14. Juli 2026 – KB5099540 (Betriebssystembuild 20348.5386)

Dieses kumulative Update für Windows Server 2022 (KB5099540) enthält die neuesten Sicherheitskorrekturen und Verbesserungen sowie nicht sicherheitsrelevante Updates aus der optionalen Vorschauversion des letzten Monats. Besuchen Sie das Windows-Versionsintegritäts-Dashboard, um den neuesten Status zu dieser Version zu erfahren.

Ankündigungen und Nachrichten

Dieser Abschnitt enthält wichtige Benachrichtigungen zu dieser Version, einschließlich Ankündigungen, Änderungsprotokollen und Hinweisen zum Ende des Supports. 

Ablauf des Windows Secure Boot-Zertifikats

Die von den meisten Windows-Geräten verwendeten Secure Boot-Zertifikate laufen ab Juni 2026 ab. Microsoft hat diese Zertifikate auf privaten und nicht verwalteten Geschäftsgeräten in den letzten Monaten aktualisiert. Geräte, die die neueren Zertifikate nicht erhalten haben, werden weiterhin normal gestartet und funktionieren, und Standardupdates für Windows werden weiterhin installiert. Aktualisierte Zertifikate werden in den kommenden Monaten weiterhin über Windows Update bereitgestellt. Weitere Informationen finden Sie unter Ablauf des Windows Secure Boot-Zertifikats und CA-Updates.

Ankündigung des Endes des Supports für Windows Server 2022

Windows Server 2022 erreicht am 13. Oktober 2026 das Ende des allgemeinen Supports.

Am 13. Oktober 2026 erreicht Windows Server 2022 das Ende des Mainstream-Supports. Das Sicherheitsupdate vom Oktober 2026 ist das letzte verfügbare Mainstream-Supportupdate für diese Version. Nach diesem Datum wird Windows Server 2022 auf erweiterten Support umgestellt, der Sicherheitsupdates ohne zusätzliche Kosten umfasst, und bis zum 14. Oktober 2031 weiterhin monatliche Sicherheitsupdates erhalten. Weitere Informationen finden Sie in der Fixed-Lifecycle-Richtlinie.

Änderungsprotokoll

Datum ändern	Beschreibung ändern
Dienstag, 13. August 2026	Ankündigung des Supportendes für Windows Server 2022 hinzugefügt.

Verbesserungen

Dieses Sicherheitsupdate enthält Korrekturen und Qualitätsverbesserungen aus KB5094128 (veröffentlicht am 9. Juni 2026). In der folgenden Zusammenfassung werden die wichtigsten Probleme beschrieben, die durch dieses Update behoben werden. Außerdem sind neue Funktionen verfügbar. Der fett formatierte Text in eckigen Klammern zeigt das Element oder den Bereich der Änderung an.

• [Sicherer Start] Dieses Update enthält zusätzliche Gerätezieldaten mit hoher Zuverlässigkeit, wodurch die Abdeckung der Geräte erhöht wird, die automatisch neue Zertifikate für den sicheren Start erhalten können. Die Zertifikatbereitstellung über Windows-Updates wird in den kommenden Monaten auf unterstützten PCs und nicht verwalteten Geschäftsgeräten fortgesetzt.
• [Apps (Bekanntes Problem)] Behoben: Dieses Update behebt ein Problem, das bestimmte Apps von Drittanbietern betrifft, die OLE-Automatisierung für die Interaktion mit Microsoft Office verwenden. Nach der Installation des Sicherheitsupdates vom Juni 2026 (KB5094128) können diese Apps Office möglicherweise nicht starten oder Dokumente öffnen.
• [Authentifizierung] Dieses Update verbessert die Überprüfung von Microsoft Defender for Identity (MDI) Unified Sensor für die NTLM-Authentifizierung (NT LAN Manager). Es erfasst mehr NTLM-basierte Authentifizierungsereignisse und hilft Ihnen dabei, identitätsbezogene Bedrohungen besser zu erkennen.
• [Distributed Key Manager (DKM)] Dieses Update führt die automatische Erkennung unsicherer DKM-Container-ACL-Konfigurationen in AD FS ein und bietet einen Opt-In-Korrekturmechanismus, der Administratoren dabei hilft, die DKM-Containerberechtigungen zu stärken. Weitere Informationen zum Verwalten dieser Änderung finden Sie unter CVE-2026-56155: AD FS Distributed Key Manager-Container-ACL-Härtung.
• [Explorer (bekanntes Problem)] Behoben: Ein Problem, bei dem die OneDrive-Verknüpfung im Explorer nicht mehr funktioniert, wenn der Explorer im Verwaltungsmodus ausgeführt wird. Dieses Problem kann nach der Installation des Sicherheitsupdates vom Juni 2026 (KB5094128) auftreten.
• [Eingabe] Dieses Update ändert das Verhalten beim Aufheben der Registrierung und Bereinigen von Hotkeys. In seltenen Fällen kann es vorkommen, dass einige integrierte Windows-Benutzeroberflächen, die auf dem vorherigen Hotkey-Lebenszyklusverhalten basieren, vorübergehend nicht mehr auf bestimmte Tastenkombinationen reagieren. Dieses Problem kann in der Regel durch einen Neustart der betroffenen App behoben werden. Wenn das Problem nicht behoben ist, melden Sie es über den Feedback-Hub.
• [Netzwerk]
  • Dieses Update verbessert die Zuverlässigkeit in Windows-Failovercluster-Umgebungen, die virtuelle Cluster-IP-Adressen verwenden. Dadurch wird sichergestellt, dass die SkipAsSource-Einstellung für Cluster-IPs korrekt konfiguriert ist, wodurch die Genauigkeit des DNS-Eintrags und die Netzwerkkommunikationskonnektivität verbessert werden.
  • Mit diesem Update wird eine Änderung zur Sicherheitshärtung eingeführt, die die Registrierungsanforderungen für TDI-Transporte erzwingt. Anwendungen, die Sockets über nicht registrierte TDI-Transporte von Drittanbietern verwenden, funktionieren daher nach der Installation dieses Updates möglicherweise nicht mehr. Registrierte TDI-Transporte sind nicht betroffen. Weitere Informationen finden Sie unter TDI-Transporte von Drittanbietern funktionieren möglicherweise nicht mehr, nachdem Windows-Sicherheitsupdates installiert wurden, die am oder nach dem 14. Juli 2026 veröffentlicht wurden.
• [Papierkorb (bekanntes Problem)] Behoben: Dieses Update behebt ein Problem, bei dem im Bestätigungsdialogfeld beim endgültigen Löschen einer Datei möglicherweise anstelle des ursprünglichen Dateinamens ein interner Papierkorbdateiname angezeigt wird. Dieses Problem kann nach der Installation des Sicherheitsupdates vom Juni 2026 (KB5094128) auftreten.
• [Remotedesktopsicherheit (RDP)) Unterstützung für SHA-2-Zertifikats-Thumbprints wurde für vertrauenswürdige RDP-Herausgeber hinzugefügt, wobei die SHA-1-Unterstützung nur aus Gründen der Abwärtskompatibilität beibehalten wird und in Zukunft entfernt werden soll. Für die Verwaltung der RDP-Dateisicherheit über Gruppenrichtlinien stehen neue Anleitungen zur Verfügung, die Organisationen dabei helfen, Phishingrisiken zu reduzieren, indem sie steuern, welche RDP-Dateien von Benutzern geöffnet werden können. Es wird empfohlen, IT-Administratoren so schnell wie möglich zu SHA-256-Fingerabdrücken oder einem stärkeren Algorithmus zu migrieren, um Unterbrechungen zu vermeiden.

Wenn Sie bereits vorherige Updates installiert haben, lädt Ihr Gerät nur die neuen Updates aus diesem Paket herunter und installiert sie.

Weitere Informationen zu Sicherheitsrisiken finden Sie im Leitfaden für Sicherheitsupdates und im Security Updates vom Juli 2026.

Windows Server 2022 Servicing Stack Update (KB5120210) – 20348.5384

Dieses Update enthält qualitative Verbesserungen am Wartungsstapel, bei dem es sich um die Komponente handelt, die Windows-Updates installiert. SSU (Servicing Stack Updates) stellen sicher, dass Sie über einen robusten und zuverlässigen Wartungsstapel verfügen, damit Ihre Geräte Microsoft-Updates erhalten und installieren können. Weitere Informationen zu SSUs finden Sie unter Vereinfachung der lokalen Bereitstellung von Servicing Stack-Updates.

Bekannte Probleme bei diesem Update

Geräte mit einer nicht empfohlenen Konfiguration für BitLocker-Gruppenrichtlinien müssen möglicherweise ihren BitLocker-Wiederherstellungsschlüssel eingeben

Problembeschreibung

Einige Geräte mit einer nicht empfohlenen BitLocker-Gruppenrichtlinienkonfiguration sind möglicherweise erforderlich, um ihren BitLocker-Wiederherstellungsschlüssel beim ersten Neustart nach der Installation dieses Updates einzugeben.

Dieses Problem betrifft nur eine begrenzte Anzahl von Systemen, auf die ALLE der folgenden Bedingungen zutreffen. Diese Bedingungen werden wahrscheinlich nicht auf persönlichen Geräten gefunden, die nicht von IT-Abteilungen verwaltet werden.

1. BitLocker ist auf dem Betriebssystemlaufwerk aktiviert.
2. Die Gruppenrichtlinie „TPM-Plattformüberprüfungsprofil für native UEFI-Firmwarekonfigurationen konfigurieren“ ist konfiguriert, und PCR7 ist im Validierungsprofil enthalten (oder der entsprechende Registrierungsschlüssel wurde manuell festgelegt).
3. Systeminformationen (msinfo32.exe) melden für die Bindung des sicheren PCR7-Startzustands „Nicht möglich“.
4. Das Windows UEFI CA 2023-Zertifikat ist in der Datenbank (DB) für die sichere Startsignatur des Geräts vorhanden, sodass das Gerät als Standard für den 2023 signierten Windows-Start-Manager berechtigt ist.
5. Auf dem Gerät wird noch nicht der 2023 signierte Windows-Start-Manager ausgeführt.

In diesem Szenario muss der BitLocker-Wiederherstellungsschlüssel nur einmal eingegeben werden. Nachfolgende Neustarts lösen keinen BitLocker-Wiederherstellungsbildschirm aus, solange die Gruppenrichtlinienkonfiguration unverändert bleibt. Hilfe bei der Suche nach Ihrem BitLocker-Wiederherstellungsschlüssel finden Sie im Artikel „Suchen Ihres BitLocker-Wiederherstellungsschlüssels“.

Unternehmen wird empfohlen, ihre BitLocker-Gruppenrichtlinien auf explizite PCR7-Einbindung zu überprüfen und msinfo32.exe auf ihre PCR7-Bindungsstatus zu überprüfen, bevor Sie dieses Update installieren. (Siehe die Problemumgehung unten.)

Problemumgehung 

Entfernen der Gruppenrichtlinie-Konfiguration vor der Installation des Updates (empfohlen)

1. Öffnen Sie den Gruppenrichtlinieneditor (gpedit.msc) oder Ihre Gruppenrichtlinien-Verwaltungskonsole.
2. Navigieren Sie zu: Computerkonfiguration > , administrative Vorlagen, > Windows-Komponenten > , BitLocker-Laufwerkverschlüsselung > , Betriebssystemlaufwerke.
3. Legen Sie „TPM-Plattformvalidierungsprofil für native UEFI-Firmwarekonfigurationen konfigurieren“ auf „Nicht konfiguriert“ fest.
4. Führen Sie den folgenden Befehl auf betroffenen Geräten aus, um die Richtlinienänderung zu verteilen: gpupdate /force
5. Führen Sie den folgenden Befehl aus, um BitLocker anzuhalten (wenn BitLocker auf Laufwerk C: aktiviert ist): manage-bde -protectors -disable C:
6. Führen Sie den folgenden Befehl aus, um BitLocker fortzusetzen (wenn BitLocker auf Laufwerk C: aktiviert ist): manage-bde -protectors -enable C:
7. Dadurch werden die BitLocker-Bindungen aktualisiert, sodass das von Windows ausgewählte Standard-PCR-Profil verwendet wird.

Eine dauerhafte Lösung dieses Problems ist für ein zukünftiges Windows-Update geplant. Weitere Informationen werden bereitgestellt, sobald sie verfügbar sind.

Windows Server Update Services (WSUS) zeigt keine Fehlerdetails an

Nach der Installation von KB5070884 oder späterer Updates zeigt Windows Server Update Services (WSUS) keine Details zu Synchronisierungsfehlern in der Fehlerberichterstattung an. Diese Funktion wurde vorübergehend entfernt, um die Sicherheitslücke für Remotecodeausführung CVE-2025-59287 zu beheben.

So erhalten Sie dieses Update

Vor der Installation dieses Updates

Microsoft kombiniert jetzt das neueste SSU (Servicing Stack Update) für Ihr Betriebssystem mit dem neuesten kumulativen Update (LCU). Allgemeine Informationen zu SSUs finden Sie unter Servicing Stack Updates.

Voraussetzung für die Offline-Verwaltung von Betriebssystemimages:

Stellen Sie sicher, dass Ihr Bild KB5030216 (12.09.2023) oder ein späteres LCU enthält. Wenn nicht, installieren Sie es auf Ihren Offlinemedien, bevor Sie das neueste Update installieren. Dieses LCU aktualisiert die SSU-Version auf 20348.1960. Dies ist die SSU-Mindestversion, die Sie benötigen, um Fehler 0x800f0823 (CBS_E_NEW_SERVICING_STACK_REQUIRED) zu verhindern.

Bereitstellung

Wenn Sie dynamische Updates wie dieses Update für ein vorhandenes Windows-Image bereitstellen, stellen Sie sicher, dass die Datei boot.stl Teil des Installationsmediums ist. Wenn die Datei nicht eingeschlossen wird, können Geräte möglicherweise nicht erfolgreich vom Installationsmedium gestartet werden, und dies kann zu einem Fehlercode 0xc0430001führen.

Führen Sie einen der folgenden Schritte aus, um sicherzustellen, dass die Datei boot.stl Teil des Installationsmediums ist:

• Verwenden Sie das Skript "WinPE aktualisieren ", um ein vorhandenes Windows-Image zu aktualisieren. (Empfohlen)
• Kopieren Sie die Datei boot.stl manuell aus dem Geräteordner Windows\Boot\EFI in den entsprechenden Ordner auf dem Installationsmedium, bevor Sie das Update bereitstellen.

Informationen zum Anwenden dynamischer Updatepakete auf vorhandene Windows-Images finden Sie unter Aktualisieren von Windows-Installationsmedien mit dynamischem Update.

Installieren dieses Updates

Verwenden Sie zum Installieren dieses Updates einen der folgenden Releasekanäle von Windows und Microsoft.

---

Dateiinformationen

Eine Liste der in diesem Update bereitgestellten Dateien finden Sie in den Dateiinformationen für das kumulative Update 5099540. 

Eine Liste der Dateien, die im Servicing Stack Update bereitgestellt werden, finden Sie in den Dateiinformationen für das SSU (KB5120210) – Version 20348.5384.