Zertifikatswechsel bei der Code-Integrität: PCA 2011 läuft am 19. Oktober ab

In einer Woche läuft das Zertifikat „Microsoft Windows Production PCA 2011“ ab – die Zertifizierungsstelle, mit der Microsoft seit über einem Jahrzehnt Windows-Komponenten signiert. Für die meisten Systeme passiert nichts Sichtbares. Gefährdet sind aber Anwendungen, Sicherheitsprodukte und App-Control-Richtlinien, die sich auf genau dieses Zertifikat festgelegt haben, sowie Geräte, die die neuen Secure-Boot-Zertifikate noch nicht kennen.

Was Microsoft umbaut

Mit KB5125813 hat Microsoft im August einen mehrstufigen Umbau der Windows-Code-Signatur angekündigt:

Vorbereitend hat das September-Update 2026 die Code-Integritätsrichtlinien angepasst: Windows erkennt die neue „Microsoft Windows Production PCA 2026 RSA2048-SHA256“ als gleichwertig zur PCA 2011 an. Wer dieses Update installiert hat, ist für die eingebauten Prüfungen vorbereitet.

Wer betroffen ist

Software, die Signaturen selbst prüft

Bei eigenen Kompatibilitätstests ist Microsoft auf Anwendungen gestoßen, die mit den neuen Signaturzertifikaten nicht mehr funktionieren. Die Ursache ist dabei immer dieselbe: Statt die Windows-Vertrauensprüfung zu fragen, parsen sie Authenticode-Signaturen oder Zertifikatsketten selbst, erwarten einen bestimmten Aussteller oder Fingerabdruck oder kodieren Algorithmen hart. Solche Programme lehnen dann Dateien ab, die Windows selbst einwandfrei als vertrauenswürdig einstuft. Typische Kandidaten sind ältere Endpoint-Schutzprodukte, Inventarisierungs- und Softwareverteilungslösungen sowie Eigenentwicklungen.

App Control / WDAC mit festgelegten Signern

App-Control-Richtlinien, die Windows-Komponenten über eine Signer-Regel auf die PCA 2011 zulassen, erkennen neu signierte Dateien nur dank der September-Anpassung. Fehlt dieses Update, oder wurde eine eigene Richtlinie mit hart hinterlegtem Zertifikat erstellt, drohen blockierte Systemdateien nach künftigen Updates.

Secure Boot

Die PCA 2011 signiert auch den Windows-Bootloader. Neue Bootkomponenten unterschreibt Microsoft künftig mit der Windows UEFI CA 2023. Damit ein Gerät diesen Komponenten vertraut, muss das 2023er Zertifikat in der UEFI-Signaturdatenbank (db) stehen. Geräte ohne dieses Zertifikat starten zunächst weiter, können aber neue Bootmanager-Versionen und deren Sicherheitskorrekturen nicht mehr übernehmen. Besonders gefährdet sind Systeme ohne Windows-Update-Zugang, etwa in abgeschotteten Netzen.

Prüfen: Wie steht es um meine Systeme?

Secure-Boot-Datenbank auf das neue Zertifikat prüfen (als Administrator, nur auf UEFI-Systemen mit Secure Boot):

# Secure Boot aktiv?
Confirm-SecureBootUEFI

# Ist die Windows UEFI CA 2023 in der db?
$db = [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI -Name db).Bytes)
[pscustomobject]@{
    Computer     = $env:COMPUTERNAME
    UEFI_CA_2023 = $db -match 'Windows UEFI CA 2023'
}

Signaturkette einer Systemdatei ansehen – hilfreich, um zu erkennen, welche PCA eine Datei signiert hat:

$sig   = Get-AuthenticodeSignature "$env:windir\System32\ntoskrnl.exe"
$chain = New-Object System.Security.Cryptography.X509Certificates.X509Chain
[void]$chain.Build($sig.SignerCertificate)
$chain.ChainElements | ForEach-Object { $_.Certificate.Subject }

Handeln: Die Checkliste

• Updates: Sicherstellen, dass alle Clients und Server mindestens den Stand vom September 2026 haben – auch Server mit langen Wartungsfenstern.
• Sicherheitsprodukte: Bei den Herstellern von EDR, Virenschutz und Application Whitelisting die Kompatibilität mit der neuen PCA bestätigen lassen.
• App Control: Eigene Richtlinien auf Signer-Regeln mit festem PCA-2011-Bezug durchsuchen und im Audit-Modus gegen aktuelle Updates testen.
• Eigenentwicklungen: Signaturprüfungen ausschließlich über die Windows-Vertrauens-APIs (WinVerifyTrust) durchführen, keine Fingerabdrücke oder Aussteller hart kodieren.
• Secure Boot: Bestand erfassen, welche Geräte die Windows UEFI CA 2023 bereits in der db haben, und Offline-Systeme gezielt nachziehen.
• Vorausschauen: RSA-3072/SHA-384 und Post-Quanten-Signaturen kommen bald – wer jetzt sauber auf die Windows-APIs umstellt, muss 2027 nicht noch einmal ran.

Compliance-Bezug

Integritätsschutz von Betriebssystem und Bootkette ist Bestandteil von BSI IT-Grundschutz SYS.2.2.3 (Clients unter Windows) und SYS.1.2.3 (Windows Server). Die Zertifikats- und Algorithmenumstellung berührt zudem CON.1 (Kryptokonzept). Unter NIS2 fallen Patchstand und Integrität der Systeme unter Art. 21 Abs. 2 lit. e.

Fazit

Der Ablauf der PCA 2011 ist für gepflegte Windows-Systeme kein Drama – Microsoft hat die Umstellung mit dem September-Update vorbereitet. Kritisch wird es dort, wo Software Signaturen auf eigene Faust prüft, wo App-Control-Richtlinien starr festgelegt sind und wo Geräte vom Update-Fluss abgeschnitten sind. Genau diese Stellen sollten Sie in der verbleibenden Woche prüfen. Der Wechsel ist erst der Anfang: Mit stärkeren Algorithmen und Post-Quanten-Signaturen folgen die nächsten Schritte schon bald.

Quellen: Microsoft KB5125813 „Preparing the Windows ecosystem for next-generation code signing“ (20.08.2026); Microsoft Windows-Updates vom 08.09.2026 (Release Notes); Petri; Neowin; Lakeside Software; BSI IT-Grundschutz-Kompendium (SYS.2.2.3, SYS.1.2.3, CON.1)