Microsoft nicht mehr gnädig:
PowerShell-Skripte werden teils blockiert

Microsoft hat mit seinen November-Updates für Windows die Überprüfung signierter PowerShell-Skripte verschärft. Die Änderung soll die Sicherheit erhöhen, kann allerdings dazu führen, dass ältere Skripte plötzlich nicht mehr funktionieren.

Fehlerhaftes UTF-8 ist Ausschlussgrund

Betroffen von der Neuerung sind vor allem Dateien mit fehlerhaften Textkodierungen. Administratoren müssen diese gegebenenfalls überarbeiten und erneut signieren. Sonst kann es passieren, dass Nutzer vor nicht mehr korrekt funktionierenden Systemen sitzen und ihrer Arbeit nicht nachgehen können.

Die Anpassung ist Teil des Sicherheitsupdates KB5132061 und betrifft die Verarbeitung sowie Überprüfung von Signaturen für PowerShell-Skripte. Windows akzeptiert seit dem Update keine fehlerhaften UTF-8-Kodierungen mehr, wenn diese bei der Signaturprüfung auftreten. Bislang konnte das Betriebssystem bestimmte ungültige Zeichen beim Einlesen ersetzen und die Prüfung trotzdem erfolgreich abschließen. Dieses Verhalten hat Microsoft nun geändert.


Für Anwender und Administratoren kann das unerwartete Folgen haben. So liefert der PowerShell-Befehl Get-AuthenticodeSignature bei betroffenen Dateien möglicherweise den Status "NotSigned", obwohl das Skript zuvor korrekt signiert war. Auch der Versuch, eine problematische Datei mit Set-AuthenticodeSignature neu zu signieren, kann mit einer Fehlermeldung scheitern.

Microsoft hilft

Microsoft hat bereits eine Anleitung zur Behebung der Probleme veröffentlicht. Demnach sollten Administratoren zunächst die Inhalte ihrer Skripte überprüfen und diese mit einer gültigen UTF-8-Kodierung inklusive Byte Order Mark (BOM) speichern. Anschließend müssen die Dateien erneut signiert werden, damit Windows ihre Authentizität wieder zuverlässig überprüfen kann.

Für größere Skriptbestände stellt Microsoft außerdem ein Reparaturwerkzeug für PowerShell bereit. Dieses kann Dateien auf mögliche Kodierungsfehler untersuchen und versuchen, diese automatisch zu korrigieren. Dabei bleiben vorhandene Signaturen nach Möglichkeit erhalten. Die Originaldateien werden nicht überschrieben. Allerdings weist Microsoft darauf hin, dass sich nicht sämtliche betroffenen Skripte automatisch reparieren lassen.

Die Änderung beschränkt sich zudem nicht auf Windows 11. Microsoft nennt in seiner Dokumentation auch Windows 10 Enterprise LTSC 2021 sowie mehrere Windows-Server-Versionen, darunter Windows Server 2025 als betroffene Systeme.

Siehe auch: