Patchday KB5074109: Probleme und Lösungen

Geschätzte Lesezeit: 5 Minuten

Der erste Patchday 2026 hätte ein Routine-Termin sein sollen. Stattdessen hat das kumulative Sicherheitsupdate KB5074109 in einigen Umgebungen gleich mehrere unliebsame Nebeneffekte ausgelöst: Shutdown-/Hibernate-Probleme, Remote-Desktop-/Windows-App-Loginfehler – und obendrauf Berichte über kaputten S3-Sleep auf älterer Hardware. Microsoft hat reagiert und außerplanmäßige Out-of-band-Updates (OOB) bereitgestellt, die teilweise manuell aus dem Update Catalog installiert werden müssen. (Microsoft Learn)

Was ist KB5074109 (Windows 11 24H2/25H2) – kurzer Überblick

KB5074109 ist das kumulative Sicherheitsupdate vom 13. Januar 2026 für Windows 11, das die Builds auf 26100.7623 (24H2) und 26200.7623 (25H2) anhebt. Wie bei Patch Tuesday üblich: Pflicht-Update (Security), plus Qualitätsfixes, plus Servicing-Stack-Komponenten im Umfeld. (Microsoft Support)

Wichtig: Viele der aktuell diskutierten Probleme hängen nicht nur an 24H2/25H2 – ein Teil der kritischen Bugs betrifft Windows 11 23H2 (Enterprise/IoT) sowie Remote-Verbindungs-Workflows über die Windows App (Azure Virtual Desktop / Windows 365) über mehrere Windows-Versionen hinweg. (Microsoft Learn)

Welche Symptome sind gemeldet?

Shutdown-/Hibernate-Probleme (vor allem 23H2 Enterprise/IoT)

Nach Installation der Januar-Sicherheitsupdates kam es bei bestimmten Systemen dazu, dass Herunterfahren oder Ruhezustand fehlschlägt (teilweise Reboot statt Shutdown/Hibernate). Microsoft ordnet das in den OOB-Hinweisen einem Secure-Launch-Szenario zu und begrenzt den Shutdown/Hibernate-Bug auf Windows 11 23H2. (Microsoft Learn)

Remote Desktop / Windows App: Credential-Prompt- und Loginfehler

Microsoft beschreibt Connection-/Authentication-Failures in Remote-Verbindungsanwendungen – explizit inklusive Remote Desktop über die Windows App auf Windows-Clients (Azure Virtual Desktop / Windows 365). Das betrifft mehrere Plattformen (u. a. Windows 11 25H2, Windows 10 22H2 ESU, Windows Server 2025 usw.). (Microsoft Learn)

Sleep/S3: ältere Geräte bleiben “wach” und hängen

Bei älteren PCs mit klassischem S3-Sleep berichten Nutzer: Bildschirm wird schwarz, das System geht aber nicht sauber in den Schlafzustand – oft hilft nur ein Hard Reset. Neuere Geräte mit S0/Modern Standby scheinen deutlich seltener betroffen. Als Workaround wurde u. a. genannt: USB-Webcam abziehen. (TechRadar)

Wer ist betroffen?

Grob kannst du die Risikogruppen so einteilen:

Windows 11 23H2 Enterprise/IoT mit Secure Launch
Hier sitzt der “Shutdown/Hibernate”-Cluster, der Microsofts OOB-Fix nötig machte. (Microsoft Learn)
Remote-Worker / VDI / AVD / Windows 365 über die Windows App
Wenn eure Umgebung stark auf Remote Desktop via Windows App setzt, sind die Credential- und Auth-Probleme sofort geschäftskritisch. (Microsoft Learn)
Ältere Hardware mit S3-Sleep
Geräteparks mit älteren Desktops/Notebooks (S3) sind anfälliger für den Sleep-Bug; moderne S0-Systeme sind eher außen vor. (TechRadar)

Sofortmaßnahmen und Workarounds

Schritt 1: Impact schnell sichtbar machen

Welche Versionen sind im Feld? (23H2 vs. 24H2 vs. 25H2)
Welche Geräte nutzen S3? (BIOS/Power-Management, ältere Plattformen)
Welche User sind auf Windows App / AVD / Windows 365 angewiesen?

Pragmatisch: Erst die geschäftskritischen Personas identifizieren (Callcenter/VDI/Remote-Admins), dann die “Long Tail”-Clients.

Schritt 2: Wenn noch nicht breit ausgerollt: OOB statt Patch Tuesday einplanen

Microsoft empfiehlt im Message Center sinngemäß: Wenn ihr das Januar-Update noch nicht verteilt habt und ihr die betroffenen Features nutzt, OOB-Update aus dem Microsoft Update Catalog anwenden. (Microsoft Learn)

Relevante OOB-KBs (17. Januar 2026):

Windows 11 25H2/24H2: KB5077744
Windows 11 23H2: KB5077797
(Weitere Plattformen ebenfalls vorhanden, z. B. Windows 10 22H2 ESU, Server 2025/2022/2019) (Microsoft Learn)

Schritt 3: Bei bereits betroffenen Geräten: priorisieren statt “alles auf einmal”

Remote-Login kaputt (AVD/Windows 365 via Windows App): OOB-Fix priorisieren. (Microsoft Learn)
23H2 Secure Launch + Shutdown/Hibernate kaputt: OOB-Fix priorisieren. (Microsoft Learn)
S3-Sleep-Bug: kurzfristig “Sleep vermeiden” (oder per Policy deaktivieren), optional Workaround USB-Webcam trennen; mittelfristig auf Fix warten bzw. Geräteklasse identifizieren. (TechRadar)

Schritt 4: Rollback/Deinstallation nur als Notnagel

Deinstallation des Januar-Updates kann Symptome beseitigen (z. B. beim S3-Sleep), ist aber aus Security-Sicht heikel. Wenn du das machst:

nur für klar definierte Gerätegruppen,
mit Ticket/Change,
mit Deadline zur Wiedereinschleusung des Fixes (OOB/folgemonatliches CU). (TechRadar)

Checkliste für Admins

Test-Ringe und “Stop-the-line”-Kriterien

Ring 0: IT / Pilot (24–48h)
Ring 1: 5–10% pro Standort/Persona
Ring 2: Breite
Stop-the-line, wenn:
Remote-Loginfehler in Kernprozessen auftreten (AVD/Windows 365),
Shutdown/Hibernate in 23H2 Enterprise/IoT reproduzierbar bricht,
Sleep-Bug auf definierter Hardwareklasse > x% auftritt. (Microsoft Learn)

WSUS/Intune-Rollout: kontrollieren statt treiben lassen

Pausieren für betroffene Ringe
Gezielte Zuweisung der OOB-KBs an die passenden Versionen (23H2 vs. 24H2/25H2)
Catalog-Workflow dokumentieren (Download, Signatur, Deployment, Rückverfolgbarkeit) (Microsoft Learn)

Telemetrie: die richtigen Signale

Abbruchrate Remote-Anmeldung (Windows App / AVD / W365)
Unerwartete Reboots nach “Shutdown”
Power-Events (Sleep/Wake), Hard-Resets (plötzlicher Power Loss)
Helpdesk-Tags: “RDP”, “Windows App”, “Sleep”, “Shutdown” (einheitliche Kategorien)

Kommunikationsvorlage (intern, kurz)

Betreff: Windows Patchday Januar 2026 – bekannte Probleme und Vorgehen
Text:
Wir beobachten nach dem Januar-Sicherheitsupdate (u. a. KB5074109) in einzelnen Umgebungen Probleme mit Remote-Anmeldungen (Windows App/Remote Desktop) sowie bei bestimmten Geräten mit Herunterfahren/Ruhezustand. Microsoft stellt außerplanmäßige Updates (OOB) bereit, die wir priorisiert verteilen.
Bitte melden Sie Störungen mit den Stichworten “RDP/Windows App”, “Shutdown/Hibernate” oder “Sleep” und nennen Sie Gerätetyp und Windows-Version (winver).
Bis zur Bereinigung: Bei betroffenen Geräten Sleep vermeiden; Remote-User bitte die bereitgestellten Workarounds des IT-Teams befolgen.

Fazit

KB5074109 ist ein gutes Beispiel dafür, warum “Patch Tuesday blind durchrollen” in gemischten Windows-Flotten riskant ist: Feature-abhängige Bugs (Secure Launch), Workflow-kritische Remote-Themen (Windows App/AVD/W365) und Hardwareklassen-Probleme (S3) treffen unterschiedliche Teile des Bestands – aber alle landen im selben Helpdesk. Die saubere Antwort ist kein Aktionismus, sondern saubere Ringe, schnelle OOB-Zielverteilung und klare Kommunikation. (Microsoft Learn)

Patchday Januar 2026: Warum KB5074109 so viele Probleme macht…