Sollten Sie Windows-Updates sofort installieren?

Am 9. September 2026 veröffentlichte Microsoft das reguläre monatliche Sicherheitsupdate für Windows 11. Zwei Tage später füllten sich IT-Foren mit derselben Meldung: Mitarbeiter gaben ein korrektes Passwort ein und erhielten die Auskunft, ihr Laptop vertraue der Firmendomäne nicht mehr. Ursache war KB5124008, ein Update, das eigentlich Sicherheitslücken schließen sollte. Die Folge war in manchen Büros, dass sich kein Gerät mehr anmelden ließ, bis ein Administrator jede Maschine einzeln von Hand reparierte.

Solche Ausfälle sind nicht selten, und es geht dabei nicht wirklich um dieses eine Update. Es geht darum, was passiert, wenn ein Unternehmen jedes Update installiert, sobald Microsoft es liefert, auf jedem Gerät gleichzeitig. Dieser Artikel erklärt, was tatsächlich kaputtging, warum die Gewohnheit "alles sofort installieren" das eigentliche Problem ist, und mit welchem einfachen Verfahren der September-Ausfall auf eine Handvoll Geräte begrenzt geblieben wäre statt auf das ganze Büro.

Kurz beantwortet

Was hat das Windows-Update im September 2026 kaputt gemacht? KB5124008 (Windows 11 24H2 und 25H2) sowie KB5124012 (26H1) konnten die Vertrauensbeziehung zwischen einem domänenverbundenen PC und einem lokalen Active-Directory-Server zerstören, dazu kamen Ausfälle bei Always-On-VPN. Ein zugehöriges Windows-Server-Update legte bei manchen Firmen zusätzlich Remotedesktopdienste lahm.

Ist es sicher, dieses Update jetzt zu installieren? Microsoft hat einen Workaround veröffentlicht und kündigt eine dauerhafte Lösung in einem künftigen Update an. Wenn Ihr Unternehmen noch lokales Active Directory nutzt, testen Sie das Update zunächst an einer kleinen Gruppe, statt es sofort auf jedem Gerät auszurollen.

Was ist ein Pilotring, und brauchen wir einen? Ein Pilotring ist eine kleine Gruppe von Geräten, typischerweise fünf bis zehn, die jedes Update einige Tage vor allen anderen erhält. Läuft nichts schief, folgt der Rest des Büros wenige Tage später. Das kostet nichts außer der Disziplin, kurz zu warten.

Vermeidet der Umstieg auf Entra ID dieses Problem? Nicht jede Fehlerart, aber genau diese schon. Der Ausfall betraf die Vertrauensbeziehung zu einem lokalen Domänencontroller, den ein vollständig cloudverbundenes Gerät gar nicht besitzt.

Was ist beim Windows-Update im September 2026 wirklich kaputtgegangen?

KB5124008 hängt mit einem Windows-Sicherheitsmechanismus namens Machine Identity Isolation zusammen, den das Update in den Durchsetzungsmodus versetzte. Auf Geräten, die noch mit einem lokalen Active-Directory-Domänencontroller verbunden waren, konnte diese Durchsetzung die sichere Vertrauensbeziehung zwischen PC und Domänencontroller kappen, also genau den digitalen Handschlag, der Windows bestätigt, dass eine Anmeldung echt ist. Bricht diese Vertrauensbeziehung, zeigt das Gerät die bekannte Meldung, dass die Vertrauensstellung zur primären Domäne fehlgeschlagen sei, und niemand kann sich mehr mit einem Domänenkonto anmelden, bis IT das Gerät manuell erneut der Domäne hinzufügt.

Im selben Update-Zyklus traten weitere, unabhängige Probleme auf: Always-On-VPN-Verbindungen ließen sich nicht mehr aufbauen, und auf Windows Server legte ein verwandtes Update bei manchen Organisationen die Remotedesktopdienste lahm, wie BleepingComputer berichtete. Microsofts eigene Hinweise, dokumentiert von Windows Report, beschreiben einen vorläufigen Workaround, während eine richtige Lösung vorbereitet wird. Das Ganze war kein gezielter Angriff und kein Randfall. Es war ein reguläres, von Microsoft getestetes Update, das trotzdem innerhalb von 48 Stunden nach Veröffentlichung reale Unternehmen aussperrte.

Betroffen waren dabei nicht nur kleine Firmen ohne eigene IT. Auch Unternehmen mit einem internen Administrator meldeten dieselben Symptome, weil die Fehlerursache tief im Authentifizierungsmechanismus von Windows selbst lag und sich nicht durch übliche Vorsichtsmaßnahmen wie ein aktuelles Backup oder eine funktionierende Firewall verhindern ließ. Das unterscheidet diesen Fall von den meisten Sicherheitsvorfällen, über die sonst berichtet wird: Hier war die Schutzmaßnahme selbst, das monatliche Sicherheitsupdate, die Ursache des Ausfalls.

Warum "alles sofort überall installieren" der falsche Standard ist

Die meisten kleinen Unternehmen lassen Windows Update auf der Standardeinstellung laufen, was bedeutet, dass jedes Gerät ungefähr am selben Tag dasselbe Update erhält, sobald Microsoft es ausliefert. Jahrelang galt das als die sichere Wahl: Ungepatchte Systeme werden gehackt, also installiert man alles, schnell. Der September-Ausfall zeigt, dass diese Logik nur die halbe Wahrheit abdeckt. Ein Update, das nie gegen Ihre eigene Umgebung getestet wurde, Ihre Domänenkonfiguration, Ihren VPN-Client, Ihre Fachanwendung, kann etwas kaputt machen, das Microsofts eigene Tests nie berührt haben.

Die Unternehmen, die den September ohne Probleme überstanden, hatten fast ausnahmslos bereits eine gestaffelte Verteilung im Einsatz: eine kleine Testgruppe erhält das Update zuerst, der Rest folgt, sobald nichts schiefgelaufen ist. Das ist kein Privileg großer IT-Abteilungen. Es ist eine Fünf-Minuten-Einstellung in Windows Update for Business, oder eine Richtlinie, die ein Managed-Cloud- und Endpoint-Service für Sie durchsetzt, damit niemand sich jeden Monat von Hand daran erinnern muss.

So funktioniert ein Pilotring ohne eigene IT-Abteilung

Windows Update for Business unterstützt Verteilungsringe von Haus aus, und ein Unternehmen mit 20 bis 100 Mitarbeitenden braucht nicht mehr als drei. Ein Pilotring aus fünf bis zehn Geräten, idealerweise aus jeder Abteilung eines und ein Gerät im VPN, erhält das Update an Tag null. 48 bis 72 Stunden lang ändert sich sonst nichts, während jemand auf Anmeldefehler, VPN-Abbrüche oder Anwendungsfehler achtet. Bleibt die Pilotgruppe sauber, erhält ein breiter Ring mit allen übrigen Geräten das Update drei bis fünf Tage später. IT- und Admin-Geräte sollten dauerhaft im Pilotring bleiben, denn sie bemerken ein Problem zuerst und können es sich am wenigsten leisten, mitten in der Fehlerbehebung ausgesperrt zu sein.

Das Ganze als tatsächliche Richtlinie festzuhalten, statt als informelle Gewohnheit, die eine einzelne Person im Kopf hat, ist das, was den Prozess einen Personalwechsel überleben lässt. Eine kurze, datierte Patch-Richtlinie ist genau die Art Dokument, das unser Governance- und Compliance-Service für KMU erstellt und aktuell hält, zusammen mit den Zugriffs- und Backup-Richtlinien, die viele Compliance-Rahmenwerke inzwischen schriftlich verlangen.

Wichtig ist außerdem, wer den Pilotring auswertet. Ein Ring ohne jemanden, der die Rückmeldungen aus der Testgruppe tatsächlich prüft, bringt wenig, denn dann läuft das Update nach Ablauf der Wartezeit ohnehin automatisch weiter, egal ob in der Zwischenzeit ein Problem aufgetreten ist oder nicht. Diese Kontrolle ist der eigentliche Unterschied zwischen einer Richtlinie auf dem Papier und einem Prozess, der tatsächlich schützt.

Sofort patchen oder gestaffelt ausrollen: der Unterschied

Was dieser Fehler bedeutet, wenn Sie noch lokales Active Directory nutzen

Der September-Ausfall betraf ausschließlich Geräte mit einer Vertrauensbeziehung zu einem lokalen Domänencontroller. Ein Unternehmen, das die Geräteverwaltung vollständig auf Entra ID umgestellt hat, ohne lokalen Domänencontroller im Spiel, war von diesem konkreten Fehler nicht betroffen, wäre aber weiterhin dem ausgesetzt, was das nächste fehlerhafte Update kaputt macht. Das ist kein Argument für einen überstürzten Wechsel weg von Active Directory noch diese Woche. Es ist ein Datenpunkt, den es abzuwägen lohnt, wenn die Modernisierung der Identitätsverwaltung ohnehin ansteht, zusammen mit den Vorteilen bei Zugriffskontrolle und bedingtem Zugriff aus unserem Beitrag zu Zero Trust Sicherheit für KMU.

Wenn Sie nicht sicher sind, ob Ihr Unternehmen für die Anmeldung noch von einem lokalen Domänencontroller abhängt oder wie stark Ihr aktuelles Setup dieser Fehlerklasse ausgesetzt ist, ist genau das die Aufgabe einer Microsoft 365 Sicherheitsanalyse: ein strukturierter Blick auf Identität, Geräte und Patch-Status statt einer Vermutung danach, wie es sich beim letzten Ausfall angefühlt hat.

Was ein Tag ausgesperrter Anmeldungen wirklich kostet

Es ist verlockend, einen Patch-Ausfall als Ärgernis statt als Kostenfaktor zu betrachten, dabei ist die Rechnung einfach. In den Mandanten, die wir betreuen, bindet eine büroweite Aussperrung einen Administrator für vier bis sechs Stunden, um jedes Gerät einzeln erneut der Domäne hinzuzufügen, während jeder betroffene Mitarbeiter währenddessen nicht arbeiten kann. Bei einem Unternehmen mit 25 Mitarbeitenden und rund 35 Euro Vollkosten pro Stunde summiert sich ein halber Tag davon auf etwa 2.500 bis 3.500 Euro verlorene Arbeitszeit allein, bevor ein Notfall-Supporteinsatz überhaupt eingerechnet ist. Ein Pilotring, der denselben Fehler auf fünf Geräten abfängt, kostet einen Bruchteil davon, und nichts davon passiert während der Geschäftszeiten, die das ganze Team eigentlich brauchte.

Das Support-Ende von Windows 10 im Oktober liefert einen zweiten Grund, die Patch-Disziplin jetzt statt später zu klären: In den kommenden Monaten wechseln mehr Geräte zu Windows 11, was mehr Erstkontakt mit genau diesem Update-Risiko bedeutet. Die Migrationsseite dieser Frist haben wir in was das Support-Ende von Windows 10 wirklich kostet behandelt.