nutzt das Gerät bereits die neue Kette, wurde das Update laut Eventlog erfolgreich durchgeführt, und welchen Status meldet die Registry?

• Führe in einer administrativen PowerShell den Befehl [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI db).Bytes) -match "Windows UEFI CA 2023" aus. True bedeutet, das neue Zertifikat ist aktiv.
• Kontrolliere im System-Eventlog die Ereignisse 1801 (Update vorbereitet oder in Arbeit) und 1808 (Update erfolgreich abgeschlossen).
• Lies unter HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing den Schlüssel UEFICA2023Status aus. Mögliche Werte sind Updated, InProgress oder NotStarted.

Für die meisten Umgebungen ist kein hektisches Handeln nötig, wohl aber eine bewusste Vorbereitung. Die Maßnahmen lassen sich in drei Ebenen einteilen: Update-Ebene, Firmware-Ebene und Betrieb inklusive Sonderfälle.

Microsoft verteilt die neuen Zertifikate seit 2023 über Windows Update. In verwalteten Umgebungen musst du jedoch sicherstellen, dass diese Updates nicht blockiert oder extrem verzögert werden.

• Prüfe, ob Windows Updates in WSUS-, Intune- oder GPO-Setups nicht dauerhaft blockiert oder extrem verzögert werden.
• Stelle sicher, dass Secure-Boot-Servicing in den Update-Richtlinien explizit erlaubt ist.
• Bewerte UEFI- und BIOS-Versionen, besonders bei Geräten, die älter als drei bis vier Jahre sind.
• Nimm Firmware-Updates in die reguläre Lifecycle-Planung auf.
• Betrachte Offline-Systeme, isolierte Netze, Custom-Key-Setups und alte Referenz-Images gesondert.

Ab dem 15. März 2026 gilt für öffentliche TLS- und SSL-Zertifikate eine maximale Laufzeit von 200 Tagen. Bis zum 14. März 2026 bleibt der bisherige Standard von etwa 397 Tagen (13 Monate) bestehen.

Die Kürzung bedeutet für dich: Statt eines jährlichen Erneuerungszyklus musst du Zertifikate spätestens alle sechs Monate ersetzen. Auch die Zeitfenster für Validierungen werden strenger, da Nachweise für die Domain- oder Unternehmensvalidierung nur noch kürzer wiederverwendet werden dürfen.

Wenn du jetzt noch von der längeren Laufzeit profitieren willst, verlängere oder erneuere betroffene Zertifikate vor dem 15. März 2026. Die Validierung sollte bis spätestens Ende Februar oder Anfang März 2026 abgeschlossen sein.

Für deine Planung bedeutet das: Die Erneuerungszyklen werden kontinuierlich kürzer, und automatisierte Prozesse werden unverzichtbar. Wer seine Zertifikatslandschaft nicht automatisiert, läuft ab 2027 in einen erheblichen manuellen Aufwand.

• Bis 14. März 2026 gilt eine maximale Laufzeit von etwa 397 Tagen, der heutige Standard für öffentliche SSL-Zertifikate.
• Ab 15. März 2026 gilt eine maximale Laufzeit von 200 Tagen für neu ausgestellte Zertifikate.
• Ab März 2027 folgt eine weitere Kürzung auf maximal 100 Tage Laufzeit.
• Ab März 2029 reduziert sich die maximale Laufzeit auf 47 Tage.

Für die Versteigerungen 2026 ist ein Preiskorridor gesetzlich festgelegt. Der Mindestpreis liegt bei 55 Euro pro Zertifikat, was dem CO2-Preisniveau von 2025 entspricht. Der Höchstpreis im Korridor beträgt 65 Euro pro Zertifikat.

Innerhalb dieser Spanne bildet sich der Preis je nach Nachfrage. Falls die verfügbare Menge an Zertifikaten die Nachfrage nicht deckt, können in anschließenden Verkäufen Zertifikate zu einem Preis von 68 Euro erworben werden.

Gegenüber dem CO2-Preis von 55 Euro im Jahr 2025 sind Preissteigerungen in begrenztem Umfang möglich.

Bei einem CO2-Preisniveau von 65 Euro steigt der Benzinpreis um 2,8 Cent pro Liter, Diesel und Heizöl EL um 3,2 Cent pro Liter und Erdgas um 0,22 Cent pro Kilowattstunde. Bei 68 Euro liegen die Aufschläge bei 3,7 Cent für Benzin, 4,1 Cent für Diesel und Heizöl sowie 0,28 Cent für Erdgas.

Die tatsächlichen Aufschläge für Benzin und Diesel liegen durch die gesetzliche Beimischung biogener Kraftstoffe unter diesen Werten, da für nachhaltige biogene Brennstoffe kein CO2-Preis anfällt.

Die zusätzlichen Einnahmen aus dem nationalen Emissionshandel fließen in den Klima- und Transformationsfonds (KTF) der Bundesregierung. Dieser Fonds finanziert verschiedene Programme zum Klimaschutz und zur Transformation der Wirtschaft.

Die Erlöse kommen Verbraucherinnen und Verbrauchern unter anderem über die Förderung der energetischen Gebäudesanierung oder der Elektromobilität zugute. Dadurch wird die Wirtschaftlichkeit emissionsneutraler Technologien im Gebäude- und Verkehrsbereich weiter gestärkt.

Gleichzeitig sorgen die begrenzten Preissteigerungen bei fossilen Brennstoffen dafür, dass klimafreundliche Alternativen im Vergleich attraktiver werden. Der Effekt ist also doppelt: höhere Kosten für fossile Energien und gezielte Förderung für den Umstieg.

Die zusätzlichen Einnahmen aus dem nationalen Emissionshandel fließen in den Klima- und Transformationsfonds (KTF). Dieser Fonds finanziert verschiedene Programme zum Klimaschutz und zur Transformation der Wirtschaft.

Die Erlöse kommen Verbraucherinnen und Verbrauchern unter anderem über die Förderung der energetischen Gebäudesanierung oder der Elektromobilität zugute. Dadurch wird die Wirtschaftlichkeit emissionsneutraler Technologien im Gebäude- und Verkehrsbereich weiter gestärkt.

Gleichzeitig sorgen die begrenzten Preissteigerungen bei fossilen Brennstoffen dafür, dass klimafreundliche Alternativen im Vergleich attraktiver werden. Der Preiskorridor von 55 bis 65 Euro pro Zertifikat begrenzt die unmittelbaren Mehrkosten.

Der häufigste Fehler bei SSL-Zertifikaten ist das Verpassen der Frist am 15. März 2026. Wer vorher nicht verlängert, verliert die letzte Chance auf die längere Laufzeit von etwa 397 Tagen und muss sofort in den kürzeren Sechs-Monats-Zyklus wechseln.

• Verlängere SSL-Zertifikate nicht erst nach dem 15. März 2026, wenn du noch von der längeren Laufzeit profitieren willst.
• Blockiere Secure-Boot-Updates nicht versehentlich in WSUS-, Intune- oder GPO-Setups.
• Übersieh Offline-Systeme und isolierte Netze nicht bei der Secure-Boot-Planung.
• Vergiss Firmware-Updates bei älteren Geräten nicht in der Lifecycle-Planung.
• Hole Validierungsnachweise für SSL-Zertifikate nicht zu spät ein, da die Zeitfenster ab 2026 strenger werden.