• Microsoft Windows Production PCA 2011 - für Windows bis 06/2026
• Windows UEFI CA 2023 - für Windows (neu)
  
  
• Microsoft UEFI CA 2011 - für nicht-Windows bis 06/2023
• Microsoft UEFI CA 2023 - für nicht-Windows (neu)
  
  
• Microsoft Option ROM UEFI CA 2023 - signiert Firmware von Grafikkarten, Netzwerkkarten, RAID-Controllern usw. (neu)
  (diese Aufgabe hat vorher das Microsoft UEFI CA 2011 mit übernommen)

Der Bootmanager benutzt eigene Zerifíkate, die mit o.g. CAs signiert sein müssen.

• Linux: mokutil - SecureBoot Status, Liste der Keys, ein/aus schalten
• Windows CAs prüfen: Heise Script UEFI Cert Info
• Windows Bootmanager prüfen: Heise Script UEFI Loader

Im BIOS befinden sich im Allgemeinen 2 Zertifikate (für Windows und "Andere") für UEFI Secure Boot.
Beide Zertifikate sind von Microsoft und laufen 2026 aus.

Microsoft plant, das Zertifikat zu widerrufen, mit dem alle UEFI Secure Bootlader für Windows signiert sind.
Das betrifft alle Windows Bootlader ab 2012 sämtlicher Versionen ab Windows 8 / Server 2012 in allen Editionen, Plattformen und Architekturen.
Es ist egal, ob der Bootloader auf einem internen Datenträger ist oder extern (CD/DVD, USB, ISO, VHD, Backups, Setup- und Rettungsmedien).
Es ist also unbedingt zuerst ein neuer Bootlader erforderlich, der das neue Zertifikat kennt.
Auch PCIe-Erweiterungskarten, die vom BIOS initialisiert werden, müssen aktuelle Zertifikate haben! (oder Secure Boot abschalten)
Außerdem muß dieses neue Zertifikat im BIOS hinterlegt werden.

Windows 11 fordert die Existenz UEFI Secure Boot, es muß aber nicht aktiviert sein.

msinfo.exe kann den aktuellen Zustand von Secure Boot erkennen
Sicherer Startzustand:
Ein - Secure Boot aktiv
Aus - Secure Boot aus
Nicht unterstützt - kein Secure Boot vorhanden oder PC läuft im Legacy CSM Mode
BIOS-Modus:
UEFI - UEFI
Vorgängerversion - CSM ist aktiv