Kurz gesagt: Microsoft rotiert am 17. Mai und am 19. Juni 2027 zentrale Zertifikate, mit denen Windows Update Patches sicher von den Microsoft-Servern bezieht. Das Windows Update Zertifikat 2027 betrifft vor allem Systeme, die seit Monaten nicht mehr aktualisiert wurden: Ihnen fehlt das Update, das die Zertifikatserneuerung überhaupt erst liefert. Wer rechtzeitig patcht oder bereits aktuelle Versionen wie Windows 11 25H2 nutzt, muss nichts weiter tun.
Das Windows Update Zertifikat 2027 ist keine Randnotiz, sondern eine offizielle Ankündigung, die jeden Admin betrifft, der nicht ausschließlich durchgängig aktuelle Clients betreibt. Microsoft hat am 8. Oktober 2026 im Techcommunity-Beitrag “Prepare for Windows Update certificate rotation in 2027” bekanntgegeben, dass zentrale PKI-Zertifikate der Windows-Update-Infrastruktur im Mai und Juni 2027 ablaufen. Bis dahin müssen betroffene Systeme ein erneuertes Zertifikat per regulärem Windows Update erhalten haben, sonst bricht die sichere Verbindung zu den Update-Servern ab. Das klingt nach viel Zeit, ist es für Flotten mit Nachholbedarf allerdings nicht.
Das brauchst du
- Lokale Administratorrechte auf den zu prüfenden Clients und Servern
- Für flächendeckende Abfragen Zugriff auf WSUS, Configuration Manager oder eine vergleichbare Patch-Management-Lösung
- PowerShell 5.1 oder höher auf den Zielsystemen
- Für Remote-Abfragen per Invoke-Command: aktiviertes WinRM und Netzwerkzugriff
- Mindestens die in der Tabelle genannten kumulativen Updates, damit die Zertifikatserneuerung überhaupt ausgeliefert wird
Was ändert sich beim Windows Update Zertifikat 2027 genau?
Windows Update sichert die Verbindung zu den Microsoft-Servern über zertifikatsbasierte Vertrauensbeziehungen ab. Nur so stellt ein System sicher, dass es wirklich mit einem autorisierten Update-Server spricht und die gelieferten Pakete tatsächlich von Microsoft stammen. Diese Zertifikate laufen turnusmäßig ab – beim Windows Update Zertifikat 2027 betrifft das gleich mehrere davon, mit Stichtagen am 17. Mai und am 19. Juni. Die Erneuerung passiert normalerweise unauffällig im Hintergrund, nämlich über ein ganz gewöhnliches Sicherheitsupdate.
Warum ist das Thema schon jetzt relevant, obwohl die Frist erst 2027 greift?
Die Rotation selbst liegt noch über ein Jahr in der Zukunft, trotzdem lohnt sich der Blick heute. Das neue Zertifikat kommt nämlich nicht automatisch an, sondern wird über ein kumulatives Update ausgeliefert. Wurde ein System seit Monaten oder Jahren nicht mehr gepatcht, fehlt ihm genau dieses Update – und ohne manuellen Eingriff bleibt es außen vor. Zudem brauchen größere Umgebungen mit tausenden Clients, Außenstellen oder isolierten Netzen deutlich mehr Vorlauf, als die reine Patch-Installation vermuten lässt.
Welche Windows-Versionen sind vom Zertifikatsablauf betroffen?
Wie stark dich das Windows Update Zertifikat 2027 trifft, hängt stark von der eingesetzten Windows-Version ab. Einen Überblick über aktuelle und ältere Versionen findest du auch im Windows-Versionen-Überblick von itnator. Die folgende Tabelle fasst zusammen, welches Mindest-Update bis wann installiert sein muss.
| Windows-Version | Erforderliche Aktion |
|---|---|
| Windows 11 25H2 und neuer | Keine Aktion nötig, Zertifikat wird automatisch mit ausgetauscht |
| Windows 11 24H2, Windows Server 2025 | Sicherheitsupdate ab September 2025 vor dem 19. Juni 2027 installieren |
| Ältere unterstützte Windows-11-Versionen, Windows Server 2022 | Sicherheitsupdate ab Juli 2026 vor dem 19. Juni 2027 installieren |
| Windows 10 mit aktivem ESU-Support | Sicherheitsupdate ab Juli 2026 vor dem 19. Juni 2027 installieren |
| Windows 10 Enterprise 2019 LTSC, Server 2019, Server 2016 | Sicherheitsupdate ab Juli 2026 vor dem 17. Mai 2027 installieren |
| Nicht mehr unterstützte Windows-Versionen | Migration auf eine unterstützte Version erforderlich |
Wie prüfst du mit PowerShell, ob deine Systeme den nötigen Patch-Stand haben?
Die folgenden Befehle helfen dir, pro System schnell zu erkennen, ob ein Patch mit ausreichend aktuellem Stand installiert ist. Starte mit einer einfachen Abfrage der installierten Updates.
Get-HotFix | Where-Object {$_.InstalledOn -gt (Get-Date '2026-07-01')} | Select-Object HotFixID, InstalledOnDer Befehl listet alle Updates, die nach dem Juli-Patchday 2026 installiert wurden. Taucht hier kein Eintrag auf, fehlt dem System vermutlich das für die Zertifikatserneuerung nötige Sicherheitsupdate. Ergänzend solltest du Build und Version prüfen, um die Zeile in der Tabelle oben eindeutig zuzuordnen.
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, WindowsVersionWie findest du veraltete Systeme in der gesamten Flotte?
Bei mehr als ein paar Dutzend Geräten lohnt sich eine Remote-Abfrage statt manueller Einzelchecks. Mit einer Liste von Hostnamen lässt sich der Patch-Stand zentral einsammeln.
Invoke-Command -ComputerName (Get-Content .\Server-Liste.txt) -ScriptBlock {
Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 1
}Der Befehl liefert pro Server das zuletzt installierte Update zurück. In größeren Umgebungen bieten sich zudem WSUS- oder Configuration-Manager-Reports an, da diese den Patch-Stand ohnehin zentral erfassen.
Wie spielst du die fehlenden Updates gezielt ein?
Reguläre Clients sollten das nötige Update einfach über Windows Update oder WSUS beziehen. Für Server ohne direkten Internetzugang oder für isolierte Umgebungen lädst du das passende Paket aus dem Microsoft Update Catalog herunter und spielst es offline ein.
wusa.exe C:\Patches\windows10.0-kbXXXXXXX-x64.msu /quiet /norestartDer Befehl installiert ein zuvor heruntergeladenes Sicherheitsupdate ohne Internetverbindung – praktisch für Air-Gapped-Umgebungen, die sonst keinen Weg zu Windows Update haben.
Wie gehst du mit Legacy-Systemen und Air-Gapped-Umgebungen beim Windows Update Zertifikat 2027 um?
Systeme ohne offiziellen Support lassen sich nicht einfach nachpatchen, da schlicht keine passenden Updates mehr erscheinen. Für Windows 10 greift hier noch der ESU-Support, der zumindest bis zum relevanten Stichtag Updates liefert. Bei LTSC-Versionen wie Windows 10 Enterprise 2019 LTSC oder Server 2016 lohnt sich ein Blick in den Vergleich von LTSC und LTSB, um die verbleibende Laufzeit realistisch einzuschätzen. Für wirklich alte, nicht mehr unterstützte Systeme bleibt meist nur die Migration – eine Planung dafür sollte jetzt beginnen, nicht erst 2027, Tipps dazu liefert der Beitrag zum Change-Management bei der Windows-11-Migration.
Was passiert, wenn ein System nach der Zertifikatsrotation keine Updates mehr erhält?
Ohne das nötige Update verlieren Systeme nach dem Windows Update Zertifikat 2027 endgültig den Zugriff auf neue Patches, da die Verbindung zu den Update-Servern nicht mehr als vertrauenswürdig gilt. Das trifft potenziell auch Mechanismen, die über denselben Weg aktualisiert werden, offen ist laut Diskussionen rund um den Quellartikel etwa die Auswirkung auf Defender-Definitionsupdates. Unabhängig davon bedeutet ein gestoppter Patch-Strom ein wachsendes Risiko für Sicherheitslücken und Compliance-Vorgaben. Ähnlich kritisch wurde es bereits bei fehlerhaften Updates, die den Secure Channel zur Domäne beschädigt haben – auch dort zeigte sich, wie schnell ein einziges fehlendes oder fehlerhaftes Update den Betrieb lahmlegt. Details zur offiziellen Ankündigung liefert die Quelle bei Borns IT- und Windows-Blog, weiterführende Hintergründe zur Update-Infrastruktur findest du in der offiziellen Microsoft-Dokumentation.
Häufige Fehler
- Das Windows Update Zertifikat 2027 nur bei Clients prüfen, Server und Infrastruktur-Hosts aber vergessen – binde beide Gerätetypen in die Prüfung ein.
- Sich allein auf Windows Update verlassen, obwohl viele Server über WSUS oder gar nicht automatisch aktualisiert werden – kontrolliere die tatsächliche Update-Quelle pro System.
- Air-Gapped-Systeme komplett übersehen, weil sie nicht im täglichen Monitoring auftauchen – führe für isolierte Umgebungen eine separate Inventur durch.
- Die Frist bis 2027 als “noch lange hin” abtun – gerade Migrationsprojekte für Legacy-Systeme brauchen oft Monate an Vorlauf.
- ESU-Lizenzen erst kurz vor knapp beschaffen – prüfe frühzeitig, welche Systeme überhaupt noch ESU-fähig sind und welche migriert werden müssen.