19. April 2026 – KB5091157 (Betriebssystembuild 26100.32698) Out-of-Band

Symptom

Einige Geräte mit einer nicht empfohlenen BitLocker-Gruppenrichtlinienkonfiguration sind möglicherweise erforderlich, um ihren BitLocker-Wiederherstellungsschlüssel beim ersten Neustart nach der Installation dieses Updates einzugeben.

Dieses Problem betrifft nur eine begrenzte Anzahl von Systemen, bei denen ALLE der folgenden Bedingungen zutreffen. Diese Bedingungen werden wahrscheinlich nicht auf persönlichen Geräten gefunden, die nicht von IT-Abteilungen verwaltet werden.

1. BitLocker ist auf dem Betriebssystemlaufwerk aktiviert.

2. Die Gruppenrichtlinie „TPM-Plattformüberprüfungsprofil für native UEFI-Firmwarekonfigurationen konfigurieren“ ist konfiguriert, und PCR7 ist im Validierungsprofil enthalten (oder der entsprechende Registrierungsschlüssel wurde manuell festgelegt).

3. Systeminformationen (msinfo32.exe) melden für die Bindung des sicheren PCR7-Startzustands „Nicht möglich“.

4. Das Windows UEFI CA 2023-Zertifikat ist in der Datenbank (DB) für die sichere Startsignatur des Geräts vorhanden, sodass das Gerät als Standard für den 2023 signierten Windows-Start-Manager berechtigt ist.

5. Auf dem Gerät wird noch nicht der 2023 signierte Windows-Start-Manager ausgeführt.

In diesem Szenario muss der BitLocker-Wiederherstellungsschlüssel nur einmal eingegeben werden. Nachfolgende Neustarts lösen keinen BitLocker-Wiederherstellungsbildschirm aus, solange die Gruppenrichtlinienkonfiguration unverändert bleibt. Hilfe bei der Suche nach Ihrem BitLocker-Wiederherstellungsschlüssel finden Sie im Artikel Suchen Ihres BitLocker-Wiederherstellungsschlüssels.

Unternehmen wird empfohlen, ihre BitLocker-Gruppenrichtlinien auf explizite PCR7-Einbindung zu überprüfen und msinfo32.exe auf ihre PCR7-Bindungsstatus zu überprüfen, bevor Sie dieses Update installieren. (Siehe Option 1 unten.)

Problemumgehung 

Dieses Problem wird in KB5094125 behoben. Nach der Installation von KB5094125  werden Geräte mit dieser inkompatiblen Gruppenrichtlinienkonfiguration daran gehindert, den mit 2023 signierten Windows-Start-Manager zu installieren. Wenn Ihr Gerät betroffen war, wird die Ereignis-ID 1032 bei der Installation von Windows-Updates im Systemereignisprotokoll angezeigt: "Der Start-Manager für sicheres Startupdate (2023) wurde aufgrund einer bekannten Inkompatibilität mit der aktuellen BitLocker-Konfiguration nicht angewendet."

Wenn Sie die Ereignis-ID 1032 erhalten, empfiehlt Microsoft dringend, die Gruppenrichtlinie Konfiguration vor der Installation von Updates zu entfernen, damit Sie den 2023-signierten Windows-Start-Manager installieren und weiterhin die neuesten Schutzmechanismen für den sicheren Start erhalten können.

Entfernen der Gruppenrichtlinie-Konfiguration vor der Installation des Updates (empfohlen) 

1. Öffnen Sie den Gruppenrichtlinieneditor (gpedit.msc) oder Ihre Gruppenrichtlinien-Verwaltungskonsole.

2. Navigieren Sie zu: Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > BitLocker-Laufwerkverschlüsselung > Betriebssystemlaufwerke.

3. Legen Sie „TPM-Plattformvalidierungsprofil für native UEFI-Firmwarekonfigurationen konfigurieren“ auf „Nicht konfiguriert“ fest.

4. Führen Sie den folgenden Befehl auf betroffenen Geräten aus, um die Richtlinienänderung zu verteilen: gpupdate /force

5. Führen Sie den folgenden Befehl aus, um BitLocker anzusetzen (wenn BitLocker auf Laufwerk C: aktiviert ist): manage-bde -protectors -disable C:

6. Führen Sie den folgenden Befehl aus, um BitLocker fortzusetzen (wenn BitLocker auf Laufwerk C: aktiviert ist): manage-bde -protectors -enable C:

7. Dadurch werden die BitLocker-Bindungen aktualisiert, um das von Windows ausgewählte PCR-Standardprofil zu verwenden.

Wenn Sie diese Gruppenrichtlinie Konfiguration nicht entfernen möchten, können Sie den neuen Windows-Start-Manager installieren, indem Sie BitLocker vorübergehend anhalten und das Update für den sicheren Start installieren. Gehen Sie wie folgt vor:

1. Führen Sie den folgenden Befehl aus, um BitLocker anzusetzen (wenn BitLocker auf Laufwerk C: aktiviert ist): manage-bde -protectors -disable C:

2. Führen Sie den folgenden Befehl aus: Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

3. Starten Sie das Gerät neu.

4. Nachdem der neue Windows-Start-Manager erfolgreich installiert wurde, aktivieren Sie BitLocker, indem Sie den Befehl manage-bde -protectors -enable C ausführen:

Nach der Installation von KB5070881 oder späterer Updates zeigt Windows Server Update Services (WSUS) keine Details zu Synchronisierungsfehlern in der Fehlerberichterstattung an. Diese Funktion wurde vorübergehend entfernt, um die Sicherheitslücke für Remote-Code-Ausführung zu beheben, CVE-2025-59287. 

Symptome

Nach der Installation dieses Updates wird die Sicherheitswarnung, die beim Öffnen von Remotedesktopdateien (RDP) angezeigt wird, in einigen Fällen möglicherweise nicht ordnungsgemäß angezeigt.

Dieses Problem kann auftreten, wenn Sie mehr als einen Monitor mit unterschiedlichen Anzeigeskalierungseinstellungen verwenden (z. B. eine Anzeige, die auf 100 % und eine andere auf 125 % festgelegt ist). In diesem Fall zeigt das Warnfenster möglicherweise überlappenden Text oder teilweise ausgeblendete Schaltflächen an, was das Lesen oder Interagieren der Nachricht erschweren kann.

Problemumgehung

Dieses Problem wird inKB5087539 behoben.