Microsoft verschärft Signierung von Windows-Treibern, fordert SBOM und VEX ab März 2027

Microsoft hat eine Verschärfung der Signierungsanforderungen für Windows-Treiber ab dem 1. März 2027 angekündigt. Gemäß dem aktualisierten Windows Hardware Compatibility Program (WHCP) müssen Entwickler, die Treiber für Windows 11 Versionen 25H2, 26H1 sowie Windows Server 2025 und neuere Versionen einreichen, künftig eine Software-Materialliste (SBOM) und eine Erklärung zur Ausnutzbarkeit von Schwachstellen (VEX) beifügen.

Diese Richtlinienänderung ist Teil der fortlaufenden Bemühungen von Microsoft, die Sicherheit und Integrität des Windows-Treiber-Ökosystems zu verbessern. Sie dient auch der Einhaltung sich entwickelnder Cybersicherheitsvorschriften, wie beispielsweise des EU-Cyberresilienzgesetzes (CRA), das Transparenz und Sicherheit in der gesamten Softwarelieferkette betont.

Treiber, die ohne eine gültige SBOM oder VEX eingereicht werden, oder deren Dokumente nicht verifiziert werden können, erhalten keine WHCP-Signatur. Dies gilt für Treiber, die über das Hardware Lab Kit (HLK) zertifiziert wurden, sowie für solche, die mittels Attestation signiert wurden. Bestehende Einreichungen und Treiber für Windows-Versionen vor Windows 11 25H2 und Windows Server 2025 sind von diesen neuen Anforderungen ausgenommen.

Microsoft plant, im Dezember 2026 aktualisierte Werkzeuge zur Erstellung und Validierung von SBOM- und VEX-Dateien mit dem Windows Driver Kit (WDK) zu veröffentlichen. Entwickler können auch Tools von Drittanbietern oder branchenübliche Werkzeuge verwenden, vorausgesetzt, die Ausgabe entspricht dem SPDX 3.0-Format. Unternehmen, die planen, Treiber nach der Frist im März 2027 einzureichen, wird empfohlen, sich mit diesen bevorstehenden Spezifikationen vertraut zu machen und mit der Katalogisierung ihrer Softwarekomponenten zu beginnen.