WDS vor dem Aus: Microsoft stoppt Windows Auto-Setups

Mit den April Patch-Day 2026 zieht Microsoft nun die Schrauben in Sachen Datensicherheit ein Stück weiter an. Hinter den nüchternen technischen Beschreibungen verbergen sich deutliche Änderungen, die viele Unternehmen betreffen.

Änderungen bei den Windows Deployment Services

Denn: Am heutigen Dienstag (14. April) ist wieder Patchday, also der Tag, an dem Microsoft seine monatlichen Sicherheitsupdates veröffentlicht.

Im Mittelpunkt bei den sicherheitsrelevanten Änderungen stehen jetzt die sogenannten "Windows Deployment Services" (WDS), über die Administratoren bislang Installationen automatisch und unbeaufsichtigt durchführen konnten. Diese Funktion basiert auf der Datei unattend.xml, die bisher häufig von Netzlaufwerken geladen wurde. Damit ist nun Schluss: Aus Sicherheitsgründen beendet Microsoft die Unterstützung dieser Methode.


Die Änderung tritt mit dem April-Update in Kraft und gilt als Teil der zweiten Phase des Härtungs-Prozesses rund um die Sicherheitslücke CVE-2026-0386.

Laut Microsoft kann die Datei ein Einfallstor für Angriffe sein, wenn sie über einen nicht authentifizierten Kanal übertragen wird. Künftig wird die automatische Bereitstellung deshalb standardmäßig deaktiviert. Wer weiterhin darauf angewiesen ist, kann die Einstellung zwar überschreiben - doch Microsoft rät deutlich davon ab. Stattdessen sollen Unternehmen auf sichere Alternativen umsteigen.

Kerberos RC4-Härtung startet

Auch in anderen Bereichen des Systems zieht der Hersteller die Sicherheitsmaßnahmen an. So beginnt die Durchsetzungsphase für die sogenannte "Kerberos RC4-Härtung" (CVE-2026-20833), die eine ältere Authentifizierungs-Methode endgültig ablöst. Administratoren, die Windows-Computer bislang ohne das Werkzeug Sysprep geklont haben, müssen mit Fehlermeldungen bei der Anmeldung rechnen - eine Folge der verschärften Authentifizierungsmechanismen.

Wie im Januar 2026 angekündigt, stellt die bei der automatischen Bereitstellung verwendete Datei "Unattend.xml" eine Sicherheitslücke dar, wenn sie über einen nicht authentifizierten RPC-Kanal übertragen wird. Mit dem Sicherheitsupdate vom April 2026 tritt nun die zweite Phase der Sicherheitsverbesserungen für CVE-2026-0386 in Kraft.

Selbst beim Umgang mit Treibern greift Microsoft durch: "Cross-signierte" Kerneltreiber, die bislang eine gewisse Flexibilität beim Signieren boten, werden nun blockiert. Diese Entscheidung sorgte schon vorab in Entwicklerkreisen für Diskussionen. Ziel sei es, so heißt es aus Redmond, das gesamte System von der Installation bis zur Authentifizierung widerstandsfähiger gegen Angriffe zu machen.

Wie steht ihr zu den neuen Vorgaben - sinnvolle Sicherheitsmaßnahme oder übervorsichtige Einschränkung? Diskutiert mit uns in den Kommentaren.


Siehe auch: