19. April 2026 – KB5091157 (Betriebssystembuild 26100.32698) Out-of-Band

Problembeschreibung

Einige Geräte mit einer nicht empfohlenen BitLocker-Gruppenrichtlinienkonfiguration sind möglicherweise erforderlich, um ihren BitLocker-Wiederherstellungsschlüssel beim ersten Neustart nach der Installation dieses Updates einzugeben.

Dieses Problem betrifft nur eine begrenzte Anzahl von Systemen, auf die ALLE der folgenden Bedingungen zutreffen. Diese Bedingungen werden wahrscheinlich nicht auf persönlichen Geräten gefunden, die nicht von IT-Abteilungen verwaltet werden.

1. BitLocker ist auf dem Betriebssystemlaufwerk aktiviert.
2. Die Gruppenrichtlinie „TPM-Plattformüberprüfungsprofil für native UEFI-Firmwarekonfigurationen konfigurieren“ ist konfiguriert, und PCR7 ist im Validierungsprofil enthalten (oder der entsprechende Registrierungsschlüssel wurde manuell festgelegt).
3. Systeminformationen (msinfo32.exe) melden für die Bindung des sicheren PCR7-Startzustands „Nicht möglich“.
4. Das Windows UEFI CA 2023-Zertifikat ist in der Datenbank (DB) für die sichere Startsignatur des Geräts vorhanden, sodass das Gerät als Standard für den 2023 signierten Windows-Start-Manager berechtigt ist.
5. Auf dem Gerät wird noch nicht der 2023 signierte Windows-Start-Manager ausgeführt.

In diesem Szenario muss der BitLocker-Wiederherstellungsschlüssel nur einmal eingegeben werden. Nachfolgende Neustarts lösen keinen BitLocker-Wiederherstellungsbildschirm aus, solange die Gruppenrichtlinienkonfiguration unverändert bleibt. Hilfe bei der Suche nach Ihrem BitLocker-Wiederherstellungsschlüssel finden Sie im Artikel Suchen des BitLocker-Wiederherstellungsschlüssels.

Unternehmen wird empfohlen, ihre BitLocker-Gruppenrichtlinien auf explizite PCR7-Einbindung zu überprüfen und msinfo32.exe auf ihre PCR7-Bindungsstatus zu überprüfen, bevor Sie dieses Update installieren. (Siehe Option 1 unten.)

Problemumgehung

Dieses Problem wurde in KB5094125 behoben. Nach der Installation von KB5094125 werden Geräte mit dieser inkompatiblen Gruppenrichtlinienkonfiguration daran gehindert, den 2023 signierten Windows-Start-Manager zu installieren. Wenn Ihr Gerät betroffen war, wird die Ereignis-ID 1032 bei der Installation von Windows-Updates im Systemereignisprotokoll angezeigt: "Der Bootmanager für das Update für sicheres Starten (2023) wurde aufgrund einer bekannten Inkompatibilität mit der aktuellen BitLocker-Konfiguration nicht angewendet."

Wenn Sie die Ereignis-ID 1032 erhalten, empfiehlt Microsoft dringend, die Konfiguration der Gruppenrichtlinie vor der Installation von Updates zu entfernen, damit Sie den 2023 signierten Windows-Start-Manager installieren können und weiterhin den neuesten Schutz für den sicheren Start erhalten.

Entfernen der Gruppenrichtlinie-Konfiguration vor der Installation des Updates (empfohlen)

1. Öffnen Sie den Gruppenrichtlinieneditor (gpedit.msc) oder Ihre Gruppenrichtlinien-Verwaltungskonsole.
2. Navigieren Sie zu: Computerkonfiguration > , administrative Vorlagen, > Windows-Komponenten > , BitLocker-Laufwerkverschlüsselung > , Betriebssystemlaufwerke.
3. Legen Sie „TPM-Plattformvalidierungsprofil für native UEFI-Firmwarekonfigurationen konfigurieren“ auf „Nicht konfiguriert“ fest.
4. Führen Sie den folgenden Befehl auf betroffenen Geräten aus, um die Richtlinienänderung zu verteilen: gpupdate /force
5. Führen Sie den folgenden Befehl aus, um BitLocker anzuhalten (wenn BitLocker auf Laufwerk C: aktiviert ist): manage-bde -protectors -disable C:
6. Führen Sie den folgenden Befehl aus, um BitLocker fortzusetzen (wenn BitLocker auf Laufwerk C: aktiviert ist): manage-bde -protectors -enable C:
7. Dadurch werden die BitLocker-Bindungen aktualisiert, sodass das von Windows ausgewählte Standard-PCR-Profil verwendet wird.

Wenn Sie diese Gruppenrichtlinie-Konfiguration nicht entfernen möchten, können Sie den neuen Windows-Start-Manager installieren, indem Sie BitLocker vorübergehend anhalten und das Secure Boot-Update installieren. Gehen Sie wie folgt vor:

1. Führen Sie den folgenden Befehl aus, um BitLocker anzuhalten (wenn BitLocker auf Laufwerk C: aktiviert ist): manage-bde -protectors -disable C:
2. Führen Sie den folgenden Befehl aus: Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"
3. Starten Sie das Gerät neu.
4. Sobald der neue Windows-Start-Manager erfolgreich installiert wurde, aktivieren Sie BitLocker, indem Sie den folgenden Befehl ausführen: manage-bde -protectors -enable C:

Nach der Installation von KB5070881 oder späterer Updates zeigt Windows Server Update Services (WSUS) keine Details zu Synchronisierungsfehlern in der Fehlerberichterstattung an. Diese Funktion wurde vorübergehend entfernt, um die Sicherheitslücke für Remotecodeausführung CVE-2025-59287 zu beheben.

Symptome

Nach der Installation dieses Updates wird die Sicherheitswarnung , die beim Öffnen von RDP-Dateien (Remotedesktop) angezeigt wird, in einigen Fällen möglicherweise nicht ordnungsgemäß angezeigt.

Dieses Problem kann auftreten, wenn Sie mehr als einen Monitor mit unterschiedlichen Einstellungen für die Anzeigeskalierung verwenden (z. B. eine Anzeige ist auf 100 % und eine andere auf 125 % eingestellt). In diesem Fall zeigt das Warnungsfenster möglicherweise überlappenden Text oder teilweise ausgeblendete Schaltflächen an, was das Lesen oder die Interaktion mit der Nachricht erschweren kann.

Problemumgehung

Dieses Problem wurde in KB5087539 behoben.