12. Mai 2026 – KB5087420 (Betriebssystembuild 22631.7079)

Datum ändern	Beschreibung ändern
9. Juni 2026	Revision des bekannten Problems: Die Problemumgehung für "Geräte mit einer nicht empfohlenen BitLocker-Gruppenrichtlinie Konfiguration sind möglicherweise erforderlich, um ihren BitLocker-Wiederherstellungsschlüssel einzugeben"
20. Mai 2026	Der Link "Microsoft Update-Katalog" wurde korrigiert und verweist nicht auf das Update vom 14. April 2026, sondern auf das Update vom 12. Mai 2026.
13. Mai 2026	Releasehinweis zum sicheren Start hinzugefügt: Dieses Update fügt einen neuen ordner SecureBoot unter C:\Windowsauf berechtigten Geräten hinzu.

Symptom

Einige Geräte mit einer nicht empfohlenen BitLocker-Gruppenrichtlinienkonfiguration sind möglicherweise erforderlich, um ihren BitLocker-Wiederherstellungsschlüssel beim ersten Neustart nach der Installation dieses Updates einzugeben.

Dieses Problem betrifft nur eine begrenzte Anzahl von Systemen, bei denen ALLE der folgenden Bedingungen zutreffen. Diese Bedingungen werden wahrscheinlich nicht auf persönlichen Geräten gefunden, die nicht von IT-Abteilungen verwaltet werden.

1. BitLocker ist auf dem Betriebssystemlaufwerk aktiviert.

2. Die Gruppenrichtlinie „TPM-Plattformüberprüfungsprofil für native UEFI-Firmwarekonfigurationen konfigurieren“ ist konfiguriert, und PCR7 ist im Validierungsprofil enthalten (oder der entsprechende Registrierungsschlüssel wurde manuell festgelegt).

3. Systeminformationen (msinfo32.exe) melden für die Bindung des sicheren PCR7-Startzustands „Nicht möglich“.

4. Das Windows UEFI CA 2023-Zertifikat ist in der Datenbank (DB) für die sichere Startsignatur des Geräts vorhanden, sodass das Gerät als Standard für den 2023 signierten Windows-Start-Manager berechtigt ist.

5. Auf dem Gerät wird noch nicht der 2023 signierte Windows-Start-Manager ausgeführt.

In diesem Szenario muss der BitLocker-Wiederherstellungsschlüssel nur einmal eingegeben werden. Nachfolgende Neustarts lösen keinen BitLocker-Wiederherstellungsbildschirm aus, solange die Gruppenrichtlinienkonfiguration unverändert bleibt. Hilfe bei der Suche nach Ihrem BitLocker-Wiederherstellungsschlüssel finden Sie im Artikel Suchen Ihres BitLocker-Wiederherstellungsschlüssels.

Unternehmen wird empfohlen, ihre BitLocker-Gruppenrichtlinien auf explizite PCR7-Einbindung zu überprüfen und msinfo32.exe auf ihre PCR7-Bindungsstatus zu überprüfen, bevor Sie dieses Update installieren. (Siehe Problemumgehung unten.)

Problemumgehung 

Dieses Problem wird in KB5093998 behoben. Nach der Installation von KB5093998  werden Geräte mit dieser inkompatiblen Gruppenrichtlinienkonfiguration daran gehindert, den mit 2023 signierten Windows-Start-Manager zu installieren. Wenn Ihr Gerät betroffen war, wird die Ereignis-ID 1032 bei der Installation von Windows-Updates im Systemereignisprotokoll angezeigt: "Der Start-Manager für sicheres Startupdate (2023) wurde aufgrund einer bekannten Inkompatibilität mit der aktuellen BitLocker-Konfiguration nicht angewendet."

Wenn Sie die Ereignis-ID 1032 erhalten, empfiehlt Microsoft dringend, die Gruppenrichtlinie Konfiguration vor der Installation von Updates zu entfernen, damit Sie den 2023-signierten Windows-Start-Manager installieren und weiterhin die neuesten Schutzmechanismen für den sicheren Start erhalten können.

Entfernen der Gruppenrichtlinie-Konfiguration vor der Installation des Updates (empfohlen) 

1. Öffnen Sie den Gruppenrichtlinieneditor (gpedit.msc) oder Ihre Gruppenrichtlinien-Verwaltungskonsole.

2. Navigieren Sie zu: Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > BitLocker-Laufwerkverschlüsselung > Betriebssystemlaufwerke.

3. Legen Sie „TPM-Plattformvalidierungsprofil für native UEFI-Firmwarekonfigurationen konfigurieren“ auf „Nicht konfiguriert“ fest.

4. Führen Sie den folgenden Befehl auf betroffenen Geräten aus, um die Richtlinienänderung zu verteilen: gpupdate /force

5. Führen Sie den folgenden Befehl aus, um BitLocker anzusetzen (wenn BitLocker auf Laufwerk C: aktiviert ist): manage-bde -protectors -disable C:

6. Führen Sie den folgenden Befehl aus, um BitLocker fortzusetzen (wenn BitLocker auf Laufwerk C: aktiviert ist): manage-bde -protectors -enable C:

7. Dadurch werden die BitLocker-Bindungen aktualisiert, um das von Windows ausgewählte PCR-Standardprofil zu verwenden.

Wenn Sie diese Gruppenrichtlinie Konfiguration nicht entfernen möchten, können Sie den neuen Windows-Start-Manager installieren, indem Sie BitLocker vorübergehend anhalten und das Update für den sicheren Start installieren. Gehen Sie wie folgt vor:

1. Führen Sie den folgenden Befehl aus, um BitLocker anzusetzen (wenn BitLocker auf Laufwerk C: aktiviert ist): manage-bde -protectors -disable C:

2. Führen Sie den folgenden Befehl aus: Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

3. Starten Sie das Gerät neu.

4. Nachdem der neue Windows-Start-Manager erfolgreich installiert wurde, aktivieren Sie BitLocker, indem Sie den Befehl manage-bde -protectors -enable C ausführen: