Windows-Update-Zertifikatswechsel 2027: Welche Rechner und Server bald keine Updates mehr laden

In fast jedem Betrieb gibt es ihn: den Rechner an der Maschine, den Server im Abstellraum oder das Notebook im Schrank, das seit Monaten kein Update gesehen hat. Bisher ließ sich das jederzeit nachholen – einschalten, Updates suchen, fertig. Mit dem Windows-Update-Zertifikatswechsel 2027 ändert sich das: Wer den Patch-Stand bis dahin nicht nachgezogen hat, bekommt über Windows Update schlicht nichts mehr angeboten.

Was Microsoft angekündigt hat

Wie heise online am 12. Oktober 2026 berichtet, laufen die bisherigen Zertifikate für Windows Update ab Mai 2027 ab. Microsoft informiert darüber in einem Beitrag im IT-Pro-Blog („Prepare for Windows Update certificate rotation in 2027”), im Windows Release Health Message Center und im Microsoft-365-Message-Center unter der Kennung MC1491763.

Die neuen Zertifikate verteilt Microsoft über die regulären monatlichen Sicherheitsupdates. Systeme, die diese Updates erhalten haben, kennen die neuen Zertifikate bereits und arbeiten nach dem Stichtag normal weiter. Systeme, denen die Updates fehlen, können nach Ablauf der alten Zertifikate keine Updates mehr über Windows Update laden und installieren.

Es ist der zweite Zertifikatswechsel innerhalb kurzer Zeit: Laut heise sind die Secure-Boot-Zertifikate nach 15 Jahren Laufzeit bereits im Juni 2026 ausgelaufen und mussten ersetzt werden.

Welche Systeme bis wann aktualisiert sein müssen

Der Bericht nennt folgende Fristen und Mindeststände:

Für alle anderen Versionen verweist Microsoft darauf, dass sie auf eine noch unterstützte Version von Windows Client oder Windows Server migriert werden müssen. Nicht mehr unterstützte Windows-Versionen erhalten über die Windows-Update-Dienste keine Updates mehr.

Wer nicht betroffen ist

• Aktuell gepatchte Systeme: Wer unterstützte Windows-Versionen einsetzt und die monatlichen Updates einspielt, muss laut Microsoft in den meisten Fällen nichts tun.
• Geräte hinter WSUS: Systeme, die ihre Updates über einen WSUS-Server beziehen, sind laut Bericht nicht betroffen.

Warum das Thema trotzdem auf die Liste gehört

„Normalerweise kein Problem” ist eine Aussage über gut gepflegte Umgebungen. In kleinen und mittleren Betrieben sehen wir regelmäßig Systeme, die aus dem Update-Rhythmus gefallen sind, ohne dass es jemandem aufgefallen wäre:

• Selten genutzte Geräte: Ersatz-Notebooks, Messe-Rechner, Geräte von Mitarbeitenden in Elternzeit. Sie liegen monatelang ausgeschaltet im Schrank.
• Rechner an Maschinen und Messgeräten: Updates wurden bewusst pausiert, weil die Steuerungssoftware empfindlich ist – und dann nie wieder aktiviert.
• Server mit „Never touch a running system”-Status: Der alte Datei- oder Datenbankserver läuft, also fasst ihn niemand an.
• Golden Images und VM-Vorlagen: Wer neue Rechner aus einem alten Abbild aufsetzt, startet mit einem Patch-Stand von vor Juli 2026.
• Ausgeschaltete virtuelle Maschinen und Wiederherstellungen aus alten Backups: Eine VM, die im Notfall aus einer Sicherung vom Frühjahr 2026 zurückgespielt wird, kennt die neuen Zertifikate nicht.

Der letzte Punkt ist der heikelste. Eine Wiederherstellung ist ohnehin eine Stresssituation; wenn das zurückgeholte System dann keine Updates mehr findet, kostet das zusätzlich Zeit. Planen Sie diesen Fall in Ihre Restore-Tests ein.

Was passiert, wenn ein System die Frist verpasst?

Das Gerät ist nicht verloren. Laut Bericht lassen sich die Updates weiterhin aus dem Microsoft Update Catalog herunterladen und manuell installieren; auch die Verteilung über gängige Software-Verwaltungswerkzeuge bleibt möglich. Der Aufwand steigt aber deutlich: Statt eines Klicks braucht es jemanden, der das passende Paket heraussucht, auf das Gerät bringt und installiert. Bei drei vergessenen Rechnern ist das lästig, bei dreißig ein Projekt.

Windows-Update-Zertifikatswechsel 2027: In fünf Schritten vorbereiten

1. Bestand erfassen

Listen Sie alle Windows-Systeme mit Version und Build auf – auch die, die nicht in der Domäne hängen oder gerade ausgeschaltet sind. Ohne vollständiges Inventar bleibt jede Prüfung lückenhaft; eine Vorlage dafür liefert unser Beitrag zum IT-Asset-Management.

2. Patch-Stand prüfen

Auf einem einzelnen Rechner zeigt winver Version und Build, der Update-Verlauf in den Einstellungen das zuletzt installierte kumulative Update. Für mehrere Systeme geht es per PowerShell schneller:

Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5

Entscheidend ist, ob ein Sicherheitsupdate ab Juli 2026 (bei Windows 11 24H2 und Windows Server 2025: ab September 2025) installiert ist. Wer ein Monitoring- oder RMM-Werkzeug nutzt, kann den Patch-Stand dort zentral auswerten.

3. Nachzügler jetzt aktualisieren

Schalten Sie selten genutzte Geräte ein und lassen Sie die Updates durchlaufen, solange Windows Update dort noch funktioniert. Dasselbe gilt für ausgeschaltete VMs. Erneuern Sie Installationsabbilder und VM-Vorlagen, damit neue Systeme nicht mit altem Stand starten.

4. Für nicht mehr unterstützte Systeme einen Plan erstellen

Microsoft empfiehlt ausdrücklich, für nicht unterstützte Geräte rechtzeitig vor Mai bzw. Juni 2027 einen Upgrade-Plan aufzustellen. Für Arbeitsplätze heißt das in der Regel die Umstellung auf Windows 11, für Server die Migration auf eine aktuelle Version. Systeme, die sich nicht ablösen lassen – etwa wegen einer Maschinensteuerung –, gehören in ein eigenes Netzsegment ohne direkten Internetzugang.

5. Updates dauerhaft überwachen

Der Zertifikatswechsel bestraft im Kern eine Sache: fehlende Routine. Richten Sie ein Patch-Management mit Update-Ringen ein und lassen Sie sich melden, wenn ein Gerät länger als einen Monat kein Update installiert hat. Tragen Sie den 17. Mai und den 19. Juni 2027 in den Kalender ein und prüfen Sie einige Wochen vorher noch einmal den gesamten Bestand.

Zertifikate laufen ab – nicht nur bei Windows Update

Secure Boot im Juni 2026, Windows Update im Frühjahr 2027, dazu immer kürzere Laufzeiten bei TLS-Zertifikaten: Ablaufende Zertifikate werden zum wiederkehrenden Betriebsthema. Wer ohnehin eine Übersicht über Fristen führt, etwa im Rahmen des Zertifikatsmanagements, sollte solche Herstellertermine dort mit aufnehmen.

Viele Betriebe in Dresden und im übrigen Sachsen arbeiten mit gewachsenen Umgebungen: ein Windows Server 2016 für die Branchensoftware, ein paar Windows-10-Rechner in der Werkstatt, neue Notebooks im Büro. Gerade ostdeutsche KMU ohne eigene IT-Abteilung haben selten jemanden, der Microsofts Message Center mitliest – die Ankündigung kommt dort an, wo sie niemand sieht.

Sie suchen Unterstützung in Dresden?

Rexoma hilft KMU dabei, den Windows-Update-Zertifikatswechsel 2027 ohne Überraschungen zu überstehen: Wir erfassen Ihre Windows-Systeme, prüfen den Patch-Stand, bringen Nachzügler auf den erforderlichen Stand und planen die Ablösung von Versionen, die keine Updates mehr erhalten. Auf Wunsch übernehmen wir das Patch-Management dauerhaft. Sprechen Sie uns an – wir sind als IT-Dienstleister in Dresden vor Ort und betreuen Unternehmen in ganz Sachsen.

FAQ

Muss ich wegen des Zertifikatswechsels selbst ein Zertifikat installieren?

In der Regel nein. Die neuen Zertifikate sind in den monatlichen Sicherheitsupdates enthalten – ab Juli 2026 für die meisten Versionen, ab September 2025 für Windows 11 24H2 und Windows Server 2025. Wer diese Updates installiert hat, muss laut Microsoft meist nichts weiter tun.

Was passiert mit einem Rechner, der die Frist verpasst?

Er kann keine Updates mehr über Windows Update laden und installieren. Die Updates lassen sich laut heise online aber weiterhin aus dem Microsoft Update Catalog herunterladen und manuell einspielen oder über Software-Verwaltungswerkzeuge verteilen.

Sind Systeme betroffen, die Updates über WSUS bekommen?

Nein. Laut Bericht sind Geräte, die ihre Updates über WSUS beziehen, von der Umstellung nicht betroffen. Aktuell halten sollten Sie sie trotzdem.

Welche Frist gilt für Windows Server 2016 und 2019?

Für Windows Server 2016, Windows Server 2019 und Windows 10 Enterprise 2019 LTSC nennt der Bericht den 17. Mai 2027. Bis dahin muss mindestens ein Sicherheitsupdate ab Juli 2026 installiert sein.

Was ist mit Windows-Versionen, die Microsoft nicht mehr unterstützt?

Sie erhalten über die Windows-Update-Dienste keine Updates mehr. Microsoft verweist darauf, dass diese Systeme auf eine noch unterstützte Version von Windows Client oder Windows Server migriert werden müssen.