Microsoft hat am 8. Oktober 2026 IT-Administratoren gewarnt: Die Zertifikate, mit denen Windows Update die Verbindung zu den Microsoft-Servern absichert, laufen im Mai und Juni 2027 ab. Wer danach noch auf einer Windows-Version sitzt, die seit Längerem keine Updates mehr eingespielt hat, bekommt keine Patches mehr – und zwar ohne sichtbare Fehlermeldung. Die Warnung steht im [Beitrag von borncity](https://borncity.com/blog/2026/10/12/microsoft-warnt-windows-aktualisieren-um-weiter-updates-zu-erhalten/), der den Microsoft-Techcommunity-Post aufgreift.

Für einen Betrieb mit zehn bis hundert Arbeitsplätzen bedeutet das: Jeder PC, der seit Monaten nicht aktualisiert wurde – ein Testrechner, eine Maschine im Lager, ein System, das wochenlang offline war –, verliert nach der Zertifikatsrotation schlicht die Fähigkeit, Sicherheitsupdates herunterzuladen. Windows Update zeigt dann nicht zwingend einen Fehler an; es werden einfach keine neuen Patches mehr angeboten. Betroffen sind nicht nur die Betriebssystem-Updates selbst, sondern auch die Aktualisierungsmechanismen von Windows Defender, wie in der Kommentarspalte zum borncity-Beitrag angemerkt wurde.

Zertifikatsrotation: Was Microsoft konkret angibt

Microsoft dokumentiert die Rotation im Techcommunity-Beitrag „Prepare for Windows Update certificate rotation in 2027". Windows Update nutzt zertifikatsbasierte Vertrauensbeziehungen, um sicherzustellen, dass Clients nur mit autorisierten Servern kommunizieren und die übermittelten Updates tatsächlich von Microsoft stammen. Diese Zertifikate sind – wie üblich – mit Ablaufdaten versehen. Eine Reihe läuft am 17. Mai 2027 ab, eine weitere am 19. Juni 2027.

Die Rotation erfolgt auf den Clients über Windows Update selbst. Aktuelle Versionen wie Windows 11 25H2 oder 26H2, die monatlich Updates erhalten, sind nicht betroffen, weil die Zertifikate mit ausgetauscht werden. Probleme bereiten ältere Versionen, auf denen seit Längerem kein Update installiert wurde.

Konkret verlangt Microsoft: Für ältere Windows-11-Versionen, die noch im Support sind, sowie für Windows Server 2022 muss das Sicherheitsupdate vom Juli 2026 oder ein späteres vor dem 19. Juni 2027 installiert sein. Gleiches gilt für Windows 10 mit Extended Security Updates. Bei den LTSC-Releases – Windows 10 Enterprise 2019 LTSC, Windows Server 2019, Windows Server 2016 – ist der Termin etwas früher: Das Sicherheitsupdate vom Juli 2026 oder später muss vor dem 17. Mai 2027 aufgespielt sein. Alle übrigen Windows-Versionen müssen auf eine unterstützte Ausgabe hochgestuft werden, um nach dem Zertifikatsablauf weiterhin auf die Update-Dienste zugreifen zu können.

Ergänzend: Laut heise endet die Update-Versorgung für Windows 11 24H2 (Home und Pro) bereits am 13. Oktober 2026. Wer noch auf 24H2 sitzt, hat also nicht nur das Zertifikatsproblem, sondern verliert kurzfristig auch den regulären Support.

Was jetzt zu tun ist

1. Windows-Version und Build auf jedem Rechner prüfen. Einstellungen → System → Info. Dort stehen Windows-Version (z. B. 25H2, 24H2) und Betriebssystembuild. Wer eine Version unter 25H2 sieht oder ein System, das seit Monaten kein Update bekommen hat, sollte priorisieren.
2. Windows Update ausführen und alle ausstehenden Sicherheitsupdates installieren. Einstellungen → Windows Update → „Nach Updates suchen". Bei Windows 10: Einstellungen → Update und Sicherheit → Windows Update. Besonders wichtig: Das kumulative Sicherheitsupdate vom Juli 2026 oder später muss installiert sein. Zeigt Windows „Sie sind auf dem neuesten Stand", ist die Zertifikatsrotation abgedeckt.
3. Bei Rechnern ohne funktionierendem Windows Update: den Update-Katalog nutzen. Auf der Windows-Update-Katalog-Seite die KB-Nummer des benötigten Sicherheitsupdates eingeben, das passende Paket für die eigene Version und Architektur (x64 oder ARM64) herunterladen und als MSU-Datei per Doppelklick installieren. Die Anleitung beschreibt den Ablauf Schritt für Schritt, auch für CAB-Pakete über DISM.

Das Ärgerliche an diesem Thema: Man merkt es erst, wenn es zu spät ist. Ein PC, der seit drei Monaten im Regal steht und dann wieder in Betrieb genommen wird, zeigt keinen roten Warnhinweis – er bekommt einfach keine Patches mehr. Wer jetzt unsicher ist, ob alle Maschinen im Haus noch sauber mit Microsoft verbunden sind, hat damit schon die richtige Frage gestellt. Wir schauen uns das gern einmal an – von der Versionsübersicht bis zur letzten Maschine im Lager – und melden uns, wenn alles passt. Hier erreichen Sie uns.

Beitragsbild: Polina Zimmerman auf Pexels