14. April 2026 – KB5082063 (Betriebssystembuild 26100.32690)

Ablauf des Windows Secure Boot-Zertifikats

Iportant: Secure Boot-Zertifikate, die von den meisten Windows-Geräten verwendet werden, laufen ab Juni 2026 ab. Dies kann sich auf die Fähigkeit bestimmter persönlicher und geschäftlicher Geräte auswirken, sicher zu starten, wenn sie nicht rechtzeitig aktualisiert werden. Um Unterbrechungen zu vermeiden, empfiehlt es sich, den Leitfaden zu lesen und Maßnahmen zu ergreifen, um Zertifikate im Voraus zu aktualisieren. Ausführliche Informationen und Vorbereitungsschritte finden Sie unter Ablauf des Windows Secure Boot-Zertifikats und Updates der Zertifizierungsstelle und im Blog Windows Server Secure Playbook.

Datum ändern	Beschreibung ändern
14. April 2026	Bekanntes Problem hinzugefügt: "Geräte mit einer nicht empfohlenen BitLocker-Gruppenrichtlinie-Konfiguration sind möglicherweise erforderlich, um ihren BitLocker-Wiederherstellungsschlüssel einzugeben"

Symptom

Einige Geräte mit einer nicht empfohlenen BitLocker-Gruppenrichtlinie-Konfiguration sind möglicherweise erforderlich, um ihren BitLocker-Wiederherstellungsschlüssel beim ersten Neustart nach der Installation dieses Updates einzugeben.

Dieses Problem betrifft nur eine begrenzte Anzahl von Systemen, bei denen ALLE der folgenden Bedingungen zutreffen. Diese Bedingungen werden wahrscheinlich nicht auf persönlichen Geräten gefunden, die nicht von IT-Abteilungen verwaltet werden.

1. BitLocker ist auf dem Betriebssystemlaufwerk aktiviert.

2. Die Gruppenrichtlinie "Tpm-Plattformüberprüfungsprofil für native UEFI-Firmwarekonfigurationen konfigurieren" ist konfiguriert, und PCR7 ist im Validierungsprofil enthalten (oder der entsprechende Registrierungsschlüssel wird manuell festgelegt).

3. Systeminformationen (msinfo32.exe) melden secure boot state PCR7 Binding als "Not Possible" (Nicht möglich).

4. Das Windows UEFI CA 2023-Zertifikat ist in der Datenbank für die Sichere Startsignatur des Geräts vorhanden, sodass das Gerät für den 2023 signierten Windows-Start-Manager zur Standardeinstellung berechtigt ist.

5. Auf dem Gerät wird noch nicht der 2023-signierte Windows-Start-Manager ausgeführt.

In diesem Szenario muss der BitLocker-Wiederherstellungsschlüssel nur einmal eingegeben werden. Nachfolgende Neustarts lösen keinen BitLocker-Wiederherstellungsbildschirm aus, solange die Gruppenrichtlinienkonfiguration unverändert bleibt. Hilfe bei der Suche nach Ihrem BitLocker-Wiederherstellungsschlüssel finden Sie im Artikel Suchen Ihres BitLocker-Wiederherstellungsschlüssels.

Unternehmen wird empfohlen, ihre BitLocker-Gruppenrichtlinien auf explizite PCR7-Einbindung zu überprüfen und msinfo32.exe auf ihre PCR7-Bindungs-status zu überprüfen, bevor Sie dieses Update installieren. (Siehe Option 1 unten.)

Problemumgehung 

Option 1: Entfernen der Gruppenrichtlinie-Konfiguration vor der Installation des Updates (empfohlen) 

1. Öffnen Sie Gruppenrichtlinie Editor (gpedit.msc) oder Ihre Gruppenrichtlinie Management Console.

2. Navigieren Sie zu: Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > BitLocker-Laufwerkverschlüsselung > Betriebssystemlaufwerke.

3. Legen Sie "TPM-Plattformüberprüfungsprofil für native UEFI-Firmwarekonfigurationen konfigurieren" auf "Nicht konfiguriert" fest.

4. Führen Sie den folgenden Befehl auf betroffenen Geräten aus, um die Richtlinienänderung weiterzuverbreiten: gpupdate /force

5. Führen Sie den folgenden Befehl aus, um BitLocker anzusetzen (wobei BitLocker auf Laufwerk C: aktiviert ist): manage-bde -protectors -disable C:

6. Führen Sie den folgenden Befehl aus, um BitLocker fortzusetzen (wobei BitLocker auf Laufwerk C: aktiviert ist): manage-bde -protectors -enable C:

7. Dadurch werden die BitLocker-Bindungen aktualisiert, um das von Windows ausgewählte PCR-Standardprofil zu verwenden.

Option 2: Anwenden des Rollbacks für bekannte Probleme (Known Issue Rollback, KIR) vor der Installation des Updates

Ein Rollback für bekannte Probleme (KIR) ist für Kunden verfügbar, die die PCR7-Gruppenrichtlinie vor der Bereitstellung dieses Updates nicht entfernen können. Der KIR verhindert den automatischen Wechsel zum Start-Manager 2023 und vermeidet den BitLocker-Wiederherstellungstrigger. Die KIR sollte vor der Installation des Updates auf betroffenen Geräten bereitgestellt werden. Wenden Sie sich an den Microsoft-Support für Unternehmen , um diese KIR zu erhalten.

Nächste Schritte

Eine dauerhafte Lösung für dieses Problem ist in einem zukünftigen Windows-Update geplant. Weitere Informationen werden bereitgestellt, sobald sie verfügbar sind.

Nach der Installation von KB5070881 oder späterer Updates zeigt Windows Server Update Services (WSUS) keine Details zu Synchronisierungsfehlern in der Fehlerberichterstattung an. Diese Funktion wurde vorübergehend entfernt, um die Sicherheitslücke für Remote-Code-Ausführung zu beheben, CVE-2025-59287.