Patch-Day-Fail: Installation des Windows-Server-Updates schlägt fehl

Geschätzte Lesezeit: 4 Minuten

Das nächste Patchday-Update, die nächsten Probleme: Mit dem April-Sicherheitsupdate KB5082063 für Windows Server 2025 meldet Microsoft gleich mehrere Störungen. Neben Installationsfehlern berichten Administratoren auch von BitLocker-Warnungen nach dem Neustart. Zusätzlich hat Microsoft inzwischen bestätigt, dass es auf bestimmten Domänencontrollern sogar zu Neustartschleifen kommen kann. Der Vorfall zeigt erneut, dass Updates auf produktiven Servern nicht blind ausgerollt werden sollten. (Microsoft Support)

Was ist passiert?

Am 14. April 2026 hat Microsoft das kumulative Update KB5082063 für Windows Server 2025 freigegeben. Laut offizieller Update-Dokumentation bringt das Paket Sicherheitsverbesserungen und weitere Korrekturen mit. In der Praxis scheint das Update aber nicht auf allen Systemen sauber zu laufen. Microsoft untersucht derzeit Berichte, wonach die Installation auf manchen Servern fehlschlägt. Betroffene Administratoren sehen dabei unter anderem den Fehlercode 0x800F0983. (Microsoft Support)

BitLocker-Warnungen sorgen für zusätzliche Verunsicherung

Besonders heikel ist ein weiterer, von Microsoft bestätigter Effekt: Auf Geräten mit einer nicht empfohlenen BitLocker-Gruppenrichtlinien-Konfiguration kann nach der Installation beim ersten Neustart die Eingabe des BitLocker-Wiederherstellungsschlüssels verlangt werden. Microsoft betont, dass dies vor allem Systeme betrifft, bei denen bestimmte PCR-Einstellungen explizit gesetzt wurden. Für Administratoren ist das ein ernstes Warnsignal, denn ein solcher Recovery-Prompt kann im Rechenzentrum schnell zum Problem werden, wenn physischer Zugriff fehlt oder Wiederherstellungsschlüssel nicht sauber dokumentiert sind. (Microsoft Support)

Domänencontroller können in Neustartschleifen geraten

Noch kritischer ist eine bekannte Störung, die Microsoft inzwischen ebenfalls dokumentiert hat: Nicht-Global-Catalog-Domänencontroller in Umgebungen mit Privileged Access Management (PAM) können nach der Installation von KB5082063 in eine Restart-Schleife geraten. Ursache sind offenbar LSASS-Abstürze beim Start, wodurch Authentifizierung und Verzeichnisdienste ausfallen können. Im schlimmsten Fall ist die Domäne zeitweise nicht mehr verfügbar. Gerade für Unternehmen mit komplexeren Active-Directory-Strukturen ist das ein Risiko, das vor einer breiten Verteilung des Updates unbedingt berücksichtigt werden sollte. (Microsoft Support)

Warum Admins jetzt wachsam bleiben sollten

Der Fall ist deshalb brisant, weil es sich nicht um ein optionales Vorschau-Update handelt, sondern um ein reguläres Sicherheitsupdate. Solche Pakete werden in vielen Umgebungen automatisiert oder mit nur kurzer Verzögerung verteilt. Wenn dann Installationsfehler, BitLocker-Recovery-Abfragen oder gar Probleme auf Domänencontrollern auftreten, kann das schnell produktive Systeme treffen. Microsoft hat den Fall bestätigt und untersucht die Ursache, ein allgemeiner Fix war zum Stand 17. April 2026 aber noch nicht veröffentlicht. (Microsoft Support)

Was Administratoren jetzt tun sollten

Bis Microsoft eine endgültige Klärung oder einen Fix bereitstellt, ist ein vorsichtiges Vorgehen sinnvoll. Updates sollten zunächst nur in Test- und Staging-Umgebungen installiert werden. In produktiven Infrastrukturen empfiehlt es sich, vor der Verteilung von KB5082063 insbesondere folgende Punkte zu prüfen:

• BitLocker-Wiederherstellungsschlüssel müssen verfügbar und dokumentiert sein.
• Gruppenrichtlinien für BitLocker sollten auf problematische PCR-Konfigurationen kontrolliert werden.
• Domänencontroller, vor allem nicht-GC-DCs in PAM-Umgebungen, sollten besonders eng überwacht werden.
• Wer das Update bereits verteilt hat, sollte Ereignisprotokolle, Neustarts und Installationsfehler aktiv prüfen.
• Automatische Rollouts sollten gegebenenfalls vorübergehend gebremst oder gestaffelt werden. (Microsoft Support)

Fazit

Mit KB5082063 zeigt sich einmal mehr ein bekanntes Muster: Ein wichtiges Sicherheitsupdate bringt nicht nur Patches, sondern unter Umständen auch neue Risiken. Besonders problematisch ist die Kombination aus fehlgeschlagener Installation, BitLocker-Recovery-Warnungen und möglichen Ausfällen von Domänencontrollern. Für Administratoren heißt das jetzt vor allem: nicht in Panik verfallen, aber sehr genau hinschauen. Wer Windows Server 2025 im Einsatz hat, sollte den Rollout des April-Updates kontrolliert durchführen und Microsofts Hinweise zu den bekannten Problemen aufmerksam verfolgen. (Microsoft Support)