Unerwartete UAC-Eingabeaufforderungen beim Ausführen von MSI-Reparaturvorgängen nach der Installation des Windows-Sicherheitsupdates vom August 2025

Änderungsprotokoll

Datum ändern	Beschreibung
3/26/2026	Aktualisierte Lösungsschritte mit dem Registrierungsschlüssel "SecureRepairAllowlist".
11/24/2025	Es wurden Informationen zu Windows-Updates hinzugefügt, die am und nach dem 28. Oktober 2025 veröffentlicht wurden und dieses Problem für einige Anwendungen, z. B. Autodesk AutoCAD, beheben.

Symptome

Ab dem Windows-Sicherheitsupdate vom September 2024 verlangt Windows Installer (MSI) beim Reparieren einer Anwendung eine Aufforderung zur Eingabe Ihrer Anmeldeinformationen durch die Benutzerkontensteuerung (User Account Control, UAC). Diese Anforderung wurde im Windows-Sicherheitsupdate vom August 2025 weiter verschärft, um die Sicherheitslücke CVE-2025-50173 zu beheben.

Aufgrund der Sicherheitshärtung im Update vom August 2025 können bei Benutzern ohne Administratorrechte Probleme beim Ausführen einiger Apps auftreten:

• Apps, die eine MSI-Reparatur im Hintergrund (ohne Anzeige der Benutzeroberfläche) initiieren, schlagen mit einer Fehlermeldung fehl. Beispielsweise ist beim Installieren und Ausführen von Office Professional Plus 2010 als Nicht-Administrator während des Konfigurationsprozesses der Fehler 1730 aufgetreten.

• Benutzer, die keine Administratoren sind, können unerwartete Eingabeaufforderungen zur Benutzerkontensteuerung (User Account Control, UAC) erhalten, wenn MSI-Installationsprogramme bestimmte benutzerdefinierte Aktionen ausführen. Dazu können Konfigurations- oder Reparaturvorgänge im Vordergrund oder Hintergrund gehören, auch während der Erstinstallation einer Anwendung. Zu diesen Aktionen gehören:

  • Ausführen von MSI-Reparaturbefehlen (z. B. msiexec /fu).
  • Installieren einer MSI-Datei, nachdem sich ein Benutzer zum ersten Mal bei einer App angemeldet hat.
  • Ausführen von Windows Installer während des Active Setups.
  • Bereitstellen von Paketen über Microsoft Configuration Manager (ConfigMgr), die auf benutzerspezifischen "Advertising"-Konfigurationen basieren.
  • Aktivieren des sicheren Desktops.

Lösung

Um diese Probleme zu beheben, reduziert das Windows-Sicherheitsupdate vom September 2025 (und spätere Updates) den Umfang, UAC-Eingabeaufforderungen für MSI-Reparaturen zu verlangen, und ermöglicht es IT-Administratoren, UAC-Eingabeaufforderungen für bestimmte Apps zu deaktivieren, indem sie sie zu einer Zulassungsliste hinzufügen.

Nach der Installation des Updates vom September 2025 sind UAC-Eingabeaufforderungen während MSI-Reparaturvorgängen nur dann erforderlich, wenn die Ziel-MSI-Datei eine benutzerdefinierte Aktion mit erhöhten Rechten enthält. Diese Anforderung wird nach der Installation von Windows-Updates, die am und nach dem 28. Oktober 2025 veröffentlicht wurden, weiter verfeinert, sodass UAC-Eingabeaufforderungen nur erforderlich sind, wenn die benutzerdefinierten Aktionen mit erhöhten Rechten während des Reparaturflusses ausgeführt werden. Daher wird durch die Installation der neuesten Windows-Updates dieses Problem für Apps behoben, die solche benutzerdefinierten Aktionen mit erhöhten Rechten nicht ausführen.

Da UAC-Eingabeaufforderungen weiterhin für Apps erforderlich sind, die während eines MSI-Reparaturablaufs benutzerdefinierte Aktionen mit erhöhten Rechten ausführen, haben IT-Administratoren nach der Installation des Updates vom September 2025 Zugriff auf eine Problemumgehung, mit der UAC-Eingabeaufforderungen für bestimmte Apps deaktiviert werden können, indem MSI-Dateien zu einer Zulassungsliste hinzugefügt werden.

So fügen Sie Apps zu einer Zulassungsliste hinzu, um UAC-Eingabeaufforderungen zu deaktivieren

Bevor Sie beginnen, müssen Sie den Produktcode der MSI-Datei abrufen, die Sie der Zulassungsliste hinzufügen möchten. Dazu können Sie das im Windows SDK verfügbare ORCA-Tool verwenden:

1. Herunterladen und Installieren von Windows SDK-Komponenten für Windows Installer-Entwickler.
2. Navigieren Sie zu C:\Program Files (x86)\Windows Kits\10\bin\10.0.26100.0\x86, und führen Sie Orca-x86_en-us.msiaus. Dadurch wird das ORCA-Tool (Orca.exe) installiert.
3. Ausführen Orca.exe.
4. Verwenden > Sie im ORCA-Tool File Open, um zu der MSI-Datei zu navigieren, die Sie zur Positivliste hinzufügen möchten.
5. Klicken Sie nach dem Öffnen der MSI-Tabellen in der Liste links auf "Eigenschaft ", und notieren Sie sich den ProductCode-Wert .
   
6. Kopieren Sie den Produktcode. Sie werden sie später benötigen.

Sobald Sie den Produktcode kennen, führen Sie die folgenden Schritte aus, um UAC-Eingabeaufforderungen für dieses Produkt zu deaktivieren:

1. Geben Sie im Suchfeld den Begriff regedit"Registrierungs-Editor" ein, und wählen Sie ihn in den Suchergebnissen aus.

2. Suchen Sie den folgenden Unterschlüssel in der Registrierung, und wählen Sie ihn aus:
   HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer

3. Zeigen Sie im Menü Bearbeiten auf Neu, und wählen Sie dann DWORD-Wert aus.

4. Geben Sie SecureRepairPolicy den Namen des DWORD ein, und drücken Sie dann die EINGABETASTE.

5. Klicken Sie mit der rechten Maustaste auf "SecureRepairPolicy", und wählen Sie "Ändern" aus.

6. Geben Sie in das Feld "Wertdaten " den Wert "2" ein, und wählen Sie "OK" aus.
   

7. Suchen Sie den folgenden Unterschlüssel in der Registrierung, und wählen Sie ihn aus:
   HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer

8. Zeigen Sie im Menü Bearbeiten auf Neu, und klicken Sie anschließend auf Schlüssel.

9. Geben Sie einen der folgenden Werte für den Namen des Schlüssels ein, und drücken Sie dann die EINGABETASTE:

   1. Für Windows 11, Version 25H2, oder Windows 11, Version 24H2: Wenn Sie Windows-Updates installiert haben, die am oder nach dem 26. März 2026 (Betriebssystembuilds 26200.8116 und 26100.8116 oder höher) veröffentlicht wurden, geben Sie Folgendes einSecureRepairAllowlist.
   2. Für alle anderen Versionen von Windows: Typ SecureRepairWhitelist.

   Warnung

   Wenn Sie Windows 11, Version 24H2 oder 25H2 (Betriebssystembuilds 26200.8116 und 26100.8116 oder höher) verwenden und HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer\SecureRepairWhitelist bereits vorhanden ist, verwenden Sie die Registrierungsschlüssel "SecureRepairAllowlist" und "SecureRepairWhitelist"nicht gleichzeitig. Wenn der Registrierungsschlüssel SecureRepairWhitelistbereits vorhanden ist, empfehlen wir Ihnen, die folgenden Schritte auszuführen:

   • Erstellen Sie wie oben beschrieben den Registrierungsschlüssel "SecureRepairAllowlist".
   • Kopieren Sie alle Zeichenfolgenwerte , die in der SecureRepairWhitelistenthalten sind, und fügen Sie sie dem Registrierungsschlüssel SecureRepairAllowlistwie unten beschrieben hinzu.
   • Löschen Sie dann den Registrierungsschlüssel SecureRepairWhitelist.

10. Doppelklicken Sie auf den Schlüssel SecureRepairAllowlist (oder SecureRepairWhitelist), um ihn zu öffnen.

11. Zeigen Sie im Menü "Bearbeiten " auf "Neu", und klicken Sie anschließend auf "Zeichenfolgenwert". Erstellen Sie Zeichenfolgenwerte, die den ProductCode enthalten, den Sie zuvor notiert haben (einschließlich geschweifter {}Klammern) der MSI-Dateien, die Sie der Zulassungsliste hinzufügen möchten. Der NAME des Zeichenfolgenwerts ist der Produktcode, und der WERT kann leer gelassen werden.